Resulta que estoy escribiendo una serie de artículos que cubren dichos ataques de red desde un punto de vista práctico. Aquí está el artículo sobre DHCP, que seguirá ARP.
DHCP y ARP son dos ataques diferentes que permiten al atacante lograr un MITM dentro de una subred.
La falsificación de DHCP se realiza mediante un servidor DHCP no autorizado en la red que
respuestas a las solicitudes de DHCP de los hosts (el atacante puede ejecutar una falta de DHCP)
ataque al servidor DHCP legítimo para evitar que se salga la IP
direcciones). El servidor rogue puede falsificar la puerta de enlace & Servidores DNS
para ello todos los DNS y amp; El tráfico que salga de la subred local comenzará a
Fluye hacia el atacante. El atacante luego reenvía el tráfico recibido.
en consecuencia, para que los anfitriones no noten ninguna interrupción en la conectividad
y efectivamente tirando de un ataque MITM.
Esto es correcto.
En ARP Poisoning, el atacante envía mensajes de arp falsificados a la red
y el caché arp del conmutador tendrá información incorrecta, por lo que el conmutador
comienza a enviar tráfico al atacante (que originalmente debería ir a
otro host o puerta de enlace predeterminada)
El ataque ARP clásico no se dirige a los conmutadores sino a los dispositivos finales.
Cada dispositivo que recibe una IP necesita obtener la dirección MAC correspondiente para establecer una comunicación. Para eso es el ARP.
El ataque consiste en forzar a un dispositivo a resolver una IP como la dirección MAC del atacante en lugar de la legítima.
Sin embargo, también hay un ataque menos común que apunta al conmutador, lo que hace creer que se puede llegar a una cierta dirección MAC a través del puerto del atacante en lugar de la legítima.
Este ataque es menos conveniente y está reservado para situaciones donde el anterior no funciona (la dirección MAC está codificada en la configuración de dispositivos, por ejemplo).
DHCPDISCOVER, DHCPOFFER, DHCPREQUEST & DHCPACK son mensajes de difusión
De hecho, DHCPDISCOVER y DHCPREQUEST se transmiten, los otros dos generalmente no lo hacen.
por lo general, todos los hosts en la subred local recibirán todo esto
mensajes de todos modos Incluso si el atacante ya ha hecho algo de ARP.
el envenenamiento en la subred local no afectará el proceso de DHCP.
Depende del grado de caos que el atacante ya ha propagado en la red;), pero básicamente tienes razón: ARP no está relacionado con DHCP aquí.
ARP se utiliza para resolver direcciones de capa de Internet en capa de enlace
Direcciones. Desde que ahost no tiene una dirección IP hasta el proceso DHCP
se completa Los ataques ARP parecen inútiles en DHCP
Pienso en dos casos en los que los ataques basados en ARP pueden ser un buen complemento de los ataques basados en DHCP:
-
Los mensajes del cliente DHCP generalmente solo se transmiten durante la configuración de red inicial, cuando se activa un dispositivo de red (o cuando el servidor DHCP legítimo no responde ... ¿DOS?). Cuando un dispositivo necesita renovar una concesión DHCP, el mensaje SOLICITUD DE DHCP generalmente ya no se transmite, sino que solo se envía un mensaje de unidifusión al servidor DHCP que inicialmente ofreció la concesión.
Los ataques DHCP MITM por lo general solo son posibles durante el proceso de inicio de un dispositivo o cuando un dispositivo en ejecución se está uniendo a la red.
El uso de ARP permitiría hacerse pasar por el servidor DHCP e interceptar el mensaje de SOLICITUD DHCP del cliente. Esta puede ser, por ejemplo, una forma de enviar una nueva IP predeterminada del enrutador a un dispositivo en el que la dirección MAC del enrutador legítimo ha sido codificada, pero su IP no.
-
Más divertido: el caso de los ataques DHCP DOS. Verifique la herramienta DHCPig , es una herramienta de DOS que implementa un ataque de inanición DHCP: el atacante alquila todas las direcciones IP disponibles del servidor DHCP para que no habrá nueva dirección disponible para los otros dispositivos.
El núcleo de este ataque es básico y solo depende de los mensajes DHCP, pero DHCPig agrega algunas características que me gustan y que involucran mensajes ARP:
-
Usando un escaneo ARP, DHCPig detecta los otros dispositivos actualmente en ejecución y su IP y luego envía un mensaje DHCP RELEASE al servidor DHCP, marcando su IP como libre para que el atacante pueda robarlos ahora.
-
Una vez que el servidor DHCP se haya eliminado, DHCPig puede transmitir mensajes ARP que simularán un conflicto de IP para cada dirección IP que compone la subred. Para los sistemas similares a Unix, esto no hará mucho, pero cuando los sistemas Windows detectan tales conflictos, inmediatamente descartan su dirección IP actual y solicitan una nueva al servidor DHCP ... que no puede cumplir con la solicitud, dejando el Windows Cliente desconfigurado. En otras palabras, los paquetes ARP permitieron expulsar a los dispositivos de Windows de la red.