Pentesting VoIP
Last updated
Last updated
Lerne & übe AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Lerne & übe GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Erhalte die Perspektive eines Hackers auf deine Webanwendungen, Netzwerke und Cloud
Finde und melde kritische, ausnutzbare Schwachstellen mit echtem Geschäftsauswirkungen. Nutze unsere 20+ benutzerdefinierten Tools, um die Angriffsfläche zu kartieren, Sicherheitsprobleme zu finden, die dir ermöglichen, Privilegien zu eskalieren, und automatisierte Exploits zu verwenden, um wesentliche Beweise zu sammeln, wodurch deine harte Arbeit in überzeugende Berichte umgewandelt wird.
Um zu lernen, wie VoIP funktioniert, überprüfe:
1xx—Provisorische Antworten
2xx—Erfolgreiche Antworten
3xx—Umleitungsantworten
4xx—Client-Fehlerantworten
5xx—Serverfehlerantworten
6xx—Globale Fehlerantworten
Einer der ersten Schritte, die ein Red Team unternehmen könnte, ist die Suche nach verfügbaren Telefonnummern, um mit dem Unternehmen über OSINT-Tools, Google-Suchen oder das Scraping von Webseiten Kontakt aufzunehmen.
Sobald Sie die Telefonnummern haben, könnten Sie Online-Dienste nutzen, um den Anbieter zu identifizieren:
Wenn Sie wissen, ob der Anbieter VoIP-Dienste anbietet, könnten Sie feststellen, ob das Unternehmen VoIP verwendet... Darüber hinaus ist es möglich, dass das Unternehmen keine VoIP-Dienste in Anspruch genommen hat, sondern PSTN-Karten verwendet, um seine eigene VoIP-PBX mit dem traditionellen Telefonnetz zu verbinden.
Dinge wie automatisierte Musikantworten deuten normalerweise darauf hin, dass VoIP verwendet wird.
Jede andere OSINT-Erhebung, die hilft, die verwendete VoIP-Software zu identifizieren, wird für ein Red Team hilfreich sein.
nmap ist in der Lage, UDP-Dienste zu scannen, aber aufgrund der Anzahl der gescannten UDP-Dienste ist es sehr langsam und könnte bei dieser Art von Diensten nicht sehr genau sein.
svmap von SIPVicious (sudo apt install sipvicious): Wird SIP-Dienste im angegebenen Netzwerk lokalisieren.
svmap ist einfach zu blockieren, da es den User-Agent friendly-scanner verwendet, aber Sie könnten den Code von /usr/share/sipvicious/sipvicious modifizieren und ihn ändern.
SIPPTS scan von sippts: SIPPTS scan ist ein sehr schneller Scanner für SIP-Dienste über UDP, TCP oder TLS. Er verwendet Multithreading und kann große Netzwerkbereiche scannen. Es ermöglicht, einen Portbereich einfach anzugeben, sowohl TCP als auch UDP zu scannen, eine andere Methode zu verwenden (standardmäßig wird OPTIONS verwendet) und einen anderen User-Agent anzugeben (und mehr).
metasploit:
Die PBX könnte auch andere Netzwerkdienste wie folgt bereitstellen:
69/UDP (TFTP): Firmware-Updates
80 (HTTP) / 443 (HTTPS): Um das Gerät über das Web zu verwalten
389 (LDAP): Alternative zur Speicherung der Benutzerinformationen
3306 (MySQL): MySQL-Datenbank
5038 (Manager): Ermöglicht die Nutzung von Asterisk von anderen Plattformen
5222 (XMPP): Nachrichten über Jabber
5432 (PostgreSQL): PostgreSQL-Datenbank
Und andere...
Es ist möglich, welche Methoden verfügbar sind zur Verwendung in der PBX mit SIPPTS enumerate von sippts zu finden.
Es ist sehr wichtig, die Header zu analysieren, die ein Server uns zurücksendet, abhängig von der Art der Nachricht und den Headern, die wir senden. Mit SIPPTS send von sippts können wir personalisierte Nachrichten senden, alle Header manipulieren und die Antwort analysieren.
Es ist auch möglich, Daten zu erhalten, wenn der Server Websockets verwendet. Mit SIPPTS wssend von sippts können wir personalisierte WS-Nachrichten senden.
