CDP協(xié)議是一個(gè)發(fā)現(xiàn)協(xié)議，一臺(tái)運(yùn)行C D P的路由器或交換機(jī)能夠得知與它直接相連的鄰居端口和主機(jī)名信息。這樣通過(guò)CDP的我們能得到相關(guān)聯(lián)的路由器名、路由器端口信息、IOS版本信息、IOS平臺(tái)信息、硬件版本信息，以及相關(guān)的鏈路信息從而描述出整個(gè)網(wǎng)絡(luò)的拓?fù)淝闆r。這時(shí)候黑客就會(huì)利用CDP欺騙攻擊。

針對(duì)中央管理軟件，各種高端網(wǎng)管軟件Cisco works 、IBM Tivoli 、HP open view,都依賴(lài)CDP完成Cisco主機(jī)發(fā)現(xiàn)。如果發(fā)送偽造的CDP幀，聲稱(chēng)在網(wǎng)絡(luò)上新出現(xiàn)了一臺(tái)Cisco設(shè)備，那么管理軟件將試圖通過(guò)SNMP與其聯(lián)系，此時(shí)就有機(jī)會(huì)捕獲所使用的ＳＮＭＰCommunity name string ,這樣很可能是網(wǎng)絡(luò)中其他Cisco設(shè)備所使用的名稱(chēng)，而且很可能會(huì)導(dǎo)致這些設(shè)備遭到攻擊。此外，CDP欺騙還可用于惡作劇，分散網(wǎng)絡(luò)管理員的注意力。

第二個(gè)目標(biāo)就是Cisco IP 電話Cisco ip電話打開(kāi)后，就會(huì)和相連的交換機(jī)開(kāi)始交換CDP數(shù)據(jù)，相互識(shí)別，交換機(jī)利用CDP通知電話，讓它知道語(yǔ)音流量將使用那個(gè)VLAN，不難發(fā)現(xiàn)，這里有機(jī)會(huì)實(shí)施欺騙攻擊，例如注入CDP幀。這樣會(huì)為電話分配一個(gè)錯(cuò)誤的VLAN。

這些手動(dòng)偽造的CDP幀是如何制造出來(lái)的呢？主要有兩種工具可定制偽造CDP幀。下面讓我們先看看Linux平臺(tái)下的CDP工具程序——Yersinia。

Yersinia 是執(zhí)行第二層攻擊的一個(gè)工具，幫助黑箱測(cè)試者在他的日常工作中檢查2層協(xié)議配置的可靠性。Yersinia 能夠操作第二層網(wǎng)絡(luò)協(xié)議和允許攻擊者阻擋交換機(jī)通過(guò)注入偽生成樹(shù)協(xié)議，DHCP, VLAN 中繼協(xié)議和其他信息到網(wǎng)絡(luò)中。

針對(duì)這些攻擊的防御措施

運(yùn)行CDP的交換機(jī)/路由器定時(shí)廣播帶有CDP更新數(shù)據(jù)的報(bào)文，用cdp timer命令決定CDP更新數(shù)據(jù)間隔，缺省值為60秒，而且CDP默認(rèn)已啟用。

我們?cè)谝慌_(tái)Cisco Catalyst 2924交換機(jī)上對(duì)CDP數(shù)據(jù)包的診斷輸出信息?？梢钥吹剑粨Q機(jī)在每個(gè)活動(dòng)接口發(fā)送CDP數(shù)據(jù)包。

SW#debug cdp packet

03:36:26 CDP-PA Packet received form R1 on interface FastEthernet0/5

03:36:26 **Entry found in cache**

03:36:30 CDP-PA version 2packet sent out on FastEthernet 0/1

03:36:30 CDP-PA version 2packet sent out on FastEthernet 0/2

03:36:30 CDP-PA version 2packet sent out on FastEthernet 0/3

03:36:30 CDP-PA version 2packet sent out on FastEthernet 0/4

cc

收藏 海報(bào)分享