ARP 欺騙木馬橫行校園網？專家教你 3 步偵測、封鎖、清除

ARP (Address Resolution Protocol) 負責將 IP 解析為 MAC 位址。ARP 欺騙木馬透過偽造 ARP 回應，讓閘道器或用戶端更新錯誤的 IP-MAC 對應表，導致區域網路斷線、竊取帳密、甚至癱瘓整個網段。本文教你從主機偵測到網路層面定位源頭。

ARP 欺騙兩大模式

1. 欺騙閘道器 ARP 表：持續發送偽造 MAC 給閘道，導致閘道將封包送往錯誤 MAC，正常主機收不到回應。
2. 偽造閘道器 (Gateway Spoofing)：讓受害者將封包送給攻擊者 MAC，攻擊者再轉發或竊取，受害者顯示「網路斷線」。

步驟 1：檢查本機是否中毒

1. Ctrl+Alt+Del → 工作管理員 → 「處理程序」頁籤。
2. 搜尋是否有 MIR0.dat 進程。若有 → 右鍵「結束處理程序」。
3. 完整掃毒（建議離線掃毒或啟動救援碟）。

步驟 2：定位網段內受感染主機

1. 命令提示字元：ipconfig 記錄「預設閘道」IP (如 59.66.36.1)。
2. arp -a 在「Internet Address」找到閘道 IP，記錄對應「Physical Address」 (如 00-01-e8-1f-35-54)。正常時這是閘道真實 MAC；受攻擊時這是攻擊者網卡 MAC。
3. 或掃描全網段：for /L %i in (1,1,254) do ping -n 1 -w 100 192.168.1.%i → 再 arp -a，找出與閘道 MAC 相同的 IP，即為毒源。

步驟 3：網路層面封鎖與防護

• 交換器啟用 Dynamic ARP Inspection (DAI) + DHCP Snooping + IP Source Guard，僅允許合法 DHCP 租約的 IP-MAC 通訊。
• 閘道器/防火牆設定 ARP 保護、啟用 ARP 攻擊偵測告警。
• 用戶端安裝 AntiARP、ARP Firewall 等本機防護軟體，自動阻擋偽造 ARP 回應。
• 定期更換 Wi-Fi 密碼、啟用 802.1X 認證，防止非授權裝置接入發動攻擊。

木馬竊密手法提醒

ARP 木馬常竊取 QQ、遊戲帳號、網銀憑證進行變現。發現帳號異常登入、虛寶消失，優先檢查 ARP 欺騙可能。

「一台中毒、全網斷線」不是危言聳聽，部署 DAI/DHCP Snooping 才是治本之道。