国内外手机游戏市场分析报告

编号：时间：2021年x月x日书山有路勤为径，学海无涯苦作舟页码：第页手机游戏市场分析报告

本报告针对市场：国内外手机游戏市场；针对类型：单机游戏、网络游戏、社交游戏；数据来源：艾瑞咨询、游戏邦、清科研究、海纳；一、概述1.1、手机游戏行业现状随着智能手机的迅速普及，与3G网络的快速发展，移动互联网的相关业务，已逐渐成为国内各厂商关注的焦点，中国手机游戏市场目前仍然以单机版游戏为主，网游版产品所占比重较低。从整体行业来看，中国手机游戏行业处于快速发展期，近两年来，在电信运营商和手机游戏开发商的联合推动下，中国的手机游戏行业，取得了较快的发展。目前的手机游戏数量众多，但是质量和内容无法满足现有玩家需求，国内手机游戏开发商自主开发能力与国外开发商比较，力量相对薄弱。目前的手机游戏大多来自于国外，日、韩、欧美等地开发的游戏几乎占据了中国手机游戏市场80%的游戏内容。据相关统计数据显示，手机游戏开发商在我国已经有上千家，但真正上规模的也不过数十家。目前常见的手机平台有Android，塞班，java，IOS。孰优孰劣没有绝对的界限。1.2、手机游戏未来发展趋势1.2.1、手机游戏与其他创意型产业相互融合，呈现“多元娱乐”发展趋势手机游戏在与其他创意产业融合，优势体现在两个方面：一方面，将汲取融合优秀的动漫、影视、网络游戏、文学作品等相关创意产业特色内容资源，弥补本行业内容单一、创意不足的缺势；另一方面，融合发展将使手机游戏产品多样化，在进一步融合网络游戏、网页游戏、SNS等娱乐应用特色的同时，成长为“多元娱乐”产品，进一步提升用户体验。1.2.2、手机游戏市场参与主体的多元化，竞争日趋激烈手机游戏行业的参与者逐渐多元化，除原有的手机游戏厂商以外，中国移动、中国电信相继通过手机游戏基地化模式全面切入，传统影视行业厂商通过并购或联合运营方式、互联网游戏厂商通过产品外延方式等，均已加速在手机游戏领域进行布局。1.2.3、手机游戏的盈利模式多样化发展，主体仍借鉴PC网游盈利模式手机游戏盈利模式多样化，借鉴性的引入网络游戏的盈利模式，如按时收费、包月收费、道具收费、广告内置收费等模式，尽管这些模式尚处于初探期，但却为手机游戏的盈利方式指明方向。1.2.4、成功的手机游戏，将最大化利用手机游戏用户的“碎片时间”一般手机游戏用户平均玩游戏的时间大约为15分钟，使得用户的黏性大大增加。其设计的过关难度和游戏时间的关系处理十分专业。从用户体验上看，一款优秀的手机游戏，必然考虑到了如何充分利用手机游戏用户的“碎片时间”。1.2.5、手机游戏，其用户数量将远远超越传统PC游戏用户数量随着中国与日本、韩国、新加坡、马来西亚、台湾等国家和地区在3G业务上深入合作，中国乃至亚洲地区逐渐发展成为全球范围内潜力最大的移动互联网市场，截至2010年年底，中国手机网民规模达3.03亿。预计在未来一两年内，手机上的游戏用户数量将超过传统PC游戏用户。1.2.6、国内手机游戏用户，更多的喜欢单机版免费的手机游戏因为在国内，手机游戏用户在付费环节上，以及在使用习惯上，还是会和国外有所不同，截止目前，国内的手机游戏用户，在倾向上，更多的喜欢单机版免费的手机游戏。国内各个游戏厂商，可通过免费的手机游戏积累用户，达到一定量时，可通过合理的精准广告投放获得收益。1.2.7、随着技术的发展，与市场的成熟，会逐渐形成各自的“游戏云平台”PC游戏与手机游戏的界限将会逐步消失，同一款游戏，可通过不同类型的终端设备进行参与，形成“游戏云平台”，同一款游戏，可通过不同类型的终端设备接入游戏云，例如：手机、PC、平板电脑、上网本，都可以作为同一款游戏的入口设备。1.2.8、好的手机游戏产品，可以更多的进行延伸式发展比如一个好的游戏，可以延伸成电子商务产品、社交平台、广告平台等，这种延伸式的发展优点在于能够给用户一种多维的体验，并且游戏厂商可以通过延伸式发展，扩大收入范围，但与此同时，风险在于模糊了游戏产品功能定位。1.2.9、手机社交游戏市场未来的发展前景巨大伴随着这几年国内互联网SNS的发展，造就了一批成功的社区游戏厂商。但进行移动社交游戏应用开发的开发商却异常稀缺，目前移动SNS还没有形成自有的特色应用，大部分的应用及内容移植于PC互联网，用户体验均未取得突破性进展，因此手机社交游戏市场未来前景巨大。1.3、整体数据分析1.3.1、手机游戏市场规模根据艾瑞咨询与GPC和IDC的两项调查显示，2011年中国手机游戏市场和手机网游市场收入分别达到39亿元和17亿元，同比增速分别为51.6%和86.8%。我们认为未来三年将延续高速增长趋势，预计2011-2014年手机游戏市场和手机网游市场收入年均复合增速将分别达到37.0%和41.3%。1.3.2、手机游戏渗透率来自于易观国际的信息显示，手机游戏是国内移动互联网用户中最受欢迎的免费/付费应用。78.4%的移动互联网用户曾玩过手机游戏；在付费用户中，有46.9%的用户购买过手机游戏。1.3.3、用户选择游戏标准偏好用户选择手机游戏主要参照游戏性、画面风格、游戏题材、上手难易度、声音配乐等指标，占比依次为67.73%、55.86%、40.64%、27.70%、15.83%。