1.8吋固態硬碟，ZIF、LIF接口pATA硬碟和相關適配器(轉)

最近朋友一直在問固態硬盤和1.8吋硬盤的接口問題。於是蒐集了一些關於ZIF接口的相關資料。看完這些資料，大家應該對此類硬盤有一個比較清楚的認識和解決辦法了。 Sprite

硬盤廠商不斷地推出新的硬盤及硬盤接口。目前流行的1.8吋規格硬盤主要採用兩種ZIF接口，而且這種硬盤已經被大量筆記本計算機廠商採用。一種是以 Hitachi為主，另外一種是Toshiba。但此外，還有更多的固態硬盤廠商也開始使用ZIF接口，比如三星。Hitachi和Toshiba硬盤採 用的ZIF接口看上去很像，但實際並不一樣，也彼此互不兼容。他們都採用 FFC 數據線，但日立和東芝設計的 FFC 數據線密度不一樣。因此需要注意，市場上可以見到的各種ZIF硬盤轉接器都只能支持其中的某一種，不能兩種通用的。

多數的超薄筆記本計算機中使用的pATA (parallel ATA) 1.8吋硬盤採用上述接口

多數SSD固態硬盤和硬盤廠商稱上述接口為 ZIF 接口(zero insertion force)
多數情況下，數據線插入0.25mm 深。數據線插入後，黑邊將夾住數據線。


像Sony TZ和UX 某些型號使用的48GB硬盤， 數據線插入0.25mm 深

[MK8009GAH] 東芝80GB 1.8" HDD
數據線插入 0.25mm 深

---

LIF 接口與ZIF有些不同(low insertion force)
數據線多數為0.5mm 深
這類接口比較少見，也許你並沒有機會遇到，但連接前需要細緻檢查!

Hitachi 日立1.8吋硬盤具有的 LIF 端口，但也被稱為ZIF

一些固態硬盤廠商有時也在標籤上將 LIF 標註為ZIF，或將 ZIF 標註為 LIF，不知為什麼。

---

區分方法是:
插入0.25 mm深的，我們稱其為 ZIF 接口
插入0.5 mm深的，我們成為 LIF

經多數廠商認可，下類為ZIF 接口。

圖 1

下圖為 LIF 接口

圖2

---

LIF = 稍用力即可插入數據線，並被夾住，見圖2
ZIF = 無需用力數據即可插入數據線，並被夾住，見圖1..

Sprite推薦的ZIF硬盤轉接口

市場上現有一些zif轉ide的接口，價格很便宜。但Sprite不敢推薦這種接口。而且一種適配器只能適應ZIF或LIF其中的一種。質量也不敢恭維。

轉接卡1，15元，點擊放大查看

轉接卡2，40元，點擊放大查看

Sprite找到Tableau公司推出的TDA5-ZIF適配器，他能夠同時支持日立和東芝兩種硬盤的 FFC 接口標準，並可以配合Tableau 公司的任意IDE硬盤只讀設備，和硬盤複製機（如TD1）使用。在TD1硬盤複製機的設備說明中，可以看到已經包含了一個ZIF硬盤轉接器。同 時，TDA5-ZIF適配器的資料中介紹，該套件包含TDA5-ZIF 轉接器1個，兩條用於日立硬盤的 FFC 數據線和兩條用於東芝硬盤的FFC數據線。

如何連接 1.8吋ZIF硬盤至 Tableau TDA5-ZIF IDE 轉接器?
ZIF 硬盤線非常脆弱，因此在連接時要格外小心。目前有三個主要的 ZIF 硬盤廠商。Toshiba, Hitachi, 和Samsung。Toshiba 和 Samsung 的數據線規格相同，而日立硬盤的的數據線不同。

獲取 Toshiba 硬盤，連接Tableau TC20-3-2 ZIF 數據線，適配器標籤朝上，硬盤標籤向下。.

