DHCP Starvation

hacking

Définition

Le DHCP Starvation est une attaque réseau visant à épuiser intégralement le pool d'adresses IP disponibles sur un serveur DHCP légitime, en générant un volume massif de requêtes DHCP DISCOVER, chacune associée à une adresse MAC source différente forgée par l'attaquant plutôt qu'à sa véritable adresse matérielle, amenant le serveur à réserver puis attribuer progressivement l'intégralité de son pool d'adresses à ces demandes fictives jusqu'à épuisement complet. Une fois le pool épuisé, aucun nouvel appareil légitime se connectant au réseau ne peut plus obtenir d'adresse IP valide, provoquant un déni de service réseau généralisé pour les nouveaux postes ou ceux dont le bail DHCP arrive à expiration. Cette attaque sert fréquemment de préambule à une attaque plus offensive : une fois le serveur DHCP légitime neutralisé ou saturé, l'attaquant déploie son propre serveur DHCP malveillant (rogue DHCP), qui répond alors aux requêtes des postes clients en leur fournissant une passerelle et des serveurs DNS contrôlés par l'attaquant, ouvrant la voie à une interception complète du trafic (attaque de l'homme du milieu). La contre-mesure de référence sur les commutateurs réseau managés est le DHCP Snooping, qui limite le nombre de requêtes DHCP acceptées par port physique et ne considère comme légitimes que les réponses DHCP provenant de ports explicitement déclarés de confiance.

Description

Le DHCP Starvation épuise le pool d'adresses IP d'un serveur DHCP légitime en envoyant massivement des requêtes DISCOVER avec des adresses MAC forgées différentes. Chaque requête consomme une adresse disponible jusqu'à l'épuisement total du pool.

Exploitation

Des outils comme Yersinia automatisent cette attaque. Une fois le pool épuisé, les nouveaux clients ne peuvent plus obtenir d'adresse IP, causant une interruption de service réseau. L'attaque peut précéder un DHCP Spoofing pour prendre le contrôle total.

Défense

Activer le DHCP Snooping avec une limite de requêtes par port (rate limiting)
Configurer la surveillance des logs DHCP pour détecter des demandes anormalement volumineuses
Utiliser des solutions de Network Access Control (NAC) pour authentifier les clients réseau

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis