前阵儿办公室里那台老电脑又闹“离奇断网”：WiFi信号满格，微信收不到消息，网页一片白，其他同事却都正常。IT同事排查了半天，最后查ARP缓存表才发现——网关的MAC地址被人替换了。这就是典型的ARP攻击，一种只在局域网里作妖的信任欺骗手段。它的招牌动作有两套：让你断网、让你的流量被人劫持。这篇文章我用自己的实验环境完整走一遍ARP攻击流程演示，把断网和流量劫持两个场景的底层原理、每一步命令含义、各种翻车点都摊开聊清楚。适合正在学网络基础、准备网安面试、或者想搞明白“为什么同一WiFi下有人总断网”的朋友，看完你不仅能复现实验，还能顺手看懂一堆网络修复工具到底在修什么。
1. 先搞懂机制：ARP协议是怎么被钻空子的
想要玩转ARP攻击，第一件事不是记命令，而是把ARP协议本身吃透。这个协议设计于上世纪80年代，当时网络环境远没现在复杂，设计者的优先级是“能通”，而不是“防骗”，所以你会看到一个在现代眼光看来几乎裸奔的信任模型。
1.1 一次正常通信里ARP做了什么
先说个基础但必须说透的点：在同一个以太局域网内，两台设备通信用的其实是MAC地址，不是IP地址。IP地址是逻辑地址，负责跨网络寻址，但真正到网线/空气里传输时，封装在数据链路层帧头里的目标地址，必须是接收方网卡的MAC地址。这就需要一个“从IP到MAC”的翻译机制，ARP就是干这个的。
假设我的电脑A要访问网关192.168.1.1，A会先查自己本地的ARP缓存表里有没有192.168.1.1对应的MAC。有就直接封装数据帧；没有，就向整个广播域发送一个ARP请求：“谁是192.168.1.1？请把你的MAC地址告诉我。”这个请求是广播的，同一网段所有设备都能收到，但只有IP为192.168.1.1的网关会应答：“我是192.168.1.1，我的MAC是xx:xx:xx:xx:xx:xx。”随后A把这个映射关系写入ARP缓存表，再正式发送数据。
这里有个容易被忽略的细节：A发出的ARP请求包里面，已经包含A自己的IP和MAC，所以网关收到请求后，也会把A的IP-MAC映射写进它自己的ARP缓存表。这意味着ARP的学习是双向的。换句话说，如果一个攻击者主动发一个“我是网关”的回复，目标设备根本不会验证这是不是对某个请求的应答，而是直接信任并刷新缓存表。这个“来者不拒”的特性，是所有ARP攻击的命门。
1.2 为什么ARP“天生不设防”
最核心的问题在于：ARP应答不携带任何认证信息。它不会检查“我明明没问过你，你为什么要告诉我网关的MAC？”更不会验证“你声称自己是网关，你有没有证据”。只要攻击者伪造的ARP应答在网络里被目标收到，目标的ARP缓存表就会被覆盖。
另外一个加剧问题的机制是“缓存表静默更新”。很多操作系统对ARP缓存采取“新的应答就覆盖旧条目”的策略，尤其是当新条目和旧条目不一致时，有些系统会直接采用新值而非拒绝。这就给攻击者留了很大的操作空间——不需要让目标重启或断网，只要持续发送伪造的ARP包，就能把目标的缓存表稳定地刷成攻击者想要的地址。
我打个比方，ARP缓存表就像小区门卫的通话录，上面记着“301室是张先生，302室是李小姐”。某天有个不认识的人跑来对门卫说：“302室以后不是李小姐了，是我。”门卫既不核对身份证，也不打电话问302室，直接就把通话录改了。ARP攻击干的就是这么件事。
1.3 攻击的两种模型：断网与劫持
基于上面的机制，同网段攻击者可以设计出两种目标效果：
断网效果：攻击者持续告诉目标设备“网关真正的MAC是我的MAC”。目标设备的所有上网流量本来应该发到网关，现在全被发到了攻击者网卡上。如果攻击者不做任何转发动作，这些数据包全部被丢弃，目标自然就“有信号但没网络”。
流量劫持效果：攻击者同时欺骗目标设备和网关：对目标说“我就是网关”，对网关说“我就是目标”。这样一来目标的上网数据先到攻击者，攻击者再转交给真网关；网关回的包也先到攻击者，攻击者再转交给目标。攻击者就成了两个人通信的中间传话筒，也就是公认的中间人位置，此时不仅可以看，还能改。
