Tấn công DoS vào máy chủ DHCP

DHCP là một giao thức dùng để cấu hình tự động các thiết bị. Thông thường, chúng là các thiết bị đầu cuối như máy tính, điện thoại hoặc máy in nhận địa chỉ IP, mask, default gateway,  DNS,… nhờ DHCP.

Nhưng điều gì sẽ xảy ra khi ai đó ngăn cản cơ chế này hoạt động? Sẽ không có kết nối mạng cũng như kết nối internet. Chúng ta gọi kiểu tấn công này là tấn công DoS (Tấn công từ chối dịch vụ).

Cuộc tấn công được gọi là “tấn công đói DHCP” dựa trên thực tế là mỗi máy chủ DHCP có số lượng địa chỉ IP được xác định chính xác có thể được cấp cho các thiết bị. Ví dụ: mạng con có thể là 192.168.0.0/24, đại diện cho một phạm vi tối đa là 253 địa chỉ có thể sử dụng cho máy khách.

Nhưng khi kẻ tấn công yêu cầu tất cả các địa chỉ IP có sẵn bằng cách ghi đè một số lượng lớn các địa chỉ MAC không có thật, máy chủ sẽ không có bất kỳ địa chỉ IP nào cung cấp cho các thiết bị mới.

Cuộc tấn công này thậm chí còn tạo cơ hội cho kẻ tấn công nắm bắt được lưu lượng truy cập. Sau khi tắt máy chủ DHCP, kẻ tấn công có thể chuyển sang máy chủ DHCP của riêng mình. Ví dụ: một máy chủ DNS giả mạo có thể được cung cấp trong cấu hình DHCP để tấn công bạn. Mình thấy đây là một cuộc tấn công nguy hiểm.

Mô phỏng cuộc tấn công

Mình sẽ cho bạn thấy cách thực hiện cuộc tấn công này dễ như thế nào. Mình sẽ sử dụng router và laptop của Cisco với bản phân phối KALI Linux để thử nghiệm. Mình sẽ sử dụng một công cụ có tên là Yersinia.

Cấu hình cơ bản của máy chủ DHCP trên bộ định tuyến CISCO

ip dhcp excluded-address 192.168.0.1
 !
 ip dhcp pool LAN
 network 192.168.0.0 255.255.255.0
 default-router 192.168.0.1
 dns-server 8.8.8.8

Sau khi kết nối trạm đầu tiên, mình thấy một địa chỉ IP được chỉ định.

R1-NETVEL#show ip dhcp binding

Mình cũng thấy một lượng nhỏ các yêu cầu DHCP đến với bộ định tuyến.

R1-NETVEL#show ip dhcp server statistics

Và chỉ một địa chỉ IP được chỉ định

R1-NETVEL#show ip dhcp pool

Khởi động cuộc tấn công

Mình sẽ sử dụng công cụ Yersinia. Bạn cũng có thể thực hiện việc này thông qua CLI, nhưng trong trường hợp này, mình thích GUI hơn. Bạn có thể mở nó bằng lệnh sau.

root@kali:~#yersinia -G

Hoặc bạn cũng có thể khởi động cuộc tấn công bằng vài cú click chuột thông qua giao diện đồ hoạ.

Bắt đầu: Khởi động cuộc tấn công -> gửi gói KHÁM PHÁ

Dừng: Liệt kê các cuộc tấn công -> Hủy cuộc tấn công

Sau một thời gian, máy chủ DHCP sẽ có nhiều yêu cầu hơn khả năng nó có thể xử lý. Đó là tấn công DoS.

R1-NETVEL#show ip dhcp binding

R1-NETVEL#show ip dhcp server statistics

R1-NETVEL#show ip dhcp pool

Như chúng ta thấy, cách tấn công tương đối đơn giản, nhưng rất nguy hiểm. Nó có thể được ngăn chặn bằng nhiều cách, chẳng hạn như giới hạn số lượng địa chỉ MAC đi qua cổng (bảo mật cổng) hoặc nếu chúng ta muốn ngăn kẻ tấn công cung cấp máy chủ DHCP của riêng mình, chúng ta có thể triển khai DHCP snooping.

