网络协议与攻击模拟_10DHCP攻击与DHCP欺骗

最新推荐文章于 2024-08-28 13:36:10 发布

Zkaisen

最新推荐文章于 2024-08-28 13:36:10 发布

阅读量1.6k

点赞数 17

分类专栏：安全与运维文章标签：网络 DHCP攻击 DHCP欺骗 kali yersinia

本文链接：https://blog.csdn.net/fencecat/article/details/135847384

版权

安全与运维专栏收录该内容

61 篇文章 5 订阅

订阅专栏

一、DHCP的报文格式

Message type：消息类型（1表示请求，2表示响应）
Hardware type：硬件类型
Hardware address length：硬件地址长度
Hops：DHCP报文经过中继的数目。
Transaction ID：事务ID，客户端发起请求是选择一个随机数，用来标识一次地址请求过程。
Seconds elapsed：客户端开始DHCP请求后所经过的时间，客户端从开始获取地址或地址续租更新后所用的时间，单位是秒，占用2字节
Bootp flags：保留标志字段，只有标志字段最高位才有意义，其余15位均被置为0，最高位被解释为单播或者广播相应标志位，0表示客户端请求服务器以单播形式发送相应报文；1表示客户端请求服务器以广播形式发送响应报文，占用2字节
Client IP address：客户机的IP
Your （client）IP address：服务器能够提供给客户机的IP地址
Next server IPaddress：DHCP 服务器的地址
Relay agent IP address：中继代理的IP
Client MAC address：客户端的MAC地址
Client hardware addresspadding：客户端MAC地址的填充。
Server host name ：服务器名称
Boot file name：启动文件的名称
Magic cookie：这个字段是一个固定的字节流，一般都为DHCP。
Options：不同的报文会有不同的Options
- Options：（53）DHCPMessage Type（ACK）
  Length：1
  DHCP：ACK（5）
- Options：（58）Renewal Time Value
  Length：4
  Renewal Time Value：（345600s）4 days
- Options：（59）Rebinding Time Value
  Length：4
  Rebinding Time Value：（604800s）7 days
- Options：（51）IP Address Lease Time
  Length：4
  IP Address Lease Time：（691200s）8 days
- Options：（54）DHCP Server Identifier（192.168.120.100）
  Length：4
  DHCP Server Identifier：192.168.120.100
- Option：（1）Subnet Mask(255.255.255.0)
- Option：（81）Client Fully Qualified Domain Name
  Length：3
  Flags:0x00
  A-RR result：255
  PTR-RR result：255
- Option：（3）Router
  Length：4
  Router：192.168.50.254
- Option：（6）Domain Name Server
  Length：8
  Domain Name Server：8.8.8.8
  Domain Name Server：114.114.114.114
- Option：（255）End
  Padding ：0000000000

二、实施DHCP欺骗

1、DHCP欺骗原理

使用一台kali作为攻击主机，向我们的DHCP服务器发起DHCP Discover请求，让服务器给我们的攻击主机分配IP地址。当它的IP地址分配完了就无法向正常的客户机提供IP，此时攻击主机把自己伪造成DHCP服务器，就可以向客户机提供IP，这就是DHCP欺骗。

2、实验配置

（1）网络拓扑图

（2）ping测试

使用kali去攻击DHCP服务器，配置完成后ping测试，看下能够访问到DHCP Server

kali配置TCP/IP参数：192.168.50.100 255.255.255.0 192.168.50.254

  523  vim /etc/network/interfaces 
  524  ifdown eth0
  525  ifup eth0
  526  ifconfig
  527  ping 192.168.120.100

3、攻击

（1）安装Yersinia

.图形化界面
参数：-G Graphical mode (GTK)

如果使用-G参数没反应，无法进入图形化界面，可尝试使用-I参数，yersinia攻击支持CDP、DHCP、802.1Q、802.1X、DTP、HSRP、ISL（思科私有的STP报文）、MRLS、STP、VTP

（2）DHCP地址分配情况

先看下DHCP服务器50网段的分配情况

50网段的IP地址池是192.168.50.22~192.168.50.33，地址总数,12个，使用中3个，可用还剩9个。

（3）实施攻击

使用kali的yersinia实施攻击

开始攻击之前先抓包，抓取DHCP Server到路由器的流量；
开始攻击后，会不停的再发DHCP Discover报文；

（4）抓包分析

DHCP中继R1->DHCP Server 的报文

抓到好多DHCP Discover报文，而且看不出来这DHCP Discover报文是真的假的，

这里source是192.168.120.254因为数据都是从DHCP 中继过来的。

交换机SW到DHCP中继R1的数据流量

这边可以看到都是随机的MAC地址在发DHCP Discover请求，因为发的广播包没有IP地址，所以这里不需要去产生随机的IP。

DHCP Serve->R1的响应报文

查看响应报文（在DHCP中继到DHCP Server这条链路）直接去找源IP为192.168.120.100的

ip.src==192.168.120.100

从DHCP Offer报文的Your（Client）IP address可以看到刚好是DHCP Server上面我们为50网段设置的地址池的IP中剩余的9个IP地址，从192.168.50.25到192.168.50.33，其实就是把DHCP50网段可以提供的IP全部响应了。

DHCP Server资源占用情况

我们再去看DHCP服务器上50网段的统计信息，地址总数12个，使用中12个。

地址租用这里是不会有记录的，因为客户机没有响应，没有发送DHCP Request，只有客户机响应完了才会把客户机的信息记录在这里。

即使服务器已经把这个IP地址留给客户机了，但实际客户机没有使用。所以在显示统计信息这儿会显示使用中有12个，就服务器已经认为把IP地址预留给客户机了。

4、伪造

（1）伪造的配置过程

DHCP地址池中的地址已经没有了，有的分配有的预留给客户机了。

kali上面使用yersinia伪造DHCP服务器，选creating DHCP rogue server。

Server ID：DHCP服务器，可以填本地IP 192.168.50.100

Start IP 可以写一个非本网段的，192.168.10.10~192.168.10.20
Lease Time：租约时间，随便填的 720

Renew Time：更新租约时间随便写的 720

Subnet Mask：255.255.255.0

Router：来个假的 192.168.10.254

DNS Server 9.9.9.9

domain写一个woniu.com

先不要直接点OK，因为你前面的DHCP攻击还没有停，它是广播发的，你点了OK就相当于把你的kali伪造成了DHCP服务器，因为DHCP Discover攻击报文是广播，所以你自己伪造的DHCP服务器也会受到DHCP攻击报文。

（2）先停掉DHCP攻击

先停掉DHCP Discover攻击

（3）开启伪造DHCP Server

（4）伪造成功

回到Win10虚拟机上，先release一下再renew一下，回到DHCP服务器查看到50网段是被占满的，

这里Win10虚拟机也从kali伪造的DHCP Server获取到了新的IP地址。

5、总结

以下是我听课之后，对过程的大致描述，如有错误，欢迎指正！

这个过程应该是：kali发起DHCP Discover广播使得DHCP服务器的50网段的IP地址全部被占用，然后kali伪造成DHCP服务器，由于之前Win10这台主机我们有通过DHCP服务器动态获取IP地址且租约还未到期，kali攻击并伪造DHCP服务器后，Win10发现有更近的DHCP服务器，所以想kali伪造的DHCP Server发起DHCP Discover请求获取新的IP地址，但此时真正的DHCP Server的Ip地址是处于占满状态的，50网段那儿有个感叹号表示50网段是无法正常工作的，即使Win10从kali伪造的DHCP Server获取新的IP后，原来的DHCP Server也不会释放IP，因为租约并没有到期。