您所在位置：网站首页 > 办公文档 > 模板/表格DHCP攻防分析

DHCP攻防分析

5页

卖家[上传人]：碎****木

文档编号：201065159

上传时间：2021-10-08

文档格式：DOCX

文档大小：416.54KB

文档加载中……请稍候！
如果长时间未打开，您也可以点击刷新试试。

下载文档到电脑，查找使用更方便

10 金贝

/ 5 举报版权申诉马上下载

文本预览

下载提示

常见问题

1、关于当前电信网络 DHCP 攻击防备的分析一、当下常见的 DHCP 攻击类型：21、用户自己设置 IP 地址造成 ip 冲突22、用户伪装成 dhcp 服务器23、Dos用户不停的换 mac 造成 dhcp 地址耗尽3二、各厂商对于 DHCP 攻击防备的支持状况4三、小结：41 一、当下常见的 DHCP 攻击类型：1.1 1、用户自己设置 IP 地址造成 ip 冲突由于 DHCP 地址为按序安排，当一个用户通过认证的到地址时，另一个用户假如接受自己设置的同一个地址进行登陆，明显就会造成地址的冲突。对于此类攻击最有效的方法就是在 BRAS 上禁止用户使用自己手工配置的IP 上网但是对于电信现有的网络，ip 地址是 BRAS 和 radius 协商互动后才能够进行安排的，所以自设 ip 的用户能一般来说我们认为它将认证失败。1.2 2、用户伪装成 dhcp 服务器首先明确一些基本概念1，DHCP 是动态主机配置协议，主要用来让PC 机自动获得 IP 地址，子网掩码，默认网关等信息2，DHCP 的发包方式为广播3，当有多个 DHCP 的回应时，使用最先到达的回应OK，依据上面的理论，我们就有

2、了以下的攻击方式，DHCP 哄骗攻击。请看下图以上就是 DHCP 哄骗攻击的全过程。但是对于现有的 IP 城域网来说，以用户一 vlan 的工作模式本身就可以很好的防范此类攻击，由于全部的用户的广播域中只有自己一个人，因而最初的 DHCP 恳求报文只可能到达用户的上行 BRAS，因而现有的城域网不存在 DHCP 哄骗攻击产生的基本条件，所以这种攻击在 PPPoE 用户间可以忽视，但是在 Wlan 的环境下同一 AP 下的主机之间此类攻击仍旧有产生的余地，但是范围相对较小，把握性不强。1.3 3、Dos用户不停的换 mac 造成 dhcp 地址耗尽DHCP 耗竭的攻击通过利用伪造的 MAC 地址来广播 DHCP 恳求的方式来进行。利用诸如gobbler 之类的攻击工具就可以很简洁地造成这种状况。假如所发出的恳求足够多的话，网络攻击者就可以在一段时间内耗竭向 DHCP 服务器所供应的地址空间。结果当合法用户恳求一个 DHCP IP 地址的时候也会被拒绝，并因此而不能访问网络。这种攻击本身是纯粹的服务拒绝（DoS）机制，但也可以和 DHCP 哄骗联合使用。DHCP 耗竭攻击的防范相对主流的方

3、法是通过限制交换机端口的 MAC 地址的数目，防止 CAM 表沉没的技术也可以防止 DHCP 耗竭。但事实上在现行电信的网络中，只有通过认证的用户才能够有条件要求 bras 对其进行地址安排，在这种环境下 DOS 攻击能否成立未知（我们认为应当是不成立的）。2 二、各厂商对于 DHCP 攻击防备的支持状况RedbackSE800在一个接口上，假如启用了使用 DHCP 方式安排 IP 地址，SmartEdge 可以禁止下联用户接受手工安排的 IP 地址上网。该功能无需配置SmartEdge 可以限制每个用户最多允许申请的IP 地址数。subscriber name xxxdhcp max-addrs 100HUAWEIME60 和 HUAWEIMA5200GnBras 本身不能对于 DHCP 耗竭攻击进行把握，只能寄期望与 radius 上的用户限制或是接入侧交换机的限制。但是对于每个域可以通过 Access limit 设置域的用户数量限制。JUNIPERE320 和 JUNIPEREX1400只能做到对于 dhcp 报文进行流量限制，防止巨大的dhcp 流量3 三、小结：综上所述，我们认为目前的电信网络结构对于DHCP 攻击的防护还是比较有利的，主要能做的是在 radius 认证服务器上关于认证进行把握，加强员工的保密意识，而设备方面能做到的把握并不多。

《DHCP攻防分析》由会员碎****木分享，可在线阅读，更多相关《DHCP攻防分析》请在金锄头文库上搜索。

点击阅读更多内容

TA的资源