DHCP协议原理与欺骗

最新推荐文章于 2025-03-18 17:21:12 发布
最新推荐文章于 2025-03-18 17:21:12 发布
阅读量1.2k 收藏 29
点赞数 28
分类专栏： 网络协议与攻击模拟 文章标签： 网络 网络协议 DHCP
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/YhMjQx/article/details/141638590
版权

文章目录

DHCP协议

1.掌握DHCP工作原理
2.会在Windows server上去部署DHCP服务
3.抓流量
  • 正常
  • 受到攻击后

一、DHCP

1.DHCP基本概念
  • dhcp（动态主机配置协议）：主要是给客户机提供TCP/IP参数（IP地址，子网掩码，网关，DNS等）
2.好处
  • 减少管理员的工作量
  • 避免输入出错可能性
  • 避免IP冲突
  • 提高IP地址利用率
3.DHCP工作原理
  • 应用层协议，基于UDP协议，主机是向服务器的67号端口，服务器响应给客户机的68号端口
  • 客户机与服务器的交互过程

image-20240828133044658

DHCP discover，client以广播的方式去请求，所有的服务器都会收到这个请求，也都会响应（DHCP offer），client会向收到的第一个offer报文（其中会提供client可使用的IP地址）的服务器发送DHCP request（标明client要的是哪一个IP地址），然后服务器就会向client发送DHCP ACK确认报文，此时就将client要的IP地址赋给了client，client获得TCP/IP参数

