MNDP (MikroTik Neighbor Discovery Protocol) est un protocole qui nous permet de trouver les routeurs/commutateurs voisins qui sont compatibles avec les protocoles de voisinage suivants :

• MNDP : MikroTik Proprietary
• CDP : Propriété de Cisco
• LLDP : Norme ouverte

Il vous suffit d’avoir un appareil physiquement connecté à votre appareil pour qu’il soit découvert à l’aide de l’un des trois protocoles ci-dessus (s’ils sont tous activés sur le routeur MikroTik). Veuillez noter que le MNDP fonctionne sur le port UDP 5678.

J’ai ici un routeur MikroTik fonctionnant sous RouterOS v7, et si vous allez dans IP/Voisins, vous pouvez voir que les 3 protocoles de découverte des voisins sont activés sur toutes les interfaces, et vous verrez également qu’il a déjà découvert sur son interface Ether2 un périphérique avec une IP de 172.80.80.254 et une adresse MAC de 00:13:3B:90:92:BE.

De plus, ces protocoles nous aident à voir l’entrée du routeur MikroTik dans la Winbox lorsque nous l’ouvrons sur notre PC, comme suit :

C’est en effet un avantage, mais il y a aussi quelques inconvénients. Le principal inconvénient est que, dans le cas où un attaquant lance une attaque sur les protocoles CDP, il peut créer une énorme liste d’entrées en tant que voisins pour ce routeur, ce qui ferait monter le CPU du routeur à 100 % et l’empêcherait de fonctionner.

 

Permettez-moi de vous montrer directement un LAB à ce sujet.

 

LAB : Attaques du MNDP

Voici ma configuration LAB. J’ai préparé une machine Kali Linux (normalement utilisée par les attaquants) pour lancer une attaque MNDP contre R1, et je l’ai connectée à l’interface Ether1. Ce que Kali Linux va faire, c’est envoyer plusieurs milliers d’entrées de voisinage à R1 à partir de différentes adresses MAC, de sorte que R1 va croire qu’il a toutes ces entrées en tant que véritables dispositifs voisins. En conséquence, le CPU du routeur atteindra 100% et il ne sera pas en mesure d’exécuter les tâches normales qu’un routeur devrait faire.

 

Tout d’abord, je vais exécuter l’attaque, puis je vous montrerai comment la corriger.

 

A partir de l’invite de commande de Kali Linux, je vais ouvrir le logiciel appelé « yersinia » en tant qu’interface utilisateur graphique pour effectuer l’attaque du voisin.

 

Pour lancer l’attaque CDP de Yersinia, il suffit de lancer l’attaque et de choisir « flooding CDP table ». J’ai déjà lancé l’attaque, voyons donc ce qui se passe sur le routeur MikroTik.

Wow !!!! Regardez combien d’entrées ont été ajoutées à la liste des voisins du routeur et regardez le CPU – il est déjà à 100%.

Ce n’est pas bon du tout, et maintenant n’importe qui avec une machine Kali Linux fonctionnant avec Yersinia peut causer d’énormes dommages à notre réseau.