当前位置：文档之家 › DHCP原理过程分析排错和防止DHCP攻击配置方

DHCP原理过程分析排错和防止DHCP攻击配置方

  • 格式：docx
  • 大小：320.98 KB
  • 文档页数：3

DHCP(Dynamic Host Configuration Protocol，动态主机配置协议)为互联网上主机提供地址和配置参数。DHCP是基于Client/Server工作模式，DHCP服务器需要为主机分配IP地址和提供主机配置参数。

DHCP获取IP地址大概需要如下4步，附件是4步的wiershark抓包，下载地址/data/1903539

1.1.1.1为DHCP服务器地址

图 1 DHCP过程

当一台正常PC发出1,DHCP DISCOVER （广播）之后，如果网络在存在一台攻击DHCP设备，一台正常DHCP服务器，那么此PC都会收到两台服务器的2,DHCP OFFER ，如果PC先收到合法的2,DHCP OFFER ，则可以正常获取IP地址。

但是如果PC先收到非法的2,DHCP OFFER ，侧会得到攻击主机提供的IP地址和DNS服务器等等。这时候PC得到的网关和DNS都可能是假的，以达到中间人攻击（在攻击主机上开启路由转发功能），DNS欺骗钓鱼，会话劫持，密码盗取等等很多，不一一列举。下图是DHCP OFFER 数据包截图，数据包包括了提供的IP地址，DNS等信息。

怎么防止DHCP攻击呢，以思科为例：DHCP Snooping技术是DHCP安全特性，通过建立和维护DHCP Snooping绑定表过滤不可信任的DHCP信息，这些信息是指来自不信任区域的DHCP信息。DHCP Snooping绑定表包含不信任区域的用户MAC地址、IP地址、租用期、VLAN-ID 接口等信息。当交换机开启了

DHCP-Snooping后，会对DHCP报文进行侦听，并可以从接收到的DHCP

Request或DHCP

Ack报文中提取并记录IP地址和MAC地址信息。另外，DHCP-Snooping允许将某个物理端口设置为信任端口或不信任端口。信任端口可以正常接收并转发DHCP Offer报文，而不信任端口会将接收到的DHCP Offer报文丢弃。这样，可以完成交换机对假冒DHCP Server的屏蔽作用，确保客户端从合法的DHCP Server获取IP地址。

DHCP snooping配置方法：

switch（config）#ip dhcp snooping

switch（config）#ip dhcp snooping vlan 10

/*在Vlan10启用dhcp snooping

switch（config-if）#ip dhcp snooping limit rate 10

/*dhcp包的转发速率，超过后接口就shutdown，默认不限制;

switch（config-if）#ip dhcp snooping trust

/*这样这个端口就变成了信任端口，信任端口可以正常接收并转发DHCP Offer报文，不记录ip和mac地址的绑定，默认是非信任端口"

switch#ip dhcp snooping binding 0009.3452.3ea4 vlan 7 192.168.10.5 interface gi1/0/10

/*这样可以静态ip和mac一个绑定；

switch（config）#ip dhcp snooping database tftp:// 10.1.1.1/dhcp_table

/*因为掉电后，这张绑定表就消失了，所以要选择一个保存的地方，ftp，tftp，flash皆可。本例中的dhcp_table是文件名，而不是文件夹，同时文件名要手工创建一个。

show ip dhcp snooping

/*显示DHCP探测状态*/

当然，DHCP全是广播，如果交换网络中本来广播就很多，又在交换机上配置上广播限制，则要能会导致DHCP数据包丢失，或者是switch（config-if）#ip dhcp snooping limit rate N 值太小，或者是信任端口配置出错，无法或者获取IP址址。如果发现IP地址获取困难，首先就检查DHCP服务器上是否有足够的地址可以提供。以及服务器能否收到1,DHCP DISCOVER （广播）

对应图中包11。客户PC，能否收到2,DHCP OFFER （广播） 对应图中包12。这两个包非常关键。且要看请求和应答的时间差（11，12号包）。

如果这两个包正常，则接下来检查3,DHCP REQUEST （广播） 对应图中包13

4,DHCPACK得到IP地址 （广播） 对应图中包14，这两步一般不容易出问题。

说到中间人攻击。还要另一种简单的方法，就是基于ARP的中间人攻击。如下图：

攻击主机通过ARP数据包告知被攻击主机，网关就是我，请把跨网段的数据发给我，如下图所示。看起来来像是103和108的主机在询问网关MAC地址，实则是在是告诉网关，103和108的MAC地址为48:d2:24:16:f1:1f，发往它们就的数据发送给我（ 48:d2:24:16:f1:1f）就行了。