獲取 Samsung 硬盤，連接 TC20-3-2 ZIF 數據線，適配器標籤朝上，硬盤標籤朝上。

獲取 Hitachi 硬盤，連接 TC20-3-3 ZIF 數據線，適配器標籤朝上，硬盤標籤朝上。

注意：
當與Tableau只讀鎖配合使用TDA5-ZIF轉接器時，最好需要使用2英吋的Tableau TC6-2 IDE 數據線連接TDA5-ZIF適配器和只讀鎖。使用短的TC6-2 數據線可以幫助確保數據的完整性，減少額外問題。

此外，ZIF 接口實際是很脆弱的，而評測來看只能適應20次反覆插拔。所以當使用ZIP接口時，建議把經常連接的FFC數據線保留在ZIF適配器上，只有在需要更換日立或東芝硬盤類型時，再更換數據線。

因此，Sprite建議，不如一下買兩個zif轉接器，平時把數據線都連接號，這樣就不用反覆插拔數據線，延長使用壽命了。

ZIF移動硬盤數據線 連接/拆解過程（引用DIGITAL INTELLIGENCE公司網站圖片）

其他有關ZIF硬盤及其相關筆記本電腦的參考文章：

一、Apple Air 找不到硬盤的例子

SSD 硬盤不識別，在 Air 上例子不少，但這些天來研究的結果，感覺仍然是莫名其妙。儘管如此，網上玩家遇到的下面兩種情況的這些經驗，也許有用。Apple Air Rev. A 所配的機械硬盤來說，型號為 Samsung HS082HB，是 1.8" ZIF 接口、5mm 厚的硬盤，雖然是 4200 轉的，但卻是少有的 8MB 緩存，這點看，蘋果還算厚道。

1、找不到硬盤
已知有多個品牌的多個型號（如 Mtron 等）可能出現這個問題。現象是：安裝好 SSD 硬盤，使用 Mac OS X 安裝光盤運行安裝程序時，在硬盤列表不顯示 SSD 硬盤，在 Disk Utility 也找不到 SSD 硬盤。可能的原因：

1）SSD 硬盤是使用 Windows PC 進行分區的。
嘗試通過 USB 轉接盒在 Mac 下，分區選擇 1 Partition（不要使用 Current 或 Default 等其它設置）、格式選擇 Mac OS Extended (Journaled)，然後點擊 Option…，在滑動窗口中選擇 GUID Partition Table 後點擊 OK，最後點擊 Apply。最後在外接狀態下安裝系統，完成後將 SSD 硬盤從轉接盒取出，裝入 Air。

該方法可能對大多數 SSD 有用，尤其是確認選擇了 GUID Partition Table，否則即便使用 Mac OS Extended (Journaled) 格式進行格式化，也不能啟動。

2）排線沒有壓緊。嘗試在 Air 的硬盤排線 ZIF 接口端電極的背面絕緣體上再貼一層電工膠帶，然後將 SSD 硬盤接口的壓片抬起到最大，插入排線，壓緊。

3）排線沒有插到位。由於排線可能存在很微妙的寬幅偏差，如果排線不能平整插入 SSD 硬盤 ZIF 接口的根部，則需要用細砂紙小心把排線兩側磨掉一點。另外，部分 SSD 使用上下接的 ZIF 插口，如果因為排線過厚，這個需要很細心地用細砂紙均勻打磨排線電極背面的絕緣體，以便使其能夠插入 ZIF 接口。

以上兩種操作風險較大，慎重！

4）排線插反了。Air 使用的標配硬盤是三星的，和日立的 ZIF 接口通用（即下接）。但如果使用非三星的 SSD 硬盤，則其接口可能是東芝的或同時支持上下接的。如果按標配硬盤方向插上排線找不到硬盤，可以嘗試把硬盤翻轉，再插入排線（當然硬盤接口要可以雙面連接 的，或上接的）。

二、三星64GB固態硬盤ZIF接口
適用機型：
富士通u1010，p1620
DELL d420，d430, Latitude xt平板電腦
蘋果Apple Macbook Air, mp3/mp4
索尼ux50/ ux18/ux37/ux17,tx系列
東芝zif接口的計算機