Erweiterungen in einem PBX (Private Branch Exchange) System beziehen sich auf die einzigartigen internen Identifikatoren, die einzelnen Telefonleitungen, Geräten oder Benutzern innerhalb einer Organisation oder eines Unternehmens zugewiesen sind. Erweiterungen ermöglichen es, Anrufe innerhalb der Organisation effizient zu leiten, ohne dass für jeden Benutzer oder jedes Gerät individuelle externe Telefonnummern erforderlich sind.
svwar von SIPVicious (sudo apt install sipvicious): svwar ist ein kostenloser SIP PBX Erweiterungslinien-Scanner. Im Konzept funktioniert es ähnlich wie traditionelle Wardialer, indem es eine Reihe von Erweiterungen oder eine gegebene Liste von Erweiterungen errät.
SIPPTS exten von sippts: SIPPTS exten identifiziert Erweiterungen auf einem SIP-Server. Sipexten kann große Netzwerk- und Portbereiche überprüfen.
metasploit: Sie können auch Erweiterungen/Benutzernamen mit metasploit auflisten:
enumiax (apt install enumiax): enumIAX ist ein Inter Asterisk Exchange-Protokoll Benutzername Brute-Force Enumerator. enumIAX kann in zwei verschiedenen Modi arbeiten: sequentielles Benutzernamen-Raten oder Wörterbuchangriff.
Nachdem das PBX und einige Erweiterungen/Benutzernamen entdeckt wurden, könnte ein Red Team versuchen, sich über die REGISTER-Methode bei einer Erweiterung zu authentifizieren, indem es ein Wörterbuch mit gängigen Passwörtern verwendet, um die Authentifizierung zu brute-forcen.
Beachten Sie, dass ein Benutzername derselbe wie die Erweiterung sein kann, aber diese Praxis je nach PBX-System, dessen Konfiguration und den Vorlieben der Organisation variieren kann...
Wenn der Benutzername nicht derselbe wie die Erweiterung ist, müssen Sie den Benutzernamen herausfinden, um ihn zu brute-forcen.
svcrack von SIPVicious (sudo apt install sipvicious): SVCrack ermöglicht es Ihnen, das Passwort für einen bestimmten Benutzernamen/eine bestimmte Erweiterung auf einem PBX zu knacken.
SIPPTS rcrack von sippts: SIPPTS rcrack ist ein Remote-Passwort-Cracker für SIP-Dienste. Rcrack kann Passwörter für mehrere Benutzer in verschiedenen IPs und Portbereichen testen.
Metasploit:
Wenn Sie VoIP-Geräte in einem Open Wifi-Netzwerk finden, könnten Sie alle Informationen sniffen. Darüber hinaus, wenn Sie sich in einem geschlosseneren Netzwerk (verbunden über Ethernet oder geschütztes Wifi) befinden, könnten Sie MitM-Angriffe wie ARPspoofing zwischen der PBX und dem Gateway durchführen, um die Informationen zu sniffen.
Unter den Netzwerkinformationen könnten Sie Web-Anmeldeinformationen zur Verwaltung der Geräte, Benutzer-Durchwahlen, Benutzernamen, IP-Adressen, sogar gehashte Passwörter und RTP-Pakete finden, die Sie reproduzieren könnten, um das Gespräch zu hören, und mehr.
Um diese Informationen zu erhalten, könnten Sie Tools wie Wireshark, tcpdump... verwenden, aber ein speziell entwickeltes Tool zum Sniffen von VoIP-Gesprächen ist ucsniff.
Beachten Sie, dass wenn TLS in der SIP-Kommunikation verwendet wird, Sie die SIP-Kommunikation nicht im Klartext sehen können. Das gleiche wird passieren, wenn SRTP und ZRTP verwendet werden, RTP-Pakete werden nicht im Klartext sein.
Überprüfen Sie dieses Beispiel, um eine SIP REGISTER-Kommunikation besser zu verstehen, um zu lernen, wie Anmeldeinformationen gesendet werden.
sipdump & sipcrack, Teil von sipcrack (apt-get install sipcrack): Diese Tools können **aus einer pcap die Digest-Authentifizierungen innerhalb des SIP-Protokolls extrahieren und bruteforcen.
SIPPTS dump von sippts: SIPPTS dump kann Digest-Authentifizierungen aus einer pcap-Datei extrahieren.
SIPPTS dcrack von sippts: SIPPTS dcrack ist ein Tool zum Knacken der mit SIPPTS dump erhaltenen Digest-Authentifizierungen.
SIPPTS tshark von sippts: SIPPTS tshark extrahiert Daten des SIP-Protokolls aus einer PCAP-Datei.