Câu hỏi thường gặp

Tấn công “đói DHCP” là gì và nó hoạt động như thế nào?

Tấn công “đói DHCP” là một loại tấn công DoS (từ chối dịch vụ) nhắm vào máy chủ DHCP. Kẻ tấn công gửi một lượng lớn yêu cầu địa chỉ IP giả mạo, làm cạn kiệt nguồn địa chỉ IP khả dụng của máy chủ và ngăn cản các thiết bị hợp pháp nhận được địa chỉ IP, dẫn đến mất kết nối mạng.

Tôi có thể làm gì để bảo vệ mạng của mình khỏi tấn công “đói DHCP”?

Bạn có thể áp dụng các biện pháp như giới hạn số lượng địa chỉ MAC được phép truy cập, triển khai DHCP snooping để kiểm soát lưu lượng DHCP, và sử dụng các giải pháp tường lửa để lọc các yêu cầu DHCP bất thường.

Công cụ nào được sử dụng trong bài viết để mô phỏng cuộc tấn công “đói DHCP”?

Bài viết sử dụng công cụ Yersinia trên hệ điều hành Kali Linux để mô phỏng cuộc tấn công. Yersinia cung cấp giao diện đồ họa thuận tiện để thực hiện và quản lý cuộc tấn công.

Policy Based Assignment là một tính năng mới trong DHCP (Windows Server 2012). Cho phép cấp phát địa chỉ IP dựa trên chính sách. Policy Based Assignment (PBA) cho phép nhóm và phân loại các Client Device lại với nhau dựa trên một số thuộc tính trong gói tin Client Request, sau đó cấp phát IP theo chính sách mà người quản trị định nghĩa.

Mục đích của việc triển khai PBA là để dễ dàng phân loại các thiết bị và sắp xếp chúng vào một range IP nhất định , từ đó có thể dễ dàng quản trị và thiết lập một số tính năng tối ưu.

Nguyên tắc hoạt động của PBA dựa trên các trường (fields) trong gói tin Client Request :

• Vendor Class
• User Class
• MAC address
• Client Identifier
• Relay Agent Information

Multiple Device Type : phân loại các thiết bị quan trọng dựa trên thuộc tính của thiết bị (Vendor Class : IP Phone, Printer, Desktop) và sắp xếp chúng vào một range IP nhất định, tiếp theo người quản trị có thể thiết lập QoS (Quality of Service) cho range IP đó.

Multiple Role : có thể phân loại và tách rời các client device (Laptop, desktop, server) sang một range IP riêng biệt (range IP dành cho server, range IP dành cho desktop). Hơn nữa, nếu công ty có các client là laptop và chúng kết nối bằng Wireless trong công ty. Và nếu cấu hình cấp phát IP cho các thiết bị kết nối Wireless này ở dạng Relay Agent. Thì bạn có thể dùng trường Relay Agent Information để phân loại các thiết bị wireless này sang một range IP nhất định và cấu hình thời gian Lease Duration (thời gian mà địa chỉ IP tồn tại) là 4 tiếng. Ngoài ra còn có thể tắt (disable) tính năng Dynamic Update DNS cho các thiết bị này (đơn giản vì chúng không cần thiết)

Virtualization : đa số các máy ảo (Virtual machine) bạn tạo ra trong môi trường ảo hóa đều dùng một dãy Prefix MAC nhất định (ví dụ : Prefix MAC với 6 số đầu là 00-15-5D). Dựa trên Prefix MAC này, bạn có thể cấu hình PBA cho phép các máy ảo nằm trong một range IP nhất định, để từ đó có thể thiết lập các Option DHCP như : Default Gateway, DNS, Lease Duration.

B) Mô tả

Cấp phát địa chỉ :

1) Sau khi DHCP Server nhận được gói tin Client Request, nó sẽ xét Default Gateway để xác định gói tin đến từ Subnet nào, sau đó sẽ dò trong danh sách Scope để tìm ra Scope phù hợp với subnet đó.

2) Tiếp theo, DHCP Server sẽ kiểm tra trong Scope có cấu hình Policy Based Assignment hay không, và nếu có thì ưu tiên xét các chính sách trong PBA.