但是男性手机游戏用户与女性手机游戏用户在选择手机游戏时的标准有所差距，其中，游戏性、画面风格、游戏题材是男性用户选择手机游戏首要考虑的三个标准；画面风格、游戏题材及上手难易度是女性用户选择手机游戏首要考虑的三大标准。1.3.4、用户选择手机游戏题材分布手机游戏用户主要倾向于角色扮演、动作射击、益智休闲等类型，占比分别为47.03%、44.60%、39.88%。1.3.5、用户可接受手机游戏付费方式分布从手机游戏用户可接受的手机游戏付费方式分布来看，付费道具、应用付费下载及付费解锁关卡是用户较为接受的付费方式，占比分别为39.73%、22.07%、15.37%。二、游戏类型分析单机游戏1.1、单机游戏市场概况1.1.1、单机游戏比列分布根据北京海纳互联网研究中心在2011年的一项报告中指出，中国游戏用户中，倾向于手机单机游戏的，所占比重为88%，占绝大多数，倾向玩手机网游的用户，所占比重为12%。、1.1.2、用户对单机游戏类型偏好分布当乐网调研数据显示，2011年各移动终端平台的游戏用户在单机游戏类型偏好存在明显差异，其中Java终端用户在游戏选择上倾向于角色扮演类、动作类、益智休闲类；Android用户的选择则是角色扮演类、赛车类、益智休闲类；WindowsPhone用户的选择是角色扮演类、赛车类、动作类。1.1.3、IOS平台，用户对单机游戏偏好分布对于iOS用户，排名前三位的游戏类型分别是益智休闲类、冒险类、角色扮演类。1.1.4、用户对不同平台游戏黏性比较Android游戏用户中，每日游戏时长在3个小时以内的比例为83.1%；Windowsphone用户为67.7%；iOS用户每日游戏时长在3个小时以内的最低，仅为54.1%。1.2、单机游戏各类型分析比较游戏类型特点劣势代表作PUZ操作简单，玩家上手快，游戏时间灵活，受众人群广。开发周期相对较短市场上同类游戏多，竞争较大愤怒的小鸟、水果忍者、植物大战僵尸等ACT良好的操作手感，火爆的打斗效果，受众人群适中对开发要求较高，开发周期长刺客信条、波斯王子、忍者神龟等RPG丰富的剧情，操作简单，精美的画面，多样的战斗系统，受众人群广策划、美术要求较高，开发周期长最终幻想3、无尽之剑、阿瑞龙剑影等SLG策略性强，耐玩度高，玩法丰富，受众人群较广策划、开发要求高，开发周期长魔兽争霸2、文明战争等FPS画面精美，游戏代入感强，操作简单操作方式在手机平台上不是很方便，技术要求高，受众人群少，开发周期长暗影之枪、现代战争系列RTS受众人群较广，耐玩度高，策略性强操作方式在手机平台上不是很方便，开发周期长星河战舰STG操作简单，画面精美，游戏性强，受众人群广游戏方式相对单一，在市场突出需要较高的创意支持飞行空战、枪击双人组、星际闪电战等SPG题材丰富，娱乐性高，难度适中，受众人群广开发周期较长，技术要求较高实况足球系列、Let'sGolf、Realfootball2012等RAC竞技性高，画面精美，操作简单，受众人群较多美术、开发要求高，开发周期长极品飞车系列MUG玩法简单，上手容易，游戏时间灵活，受众人群较广策划、美术要求高吉他英雄、太鼓达人等SIM高度模拟现实，耐玩度高，游戏时间灵活受众人群较小，开发周期长，策划要求高牧场大亨、足球经理等FTG耐玩度高，游戏时间灵活，打斗效果火爆、良好的操作手感，爽快的游戏体验开发周期较长，美术要求高街头霸王系列AVG难度系数大，剧情丰富，解密元素多开发周期长，策划要求高，受众人群较少古墓丽影、生化危机系列1.3、单机游戏分析总结单机游戏目前依然是手机游戏用户的首选PUZ、ACT、AVG和RPG是目前用户最喜爱的四种游戏类型单机游戏用户平均每次游戏时间大多在一小时以下，因此游戏时间较灵活的PUZ游戏比较更具竞争力1.4、单机游戏未来发展建议PUZ游戏虽然竞争相对激烈，但由于开发周期短，成本投入较少，建议作为主要发展方向；其他类型由于其开发成本相对较高、开发周期长，可暂做观望网络游戏2.1、网络游戏市场概况2.1.1、2011年移动网络游戏用户偏好的题材分布对于移动游戏用户喜爱的手机网游题材各平台仍有比较明显的差异：Android用户排名前三的题材为传统武侠、玄幻修真、西方魔幻；iOS平台用户排名前三的题材为西方魔幻、传统武侠、玄幻修真；WindowsPhone平台用户前三的题材则为传统武侠、神话改编、玄幻修真2.1.2、2011年移动网络游戏用户终端平台接受网游差异对比不同平台的用户对于网游的接受度有所区别，其中Java用户接受度较高，比例达到80.5%，Android用户接受度最低，仅为51.8%。国内智能平台网游产品缺乏精品以及国内网络状况对于高品质网游的支持较差等问题是影响用户的最大因素。2.1.3、2011年移动网络游戏用户参与游戏的原因分析移动网络游戏吸引用户的因素排名前三的分别为游戏功能设置是否丰富、游戏的趣味性、以及游戏的独创性。2.1.4、2011年移动网络游戏用户付费额度分析移动网络游戏用户的月付费额度集中在50元以内，付费强度较低；其中Java用户付费50元以内的用户比例为70%，Android用户付费50元以内的用户比例为70.8%，iOS用户付费50元以内的用户比例为36.4%。