DHCP Spoofing

hacking

Définition

Le DHCP Spoofing consiste à déployer un serveur DHCP malveillant (rogue DHCP) sur un segment réseau afin de répondre aux requêtes DHCP DISCOVER des postes clients plus rapidement que le serveur légitime, exploitant la nature "first offer wins" du protocole DHCP (RFC 2131). Le serveur pirate fournit alors une configuration réseau falsifiée, en particulier une passerelle par défaut et des serveurs DNS contrôlés par l'attaquant, redirigeant tout le trafic sortant de la victime vers une machine intermédiaire pour une attaque de type Man-in-the-Middle, avec interception, altération ou capture d'identifiants. L'attaque se combine fréquemment avec ARP Spoofing et peut être automatisée via des outils comme Ettercap, Yersinia ou dhcpstarv, ce dernier permettant en complément un épuisement du pool DHCP légitime (DHCP Starvation) pour garantir que seules les réponses malveillantes soient reçues. Référencée MITRE ATT&CK sous T1557.003 (Adversary-in-the-Middle: DHCP Spoofing), elle touche principalement les réseaux LAN non segmentés et les environnements avec accès physique ou Wi-Fi peu contrôlé. La contre-mesure principale est le DHCP Snooping sur les commutateurs, qui distingue les ports de confiance (trusted, connectés aux serveurs DHCP légitimes) des ports non fiables sur lesquels les paquets DHCP OFFER/ACK sont bloqués, combiné à Dynamic ARP Inspection pour couvrir l'attaque associée.

Description

Le DHCP Spoofing consiste à déployer un serveur DHCP malveillant répondant plus rapidement que le serveur légitime pour fournir de faux paramètres réseau aux clients. L'attaquant peut ainsi rediriger tout le trafic vers sa machine en se positionnant en MITM.

Exploitation

L'attaquant configure un rogue DHCP server avec sa propre IP comme gateway et des DNS malveillants. Les nouveaux clients récupèrent ces paramètres et acheminent leur trafic à travers la machine de l'attaquant sans le savoir.

Défense

Activer le DHCP Snooping sur les switches pour filtrer les réponses DHCP non autorisées
Définir les ports de confiance (trusted) uniquement vers les serveurs DHCP légitimes
Combiner avec le Dynamic ARP Inspection pour une protection réseau complète

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis