Rogue DHCP Server Không thể tìm thấy

Trong 3-4 tuần qua, tôi đã cố gắng tìm một máy chủ DHCP giả mạo trên mạng của mình nhưng đã bị hỏng! Nó đang cung cấp Địa chỉ IP không hoạt động với mạng của tôi, vì vậy, bất kỳ thiết bị nào cần Địa chỉ động đều nhận được một địa chỉ từ Rogue DHCP và sau đó thiết bị đó sẽ ngừng hoạt động. Tôi cần giúp đỡ để tìm và phá hủy thứ này! Tôi nghĩ rằng nó có thể là một loại Trojan.

Bộ định tuyến chính của tôi là Máy chủ DHCP hợp lệ duy nhất và là 192.168.0.1, cung cấp phạm vi 192.160.0.150-199 và tôi có cấu hình này trong AD của mình là Ủy quyền. DHCP ROGUE này tuyên bố là đến từ 192.168.0.20 và cung cấp Địa chỉ IP trong phạm vi 10.255.255. * Đang làm rối MỌI THỨ trên mạng của tôi trừ khi tôi gán Địa chỉ IP tĩnh cho nó. 192.168.0.20 không tồn tại trên mạng của tôi.

Mạng của tôi là một Máy chủ AD duy nhất trên Windows 2008R2, 3 máy chủ vật lý khác (1-2008R2 và 2 2012R2) về 4 máy ảo Hypervisor, 3 máy tính xách tay và hộp Windows 7.

Tôi không thể ping IP 192.160.0.20 lừa đảo và tôi không thể thấy nó trong đầu ra ARP -A, vì vậy tôi không thể nhận được địa chỉ MAC của nó. Tôi hy vọng rằng ai đó đọc bài viết này đã đi qua điều này trước đây.

Trên một trong những máy khách Windows bị ảnh hưởng bắt đầu chụp gói (Wireshark, Microsoft Network Monitor, Microsoft Message Analyzer, v.v.), sau đó từ một dấu nhắc lệnh nâng cao chạy ipconfig / phát hành . Máy khách DHCP sẽ gửi DHCPRELEASEtin nhắn đến máy chủ DHCP mà nó nhận được địa chỉ IP từ đó. Điều này sẽ cho phép bạn có được địa chỉ MAC của máy chủ DHCP giả mạo, sau đó bạn có thể theo dõi trong bảng địa chỉ MAC chuyển đổi của mình để tìm ra cổng chuyển đổi nào được kết nối, sau đó theo dõi cổng chuyển đổi đó sang giắc cắm mạng và thiết bị đã cắm vào nó

Tìm thấy rồi!! Đó là Camera Mạng D-Link DCS-5030L của tôi! Tôi KHÔNG biết tại sao điều này xảy ra. Đây là cách tôi tìm thấy nó.

1. Tôi đã thay đổi Địa chỉ IP máy tính xách tay của mình thành 10.255.255.150/255.255.255.0/10.255.255.1 và Máy chủ DNS 8.8.8.8 để nó có thể nằm trong phạm vi của dhcp lừa đảo.
2. Sau đó tôi đã thực hiện một ipconfig / all để điền vào bảng ARP.
3. Có một arp -a để lấy danh sách IP trong bảng và có Địa chỉ MAC cho 10.255.255.1, là cổng của Máy chủ DHCP giả mạo!
4. Sau đó, tôi đã sử dụng Trình theo dõi mạng không dây từ Nirsoft.net để tôi có thể tìm thấy Địa chỉ IP THỰC của thiết bị từ Địa chỉ MAC mà tôi tìm thấy. IP thực tế của Rogue DHCP là 192.168.0.153, được Camera động chọn.
5. Sau đó tôi đã đăng nhập vào trang web Camera và thấy rằng trước đó nó đã được đặt thành 192.168.0.20, đó là Địa chỉ IP của máy chủ DHCP rouge.
6. Sau đó, tôi chuyển nó thành một IP tĩnh và giữ nó là 192.160.0.20.

Bây giờ tôi có thể tiếp tục cuộc sống của mình !! Cảm ơn mọi người đã ủng hộ.

Thực hiện tìm kiếm nhị phân.

1. Ngắt kết nối một nửa dây cáp
2. Sử dụng thử nghiệm '/ ipconfig release' nếu nó vẫn ở đó
3. Nếu vậy, ngắt kết nối một nửa còn lại và goto 2
4. Nếu không, hãy kết nối lại một nửa của nửa đầu đã ngắt kết nối trước đó, ngắt kết nối nửa thứ hai và goto 2

Điều này sẽ chia mạng thành hai lần thử nghiệm liên tiếp, vì vậy nếu bạn có 1.000 máy, bạn có thể mất tới 10 thử nghiệm để tìm cổng riêng mà máy chủ DHCP đang chạy.

Bạn sẽ dành nhiều thời gian để cắm và rút các thiết bị, nhưng nó sẽ thu hẹp nó xuống máy chủ dhcp mà không có nhiều công cụ và kỹ thuật bổ sung, vì vậy nó sẽ hoạt động trong mọi môi trường.

Bạn chỉ có thể:

• Mở mạng và trung tâm chia sẻ (bắt đầu hoặc nhấp chuột phải vào biểu tượng khay mạng), nhấp vào liên kết kết nối màu xanh -> chi tiết.
• tìm địa chỉ ipv4 dhcp (trong ví dụ này là 10.10.10.10)
• Mở Command Prompt từ menu bắt đầu.
• ping ip đó ping 10.10.10.10, ví dụ , điều này buộc máy tính tra cứu địa chỉ MAC của máy chủ dhcp và thêm nó vào bảng ARP, lưu ý rằng ping có thể bị lỗi nếu có tường lửa chặn nó, điều này ổn và sẽ không gây ra sự cố.
• làm arp -a| findstr 10.10.10.10. Điều này truy vấn bảng arp cho địa chỉ MAC.

Bạn sẽ thấy một cái gì đó như:

10.10.10.10       00-07-32-21-c7-5f     dynamic

Mục ở giữa là địa chỉ MAC.

Sau đó tra cứu nó trong bảng MAC / Port theo câu trả lời của joeqwerty, gửi lại nếu bạn cần hỗ trợ về điều đó.

Không cần phải cài đặt wireshark.