¿Cuál es la función del envenenamiento ARP cuando se realiza un ataque de suplantación DHCP?

3

Mis antecedentes actuales sobre el tema

La falsificación de DHCP se realiza mediante un servidor DHCP no autorizado en la red que responde a las solicitudes DHCP de los hosts (el atacante puede ejecutar un ataque de inanición DHCP en el servidor DHCP legítimo para evitar que entregue direcciones IP). El servidor rogue puede falsificar la puerta de enlace & Servidores DNS para todos los DNS y amp; El tráfico que sale de la subred local comenzará a fluir hacia el atacante. El atacante luego reenvía el tráfico recibido en consecuencia para que los anfitriones no noten ninguna interrupción en la conectividad y realicen efectivamente un ataque MITM.

En ARP Poisoning, el atacante envía mensajes de arp falsificados a la red y la caché de arp del conmutador tendrá información incorrecta, por lo que el conmutador comienza a enviar tráfico al atacante (que originalmente debe ir a otro host o puerta de enlace predeterminada)

DHCPDISCOVER, DHCPOFFER, DHCPREQUEST & Los DHCPACK son mensajes de difusión, por lo que todos los hosts de la subred local recibirán todos estos mensajes de todos modos. Incluso si el atacante ya ha hecho algún envenenamiento ARP en la subred local, no afectará el proceso de DHCP.

ARP se utiliza para resolver direcciones de capa de Internet en direcciones de capa de enlace. Desde que ahost no tiene una dirección IP hasta que se completa el proceso DHCP, los ataques ARP parecen inútiles en DHCP

Mi pregunta Según mi entendimiento, estos dos ataques son dos formas diferentes que pueden utilizarse para lograr los mismos resultados. Pero necesito aclarar esto sin ninguna duda.

¿Hay alguna forma de que pueda realizar un ataque de suplantación DHCP utilizando el envenenamiento ARP?

    
pregunta RanjanaLK 02.11.2017 - 06:09
fuente

2 respuestas

5

Resulta que estoy escribiendo una serie de artículos que cubren dichos ataques de red desde un punto de vista práctico. Aquí está el artículo sobre DHCP, que seguirá ARP.

DHCP y ARP son dos ataques diferentes que permiten al atacante lograr un MITM dentro de una subred.

  

La falsificación de DHCP se realiza mediante un servidor DHCP no autorizado en la red que   respuestas a las solicitudes de DHCP de los hosts (el atacante puede ejecutar una falta de DHCP)   ataque al servidor DHCP legítimo para evitar que se salga la IP   direcciones). El servidor rogue puede falsificar la puerta de enlace & Servidores DNS   para ello todos los DNS y amp; El tráfico que salga de la subred local comenzará a   Fluye hacia el atacante. El atacante luego reenvía el tráfico recibido.   en consecuencia, para que los anfitriones no noten ninguna interrupción en la conectividad   y efectivamente tirando de un ataque MITM.

Esto es correcto.

  

En ARP Poisoning, el atacante envía mensajes de arp falsificados a la red   y el caché arp del conmutador tendrá información incorrecta, por lo que el conmutador   comienza a enviar tráfico al atacante (que originalmente debería ir a   otro host o puerta de enlace predeterminada)

El ataque ARP clásico no se dirige a los conmutadores sino a los dispositivos finales.

Cada dispositivo que recibe una IP necesita obtener la dirección MAC correspondiente para establecer una comunicación. Para eso es el ARP.

El ataque consiste en forzar a un dispositivo a resolver una IP como la dirección MAC del atacante en lugar de la legítima.

Sin embargo, también hay un ataque menos común que apunta al conmutador, lo que hace creer que se puede llegar a una cierta dirección MAC a través del puerto del atacante en lugar de la legítima. Este ataque es menos conveniente y está reservado para situaciones donde el anterior no funciona (la dirección MAC está codificada en la configuración de dispositivos, por ejemplo).

  

DHCPDISCOVER, DHCPOFFER, DHCPREQUEST & DHCPACK son mensajes de difusión

De hecho, DHCPDISCOVER y DHCPREQUEST se transmiten, los otros dos generalmente no lo hacen.

