ARP 欺騙木馬完整防禦手冊：原理、檢測與清除全攻略

校園網、企業網、網咖頻傳斷網、盜號事件，罪魁禍首往往是 ARP 欺騙木馬。本文深入解析 ARP 協定弱點、欺騙原理，提供從本機查毒、定位感染源到網路層面防禦的完整實戰指南。

什麼是 ARP 欺騙？

ARP (Address Resolution Protocol) 負責將 IP 位址解析為 MAC 位址。因 ARP 協定無驗證機制，攻擊者可偽造 ARP 回應：

• 欺騙閘道器：發送偽造 MAC 綁定閘道 IP，導致閘道將封包誤送攻擊者，造成區網斷網。
• 欺騙受害主機：宣稱自己是閘道，攔截受害主機外發流量，竊取帳號密碼、竄改資料。

中毒徵兆

• 區網內間歇性斷網、掉線，重啟或 arp -d 後暫時恢復。
• 客戶端認證成功但無法上網（無法 ping 通閘道）。
• IE 頻繁報錯、常用軟體異常、QQ/遊戲/網銀帳號被盜。

本機查毒與清除

1. Ctrl+Alt+Del 開啟工作管理員 → [處理程序]，搜尋 MIR0.dat，發現即結束程序並刪除相關檔案。
2. 全盤掃描：使用更新至最新毒碼的防毒軟體深度掃描。
3. 檢查啟動項 (msconfig)、服務 (services.msc)、排程工作，移除可疑項目。

定位區網感染源

1. 受害機器執行 ipconfig 記錄「預設閘道」IP（如 192.168.1.1）。
2. 執行 arp -a，找到閘道 IP 對應的 MAC 位址（此為攻擊者 MAC）。
3. 掃描區網所有 IP（for /l %i in (1,1,254) do ping -n 1 -w 10 192.168.1.%i），再執行 arp -a，比對哪個 IP 對應相同 MAC，即為感染源。

網路層面防禦體系

應急處理流程

發現斷網/盜號
   │
   ├─ 受害機執行 arp -d 暫時恢復
   ├─ 管理員用 arp -a 定位攻擊者 MAC
   ├─ 掃描區網 IP 找出對應 MAC 的感染主機
   ├─ 物理斷開感染主機網路
   ├─ 送修清毒、修補漏洞、修改帳號密碼
   └─ 檢討防禦缺口、加強交換器/終端防護

ARP 欺騙防不勝防，唯有「終端查毒 + 網路綁定 + 管理規範」三位一體，才能築牢區網安全防線。