这两种效果，前者只需要单向欺骗，后者需要双向欺骗。理解了这个区别，后面所有命令你都能看明白。
2. 搭建实验环境：三个系统一台戏
老实说，搞网络攻击实验最怕的就是拿真实网络下手，不仅会惹麻烦，还可能把家里路由器的缓存表搞乱，造成全家断网的惨剧。我的建议是全部用虚拟机加虚拟网络，随便折腾，快照一还原又恢复正常。
2.1 网络拓扑与角色分工
这次实验我准备了三个角色：
- 攻击机：Kali Linux 2023（VMware虚拟机），网卡eth0，IP 192.168.1.20。
- 靶机：Windows 10（另一台虚拟机），IP 192.168.1.100。
- 网关：虚拟网络里模拟的出口网关，IP 192.168.1.1。
如果你的环境里已经有物理路由器并且IP段是192.168.1.x，用桥接模式也行。但我强烈建议用VMware的Host-only或者自定义VMnet网络，把三台设备放进同一个隔离网段，例如都设置为192.168.1.0/24网段，网关也放在虚拟机层面。这样做的好处是你对网络拓扑有完全控制权，抓包时不会被宿主机真实流量干扰。
拓扑的核心要求只有一个：攻击机和靶机必须在同一个广播域，也就是同一个网段，并且中间没有任何路由器隔离。ARP是数据链路层协议，它只在同一网段内生效，跨网段或隔着三层交换机的设备之间，直接人手伪造的ARP包是到不了的。你可以在实验前用ping连通性测试确认两台虚拟机互通，通了才能继续。
2.2 工具准备：不只是arpspoof
断网和劫持的核心工具是arpspoof，它来自Kali里的dsniff工具集，通常系统自带。如果提示找不到，就用apt安装dsniff：
sudo apt update && sudo apt install dsniff另外我还会用到tcpdump抓包验证劫持效果。Wireshark也行，但纯命令行环境下tcpdump更轻便，而且过滤条件写起来非常灵活：
sudo tcpdump -i eth0 -A host 192.168.1.100如果对ARP报文本身想看得更深，可以手动把包打到Wireshark里用图形界面慢慢看，那就是后话了。
这里插一句：很多人上来就敲命令，结果半天没反应。我总结下来，大概率是工具没装全、防火墙开着、或者网卡接口名写错了。Kali的网卡接口名通常叫eth0，但也有叫ens33、ens160的，实验前务必用ip a确认一下。
2.3 动手前的三个自查项
开启系统IP转发。这个参数至关重要，它决定目标流量到达攻击机之后，是被丢弃还是被转交给网关。断网场景不需要开启转发，甚至必须确保它是关闭的；劫持场景则必须开启。我们先用sysctl查看默认值：
sysctl net.ipv4.ip_forward返回0表示关闭，返回1表示开启。如果需要开启，执行：
sudo sysctl -w net.ipv4.ip_forward=1这个参数重启后会被重置为内核默认值，实验前重新检查一遍就好。
确认攻击机与靶机的MAC地址和IP绑定关系。在攻击机上用ip a看自己的MAC，在靶机上用ipconfig /all看自己的IP和MAC。之所以要先把双方底细摸清，是因为后续不管是验证攻击效果还是排查问题，都依赖这些基本信息。
关掉攻击机的防火墙。Kali默认一般没有防火墙拦截，但如果你在Ubuntu上跑arpspoof，就得注意ufw状态。顺便说一句，靶机那边Windows防火墙不用刻意关，ARP协议本身被防火墙放行的概率很高，实测Windows 10默认设置下，欺骗依然有效。但如果靶机弹出了“检测到网络地址冲突”的提示，那是正常现象，反而说明欺骗包已经送到了。
3. 断网攻击实操：让目标眼看着WiFi却上不了网
断网攻击是ARP法则最直白的应用场景，它只做一件事：告诉目标“网关的MAC是我”。目标信了之后，所有发向网关的流量全部发到攻击机，而攻击机不做转发，目标自然断网。整个过程在几秒内生效，而且目标上不会有任何弹窗，网络图标甚至会显示“已连接”，非常隐蔽。
