Hạ tầng Mạng (DNS & DHCP)

Thu, 21 May 2026 22:53:00 +0700

Chào mừng các bạn tiếp tục với Series Giải phẫu Mạng & Packet Analysis! Sau khi đã thiết lập xong “đường hầm” mã hóa vững chắc ở Tầng 6, chúng ta chính thức bước chân vào Lớp 7 (Application). Đây là nơi chứa đựng những giao thức nền tảng nhất giúp Internet vận hành, nhưng cũng là những “góc khuất ngây thơ” nhất vì mặc định chúng thiếu đi các cơ chế bảo mật cốt lõi. Hôm nay, chúng ta sẽ cùng bóc tách hệ thống phân giải tên miền (DNS) và quá trình xin cấp phát IP tự động (DHCP), đồng thời phân tích các đòn đánh hiểm hóc nhắm vào chúng.

1. DNS (Domain Name System) - Bản danh bạ của Internet

Hệ thống phân giải tên miền (DNS) là một giao thức cốt lõi thuộc Tầng 7 (Application Layer) hoạt động chủ yếu qua cổng UDP 53. Nhiệm vụ của nó là “dịch” các tên miền dễ nhớ đối với con người (như google.com) thành địa chỉ IP thực tế để máy tính có thể giao tiếp với nhau trên mạng.

Ví dụ, trước khi bạn thực sự truy cập vào trang Facebook, máy tính của bạn sẽ bắn một gói tin truy vấn DNS đến máy chủ phân giải (như 8.8.8.8) để hỏi IP của Facebook là gì. Sau khi DNS trả về địa chỉ IP và lưu nó vào bộ nhớ đệm (cache), trình duyệt của bạn mới bắt đầu thực hiện kết nối TCP 3 bước để trao đổi dữ liệu web.

2. Bắt tại trận các đòn tấn công nhắm vào DNS

DNS được thiết kế từ thời kỳ sơ khai của Internet nên nó rất “ngây thơ”: mặc định các truy vấn không được mã hóa và không có cơ chế xác thực danh tính mạnh mẽ. Hacker hiểu rất rõ điểm yếu này và thường xuyên tung ra các đòn tấn công sau:

DNS Spoofing / Poisoning (Lừa đảo/Đầu độc): Kẻ tấn công gửi một gói tin trả lời (Response) giả mạo chứa địa chỉ IP của máy hacker, cố gắng đến máy bạn nhanh hơn cả DNS Server thật. Nếu số định danh Transaction ID trong gói tin trùng khớp, máy tính của bạn sẽ tin tưởng tuyệt đối và truy cập thẳng vào trang web lừa đảo do hacker dựng sẵn.
DNS Tunneling (Đường hầm dữ liệu): Tường lửa của các doanh nghiệp thường luôn cho phép cổng 53 đi qua một cách tự do. Biết được kẽ hở này, hacker có thể nhồi nhét dữ liệu nhạy cảm (như mã nguồn dự án hoặc thông tin thẻ tín dụng) vào bên trong các truy vấn DNS thông thường để âm thầm tuồn dữ liệu ra ngoài (Data Exfiltration) mà không bị hệ thống IDS/IPS chặn lại.
DNS Hijacking (Chiếm quyền điều khiển): Kẻ gian trực tiếp thay đổi cài đặt máy chủ DNS trên hệ điều hành máy nạn nhân hoặc trên Router để trỏ mọi truy vấn phân giải về một DNS Server do chúng kiểm soát hoàn toàn.

Dưới đây là output Wireshark ghi lại một truy vấn DNS bình thường. Nếu bị DNS Spoofing, IP trả về ở gói số 2 sẽ là IP của kẻ tấn công thay vì IP thật:

# Máy khách 192.168.1.156 hỏi DNS Server 203.113.188.6 địa chỉ của google.com
# Bộ lọc Wireshark: dns && ip.addr == 192.168.1.156

No. Time Source Destination Protocol Info
1 0.000000 192.168.1.156 -> 203.113.188.6 DNS Standard query 0x24b7 A google.com
2 0.084123 203.113.188.6 -> 192.168.1.156 DNS Standard query response 0x24b7 A google.com A 142.250.198.46

3. DHCP (Dynamic Host Configuration Protocol) và Quy trình DORA

Trước khi máy tính có thể “hỏi đường” bằng DNS, nó phải làm thủ tục “xin hộ khẩu” để có một địa chỉ IP nội bộ hợp lệ nhằm gia nhập mạng. Quá trình tự động hóa này do giao thức DHCP đảm nhận, hoạt động ở Tầng 7 và sử dụng cổng UDP 67 cho Server, UDP 68 cho Client.

