Rogue-DHCP-Server, DHCP-Spoofing und DoS-Angriffe verhindern DHCP-Schwachstellen erkennen

DHCP-Server können im Netzwerk eine große Gefahr darstellen, wenn sie Client-Computer auf Fake-Ressourcen umleiten und dadurch heikle Daten preisgeben. Unternehmen und Admins sollten sich mit dem Thema auseinandersetzen, und sich mit Abwehrmaßnahmen vertraut machen.

Rogue-DHCP-Server und DHCP-Spoofing-Angriffe stellen erhebliche Sicherheitsrisiken in Unternehmensnetzwerken dar. Ein Rogue-DHCP-Server kann Clients falsche IP-Konfigurationen zuweisen, wodurch Angreifer den Netzwerkverkehr umleiten und potenziell sensible Daten abfangen können. DHCP-Spoofing ermöglicht es Angreifern, sich als legitimer DHCP-Server auszugeben und so Man-in-the-Middle-Angriffe durchzuführen. Ein spezifischer Angriffstyp, die DHCP-Starvation-Attacke, überflutet den DHCP-Server mit Anfragen, bis alle verfügbaren IP-Adressen vergeben sind, was zu einem Denial-of-Service führt und legitime Clients vom Netzwerkzugang ausschließt.

Angriffe per DHCP sind keine Theorie

Im Jahr 2024 wurden mehrere Schwachstellen im Zusammenhang mit DHCP-Angriffen identifiziert, die erhebliche Sicherheitsrisiken für Unternehmensnetzwerke darstellen. Eine bedeutende Schwachstelle, bekannt als CVE-2024-3661, ermöglicht es Angreifern, den Datenverkehr eines Zielnutzers aus seinem VPN-Tunnel zu leiten, indem sie Funktionen des Dynamic Host Configuration Protocol (DHCP) ausnutzen. Dieser Angriff, als TunnelVision bezeichnet, nutzt die DHCP-Option 121, um Routing-Informationen zu manipulieren und so den VPN-Tunnel aufzubrechen. Infolgedessen können Angreifer den Datenverkehr abfangen, obwohl die VPN-Anwendung anzeigt, dass alle Daten über die geschützte Verbindung gesendet werden. Besonders besorgniserregend ist, dass diese Technik möglicherweise bereits seit 2002 existiert und in freier Wildbahn eingesetzt wurde.

Bildergalerie

Ein weiterer Angriff, der im Dezember 2023 bekannt wurde, betrifft das Spoofing von DNS-Datensätzen durch Ausnutzung der dynamischen Updates von DHCP in Active-Directory-Domänen. Forscher von Akamai entdeckten, dass Angreifer ohne Anmeldedaten und mit Standardkonfiguration des Microsoft DHCP-Servers DNS-Datensätze fälschen können, indem sie die DHCP DNS Dynamic Updates-Funktion missbrauchen. Dies kann zu Man-in-the-Middle-Angriffen führen und die gesamte Active Directory-Domäne gefährden.

DHCP-Snooping kann Netzwerke schützen

Diese Vorfälle unterstreichen die Notwendigkeit, Netzwerke proaktiv gegen DHCP-basierte Angriffe zu schützen. Techniken wie DHCP-Snooping können dabei helfen, unautorisierte DHCP-Server zu erkennen und zu blockieren, um die Integrität und Sicherheit des Netzwerks zu gewährleisten. DHCP-Snooping ist eine Sicherheitsfunktion, die in Switches integriert ist, um Netzwerke vor Angriffen durch Rogue-DHCP-Server und DHCP-Spoofing zu schützen. Die Funktion überwacht DHCP-Verkehr und trennt ihn in vertrauenswürdige und nicht vertrauenswürdige Ports. Vertrauenswürdige Ports sind typischerweise mit autorisierten DHCP-Servern verbunden, während nicht vertrauenswürdige Ports Geräte umfassen, die keine DHCP-Server sein sollten.

DHCP-Snooping erstellt eine Binding-Tabelle, die MAC-Adressen, IP-Adressen, Lease-Zeiten, VLANs und Ports der Clients speichert. Diese Tabelle wird verwendet, um sicherzustellen, dass nur autorisierte Geräte auf die entsprechenden IP-Adressen zugreifen können. Angriffe wie DHCP-Starvation, bei denen ein Angreifer den DHCP-Server mit Anfragen überlastet, lassen sich durch die Begrenzung der DHCP-Nachrichten pro Port effektiv verhindern. Diese Funktion bildet auch die Basis für weitere Sicherheitsmaßnahmen, wie Dynamic ARP Inspection (DAI), um ARP-Spoofing-Angriffe zu blockieren. DHCP-Snooping ist daher ein wesentlicher Bestandteil einer umfassenden Netzwerksicherheitsstrategie.

Analyse und Absicherung von DHCP-Servern mit spezialisierten Tools

Neben DHCPig gibt es weitere spezialisierte Tools wie Yersinia und dhcpdump, die sich in Kombination einsetzen lassen, um Schwachstellen in DHCP-Implementierungen aufzudecken und gezielt Maßnahmen zur Absicherung zu ergreifen. Die Installation von dhcpdump erfolgt am Beispiel von Ubuntu oder auch auf Kali-Linux:

Yersinia bietet Funktionen zur Analyse von Schwachstellen in verschiedenen Netzwerkprotokollen, darunter DHCP. Es ermöglicht, gezielt Angriffe wie Rogue-DHCP-Server oder Starvation zu simulieren, um die Reaktion des Netzwerks zu überprüfen. Durch diese Simulationen können Administratoren die Wirksamkeit ihrer Sicherheitsmaßnahmen testen und Anpassungen vornehmen.