二、在Windows server上部署DHCP服务器

实验：

image-20240828133100914

详细情况见蜗牛第一阶段课程的DHCP服务器部

最低0.47元/天 解锁文章
《网络安全自学教程》- DHCP协议详解
wangyuxiang946的博客
02-29 1万+
DHCP协议工作原理，DHCP分配方式，DHCP租约，Wireshark抓包分析DHCP报文
DHCP协议
2301_79065514的博客
01-14 650
server对client端发来的REQUEST报文的确认响应报文，server在收到REQUEST报文后，根据REQUEST报文中携带的client MAC来查找有没有相应的租约记录，如果有则发送ACK报文回应，通知client可以使用分配的IP地址。在client已经获得了IP地址，需要从server端获得更详细的配置信息时，就会发送DHCP-INFORM报文向server请求，server在收到这个报文后，会根据租约查找，找到相应的配置信息后，就会回应DHCP-ACK报文给client。
DHCP欺骗（DHCP Sproofing）
11-14 1071
DHCP欺骗（DHCP Sproofing） DHCP Sproofing同样是一种中间人攻击方式。DHCP是提供IP地址分配的服务。当局域网中的计算机设置为自动获取IP，就会在启动后发送广播包请...
局域网安全-DHCP欺骗实验
2302_78039953的博客
01-21 1269
先对路由器进行配置，在对服务器进行配置，修改服务器主页后，再构造伪造服务器
防止dhcp攻击
ceiling的博客
02-08 502
开启DHCPsnooping的交换机，收到ARP报文之后，将会读取ARP报文中的源MAC地址和源IP地址，和snooping绑定表做匹配检查如果匹配检查不一致，那么将会判断此ARP报文不是和合法报文，将丢弃此ARP报文。2、动态绑定表:动态绑定表，基于DHCPsnooping功能产生的snooping表项来进行实现保护，说自了动态绑定表就是DHCP Snooping的表项，而我们是通过这个Snooping绑定表项来实现IPSG的功能。(基于IP封装的数据报文)，如果报文不符合绑定表，则报文被丢弃。
DHCP欺骗-教程详解
wzhua的博客
08-11 1857
DHCP欺骗-教程详解，有工具下载链接
浅谈DHCP欺骗攻击
Hala
02-23 9688
DHCP欺骗攻击就是伪造真正的DHCP服务器为客户端主机分配一个错误的IP地址 接下来通过实验环境详细分析是如何伪造真正的DHCP服务器的 实验拓扑如下： 说明： R1为真正的额DHCP服务器，R2为欺骗攻击的假的DHCP服务器，R4为客户端主机，R3后面用到在说 1.首先进入交换机上，更改连接四个路由器的接口为接入模式并开启端口加速 2.DHCP server创建地址池 3.主机开启接...
DHCP 欺骗攻击
openlab网工之路
08-26 3014
DHCP欺骗攻击 解决方案：DHCP snooping 信任接口：接收offer ack 发送discover request 非信任接口：接收discover request 发送 offer ack 将连接DHCP server接口设置为信任端口，默认所有接口为非信任接口 部署：R1模拟主机，R2为真实服务器，R3为攻击者 R1 R2 R3之间连接交换机 R2 R3各自定义地址池 ...
DHCP欺骗原理与欺骗攻击
weixin_44991806的博客
05-13 3233
DHCP的工作原理 DHCP（动态主机配置协议）是一个局域网的网络协议。使用UDP协议工作，常用端口67（DHCP server服务端）68（DHCP client客户端），由服务器控制一段IP地址范围，客户机登录服务器时就可以自动获得服务器分配的IP地址和子网掩码。默认情况下，DHCP作为Windows Server的一个服务组件不会被系统自动安装，需要管理员手动安装并进行必要的配置。 2 .写出DHCP欺骗的原理 1、清空DHCP服务器地址池 2、攻击机搭建一个DHCP服务器 3、目标...
DHCP欺骗
qq_45630589的博客
11-02 767
Router Router(config)#int f0/0 Router(config-if)#ip address 172.16.1.1 255.255.255.0 Router(config-if)#no shutdown Router(config-if)#exit Router(config)#router rip Router(config-router)#version 2 Rout...
DHCP协议原理与配置
qq_43704340的博客
10-24 695
DHCP：动态主机配置协议 产生背景; 手工配置网络参数（IP地址、掩码、网关、DNS等）存在的问题： 1.人员素质要求高 2.容易出错 3.灵活性差 4.IP地址资源利用率低 5.工作量大 DHCP相对于静态手工配置有如下优点: 1. 效率高 2.灵活性强 3.易于管理 DHCP基本工作过程 : DHCP的六种报文： DHCP DISCOVER 客户端用来寻找DHCP服务器 DHCP OFFER DHCP服务器用来响应DHCP DISCOVER报文，此报文携带了各种配置信息
Dhcp两大威胁以及arp欺骗等试验总结
06-18
