Impossibile trovare il server DHCP non autorizzato

44

Nelle ultime 3-4 settimane ho cercato di trovare un server DHCP non autorizzato sulla mia rete ma sono rimasto sconcertato! Offre indirizzi IP che non funzionano con la mia rete, quindi qualsiasi dispositivo che necessita di un indirizzo dinamico ne ottiene uno dal DHCP non autorizzato e quindi quel dispositivo smette di funzionare. Ho bisogno di aiuto per trovare e distruggere questa cosa! Penso che potrebbe essere un Trojan di qualche tipo.

Il mio router principale è l'unico server DHCP valido ed è 192.168.0.1 che offre un intervallo di 192.160.0.150-199 e questo è configurato nel mio annuncio come autorizzato. Questo DHCP di ROGUE afferma di provenire da 192.168.0.20 e offre un indirizzo IP nell'intervallo 10.255.255. * Che rovina TUTTO sulla mia rete a meno che non gli assegni un indirizzo IP statico. 192.168.0.20 non esiste sulla mia rete.

La mia rete è un singolo server AD su Windows 2008R2, altri 3 server fisici (1-2008R2 e 2 2012R2) su 4 VM Hypervisor, 3 laptop e una scatola di Windows 7.

Non riesco a eseguire il ping dell'IP 192.160.0.20 canaglia e non riesco a vederlo nell'output ARP -A, quindi non riesco a ottenere il suo indirizzo MAC. Spero che qualcuno che abbia letto questo post lo abbia mai visto prima.

networking dhcp-server

— Dave Stuart
fonte

12

Non sono di aiuto dal lato di Windows, ma se fossi su Linux, prenderei semplicemente un pacchetto di acquisizione con tcpdump su un client in quanto otteneva un cattivo contratto di locazione dhcp. L'acquisizione di pacchetti dovrebbe avere l'indirizzo mac del sistema che ha inviato l'offerta. Traccia quello.

— Yoonix,

7

Puoi scollegare tutto e rimettere le cose in rete una alla volta?

— RS

1

1) Probabilmente puoi vedere il MAC del server canaglia (se il trojan non lo ha cambiato) e - se non hai un elenco dei MAC dei tuoi client - puoi grepfarlo nel tuo precedente (ancora pulito) Log DHCP. 2) Se nient'altro funziona: scollegare metà delle macchine dalla rete, controllare se è ancora qui. Quindi saprai, in quale metà è il cattivo. Quindi lo stesso nella metà trovata, e così via.

— Peter dice di reintegrare Monica il

4

Quale router? È possibile che il router stesso sia infetto.

— J ...

1

Che tipo di interruttore hai? gestito o non gestito? Marca? Modello? A seconda delle capacità del commutatore, potresti avere qualche possibilità in più su come risolvere il problema.

— Raffael Luthiger,

53

Su uno dei client Windows interessati avviare un'acquisizione di pacchetti (Wireshark, Microsoft Network Monitor, Microsoft Message Analyzer, ecc.), Quindi da un prompt dei comandi con privilegi elevati eseguire ipconfig / release . Il client DHCP invierà un DHCPRELEASEmessaggio al server DHCP da cui ha ottenuto l'indirizzo IP. Ciò dovrebbe consentire di ottenere l'indirizzo MAC del server DHCP non autorizzato, che è quindi possibile rintracciare nella tabella degli indirizzi MAC dello switch per scoprire a quale porta dello switch è collegato, quindi tracciare quella porta dello switch sulla presa di rete e il dispositivo collegato dentro.

— joeqwerty
fonte

1

Come posso visualizzare l'indirizzo MAC e le tabelle ARP di uno switch non gestito?

— Dai

25

@Dai Passaggio 0: acquista switch gestiti. So che non è sempre un'opzione, ma di solito la tua rete è abbastanza grande da farne valere la pena o abbastanza piccola da non essere un duro lavoro andare in giro per ogni macchina e interrogarla.

— Oli,

1

@Dai Che marca e modello è l'interruttore?

— Hagen von Eitzen,

19

Se hai un interruttore non gestito, l'indirizzo mac ti dà ancora qualcosa su cui lavorare: puoi cercare il fornitore in modo da avere un'idea della marca di hardware da cercare, E puoi usare uno strumento come arping per eseguire il ping del rouge mentre scollegare le porte dello switch per capire a quale porta è connessa.

— Michael Kohne,

2

Cosa ha detto @Oli. Se al giorno d'oggi non disponi di un'infrastruttura di switch completamente gestibile, il tuo problema non è che non riesci a trovare un server DHCP non valido. È che non riesci a trovare nulla .

— MadHatter supporta Monica il

37

Trovato!! Era la mia DCS-5030L D-Link Network Camera! Non ho idea del perché sia successo. È così che l'ho trovato.