Khi bạn vừa cắm dây cáp mạng hoặc bật Wi-Fi, một quy trình 4 bước mang tên DORA sẽ lập tức diễn ra:

D — Discover (Khám phá): Máy tính của bạn lúc này chưa có IP, nó dùng địa chỉ 0.0.0.0 để “hét” lên toàn mạng bằng gói tin Broadcast: “Có ai là DHCP Server ở đây không? Tôi cần một địa chỉ IP!”.
O — Offer (Đề nghị): Router (đóng vai trò DHCP Server) nghe thấy và đáp lại: “Tôi đây! Tôi đang có sẵn địa chỉ 192.168.1.14 trống, cậu có muốn dùng không?”.
R — Request (Yêu cầu): Máy của bạn phản hồi lại toàn mạng: “Tuyệt quá! Tôi đồng ý dùng địa chỉ .14 đó. Làm ơn khóa địa chỉ đó lại cho tôi nhé!”.
A — Acknowledge (Xác nhận): Router chốt sổ và thông báo: “Ok, địa chỉ .14 là của cậu trong vòng 24 giờ tới. Đây là thông số DNS và Default Gateway để cậu vào mạng”.

4. DHCP Starvation và Rogue Server - Sự nguy hiểm của Broadcast

Điểm yếu chí mạng của DHCP là nó hoạt động hoàn toàn dựa trên niềm tin vào bất kỳ thiết bị nào phản hồi lại gói tin Broadcast (255.255.255.255). Kẻ tấn công đứng trong cùng một mạng LAN có thể dễ dàng khai thác niềm tin này:

DHCP Starvation (Tấn công làm cạn kiệt): Hacker sử dụng công cụ tự động để tạo ra hàng vạn gói tin Discover với các địa chỉ MAC giả mạo liên tục. Router sẽ ngây thơ cấp phát toàn bộ dải IP trống trong kho của nó (ví dụ từ .2 đến .254) cho các MAC ảo này. Hậu quả là khi một nhân viên thật kết nối vào mạng, Router sẽ báo “hết số” và họ không thể nhận được IP để vào mạng.
Rogue DHCP Server (Server giả mạo): Hacker chủ động dựng lên một DHCP Server giả ngay trong mạng công ty. Khi máy của nhân viên gửi gói tin Discover xin IP, Server giả này sẽ phản hồi nhanh hơn cả Router thật để cấp IP — nhưng nó sẽ cấp cho nạn nhân một Default Gateway giả mạo trỏ thẳng về máy của hacker. Lúc này, toàn bộ dữ liệu nạn nhân gửi ra Internet đều chảy xuyên qua máy kẻ tấn công, tạo nên một đòn Man-in-the-Middle (MitM) hoàn hảo.

Cảnh báo SOC: Để chống lại các cuộc tấn công hạ tầng này, quản trị viên mạng cần cấu hình tính năng DHCP Snooping trên các Switch vật lý. Tính năng này sẽ chỉ cho phép các cổng (Port) kết nối với Router thật mới được quyền gửi gói tin Offer và Acknowledge, chặn đứng mọi DHCP Server giả mạo.

Thấu hiểu cách DNS và DHCP vận hành giúp SOC Analyst phát hiện sớm các chiến dịch đánh cắp dữ liệu hoặc nghe lén mạng nội bộ trước khi chúng gây ra hậu quả. Sau khi gói tin của chúng ta đã có IP và tìm được đích đến, nó sẽ được chuyển giao cho các giao thức truyền tải văn bản và tệp tin. Trong Bài 9 tiếp theo, chúng ta sẽ phân tích sâu hơn về HTTP/HTTPS, cách FTP làm lộ mật khẩu trần trụi và kiến trúc đường hầm an toàn của SFTP. Hẹn gặp lại các bạn!

Dhcp on Roduygo | Blog

Hạ tầng Mạng (DNS & DHCP)

1. DNS (Domain Name System) - Bản danh bạ của Internet

2. Bắt tại trận các đòn tấn công nhắm vào DNS

3. DHCP (Dynamic Host Configuration Protocol) và Quy trình DORA

4. DHCP Starvation và Rogue Server - Sự nguy hiểm của Broadcast