簡介面向網絡安全運維與局域網管理場景這份工具包提供 Anti ARP Sniffer v3.5 主程序及配套文檔可實時監控ARP請求/響應、掃描LAN內設備MAC地址幫助檢測和抵御ARP欺騙、中間人攻擊適合網絡管理員、安全愛好者及PC用戶自查網絡環境。壓縮包僅490KB共4個文件包含exe主程序、ini配置文件、htm幫助頁與txt說明文檔結構精簡、開箱即用目前已有723人學習下載輕量體積與實用功能是其鮮明特點。借助該工具讀者能獲得可執行程序、配置模板和圖文操作說明掌握ARP緩存監控、靜態ARP綁定、異常告警日志分析等防護手段htm與txt文檔還講解了ARP協議背景及嗅探器工作原理便于零基礎用戶理解威脅機制并完成基礎安全加固。整體而言這套資源提供了防ARP欺騙、MAC掃描的完整入門方案既適合日常安全自查也可作為理解ARP協議與網絡嗅探原理的實操示例。1. 網線沒斷卻“斷網”時Anti ARP Sniffer v3.5 在局域網里到底查什么辦公網里有一種很典型的故障電腦右下角網絡圖標正常QQ能登錄但網頁打開緩慢、內網服務器時通時斷甚至整個部門互相 ping 不通。此時排查順序很有講究——先看廣播報文量再查 ARP 映射關系而不是一上來就重啟防火墻。多數情況下肇事者是一臺被植入惡意程序或被人手動改了緩存的終端它不停發送偽造 ARP 應答把全網流量引向錯誤網卡。Anti ARP Sniffer v3.5 這個名字容易被誤讀它的“Anti”不是讓用戶防備嗅探器而是說程序自帶防 ARP 欺騙能力v3.5 這一代工具實際包含三塊功能——網絡嗅探、局域網掃描、以 MAC 地址為主鍵的主機清單整理。網絡運維排查二層故障、安全基線自查、嵌入式設備聯調都會用到它。老工程師用這類工具多數不是為了學協議而是想在一臺 Windows 電腦上完成抓包、掃描、綁定驗證的閉環。前提是先把 ARP 協議的行為和工具的工作模式對齊否則參數一錯就會漏報、誤報。2. 先從ARP協議看局域網掃描的原理arp -a、廣播請求與詳細包結構2.1 一個“詳細”的ARP包誰在說話、目標是誰、為什么必然能抓ARP 報文封裝在以太網幀里ethertype 固定為 0x0806。從抓包工具里看到的 ARP 請求包外層目的 MAC 是 FF:FF:FF:FF:FF:FF表示當前廣播域內所有主機都收得到。內核處理 ARP 請求時會先檢查發送方的 IP 是否和自己沖突再檢查目標 IP 是不是自己只有當目標 IP 匹配時才回復單播 ARP 應答。值得注意的關鍵字段不在頭部而在載荷中ARP 請求里同時攜帶 Sender MAC、Sender IP、Target MAC、Target IP。就算某臺主機只是單純想查詢網關的 MAC它自己的 MAC 和 IP 也已經隨請求廣播出去了。這帶來一個反常結論被動監聽者不需要發任何數據包只要網卡處于混雜模式就能在交換環境或鏡像端口上持續收集“當前在線主機的 MAC 與 IP 映射”。Windows 上的arp -a之所以能被大量掃描工具利用正是因為系統在收到或發出 ARP 報文后會把 Sender IP/MAC 寫入緩存。這個緩存的動態條目大約兩分鐘內未復用就會被清理但在此窗口內它提供了最近活躍主機的快照。換句話說arp -a讀到的不是全量資產而是“最近兩分鐘說過話的設備”理解了這一點就不會在布線環境里拿著 arp 表當一個網段的完整清單了。2.2 主動掃描與被動嗅探兩條拿主機MAC的不同路徑Anti ARP Sniffer v3.5 的“網絡嗅探”和“局域網掃描”是兩個獨立工作模式。嗅探模式不上行發包只接收掃描模式恰好相反靠主動發包逼目標回復再把回復中的 MAC 收回來記錄。方式是否發包目標可見條件典型命令/工具干擾與風險Ping 掃段是發 ICMP Echo目標 IP 棧必須回包防火墻可攔截for /L ... ping低但易漏禁 ping 主機主動 ARP 掃描是發 ARP Request目標與本機在同一廣播域且 ARP 棧正常arping、工具“掃描模式”低目標無感被動監聽否僅抓包只要目標發出任何幀含廣播、DNS、DHCPWireshark、嗅探器模式零探測風險需要鏈路可達主動 ARP 掃描比 ping 可靠原因有兩層。第一ICMP Echo 是三層協議很多終端防火墻默認丟棄而 ARP Request 發生在二層只要目標需要上網它的協議棧就必須回應否則它自己也無法通信。