更多1.8吋硬盤圖片，可以點擊放大查看每個硬盤的資料：

Toshiba 1.8吋 "ZIF" 硬盤:

IBM/ Hitachi 1.8"寸 "ZIF" 硬盤

Samsung 1.8吋"ZIF" 硬盤:

PhotoFast 固態硬盤：

金勝 SSD固態硬盤1.8吋ZIF 64GB MLC

ASAX(賽速)PATA(ZIF) 固態硬盤 1.8

此外，從網站上還可以搜索到很多品牌型號的固態硬盤，但並不都是1.8吋zif的，也有ide（pata）和sata的。大家應該心中有數。


PQI S525 固態硬盤(32GB)


優惠價：936元

金勝 SSD固態硬盤1.8吋PATA 64GB MLC

優惠價：1350元

金勝 SSD固態硬盤2.5吋PATA 32GB MLC

優惠價：750元

金勝 SSD固態硬盤1.8吋ZIF 64GB MLC

優惠價：1450元

金勝 SSD固態硬盤2.5吋PATA 64GB MLC

優惠價：1350元

金勝 SSD固態硬盤2.5吋PATA 32GB SLC

優惠價：2350元

金勝 SSD固態硬盤2.5吋PATA 128GB MLC

優惠價：2450元

金勝 SSD固態硬盤2.5吋SATA+USB 128GB MLC

優惠價：2450元

三星 固態硬盤（256GB）

優惠價：6208元

三星 固態硬盤（128GB）

優惠價：3056元

金勝 SSD固態硬盤2.5吋PATA 256GB MLC

優惠價：4950元

威剛 2.5英吋固態硬盤（192GB）

即將上市

威剛 2.5英吋固態硬盤（512GB）

即將上市

金勝 SSD固態硬盤2.5吋SATA+USB 64GB MLC

優惠價：1350元

芝奇 SSD固態硬盤（64GB）

轉自計算機取證技術

AutoRun.inf命令格式（翻譯MSDN）

AutoRun.inf 命令（翻譯MSDN）

這篇文檔是在AutoRun.inf文件中命令的介紹

[AutoRun]命令：

l Icon

l Label

l Open

l ShellExecute

l Shell

l Shell/Verb

[DeviceInstall] 命令：

l DriverPath

[AutoRun]命令

圖標命令Icon

Icon命令制定可自運行的驅動器在微軟Windows用戶界面中的圖標。

格式：icon=圖標文件名[，索引]

參數說明：

圖標文件名

包含圖標信息的 .ico, .bmp, .exe, .dll文件名。如果該文件包含多於一個圖標，必須用一個從0開始的索引進行標記。

備註：

圖標和標籤一起在用戶界面中描繪可自運行驅動器。例如，在Windows瀏覽器中，驅動器的圖標變成設置的特定圖標，而不是標準的默認磁盤圖標。圖標文件必須與open命令指定的文件存在於同一目錄下。

下面這個例子指定的圖標是 Myproc.exe文件中的第二個圖標。

Icon = Myproc.exe, 1

標籤命令Label

Label命令指定一個文本標籤作為磁盤名。

使用：label = 標籤文本

參數：

標籤文本：一個標籤文本字符串，可以包含空格。

備註：

下面的例子指定一個驅動器的名字為「我的磁盤」

Label = 我的磁盤

實驗結果:

Icon和Label命令在Windows XP下起到預期的效果，無論是在光驅，移動磁盤和固定磁盤中都有效。但在Windows 2000下不起作用。

打開命令Open

Open命令指定一個可執行文件的路徑和文件名，當用戶此驅動器與電腦連接時自動運行此程序。

使用：open = [可執行文件路徑/]可執行文件名[參數1[參數2]……]

參數說明：

可執行文件名

當CD插入時運行的可執行文件的全路徑名。如果只有一個文件名，那麼他必須位於磁盤的根目錄下。如果在子目錄下，必須制定路徑。也可以包含為運行的可執行文件傳遞的一個或多個參數。

備註：

如果想獲取更多的關於啟動程序的信息，請閱讀MSDN中的文章《Tips for Writing AutoRun Startup Applications.》

實驗結果：

此命令只有在光驅中使用時有時可以使用，在移動磁盤和固定磁盤中均不能達到預期目的。具體原因，不清楚。

ShellExecute命令

5.0版本 該命令指定指定一個可執行文件或者數據文件調用ShellExecuteEx進行執行。

使用：shellexecute = [文件路徑/]文件名[參數1[參數2]……]

參數說明：

文件路徑

指定可執行文件或者數據文件的所在目錄的路徑的字符串，如果沒有指定，文件必須在驅動器的根目錄下。

文件名

包含文件名的字符串。如果是可執行文件，則運行。如果是數據文件，則必須是fileclass的成員，ShellExecuteEx用給文件類的默認啟動命令啟動之。

參數

包含任何傳遞給ShellExecuteEx的附加的參數。

備註：

這個命令和open命令有些相似，但是它允許你使用文件關聯信息執行程序。

Shell命令

Shell命令指定驅動器右鍵菜單的默認命令。

使用：shell = verb

參數說明：

Verb

與相應的命令相聯繫的verb（動詞）.動詞和與其相聯繫得命令必須在AutoRun.inf中用shell/verb命令定義。

備註：

當鼠標右鍵點擊驅動器圖標時，出現一個右鍵菜單。如果有Autorun.inf，默認的右鍵菜單則從其中獲得。當用戶雙擊驅動器圖標時，shell所設置的命令執行。

如果想指定默認的右鍵菜單命令，首先使用shll/verb命令定義動詞，命令行，和菜單名。然後用shell命令使之變成默認的右鍵菜單命令。否則，默認的菜單項是「自動播放」,啟動open或者shellexecute定義的命令。

Shel/verb 命令

Shell/verb命令添加往磁盤的右鍵菜單裡添加一個命令。

Shell/verb/command = 可執行文件名

Shell/verb = 菜單名

參數說明：

Verb

命令的動詞名字。Shell/verb/command命令將動詞和一個可執行文件相關聯。Verb不能包含空格。默認顯示的菜單名就是verb的內容。

文件名

執行該命令的可執行文件路徑和文件名。

菜單名

此參數指定在右鍵菜單中顯示的文本信息，即菜單項的名字。如果省略這一項，則顯示Verb的內容。菜單名可以是大小寫字母混合的也可以包含空格。你可以在字母前加』&』創建快捷鍵。

備註：

當用戶用鼠標右鍵點擊驅動器圖標時，出現一個右鍵快捷菜單。在AutoRun.inf中添加shell/verb命令，可以往這個快捷菜單中添加命令。

每個命令有兩部分，他們必須在不同的行聲明。第一部分是shell/verb/command,這是必須的，這部分與一個字符串相聯繫，調用一個動作，當命令執行時，啟動相應得應用程序。第二部分是shell/verb命令，這是可選的，他的作用是設定快捷菜單中顯示的名字。

下面是一個例子，AutoRun.inf文件將readit動作和命令字符串「Notepad abc\readme.txt」。菜單名為「Read Me」，「M」被定義為該項的快捷鍵

Shell\readit\command = notepad abc\readme.txt

Shell\readit= Read &Me\

轉自http://blog.csdn.net/xuweii/archive/2006/06/22/821982.aspx

ARP掛馬－新的區網隱形殺手

當使用者瀏覽器無故被導引至其他網站，假如不是DNS出問題，很有可能是所謂的ARP掛馬，這讓區域網路安全亮起了紅燈。

在2009年3月5日起，在各大論壇有許多人反映，連至ZDNet、CNET甚至MSN網站時，發生了一些異常行為，例如瀏覽器突然遭到被導引至其他網 站，像是www.dachengkeji.com、www.dachengkeji.cn/article/index.htm。 此時，網路上便開始有人追查相關原因。許多網友與網路安全專家自行推敲後，分析出幾個結果︰有人說是DNS被影響，但後來幾起測試利用IP直連，也會出現異狀；他們仔細觀察封包分析結果後，發現DNS回應也都正確，因此認為不會是這方面的問題。 後來一些有耐心的人又花了很多力氣，把封包截取下來分析，看到特定封包是突然被「插」進來的，他們仔細分析了中間的路徑後，懷疑是中華電信路由器被「黑」，或認為中間有IT設備受到入侵，然後使得駭客可以插入封包。 在接觸過此類手法的專家看來，他們懷疑整起事件為ARP掛馬的機率極高。不論這事件的原因是什麼，這類手法其實很值得重視，為了讓你能更熟悉這種威脅的運作方式，接下來我將整理一些相關基本資訊。 甚麼是ARP？ 在802.3 乙太網路架構下，區域網路中使用CSMA/CD方式，這種廣播（Broadcast）的傳輸方式，多數人應該都很熟悉，當某主機需要傳送資訊給某IP位址 時，會先發送ARP(Address Resolution Protocol，位址解析協定)封包，詢問網路上誰擁有這個IP的MAC位址，而採用該IP的電腦，一旦聽到這樣的詢問，便會回應給來源電腦，以便後續 的資料傳送。 ARP request、ARP reply，以及ARP cache 我們了解到主機利用ARP查詢的方式，來獲得 IP 位址和實體位址的對應。而發出詢問的封包就叫做ARP request（它是封裝成廣播封包的形式），因此區域網路內所有電腦都會收到此一封包，而比對ARP request的IP位址後，只有該IP的電腦會回覆ARP reply封包──將這些資料傳給原本發出ARP request的主機。 但主機總不可能每次傳輸都要去問一次別人的MAC位址，因此為了減少ARP request廣播封包，進而降低網路負擔，電腦主機會將曾經查詢過的網路裝置IP位址/MAC位址，記錄在主機裡。 說到這，聰明的人就知道這中間有甚麼可以玩了。如果你有辦法跟對方說，你就是某臺主機，它就會相信，而一切只要靠ARP來騙就可以。 一般當你「黑」進一臺電腦A，就算是A處於交換器環境底下，靠以前的Sniffer工具，是無法聽到交換器上其他網路埠的流量(假設另一個網路埠上有一臺主機B)。 可是若你使用ARP，騙B說A是閘道，這樣B的流量就會先經過A，A再轉閘道，這樣就是所謂的中間人攻擊（Man-in-the- middle），你就可以在交換器環境底下竊聽。當然對於駭客來說，竊聽還不夠，既然網路封包都流過來了，乾脆改一改再轉送，這就達到竄改的目的。 這些不需要什麼高深的TCP/IP理論，也不需要去算TCP的流水號，一切都很簡單。而且中國網站上已經很多有這樣的ARP工具讓人下載，很多小駭客甚至都已經玩到相當熟練了。 Cain & Abel可以用ARP掃描區網內主機，竊聽這些設備的POP3、Telnet、FTP、網芳等流量，還可以來偽造憑證，來執行SSL Man in the middle的行為。

ARP掛馬的原理
掛馬是甚麼，不需多做解釋，我現在要講的是ARP掛馬。

我想先介紹一個常見的ARP掛馬「zxarps」，這真的是最基本，而且是沒有隱藏技術的。實際上，有一些後門程式本身就內建ARP掛馬或竊聽功能。

先來一個簡單的用法。

將指定的IP段中用戶瀏覽的所有網站，都插入一個iFrame。

你注意，可以限定瀏覽者的IP。看得到這些資料的只有某些地區的人而已，外國人是看不到的。這對有心人士來說，是很好的功能，由於攻擊區域越小，所以被發現的機率越小，因此全世界其他地方，似乎都沒有發現異狀，另外還可以降低該主機的處理負擔。

再來觀察一個厲害的功能。你以為要看到Redirect轉址，才是惡意網站嗎？駭客有更狠的招數。

例如，一旦嗅探到目標下載檔案的副檔名是EXE，則更改Location:為http://xx.net/test.exe

你看，直接將你在信任的網站所下載的EXE檔，改成他後門的EXE檔，等你執行完的時候，還來得及發現嗎？

ARP掛馬工具「zxarps」將特定網頁伺服器所回傳的任何頁面，都插入一個連到www.yahoo.com.tw的隱形iFrame，這將讓所有瀏覽該網頁伺服器的使用者，不自覺地被導向www.yahoo.com.tw。

ARP駭客工具介紹
其實，還是得強調一件事，ARP攻擊這種駭客技術已經很成熟，在很多IDC機房，內網也都被運用到一種程度了。

上述是惡意的ARP掛馬，接下來再介紹其他利用ARP技術的駭客工具。有些中國製的ARP後門、ARP病毒，甚至做得比外國人寫的好，也更小。

在這些手法當中，你可能覺得ARP駭客工具似乎都是偷密碼，沒創意。事實上，才令人激賞的是，ARP工具也可以當網管工具！

Cain & Abel
最有名的就是oxid.it的Cain & Abel，這套工具不但可以用ARP掃描區網內主機，指定你要竊聽的主機，可以聽POP3、Telnet、FTP、網芳，還可以來偽造數位安全憑證，來執行SSL Man in the middle的竄改行為。

網絡執法官
藉由此工具，你可以管控區域網路內誰可以上網、誰不能上網，充分展現「不是網管也能當網管」的精神。其他像是網絡剪刀手、局域網終結者等工具，也可以切斷區域網路任何主機的連線，使其無法上網。

利用ARP 技術，同時也可以看到區域網路所有主機的IP，因此也能用在網路管理上，就像ARP P2P管理工具。例如在宿舍，有些人每天開著P2P養驢子下載、搶頻寬，如果懂得利用這種ARP P2P管理工具，即可藉由上述ARP的Man-in-the-middle技術，直接分配每個人頻寬。

這些工具顯示出目前ARP攻擊技術的成熟與危險。不少人都很清楚，集線器（Hub）的連線環境非常不安全，或者自以為處在交換器環境是安全的，這些是極為危險的觀念。

藉由這些工具，我想提醒你，要多認識ARP攻擊對目前我們網路所造成的影響，也希望你開始提防ARP掛馬或ARP置換攻擊，因為這些惡意行為已經出現在很多地方。

透過ARP，不只是用來作一些破解、側錄的行為，也可以用來 控管內部網路電腦能否上線，例如網絡執法官這套工具。

預防與偵測方式
對於ARP攻擊的預防方式其實很簡單。根據原本ARP規範，如要詢問主機收到ARP回應便更新主機上的ARP記錄，你可以使用arp–a 的指令，來顯示目前主機上所記錄的附近電腦網路位址。接著你可以使用靜態ARP，將ARP table中主機與MAC位址的對應記錄固定下來，這時可以利用arp –s 的指令來做到。

網路上也有許多所謂的ARP 防火牆（如AntiARP）或是ARP偵測工具，主要都是利用監控ARP request與reply封包，並在程式表裡的ARP記錄是否有異常。例如突然有一個ARP封包表明它是閘道，但是之前我知道的閘道MAC位址，明明就 不是後來那個ARP所說的，這就可能是ARP攻擊出現了（畢竟，閘道MAC位址很少常常換吧）。

企業與網管人員的因應之道
對於區域網路的安全性，多數網管或資安技術人員都會有一個迷思，那就是在最重要的伺服器上防護──不但在這些系統的前面安置防火牆、建立漏洞修補管理系統、安裝防毒軟體、甚至花費昂貴費用執行滲透測試。雖然該伺服器如同堡壘一樣堅固，卻疏忽了傳輸途徑上的風險。

這就像電影300壯士一般，就算Leonidas 率領的三百位斯巴達戰士，勇猛地將溫泉關守得滴水不漏，最後仍因為波斯軍團繞道包圍，還是難逃全軍覆沒的命運。

因此對於伺服器的保護，不能僅著眼於碉堡式的防禦，而是必須落實整體性防守。

以防護ARP掛馬來說，目前已經出現能符合這類企業區域網路環境防護需求的方案，其做法就是在區網內的主機上，安裝監控程式或建置監控主機，這些 措施不但能鎖定閘道的實體位址，也會監視相關ARP封包的狀態，持續掌握每個電腦IP位址與MAC的對應關係，並且能阻擋未經允許的電腦設備私自使用內部 網路。

