Opsporen DHCP servers

[Paul van der Vlis]

Hallo,

Kennen jullie een tool om DHCP servers op te sporen?

Ik bedoel voor een situatie waar er mensen zijn die het leuk vinden om
DHCP te enabelen, terwijl dat niet de bedoeling is.

Met vriendelijke groet,
Paul van der Vlis.

[Paul van der Vlis]

Post by Paul van der Vlis
Hallo,
Kennen jullie een tool om DHCP servers op te sporen?
Ik bedoel voor een situatie waar er mensen zijn die het leuk vinden om
DHCP te enabelen, terwijl dat niet de bedoeling is.

De situatie is nog anders, zo blijkt. Het IP is ondertussen bekend. Maar
hoe spoor je hem op?

Het IP is een helemaal vreemd IP, want helemaal niet thuishoort in de
range. Wellicht een laptop met een vast IP.

Het zou erg helpen als bekend was aan welke switch hij hangt,
bijvoorbeeld. Het is namelijk een organisatie met honderden PC's.

Met vriendelijke groet,
Paul van der Vlis.

[Mark Huizer]

Post by Paul van der Vlis
Het zou erg helpen als bekend was aan welke switch hij hangt,
bijvoorbeeld. Het is namelijk een organisatie met honderden PC's.

PC zonder leases e.d. pakken, tcpdump draaien, kijken van wie je
allemaal een offer krijgt, mac adressen opzoeken in mac tabellen van
switches. Of je switches configureren, ik neem tenminste aan dat een
bedrijf met honderden pc's een beetje fatsoenlijke managed switches
heeft

Mark

[Paul van der Vlis]

Post by Mark Huizer

Post by Paul van der Vlis
Het zou erg helpen als bekend was aan welke switch hij hangt,
bijvoorbeeld. Het is namelijk een organisatie met honderden PC's.

PC zonder leases e.d. pakken, tcpdump draaien, kijken van wie je
allemaal een offer krijgt,

Ik heb geen Linux machine binnen het lokale netwerk jammergenoeg, dat is
allemaal Windows.

Post by Mark Huizer
mac adressen opzoeken in mac tabellen van switches.

Goed idee. Maar ik moet eerst het MAC-adres achterhalen. Het is een
niet-lokaal IP wat zich binnen de lokale range bevindt. Maar geen idee
hoe ik achter de MAC kan komen.

Post by Mark Huizer
Of je switches configureren, ik neem tenminste aan dat een
bedrijf met honderden pc's een beetje fatsoenlijke managed switches
heeft

Die zijn er ook wel, het is een school overigens.

Met vriendelijke groet,
Paul van der Vlis.

[Huub Reuver]

Post by Paul van der Vlis

Post by Mark Huizer

Post by Paul van der Vlis
Het zou erg helpen als bekend was aan welke switch hij hangt,
bijvoorbeeld. Het is namelijk een organisatie met honderden PC's.

PC zonder leases e.d. pakken, tcpdump draaien, kijken van wie je
allemaal een offer krijgt,

Ik heb geen Linux machine binnen het lokale netwerk jammergenoeg, dat is
allemaal Windows.

Post by Mark Huizer
mac adressen opzoeken in mac tabellen van switches.

Goed idee. Maar ik moet eerst het MAC-adres achterhalen. Het is een
niet-lokaal IP wat zich binnen de lokale range bevindt. Maar geen idee
hoe ik achter de MAC kan komen.

Post by Mark Huizer
Of je switches configureren, ik neem tenminste aan dat een
bedrijf met honderden pc's een beetje fatsoenlijke managed switches
heeft

Die zijn er ook wel, het is een school overigens.

Even voor mijn informatie:
Het is de bedoeling een fabrikant te achterhalen n.a.v. het MAC-adres,
zodat je weet welk apparaat de boosdoener is?

