由于 DHCP 协议是二层的无法找到网絡中那台非法 DHCP 服务器的源、目的 IP 地址,如果网络里面同时有多台 DHCP 服务器而你的交换机没有阻止 DHCP 协议的发布,那么这个网是很危险的(我所在的小区里也有这样的情况如果我架设了 DHCP,我会看到 /var/lib/dhcp/dhcpd.leases 看到很多被分配的
我们可以采取用 tcpdump 抓包的方法来判断对方的 MAC,如果有了 MAC 就好办叻
普通情况下tcpdump 抓到的包都是 3 层的,只能看到 IP 头和其他 4 层头(比如 TCP/UDP)
这个是关键还有一个关键部分就是 port,因为 dhcp 协议会用到 UDP/67知道这两点僦好办了,抓包抓完以后看看 MAC 就可以了
有了 MAC 就好办了,再用 arp -n 就能看到其 IP接下来就是在网关上封掉他的 MAC,让他“投案自首”吧 ^_^