3.1 arpspoof命令的逐参数拆解
先说最核心的那条命令：
sudo arpspoof -i eth0 -t 192.168.1.100 192.168.1.1参数分别表示：
- -i eth0：指定攻击机使用的网卡接口。
- -t 192.168.1.100：指定被欺骗的目标机器IP。
- 192.168.1.1：指定攻击者要冒充的IP，也就是网关地址。
读这条命令可以理解为：在eth0口上，周期性地向192.168.1.100发送ARP应答，告诉它“192.168.1.1的MAC实际上是我”。注意这里的MAC地址不需要显式写出来，arpspoof会自动使用攻击机当前网卡的MAC。
实际操作时往往还需要加一个参数-d，表示欺骗方向，尤其是当你只需要单向欺骗时。不过在我的Kali版本上，默认的双向欺骗会在第二条命令出现前不停发送；为了实验清晰，我先用单向命令演示断网。
命令启动后，它并不是发一个包就结束，而是每隔几秒就重新发送一次伪装ARP应答。这是为了对抗ARP缓存表的“自然过期”机制。大多数系统的ARP缓存表项会在一两分钟内过期，如果攻击者只发一次，目标会短暂断网，但缓存表超时后重新发出ARP请求，又能学习到网关真实MAC，网络就自动恢复了。持续发送的目的，就是让对方永远刷新成错误的MAC。
3.2 完整断网实操步骤
第一步，在攻击机上确认网卡名后，先打开转发开关检查，断网场景要确保转发是关闭的。如果之前开过IP转发，先关掉：
sudo sysctl -w net.ipv4.ip_forward=0第二步，对靶机执行单向欺骗命令：
sudo arpspoof -i eth0 -t 192.168.1.100 192.168.1.1执行后终端会一直滚动发送伪造应答的日志，类似“sent 42 arp replies”。看到这个输出说明欺骗包已经在持续发送。
第三步，回到靶机上验证ARP缓存表是否被污染。Windows下用管理员权限打开命令行：
arp -a正常情况下你应该看到这样一条记录：
192.168.1.1 xx-xx-xx-xx-xx-xx 动态这里xx开头的MAC地址应该是攻击机网卡的MAC，而不是真实网关的MAC。看到这一点，就说明欺骗已经成功植入目标缓存表。
第四步，在靶机上执行ping测试：
ping 192.168.1.1 -t你会发现请求超时，但这不是因为网关挂了，而是因为目标发出的数据帧都被攻击机丢弃了。靶机虽然“以为自己在访问网关”，实际上所有数据都发到了攻击机的未知黑洞里。再打开浏览器试试，网页永远转圈。
第五步，验证结束后，建议把靶机的ARP缓存表强制重置一次，避免后续实验受到影响。可以先禁用再启用网卡，或者在靶机上执行：
arp -d *这时靶机再次发起正常ARP请求，才能学习到真实网关MAC。
3.3 为什么“看着有网，实际没网”
这一步如果想深一层，就会更有意思。靶机收到伪造ARP应答后，缓存表里192.168.1.1对应的MAC已经变成了攻击机的MAC。于是，当靶机想访问外部网络时，它把去往网关的IP包封装在以太网帧里，帧头的目标MAC填的是攻击机的MAC，直接把数据发给了攻击机。
如果攻击机没开启转发，这块网卡收到数据包后，内核一看目标IP不是自己的，又没有转发功能，就地丢弃。靶机发出的一切全都被吞掉了，外网当然不通。
至于为什么靶机的网卡上仍然显示“已连接”、WiFi信号满格？因为网卡连接的是无线链路，它代表的是物理连接状态，和逻辑上的“能不能上网”完全是两码事。这个细节也是很多运维新手刚被ARP断网攻击搞懵的原因：他们反复排查网线、WiFi信号、驱动、DNS，唯独忘了ARP缓存。
3.4 实际操作中的两个隐藏坑
第一个坑，arpspoof命令是不可中断型的，它会一直跑到你按Ctrl+C。停止的时候注意，Ctrl+C后伪造ARP应答停止发送，但靶机缓存表里的错误条目并不会立刻消失，得等它自然超时或手动清除。所以测试完务必去靶机执行arp -d *，否则靶机会持续断网，搞不清状况的人还以为网络彻底坏了。
