生成树攻防

设备：

DCRS-5950交换机

虚拟机中的kali（采用桥接模式）192.168.1.1

笔记本（需要RJ45的转接线和USB的转接线）【或者两台电脑】

笔记本物理机的ip：192.168.1.2 默认网关：192.168.1.254

我在这里的实验用的是一个台式机和一个笔记本，台式机连接交换机，笔记本上的kali机。

1. 在DCRS交换机开启生成树协议，生成树协议模式为STP，DCRS交换机优先级为0，防止网络出现物理环路，显示DCRS交换机生成树协议的状态

在这里先简单的配置下VLAN,好做实验

STP配置

2. 在kali向DCRS交换机发起TAKE Over The Root Bridge渗透测试，使DCRS交换机认为Kali为Root Brige，显示DCRS交换机生成树协议的状态，并将该信息截屏：

启动yersinia的图形界面

选择STP会直接出现一条结果

选用Claim Root Role 进行攻击【Claiming Root Role 破坏树协议中的根的选择，导致广播风暴 】

（注：Root ID：为kali的ID（Root ID近似等于Self Bridge ID））

3. 配置DCRS交换机生成树协议安全特性，阻止TAKE Over The Root Bridge渗透测试

这里我台式机连的是e1/1(vlan10下的每个接口都要这么做)

方法一：

方法二

输入：spanning-tree portfast bpduguard recoverver  (任意值 )

值的范围取决于设备可通过打问号来选择值spanning-tree portfast bpduguard recoverver  ？

方法三：

spanning-tree portfast bpdufilter

4. 在DCRS交换机配置生成树协议安全特性的条件下，DCRS交换机不会认为kali为Root Brige ,由Kali再次向DCRS交换机发起TAKE Over The Root Bridge渗透测试，再次显示DCRS交换机生成树协议的状态，并验证：

 ###################################################################

###################################################################

这里我换设备了，CS6200比RS-5650交换机好，RS-5650还缺少一些命令，毕竟是老设备了。

#注：cs-6200#hostname cs

Cs#

设备：CS6200 台式机 笔记本上的kali

5. 由kali向CS交换机发起BPDU DOS渗透测试，提高DCRS交换机CPU的利用率，显示cs交换机CPU的利用率：

渗透前交换机CPU的利用率

  选择sending conf BPDUs

渗透测试之后交换机CPU的利用率：

6. 配置cs交换机生成树协议安全特性，阻止BPDU DOS渗透测试，并将配置截屏：

Vlan10的每一个接口都做

CS#spanning-tree portfast bpduguard recovery (任意值)

或者这样做：

7.在CS6200交换机配置生成树协议安全特性的条件下，CS6200交换机不会受kalid 的BPDU DOS渗透测试影响，此时由kali再次向CS6200交换机发起BPDU DOS渗透测试。显示cs6200交换机的利用率，并验证：

渗透前交换机CPU的利用率

选择sending conf BPDUS

渗透后

#结论CPU的利用率在渗透前后无明显变化

（注：设置了安全特性之后：如果kali再次攻击，交换机会直接断开与kali的链接）