Met vriendelijke groet,
Huub Reuver

[Paul van der Vlis]

Post by Huub Reuver

Post by Paul van der Vlis

Post by Mark Huizer

Post by Paul van der Vlis
Het zou erg helpen als bekend was aan welke switch hij hangt,
bijvoorbeeld. Het is namelijk een organisatie met honderden PC's.

PC zonder leases e.d. pakken, tcpdump draaien, kijken van wie je
allemaal een offer krijgt,

Ik heb geen Linux machine binnen het lokale netwerk jammergenoeg, dat is
allemaal Windows.

Post by Mark Huizer
mac adressen opzoeken in mac tabellen van switches.

Goed idee. Maar ik moet eerst het MAC-adres achterhalen. Het is een
niet-lokaal IP wat zich binnen de lokale range bevindt. Maar geen idee
hoe ik achter de MAC kan komen.

Post by Mark Huizer
Of je switches configureren, ik neem tenminste aan dat een
bedrijf met honderden pc's een beetje fatsoenlijke managed switches
heeft

Die zijn er ook wel, het is een school overigens.

Het is de bedoeling een fabrikant te achterhalen n.a.v. het MAC-adres,
zodat je weet welk apparaat de boosdoener is?

Nee, in de router kun je dan vinden aan welk kabeltje hij hangt.


Met vriendelijke groet,
Paul van der Vlis.

[Mark Huizer]

Post by Paul van der Vlis

Post by Mark Huizer
PC zonder leases e.d. pakken, tcpdump draaien, kijken van wie je
allemaal een offer krijgt,

Ik heb geen Linux machine binnen het lokale netwerk jammergenoeg, dat is
allemaal Windows.

Die kan je toch meenemen als je aan het troubleshooten bent? Of je pakt
wireshark. Of windump

Post by Paul van der Vlis

Post by Mark Huizer
mac adressen opzoeken in mac tabellen van switches.

Goed idee. Maar ik moet eerst het MAC-adres achterhalen. Het is een
niet-lokaal IP wat zich binnen de lokale range bevindt. Maar geen idee
hoe ik achter de MAC kan komen.

PC zonder leases e.d. pakken, windump draaien, kijken van wie je
allemaal een offer krijgt.

Post by Paul van der Vlis

Post by Mark Huizer
Of je switches configureren, ik neem tenminste aan dat een
bedrijf met honderden pc's een beetje fatsoenlijke managed switches
heeft

Die zijn er ook wel, het is een school overigens.

Wat is dan het probleem? Dan configureer je die zodat alleen een paar
trusted poorten DHCP offers mogen versturen en dan boeit het verder niet
meer waar dat apparaat zit. Voor elk beetje groot netwerk waar je dat
soort dingen kan verwachten een erg handige activiteit. Al dat uitzoeken
kost zoveel tijd en geld, daar kan je beter gewoon meteen het probleem
structureel mee oplossen.

Mark

[Arnold]

Post by Paul van der Vlis
Goed idee. Maar ik moet eerst het MAC-adres achterhalen. Het is een
niet-lokaal IP wat zich binnen de lokale range bevindt. Maar geen idee
hoe ik achter de MAC kan komen.

Configureer een extra IP adres op de Windows machine, het niet-lokale IP + 1
met een netmask van 255.255.255.0, ping het en check vervolgens de arp
cache?

Zodra hij denkt dat het IP lokaal is, zal hij bij een ping via arp (who-has,
i-have) op het lokale segment gaan zoeken, en zou je met arp(.exe) het
mac-adres te pakken moeten krijgen.

[richard lucassen]

On Mon, 07 Jun 2010 12:37:25 +0200

Post by Paul van der Vlis
De situatie is nog anders, zo blijkt. Het IP is ondertussen bekend.
Maar hoe spoor je hem op?
Het IP is een helemaal vreemd IP, want helemaal niet thuishoort in de
range. Wellicht een laptop met een vast IP.
Het zou erg helpen als bekend was aan welke switch hij hangt,
bijvoorbeeld. Het is namelijk een organisatie met honderden PC's.