此類產品的所宣稱的功能，大致有下列幾項：

1. 自動掃描區網內所有IP與MAC位址的對應

2. 設定IP/MAC位址對應並依照網管需求進行管控，甚至不需在用戶端安裝代理程式（Agent），即可達到員工監控或過濾的功能。

3. 偵測異常ARP封包

4. 偵測非法主機接入區域網路的動作

5. 依各網段進行管理

6. 集中控管與報表能力

7. 防治ARP病毒或木馬的擴散

接下來，我想用上面「企業區域網路ARP防護」的示意圖來解釋如何做到防護。

這是一個常見的區域網路，我們將ARP毒害威脅考量進去，再加上ARP防護監控方案的佈建架構。建構區域網路時，可參考這樣的防禦措施，以防止ARP相關威脅。

在圖中，每一臺伺服器上都設定了Static ARP，將閘道器的實體位址給綁定，這是目前區域網路防範ARP毒害的基本措施。而區域網路中，視需求另外設置了一部ARP企業監控主機。

在這個例子中，企業主可能需要監控員工電腦是否有異常行為，而網管人員在此所使用的方式是利用ARP手法來將流量導引至監控主機，而非正規的在閘 道口進行監控，這兩種方式都可達到流量分析與監控的目的，但若使用ARP手法須留意該監控主機本身的效能，因為該主機需要處理區網內每一臺需監控的個人電 腦。

另外，企業區網中常見的一個威脅，便是私接筆記型電腦或個人電腦。利用監控主機ARP監控，可記錄原本存在區域網路中的伺服器與個人電腦，一旦有 私接的電腦接上區域網路，因它們會發送ARP相關封包，將會被監控主機偵測到，而經由比對原本的IP與MAC位址列表，便可獲知是哪一臺電腦主機。

由於目前ARP監控軟體中都有內建網卡廠商的MAC位址範圍，因此可得知網卡廠牌，協助網管人員盡速找出私接主機。

最後，若是隔壁部門的伺服器遭駭、對區網發動ARP毒害，這時監控伺服器將會比對這些ARP封包，發現有人欲冒充網路閘道設備，這時監控伺服器便會記錄異常行為並發出警告，讓系統管理人員了解目前區域網路確實是存在惡意主機，不會毫無所悉。

1 個人電腦可由「合法」的ARP Poison方式，導引到監控主機，以便管理或內容過濾。 2 私接的筆電連上網路後，監控主機將會察覺，並發送警告給管理者。 3 如果遭ARP毒害的外單位主機想要詐騙網頁伺服器，也無法完成，因為會被偵測出來。

用arp–a能顯示目前主機上的ARP table，用arp –s可將ARP table中主機與MAC位址的對應記錄固定下來。

內網安全蒙上新陰影
這次可疑網站轉址事件，造成許多民眾與資安專家的恐慌，在資訊不足的情況之下，眾說紛紜是情有可原的。

而目前最夯的ARP掛馬，已經非常氾濫與流行，許多機房其實未必安全，即使你確實將自己的伺服器保護得很好，例如修補、裝防毒軟體甚至定時檢查系 統，但只要鄰居遭駭，你一樣會受到影響。除了本文所述的流量被插封包，可能連主機帳號密碼、使用者資料全都被竊取，這是目前許多機房並未注意的問題點，我 希望藉由過去的一些事件與ARP攻擊工具的介紹，讓你了解這項手法，並能更加注意區域網路安全。

編按：作者是一位經驗豐富的網路安全專家，也深諳國內外資訊安全相關的技術。基於一些個人理由，他不便具名發表本文，但透過這篇文章的介紹，他想提醒企業正視這項網路技術遭惡意人士濫用的嚴重性，以及可以反過來應用強化網路控管的可能性。

轉自IThome