Hướng dẫn cách Phá mạng LAN bằng DHCP Spoofing : lý thuyết + cách chống

Chắc forum mình mọi người cũng đã dùng qua phần mềm netcut, nạn nhân của netcut chỉ bị hạn chế truy cập ra ngoài Internet, còn các kết nối trong Lan vẫn sử dụng bình thường như : chia sẻ file, bắn half-life, printer... 

Với phương pháp tấn công DHCP spoofing, attacker sẽ dựng lên 1 DHCP ma, cùng "cạnh tranh" việc cấp phát IP cho Client với tỷ lệ thành công là 50/50 từ đó attacker có thể tự do tạo các lỗi như :
- Sai dải mạng : Client sẽ bị cô lập với mạng thực
- Sai gateway : khỏi ra Internet
- Sai dns : khỏi dùng những thứ liên quan tới domain

Có nhiều giải pháp đưa ra để giải quyết tình trạng "bỗng dưng thêm DHCP" này :
- Quản lý việc dùng các port trên switch
- Port-security của Cisco
- DHCP snooping trên dòng switch catalyst của Cisco
.................

Với 1 doanh nghiệp vừa và lớn, việc quản lý sử dụng port, hay port-security khá là mệt + chưa chắc đã có hiệu quả cao nên DHCP snooping được coi là 1 giải pháp khá ổn.



Theo mô hình trên :
- DHCP xịn đang cấp :
+ dải mạng 192.168.1.0/24
+ gateưay : 192.168.1.1
+ dns : 8.8.8.8

- DHCP ma :
+ dải mạng 192.168.2.0/24
+ gateway, dns : ko có

Với DHCP snooping, nó định nghĩa ra 2 loại port là : trust port (cổng đang kết nối với DHCP xịn) và untrust port (các cổng còn lại). Với trust port, nó sẽ cho phép forward gói tin DHCP Ack để các DHCP Server hoàn thành quá trình cấp pháp IP động cho Client, còn với untrust port thì DHCP Ack sẽ bị chặn lại --> DHCP ma sẽ bị vô hiệu hóa hoàn toàn.

Command cấu hình DHCP Snooping trên Switch Catalyst Cisco (từ seri thấp tới cao đều hỗ trợ) :
Switch(config)#ip dhcp snooping -> bật DHCP snooping
Switch(config)#ip dhcp snooping vlan 1 -> bật DHCP snooping, mặc định các cổng đang thuộc vlan 1
Switch(config)#no ip dhcp snooping information option -> ko cấu hình option
Switch(config)#interface fa0/2 -> vào cổng muốn trust 
Switch(config)#ip dhcp snooping trust -> cấu hình trust

Trước khi cấu hình DHCP snooping, các client sẽ có IP ngẫu nhiên từ 1 trong 2 DHCP. (dùng ipconfig /release và ipconfig /renew trên cmd)
Lúc thì được IP xịn :



Lúc thì IP từ Server ma :



Sau khi cấu hình DHCP snooping, các client chỉ xin được IP từ DHCP xịn, ta debug trên Switch xem thử :



Switch khi nhận được gói tin DHCP Discover ở dạng broadcast với MAC là FFFF.FFFF.FFFF nó sẽ đẩy ra cổng fa0/2 (trust port), thay vì là đẩy ra cả cổng fa0/3 (untrust port). Switch lần lượt nhận được các gói tin DHCP Offer, Request, Ack trao đổi từ PC với DHCP xịn --> thành công.