ARP欺骗

ARP欺骗（ARP spoofing），又称ARP下毒（ARP poisoning）或ARP攻击，是针对以太网路地址解析协议（ARP）的一种攻击技术。此种攻击可让攻击者取得局域网路上的资料封包甚至可篡改封包，且可让网络上特定电脑或所有电脑无法正常连线。最早探讨ARP欺骗的文章是由Yuri Volobue所写的《ARP与ICMP转向游戏》（ARP and ICMP redirection games）^[1]。

运作机制

ARP欺骗的运作原理是由攻击者发送假的ARP封包到网络上，尤其是送到闸道器上。其目的是要让送至特定的IP位址的流量被错误送到攻击者所取代的地方。因此攻击者可将这些流量另行转送到真正的闸道（被动式封包嗅探，passive sniffing）或是篡改后再转送（中间人攻击，man-in-the-middle attack）。攻击者亦可将ARP封包导到不存在的MAC位址以达到阻断服务攻击的效果，例如netcut软件。

例如某一网络闸道的IP位址是192.168.0.254，其MAC位址为00-11-22-33-44-55，网络上的电脑内ARP表会有这一笔ARP记录。攻击者发动攻击时，会大量发出已将192.168.0.254的MAC位址篡改为00-55-44-33-22-11的ARP封包。那么网络上的电脑若将此伪造的ARP写入自身的ARP表后，电脑若要透过网络闸道连到其他电脑时，封包将被导到00-55-44-33-22-11这个MAC位址，因此攻击者可从此MAC位址截收到封包，可篡改后再送回真正的闸道，或是什么也不做，让网络无法连线。