iOS用户在网游内的消费强度相对较高，其中月度消费在170-200元的用户比例达到26%，远高于其他的平台用户。2.2、典型网络游戏类型分析2.2.1、MMOSLG优点SLG类重要的四个准则：探索，扩张，开发，消灭（Explore、Expand、Exploit、Exterminate），该模式的是在3DO公司开发的《英雄无敌》系列中得到普遍公认。所有的玩家轮流自己的回合，只有自己的回合，才能够进行操纵，也给自己思考策略留下充分的时间。此类游戏的流行起源于桌面游戏，特别是战棋，特点包括剧情较少，玩家可以很快上手，可以通过各种道具丰富收费手段，且这类游戏可开发题材较多。缺点SLG类游戏强调策略性，而对于游戏中兵种间的数字平衡是该类游戏最主要的可玩点。同时也是此类游戏的开发难点，另外，此类游戏需要较长的开发时间。案例分析：《胡莱三国》该游戏目前排在APPStore中国区畅销类排行榜第二位，胡莱三国算是一款SNS+SLG的网页游戏，游戏在战斗时即进入SLG战棋式战斗状态，而平时则更注重于SNS社区交流。《胡莱三国》优势：跨平台支持，该游戏对PC，以及移动终端同时进行支持，扩大玩家受众面。与QQ空间无缝结合，可获得更多的玩家支持。2.2.2、MMORPG优点MMORPG优点是一个非常庞大的系统，在该系统中有着数目繁多的任务，人物等，但简单的游戏方式是这类游戏的共同点。其次，这类游戏强调人与人之间的互动，玩家不再是作为一个单独的个体去面对整个游戏世界。缺点MMORG需要构建一个庞大的世界，且有着数量繁多的任务和人物，这就对游戏的策划以及制作提出更高的要求，而制作周期也相对于SLG游戏来讲更长。案例分析:《神仙道》该游戏目前排在APPStore中国区畅销类排行榜第四位。游戏简化了玩家打怪升级的传统RPG过程，寻路系统可以让普通玩家轻松进行游戏。《神仙道》优势：与《胡莱三国》一样，该游戏也是支持跨平台游戏方式。并在任务系统进行大量的简化，有利于初级玩家上手。2.3、网络游戏分析总结1、在网络游戏中，修真，传统武侠，以及西方魔幻是首选游戏类型；2、用户最喜欢的网络游戏类型主要集中在WindowsPhone和IOS平台；3、功能丰富是用户选择网络游戏的首要原因；4、网游付费用户普遍呈偏低趋势；2.4、网络游戏未来发展建议1、网络游戏需要耗费大量人力物力去研发此类产品，在我公司目前还未有网络游戏开发经验的情况下，不宜将全部精力投入到网络游戏研发当中。2、MMORPG与MMOSLG用户黏度较高，但此类游戏开发周期较长，成本投入较大。可在单机游戏进行开发的同时，积累游戏开发经验，逐步向游戏网络化进行功能整合。网络用户目前主要集中在WP和IOS平台，WP平台是一个新兴平台，而IOS门槛较高，建议在进入网络游戏时谨慎考虑。3、社交游戏3.1、游戏定义社交游戏英文全称为SocialGame，是一种运行在SNS社区内，通过趣味性游戏方式增强人与人之间社交游戏交流的互动网络软件。从广义角度上讲，依附于SNS社区或游戏本身具备玩家间互动功能的一切游戏都可以定义为社交游戏，包括传统的MMO网游。现状与预测社交游戏是21世纪游戏主宰：游戏开发者JonRadoff认为，如果说19世纪是现代小说的天下，20世纪是影视屏幕的世纪，那么21世纪将是游戏主宰的一个世纪，特别是以社交游戏和手机游戏为代表的休闲式游戏。社交游戏用户发展迅速：根据eMarket研究显示，在美国市场，2010年社交游戏用户就达到了5300万占到整体上网用户的24%，2011年用户数上升为6190万，所占比例为27%，而到2012年社交游戏用户更是将达6870万，比例也提高到29%，前所未有地开拓了非游戏玩家的市场。社交游戏市值增加快速：以美国市场为例，ScreenDigest研究机构给出的分析是社交游戏2008年产值为7600万美元，2009年为6亿3900万美元，这个数值比将近10倍，可谓疯狂，再到2010年的8亿2600万美元，而2012年的市场总值更是预估为超过10亿美元。InsideNetwork的JustinSmith也曾指出，2010年西方社交游戏的市场规模已达8.35亿美元。3.3、各大社交游戏平台解析3.3.1、Facebook用户结构：玩家对象55.5%是朋友，同事的比例是9.6%，同学的比例是15.4%，而陌生人仅为19.5%意味着熟人比例达到了80.5%用户数：Facebook游戏玩家每月游戏时间为9亿2700万小时，在Facebook用户中有53%的用户玩社交游戏，其中这些游戏玩家69%的用户为女性玩家，社交游戏玩家的日活跃用户高达5600万，这个游戏用户数字和英国的人口接近月活跃用户高达2亿9000万，这个数字和美国的人口相当用户区域分布：Facebook在亚洲的表现，有两个截然不同的场面，一方面在印度、泰国、东南亚及台湾地区能够突出本土社交网的重围，占据主导地位；但在另外一个层面比如日本和韩国，却无法攻破本土社交的堡垒。