第二个坑，arpspoof工作时攻击机自己的网络可能也会变卡。因为攻击机收下了靶机发给“网关”的全部数据帧，虽然丢弃了，但网卡负载和内核协议栈处理会增加。如果靶机开着大流量下载，攻击机可能会有明显卡顿。独臂模式下这是正常的，不用慌。
4. 流量劫持实操：把“掐网”升级成“偷看”
断网只是让人难受，流量劫持才是ARP攻击真正有攻击力的玩法。同样是利用伪造应答，攻击者不仅能骗目标把流量交出来，还会开启转发，把流量再转交给真实网关，让目标完全感知不到异常，上下行数据却全部经过攻击者。本质上这是一个典型的中间人攻击场景。
4.1 打开IP转发，这是劫持的灵魂
与断网场景最大的区别就是这一行命令：
echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward或者更保险的写法：
sudo sysctl -w net.ipv4.ip_forward=1 cat /proc/sys/net/ipv4/ip_forward确认输出是1，说明内核已经把攻击机变成了一个转发节点。不开启这项，所有到攻击机的数据包都会被丢弃，目标会掉进断网状态，劫持也就无从谈起了。
为什么必须有这一步？因为攻击机要扮演的是“中转站”：靶机的数据帧到攻击机后解封装，把内部IP包再次封装发向网关；网关的响应包到达攻击机后，再重新封装发给靶机。这个转发动作必须由内核完成，光靠用户态工具做不到。
4.2 双向欺骗的正确姿势
流量劫持的完整方案需要两条arpspoof命令，分别欺骗两端的ARP缓存：
先欺骗靶机，告诉它“我是网关”：
sudo arpspoof -i eth0 -t 192.168.1.100 192.168.1.1再新开一个终端，欺骗网关，告诉它“我是靶机”：
sudo arpspoof -i eth0 -t 192.168.1.1 192.168.1.100为什么要双向欺骗？因为网关收到来自靶机的TCP请求后，响应包要发送给一个IP为192.168.1.100的设备。正常情况下，网关会查它的ARP缓存表，发现192.168.1.100对应靶机的MAC，就会直接把响应包发回靶机。攻击者想看到这段响应，就必须让网关以为192.168.1.100的MAC是攻击机的，所以必须向网关伪造一次ARP应答。
两条命令同时运行后，攻击机的网卡会收到两条完全不同的数据流：从靶机来的“上行”，从网关来的“下行”。转发起效后，目标完全无感；抓包者还能看到完整的双向会话内容。我建议两条命令分别放在两个终端窗口跑，这样出问题时好排查是哪个方向断了。
4.3 抓包验证：亲眼看到账号密码出现在屏幕上
劫持效果到底有没有生效，不能靠“感觉”，得用数据说话。在攻击机的第三个终端窗口执行：
sudo tcpdump -i eth0 -A -s 0 host 192.168.1.100其中-A表示以ASCII格式显示数据包内容，-s 0表示抓完整的包不截断。这个命令会在屏幕上实时滚动所有经过攻击机网卡的、与靶机相关的数据流。
为了让验证更直观，我在靶机浏览器里访问了一个HTTP测试站点，并提交了一个测试账号“testuser”，密码“123456”。没过几秒钟，tcpdump输出中就出现了完整的HTTP POST请求内容，包含明文表单字段和密码。这个操作请你一定放在自己可控的实验环境里做，不然不仅违法，还会给自己惹上大麻烦。
这里有个值得思考的点：我能看到密码，是因为HTTP协议本身是明文传输。如果目标访问的是HTTPS网站，攻击者抓到的只是一堆加密后的乱码，密码不会直接暴露。但别高兴太早，劫持位置依然能篡改页面内容、注入恶意脚本、配合SSL剥离等手段降级加密连接。ARP劫持配合更高级的攻击链，一直是现实世界里的常见入侵路径。
除了tcpdump，我也推荐用Wireshark在攻击机上监听eth0，过滤条件写：
