STP生成树攻击如何防范

wen 网络安全 2026-07-19 3

STP生成树攻击原理与系统化防范策略

目录导读

STP协议基础与攻击面解析
- STP协议诞生背景与核心机制
- BPDU报文结构与攻击入口
- 为何二层网络更易遭受STP劫持
主流STP攻击类型全揭秘
- BPDU泛洪攻击（资源耗尽型）
- 根桥劫持攻击（拓扑篡改型）
- 环路伪造攻击（间接DoS）
- 欺骗攻击与MAC泛洪的组合利用
攻击者视角：STP攻击的完整实施路径
- 工具准备（Yersinia、Scapy等）
- 攻击步骤还原（从监听BPDU到篡改根桥ID）
- 真实案例：某企业内网因配置不当导致15分钟全局中断
防护核心策略：分层防御体系
- 第一层：配置层面的BPDU Guard与Root Guard
- 第二层：端口安全与动态ARP检测联动
- 第三层：交换机CPU保护与BPDU速率限制
- 第四层：RSTP/MSTP协议的增强特性利用
实战部署清单与验证方法
- 思科/华为/华三通用的配置命令参考
- 攻击模拟测试（合法合规环境下）
- 监控告警与自动恢复机制设计
常见问题QA
- Q1：BPDU Guard与BPDU Filter的区别？
- Q2：根桥防护后为何仍有环路的风险？
- Q3：RSTP能彻底避免攻击吗？

STP协议基础与攻击面解析

生成树协议（STP）作为二层网络环路的“断路器”，本是为了防止广播风暴而设计的IEEE 802.1D标准，它通过网桥协议数据单元（BPDU）在交换机之间选举根桥、计算最佳路径并阻塞冗余端口，安全研究者很快发现：STP的信任模型存在天然缺陷——它假定所有参与交换的设备都是“善意的”，且BPDU的优先级、根桥ID等字段均未经加密或认证。

攻击者只需连接到任意交换机端口,发送精心构造的BPDU报文，就能篡改网络拓扑，由于二层交换机转发数据包时不对来源进行身份验证，一台普通电脑使用Yersinia（一款开源二层攻击工具）就能伪装成根桥，从而让所有正常的流量改道通过攻击者所在的设备，实现流量监听、中间人攻击乃至网络瘫痪。

问题：为什么现代网络仍不对BPDU加密？ 答：STP协议诞生于局域网环境高度信任的早期，若加入加密认证会显著增加处理延时（BPDU要求毫秒级响应），但好消息是，IEEE 802.1AE（MacSec）可在链路层加密，而802.1X认证能从源头上控制设备接入。

主流STP攻击类型全揭秘

1 BPDU泛洪攻击

攻击者伪装成交换机,以极短间隔（如1ms）发送大量带有最高优先级的BPDU，迫使真实交换机必须反复重新计算生成树，此时CPU占用率飙升，正常BPDU被丢弃，导致交换机误认为链路断开而开放所有阻塞端口，形成广播风暴。

2 根桥劫持攻击（最常见）

攻击者广播携带“优先级=0”的BPDU（理论上0为最高优先级），会立即成为根桥，所有交换机将调整端口状态，流量全部途经攻击者设备，黑客可利用此位置嗅探到明文密码、抓取内部协议报文（如DHCP、DNS、HTTP），甚至结合ARP毒化发起会话劫持。

3 环路伪造攻击

通过在同一交换机的两个端口发送相同的BPDU,制造“两条链路都连接根桥”的假象，导致交换机计算陷入死循环，最终结果可能是端口状态反复切换（端口抖动），网络吞吐量断崖式下降。

4 组合攻击（MAC泛洪+STP欺骗）

先利用MAC泛洪攻击让交换机CAM表溢出,再发送伪造BPDU，此时交换机因无法正常学习MAC地址，会将BPDU当作普通数据帧处理，进一步降低CPU的判断能力。

攻击者视角：STP攻击的完整实施路径

工具准备：Kali Linux + Yersinia 0.8.1或更高版本（图形化界面亦可）。注意：实验需在获得授权的内部测试环境中进行，严禁用于未授权系统。

攻击步骤：

发现阶段：使用Wireshark监听网卡，抓取并分析现有BPDU，提取原始根桥的MAC地址、Hello时间、最大老化时间。
构造阶段：Yersinia启动STP攻击模式，填入“根桥优先级=1”（略低于真实根桥的4096），覆盖原根桥。
注入阶段：以100ms间隔广播伪造BPDU，5秒内，测试网络中所有交换机均确认新根桥。
验证阶段：在攻击机开启Wireshark嗅探，能观察到所有跨交换机的HTTP流量（非加密的），包括内部OA系统的登录请求。

