非法DHCP 的原理
非法DHCP欺骗（Illegitimate DHCP Spoofing）是一种网络攻击技术，攻击者通过在网络中设置一个虚假的DHCP服务器来干扰正常的网络通信。这种攻击可以导致合法客户端接收到错误的网络配置信息，进而引发多种安全问题。以下是非法DHCP欺骗的基本原理：
- 伪造DHCP服务器： 攻击者在网络内部部署一个非法的DHCP服务器。这个服务器会监听网络上的DHCP请求，并抢先于合法的DHCP服务器回应客户端的请求。
- 发送虚假的DHCP Offer： 当客户端启动时，它会广播DHCP Discover消息寻找可用的DHCP服务器。非法DHCP服务器会截获这些Discover消息，并迅速回应一个DHCP Offer消息，这个消息包含了错误的网络参数，如错误的默认网关、DNS服务器地址或其他配置信息。
- 接收DHCP Request： 客户端接收到DHCP Offer之后，通常会发送一个DHCP Request消息，确认它想要使用提供的IP地址。此时，非法DHCP服务器再次抢先回应，使客户端相信它是合法的DHCP服务器。
- 分配错误的网络参数： 攻击者可以通过非法DHCP服务器给客户端分配一个错误的默认网关地址，这可能会指向攻击者的机器，或者是不存在的地址。这样，客户端发送的所有流量都会被误导，无法正确地到达目的网络。同样，DNS服务器地址也可能被篡改，导致用户访问的网站被重定向到恶意站点。
- 后果：
- 用户无法访问合法的网络资源，因为他们的流量被导向了错误的地方。
- 攻击者可以监听或篡改用户的网络通信，因为所有的流量都可能经过攻击者的机器。
- 网络管理员可能会发现网络中存在大量的广播风暴，这是因为客户端不断地尝试重新获取正确的网络配置信息。
- 安全性和隐私性受到严重威胁，因为攻击者能够捕获敏感信息。
为了防范非法DHCP欺骗，网络管理员可以采取以下措施：
- 在网络中部署合法的DHCP Snooping功能，它能够过滤掉来自未信任端口的DHCP响应。
- 限制只有特定的交换机端口才能发送DHCP响应。
- 定期审核网络设备的安全设置，并确保所有设备都是最新状态，包括安全补丁。
- 对重要的网络设备实施物理安全措施，防止未经授权的接入。