CCNA Sécurité : Attaques informatiques : Attaque 2 : Épuisement des ressources DHCP (DHCP Starvation)

Sécurité des réseaux informatiques

Attaques informatiques :

Attaque 2 : Épuisement des ressources DHCP (DHCP Starvation)

Objectif :

·           Réaliser une attaque DHCP Starvation

·           Réaliser une solution pour l’attaque DHCP Starvation en utilisant la surveillance DHCP

Matériel nécessaire :

·           Une machine KALI LINUX (Kali) et des ordinateurs virtuels GNS3

·           Un commutateur Cisco (SW1) et un routeur Cisco « DHCP »

·           Le travail est réalisé en utilisant le simulateur GNS3

1)  Préparation de l’environnement de travail :

Nous allons utiliser le schéma suivant dans le simulateur GNS3.

Le routeur R1 est configuré comme serveur DHCP autorisé pour attribuer automatiquement la plage des adresses 192.168.0.0/24.

Les ordinateurs du réseau sont configurés pour obtenir l’adresse IP à partir du serveur DHCP.

Pour le simulateur GNS3, on peut utiliser des ordinateurs virtuels pour le test.

La commande « ip dhcp » permet de demander au serveur DHCP une adresse IP.

La commande « show ip » sur les ordinateurs virtuels permet d’afficher la configuration IP.

Au niveau de la machine du pirate, l’adresse est « 192.168.0.5/24 »

2)  Réalisation de l’attaque « Épuisement de ressources DHCP(DHCP Starvation)

1)    Lancer l’attaque « Épuisement des ressources DHCP »« DHCP Starvation » en utilisant l’outil « Yersinia » en mode graphique.

2)    Une fenêtre s’affiche. Cliquez sur « Launch Attack » (Lancer l’attaque)

3)    Une nouvelle fenêtre s’affiche. Cliquez sur « DHCP » puis choisissez «Sending Discover packet ».

Cette attaque est une attaque par « déni de service par stauration » qui consiste à envoyer beaucoup de paquets « DHCP DISCOVER » au serveur DHCP afin d’épuiser toutes ses ressources.

Une fois les ressources du DHCP sont épuisées, aucun client ne peut obtenir une adresse IP.

4)    Après avoir cliqué sur « OK », l’attaque est lancée et le résultat suivant s’affiche.

5)    Au niveau du routeur (qui est notre serveur DHCP), toutes les adresses sont attribuées et le serveur DHCP ne possède aucune adresse pour satisfaire les besoins de ses clients.

6)    L’ordinateur « PC3 » ne peut pas obtenir une adresse IP car toutes les adresses sont attribuées.

7)    Si on veut que l’ordinateur « PC3 » obtienne une adresse IP, on arrête l’attaque et réinitialise la plage des adresses IP attribuées au niveau du serveur DHCP.

·         Arrêter l’attaque :

·         Réinitialiser la plage des adresses attribuées.

·         Afficher les adresses IP attribuées.

·         Essayez de demander une adresse IP au serveur DHCP à partir du « PC3 »

Une adresse est attribuée correctement.

3)  .Implémentation de la surveillance DHCP (DHCP Snooping) :

La solution contre l’attaque « DHCP Starvation » est la configuration de la surveillance DHCP.

1)   Activer la surveillance DHCP globalement et pour le VLAN 1.

2)   Lancer l’attaque « DHCP Starvation » en utilisant « Yersinia –G »

3)   Si vous tentez d’obtenir une adresse IP pour l’ordinateur « PC3 » par exemple, aucune adresse n’est obtenue. Ceci parce qu’une fois que vous activez la surveillance DHCP, tous les ports sont considérés comme des ports non approuvés y compris le port connecté au serveur DHCP « R1 ». Ainsi, toutes les réponses « DHCP OFFER » sont arrêtées.

4)   Arrêter l’attaque et continuer la configuration de la surveillance DHCP.

5)   Configurer le port connecté au serveur DHCP « R1 » comme port de confiance.

6)   Déactiver l’option 82 « Agent de relais DHCP »

7)   Si on demande maintenant une adresse IP au serveur DHCP « R1 », le serveur répond sans problème.

8)   Limiter le nombre de paquet « DHCP DISCOVER » au niveau des ports connectés aux clients DHCP.

9)   Si on lance maintenant de nouveau l’attaque, nous allons obtenir le message suivant sur la console.

10) Le port Et0/3 auquel se connecte le pirate est arrêté et il est en mode « ERR-DISABLED » à cause du dépassement de la limite des paquets « DHCP DISCOVER ».

11) Afficher l’état de la récupération automatique des ports.

Pour « DHCP-RATE-LIMIT », elle est désactivée.

12) Activez l’option de la récupération automatique pour « DHCP-RATE-LIMIT » après une durée de 60 secondes.

13) Lancez et arrêtez l’attaque pour provoquer l’arrêt du port. Puis, surveiller l’état du port. Vous allez constater que le port s’active automatiquement après 60 secondes.