3) Nếu xét các policy trong PBA mà không phù hợp (match) với tất cả policy nào, thì DHCP Server sẽ cấp IP bình thường theo định nghĩa trong Scope. Nếu phù hợp thì tiến hành cấp IP trong chính sách mà ta qui định.

4) Một client request có thể match nhiều điều kiện trong chính sách đó. Và sẽ cấp địa chỉ IP thấp nhất trong range IP đó (172.1.1.31) , nếu địa chỉ IP thấp nhất đã được cấp thì sẽ lấy địa chỉ IP thứ 2 để cấp (172.1.1.32). Ngoài ra, trong một chính sách có thể cấu hình nhiều range IP (ví dụ : có 2 range, range 1 là 172.1.1.30 – 172.1.1.40 và range 2 là 172.1.1.70 – 172.1.1.80), thì hệ thống sẽ dùng range 1 trước, nếu range 1 hết thì lấy range 2 ra cấp). Trong trường hợp 2 range đã đầy và không còn địa chỉ IP nào để cấp, thì gói tin client request sẽ được DHCP Server hủy (drop).

Cấp phát Option : mỗi chính sách trong Scope sẽ có một Option (DNS, Default Gateway, Lease Duration) riêng biệt. Nếu client match với chính sách nào thì sẽ nhận IP và các Option trong chính sách đó.

C) Triển khai Policy Based Assignment

Mô hình :

• Máy AD (172.1.1.1/24) : Cài role DHCP và cấu hình PBA. Với 2 chính sách, một cho Client Computer (xét theo MAC Address), một cho các máy ảo trong Hyper-V1 Server (xét theo MAC Prefix).
• Máy Client Computer : Windows 8.1, xin cấp địa chỉ IP trong khoảng 172.1.1.34 – 172.1.1.35
• Hyper-V1 : có 2 máy ảo VM1 và VM2 xin cấp địa chỉ IP trong khoảng 172.1.1.37 – 172.1.1.39, tạo máy ảo có thể tham khảo tại đây.

Thực hiện :

1) Cài đặt DHCP trên máy AD

• Kích hoạt và cấp phép cho DHCP Server trong Domain

2) Tạo một Scope (IP Range, Default Gateway, DNS)

• Range IP từ : 172.1.1.30 – 172.1.1.40

• Default Gateway : 172.1.1.1 (AD.huypd.com)

• DNS : 172.1.1.1

• Tạo và kích hoạt cho phép sử dụng Scope.

3) Tạo chính sách cấp phát cho Client Computer

• Trước tiên, ta phải qua máy Client Computer, vào Run –> CMD –> gõ “Ipconfig /all” để xem địa chỉ MAC Address

• Tiếp theo, trên máy DHCP Server tạo một Policy

• Cơ chế : AND nếu match tất cả các điều kiện yêu cầu thì mới cấp | OR : chỉ cần match một trong các điều kiện yêu cầu ta cấu hình

• Critera : chọn MAC Address, sau đó nhập vào MAC Address ở ô Value và nhấn Add

• Nếu thỏa chính sách thì khai báo cấp IP ở từ khoản nào tới khoản nào trong Scope ta vừa tạo

• Tiếp theo cấu hình Default Gateway ở Option số “003 Router”

• Cấu hình DNS ở Option “006 DNS Server”

• Nhấn Finish để kết thúc

• Vào Client Computer gõ “Ipconfig /renew” và kiểm tra xem có cấp đúng theo Policy ta vừa tạo ra.