默认情况下，被攻击主机会掉线。但此时如果在攻击主机上开启路由转发功能，则攻击主机能再次转发数据包，使目标主机不掉线。

ARP攻击的防止方法。

当然如果全使用静态ARP绑定就不会有ARP攻击问题了。另，以思科为例，可以通过DAI技术解决。

思科 Dynamic ARP Inspection (DAI)在交换机上提供IP地址和MAC地址的绑定,

并动态建立绑定关系.

switch(config)#ip dhcp snooping vlan 7

switch(config)#ip dhcp snooping information option /*默认

switch(config)#ip dhcp snooping

switch(config)#ip arp inspection vlan 7

/*

定义对哪些 VLAN 进行 ARP 报文检测

switch(config)#ip arp inspection validate src-mac dst-mac ip

/*对源,目mac和ip地址进行检查

switch(config-if)#ip dhcp snooping limit rate 10

switch(config-if)#ip arp inspection limit rate 15 /* 定义接口每秒 ARP 报文数量

switch(config-if)#ip arp inspection trust /*信任的接口不检查arp报文,默认是检测

同样，以可以通过交换机端口安全，来解决ARP中间人攻击。

sw1(config-if)#switchport port-security maximum 1

sw1(config-if)#switchport port-security violation ?

protect Security violation protect mode

restrict Security violation restrict mode

shutdown Security violation shutdown mode

故障特征：

/thread-1131564-1.html

合集下载

12.简述dhcp工作过程

12.简述dhcp工作过程

简述dhcp工作过程

DHCP（Dynamic Host Configuration Protocol）是一种网络协议，它允许计算机在启动时自动获取IP地址和其他网络参数，而无需手动配置。DHCP工作的大致过程如下：

1. 客户端广播请求：当计算机启动时，会向网络上广播一个特殊的DHCP请求，以寻求可用的IP地址。

2. DHCP服务器提供回应：当DHCP服务器收到客户端的广播请求后，它将从一个IP地址池中选择一个未被使用的IP地址，并通过广播方式将其发送回客户端。

3. DHCP客户端确认地址：客户端接收到DHCP服务器发来的回应后，它将检查回应中是否包含了一个可用的IP地址。如果有，客户端将发送一个确认消息给DHCP服务器，以告知它已经确认了该IP地址。

4. DHCP服务器更新数据库：一旦DHCP服务器收到了客户端的确认消息，它将记录下这个IP地址已经被分配出去。这个信息将保存在DHCP服务器的数据库中，以确保该IP地址在可用时间内不会被分配给其他客户端。

除了提供IP地址外，DHCP服务器还可以向客户端分配其他网络参数，例如网关地址、子网掩码、DNS服务器地址等。这些网络参数将根据管理员配置而定。DHCP协议的主要优点是可以极大地简化网络管理，减少人工配置的负担，同时还可以提高网络的可靠性和安全性。

简述dhcp的工作流程。

简述dhcp的工作流程。

简述dhcp的工作流程。

Dynamic Host Configuration Protocol（DHCP）是一种自动为计算机网络设备分配IP地址的网络协议。它使得网络管理员能够集中管理和分配IP地址，从而简化了网络的管理和配置。下面是DHCP的工作流程及相关参考内容的简述。

DHCP的工作流程可以分为四个主要步骤：发现（Discover）、提供（Offer）、选择（Request）和确认（Acknowledge）。下面将对每个步骤进行详细阐述。

1. 发现（Discover）：

当计算机设备加入到一个新的网络中，它将发送一个DHCP发现消息来寻找DHCP服务器。该消息是一个广播消息，它通过网络广播，告知网络中的所有DHCP服务器设备有一个新的设备需要分配IP地址。

2. 提供（Offer）：

在接收到DHCP发现消息的DHCP服务器上，如果有可用的IP地址可供分配，它将向设备发送一个DHCP提供消息。该消息包含一个IP地址供设备使用，并指示设备使用该IP地址。

3. 选择（Request）：

设备接收到一个或多个DHCP提供消息后，将选择其中一个提供给自己的DHCP服务器，并发送一个DHCP请求消息确认该IP地址的使用权。这个请求消息是一个单播消息，只发送给被选中的DHCP服务器。

4. 确认（Acknowledge）：

在接收到DHCP请求消息后，DHCP服务器会发送一个DHCP确认消息给设备。该消息中包含了一些配置信息，例如子网掩码、默认网关和DNS服务器等。设备收到该消息后，会配置并启用网络接口，并开始在网络上进行通信。