Er is een figuur dat een draadloos routertje aangesloten heeft op je
bedrade netwerk denk ik.
--
___________________________________________________________________
It is better to remain silent and be thought a fool, than to speak
aloud and remove all doubt.

+------------------------------------------------------------------+
| Richard Lucassen, Utrecht |
| Public key and email address: |
| http://www.lucassen.org/mail-pubkey.html |
+------------------------------------------------------------------+

[Paul van der Vlis]

Post by richard lucassen
On Mon, 07 Jun 2010 12:37:25 +0200

Post by Paul van der Vlis
De situatie is nog anders, zo blijkt. Het IP is ondertussen bekend.
Maar hoe spoor je hem op?
Het IP is een helemaal vreemd IP, want helemaal niet thuishoort in de
range. Wellicht een laptop met een vast IP.
Het zou erg helpen als bekend was aan welke switch hij hangt,
bijvoorbeeld. Het is namelijk een organisatie met honderden PC's.

Er is een figuur dat een draadloos routertje aangesloten heeft op je
bedrade netwerk denk ik.

Denk het niet, want hij heeft een vast IP in een niet-lokale range.
Dat hebben draadloze routers meestal niet.

Stel ik weet dat IP 1.2.3.4 zich in mijn lokale netwerkje bevind, hoe
kan ik dan aan dat MAC-adres komen? (om het in de switch op te zoeken)


Met vriendelijke groet,
Paul van der Vlis.

[Bas Janssen]

Post by Paul van der Vlis

Post by richard lucassen
On Mon, 07 Jun 2010 12:37:25 +0200

Post by Paul van der Vlis
De situatie is nog anders, zo blijkt. Het IP is ondertussen bekend.
Maar hoe spoor je hem op?
Het IP is een helemaal vreemd IP, want helemaal niet thuishoort in de
range. Wellicht een laptop met een vast IP.
Het zou erg helpen als bekend was aan welke switch hij hangt,
bijvoorbeeld. Het is namelijk een organisatie met honderden PC's.

Er is een figuur dat een draadloos routertje aangesloten heeft op je
bedrade netwerk denk ik.

Denk het niet, want hij heeft een vast IP in een niet-lokale range.
Dat hebben draadloze routers meestal niet.
Stel ik weet dat IP 1.2.3.4 zich in mijn lokale netwerkje bevind, hoe
kan ik dan aan dat MAC-adres komen? (om het in de switch op te zoeken)

Met 'arping'

bijv:

***@bas:~$ sudo arping 192.168.1.1
ARPING 192.168.1.1 from 192.168.1.19 eth0
Unicast reply from 192.168.1.1 [00:13:A3:7F:86:58] 0.733ms
Unicast reply from 192.168.1.1 [00:13:A3:7F:86:58] 0.726ms
Unicast reply from 192.168.1.1 [00:13:A3:7F:86:58] 0.722ms
Unicast reply from 192.168.1.1 [00:13:A3:7F:86:58] 0.730ms
Sent 4 probes (1 broadcast(s))
Received 4 response(s)

[richard lucassen]

On Mon, 07 Jun 2010 16:14:21 +0200

Post by Bas Janssen

Post by Paul van der Vlis
Stel ik weet dat IP 1.2.3.4 zich in mijn lokale netwerkje bevind,
hoe kan ik dan aan dat MAC-adres komen? (om het in de switch op te
zoeken)

Met 'arping'
ARPING 192.168.1.1 from 192.168.1.19 eth0
Unicast reply from 192.168.1.1 [00:13:A3:7F:86:58] 0.733ms
Unicast reply from 192.168.1.1 [00:13:A3:7F:86:58] 0.726ms
Unicast reply from 192.168.1.1 [00:13:A3:7F:86:58] 0.722ms
Unicast reply from 192.168.1.1 [00:13:A3:7F:86:58] 0.730ms
Sent 4 probes (1 broadcast(s))
Received 4 response(s)

Toevoeging:

arping -I eth1 192.168.1.1

Als je de kaart eth1 wilt forceren.
--
___________________________________________________________________
It is better to remain silent and be thought a fool, than to speak
aloud and remove all doubt.