4) Cấp phát theo IP Prefix MAC Address cho các máy ảo

• Sau khi tạo 2 máy ảo, ta start 2 máy ảo lên

• Vào máy ảo 1 để coi địa chỉ MAC Address : 00-15-5D-01-02-0b

• Vào máy ảo 2 để coi địa chỉ MAC Address : 00-15-5D-01-02-0C

• Tiến hành New Policy trong DHCP Server

• So sánh 2 địa chỉ MAC Address của 2 máy ảo trên ta thấy chúng dùng chung một rang MAC Prefix (cố định) và bắt đầu từ : 00-15-5D-01 . Tiến hành khai báo vào với giá trị là “00155D01*” và stick vào ô Appen Wildcard (*) –> Nhấn Add

• Nếu thỏa chính sách thì khai báo cấp IP ở từ khoản nào tới khoản nào trong Scope

• Bước cuối cùng là vào máy ảo và gõ “Ipconfig /renew” để kiểm nghiệm lại quá trình cấu hình

A) Giới thiệu

DHCP Failover trong Windows Server 2012 là tính năng mới cho phép 2 DHCP Server cùng chia sẻ chung dịch vụ DHCP , tăng độ sẵn sàng (High Availability) và phục vụ liên tục trong mạng.

Khi 2 DHCP Server được cấu hình tính năng Failover, 2 bên sẽ replicate các scope và các thông tin cho nhau như DHCP Option, Reservations, Policies  và Active Lease (những IP đã được cấp và đang sử dụng). Và các DHCP Server này sẽ giao tiếp được với nhau là nhờ vào Failover Relationships

Thay vì replicate tất cả các Scope mà Primary DHCP Server có được qua cho Partner DHCP Server. Bạn cũng có thể định nghĩa cho phép một số scope được replicate với nhau.

B)  Đặc tính của DHCP Failover

• Tính năng DHCP Failover chỉ hỗ trợ từ Windows Server 2012
• DHCP Failover chỉ hỗ trợ DHCPv4.
• 2 DHCP Server sẽ duy trì liên lạc với nhau thông qua TCP/IP
• Có thể cấu hình trực tiếp DHCP Failover mà không cần stop hoặc restart dịch vụ DHCP
• 1 Scope chỉ cho hỗ trợ  tối đa 2 DHCP Server chạy Failover với nhau.
• 1 trong 2 máy DHCP Server có thể tự động thiết lập việc replicate và synchronize cho nhau.
• Client phải giao tiếp được cả 2 DHCP Server, có thể là trực tiếp hoặc có thể nhờ DHCP Relay.

C) DHCP Failover Relationships

DHCP 1 và DHCP 2 có thể thiết lập failover là nhờ vào Failover Relationships. Nó giống như là một kênh để 2 DHCP Server giao tiếp với nhau. Thuộc tính của Failover Relationships gồm :

• 1 mối quan hệ (Failover Relationship) chỉ hỗ trợ tối đa 2 DHCP Server
• DHCP Server A cho phép tạo tối đa 31 mối quan hệ (Failover Relationship) với một DHCP Server B. Nhưng DHCP Server A cũng có thể tạo nhiều mối quan hệ giữa các DHCP Server khác trong mạng như C,D,E,F.
• Trên failover relationship có thể chứa một hoặc nhiều scope (tùy thuộc ta cấu hình)

Mô hình trên mô tả mối quan hệ giữa các DHCP Server với nhau :

• DHCP 1 – DHCP 2 : giao tiếp với nhau nhờ vào kênh Failover Relationship 1, và kênh này có tên là DHCP1-DHCP2. Trên kênh này chứa 2 Scope là A và B, 2 bên sẽ định nghĩa một shared secret để trao đổi với nhau. Và chạy cơ chế Load-Balancing (50-50).
• DHCP 2 – DHCP 3 : giao tiếp với nhau nhờ vòa kênh Failover Relationship 2, và có tên là DHCP3-DHCP2. Trên kênh này dùng Scope B để phục vụ, 2 bên cũng định nghĩa một shared secret key để giao tiếp với nhau. Chạy cơ chế Hot Standby ( DHCP 3 là active, DHCP 2 là standby).

 D) DHCP Failover Mode

Có 2 cơ chế chạy trong DHCP Failover là Hot Standby và Load Balancing

1. Hot Standby (Active – Passive)

• Sẽ có một server là active và server còn lại là standby. Server chạy active sẽ chịu trách nhiệm phục vụ cấp địa chỉ IP trong mạng khi client request. Server chạy standby còn lại là để dự phòng và không phục vụ, chỉ khi DHCP Server Active chết thì nó mới đứng ra thay thế.