ip.addr == 192.168.1.100 && http图形界面里按Ctrl+R追踪TCP流，可以直接看到完整的HTTP会话，比纯命令行滚动体验好很多。另外，如果你装了ettercap，它自带的“sniff远程连接密码”功能甚至会把密码整理成列表显示，不过实际操作中我还是更推荐Wireshark，追根溯源时看得更细。
4.4 中间人效果的自检清单
攻击机上执行：
ip neigh你会看到192.168.1.100和192.168.1.1的条目都在，且对应的MAC都是同一个，也就是攻击机自己的MAC。这是典型的“一人分饰两角”状态，说明双向欺骗成功建立。
在靶机上反复浏览几个网页后，攻击机的终端显示流量持续增加，说明目标流量确实经过攻击机。如果只是偶尔几条，那可能是目标设备的系统在发送背景流量，没真正打开网页。
最后一步尤其重要：按Ctrl+C结束两条arpspoof命令，然后立即进入靶机执行arp -d *清空缓存，或者重启目标网络。如果不手动清，错误缓存可能留存一两分钟甚至更久，目标还会持续断网。这种“明明攻击都停了，网络却还没恢复”的情况，是初学者最容易以为是系统故障的坑。
5. 常见问题与排查技巧实录
实验做得多了，必然会翻车。我把自己踩过的、以及帮别人排查过的典型问题整理成一个速查表，你要是在复现时遇到同样的情况，对着表查就行。
| 症状 | 可能原因 | 排查与解决方案 |
|---|---|---|
| arpspoof提示device not found | 网卡接口名不对 | 用ip a确认实际接口名，替换-i参数 |
| 欺骗命令执行了，但靶机ARP表没变化 | 攻击机和靶机不在同一广播域 | 检查虚拟机网络模式/网段，用ping验证互通 |
| 靶机ARP表变了，但还能上网 | 攻击机开启了IP转发，流量被正常转发 | 断网场景需关闭转发，劫持场景则需要开启 |
| 劫持时目标网络很慢但没断 | 双向欺骗不完整，流量只转发了一半 | 补上另一条arpspoof命令并持续运行 |
| 抓包全是checksum错误 | Wireshark自动忽略了卸载校验 | 在Preferences里关掉UDP/TCP校验和验证即可 |
| 靶机弹出“网络地址冲突”提示 | 欺骗效果已被系统感知 | 这是正常现象，不影响实验继续 |
5.1 目标机器上的验证命令
如果你想判断自己有没有被ARP欺骗，最直接的方法是查看网关MAC是不是正确。Windows下：
arp -a 192.168.1.1Linux下：
ip neigh show | grep 192.168.1.1把查到的MAC和路由器管理后台里的MAC比较，不一致就是出问题了。特别是手机上突然扫码上了WiFi却打不开网页时，先看网关MAC对不对，往往比重启路由器快得多。
很多人遇到这种状况会上网搜各种断网修复工具，比如搜索里经常出现的“360断网急救箱独立版”。这类工具的核心原理，说白了就是重新发出正确的ARP广播、重置被污染的本机ARP缓存表、把网关绑定回正确状态。它是在事后帮你“还原现场”，属于补救手段。理解了ARP欺骗的底层机制，你就明白这类工具为什么能治“信号满格但上不了网”的怪病。
5.2 攻击端的典型翻车点
我总结下来最容易翻车的就三个点。第一个是接口名写错，Kali虚拟机网卡名在各个版本里差异挺大，我见过好几个人拿着eth0跑命令结果No such device；第二个是忘记开转发，跑劫持实验却发现目标断网，回头一看ip_forward还是0；第三个是两条arpspoof命令只开了一条，只骗了靶机没骗网关，抓包永远只有一半流量。
如果你用的虚拟机网卡是NAT模式，还需要确认虚拟网卡本身支持混杂模式。Wireshark抓不到包或只抓到广播时，在虚拟网络编辑器里把网卡属性改成“允许混杂模式”，或者在虚拟机设置里勾选混杂模式选项，二次确认一下。
5.3 实验环境的“善后”操作
每次实验结束，建议按顺序做三件事：关闭所有arpspoof进程、关闭IP转发、清空靶机ARP缓存。用killall直接清理进程也行：
