ARP 欺騙是區域網路中常見的中間人攻擊手法，導致斷線、網路癱瘓。本文透過實境模擬，詳細拆解攻擊原理並提供偵測思路。
攻擊情境模擬
假設三台主機透過 Hub 連接：
- Host A：IP 192.168.10.1，MAC AA-AA-AA-AA-AA-AA
- Host B（攻擊者）：IP 192.168.10.2，MAC BB-BB-BB-BB-BB-BB
- Host C：IP 192.168.10.3，MAC CC-CC-CC-CC-CC-CC
攻擊流程
- 正常情況下 A 的 ARP 快取記錄 C 的真實 MAC（CC-CC-CC-CC-CC-CC）。
- B 偽造 ARP 回應封包，聲稱 IP 192.168.10.3 對應 MAC DD-DD-DD-DD-DD-DD（偽造值）。
- A 接收後更新 ARP 快取，將 C 的 MAC 替換為無效值。
- A 嘗試 Ping C 時，封包因 MAC 錯誤無法送達，導致網路不通。
- 若 B 持續向閘道器發送偽造 ARP，整個區域網路將陷入嚴重阻塞。
偵測與防禦線索
- ARP 封包本身不含攻擊者 MAC，但承載的 Ethernet 幀標頭包含來源 MAC（即攻擊者 B 的真實 MAC）。
- 正常 ARP 封包中，Ethernet 幀標頭的 MAC 應與 ARP 承載內容一致；不符即為偽造。
- 進階偽造者可能同時偽造幀標頭，但若閘道器擁有全網段 MAC 資料庫，比對即可發現異常。
理解原理是防禦第一步，網管人員可部署 ARP 監控工具、啟用動態 ARP 檢測（DAI）、綁定 IP-MAC 靜態對應等措施，有效緩解威脅。
