第6回 取得できない幻のIPアドレス

草場 英仁
三井物産セキュアディレクション株式会社
ビジネスデベロップメント部　主席研究員
2008/12/15

　原因発見「IPがすでに存在する！」

　「あ、これだな」

　クライアントからサーバへのエラーメッセージでDHCP declineを発見しました。declineとはすでにほかのクライアントでIPが使われていることを指します。

　でも、DHCPであれば自動的にプールから使用されていないIPが割り振られるはずですから、IPが重複することは普通ありません。

　「坂本さん、このDHCPサーバの設定はどうなってるかな」

　「はい、聞いてきます！」

　待つことしばし。葵さんには復旧は（多分）もうすぐだとなだめておきます。

　斉藤君の独り言TIPS

　坂本さんを待っている間に先ほどのフィルタのエラーの調査です。DHCPでエラーになるということは、別の入力方法があるということです。

　statisticsを使ってプロトコル情報を見てみましょう。

　試しに　statistics>>Protocol Hierarchy　を見てみます。

　DHCPはUDPなので　Frame >> Ethernet >> Internet Protocol >> User Datagram Protocolを選択します。

　あ、Bootstrap Protocol！Bootstrap ProtocolとはDHCPの基となっているプロトコルだった。

画面5　Bootstrap ProtocolとはDHCPの基となるプロトコル

　なるほど、なるほど……。

　wiresharkのHPでもDHCPはbootpとしてフィルタを設定せよ、と書いてあります。

　Protocol Hierarchyはどんなプロトコルが存在しているか、また割合はどうなのか、ふかんするときに便利な機能です。またネットワークのベンチマークも分かります。一点注意することは、最小単位以下になると切り捨てられますので、パケットの総数とプロトコルの割合が一致しないときがあります。

　これでめでたくDHCPでフィルタできました。

画面6　bootpと入力して検索する

---

　あ、息を切らせて坂本さんが帰ってきました。

　「このDHCPサーバの設定は、MACアドレスにひも付けてIPを払い出すようになっているということです」

　「ということは？」

　「えーと……。つまり、仮にIPアドレスが競合した場合でも、競合したIPを払い出してしまうってことですね！」

　原因調査「犯人はお前だ！」

　競合するということは、どこかで誰かがすでにこのIPを使っているということです。原因調査を始めます。

　wiresharkでARPでフィルタを行いMACアドレスを調べて、ファイルサーバに保管されている備品一覧を検索します。

画面6　MACアドレスから原因を調査

　犯人が分かりました。MacBookを使っている、デザイン室の伊藤さんです。

　「あら、彼なら今朝から新企画のウェブデザインに参加してもらってるわ」

と、葵さん。

　確かデザイン室は、固定IPでマシンの管理をしていたはずです。

　今回の原因は伊藤さんが自宅で使っていた固定IPのマシンを、その設定のまま企画部のネットワークにつないでしまった、ということのようです。伊藤さんのPCの持ち出し・持ち込み許可の際にウイルスチェックはしていたようですが、設定のチェックまではやってなかったようです。

　「ちゃんと伊藤さんに設定を変えてもらいましょう。葵さん、これで解決ですよ」

　「あー、良かった。坂本さんもお手数掛けたわね」

　「いえっ、そんなことないです！お役に立てなくて！」

　どうもまだ緊張の抜けない坂本さんのようです。

今回の復習 新しくPCを社内LANにつなぐときにはネットワーク設定のチェックも忘れずに Wiresharkが認識するプロトコルをきちんと確認しておこう タイムライン表示で事件の経過を調査しよう DHCPでつながらない場合、 　　・macアドレスに紐付けて払い出しの設定 　　・アドレスプール 　　・DHCPサーバが二台以上ないか 　を特に気を付けよう Protocol Hierarchyでベンチマークや割合を把握しよう たくさん流れている怪しいパケットはないかな？

---

Profile

草場 英仁（くさば ひでかず） 三井物産セキュアディレクション株式会社 ビジネスデベロップメント部　主席研究員 大手システム会社からベンチャー企業、ペネトレーション会社を経て現職へ。ルータ開発やファイアウォール開発、apacheや*BSDなどのOSS開発を経験し、低レイヤから高レイヤまで深いレベルでのハッキング技術を有する。 Exploit作成や手動でのペネトレーションテストなど、ツールではない本物の技術にこだわり、官公庁や企業へのハッキング教育、ペネトレーションテストに従事。その他、大学で非常勤講師、研究員などを勤めるかたわら、セキュリティ関連を中心に執筆多数。アカデミックな一面を持つ希少なエンジニア。最近はフォレンジックや携帯関連（端末・ガジェット・アプリなど）のハックにいそしむ。なお、同姓同名（読みは違う）の、どこにでもいる普通の変態な方とよく間違われるが http://twitter.com/E_I_J_I_R_O は私ではありません。

2/2

Index
取得できない幻のIPアドレス
	Page1 プロローグ「留守番お任せしていいかな」 トラブル発生「DHCPで接続できない？」 調査開始「真打ち登場」
	Page2 原因発見「IPがすでに存在する！」 斉藤君の独り言TIPS 原因調査「犯人はお前だ！」

Wiresharkでトラブルハック 連載インデックス

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）