【51CTO.com 綜合消息】最近出現(xiàn)了關(guān)于“無賴DHCP服務器”惡意軟件的報告——這種惡意軟件是一種自動在受害者的網(wǎng)絡上安裝攻擊者自己的DHCP服務器，并和受害者的合法服務器競爭的木馬。通過無賴DHCP服務器，攻擊者可以攔截和重定向來自任何使用動態(tài)主機配置協(xié)議（DHCP）的設備的流量，包括工作站，打印機，筆記本電腦，復印機等。

動態(tài)主機配置協(xié)議發(fā)展于90年代初，用以方便網(wǎng)絡維護和設置，但其一直有固有的安全漏洞。幸運的是，有一些經(jīng)過時間考驗的解決方案，可以用來檢測和抵御無賴DHCP服務器的惡意軟件。

當支持DHCP的客戶端（例如，一臺筆記本電腦）連接到網(wǎng)絡，它會發(fā)出廣播消息搜索DHCP服務器。本地DHCP服務器響應一個分配給你的筆記本電腦的IP地址，及其他本地的配置信息，如DNS服務器的IP地址和網(wǎng)關(guān)的IP地址。一旦溝通完成，筆記本電腦就可以配置自己的IP信息并與IP網(wǎng)絡上的其他終端通信。

多虧有了DHCP，移動設備可以在不必手動更改其IP地址設置的條件下，實現(xiàn)從無線網(wǎng)絡區(qū)到家庭網(wǎng)絡、到公司網(wǎng)絡之間的自由切換，大型企業(yè)可以部署或重新部署成百上千臺服務器，而無需手動地去逐個更改網(wǎng)絡的設置。

關(guān)注DHCP安全

然而，DHCP自它出現(xiàn)以來就存在眾所周知的安全問題?？梢宰匪莸?993年的最初的DHCP說明，有一節(jié)叫做“安全注意事項”，內(nèi)容如下：

“...當前形式的DHCP是相當不安全的。可以很容易地設置未經(jīng)授權(quán)的DHCP服務器。這些服務器可以發(fā)送虛假和具有潛在破壞性的信息給客戶，比如不正確或重復的IP地址、不正確的路由信息（包括欺詐路由器等）、不正確的域名服務器地址（如欺詐域名服務器）等等?！?/P>

在某些方面來看，DHCP協(xié)議正常運營了16年卻沒有出現(xiàn)泛濫的DHCP問題是很驚人的。至少自2001年以來，就出現(xiàn)了著名的能自動執(zhí)行DHCP的man-in-the-middle攻擊的工具。網(wǎng)絡嗅探器工具（比如Ettercap，類似今天的惡意軟件）發(fā)現(xiàn)了其中存在一個重大的問題：根據(jù)標準的DHCP實施方案，沒有方法能使客戶端識別出合法的DHCP服務器。（2001年，IETF發(fā)布了一個驗證DHCP的規(guī)范，但供應商和管理者還沒有廣泛地實施這一規(guī)范。）

因此，你的筆記本電腦信任所有的DHCP服務器響應，并認定他們同樣有效。 運行在被感染的工作站上的“無賴”DHCP服務器，可以用虛假的配置數(shù)據(jù)回應你發(fā)出的DHCP請求。如果無賴服務器的信息第一個到達，你的筆記本電腦可能會接受有毒的配置信息。

“無賴”DHCP服務器惡意軟件的出現(xiàn)

2008年12月，“Trojan.Flush.M”惡意軟件被發(fā)現(xiàn)。該木馬會自動設置一個無賴DNS服務器，目標是傳遞惡意域名服務器地址給毫無防范的客戶。例如，當你的筆記本電腦嘗試更新其DHCP租約，一個Trojan.Flush.M無賴DHCP服務器可能會迅速給出一個有毒的DHCP響應，其中包含攻擊者的域名服務器IP地址。

如果你的筆記本電腦接受這一信息，那么任何時候你輸入一個新的域名到Web瀏覽器，你的筆記本電腦將向攻擊者的域名服務器查詢對應該域名的IP地址。你可能輸入“http://bankofamerica.com”，而攻擊者可能會回應一個虛假的某個著名美國銀行的釣魚網(wǎng)站，這將導致你的瀏覽器加載一個惡意網(wǎng)頁。無賴DHCP服務器也可以用于通訊的攔截和竊聽。被感染的工作站可以給你的筆記本電腦發(fā)送一個虛假的網(wǎng)關(guān)IP地址，把所有筆記本對外發(fā)出數(shù)據(jù)流重定向到黑客的計算機。攻擊者可在隨后檢查數(shù)據(jù)流發(fā)現(xiàn)有用的數(shù)據(jù)，然后轉(zhuǎn)發(fā)數(shù)據(jù)流到真正的網(wǎng)關(guān)，或者只是阻止它并實施拒絕服務攻擊。

這聽起來很復雜，但經(jīng)過16年多的發(fā)展，DHCP攻擊工具已經(jīng)相當成熟了。使用Ettercap軟件，任何人都可以點幾下鼠標就展開DHCP的man-in-the-middle攻擊。此外，一個被感染的工作站可在不被用戶發(fā)現(xiàn)的情況下危害整個子網(wǎng)的流量。

如何阻止無賴DHCP服務器的惡意軟件攻擊

幸運的是，多年來有效的防御工具相繼出現(xiàn)。多網(wǎng)絡交換機廠商提供了內(nèi)置的“DHCP監(jiān)聽”功能，在交換機一級阻止不可信的DHCP服務器的信息流。 “DHCP監(jiān)聽”設備也能跟蹤MAC地址，IP地址分配和相應的端口，確保只有合法的連接才被允許通信。

你可以用一些工具掃描你網(wǎng)絡上的無賴DHCP服務器，如DHCP Sentry，Roadkil.net's DHCP Find，Dhcploc.exe 或dhcp_probe。一些DHCP服務器掃描工具具有內(nèi)置的電子郵件和即時報警功能，這樣一旦他們偵測到潛在的無賴DHCP服務器就可以馬上警告系統(tǒng)管理員。網(wǎng)絡入侵檢測系統(tǒng)也可以進行相應的設定，從而檢測并提醒潛在的無賴DHCP服務器的數(shù)據(jù)流。

適當?shù)木W(wǎng)絡分割將有助于防止包含無賴DHCP服務器。這樣，即使一個惡意軟件感染了一個子網(wǎng)并植入了欺詐DHCP，損失也是有限的。最后，監(jiān)聽你內(nèi)部網(wǎng)絡上的關(guān)于客戶的錯誤配置信息的跡象是個好方法，比如意料外的、地址可疑的域名服務器流量。正如我們知道的Trojan.Flush.M，不正確的DNS設置可能是一個無賴DHCP服務器的征兆。

無賴DHCP服務器惡意軟件是老概念的一個新轉(zhuǎn)變。好消息是，存在有效的減少這種威脅的策略；而壞消息是，許多組織都沒有盡力去這樣去做。在你的基礎設施支持的條件下，請小心地劃分你的網(wǎng)絡段、配置DHCP監(jiān)聽、監(jiān)控你的內(nèi)部網(wǎng)絡流量，并及時應對可疑的活動。和通常的道理一樣，最好的安全策略是嚴密布防。