第二ARP 掃描不依賴目標是否開放端口所有廣播域內設備都在同一處理邏輯下不會出現“防火墻放行 HTTP 但禁 ping”這種不一致。被動監聽則是采集效率最高的方式但前提是交換機做了鏡像或者在 HUB 場景下否則只能收到發往本機的單播和廣播看不到旁路流量。工具里這幾種模式經常組合先被動嗅探十分鐘建立基線再用主動掃描去補全靜默設備。2.3 交換網絡里為什么會出“ARP攻擊”以及Anti的含義ARP 協議設計上存在一個信任缺陷應答包不需要對應請求包主機收到 ARP Reply 時通常直接更新緩存。攻擊者利用這一點發送免費 ARPGratuitous ARP聲稱“網關 IP 的 MAC 是我”同網段所有主機就會把網關映射改到攻擊者網卡上。這就是早期網吧局域網掉線、辦公網流量被截的常見原因。Anti ARP Sniffer 名稱里的“Anti”正是指它監聽并識別這類異常能力。程序通過持續記錄收到的 ARP 報文統計網關 IP 是否對應了多個 MAC或者在短時間內發生了異常更替一旦發現就告警并嘗試向受害者發送糾正應答。這里的難點不在識別而在“糾正”階段如果攻擊者每秒廣播多次偽造應答反復糾正會讓網絡持續震蕩反而放大故障。因此 v3.5 這類工具的防護參數里“檢測周期”和“響應動作”必須配合調下一章會給出實際取值建議。3. 動手做一遍用 Windows 命令和 v3.5 掃描網段并把MAC整理成表3.1 前置檢查網卡、驅動、管理員權限一個不能少運行掃描前先把本機狀態確認清楚。Windows 下打開管理員命令行執行ipconfig /all記錄當前活動網卡名稱和 IPv4 地址再用getmac /v查看本機所有網卡的物理地址。這一步看似多余但很多人就是倒在這里筆記本同時開著 VMware、VirtualBox、Hyper-V 虛擬網卡工具默認網卡選錯掃出來的 MAC 全是虛擬設備真實辦公網一臺也看不見。Anti ARP Sniffer v3.5 這類老牌工具在 Windows 10/11 上常見的問題是抓包驅動不兼容。多數 v3.x 時代工具依賴 WinPcap而新系統建議安裝 Npcap 并以兼容模式運行安裝后要確認工具狀態欄能列出活動網卡否則混雜模式沒有真正啟用。所有抓包與發送原始報文功能都需要管理員權限右鍵“以管理員身份運行”不是可選項否則打開的是界面實際收不到任何幀。調試網段時還有一個快速驗證方法把本機與目標設備接入同一臺傻瓜交換機命令行執行ping網關一次再運行arp -a查看是否出現網關條目。能看到條目說明本機 ARP 協議棧正常工具抓包大概率也沒問題如果這里就空先解決驅動和網卡選擇問題再往下走。3.2 先用手工命令確認網段資產ping arp -a nbtstat先不打開工具用一段批處理手工摸一遍目標網段把“哪些 IP 在線”搞清楚。假設本機在 192.168.1.0/24 網段打開管理員 CMD 執行for /L %i in (1,1,254) do ping -n 1 -w 300 192.168.1.%i | findstr TTL nul echo 192.168.1.%i online echo --- check arp --- arp -a這段命令里for /L %i in (1,1,254)是循環變量從 1 遞增到 254-n 1表示每個 IP 只發一個 ping 包-w 300是等待 300 毫秒超過就算超時。findstr TTL nul的作用是判斷回顯中是否包含存活主機的 TTL 字段一旦匹配就把在線 IP 打印出來。ping 結束后執行arp -a此時緩存里已包含所有回應過 ICMP 的主機 MAC。需要注意三個細節。第一-w 300對跨集線器網絡可能太短反應慢的舊設備會被漏掉可以放寬到 800 但整體掃描時間會拉長。第二如果目標主機禁 ping這一步不會出現在列表里但它只要回 ARP 請求就能被后續掃描發現。第三arp -a表項只在本機有效局域網內每臺機器的 ARP 緩存是獨立維護的不能用 A 機的緩存去推斷 B 機視野。拿到在線 IP 列表后可以用nbtstat -A 192.168.1.x查詢某些主機的 NetBIOS 名稱這正是老工具“主機名”列的來源。多數現代終端默認關閉 NetBIOS查不到名屬正常不代表設備離線。3.3 在 v3.5 圖形界面里跑一次完整掃描掃段、排序、識別廠商手工命令驗證過鏈路之后再打開 Anti ARP Sniffer v3.5 的掃描模塊。絕大多數同類工具的操作流程是一致的選擇物理網卡輸入起始 IP 與結束 IP設定超時時間點擊開始。