Bei dhcpdump handelt es sich um ein schlankes Tool, das den DHCP-Verkehr detailliert protokolliert und analysiert. Um DHCP-Pakete aufzuzeichnen, kann tcpdump verwendet werden. Ein typischer Befehl dazu lautet:

Dieser Befehl speichert den DHCP-Verkehr an den Ports 67 und 68 auf der Netzwerkschnittstelle eth0 in der Datei dhcp_traffic.pcap. Die Analyse dieser Pakete erfolgt anschließend mit dhcpdump durch den Befehl "dhcpdump -f dhcp_traffic.pcap". Dabei werden alle wichtigen Informationen, wie MAC-Adressen, angeforderte DHCP-Optionen und die vom Server bereitgestellten Antworten, strukturiert angezeigt.

Für eine Echtzeitanalyse lässt sich dhcpdump direkt mit tcpdump kombinieren. Mit dem folgenden Befehl wird der DHCP-Verkehr auf der Schnittstelle eth0 in Echtzeit analysiert:

Administratoren können so unmittelbar auf DHCP-Anfragen und -Antworten reagieren, etwa um Konfigurationsprobleme oder unerwartetes Verhalten wie Rogue-DHCP-Server zu identifizieren.

Um gezielt den Verkehr eines bestimmten Geräts zu überwachen, kann der Filter tcpdump -i eth0 'port 67 or port 68 and (host 192.168.1.100)' genutzt werden. Dadurch werden nur Pakete des Geräts mit der IP-Adresse 192.168.1.100 erfasst. Nach der Aufzeichnung lassen sich diese Daten mit dhcpdump auswerten, um etwa zu prüfen, welche DHCP-Optionen das Gerät anfordert und welche Antworten es erhält. Eine häufige Anwendung von dhcpdump ist die Identifikation eines Rogue-DHCP-Servers. Dazu wird zunächst der DHCP-Verkehr mit tcpdump erfasst. Anschließend zeigt dhcpdump, ob mehrere DHCP-Offer-Pakete von verschiedenen Servern stammen. Dieses Vorgehen ermöglicht es, unautorisierte Server schnell zu identifizieren und zu isolieren, bevor sie Schaden anrichten können.

DHCPig: Effektive Durchführung von DHCP-Starvation-Angriffen

Das Tool DHCPig ist darauf spezialisiert, DHCP-Starvation-Angriffe durchzuführen und Netzwerke auf deren Belastbarkeit und Sicherheitskonfiguration zu testen. Es nutzt eine kontrollierte Methode, bei der DHCP-Discover-Pakete in einem moderaten Tempo gesendet werden, sodass der Server sie vollständig verarbeitet. Im Gegensatz zu einer Flooding-Attacke, bei der der Server durch eine Überflutungsmenge von Anfragen überlastet wird, verfolgt DHCPig die Antworten des Servers präzise. Sobald ein DHCP-Offer empfangen wird, sendet das Tool eine Request-Nachricht, um die IP-Adresse zu beanspruchen. Dieser Prozess wird so lange wiederholt, bis der gesamte IP-Pool des DHCP-Servers erschöpft ist.

Um mit DHCPig einen Angriff zu starten, genügt ein einfacher Befehl wie dhcpig -i eth0, wobei eth0 die Netzwerkschnittstelle des Angreifers darstellt. Der Befehl weist DHCPig an, die Schnittstelle zu verwenden und den Prozess automatisch zu steuern. Es werden DHCP-Discover-Pakete gesendet, Offer-Pakete empfangen und die IP-Adressen durch Requests reserviert. Innerhalb kurzer Zeit sind alle verfügbaren IP-Adressen belegt, sodass neue Geräte keine IP mehr erhalten und vom Netzwerk ausgeschlossen bleiben.

Besonders interessant ist die Möglichkeit, die Angriffe detailliert zu überwachen. Mit Tools wie Wireshark lässt sich analysieren, welche Pakete DHCPig sendet und welche Antworten vom Server kommen. Diese Daten sind wertvoll, um die Protokollierung des Servers zu prüfen und mögliche Schwachstellen zu identifizieren. DHCPig kann darüber hinaus durch das Senden von sogenannten Gratuitous-ARP-Paketen sogar bestehende Clients stören, indem es IP-Konflikte simuliert und Windows-Geräte dazu zwingt, ihre IP-Adressen aufzugeben. Das verschärft die Auswirkungen des Angriffs, da keine neuen IP-Adressen zugewiesen werden können.

Maßnahmen zur Absicherung von DHCP-Servern

Zur Absicherung von DHCP-Servern sind mehrere Schritte möglich:

• DHCP-Snooping aktivieren: Diese Funktion trennt vertrauenswürdige und nicht vertrauenswürdige Ports und verhindert, dass unerwünschte DHCP-Server Zugriff auf das Netzwerk erhalten.

• Rate-Limiting einführen: Durch die Begrenzung der Anzahl zulässiger DHCP-Anfragen pro Port lässt sich DHCP-Starvation wirksam unterbinden.

• Bindungstabellen nutzen: DHCP-Snooping erstellt Binding-Tabellen, die mit MAC-Adressen, IP-Adressen und VLAN-Informationen gefüllt werden. Diese Tabellen können als Grundlage für weitere Schutzmaßnahmen wie Dynamic ARP Inspection dienen.

• Regelmäßige Analysen durchführen: Der Einsatz von Tools wie Yersinia und dhcpdump ermöglicht eine kontinuierliche Überwachung und Schwachstellenanalyse. Durch regelmäßige Tests lassen sich neue Angriffsmethoden erkennen und Sicherheitskonzepte entsprechend anpassen.

(ID:50304571)