定位恶意 DHCP 服务器

Question

可能的重复：
如何查找我的网络上是否存在恶意 DHCP 服务器？

我知道这是一个严重的远射，但我们开始了。

在过去一周左右的时间里，对于连接到我们网络中特定交换机的用户（有四个哑交换机全部连接，它只影响一个交换机上的一些用户，而不是所有用户）从一个流氓 DHCP 服务器获取 DHCP 地址.

我已经对插入有问题的交换机的每根电缆进行了物理检查，以确保它们都没有连接路由器或 wifi 点。我知道 DHCP 服务器的 IP，但我无法 ping 通它，而且它没有 Web 界面。

有没有人对我可以做些什么来定位或关闭它有什么建议？不幸的是，所有的交换机都是不受管理的，而且如前所述，没有物理设备（我能找到）插入任何东西。

它变得至关重要，因为它搞砸了一大堆瘦客户端的 PXE 启动。

Answer 1

尝试使用 -O 对其进行nmap检测以检测操作系统，可能会让您更好地了解它是什么服务器？还运行标准端口扫描可能有助于弄清楚它是什么

Answer 2

事实上，你不能 ping 它不是问题。

（此过程主要用于托管交换机，对于您的哑交换机，它没有那么有用，因为您无法检查凸轮表......但无论如何。）

1. 运行 ipconfig /all（或查看系统日志），记下为“DHCP 服务器”列出的 IP 地址。通常这与默认网关相同。
2. 尝试ping这个IP地址，忽略结果。
3. 运行 arp -a。为 IP 列出的 mac 地址是您的恶意 DHCP 服务器。

因此，在您的情况下，您无法通过定位交换机端口并禁用它来跟进，但您至少可以查找 mac 地址供应商，并且会发现供应商是 vmware 或 virtualbox 之类的东西。

如果你身边有一个盒子，你可以在上面安装https://roguedetect.bountysource.com/，它会在以后发生这样的问题时通知你。

Answer 3

好吧，您可以随时尝试将其排除在外并检查路由器上的闪烁灯。=P

traceroute 是否向您显示任何内容？

Answer 4

我知道这已经解决了，但另一种方法是，当你真的找不到机器（知道它是虚拟机并不会告诉你它在哪个主机上）时，继续向它发送 DHCP 请求并依次拔下每根电缆，直到它闭嘴。有时你只需要回到粗糙的基础知识。