Nicht nur SIP-Anmeldeinformationen können im Netzwerkverkehr gefunden werden, es ist auch möglich, DTMF-Codes zu finden, die beispielsweise verwendet werden, um auf die Sprachnachricht zuzugreifen. Es ist möglich, diese Codes in INFO SIP-Nachrichten, in Audio oder innerhalb von RTP-Paketen zu senden. Wenn die Codes in RTP-Paketen enthalten sind, könnten Sie diesen Teil des Gesprächs ausschneiden und das Tool multimo verwenden, um sie zu extrahieren:
In Asterisk ist es möglich, eine Verbindung von einer bestimmten IP-Adresse oder von irgendeiner IP-Adresse zuzulassen:
Wenn eine IP-Adresse angegeben ist, muss der Host keine REGISTER-Anfragen von Zeit zu Zeit senden (im REGISTER-Paket wird die Lebensdauer angegeben, normalerweise 30 Minuten, was bedeutet, dass das Telefon in einem anderen Szenario alle 30 Minuten REGISTRIEREN muss). Es müssen jedoch offene Ports vorhanden sein, die Verbindungen vom VoIP-Server für Anrufe zulassen.
Um Benutzer zu definieren, können sie wie folgt definiert werden:
type=user: Der Benutzer kann nur Anrufe als Benutzer empfangen.
type=friend: Es ist möglich, Anrufe als Peer zu tätigen und sie als Benutzer zu empfangen (wird mit Erweiterungen verwendet).
type=peer: Es ist möglich, Anrufe als Peer zu senden und zu empfangen (SIP-Trunks).
Es ist auch möglich, Vertrauen mit der unsicheren Variable herzustellen:
insecure=port: Erlaubt Peer-Verbindungen, die durch IP validiert werden.
insecure=invite: Erfordert keine Authentifizierung für INVITE-Nachrichten.
insecure=port,invite: Beides.
Wenn type=friend verwendet wird, wird der Wert der Host-Variablen nicht verwendet, sodass ein Administrator, der einen SIP-Trunk falsch konfiguriert, jeder sich damit verbinden kann.
Zum Beispiel wäre diese Konfiguration anfällig:
host=10.10.10.10
insecure=port,invite
type=friend
In Asterisk ist ein Kontext ein benannter Container oder Abschnitt im Wählplan, der verwandte Erweiterungen, Aktionen und Regeln gruppiert. Der Wählplan ist das Kernkomponente eines Asterisk-Systems, da er definiert, wie eingehende und ausgehende Anrufe behandelt und weitergeleitet werden. Kontexte werden verwendet, um den Wählplan zu organisieren, den Zugriff zu steuern und eine Trennung zwischen verschiedenen Teilen des Systems bereitzustellen.
Jeder Kontext wird in der Konfigurationsdatei definiert, typischerweise in der extensions.conf-Datei. Kontexte werden durch eckige Klammern angezeigt, wobei der Kontextname darin eingeschlossen ist. Zum Beispiel:
Innerhalb des Kontexts definieren Sie Erweiterungen (Muster gewählter Nummern) und verknüpfen sie mit einer Reihe von Aktionen oder Anwendungen. Diese Aktionen bestimmen, wie der Anruf verarbeitet wird. Zum Beispiel:
Dieses Beispiel demonstriert einen einfachen Kontext namens "my_context" mit einer Erweiterung "100". Wenn jemand 100 wählt, wird der Anruf entgegengenommen, eine Willkommensnachricht abgespielt und dann wird der Anruf beendet.
Dies ist ein weiterer Kontext, der es ermöglicht, eine andere Nummer anzurufen:
Wenn der Administrator den Standardkontext wie folgt definiert:
Jeder wird in der Lage sein, den Server zu nutzen, um zu einer beliebigen anderen Nummer zu telefonieren (und der Administrator des Servers wird für den Anruf bezahlen).
Darüber hinaus enthält die sip.conf-Datei standardmäßig allowguest=true, sodass jeder Angreifer ohne Authentifizierung zu einer beliebigen anderen Nummer anrufen kann.
SIPPTS invite von sippts: SIPPTS invite überprüft, ob ein PBX-Server es uns erlaubt, Anrufe ohne Authentifizierung zu tätigen. Wenn der SIP-Server eine falsche Konfiguration hat, erlaubt er uns, Anrufe zu externen Nummern zu tätigen. Es kann uns auch erlauben, den Anruf an eine zweite externe Nummer weiterzuleiten.
Zum Beispiel, wenn Ihr Asterisk-Server eine schlechte Kontextkonfiguration hat, können Sie INVITE-Anfragen ohne Autorisierung akzeptieren. In diesem Fall kann ein Angreifer Anrufe tätigen, ohne Benutzername/Passwort zu kennen.