真实案例：某制造业工厂在2021年因一台员工笔记本误连接了Yersinia（并非故意攻击，而是安全测试工具未关闭），导致15分钟内车间网络全部中断——装配线上的PLC无法与MES服务器通信，直接造成约200万元产线停摆损失。

防护核心策略：分层防御体系

1 第一层：BPDU Guard与Root Guard

BPDU Guard：配置在汇聚层以下的接入端口，一旦端口收到BPDU，立即进入errdisable状态（端口关闭），适用于接终端或打印机端口。
Root Guard：配置在骨干层以上的上联端口，限制端口不得成为根桥——“即使收到优先级为0的BPDU，也拒绝选举”，可有效防止虚假根桥从核心层渗透。

配置思路：在思科交换机接口模式下：

spanning-tree bpduguard enable (BPDU防护)
spanning-tree guard root (根防护)

2 第二层：端口安全+动态ARP检测(DAI)

结合802.1X认证，只有合法的交换机才能发送BPDU，普通工作站即使接入，也会被端口安全（switchport port-security）限制MAC数量，并拒绝非IP流量（BPDU是未封装的二层帧）。

3 第三层：BPDU速率限制（CPU保护）

在交换机全局配置：

spanning-tree bpduguard rate-limit 限制端口收发BPDU的频率（比如每秒不超过2个包）。
结合风暴控制(storm-control broadcast)阻止低层级泛洪。

4 第四层：启用RSTP或MSTP

快速生成树协议(RSTP, 802.1w)不仅收敛更快（秒级以内），而且增加了边缘端口概念——边缘端口（spanning-tree portfast）默认拒绝BPDU，一旦收到BPDU自动转为保护状态，同时RSTP对BPDU的处理逻辑更严谨，攻击行为更容易被检测。

注意：任何协议都无法100%杜绝攻击，但分层防御能将“成功攻击”的概率从80%降低到0.1%以下。

实战部署清单与验证方法

1 通用配置模板（适用于思科/华为/华三）

# 思科系统
interface range GigabitEthernet 1/0/1-48
 spanning-tree portfast
 spanning-tree bpduguard enable
 spanning-tree guard root
!
interface GigabitEthernet 1/0/49  // 上联核心
 no spanning-tree portfast
 spanning-tree guard root
!
# 华为S系列
interface GigabitEthernet0/0/1
 stp edged-port enable   // 等效portfast
 stp bpdu-protection
 stp root-protection

2 攻击模拟测试（安全环境）

使用Yersinia发送低速BPDU（每秒1包），观察交换机的syslog是否出现%SPANTREE-2-BLOCK_...等告警。
尝试发送根桥优先级0,验证Guard是否拒绝——被阻断的端口会显示err-disabled。
开启监控：show spanning-tree detail | include Root 或 Topology Changes

3 监控与自动恢复

配置errdisable recovery自动恢复被Guard关闭的端口：

errdisable recovery cause bpduguard
errdisable recovery interval 300

但同时建议发送SNMP trap到运维平台（如Zabbix），实现“攻击→端口关闭→运维人员复核→自动恢复”的闭环。

常见问题QA

Q1：BPDU Guard与BPDU Filter有何不同？

答：

BPDU Guard：监控+阻止，收到BPDU后立即关闭端口并记录告警，适用于安全敏感接入端口。
BPDU Filter：忽略+不响应，收到BPDU时直接丢弃，不进行任何处理，端口依然保持转发，但此举会让恶意BPDU穿透进入交换域，不推荐作为安全措施。
：防攻击请永远使用BPDU Guard，而非Filter。

Q2：配置Root Guard后，网络还是出现了环路，可能的原因？

答：

端口类型误解：Root Guard只能防止端口成为根桥端点，但不能阻止端口从指定端口转为备用端口——环路可能因错误拓扑计算而产生。
配置位置错误：Guard应配置在所有非核心的上联端口（即预期不会成为根桥的端口），若配在根桥的端口则失去意义。
攻击者通过多个端口发送：若从两个端口同时发送BF协议（如BPDU伪造），可能绕过单端口限制。

Q3：RSTP能否彻底避免STP攻击？

答：不能，RSTP（802.1w）虽然增强了边缘端口和BPDU处理速度，但BPDU字段依然可篡改，攻击者可使用RSTP格式的伪造BPDU同样生效，不过RSTP内置了更严格的握手协议（同步协商），使得攻击检测更早，真正完善的安全还需结合802.1X+动态BPDU检测（如思科STP Protector特性）。

延伸思考：基于SDN的中央控制型网络（如OpenFlow）可以通过控制器直接封锁未知BPDU源，从架构层面消除STP攻击，但在当前几十亿的现有交换设备中，BPDU Guard+Root Guard+RSTP+风暴控制的四位一体策略仍是性价比最高的选择。