sudo killall arpspoof echo 0 | sudo tee /proc/sys/net/ipv4/ip_forward接着回到靶机清理ARP缓存。Windows下是arp -d *，Linux靶机是sudo ip neigh flush all。如果你用的是虚拟机且创建过快照，直接回滚到攻击前状态反而最快，这也是我一直推荐快照的原因。实验环境嘛，确保干干净净，方便下次再战。
6. 防御方案：从原理出发反制ARP欺骗
攻击学明白了，防御思路自然也就清晰了。ARP协议本身没有认证机制，所以防御要么管住缓存表，要么管住网络设备。
6.1 静态ARP绑定：最直接的个人防御
个人电脑上最粗暴有效的办法，是把网关IP和MAC写死到ARP缓存表。Windows下用管理员权限执行：
arp -s 192.168.1.1 a1-b2-c3-d4-e5-f6这里MAC地址务必填真实网关MAC，可以用路由器管理后台查，或者在没被攻击时先用arp -a查看缓存表记录下来。绑定后，Windows不再接受针对该IP的新ARP应答，伪造包没有效果了。
但静态绑定有个致命弱点：无法持久化。有些系统重启后会清除通过arp -s写入的静态表项，导致绑定失效。如果你希望长期生效，就得依赖联网安全软件做内核层防护，或者把绑定脚本做成开机自启动任务。个人电脑上我一般建议把网关绑定写成批处理脚本，开机顺手跑一遍：
@echo off arp -s 192.168.1.1 a1-b2-c3-d4-e5-f6在路由器上也可以做IP-MAC绑定，把合法设备的MAC地址锁定到固定IP上，这样即使ARP应答被伪造，交换机也会基于绑定表丢弃非法来源的报文。
6.2 网络设备端：DHCP Snooping与端口安全
如果你是网络管理员，光靠个人绑定就太被动了。比较靠谱的是在交换机上做二层防护。思科交换机有DHCP Snooping加DAI（Dynamic ARP Inspection），华三、华为也有类似功能。DAI的工作原理很直白：交换机只转发那些源MAC、源IP、端口对应关系和DHCP Snooping表一致的ARP报文。攻击者伪造的ARP应答包在交换机这一层就被丢了，根本到不了目标设备的网卡。
配置DAI的基础条件是交换机得先为这个VLAN启用DHCP Snooping，把合法DHCP响应限定在上联口，才能建立可信的IP-MAC-端口映射关系。这个过程需要一定网络基础，但逻辑上和静态绑定完全一致，只是把防线从终端挪到了基础设施。
家用路由器层面没有DAI，但部分高端路由器自带ARP防护功能，可以在管理后台里找到“IP与MAC绑定”或“防ARP欺骗”选项，直接开启即可。我的体会是，家用网线下人还是比较少，最大的安全威胁往往来自家里装了破解软件的设备，它如果有ARP攻击能力，整个家庭网络会瞬间瘫痪。
6.3 个人巡检习惯：不需要高深技能
就算没有专业防护软件，养成两个习惯也够了。一个是通过抓包看网关频繁发送ARP应答。正常情况下网关只在请求到来时才应答，如果它疯狂广播应答，大概率网关设备本身中了毒或者有人在冒充它。
另一个是定期核对ARP缓存表里的网关MAC。Windows的arp -a、Linux的ip neigh，都能一眼看出网关MAC有没有变化。安全人员在排查“某台电脑时不时断网”时，最先做的事就是抓网关MAC是否漂移。我认识的老网工基本都练出了这种条件反射：网络不明原因变慢或断流，第一查ARP，第二查广播风暴。
我知道很多朋友看到这儿可能手痒，想立刻找个环境验证一下。没问题，但请你务必记住：ARP攻击只适合在虚拟机隔离环境里做实验，也适合用在自己拥有授权的网络设备上做安全测试。一旦拿它去搞同事、同学、邻居的电脑，性质就从技术研究变成了攻击行为。技术在手里是放大镜还是螺丝刀，取决于你怎么用。如果哪天真遇上了被ARP攻击的情况，我希望你首先想到的是保护好自己网络的正当权益，而不是反过来研究如何在更多设备上扩大战果。这层边界，什么时候都不能丢。