3.3.2、日本市场用户数：日本手机社交网站用户最近已突破6500万人，比2010年初增长了40%其中，GREE平台的用户人数最多，大约2200万人，DeNA旗下MobageTown在2167万人左右，Mixi也将近2160万人三大平台几乎在用户层面上势均力敌ARPU值：据Aisajin博客发布的消息称，DeNA创始人及首席执行官TomokoNanba曾对外公布称，MobageTown的ARPU是Zynga的15倍，是Facebook的30倍3.3.3、中国市场各大社交平台收入分成：新浪微博在第一年给予100%的收入分成，腾讯分享收入为20-35%。Facebook分成收入则为70%。大的社交平台也在发展内部社交网络游戏，与第三方的游戏开发公司进行有效的竞争。预期发展：德意志银行日前发布研究报告预计，中国社交网络游戏收入在2012年将为2011年的两倍，达到35亿元。新浪微博在2013年将提升其目前9%的日活跃用户份额至20-25%，从而大大影响现有市场格局。领导者腾讯想保持其统治地位，然而社交网络游戏月度ARPU（每用户平均营收）仅3-5元，对公司的高APRU网游运营有紧缩的影响。腾讯可能会面临核心游戏被蚕食的状况。与此同时，中国第三方社交网络游戏先行者人人网市场份额正在下降。3.3.4、全球其他市场Facebook呈垄断趋势：XKCD曾经推出全球社交网络分布版图，在2010年版中我们可以看到这是一个Facebook垄断的行业环境韩国本土社交游戏发展稳定：当然，除了Facebook之外并不是没有其他的社交网络市场，除了前文提到的日本市场，Cyworld目前在韩国市场受到Facebook和Twitter的双重夹击下用户流失严重，但仍是韩国最好的社交网站遥遥领先于外来势Facebook全球社交游戏用户在线时间比较：据ComScore的分析显示，全球社交网站独立用户为9亿6430万，平均每月每人用时4.5个小时其中俄罗斯用户以9.8小时居首，以色列排名第二为9.2小时，土耳其第三为7.6小时，波多黎各排名第十为4.9个小时，在Facebook上用户数第一的美国用户月使用时间并没有进入前十3.4、案例分析3.4.1、《CityVille》介绍：CityVille（城市小镇）是Zynga于2010年12月2日在上推出的游戏。游戏类型跟模拟城市类似，要在游戏中打造出梦想的城市来。优势：语言丰富：CityVille是Zynga首次用五种语言在全球推出的社交游戏，游戏语言包括英语、德语、法语、西班牙语和意大利语。用户庞大：在上线的24小时时间里，CityVille的用户总数已超过29万人。在上线的第一周时间里，CityVille的用户总数达到了300万人；在上线的8天时间中，CityVille的用户数量达到600万人。到目前，CityVille依然保有4100万的活跃用户。最受欢迎社交游戏：社交网站应用调查公司AppData上周发布统计数据称，CityVille已超越FarmVille，成为当前最受欢迎的社交游戏。3.4.2、《Farmerama》介绍：Farmerama是Bigpoint公司制作的一款农庄模拟经营游戏，你可以在你的城市生活为国家的众多特色的贸易。在田间种植农作物，饲养动物，并与邻国的贸易。无论您单独运行你的宅基地，或从你的朋友的帮助下，你永远是一个大国社会的一部分。其中包括各种详尽的项目和丰富多彩的任务。玩家在游戏里可以种植农田、饲养宠物、与邻居交易物品等。玩家还可以在游戏中独立经营自己的庄园，也可以从友邻那里获得帮助。3.5、社交游戏分析总结社交游戏现在已经成为游戏发展的趋势，拥有大量的用户群，特别是海外市场；拥有较大潜力的盈利空间；大多依托于一个SNS平台，以一个单独游戏形态出现的较少，并且早期多以网页形式推出，之后再推出其他平台版本；越来越多的社交游戏公司涉足手机平台，同时传统手机游戏也在进军SNS社区，如愤怒的小鸟等热门手机游戏；手机游戏，特别是社交游戏的平台概念越来越弱化，基本在向全平台发展；DATE\@"M.d.yyyy"8.27.2022DATE\@"HH:mm"DATE\@"M.d.yyyy"8.27.2022DATE\@"HH:mm"20:13DATE\@"HH:mm:ss"20:13:38TIME\@"yy.M.d"22.8.27TIME\@"h时m分"20时13分TIME\@"h时m分s秒"20时13分38秒DATE\@"MMM.d,yy"Aug.27,22DATE\@"dMMMMyyyy"27August2022DATE\@"h:mm:ssam/pm"8:13:38PMDATE\@"HH:mm:ss"20:13:38TIME\@"yyyy年M月d日星期W"2022年8月27日星期六DATE\@"HH:mm:ss"20:13:38附录资料：不需要的可以自行删除超全ARP知识什么是ARPARP（AddressResolutionProtocol）是地址解析协议，是一种将IP地址转化成物理地址的协议。从IP地址到物理地址的映射有两种方式：表格方式和非表格方式。ARP具体说来就是将网络层（也就是相当于OSI的第三层）地址解析为数据链路层（也就是相当于OSI的第二层）的物理地址(注:此处物理地址并不一定指MAC地址)。