這里有幾個參數會直接影響結果質量。超時時間建議設為 300–500ms而不是默認的 1000ms。理由很實際同廣播域內 ARP 響應是亞毫秒級的300ms 足夠覆蓋老舊網卡設太長會讓掃描在設備多時變得極慢設太短會漏掉休眠設備。并發掃描線程數如果可調辦公網建議 50 以內太高的并發會在一瞬間打爆交換機端口緩存造成 ARP 丟包。掃描結束后結果列表通常包含 IP、MAC、廠商、主機名。MAC 前 3 字節是 OUI對應網卡廠商工具內置 OUI 數據庫年份較早新設備顯示 unknown 很正常拿到前 3 字節去查在線 IEEE 數據庫即可。整理資產表時建議把 MAC 統一為小寫并用冒號分隔后續與防火墻、DHCP 預留表對比時格式一致能少很多無謂的返工。3.4 查一臺設備的上下線時間讓嗅探器自己記錄時間線arp -a只能告訴你“當前誰在”不能回答“這臺設備什么時候上線的、什么時候下線的”而設備審計里這兩項恰恰是高頻問題。常見做法是掛上 Anti ARP Sniffer 的嗅探模式持續抓取一段時間程序會按時間記錄每個 MAC 首次出現和最后活躍的時間戳。原理不復雜任何設備只要上線通信總會發出 ARP 請求、DNS 查詢或其他廣播幀只要被監聽到首次出現時間就是上線時間的近似值。對于極靜默設備比如只在上報數據時才開機的傳感器這個方法可能抓不到包需要結合交換機側信息。在三層交換機上執行display arp能看到 IP 與 MAC 映射但不能直接看到“上下線時刻”要精確定位應看 DHCP 地址分配日志或交換機接口 up/down 日志。V3.5 的嗅探時間線適合做“相對判斷”監控三天對比同一 MAC 的出現規律即可判斷它是常駐設備還是只在維護窗口現身這一步是排查非法接入設備最有效的手段。4. 不只會抓還要會防靜態ARP綁定、防護參數與交換機聯動4.1 把關鍵主機的MAC綁死netsh批量靜態ARPAnti ARP Sniffer 的防護功能里最直接的是“通信防護”模式指定網關 IP 和網關 MAC程序持續監聽發現網關 MAC 被偽造就干預。但在工具生效前Windows 本身也可以用靜態 ARP 綁定點位加固。命令行方式如下netsh interface ipv4 show neighbors netsh interface ipv4 set neighbors WLAN 192.168.1.1 00-11-22-33-44-55 netsh interface ipv4 delete neighbors WLAN 192.168.1.1show neighbors用于查看當前所有鄰居緩存set neighbors中WLAN必須是本機網卡的真實接口名IP 與 MAC 之間存在空格分隔MAC 使用中劃線格式。綁定后該條目在本機優先于動態 ARP即使局域網內有偽造應答本機依然把流量發送到真實網關。撤銷綁定時用delete neighbors注意命令在管理員權限下執行否則會報“拒絕訪問”。靜態綁定不適用于全員終端辦公網 IP 由 DHCP 動態分配終端 IP 一變舊的靜態條目立刻失效綁定反而引發斷網。合理范圍是網關、域控、文件服務器、打印機這幾類固定地址設備。每次維護后跑一遍第 3 章的手工掃描把關鍵設備的 MAC 對一次賬單再決定是否需要補綁。4.2 v3.5防護參數的推薦取值與副作用工具防護模塊的常見參數包括網關 IP、網關 MAC、檢測周期、白名單列表、告警后動作。下表是一份可在大多數辦公網直接套用的建議值但不區分現場網絡規模直接照抄是不可取的。參數作用建議值副作用與注意網關 IP要保護的設備地址與真實網關一致填錯導致對所有異常不告警網關 MAC合法網關的物理地址在網關設備上執行display arp或arp -a獲取MAC 帶空格會匹配失敗檢測周期每隔多久檢查一次緩存變化10–20 秒太短會在 DHCP 續租時誤報白名單允許的 MAC 列表包含虛擬機、多網卡服務器真實 MAC白名單越寬防護越弱告警后動作檢測到偽造后如何處理建議先“僅告警”運行一周自動恢復會在攻擊密集時震蕩檢測周期是最容易誤報的參數。虛擬化服務器、多網卡終端、無線路由器橋接都可能讓同一 IP 在一段時間內出現多個 MAC。如果周期設到 5 秒以內任何增刪綁定的維護操作都會觸發告警運維人員很快會疲勞。先評估基線再收緊動作比上來就開啟自動對抗可靠得多。4.3 二層防御不靠單機配合DHCP snooping與端口安全終端靜態綁定和工具告警解決的是“單機自保”非法設備換一個 IP 繼續欺騙時依然能影響其他主機。