• Một DHCP Server có thể là active của Failover Relationship 1 (Hot Standby) nhưng cũng có thể là standby của Failover Relationship 2 (Hot Standby)
• Khi bạn cấu hình Hot standby mode, có một thông số là Reserved IP address, mặc định là 5%. Thông số này có nghĩa là Standby server sẽ giữ 5% lượng IP trong Scope để nhằm phục vụ cho client trong trường hợp client không liên lạc được với Active server để nhờ cấp IP (trong khi Active server vẫn tồn tại trong mạng).
• Thông số Maximum Client Lead Time (MCLT) là thời gian mà Standby server gia hạn IP cho client. Trường hợp này xảy ra khi client đã được cấp IP và đến lúc gia hạn lại mà không liên lạc được với Active server, thì lúc này Standby server đứng ra gia hạn cho client và áp dụng thời gian gia hạn tạm thời (MCLT).
• Sau khi gia hạn cho client với một thời gian MCLT. Khi client hết hạn mà vẫn không liên lạc được với Active server, lúc này Standby server sẽ tiếp tục gia hạn chứ không cấp IP mới cho client.

 2. Load Balance :

• 2 DHCP Server failover sẽ cùng phục vụ việc cấp địa chi IP trong mạng cho client. Mặc định tỷ lệ phục vụ là 50% – 50%, bạn có thể tùy chỉnh 70 % – 30 %.

• Thuật toán sẽ dựa trên RFC 3074, tức là lấy địa chỉ MAC của client đem đi hash (băm). Sau đó so sánh với Hash bucket. Ví dụ cấu hình load balancing 50% – 50%, thì lúc này Hash bucket của DHCP Server 1 là từ 1 đến 128, hash bucket của DHCP Server 2 là từ 129 đến 256. Nếu hash của client nằm trong range 1 à 128 thì DHCP Server 1 sẽ phục vụ request của client này, nếu client nằm trong 129 à 256 thì DHCP Server 2 sẽ phục vụ.

Về việc phân bổ địa chỉ IP cho 2 DHCP Server tùy thuộc vào tỷ lệ phần trăm. Ví dụ, ta có một scope 10.0.0.0/24, từ 10.0.0.1 đến 10.0.0.200 và tỷ lệ là 50 % – 50 %. Thì DHCP Server 1 sẽ giữ resource IP từ 10.0.0.1 đến 10.0.0.100 và DHCP 2 sẽ giữ từ 10.0.0.101 đến 10.0.0.200. Nếu client request và được DHCP 1 phục vụ thì sẽ bắt đầu từ 10.0.0.1, còn client request mà được DHCP 2 phục vụ thì bắt đầu từ 10.0.0.101.

E)     DHCP Failover Communication

Phần 2

Phần này sẽ hướng dẫn cấu hình DHCP Failover theo 2 cơ chế : Load Balancing và Hot Standby

A) Mô hình như sau :

• Máy DHCP Server 1 : là máy Domain Controller với domain “Huypd.com”, cài tính năng DHCP Server
• Máy DHCP Server 2 :  join domain + đặt IP + cài tính năng DHCP để làm DHCP Server thứ 2
• Client : Windows 8.1 + Test

B) Cấu hình

1) Cài đặt tính năng DHCP cho cả 2 Server (thực hiện trên cả 2 máy)

• Tiến hành Authorize để xác minh DHCP Server này là “tin tưởng” trong Domain.

2) Tạo một Scope cho DHCP Server (bước này bạn muốn cấu hình trên DHCP Server 1 hoặc 2 cũng được), ở đây tôi tạo một Scope 172.1.1.0 có thông số như sau :

• IP Range từ 172.1.1.150 đến 172.1.1.200
• Exclusive IP : loại trừ những IP trong 172.1.1.150 đến 172.1.1.160
• Default Gateway : 172.1.1.1
• DNS : 172.1.1.1

• Hoàn thành cấu hình và đồng thời kích hoạt Scope này.

3) Tiếp theo là cấu hình tính năng Failover DHCP

1. Cấu hình cơ chế Load-Balancing

• Chọn Scope mà cả 2 DHCP Server sẽ dùng để chạy Failover (bước này tương đương tạo 1 Failover Relationships)

• Nếu bạn có nhiều scope, bước này sẽ cho bạn lựa chọn thêm

• Khai báo Partner Server (DHCP Server thứ 2) của mình.

