[Kali Linux] CDP(Cisco Device Protocol) 공격 및 방어

-   Cisco 전용 프로토콜로 장비들의 물리적인 연결 상태를 확인할 수 있는 Layer 2 프로토콜이다.

-   show cdp neighbor, show cdp neighbor detail 명령어를 사용하여 자신과 직접 연결된 장비 정보를 확인하는 것이 가능하다.

-   Cisco 장비는 Interface가 Layer 2까지 활성화된 경우 기본적으로 다음과 같은 CDP Timer를 사용하여 상대방 장치에게 자신의 정보를 알려준다. (Hello 주기: 60초 / Hold-time: 180초)

 

네트워크 구성

 

CDP Attack LAB

 

-   Client(10.1.10.200 / Window7)

-   Attacker(10.1.10.10 / Kali Linux)

-   2개의 PC는 ASW 스위치에 물려있고 DSW1,2가 HSRP로 이중화 구성되어 있다.

-   패킷들은 CE라우터를 통해 빠져 나가고 외부망과 연결되어 있다.

 

라우터 및 스위치 설정 명령어 다운로드 (GNS3로 구성)

CDP Attack LAB Config.txt

0.00MB

DSW1(Switch) 확인

 

-   show cdp neighbors 명령어를 사용하여 인접한 장비들의 정보들을 확인한다.

 

   

-   show cdp neighbors detail 옵션을 사용하는 경우 상대방 장비의 IP 주소와 IOS 버전 정보도 확인할 수 있다.

-   Cisco가 아닌 다른 벤더 장비에는 LLDP라는 유사한 표준 프로토콜을 사용할 수 있다.

 

 

-   패킷을 캡쳐했을 경우에도 장비 정보들을 확인할 수 있다.

 

CDP Packet

 

-  Attacker(Kali Linux)에서도 CDP 패킷을 확인할 수 있다.

 

 

CDP를 사용한 보안 위협

 

1.   공격자가 자신과 연결된 Switch의 정보 (모델명 / IOS 버전 / IP 주소)를 획득하여 다른 공격에 활용할 수 있다.

2.   CDP를 활용한 DoS 공격을 진행하여 Access Switch를 직접 공격하는 것이 가능하다. 다량의 가짜 CDP 패킷을 Flooding 하여 스위치에 부하를 높일 수 있다.

 

 

1. yersinia 에서 CDP 프로토콜 모드로 지정

 

-  Attacker(Kali Linux) 에서 yersinia -I 명령어를 사용하여 interaction Mode로 접속

-   엔터키를 입력후 G키를 누르고 CDP를 선택 후 엔터키를 누른다.

 

 

2.  CDP DoS 공격을 실행

 

-   CDP DoS 공격을 하기 위해서 X 키를 누른 후 1번을 선택한다.

-   CDP flooding공격을 하게 되면 ASW 스위치에 과부하가 걸린다. 

 

 

-   CDP DoS 공격을 실행하면 다음과 같이 무수히 많은 CDP 패킷이 ASW로 보내진다.

 

 

-   공격을 중지하기 위해서는 대문자 K키를 누른 후 Y키를 누르면 된다.

 

 

ASW 스위치 확인

 

-   show cdp neighbors 명령어를 확인해 보면 다량의 CDP 패킷들이 저장돼 있는 것을 확인할 수 있다.

-   CDP DoS 공격을 계속하면 ASW 스위치는 Down된다.

 

 

CDP Dos 공격 방어

 

1. 종단 장비(End Device)가 연결된 포트에 Port-Security를 설정

 

-   CDP Flooding 공격 시 L2헤더(Ethernet)의 출발지 MAC 주소가 계속 변경되어 전송되기 때문이다.

 

ASW1 Switch 설정

 

conf t switchport port-security switchport port-security maximum 3

 

2. CDP를 비활성화

 

종단 장비(End Device)가 연결된 포트에 CDP를 비활성화 (종단 장치 연결 포트)

 

-  해당 설정을 완료화면 CDP 패킷을 종단장치에서 확인이 불가능하다.

 

ASW1 Switch 설정

 

ASW CDP 비활성화 설정

 

conf t int range e 0/0 - 1 no cdp enable

 

-   장비 자체에서 모든 CDP를 비활성화시키는 것도 가능하다. (CDP를 사용하지 않는 경우)

 

conf t no cdp run

 

-   관리자가 CDP 정보를 확인해야 하는 경우 cdp run 명령어를 사용하여 다시 활성화시키는 것도 가능하다.