ARP原理：某机器A要向主机B发送报文，会查询本地的ARP缓存表，找到B的IP地址对应的MAC地址后，就会进行数据传输。如果未找到，则广播A一个ARP请求报文（携带主机A的IP地址Ia——物理地址Pa），请求IP地址为Ib的主机B回答物理地址Pb。网上所有主机包括B都收到ARP请求，但只有主机B识别自己的IP地址，于是向A主机发回一个ARP响应报文。其中就包含有B的MAC地址，A接收到B的应答后，就会更新本地的ARP缓存。接着使用这个MAC地址发送数据（由网卡附加MAC地址）。因此，本地高速缓存的这个ARP表是本地网络流通的基础，而且这个缓存是动态的。ARP协议并不只在发送了ARP请求才接收ARP应答。当计算机接收到ARP应答数据包的时候，就会对本地的ARP缓存进行更新，将应答中的IP和MAC地址存储在ARP缓存中。因此，当局域网中的某台机器B向A发送一个自己伪造的ARP应答，而如果这个应答是B冒充C伪造来的，即IP地址为C的IP，而MAC地址是伪造的，则当A接收到B伪造的ARP应答后，就会更新本地的ARP缓存，这样在A看来C的IP地址没有变，而它的MAC地址已经不是原来那个了。由于局域网的网络流通不是根据IP地址进行，而是按照MAC地址进行传输。所以，那个伪造出来的MAC地址在A上被改变成一个不存在的MAC地址，这样就会造成网络不通，导致A不能Ping通C！这就是一个简单的ARP欺骗。（读者注：某机器A利用其它某机器B的IP地址和一个事实上并不存在的MAC地下向另一台机器C发出ARP请求，导致C中的ARP缓存表的错误映射，称为ARP欺骗）ARP协议的工作原理在每台装有tcp/ip协议的电脑里都有一个ARP缓存表，表里的ip地址与mac地址是一一对应的，如图。arp缓存表以主机A（）向主机B（）发送数据为例。当发送数据时，主机A会在自己的ARP缓存表中寻找是否有目标IP地址。如果找到了，也就知道了目标的MAC地址，直接把目标的MAC地址写入帧里面发送就可以了；如果在ARP缓存表里面没有目标的IP地址，主机A就会在网络上发送一个广播,目标MAC地址是“ff-ff-ff-ff-ff-ff”，这表示向同一网段的所有主机发出这样的询问：“的mac地址是什么呀？”网络上的其他主机并不回应这一询问，只有主机B接受到这个帧时才向A作出回应：“的MAC地址是00-aa-0-62-c6-09。（如上表）”这样，主机A就知道了主机B的MAC地址，就可以向主机B发送信息了。同时，它还更新了自己的ARP缓存表，下次再向B发送数据时，直接在ARP缓存表找就可以了。ARP缓存表采用老化的机制，在一段时间里表中的某一行没有使用，就会被删除，这样可以大大减少ARP缓存表的长度，加快查询的速度。如何查看ARP缓存表ARP缓存表示可以查看的，也可以添加和修改。在命令提示符下，输入“arp-a”就可以查看arp缓存表的内容了。用“arp-d”可以删除arp缓存表里的所有内容。用“arp-s“可以手动在arp表中制定ip地址与MAC地址的对应关系。ARP欺骗的种类ARP欺骗是黑客常用的攻击手段之一，ARP欺骗分为二种，一种是对路由器ARP表的欺骗；另一种是对内网PC的网关欺骗。第一种ARP欺骗的原理是——截获网关数据。它通知路由器一系列错误的内网MAC地址，并按照一定的频率不断进行，使真实的地址信息无法通过更新保存在路由器中，结果路由器的所有数据只能发送给错误的MAC地址，造成正常PC无法收到信息。第二种ARP欺骗的原理是——伪造网关。它的原理是建立假网关，让被它欺骗的PC向假网关发数据，而不是通过正常的路由器途径上网。在PC看来，就是上不了网了，“网络掉线了”。一般来说，ARP欺骗攻击的后果非常严重，大多数情况下会造成大面积掉线。有些网管员对此不甚了解，出现故障时，认为PC没有问题，交换机没掉线的“本事”，电信也不承认宽带故障。而且如果第一种ARP欺骗发生时，只要重启路由器，网络就能全面恢复，那问题一定是在路由器了。为此，宽带路由器背了不少“黑锅”。arp欺骗－网络执法官的原理在网络执法官中，要想限制某台机器上网，只要点击"网卡"菜单中的"权限"，选择指定的网卡号或在用户列表中点击该网卡所在行，从右键菜单中选择"权限"，在弹出的对话框中即可限制该用户的权限。对于未登记网卡，可以这样限定其上线：只要设定好所有已知用户（登记）后，将网卡的默认权限改为禁止上线即可阻止所有未知的网卡上线。使用这两个功能就可限制用户上网。其原理是通过ARP欺骗发给被攻击的电脑一个假的网关IP地址对应的MAC，使其找不到网关真正的MAC地址，这样就可以禁止其上网。修改MAC地址突破网络执法官的封锁根据上面的分析，我们不难得出结论：只要修改MAC地址，就可以骗过网络执法官的扫描，从而达到突破封锁的目的。下面是修改网卡MAC地址的方法：在"开始"菜单的"运行"中输入regedit，打开注册表编辑器，展开注册表到：HKEY_LOCAL_MACHINE/System/CurrentControlSet/Control/Class/子键，在子键下的0000，0001，0002等分支中查找DriverDesc（如果你有一块以上的网卡，就有0001，0002在这里保存了有关你的网卡的信息，其中的DriverDesc内容就是网卡的信息描述，比如我的网卡是Intel21041basedEthernetController），在这里假设你的网卡在0000子键。