网络安全协议分析课件：DHCP攻击及其解决方案.pptxVIP

DHCP攻击及其解决方案

网络安全访问控制—DHCP安全管理

DHCP选项和消息类型

DHCP安全问题

DHCP存在问题的解决办法

DHCP选项和消息类型

DHCP依赖于其可选项来提供真正的灵活性。正如你所看到的那样，数据包的DHCP选项在大小和内容上都可以变化。数据包的整体大小则取决于其所使用的选项。

所有DHCP数据包都需要的唯一选项就是消息类型选项（选项53)。这个选项标识着DHCP客户端或者服务器将如何处理数据包中的信息。在下表中给出了所定义的8种消息类型。

DHCP选项和消息类型

类型号

消息类型

发现

客户端用来定位可用的DHCP服务器

提供

服务器用来给客户端发送发现数据包的响应

请求

客户端用来请求服务器所提供的参数

拒绝

客户端向服务器指明数据包的无效参数

ACK

服务器向客户端发送所请求的配置参数

NAK

客户端向服务器拒绝其配置参数的请求

释放

客户端向服务器通过取消配置参数来取消租约

通知

当客户端已经有IP地址时客户端向服务器请求配置参数

DHCP安全问题

1.DHCPServer的冒充。因为DHCP服务器和客户端之间没有认证机制，因此如果随意添置一台DHCP服务器来处理客户端发来的请求，客户端也不会发现什么端倪。而假冒的服务器可以为客户端分配错的IP地址和其他网络参数，从而对网络造成非常大的危害。

DHCP安全问题

2.DHCPStarvation（耗竭攻击）。DHCP服务器通过检查客户端发送过来的DHCP请求报文中的CHADDR（即客户端的MAC）字段来判断客户端的MAC地址。不同的CHADDR在DHCP服务器看来代表不同的客户端，因此如果攻击者伪造了很多不同CHADDR的DHCP报文请，那么DHCP服务器就会不停地为这些虚假的MAC分配IP，导致SHCP服务器上的地址被耗尽，从而无法为正常的用户分配IP。

DHCP安全问题

一旦正常的SHCP服务器瘫痪了之后，攻击者就会假冒DHCP服务器为正常用户分配虚假的IP等网络参数。而拿到错误地客户端所发送的数据全部送到了错误的地址。在进行金融方面的操作的时候可能客户端拿到的就是错误的IP，比如一些钓鱼网站就是利用这个来进行欺骗用户的。

DHCP问题解决办法

解决办法—DHCPsnooping（DHCP监听）

基于DHCP监听有两种实现方法：

1.限速。将接受DHCP报文的速率限制在某个乏味内，如每秒不超过10个包，这样子就可以有效地避免DHCP地址池被耗尽。

2.端口分类。将交换机的端口分为信任端口和非信任端口。信任端口是连接合法DHCP服务器的端口或者连接汇聚交换机的上行端口。非信任端口通常为连接终端设备的端口，如计算机等。连接在非信任端口的用户只能发送DHCP请求，其余的消息就算用户发送了出去，费信任端口还是会丢弃掉，不做任何的处理。并且只有通过交换机检查的DHCP请求才会被允许通过，如果DHCP请求报文中的源MAC地址和DHCP客户机的硬件地址不一样的话就同样会丢弃。这种方法也很好的防止了DHCP耗竭攻击。

谢谢