• Bước này chọn cơ chế Failover, chọn Load-Balancing. Thông số phần trăm (%) là tỷ lệ phục vụ, đồng thời cũng dựa trên thông số này mà Split scope (chia range IP) theo tỷ lệ tương ứng. Ở đây tôi để mặc định 50-50, tức DHCP Server 1 sẽ giữ 50% lượng IP (từ 172.1.1.161 đến 172.1.1.180) và DHCP Server 2 sẽ giữ range IP từ (172.1.1.181 đến 172.1.1.200)
• Stick vào “Enable Message Authentication” và khai báo một shared secret. Key này dùng chung để trao đổi và chứng thực cho 2 bên . Key này sẽ được dùng để Hash (băm) nội dung trong gói tin, trước khi gửi đi. Ví dụ, nếu DHCP Server nhận được một gói tin  cập nhật (trong gói tin gồm data, giá trị băm)  nó sẽ lấy key của mình đem băm với data của gói tin sau đó so sánh với giá tri băm của trong gói tin. Nếu match (đúng) thì cho là DHCP Server gửi đến thuộc Failover Relationship với mình và tiến hành cập nhật những gì trong gói tin nhận được đó, nếu sai thì sẽ hủy gói tin và gửi gói tin thông báo lý do cho bên kia biết.
• State Switchover Interval : thông số này có ở 2 bên. Nếu trong một khoảng thời gian 60 phút (tùy thuộc cấu hình) mà  Partner của mình không liên lạc, thì DHCP Server sẽ cho là Partner Server của mình chết.

• Hoàn tất việc cấu hình

• Xem thống kê và thông tin chi tiết về Scope

• Lúc này qua bên DHCP Server thứ 2 để kiểm tra sẽ thấy trong DHCP có scope

• Test tính năng Load-Balancing : trên máy client vào Run –> CMD –> để thực hiện các lệnh IPCONFIG

• Gõ Ipconfig /release để xóa IP đang dùng

• Dùng lệnh Ipconfig /renew để xin địa chỉ IP mới

• Gõ Ipconfig /all để xem chi tiết thông tin về IP, lúc này ta thấy DHCP Server cấp IP là DHCP Server 2 (172.1.1.2)

• Tiếp theo, ta giả sử DHCP Server 2 (172.1.1.2) chết (có thể shutdown), gõ lại Ipconfig /release và ipconfig /renew lại

• Gõ Ipconfig /all để xem thông tin IP được cấp, lúc này DHCP Server 1 sẽ phục vụ cấp địa chỉ IP cho client

 2. Cấu hình cơ chế Hot-Standby 

• Thực hiện như các bước bên Load-Balancing, nhưng đến bước chọn cơ chế thì chọn Hot standby.
• Partner Server sẽ là DHCP Server 2 và cho nó là Standby (Passive) – dự phòng. Và hiển nhiên DHCP Server 1 là Hot Standby (Active)
• MCLT : là thời gian mà Standby server gia hạn IP cho client. Trường hợp này xảy ra khi client đã được cấp IP và đến lúc gia hạn lại mà không liên lạc được với Active server, thì lúc này Standby server đứng ra gia hạn cho client và áp dụng thời gian gia hạn tạm thời (MCLT).
• Address Reserved : là phần trăm (%) lượng IP mà DHCP Server 2 sẽ giữ để cấp cho Client trong trường hợp Client không liên lạc được với DHCP Server 1 (Active)

• 10% địa chỉ IP tương đương với 4 địa chỉ.

• Test : trên client gõ Ipconfig /release và ipconfig /renew . Sau đó gõ tiếp Ipconfig /all để xem thông tin. Lúc này DHCP Server 1 (Active) sẽ chịu trách nhiệm cấp địa chỉ IP cho Client.

• Cho DHCP Server 1 chết (shutdown), và thực hiện lại các lệnh Ipconfig /release, /renew, /all . Lúc này thông tin cho thấy DHCP Server 2 thực hiện cấp IP cho Client