CDP（Cisco Discovery Protocol）攻击究竟是什么？

Cisco Discovery Protocol（CDP）是一种由Keith McCloghrie和Dino Farinacci在1994年开发的第二层协议。该协议用于收集其他直接连接的Cisco设备的相关信息，例如操作系统版本和IP地址等。这些信息可以被共享出来。在本文中，我们将了解CDP的工作原理、如何伪造CDP数据，以及可能的攻击方式及相应的防御措施。

什么是CDP？

CDP是一种由Cisco设备使用的第二层协议。它用于识别网络中其他直接连接的Cisco设备。这样一来，设备可以自动配置其连接方式，从而简化连接和配置过程。通常来说，……CDP在大多数Cisco设备上，该功能都是启用的。由于路由器不会主动传输CDP数据，因此CDP数据是通过定期广播的方式传输的，而这些广播信息则被保存在Cisco设备的CDP表中。

CDP数据库包含大量关于设备的信息，比如设备的功能、IP地址、原生VLAN、软件版本、平台版本等。当这些信息通过被入侵的系统落入恶意用户手中时，他们可以利用这些信息来寻找攻击网络的漏洞。这种攻击通常表现为DoS攻击。此外，恶意用户还可以伪造CDP数据包，并将其转发到其他设备上，因为CDP并未经过身份验证。

CDP是如何工作的？

Cisco Discovery Protocol（CDP）是一种协议，它使得网络管理应用程序能够了解附近的Cisco设备的情况。该协议的运作方式是：每个配置了CDP功能的设备都会定期向一个多播地址发送消息。

• CDP的使用方式：CDP用于识别那些与其他已知设备处于相邻状态的Cisco设备。它还可以被用于按需路由功能，即将路由信息包含在CDP公告中。
• CDP的运行方式：CDP可以在所有思科路由器、网桥、接入服务器以及交换机上运行。它运行在二层网络上。数据链路层以及所有方面。局域网与广域网支持Subnetwork Access Protocol（SNAP）的媒体。
• CDP是如何被启用的：在Cisco设备上，CDP功能是默认启用的。因此，无法全局禁用CDP功能，同时又能单独在某个接口上启用CDP功能。
• CDP存在哪些脆弱性：CDP容易受到攻击，因为它没有内置的安全机制。

CDP欺骗

Cisco Discovery Protocol（CDP）欺骗是一种拒绝服务攻击。这种攻击方式是向网络发送伪造的CDP数据包，从而让其他Cisco设备看起来像是在连接网络一样。

CDP欺骗的工作原理

攻击者向多播MAC地址01:00:0C:CC:CC:CC发送了数千个伪造的CDP数据包。接收这些数据包的设备会将这些信息添加到自己的CDP表中。如果设备无法处理这种攻击，那么设备就有可能崩溃。

后果/影响

该设备的命令行界面可能会变得无法响应，这样一来，就无法禁用CDP功能了。此外，由于设备没有足够的资源来处理其他网络流量，因此其他网络流量也可能被丢弃。

可能的攻击方式

• Telnet攻击：Telnet这是一种不安全的协议，可能会被恶意用户用来远程访问网络设备。然后，他们可以针对交换机上的虚拟终端发起暴力攻击，以破解密码。

• 暴力密码攻击：对于这种攻击方式，恶意用户会利用一份常见的密码列表，同时借助一个能够利用该词典中的单词来建立Telnet连接的程序。如果密码没有被破解的话……字典列表攻击在接下来的暴力攻击步骤中，恶意用户可能会使用组合攻击的方式来破解密码。

• Telnet DoS攻击：Telnet可以被用于……DoS攻击在这种情况下，恶意用户可以利用交换机上运行的 Telnet 服务器软件中的漏洞，使得 Telnet 服务无法被访问。这种攻击方式可以与其他各种直接攻击手段结合使用，从而阻止管理员在攻击过程中远程访问这些重要设备和交换机的管理功能。

• CVE-2020-3110，或者称为Cisco视频监控8000系列IP摄像机中的RCE和DoS漏洞。详情请参见CDP文档。恶意用户可以通过向受影响的IP摄像头发送伪造的CDP数据包来利用这一漏洞。这种漏洞使得未经身份验证的用户能够远程执行代码。此外，该漏洞还可能导致受影响的摄像头意外重新加载，从而引发DoS攻击。

• CVE-2020-3111，即思科IP电话中的RCE和DoS漏洞。这可能会让恶意用户利用root权限发起RCE攻击，同时还能让该用户重新加载所有受影响的IP电话设备，从而导致DoS攻击的发生。

• CVE-2020-3118，即思科IOS XR软件中的格式字符串漏洞。在Cisco IOS XR软件的CDP执行过程中，存在这种漏洞。该漏洞使得未经授权的恶意用户能够执行任意代码。此外，该漏洞还会导致受影响的设备重新加载，从而引发堆栈溢出问题。

针对CDP攻击的预防措施

为了预防CDP攻击，可以考虑采取以下措施。

• 用户可以通过使用“no cdp run”命令来禁用那些不需要CDP功能的设备或端口上的CDP功能。
• 为了防止暴力破解攻击，用户应定期将密码更改为更强大的密码。
• ACL访问控制列表它可以用来限制对虚拟终端线路的访问。
• 用户应关闭那些连接到外部网络的路由器上的CDP功能。

检测/识别

可以通过使用CDP监控工具来监测CDP的变化。该工具能够发现网络中的CDP变化，同时还会通过弹窗向用户发出提示，并发送警告邮件。由于可以从CDP监控工具中发送自定义的CDP数据包，因此该工具在应对CDP欺骗攻击时也非常有用。

结论

CDP是一种工具，它被网络管理员和工程师用来识别网络中相邻的Cisco设备。 CDP容易受到攻击，因为其缺乏内在的安全机制。 由于这种原因，关于该设备的许多数据，比如其功能、IP地址、软件版本、平台版本等都会被泄露。这些信息会被恶意用户用来实施攻击。 可以通过使用CDP监控工具来对其进行控制。该CDP程序能够检测网络中的CDP变化。