在0000子键下添加一个字符串，命名为"NetworkAddress"，键值为修改后的MAC地址，要求为连续的12个16进制数。然后在"0000"子键下的NDI/params中新建一项名为NetworkAddress的子键，在该子键下添加名为"default"的字符串，键值为修改后的MAC地址。在NetworkAddress的子键下继续建立名为"ParamDesc"的字符串，其作用为指定NetworkAddress的描述，其值可为"MACAddress"。这样以后打开网络邻居的"属性"，双击相应的网卡就会发现有一个"高级"设置，其下存在MACAddress的选项，它就是你在注册表中加入的新项"NetworkAddress"，以后只要在此修改MAC地址就可以了。关闭注册表，重新启动，你的网卡地址已改。打开网络邻居的属性，双击相应网卡项会发现有一个MACAddress的高级设置项，用于直接修改MAC地址。MAC地址也叫物理地址、硬件地址或链路地址，由网络设备制造商生产时写在硬件内部。这个地址与网络无关，即无论将带有这个地址的硬件（如网卡、集线器、路由器等）接入到网络的何处，它都有相同的MAC地址，MAC地址一般不可改变，不能由用户自己设定。MAC地址通常表示为12个16进制数，每2个16进制数之间用冒号隔开，如：08:00:20:0A:8C:6D就是一个MAC地址，其中前6位16进制数，08:00:20代表网络硬件制造商的编号，它由IEEE分配，而后3位16进制数0A:8C:6D代表该制造商所制造的某个网络产品（如网卡）的系列号。每个网络制造商必须确保它所制造的每个以太网设备都具有相同的前三字节以及不同的后三个字节。这样就可保证世界上每个以太网设备都具有唯一的MAC地址。另外，网络执法官的原理是通过ARP欺骗发给某台电脑有关假的网关IP地址所对应的MAC地址，使其找不到网关真正的MAC地址。因此，只要我们修改IP到MAC的映射就可使网络执法官的ARP欺骗失效，就隔开突破它的限制。你可以事先Ping一下网关，然后再用ARP-a命令得到网关的MAC地址，最后用ARP-sIP网卡MAC地址命令把网关的IP地址和它的MAC地址映射起来就可以了。找到使你无法上网的对方解除了网络执法官的封锁后，我们可以利用Arpkiller的"Sniffer杀手"扫描整个局域网IP段，然后查找处在"混杂"模式下的计算机，就可以发现对方了。具体方法是：运行Arpkiller（图2），然后点击"Sniffer监测工具"，在出现的"Sniffer杀手"窗口中输入检测的起始和终止IP（图3），单击"开始检测"就可以了。检测完成后，如果相应的IP是绿帽子图标，说明这个IP处于正常模式，如果是红帽子则说明该网卡处于混杂模式。它就是我们的目标，就是这个家伙在用网络执法官在捣乱。局域网ARP欺骗的应对一、故障现象及原因分析情况一、当局域网内某台主机感染了ARP病毒时，会向本局域网内（指某一网段，比如：这一段）所有主机发送ARP欺骗攻击谎称自己是这个网端的网关设备，让原本流向网关的流量改道流向病毒主机，造成受害者正常上网。情况二、局域网内有某些用户使用了ARP欺骗程序（如：网络执法官,QQ盗号软件等）发送ARP欺骗数据包，致使被攻击的电脑出现突然不能上网，过一段时间又能上网，反复掉线的现象。关于APR欺骗的具体原理请看我收集的资料ARP欺骗的原理二、故障诊断如果用户发现以上疑似情况，可以通过如下操作进行诊断：点击“开始”按钮->选择“运行”->输入“arp–d”->点击“确定”按钮，然后重新尝试上网，如果能恢复正常，则说明此次掉线可能是受ARP欺骗所致。注：arp-d命令用于清除并重建本机arp表。arp–d命令并不能抵御ARP欺骗，执行后仍有可能再次遭受ARP攻击。三、故障处理1、中毒者：建议使用趋势科技SysClean工具或其他杀毒软件清除病毒。2、被害者：(1)绑定网关mac地址。具体方法如下：1）首先，获得路由器的内网的MAC地址（例如网关地址54的MAC地址为0022aa0022aa）。2）编写一个批处理文件AntiArp.bat内容如下：@echooffarp-darp-s5400-22-aa-00-22-aa将文件中的网关IP地址和MAC地址更改为您自己的网关IP地址和MAC地址即可，计算机重新启动后需要重新进行绑定，因此我们可以将该批处理文件AntiArp.bat文件拖到“windows--开始--程序--启动”中。这样开机时这个批处理就被执行了。(2)使用ARP防火墙(例如AntiArp)软件抵御ARP攻击。AntiArp软件会在提示框内出现病毒主机的MAC地址四，找出ARP病毒源第一招：使用Sniffer抓包在网络内任意一台主机上运行抓包软件，捕获所有到达本机的数据包。如果发现有某个IP不断发送ARPRequest请求包，那么这台电脑一般就是病毒源。