Ho cambiato l'indirizzo IP del mio laptop in 10.255.255.150/255.255.255.0/10.255.255.1 e il server DNS 8.8.8.8 in modo che si trovasse nell'intervallo di ciò che stava uscendo il rhdp dhcp.
Ho quindi fatto un ipconfig / all per popolare la tabella ARP.
Ha fatto un arp -a per ottenere un elenco degli IP nella tabella e c'era l'indirizzo MAC per 10.255.255.1 che è il gateway del server DHCP canaglia!
Ho quindi utilizzato Wireless Network Watcher da Nirsoft.net in modo da poter trovare l'indirizzo IP REALE del dispositivo dall'indirizzo MAC che ho trovato. L'IP effettivo del DHCP non autorizzato era 192.168.0.153, acquisito dinamicamente dalla telecamera.
Ho quindi effettuato l'accesso alla pagina Web della fotocamera e ho visto che era precedentemente impostato su 192.168.0.20, che era l'indirizzo IP del server DHCP rouge.
Quindi l'ho passato a un IP statico e l'ho tenuto come 192.160.0.20.

Ora posso andare avanti con la mia vita !! Grazie a tutti per il supporto.

— Dave Stuart
fonte

25

Se la tua videocamera di rete utilizzava un server DHCP, sospetto che sia stata compromessa con malware. Nessuna telecamera eseguiva il protocollo DHCP appositamente. L'ho cercato nella documentazione di D-Link e ha quella capacità di eseguire un server, ma sarei molto sorpreso se fosse configurato in modo apposta. Verifica la presenza di malware, molte telecamere sono state dirottate in questo modo.

— Zan Lynx,

3

Perché nel mondo una telecamera di rete dovrebbe avere un server DHCP ???

— RonJohn,

14

@RonJohn in modo da poter accedere alla sua pagina Web di configurazione su una rete autonoma che non ha un server DHCP proprio. Sono d'accordo che è stupido che un dispositivo del genere abbia un server DHCP, ma è per questo che lo fanno.

— Moshe Katz,

7

@ZanLynx Nessuna telecamera avrebbe eseguito DHCP di proposito ... non hai incontrato molti gestori di ingegneria del software;)

— txtechhelp

3

La S in IoT è sinonimo di sicurezza.

— Patrick M,

18

Esegui una ricerca binaria.

Scollegare metà dei cavi
Utilizzando il test "/ ipconfig release" se è ancora lì
In tal caso, scollegare un'altra metà del rimanente e andare a 2
In caso contrario, ricollegare la metà della prima metà precedentemente disconnessa, scollegare la seconda metà e andare a 2

Ciò dividerà la rete in due per ogni test successivo, quindi se hai 1.000 macchine potrebbero essere necessari fino a 10 test per trovare la singola porta su cui è in esecuzione il server DHCP.

Passerai molto tempo a collegare e scollegare i dispositivi, ma lo restringerà al server dhcp senza molti strumenti e tecniche aggiuntivi, quindi funzionerà in qualsiasi ambiente.

— Adam Davis
fonte

3

Un modo migliore per eseguire lo switch non gestito scollegare la ricerca. +1

— Todd Wilcox,

Vorrei seguire gli interruttori stessi piuttosto che le macchine. Ciò lo restringerà a un interruttore abbastanza facilmente.

— Loren Pechtel,

@LorenPechtel sì, se si dispone di più switch, l'algoritmo binario potrebbe richiedere solo la disconnessione di uno o due cavi per disconnettere metà della rete.

— Adam Davis,

17

Potresti semplicemente:

Aprire la rete e il centro di condivisione (o dall'inizio o fare clic con il pulsante destro del mouse sull'icona della barra di rete), fare clic sul collegamento di connessione blu -> dettagli.
trova l'indirizzo dhcp ipv4 (in questo esempio è il 10.10.10.10)
Apri il prompt dei comandi dal menu Start.
esegui il ping dell'ip ping 10.10.10.10, ad esempio , questo costringe il computer a cercare l'indirizzo MAC del server DHCP e ad aggiungerlo alla tabella ARP, tieni presente che il ping potrebbe fallire se c'è un firewall che lo blocca, va bene e non causerà problemi.
fare arp -a| findstr 10.10.10.10. Questo interroga la tabella arp per l'indirizzo MAC.

Vedrai qualcosa del tipo:

10.10.10.10       00-07-32-21-c7-5f     dynamic

La voce centrale è l'indirizzo MAC.

Quindi cercalo nella tabella MAC / Port degli switch secondo la risposta di joeqwerty, invia di nuovo se hai bisogno di assistenza.

Non è necessario installare WireShark.

— Aaron Tate
fonte

4

L'OP ha detto che non è stato in grado di eseguire il ping dell'indirizzo IP del server DHCP e non è stato in grado di trovare l'indirizzo MAC nella sua tabella ARP, motivo per cui ho pubblicato la mia risposta. Potrebbe avere o meno successo con il tuo suggerimento, ma il tuo è di gran lunga un approccio più semplice e diretto.

— joeqwerty,