真正在邊界上兜底的是交換機側二層防護。常見組合是 DHCP Snooping、ARP 檢測與端口安全。以華為 VRP 為例基礎配置如下dhcp snooping enable interface GigabitEthernet0/0/1 port link-type access arp anti-attack check user-bind enable第一行開啟全局 DHCP Snooping交換機從此開始維護 IP-MAC-端口-VLAN 的綁定表進入接口視圖后arp anti-attack check user-bind enable表示只允許發送方 IP/MAC 與綁定表一致的 ARP 報文通過。Cisco 交換機上對應配置是全局ip arp inspection vlan 1接入端口默認視為不可信口。兩條路徑的目標一致讓“合法表之外”的 ARP 報文物。這里要說明防護邊界DHCP Snooping 判定的依據是 DHCP 報文形成的綁定表如果攻擊者偽造服務端發放 DHCP 地址DHCP 仿冒或接入端口是級聯口單靠 DA 上限仍然存在繞行可能。配合端口安全限制單端口 MAC 數量能進一步壓縮仿冒空間。工具與交換機聯動時我一般會把工具告警當快速定位手段交換機上的過濾配置當長期防護基線。5. 驗證掃描結果的兩三手Wireshark過濾、靜默主機識別、網關MAC值守腳本5.1 用Wireshark給掃描結果做一次抽檢掃描結果主動可信度并不高因為結果取決于目標當時的響應狀態。抽檢方法是打開 Wireshark在過濾器里分別輸入arp、arp.opcode 1、arp.duplicate-address-detected。第一條看全局 ARP 活動第二條只看請求包用于統計廣播域內有多少設備在主動詢問第三條是 Wireshark 的分析功能直接標出同一 IP 在短時間內被多個 MAC 宣告的數據包這就是 ARP 欺騙最直接的特征。如果第三條命中的數據對應的 MAC恰好不在第 3 章掃描清單里說明工具剛才漏掉了它需要重新掃描。5.2 識別平時不說話的主機有些設備打印機、門禁控制器、攝像頭長時間靜默但被攻擊后可能變成傀儡。被動嗅探模式下按時間窗口統計每個 MAC 的發包頻次識別那些僅出現一兩次的“影子主機”。如果該主機在線時間與業務時間完全不重疊它要么是維護終端要么是需要排查的臨時接入設備。5.3 一段PowerShell值守腳本盯住網關MAC工具掛機耗內存且老版本長時間運行有句柄泄漏風險。可以寫一段極簡 PowerShell 腳本只盯網關 MAC作為工具防護的補充$gatewayIp 192.168.1.1 $knownMac 00-11-22-33-44-55 $logFile $env:TEMP\arp_gateway_watch.log while ($true) { Test-Connection -ComputerName $gatewayIp -Count 1 -Quiet | Out-Null $line arp -a $gatewayIp | Select-String 192.168.1.1 if ($line -match ([0-9a-fA-F]{2}-){5}[0-9a-fA-F]{2}) { $currentMac $Matches[0].ToLower() if ($currentMac -ne $knownMac.ToLower()) { {0} WARN MAC{1} -f (Get-Date).ToString(yyyy-MM-dd HH:mm:ss), $currentMac | Tee-Object -FilePath $logFile -Append } } Start-Sleep -Seconds 10 }腳本先 ping 網關一次讓本機 ARP 緩存刷新隨后用arp -a提取網關條目里的 MAC 并做大小寫歸一化比對。不一致時向日志追加寫入警告。Tee-Object在這里同時負責輸出到控制臺和寫入文件。使用時把$knownMac替換為網關真實 MAC腳本在命令行前臺運行即可需要后臺值守時用計劃任務在系統啟動時以管理員身份啟動 PowerShell 并掛起該腳本。有了這一層即使 Anti ARP Sniffer 因驅動崩潰退出網關映射變化仍會留下痕跡。本文還有配套的精品資源點擊獲取 局域網ARP欺騙排查與防護：從ARP協議原理到Anti ARP Sniffer實戰