原理：无论何种ARP病毒变种，行为方式有两种，一是欺骗网关，二是欺骗网内的所有主机。最终的结果是，在网关的ARP缓存表中，网内所有活动主机的MAC地址均为中毒主机的MAC地址；网内所有主机的ARP缓存表中，网关的MAC地址也成为中毒主机的MAC地址。前者保证了从网关到网内主机的数据包被发到中毒主机，后者相反，使得主机发往网关的数据包均发送到中毒主机。第二招：使用arp-a命令任意选两台不能上网的主机，在DOS命令窗口下运行arp-a命令。例如在结果中，两台电脑除了网关的IP，MAC地址对应项，都包含了86的这个IP，则可以断定86这台主机就是病毒源。原理：一般情况下，网内的主机只和网关通信。正常情况下，一台主机的ARP缓存中应该只有网关的MAC地址。如果有其他主机的MAC地址，说明本地主机和这台主机最后有过数据通信发生。如果某台主机（例如上面的86）既不是网关也不是服务器，但和网内的其他主机都有通信活动，且此时又是ARP病毒发作时期，那么，病毒源也就是它了。第三招：使用tracert命令在任意一台受影响的主机上，在DOS命令窗口下运行如下命令：tracert48。假定设置的缺省网关为，在跟踪一个外网地址时，第一跳却是86，那么，86就是病毒源。原理：中毒主机在受影响主机和网关之间，扮演了“中间人”的角色。所有本应该到达网关的数据包，由于错误的MAC地址，均被发到了中毒主机。此时，中毒主机越俎代庖，起了缺省网关的作用。~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~·（ARP欺骗的更容易理解的解析）最近在论坛上经常看到关于ARP病毒的问题，于是在Google上搜索ARP关键字，结果出来很多关于这类问题的讨论。我的求知欲很强，想再学习ARP下相关知识，所以对目前网络中常见的ARP问题进行了一个总结。1.ARP概念咱们谈ARP之前，还是先要知道ARP的概念和工作原理，理解了原理知识，才能更好去面对和分析处理问题。1.1ARP概念知识ARP，全称AddressResolutionProtocol，中文名为地址解析协议，它工作在数据链路层，在本层和硬件接口联系，同时对上层提供服务。IP数据包常通过以太网发送，以太网设备并不识别32位IP地址，它们是以48位以太网地址传输以太网数据包。因此，必须把IP目的地址转换成以太网目的地址。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。ARP协议用于将网络中的IP地址解析为的硬件地址（MAC地址），以保证通信的顺利进行。1.2ARP工作原理首先，每台主机都会在自己的ARP缓冲区中建立一个ARP列表，以表示IP地址和MAC地址的对应关系。当源主机需要将一个数据包要发送到目的主机时，会首先检查自己ARP列表中是否存在该IP地址对应的MAC地址，如果有﹐就直接将数据包发送到这个MAC地址；如果没有，就向本地网段发起一个ARP请求的广播包，查询此目的主机对应的MAC地址。此ARP请求数据包里包括源主机的IP地址、硬件地址、以及目的主机的IP地址。网络中所有的主机收到这个ARP请求后，会检查数据包中的目的IP是否和自己的IP地址一致。如果不相同就忽略此数据包；如果相同，该主机首先将发送端的MAC地址和IP地址添加到自己的ARP列表中，如果ARP表中已经存在该IP的信息，则将其覆盖，然后给源主机发送一个ARP响应数据包，告诉对方自己是它需要查找的MAC地址；源主机收到这个ARP响应数据包后，将得到的目的主机的IP地址和MAC地址添加到自己的ARP列表中，并利用此信息开始数据的传输。如果源主机一直没有收到ARP响应数据包，表示ARP查询失败。例如：A的地址为：IP：MAC:AA-AA-AA-AA-AA-AAB的地址为：IP：MAC:BB-BB-BB-BB-BB-BB根据上面的所讲的原理，我们简单说明这个过程：A要和B通讯，A就需要知道B的以太网地址，于是A发送一个ARP请求广播（谁是，请告诉），当B收到该广播，就检查自己，结果发现和自己的一致，然后就向A发送一个ARP单播应答（在BB-BB-BB-BB-BB-BB）。1.3ARP通讯模式通讯模式（PatternAnalysis）：在网络分析中，通讯模式的分析是很重要的，不同的协议和不同的应用都会有不同的通讯模式。更有些时候，相同的协议在不同的企业应用中也会出现不同的通讯模式。ARP在正常情况下的通讯模式应该是：请求->应答->请求->应答，也就是应该一问一答。2.常见ARP攻击类型个人认为常见的ARP攻击为两种类型：ARP扫描和ARP欺骗。2.1ARP扫描（ARP请求风暴）通讯模式（可能）：请求->请求->请求->请求->请求->请求->应答->请求->请求->请求...描述：网络中出现大量ARP请求广播包，几乎都是对网段内的所有主机进行扫描。大量的ARP请求广播可能会占用网络带宽资源；ARP扫描一般为ARP攻击的前奏。出现原因（可能）：*病毒程序，侦听程序，扫描程序。*如果网络分析软件部署正确，可能是我们只镜像了交换机上的部分端口，所以大量ARP请求是来自与非镜像口连接的其它主机发出的。