chris 7-7-2005 13:27
對付ARP Spoofing的一個備用手段
本機IP : 74.74.74.44
網路介面號 : 65539(可用route.exe print看到)
子網路遮罩 : 255.255.255.0
閘道IP : 74.74.74.74
閘道MAC : 00-74-74-74-74-74(先ping.exe 74.74.74.74，後arp.exe -a查看)
任意外網IP : 1.1.1.1
route.exe delete 0.0.0.0
arp.exe -d 74.74.74.74
arp.exe -s 1.1.1.1 00-74-74-74-74-74
cscript.exe //nologo route.vbs add 0.0.0.0 0.0.0.0 1.1.1.1 1 65539
如果沒有route.vbs，請直接通過GUI介面修改缺省路由，route.exe可能無法完成最後一步操作。
這樣處理之後，本機仍可正常出閘道，好好想想為什麼。假設有人在同一子網內進行ARP Spoofing攻擊，為了完成有效監聽，他必須刷本機ARP Cache中的閘道項，但現在他不易猜測出1.1.1.1這個位址，也就無從刷起。至少本機到閘道的流量不會經過攻擊者所在主機。
這一備用手段有可能用於Windows 9x/NT/2000。這些系統上"arp.exe -s"所設定的靜態項仍受ARP Spoofing影響，會被刷新，如果不想動用個人防火牆，不妨一試。
對於Windows XP/2003，"arp.exe -s"所設定的靜態項不受ARP Spoofing影響，不會被刷新，因此可以直接綁定閘道IP與閘道MAC，不必嘗試這裏介紹的備用手段。