+------------------------------------------------------------------+
| Richard Lucassen, Utrecht |
| Public key and email address: |
| http://www.lucassen.org/mail-pubkey.html |
+------------------------------------------------------------------+

[Martin Meijerink]

BJ> Paul van der Vlis schreef:
BJ> > richard lucassen schreef:
BJ> >> On Mon, 07 Jun 2010 12:37:25 +0200
BJ> >> Paul van der Vlis <***@vandervlis.nl> wrote:
BJ> >>
BJ> >>> De situatie is nog anders, zo blijkt. Het IP is ondertussen
BJ> >>> bekend. Maar hoe spoor je hem op?
BJ> >>>
BJ> >>> Het IP is een helemaal vreemd IP, want helemaal niet thuishoort
BJ> >>> in de range. Wellicht een laptop met een vast IP.
BJ> >>>
BJ> >>> Het zou erg helpen als bekend was aan welke switch hij hangt,
BJ> >>> bijvoorbeeld. Het is namelijk een organisatie met honderden
BJ> >>> PC's.
BJ> >> Er is een figuur dat een draadloos routertje aangesloten heeft
BJ> >> op je bedrade netwerk denk ik.
BJ> >
BJ> > Denk het niet, want hij heeft een vast IP in een niet-lokale
BJ> > range. Dat hebben draadloze routers meestal niet.
BJ> >
BJ> > Stel ik weet dat IP 1.2.3.4 zich in mijn lokale netwerkje bevind,
BJ> > hoe kan ik dan aan dat MAC-adres komen? (om het in de switch op
BJ> > te zoeken)
BJ>
BJ> Met 'arping'
BJ>
BJ> bijv:
BJ>
BJ> ***@bas:~$ sudo arping 192.168.1.1
BJ> ARPING 192.168.1.1 from 192.168.1.19 eth0
BJ> Unicast reply from 192.168.1.1 [00:13:A3:7F:86:58] 0.733ms
BJ> Unicast reply from 192.168.1.1 [00:13:A3:7F:86:58] 0.726ms
BJ> Unicast reply from 192.168.1.1 [00:13:A3:7F:86:58] 0.722ms
BJ> Unicast reply from 192.168.1.1 [00:13:A3:7F:86:58] 0.730ms

Wat ook handig is om te weten, is van welk merk het verdachte apparaat
is. Als je het macadres weet, dan weet je ook wel merk het is, door
te zoeken op de eerste 3 bytes van het macadres (0013a3).

http://www.coffer.com/mac_find/?string=0013a3

In bovenstaand voorbeeld blijkt dus dat het gaat om een Siemens
apparaat:

0013A3 Siemens Com CPE Devic

[richard lucassen]

On Mon, 07 Jun 2010 15:51:07 +0200

Post by Paul van der Vlis

Post by richard lucassen
Er is een figuur dat een draadloos routertje aangesloten heeft op je
bedrade netwerk denk ik.

Denk het niet, want hij heeft een vast IP in een niet-lokale range.
Dat hebben draadloze routers meestal niet.