簡介面向網絡安全運維與局域網管理場景這份工具包提供 Anti ARP Sniffer v3.5 主程序及配套文檔可實時監控ARP請求/響應、掃描LAN內設備MAC地址幫助檢測和抵御ARP欺騙、中間人攻擊適合網絡管理員、安全愛好者及PC用戶自查網絡環境。壓縮包僅490KB共4個文件包含exe主程序、ini配置文件、htm幫助頁與txt說明文檔結構精簡、開箱即用目前已有723人學習下載輕量體積與實用功能是其鮮明特點。借助該工具讀者能獲得可執行程序、配置模板和圖文操作說明掌握ARP緩存監控、靜態ARP綁定、異常告警日志分析等防護手段htm與txt文檔還講解了ARP協議背景及嗅探器工作原理便于零基礎用戶理解威脅機制并完成基礎安全加固。整體而言這套資源提供了防ARP欺騙、MAC掃描的完整入門方案既適合日常安全自查也可作為理解ARP協議與網絡嗅探原理的實操示例。1. 網線沒斷卻“斷網”時Anti ARP Sniffer v3.5 在局域網里到底查什么辦公網里有一種很典型的故障電腦右下角網絡圖標正常QQ能登錄但網頁打開緩慢、內網服務器時通時斷甚至整個部門互相 ping 不通。此時排查順序很有講究——先看廣播報文量再查 ARP 映射關系而不是一上來就重啟防火墻。多數情況下肇事者是一臺被植入惡意程序或被人手動改了緩存的終端它不停發送偽造 ARP 應答把全網流量引向錯誤網卡。Anti ARP Sniffer v3.5 這個名字容易被誤讀它的“Anti”不是讓用戶防備嗅探器而是說程序自帶防 ARP 欺騙能力v3.5 這一代工具實際包含三塊功能——網絡嗅探、局域網掃描、以 MAC 地址為主鍵的主機清單整理。網絡運維排查二層故障、安全基線自查、嵌入式設備聯調都會用到它。老工程師用這類工具多數不是為了學協議而是想在一臺 Windows 電腦上完成抓包、掃描、綁定驗證的閉環。前提是先把 ARP 協議的行為和工具的工作模式對齊否則參數一錯就會漏報、誤報。2. 先從ARP協議看局域網掃描的原理arp -a、廣播請求與詳細包結構2.1 一個“詳細”的ARP包誰在說話、目標是誰、為什么必然能抓ARP 報文封裝在以太網幀里ethertype 固定為 0x0806。從抓包工具里看到的 ARP 請求包外層目的 MAC 是 FF:FF:FF:FF:FF:FF表示當前廣播域內所有主機都收得到。內核處理 ARP 請求時會先檢查發送方的 IP 是否和自己沖突再檢查目標 IP 是不是自己只有當目標 IP 匹配時才回復單播 ARP 應答。值得注意的關鍵字段不在頭部而在載荷中ARP 請求里同時攜帶 Sender MAC、Sender IP、Target MAC、Target IP。就算某臺主機只是單純想查詢網關的 MAC它自己的 MAC 和 IP 也已經隨請求廣播出去了。這帶來一個反常結論被動監聽者不需要發任何數據包只要網卡處于混雜模式就能在交換環境或鏡像端口上持續收集“當前在線主機的 MAC 與 IP 映射”。Windows 上的arp -a之所以能被大量掃描工具利用正是因為系統在收到或發出 ARP 報文后會把 Sender IP/MAC 寫入緩存。這個緩存的動態條目大約兩分鐘內未復用就會被清理但在此窗口內它提供了最近活躍主機的快照。換句話說arp -a讀到的不是全量資產而是“最近兩分鐘說過話的設備”理解了這一點就不會在布線環境里拿著 arp 表當一個網段的完整清單了。2.2 主動掃描與被動嗅探兩條拿主機MAC的不同路徑Anti ARP Sniffer v3.5 的“網絡嗅探”和“局域網掃描”是兩個獨立工作模式。嗅探模式不上行發包只接收掃描模式恰好相反靠主動發包逼目標回復再把回復中的 MAC 收回來記錄。方式是否發包目標可見條件典型命令/工具干擾與風險Ping 掃段是發 ICMP Echo目標 IP 棧必須回包防火墻可攔截for /L ... ping低但易漏禁 ping 主機主動 ARP 掃描是發 ARP Request目標與本機在同一廣播域且 ARP 棧正常arping、工具“掃描模式”低目標無感被動監聽否僅抓包只要目標發出任何幀含廣播、DNS、DHCPWireshark、嗅探器模式零探測風險需要鏈路可達主動 ARP 掃描比 ping 可靠原因有兩層。第一ICMP Echo 是三層協議很多終端防火墻默認丟棄而 ARP Request 發生在二層只要目標需要上網它的協議棧就必須回應否則它自己也無法通信。