*如果部署不正确，这些ARP请求广播包是来自和交换机相连的其它主机。2.2ARP欺骗ARP协议并不只在发送了ARP请求才接收ARP应答。当计算机接收到ARP应答数据包的时候，就会对本地的ARP缓存进行更新，将应答中的IP和MAC地址存储在ARP缓存中。所以在网络中，有人发送一个自己伪造的ARP应答，网络可能就会出现问题。这可能就是协议设计者当初没考虑到的！2.2.1欺骗原理假设一个网络环境中，网内有三台主机，分别为主机A、B、C。主机详细信息如下描述：A的地址为：IP：MAC:AA-AA-AA-AA-AA-AAB的地址为：IP：MAC:BB-BB-BB-BB-BB-BBC的地址为：IP：MAC:CC-CC-CC-CC-CC-CC正常情况下A和C之间进行通讯，但是此时B向A发送一个自己伪造的ARP应答，而这个应答中的数据为发送方IP地址是（C的IP地址），MAC地址是BB-BB-BB-BB-BB-BB（C的MAC地址本来应该是CC-CC-CC-CC-CC-CC，这里被伪造了）。当A接收到B伪造的ARP应答，就会更新本地的ARP缓存（A被欺骗了），这时B就伪装成C了。同时，B同样向C发送一个ARP应答，应答包中发送方IP地址四（A的IP地址），MAC地址是BB-BB-BB-BB-BB-BB（A的MAC地址本来应该是AA-AA-AA-AA-AA-AA），当C收到B伪造的ARP应答，也会更新本地ARP缓存（C也被欺骗了），这时B就伪装成了A。这样主机A和C都被主机B欺骗，A和C之间通讯的数据都经过了B。主机B完全可以知道他们之间说的什么：）。这就是典型的ARP欺骗过程。注意：一般情况下，ARP欺骗的某一方应该是网关。2.2.2两种情况ARP欺骗存在两种情况：一种是欺骗主机作为“中间人”，被欺骗主机的数据都经过它中转一次，这样欺骗主机可以窃取到被它欺骗的主机之间的通讯数据；另一种让被欺骗主机直接断网。第一种：窃取数据（嗅探）通讯模式：应答->应答->应答->应答->应答->请求->应答->应答->请求->应答...描述：这种情况就属于我们上面所说的典型的ARP欺骗，欺骗主机向被欺骗主机发送大量伪造的ARP应答包进行欺骗，当通讯双方被欺骗成功后，自己作为了一个“中间人“的身份。此时被欺骗的主机双方还能正常通讯，只不过在通讯过程中被欺骗者“窃听”了。出现原因（可能）：*木马病毒*嗅探*人为欺骗第二种：导致断网通讯模式：应答->应答->应答->应答->应答->应答->请求…描述：这类情况就是在ARP欺骗过程中，欺骗者只欺骗了其中一方，如B欺骗了A，但是同时B没有对C进行欺骗，这样A实质上是在和B通讯，所以A就不能和C通讯了，另外一种情况还可能就是欺骗者伪造一个不存在地址进行欺骗。对于伪造地址进行的欺骗，在排查上比较有难度，这里最好是借用TAP设备（这个东东好像有点贵勒），分别捕获单向数据流进行分析！出现原因（可能）：*木马病毒*人为破坏*一些网管软件的控制功能3.常用的防护方法搜索网上，目前对于ARP攻击防护问题出现最多是绑定IP和MAC和使用ARP防护软件，也出现了具有ARP防护功能的路由器。呵呵，我们来了解下这三种方法。3.1静态绑定最常用的方法就是做IP和MAC静态绑定，在网内把主机和网关都做IP和MAC绑定。欺骗是通过ARP的动态实时的规则欺骗内网机器，所以我们把ARP全部设置为静态可以解决对内网PC的欺骗，同时在网关也要进行IP和MAC的静态绑定，这样双向绑定才比较保险。方法：对每台主机进行IP和MAC地址静态绑定。通过命令，arp-s可以实现“arp–sIPMAC地址”。例如：“arp–sAA-AA-AA-AA-AA-AA”。如果设置成功会在PC上面通过执行arp-a可以看到相关的提示：InternetAddressPhysicalAddressTypeAA-AA-AA-AA-AA-AAstatic(静态)一般不绑定,在动态的情况下：InternetAddressPhysicalAddressTypeAA-AA-AA-AA-AA-AAdynamic(动态)说明：对于网络中有很多主机，500台，1000台...，如果我们这样每一台都去做静态绑定，工作量是非常大的。。。。，这种静态绑定，在电脑每次重起后，都必须重新在绑定，虽然也可以做一个批处理文件，但是还是比较麻烦的！3.2使用ARP防护软件目前关于ARP类的防护软件出的比较多了，大家使用比较常用的ARP工具主要是欣向ARP工具，Antiarp等。它们除了本身来检测出ARP攻击外，防护的工作原理是一定频率向网络广播正确的ARP信息。我们还是来简单说下这两个小工具。3.2.1欣向ARP工具我使用了该工具，它有5个功能：?A.IP/MAC清单选择网卡。如果是单网卡不需要设置。如果是多网卡需要设置连接内网的那块网卡。IP/MAC扫描。这里会扫描目前网络中所有的机器的IP与MAC地址。请在内网运行正常时扫描，因为这个表格将作为对之后ARP的参照。之后的功能都需要这个表格的支持，如果出现提示无法获取IP或MAC时，就说明这里的表格里面没有相应的数据。