  

por lo general, todos los hosts en la subred local recibirán todo esto   mensajes de todos modos Incluso si el atacante ya ha hecho algo de ARP.   el envenenamiento en la subred local no afectará el proceso de DHCP.

Depende del grado de caos que el atacante ya ha propagado en la red;), pero básicamente tienes razón: ARP no está relacionado con DHCP aquí.

  

ARP se utiliza para resolver direcciones de capa de Internet en capa de enlace   Direcciones. Desde que ahost no tiene una dirección IP hasta el proceso DHCP   se completa Los ataques ARP parecen inútiles en DHCP

Pienso en dos casos en los que los ataques basados en ARP pueden ser un buen complemento de los ataques basados en DHCP:

  1. Los mensajes del cliente DHCP generalmente solo se transmiten durante la configuración de red inicial, cuando se activa un dispositivo de red (o cuando el servidor DHCP legítimo no responde ... ¿DOS?). Cuando un dispositivo necesita renovar una concesión DHCP, el mensaje SOLICITUD DE DHCP generalmente ya no se transmite, sino que solo se envía un mensaje de unidifusión al servidor DHCP que inicialmente ofreció la concesión.

    Los ataques DHCP MITM por lo general solo son posibles durante el proceso de inicio de un dispositivo o cuando un dispositivo en ejecución se está uniendo a la red.

    El uso de ARP permitiría hacerse pasar por el servidor DHCP e interceptar el mensaje de SOLICITUD DHCP del cliente. Esta puede ser, por ejemplo, una forma de enviar una nueva IP predeterminada del enrutador a un dispositivo en el que la dirección MAC del enrutador legítimo ha sido codificada, pero su IP no.

  2. Más divertido: el caso de los ataques DHCP DOS. Verifique la herramienta DHCPig , es una herramienta de DOS que implementa un ataque de inanición DHCP: el atacante alquila todas las direcciones IP disponibles del servidor DHCP para que no habrá nueva dirección disponible para los otros dispositivos.

    El núcleo de este ataque es básico y solo depende de los mensajes DHCP, pero DHCPig agrega algunas características que me gustan y que involucran mensajes ARP:

    • Usando un escaneo ARP, DHCPig detecta los otros dispositivos actualmente en ejecución y su IP y luego envía un mensaje DHCP RELEASE al servidor DHCP, marcando su IP como libre para que el atacante pueda robarlos ahora.

    • Una vez que el servidor DHCP se haya eliminado, DHCPig puede transmitir mensajes ARP que simularán un conflicto de IP para cada dirección IP que compone la subred. Para los sistemas similares a Unix, esto no hará mucho, pero cuando los sistemas Windows detectan tales conflictos, inmediatamente descartan su dirección IP actual y solicitan una nueva al servidor DHCP ... que no puede cumplir con la solicitud, dejando el Windows Cliente desconfigurado. En otras palabras, los paquetes ARP permitieron expulsar a los dispositivos de Windows de la red.

respondido por el WhiteWinterWolf 02.11.2017 - 18:02
fuente
3

Debido a que ARP no tiene autenticación ni verificación, puede configurar un servidor DHCP fraudulento, enviar paquetes ARP falsos que informen a los servidores que usted es el servidor DHCP y luego entregar las reservas DHCP que se ajusten a sus necesidades. Con el envenenamiento de DHCP y ARP, puede hacer cosas como permitir que su computadora se conecte a través de SSH a un host, a pesar de que el host tenga un firewall que bloquea SSH de todo excepto una computadora normalmente, por ejemplo.

Para el contraste -

Un solo ataque DHCP podría comprometer a un servidor DHCP y luego usarlo para proporcionar una IP confidencial a su dispositivo malicioso, como se indicó anteriormente, ¡no se necesita envenenamiento ARP!

Un ataque de solo ARP implicaría que envenenará un caché de ARP para que el dispositivo enrute el tráfico a su dispositivo malintencionado para que pueda MITM o rastrearlo.

    
respondido por el Adonalsium 02.11.2017 - 14:17
fuente

Lea otras preguntas en las etiquetas