Juist wel

Post by Paul van der Vlis
Stel ik weet dat IP 1.2.3.4 zich in mijn lokale netwerkje bevind, hoe
kan ik dan aan dat MAC-adres komen? (om het in de switch op te zoeken)

Stel je hebt een wired lan met 10.1.1.0/24 en een figuur hangt daar een
wireless router in met de LAN kant (waar dhcp op draait) in jouw wired
network, dan krijg je dit soort ellende. Stel dat die wireless router
192.168.1.1 heeft, dan gaat die dhcp vrolijk adressen zitten uitdelen
op jouw netwerk. Jou dhcp ook, maar degene die het snelste is wint. Het
wireless lan en het wired lan is gebridged op dat ding en dan heeft hij
een draadloze verbinding op jouw netwerk gecreerd. Alleen krijg je af
en toe een ander adres dan dat van jouw netwerk en dan doet de hut het
niet omdat die stations dan via die 192.168.1.1 naar buiten willen.
--
___________________________________________________________________
It is better to remain silent and be thought a fool, than to speak
aloud and remove all doubt.

+------------------------------------------------------------------+
| Richard Lucassen, Utrecht |
| Public key and email address: |
| http://www.lucassen.org/mail-pubkey.html |
+------------------------------------------------------------------+

[Bas Janssen]

Post by Paul van der Vlis
Hallo,
Kennen jullie een tool om DHCP servers op te sporen?
Ik bedoel voor een situatie waar er mensen zijn die het leuk vinden om
DHCP te enabelen, terwijl dat niet de bedoeling is.
Met vriendelijke groet,
Paul van der Vlis.

Een nmap UDP (poort 67 en 68) scan toont al vrij veel informatie

Dus als je lokale netwerk bijv 192.168.1.0-254 is:

:# nmap -sU 192.168.1.0-254 -p 67-68


Andere tip: http://freshmeat.net/projects/roguedetect/

[Mark Huizer]

Post by Paul van der Vlis
Hallo,
Kennen jullie een tool om DHCP servers op te sporen?
Ik bedoel voor een situatie waar er mensen zijn die het leuk vinden om
DHCP te enabelen, terwijl dat niet de bedoeling is.

Dhcp-snooping en dergelijke aanzetten op je switches, zodat ze dhcp
aanbiedingen van untrusted ports weigeren en dat loggen

Mark

[Koos van den Hout]

Post by Mark Huizer

Post by Paul van der Vlis
Kennen jullie een tool om DHCP servers op te sporen?
Ik bedoel voor een situatie waar er mensen zijn die het leuk vinden om
DHCP te enabelen, terwijl dat niet de bedoeling is.

Dhcp-snooping en dergelijke aanzetten op je switches, zodat ze dhcp
aanbiedingen van untrusted ports weigeren en dat loggen

Hele toffe managed switches (HP procurve) kennen portfilters waar je al
gelijk kunt vertellen dat dhcp antwoorden alleen van de dhcp server komen.

Gewone managed switches kunnen je helpen bij het traceren van dhcp servers
(op basis van mac adres).

Het staat of valt dus vooral met managed switches en een kloppende
administratie welk switchpoortje bij welke aansluiting in welke ruimte
hoort. Dat laatste kost het meeste werk.

Koos

[Mark Huizer]

Post by Koos van den Hout

Post by Mark Huizer

Post by Paul van der Vlis
Kennen jullie een tool om DHCP servers op te sporen?
Ik bedoel voor een situatie waar er mensen zijn die het leuk vinden om
DHCP te enabelen, terwijl dat niet de bedoeling is.

Dhcp-snooping en dergelijke aanzetten op je switches, zodat ze dhcp
aanbiedingen van untrusted ports weigeren en dat loggen

Hele toffe managed switches (HP procurve) kennen portfilters waar je al
gelijk kunt vertellen dat dhcp antwoorden alleen van de dhcp server komen.
Gewone managed switches kunnen je helpen bij het traceren van dhcp servers
(op basis van mac adres).

Da zeg ik :-)

Mark

[nobody]

Post by Paul van der Vlis
Hallo,
Kennen jullie een tool om DHCP servers op te sporen?

Nee, maar ik kan er wel eentje voor je schrijven. Je kunt ook het stukje
IPscan.java dat ik pas bijvoegde, voor HTTP, aanpassen voor DHCP.

