T1557.003: DHCP 欺骗

摘要

攻击者可能通过欺骗动态主机配置协议（DHCP）流量并在受害者网络上充当恶意 DHCP 服务器，将网络流量重定向到攻击者拥有的系统。通过实现中间人（AiTM）位置，攻击者可以收集网络通信，包括传递的凭据，尤其是在不安全、未加密的协议上发送的凭据。这也可能启用后续行为，如[网络嗅探](https://attack.mitre.org/techniques/T1040)或[传输数据操纵](https://attack.mitre.org/techniques/T1565/002)。 DHCP 基于客户端-服务器模型，具有两种功能：一种用于从 DHCP 服务器向客户端提供网络配置设置的协议，以及一种用于向客户端分配网络地址的机制。(Citation: rfc2131) 典型的服务器-客户端交互如下： 1. 客户端广播 `DISCOVER` 消息。 2. 服务器以 `OFFER` 消息响应，其中包含可用的网络地址。 3. 客户端广播 `REQUEST` 消息，其中包含所提供的网络地址。 4. 服务器以 `ACK` 消息确认，客户端接收网络配置参数。 攻击者可能在受害者网络上伪造成流氓 DHCP 服务器，合法主机可能从中接收恶意网络配置。例如，恶意软件可以充当 DHCP 服务器并向受害计算机提供攻击者拥有的 DNS 服务器。(Citation: new_rogue_DHCP_serv_malware)(Citation: w32.tidserv.g) 通过恶意网络配置，攻击者可以实现 AiTM 位置，将客户端流量路由通过攻击者控制的系统，并从客户端网络收集信息。 DHCPv6 客户端可以通过向 `All_DHCP_Relay_Agents_and_Servers` 多播地址发送 <code>INFORMATION-REQUEST (code 11)</code> 消息，在不被分配 IP 地址的情况下接收网络配置信息。(Citation: rfc3315) 攻击者可能使用其流氓 DHCP 服务器以恶意网络配置响应此请求消息。 攻击者还可能不是建立 AiTM 位置，而是滥用 DHCP 欺骗执行 DHCP 耗尽攻击（即[服务耗尽洪水](https://attack.mitre.org/techniques/T1499/002)），通过生成大量广播 DISCOVER 消息来耗尽网络的 DHCP 分配池。