第二ARP 掃描不依賴目標是否開放端口所有廣播域內設備都在同一處理邏輯下不會出現“防火墻放行 HTTP 但禁 ping”這種不一致。被動監聽則是采集效率最高的方式但前提是交換機做了鏡像或者在 HUB 場景下否則只能收到發往本機的單播和廣播看不到旁路流量。工具里這幾種模式經常組合先被動嗅探十分鐘建立基線再用主動掃描去補全靜默設備。2.3 交換網絡里為什么會出“ARP攻擊”以及Anti的含義ARP 協議設計上存在一個信任缺陷應答包不需要對應請求包主機收到 ARP Reply 時通常直接更新緩存。攻擊者利用這一點發送免費 ARPGratuitous ARP聲稱“網關 IP 的 MAC 是我”同網段所有主機就會把網關映射改到攻擊者網卡上。這就是早期網吧局域網掉線、辦公網流量被截的常見原因。Anti ARP Sniffer 名稱里的“Anti”正是指它監聽并識別這類異常能力。程序通過持續記錄收到的 ARP 報文統計網關 IP 是否對應了多個 MAC或者在短時間內發生了異常更替一旦發現就告警并嘗試向受害者發送糾正應答。這里的難點不在識別而在“糾正”階段如果攻擊者每秒廣播多次偽造應答反復糾正會讓網絡持續震蕩反而放大故障。因此 v3.5 這類工具的防護參數里“檢測周期”和“響應動作”必須配合調下一章會給出實際取值建議。3. 動手做一遍用 Windows 命令和 v3.5 掃描網段并把MAC整理成表3.1 前置檢查網卡、驅動、管理員權限一個不能少運行掃描前先把本機狀態確認清楚。Windows 下打開管理員命令行執行ipconfig /all記錄當前活動網卡名稱和 IPv4 地址再用getmac /v查看本機所有網卡的物理地址。這一步看似多余但很多人就是倒在這里筆記本同時開著 VMware、VirtualBox、Hyper-V 虛擬網卡工具默認網卡選錯掃出來的 MAC 全是虛擬設備真實辦公網一臺也看不見。Anti ARP Sniffer v3.5 這類老牌工具在 Windows 10/11 上常見的問題是抓包驅動不兼容。多數 v3.x 時代工具依賴 WinPcap而新系統建議安裝 Npcap 并以兼容模式運行安裝后要確認工具狀態欄能列出活動網卡否則混雜模式沒有真正啟用。所有抓包與發送原始報文功能都需要管理員權限右鍵“以管理員身份運行”不是可選項否則打開的是界面實際收不到任何幀。調試網段時還有一個快速驗證方法把本機與目標設備接入同一臺傻瓜交換機命令行執行ping網關一次再運行arp -a查看是否出現網關條目。能看到條目說明本機 ARP 協議棧正常工具抓包大概率也沒問題如果這里就空先解決驅動和網卡選擇問題再往下走。3.2 先用手工命令確認網段資產ping arp -a nbtstat先不打開工具用一段批處理手工摸一遍目標網段把“哪些 IP 在線”搞清楚。假設本機在 192.168.1.0/24 網段打開管理員 CMD 執行for /L %i in (1,1,254) do ping -n 1 -w 300 192.168.1.%i | findstr TTL nul echo 192.168.1.%i online echo --- check arp --- arp -a這段命令里for /L %i in (1,1,254)是循環變量從 1 遞增到 254-n 1表示每個 IP 只發一個 ping 包-w 300是等待 300 毫秒超過就算超時。findstr TTL nul的作用是判斷回顯中是否包含存活主機的 TTL 字段一旦匹配就把在線 IP 打印出來。ping 結束后執行arp -a此時緩存里已包含所有回應過 ICMP 的主機 MAC。需要注意三個細節。第一-w 300對跨集線器網絡可能太短反應慢的舊設備會被漏掉可以放寬到 800 但整體掃描時間會拉長。第二如果目標主機禁 ping這一步不會出現在列表里但它只要回 ARP 請求就能被后續掃描發現。第三arp -a表項只在本機有效局域網內每臺機器的 ARP 緩存是獨立維護的不能用 A 機的緩存去推斷 B 機視野。拿到在線 IP 列表后可以用nbtstat -A 192.168.1.x查詢某些主機的 NetBIOS 名稱這正是老工具“主機名”列的來源。多數現代終端默認關閉 NetBIOS查不到名屬正常不代表設備離線。3.3 在 v3.5 圖形界面里跑一次完整掃描掃段、排序、識別廠商手工命令驗證過鏈路之后再打開 Anti ARP Sniffer v3.5 的掃描模塊。