以上是DHCP的工作流程的基本步骤。在实际的网络环境中，DHCP服务器通常还有一些附加功能，例如动态分配IP地址的租期控制、IP地址池管理等。

下面是一些相关参考内容：

1. RFC 2131 - DHCP协议的基本规范文档。

2. RFC 2132 - DHCP选项和标志的规范文档。

DHCP饿死攻击

DHCP饿死攻击

DHCP饿死攻击

DHCP饿死攻击是指攻击者伪造chaddr字段各不相同的DHCP请求报⽂，向DHCP服务器申请⼤量的IP地址，导致DHCP服务

器地址池中的地址耗尽，⽆法为合法的DHCP客户端分配IP地址，或导致DHCP服务器消耗过多的系统资源，⽆法处理正常业

务。

如果封装DHCP请求报⽂的数据帧的源MAC地址各不相同，则通过mac-address max-mac-count命令限制端⼝可以学习到的MAC地址数，并配置学习到的MAC地址数达到最⼤值时，丢弃源MAC地址不在MAC地址表⾥的报⽂，能够避免攻击者申请过

多的IP地址，在⼀定程度上缓解DHCP饿死攻击。此时，不存在DHCP饿死攻击的端⼝下的DHCP客户端可以正常获取IP地

址，但存在DHCP饿死攻击的端⼝下的DHCP客户端仍可能⽆法获取IP地址。

如果封装DHCP请求报⽂的数据帧的MAC地址都相同，则通过mac-address max-mac-count命令⽆法防⽌DHCP饿死攻击。

在这种情况下，需要使能DHCP Snooping的MAC地址检查功能。使能该功能后，DHCP Snooping设备检查接收到的DHCP

请求报⽂中的chaddr字段和数据帧的源MAC地址字段是否⼀致。如果⼀致，则认为该报⽂合法，将其转发给DHCP服务器；

如果不⼀致，则丢弃该报⽂。

伪造DHCP续约报⽂攻击是指攻击者冒充合法的DHCP客户端，向DHCP服务器发送伪造的DHCP续约报⽂，导致DHCP服务

器和DHCP客户端⽆法按照⾃⼰的意愿及时释放IP地址租约。如果攻击者冒充不同的DHCP客户端发送⼤量伪造的DHCP续约

报⽂，则会导致⼤量IP地址被长时间占⽤，DHCP服务器没有⾜够的地址分配给新的DHCP客户端。

在DHCP Snooping设备上使能DHCP Request报⽂检查功能，可以有效地防⽌伪造DHCP续约报⽂攻击。如果使能了该功

能，则DHCP Snooping设备接收到DHCP Request报⽂后，检查本地是否存在与DHCP Request报⽂匹配的DHCP Snooping

androiddhcp原理

androiddhcp原理

Android系统中的DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）原理基于客户端-服务器模型，用于自动分配IP地址和其他网络配置参数给连接到网络的设备。其工作原理包括以下几个步骤：

1. 发现（DHCP Discovery）：当Android设备作为DHCP客户端加入网络时，它会广播一个DHCP DISCOVER消息，以寻找可用的DHCP服务器。

2. 提供（DHCP Offer）：DHCP服务器接收到DISCOVER消息后，会向客户端发送一个DHCP OFFER响应，该响应包含了提供的IP地址、子网掩码、租约时间以及其他相关的网络配置信息。

3. 请求（DHCP Request）：客户端在收到一个或多个DHCP OFFER后，会选择一个并发送DHCP REQUEST消息，请求所选择的IP地址及其配置参数。

4. 确认（DHCP Acknowledgement）：DHCP服务器收到REQUEST后，会发送DHCP ACK消息，确认分配的IP地址和网络配置参数。

5. IP地址租用：客户端在收到ACK消息后，就可以使用分配的IP地址进行网络通信。同时，客户端会启动一个定时器，用于在租约到期前重新申请IP地址。

6. 续租（DHCP Renew）：在租约时间过半时，客户端会尝试联系服务器进行续租。如果服务器同意，会发送DHCP ACK消息，客户端继续使用原IP地址。

7. 重新绑定（DHCP Rebind）：如果租约即将到期而客户端未能成功续租，它会再次尝试联系服务器。如果服务器不可用，客户端可能会尝试使用原IP地址直到完全无法通信。

DHCP协议使得网络设备能够自动获得IP地址等网络配置，无需手动设置，简化了网络管理，并且提高了网络的灵活性和可扩展性。在Android设备中，这一过程通常是自动进行的，用户无需干预。