Post by Paul van der Vlis
Ik bedoel voor een situatie waar er mensen zijn die het leuk vinden om
DHCP te enabelen, terwijl dat niet de bedoeling is.

Dat zijn volgens mij DHCP gluurders, DHCP zuigers, DHCP piraten, DHCP
parasieten of hoe je ze ook mag noemen.

Groeten,
nobody

[Philip Paeps]

Post by Paul van der Vlis
Kennen jullie een tool om DHCP servers op te sporen?

Broadcast DHCPREQUEST sturen op poort 68, zien wie er antwoordt. Met om het
even welke scripting taal kan je zo'n ding wel craften.

Ik lees verder in de draad dat je managed switchen hebt. Als het layer2/3
managed switches zijn, kan je er vaak een DHCP relay op draaien en DHCP
broadcasts gewoon niet flooden.

http://www.cisco.com/en/US/docs/switches/lan/catalyst4500/12.1/12ew/configuration/guide/dhcp.pdf

Als je enkel layer2 switches hebt, kan je broadcast DHCPOFFERs inspecteren.

dhcp_probe kan je hiermee helpen:

http://www.net.princeton.edu/software/dhcp_probe/

Met dhcp_probe (of gewoon met Perl...) zou je een scriptje kunnen brouwen dat
onwenselijke DHCP servers van het netwerk gooit door hun switchport dicht te
zetten (middels SNMP).

- Philip

[Paul van der Vlis]

Post by Paul van der Vlis
Hallo,
Kennen jullie een tool om DHCP servers op te sporen?
Ik bedoel voor een situatie waar er mensen zijn die het leuk vinden om
DHCP te enabelen, terwijl dat niet de bedoeling is.

Bedankt voor de hulp. De boosdoener is gevonden door het eruit-trekken
van netwerkstekkers. Ahum.

Om zoiets voor de toekomst te voorkomen zal ik nog eens goed nadenken,
maar nu weinig tijd.

Met vriendelijke groet,
Paul van der Vlis.

[Bas Janssen]

Post by Paul van der Vlis

Post by Paul van der Vlis
Hallo,
Kennen jullie een tool om DHCP servers op te sporen?
Ik bedoel voor een situatie waar er mensen zijn die het leuk vinden om
DHCP te enabelen, terwijl dat niet de bedoeling is.

Bedankt voor de hulp. De boosdoener is gevonden door het eruit-trekken
van netwerkstekkers. Ahum.

<snip>

LOL! Dat is ook een manier ;-)

[Huub Reuver]

Post by Bas Janssen

Post by Paul van der Vlis

Post by Paul van der Vlis
Hallo,
Kennen jullie een tool om DHCP servers op te sporen?
Ik bedoel voor een situatie waar er mensen zijn die het leuk vinden om
DHCP te enabelen, terwijl dat niet de bedoeling is.

Bedankt voor de hulp. De boosdoener is gevonden door het eruit-trekken
van netwerkstekkers. Ahum.

<snip>
LOL! Dat is ook een manier ;-)

Dat is de meest betrouwbare manier...
En daarbij niet afhankelijk van geinstalleerde software of speciale
functies in de hardware.

Een probleem met een DHCP-server is daarbij nog vrij eenvoudig. Als er
een echt router vervelend gaat doen heb je een groter probleem. Als er
iets fout gaat met spanning tree bijvoorbeeld. Als een router reset naar
de fabrieksinstellingen zie je vaak de genoemde DHCP-problemen.

Met VLAN's in managed switches kun je het probleem lokaal insluiten.
Verder zijn er verschillende mogelijkheden voor monitoring en
troubleshooting genoemd. Met het opdelen in VLAN's moeten je DHCP-servers
en routers wel kunnen omgaan met meerdere VLAN's. Als deze werken met
Linux zal dat geen probleem zijn.

Met vriendelijke groet,
Huub Reuver