絕大多數同類工具的操作流程是一致的選擇物理網卡輸入起始 IP 與結束 IP設定超時時間點擊開始。這里有幾個參數會直接影響結果質量。超時時間建議設為 300–500ms而不是默認的 1000ms。理由很實際同廣播域內 ARP 響應是亞毫秒級的300ms 足夠覆蓋老舊網卡設太長會讓掃描在設備多時變得極慢設太短會漏掉休眠設備。并發掃描線程數如果可調辦公網建議 50 以內太高的并發會在一瞬間打爆交換機端口緩存造成 ARP 丟包。掃描結束后結果列表通常包含 IP、MAC、廠商、主機名。MAC 前 3 字節是 OUI對應網卡廠商工具內置 OUI 數據庫年份較早新設備顯示 unknown 很正常拿到前 3 字節去查在線 IEEE 數據庫即可。整理資產表時建議把 MAC 統一為小寫并用冒號分隔后續與防火墻、DHCP 預留表對比時格式一致能少很多無謂的返工。3.4 查一臺設備的上下線時間讓嗅探器自己記錄時間線arp -a只能告訴你“當前誰在”不能回答“這臺設備什么時候上線的、什么時候下線的”而設備審計里這兩項恰恰是高頻問題。常見做法是掛上 Anti ARP Sniffer 的嗅探模式持續抓取一段時間程序會按時間記錄每個 MAC 首次出現和最后活躍的時間戳。原理不復雜任何設備只要上線通信總會發出 ARP 請求、DNS 查詢或其他廣播幀只要被監聽到首次出現時間就是上線時間的近似值。對于極靜默設備比如只在上報數據時才開機的傳感器這個方法可能抓不到包需要結合交換機側信息。在三層交換機上執行display arp能看到 IP 與 MAC 映射但不能直接看到“上下線時刻”要精確定位應看 DHCP 地址分配日志或交換機接口 up/down 日志。V3.5 的嗅探時間線適合做“相對判斷”監控三天對比同一 MAC 的出現規律即可判斷它是常駐設備還是只在維護窗口現身這一步是排查非法接入設備最有效的手段。4. 不只會抓還要會防靜態ARP綁定、防護參數與交換機聯動4.1 把關鍵主機的MAC綁死netsh批量靜態ARPAnti ARP Sniffer 的防護功能里最直接的是“通信防護”模式指定網關 IP 和網關 MAC程序持續監聽發現網關 MAC 被偽造就干預。但在工具生效前Windows 本身也可以用靜態 ARP 綁定點位加固。命令行方式如下netsh interface ipv4 show neighbors netsh interface ipv4 set neighbors WLAN 192.168.1.1 00-11-22-33-44-55 netsh interface ipv4 delete neighbors WLAN 192.168.1.1show neighbors用于查看當前所有鄰居緩存set neighbors中WLAN必須是本機網卡的真實接口名IP 與 MAC 之間存在空格分隔MAC 使用中劃線格式。綁定后該條目在本機優先于動態 ARP即使局域網內有偽造應答本機依然把流量發送到真實網關。撤銷綁定時用delete neighbors注意命令在管理員權限下執行否則會報“拒絕訪問”。靜態綁定不適用于全員終端辦公網 IP 由 DHCP 動態分配終端 IP 一變舊的靜態條目立刻失效綁定反而引發斷網。合理范圍是網關、域控、文件服務器、打印機這幾類固定地址設備。每次維護后跑一遍第 3 章的手工掃描把關鍵設備的 MAC 對一次賬單再決定是否需要補綁。4.2 v3.5防護參數的推薦取值與副作用工具防護模塊的常見參數包括網關 IP、網關 MAC、檢測周期、白名單列表、告警后動作。下表是一份可在大多數辦公網直接套用的建議值但不區分現場網絡規模直接照抄是不可取的。參數作用建議值副作用與注意網關 IP要保護的設備地址與真實網關一致填錯導致對所有異常不告警網關 MAC合法網關的物理地址在網關設備上執行display arp或arp -a獲取MAC 帶空格會匹配失敗檢測周期每隔多久檢查一次緩存變化10–20 秒太短會在 DHCP 續租時誤報白名單允許的 MAC 列表包含虛擬機、多網卡服務器真實 MAC白名單越寬防護越弱告警后動作檢測到偽造后如何處理建議先“僅告警”運行一周自動恢復會在攻擊密集時震蕩檢測周期是最容易誤報的參數。虛擬化服務器、多網卡終端、無線路由器橋接都可能讓同一 IP 在一段時間內出現多個 MAC。如果周期設到 5 秒以內任何增刪綁定的維護操作都會觸發告警運維人員很快會疲勞。先評估基線再收緊動作比上來就開啟自動對抗可靠得多。