ARP欺骗攻击详解：从原理到防御

一个平凡而乐于分享的小比特

发布于 2026-02-02 16:57:22

1160

🔥作者简介：一个平凡而乐于分享的小比特，中南民族大学通信工程专业研究生，研究方向无线联邦学习 🎬擅长领域：驱动开发，嵌入式软件开发，BSP开发 ❄️作者主页：一个平凡而乐于分享的小比特的个人主页 ✨收录专栏：操作系统，本专栏为讲解各操作系统的历史脉络，以及各性能对比，以及内部工作机制，方便开发选择欢迎大家点赞 👍 收藏 ⭐ 加关注哦！💖💖

ARP欺骗攻击详解：从原理到防御

一、什么是ARP欺骗攻击？

1.1 简单比喻

想象一个办公室场景：

员工 = 网络设备（电脑、手机等）
工位号 = IP地址
员工姓名 = MAC地址（设备的物理地址）
前台通讯录 = ARP表（IP与MAC的对应关系）

正常情况：你想联系工位“192.168.1.10”的小王，查看通讯录发现他叫“王明”（MAC地址），然后直接喊他。

ARP欺骗攻击：黑客悄悄修改了通讯录，把工位“192.168.1.10”的名字改成了“黑客”。结果你想联系小王时，实际是在跟黑客说话，而黑客再把消息转给小王，偷听你们的对话。

二、技术原理解析

2.1 ARP协议基础

+-------------------+      +-------------------+
|    IP地址查询      |      |   ARP请求广播     |
|   192.168.1.1是谁? |----->|  "谁是192.168.1.1?" |
+-------------------+      +-------------------+
                                |
                                | 所有设备都收到
                                |
                                v
+-------------------+      +-------------------+
|   目标设备响应     |      |   ARP单播回复     |
|    "我是，MAC是XX" |<-----| "我是192.168.1.1,  |
|                   |      |  我的MAC是AA:BB"  |
+-------------------+      +-------------------+

2.2 ARP欺骗如何发生

正常ARP表（攻击前）：
IP地址       MAC地址
192.168.1.1   AA-BB-CC-DD-EE-01（网关）
192.168.1.100 AA-BB-CC-DD-EE-99（受害者）

攻击者发送伪造ARP响应：
"我是192.168.1.1（网关），我的MAC是AA-BB-CC-DD-EE-HACK"

受害者更新后的ARP表：
IP地址       MAC地址
192.168.1.1   AA-BB-CC-DD-EE-HACK（攻击者！）
192.168.1.100 AA-BB-CC-DD-EE-99（受害者）

三、攻击场景详解

场景1：中间人攻击（最典型）

正常通信：
[受害者电脑] <----> [路由器/网关] <----> [互联网]

ARP欺骗后：
[受害者电脑] <----> [攻击者电脑] <----> [路由器/网关] <----> [互联网]
         (受害者以为攻击者就是网关)

攻击步骤：

攻击者告诉受害者：“我是网关，MAC是[攻击者MAC]”
攻击者告诉网关：“我是受害者，MAC是[攻击者MAC]”
所有流量都经过攻击者中转，可被监听/篡改

场景2：DoS攻击（拒绝服务）

攻击者持续发送ARP响应：
"我是192.168.1.100，我的MAC是00-00-00-00-00-00（不存在）"

结果：
其他设备无法找到真正的192.168.1.100，通信中断

场景3：会话劫持

攻击时机：用户登录网站时
攻击效果：窃取登录凭据、cookie等敏感信息

四、详细对比表格

表1：正常ARP vs ARP欺骗

对比项	正常ARP通信	ARP欺骗攻击
目的	建立正确的IP-MAC映射	建立虚假的IP-MAC映射
发送者	目标设备本身	攻击者伪装成目标设备
数据真实性	真实可靠	伪造虚假
网络影响	正常通信基础	通信被监听/中断/篡改
发送频率	需要时发送	通常高频重复发送

表2：不同类型ARP攻击对比

攻击类型	攻击目标	攻击手法	危害程度
中间人攻击	特定主机↔网关	双向欺骗，转发流量	★★★★★ 可监听、篡改所有流量
DoS攻击	特定主机	指向不存在MAC	★★★☆☆ 造成通信中断
局域网扫描	所有主机	欺骗所有IP指向自己	★★★★☆ 全面监控局域网
会话劫持	特定会话	在关键时间点欺骗	★★★★☆ 窃取敏感信息

五、攻击过程详解（图文）

5.1 攻击准备阶段

攻击者信息：
IP: 192.168.1.50
MAC: AA:BB:CC:DD:EE:50

受害者信息：
IP: 192.168.1.100
MAC: AA:BB:CC:DD:EE:99

网关信息：
IP: 192.168.1.1
MAC: AA:BB:CC:DD:EE:01

5.2 攻击执行阶段

步骤1：攻击者→受害者
ARP数据包：我是192.168.1.1（网关），我的MAC是AA:BB:CC:DD:EE:50

步骤2：攻击者→网关
ARP数据包：我是192.168.1.100（受害者），我的MAC是AA:BB:CC:DD:EE:50

步骤3：流量转发（可选）
攻击者开启IP转发功能，让流量正常通过，避免被发现

5.3 攻击效果

受害者发送给互联网的数据：
原路径：受害者 → 网关 → 互联网
现路径：受害者 → 攻击者 → 网关 → 互联网

网关发送给受害者的数据：
原路径：网关 → 受害者
现路径：网关 → 攻击者 → 受害者

六、防御措施

6.1 技术防御手段

表3：防御措施对比

防御方法	原理	优点	缺点
静态ARP绑定	手动设置IP-MAC对应关系	简单有效，无法被篡改	维护麻烦，不适用于大型网络
ARP监控软件	检测异常ARP活动	实时报警，自动阻止	可能误报，需要持续运行
交换机安全功能	端口绑定、DHCP监控等	网络层面防护，全面	需要企业级设备支持
VPN/加密通信	加密所有流量	即使被监听也看不懂	需要额外配置，可能影响速度

6.2 具体实施建议

个人用户：

使用ARP防火墙：如ARP Guard、Anti ARP Sniffer
定期检查ARP表：在命令行输入arp -a查看异常
重要数据加密：使用HTTPS、SSH等加密协议
警惕网络异常：如网速突然变慢、频繁断线

企业网络：

交换机端口安全：限制每个端口的MAC数量
动态ARP检测：企业交换机的高级功能
网络分段：划分VLAN，缩小攻击范围
安全设备部署：入侵检测系统(IDS)监控ARP异常

七、检测方法

7.1 手动检测

# Windows检测
arp -a  # 查看ARP表，检查是否有重复IP对应不同MAC

# Linux检测
arp -n

# 使用Wireshark抓包
过滤条件：arp.duplicate-address-frame  # 检测重复ARP响应

7.2 异常迹象

同一IP对应多个不同MAC地址
出现大量ARP请求/响应包
网络速度异常缓慢
某些网站无法访问或显示证书错误

八、实际案例模拟

案例：咖啡店公共WiFi攻击

场景：咖啡店免费WiFi，所有人在同一局域网
攻击者：使用Kali Linux中的arpspoof工具
命令：arpspoof -i eth0 -t 受害者IP 网关IP

结果：
1. 受害者浏览的所有网页都被攻击者看到
2. 如果访问非HTTPS网站，账号密码可能被盗
3. 攻击者可以插入广告或恶意代码