Dhcp两大威胁以及arp欺骗等试验总结 1 伪dhcp server。Dhcp的工作原理大概是首先client广播dhcp discovery消息，本网段的dhcp server回送dhcp offer消息，客户段再发送dhcp request消息，声明自己即将使用的ip地址，server发送ack给client告知client可以使用。防止伪dhcp其实就可以在交换机上启用dhcp snooping功能，凡是不信任的端口（信任端口就是dhcp server使用的端口，需独立配置），都将拒绝从该端口发送dhcp offer消息从而杜绝伪dhcp server。 在cisco交换机上全局启用 ip dhcp snooping,,并使用命令ip dhcp snooping vlan 2,告知在vlan2里使用snooping，这样所有端口都是非信任端口，都将丢弃dhcp offer报文，如果是使用三层交换机提供dhcp服务，就不比单独配置信任端口了。配置信任端口是在物理端口下使用命令 ip dhcp snooping trust. 记住：接入层交换机需支持dhcp snooping功能；信任端口是在物理端口下配置（包括trunk级联端口） 2 DHCP dos攻击。主要就是伪造大量mac地址去像server申请地址，耗费dhcp server地址池，从个人达到拒绝服务攻击的目的。一般用两种方法，但实际操作性都不是太强。第一种办法就是对交换机端口规定一些合法的mac地址池，只有在此范围内的主机才可以通过该端口进行转发。或者限制最大mac地址数。这样客户端就没办法伪造mac地址去申请ip了。Cisco交换机就是在物理端口下使用switchport port-security mac-add命令填加，这种方法工作量大且不能满足移动性的要求。另一种方法就是与实际认证系统相结合，认证系统首先对MAC地址进行第一次认证，只有MAC地址是合法的，才允许DHCP Sever分配IP地址给终端，这主要用到802.1x认证协议和radius认证服务器。 3 有时候为了需要，不希望用户自己设定ip地址来上网，也就是说限制用户只能动态获取地址才能上网，自己固定地址不能上网。这种就相对比较简单，不需要在接入层上做什么设置，也就是不要求接入层支持dhcp snooping功能。只需要在三层交换机上使用如下命令就搞定。 Ip arp inspection vlan 500 //vlan500下面启用arp inspection功能 Ip arp inspection validate src-mac dst-mac ip //只有源mac 目的mac和ip都正确才合法 这里必须还是先在三层交换机上启用ip dhcp snooping功能 同时监控snooping vlan 500。因为arp inspection实际是根据dhcp 绑定信息来判断的。如果用户不是自动获取ip，而是自己设置ip，那么它就不会被dhcp snooping捕获到，当然所有的该ip地址发送的arp请求都会被网关拒绝掉的（因为源，目的mac和ip地址都是不合法的，自然被认为是非法的arp请求）。但是固定ip时是可以跟本局域网内其它机器通信的，只是不能通过arp协议学习到网关的mac地址。 注：以上的dhcp server都是在三层交换机上启用的。 4 arp欺骗。可以分两种情况：一是伪造网关去欺骗网内其它主机；而是伪造其它主机去 欺骗网关。当然更严重的是两种情况同时存在，并开始数据转发功能，这就是一种中间 人攻击（双方欺骗），可以嗅探数据包（代理arp功能跟此类似，很多计费网关和一些透明防火墙就利用了代理arp功能）。从某种意义上说，arp欺骗就是一种代理arp。 神码可提供专门的在接入层交换机使用ACL来限制客户仿冒网关，这个acl就是限制该端口下不允许发送网关地址的arp通告报文，这样可以有效的防止伪造网关去欺骗其它主机。 (Config)# access-list 1101 deny an an untagged-eth2 12 2 0806 20 2 0002 28 4 C0A80001 该ACL说明如下： 13，14字节是arp协议代码0806,21,22字节是0002表示arp reply,29-32字节就是网关ip地址的16进制 STEP2:应用ACL (Config)# Firewall enable (Config)# int e 0/0/1-24 //在所有端口下应用该acl (int)# mac access-group 1101 in traffic-statistic 当然，如果知道某个具体端口是什么IP地址，那么就可以限制该端口只能发送该IP的arp通告是最好了，这就可以完全杜绝arp欺骗。但明显可操作性差。 另一种能较好防止arp欺骗的办法就是在各个主机上绑定网关的mac，同时在网关上静态绑定IP＋mac。不过这种办法不如前面办法好，它不能防止局域网内部的arp欺骗。 如果采取的是动态获取ip地址，神码交换机有个新特性，能完全控制arp欺骗。可以防止接入主机假冒网关，可以防止接入主机假冒其它用户；管理复杂度低，交换机配置简单并且基本不需要变更；支持用户移动接入，交换机可以自动检测到用户接入位置并正确转发用户数据； ip dhcp snooping enable ip dhcp snooping binding enable Interface Ethernet0/0/1 ip dhcp snooping binding user-control ! Interface Ethernet0/0/2 ip dhcp snooping binding user-control 如果是静态ip，需要ip＋mac＋端口的绑定。 