4.3 二層防御不靠單機配合DHCP snooping與端口安全終端靜態綁定和工具告警解決的是“單機自保”非法設備換一個 IP 繼續欺騙時依然能影響其他主機。真正在邊界上兜底的是交換機側二層防護。常見組合是 DHCP Snooping、ARP 檢測與端口安全。以華為 VRP 為例基礎配置如下dhcp snooping enable interface GigabitEthernet0/0/1 port link-type access arp anti-attack check user-bind enable第一行開啟全局 DHCP Snooping交換機從此開始維護 IP-MAC-端口-VLAN 的綁定表進入接口視圖后arp anti-attack check user-bind enable表示只允許發送方 IP/MAC 與綁定表一致的 ARP 報文通過。Cisco 交換機上對應配置是全局ip arp inspection vlan 1接入端口默認視為不可信口。兩條路徑的目標一致讓“合法表之外”的 ARP 報文物。這里要說明防護邊界DHCP Snooping 判定的依據是 DHCP 報文形成的綁定表如果攻擊者偽造服務端發放 DHCP 地址DHCP 仿冒或接入端口是級聯口單靠 DA 上限仍然存在繞行可能。配合端口安全限制單端口 MAC 數量能進一步壓縮仿冒空間。工具與交換機聯動時我一般會把工具告警當快速定位手段交換機上的過濾配置當長期防護基線。5. 驗證掃描結果的兩三手Wireshark過濾、靜默主機識別、網關MAC值守腳本5.1 用Wireshark給掃描結果做一次抽檢掃描結果主動可信度并不高因為結果取決于目標當時的響應狀態。抽檢方法是打開 Wireshark在過濾器里分別輸入arp、arp.opcode 1、arp.duplicate-address-detected。第一條看全局 ARP 活動第二條只看請求包用于統計廣播域內有多少設備在主動詢問第三條是 Wireshark 的分析功能直接標出同一 IP 在短時間內被多個 MAC 宣告的數據包這就是 ARP 欺騙最直接的特征。如果第三條命中的數據對應的 MAC恰好不在第 3 章掃描清單里說明工具剛才漏掉了它需要重新掃描。5.2 識別平時不說話的主機有些設備打印機、門禁控制器、攝像頭長時間靜默但被攻擊后可能變成傀儡。被動嗅探模式下按時間窗口統計每個 MAC 的發包頻次識別那些僅出現一兩次的“影子主機”。如果該主機在線時間與業務時間完全不重疊它要么是維護終端要么是需要排查的臨時接入設備。5.3 一段PowerShell值守腳本盯住網關MAC工具掛機耗內存且老版本長時間運行有句柄泄漏風險。可以寫一段極簡 PowerShell 腳本只盯網關 MAC作為工具防護的補充$gatewayIp 192.168.1.1 $knownMac 00-11-22-33-44-55 $logFile $env:TEMP\arp_gateway_watch.log while ($true) { Test-Connection -ComputerName $gatewayIp -Count 1 -Quiet | Out-Null $line arp -a $gatewayIp | Select-String 192.168.1.1 if ($line -match ([0-9a-fA-F]{2}-){5}[0-9a-fA-F]{2}) { $currentMac $Matches[0].ToLower() if ($currentMac -ne $knownMac.ToLower()) { {0} WARN MAC{1} -f (Get-Date).ToString(yyyy-MM-dd HH:mm:ss), $currentMac | Tee-Object -FilePath $logFile -Append } } Start-Sleep -Seconds 10 }腳本先 ping 網關一次讓本機 ARP 緩存刷新隨后用arp -a提取網關條目里的 MAC 并做大小寫歸一化比對。不一致時向日志追加寫入警告。Tee-Object在這里同時負責輸出到控制臺和寫入文件。使用時把$knownMac替換為網關真實 MAC腳本在命令行前臺運行即可需要后臺值守時用計劃任務在系統啟動時以管理員身份啟動 PowerShell 并掛起該腳本。有了這一層即使 Anti ARP Sniffer 因驅動崩潰退出網關映射變化仍會留下痕跡。本文還有配套的精品資源點擊獲取