Vista 處理 ARP 請求機制存在缺陷，遠端攻擊者可偽造 ARP 訊息導致網路通訊不穩或被劫持，必須手動重啟網卡才能恢復。
漏洞詳情
- 影響版本：Windows XP、Windows Vista
- CVE 編號：CVE-2007-1531
- Bugtraq ID：23266
- 攻擊向量：本地網路 (需同一廣播域)
- 影響：拒絕服務 (網卡停止回應)、中間人攻擊 (流量重導向)
技術原理
- Vista 允許**未經請求的 ARP 回應**更新現有 ARP 表項 (Gratious ARP)。
- 攻擊者持續發送偽造 ARP 回應，將受害者 IP 映射到攻擊者 MAC，導致流量被攔截 (MITM)。
- 或發送衝突 ARP 使網卡進入不穩定狀態，停止處理網路封包 (DoS)。
- 受害者必須停用/啟用網卡或重啟系統才能恢復正常 ARP 運作。
測試工具 (僅供防禦研究)
Milw0rm Exploit 3926 示範攻擊程式碼，嚴禁用於未授權環境。
緩解與防護措施
- 套用 Microsoft 修補程式：持續關注 Microsoft Security Bulletin 並部署相關更新 (MS07-xxx)。
- 啟用動態 ARP 檢測 (DAI)：在支援的交換器上開啟 DAI，驗證 ARP 封包合法性。
- 靜態 ARP 綁定：關鍵伺服器/閘道在用戶端設定靜態 ARP (
arp -s)，防止被竄改。
- 網段隔離：VLAN 劃分廣播域，限制 ARP 攻擊範圍。
- 監控 ARP 異常：部署 IDS/IPS 偵測大量 Gratious ARP 或 IP-MAC 衝突事件。
參考來源