am enable Interface Ethernet0/0/1 am port am mac-ip-pool 00-1C-23-06-0D-B9 10.10.1.90 还是说说cisco交换机吧。一般采取动态获取IP地址的上网方式比较多，先配置ip dhcp snooping 再配置ip arp inspection,此时，客户端就应该没办法伪造其它主机去伪造网关，因为这些伪造的arp reply报文在网关看来都是非法的，自然会拒绝。至于伪造网关的防治，大概就只能在用户自己主机上静态绑定arp缓存表了。 1 防止arp扫描。在某些情况下也可抑制arp欺骗。原理就是对物理端口进行arp报文 数量的限制。方法就是在物理端口是使用ip arp inspection limit rate 命令限制每秒钟允许通过的arp报文数。 2 伪mac地址的防治。交换机的mac地址表如果被大量充斥，将会影响性能，严重的将会是交换机崩溃，因为一般的cam存储都有限。所以这类防治般限制每端口出来的mac地址数目即可。至于伪造的防治，那就只能选择port-security了，虽然不能满足移动性的要求。 针对目前学校主干是cisco交换机，接入层品牌太杂，档次参差不齐，用户自动从cisco三层交换机上获取地址上网的情况，我认为比较好的办法就是在cisco交换机上启用dhcp snooping 以及arp inspection功能来尽可能防止arp欺骗。用户还得绑定好网关的mac地址。要能更有效的防止arp欺骗和防止伪dhcp server，还得升级接入层交换机。
网络协议与攻击模拟_10DHCP攻击与DHCP欺骗
fencecat的博客
01-29 1981
DHCP欺骗原理：使用一台kali作为攻击主机，向我们的DHCP服务器发起DHCP Discover请求，让服务器给我们的攻击主机分配IP地址。当它的IP地址分配完了就无法向正常的客户机提供IP，此时攻击主机把自己伪造成DHCP服务器，就可以向客户机提供IP，这就是DHCP欺骗。
交换机安全-DHCP欺骗
dhjxncu的博客
05-20 1800
DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）通常被应用在大型的局域网络环境中，主要作用是集中的管理、分配IP地址，使网络环境中的主机动态的获得IP地址、Gateway地址、DNS服务器地址等信息，并能够提升地址的使用率。 在没有DHCP欺骗抖动情况下，DHCP客户机可以从合法的DHCP服务器上获取正确的IP地址、掩码、网关和DNS。如果网络...
DHCP欺骗和解决方案
qq_38472574的博客
08-17 290
DHCP欺骗和解决方案
以太网安全管理实验——DHCP欺骗与防御
最新发布
w2361734601的博客
03-18 489
将伪造的DHCP服务器接入交换机SW1，将其本地域名服务器地址设置为伪造的域名服务器的IP地址192.1.2.2。实施DHCP欺骗，使得PC1及PC2从伪造的DHCP服务器获取网络信息，从而通过伪造的DNS服务器完成域名www.a.com的解析过程，得到伪造的Web服务器的IP地址，从而导致访问到伪造的Web服务器。着网络技术的快速发展，以太网环境中的安全威胁日益增多，其中动态主机配置协议（DHCP）欺骗和地址解析协议典型的网络层攻击手段。实验步骤(在配置DHCP前，先使用。PC1刷新显示欺骗成功。
DHCP欺骗泛洪攻击、如何防御DHCP欺骗攻击——DHCP snooping技术、DHCP snooping配置命令
热门推荐
qq_62311779的博客
01-30 1万+
目录 一、DHCP欺骗泛洪攻击 （1）钓鱼网站简介： （2）DNS的作用： （3）DHCP中继技术简介： （3-1）核心交换机DHCP配置命令： （4）dhcp欺骗详解： 第一步：pc2作为恶意攻击者会耗尽DHCP Sever的地址池，让DHCP Server不能给pc1分配地址池 第二步：pc2充当DNS和DHCP欺骗pc1 图解： 二、如何防御及DHCP snooping配置命令 （一）开启DHCP SNOOPING之后的效果： （二）、配置命令 配置： 观察PC2无法重..
任务二：DHCP欺骗劫持与防御策略
2301_76274559的博客
10-12 2472
DHCP欺骗劫持与防御策略
协议栈安全--DHCP欺骗攻击
XY0918ZWQ的博客
10-09 1854
DHCP欺骗攻击一、案例拓扑二、攻击思路三、防御方案1、在交换机上做限速操作2、在交换机上构建信任表 一、案例拓扑 二、攻击思路 由于dhcp协议没有认证机制，所有黑客可以伪造大量dhcp discover 请求 ，也就是听过拒绝式从而服务攻击，使得dhcp服务器 瘫痪，无法给局域网的网络设备提供服务。 黑客通过伪造大量的垃圾mac地址，请求dhcp服务器，使得地址池中的地址资源耗尽，法给局域网的网络设备提供服务。 以上两种方式实现后，黑客可以自己伪装dhcp服务器，位该局域网提供dhcp服务，（同时黑
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值