IVRS steht für Interactive Voice Response System, eine Telefontechnologie, die es Benutzern ermöglicht, über Sprach- oder Tastenanschläge mit einem computerisierten System zu interagieren. IVRS wird verwendet, um automatisierte Anrufbearbeitungssysteme zu erstellen, die eine Reihe von Funktionen bieten, wie z.B. Informationen bereitzustellen, Anrufe weiterzuleiten und Benutzereingaben zu erfassen.
IVRS in VoIP-Systemen besteht typischerweise aus:
Sprachansagen: Vorgefertigte Audio-Nachrichten, die Benutzer durch die IVR-Menüoptionen und Anweisungen führen.
DTMF (Dual-Tone Multi-Frequency) Signalisierung: Tastenanschläge, die durch Drücken von Tasten am Telefon erzeugt werden und zur Navigation durch die IVR-Menüs und zur Bereitstellung von Eingaben verwendet werden.
Anrufweiterleitung: Weiterleitung von Anrufen an das entsprechende Ziel, wie z.B. spezifische Abteilungen, Agenten oder Durchwahlen basierend auf Benutzereingaben.
Erfassung von Benutzereingaben: Sammlung von Informationen von Anrufern, wie z.B. Kontonummern, Fall-IDs oder andere relevante Daten.
Integration mit externen Systemen: Verbindung des IVR-Systems mit Datenbanken oder anderen Software-Systemen, um Informationen abzurufen oder zu aktualisieren, Aktionen auszuführen oder Ereignisse auszulösen.
In einem Asterisk VoIP-System können Sie ein IVR mithilfe des Wählplans (extensions.conf Datei) und verschiedener Anwendungen wie Background(), Playback(), Read() und mehr erstellen. Diese Anwendungen helfen Ihnen, Sprachansagen abzuspielen, Benutzereingaben zu erfassen und den Anrufverlauf zu steuern.
Der vorherige ist ein Beispiel, bei dem der Benutzer aufgefordert wird, 1 zu drücken, um eine Abteilung anzurufen, 2 zu drücken, um eine andere anzurufen, oder die vollständige Durchwahl, wenn er sie kennt. Die Schwachstelle besteht darin, dass die angegebene Durchwahl-Länge nicht überprüft wird, sodass ein Benutzer die 5-Sekunden-Timeout eine vollständige Nummer eingeben kann und diese angerufen wird.
Verwendung einer Durchwahl wie:
Wo ${EXTEN} die Durchwahl ist, die angerufen wird, wenn die Durchwahl 101 eingeführt wird, würde Folgendes passieren:
Allerdings, wenn ${EXTEN} die Einführung von mehr als nur Zahlen erlaubt (wie in älteren Asterisk-Versionen), könnte ein Angreifer 101&SIP123123123 eingeben, um die Telefonnummer 123123123 anzurufen. Und das wäre das Ergebnis:
Daher wird ein Anruf an die Durchwahl 101 und 123123123 gesendet, und nur der erste, der den Anruf erhält, wird hergestellt... aber wenn ein Angreifer eine Durchwahl verwendet, die jede Übereinstimmung umgeht, die durchgeführt wird, aber nicht existiert, könnte er einen Anruf nur an die gewünschte Nummer injizieren.
Die SIP Digest Leak ist eine Schwachstelle, die eine große Anzahl von SIP-Telefonen betrifft, einschließlich sowohl Hardware- als auch Software-IP-Telefone sowie Telefonadapter (VoIP zu analog). Die Schwachstelle ermöglicht das Leck der Digest-Authentifizierungsantwort, die aus dem Passwort berechnet wird. Ein Offline-Passwortangriff ist dann möglich und kann die meisten Passwörter basierend auf der Challenge-Antwort wiederherstellen.
**Schwachstellenszenario von hier**:
Ein IP-Telefon (Opfer) hört auf einem beliebigen Port (zum Beispiel: 5060) und akzeptiert Anrufe
Der Angreifer sendet eine INVITE an das IP-Telefon
Das Opfertelefon beginnt zu klingeln und jemand hebt ab und legt auf (weil niemand das Telefon am anderen Ende beantwortet)
Wenn das Telefon aufgelegt wird, sendet das Opfertelefon ein BYE an den Angreifer
Der Angreifer gibt eine 407-Antwort aus, die nach Authentifizierung fragt und eine Authentifizierungsherausforderung ausgibt
Das Opfertelefon gibt eine Antwort auf die Authentifizierungsherausforderung in einem zweiten BYE
Der Angreifer kann dann einen Brute-Force-Angriff auf die Challenge-Antwort auf seinem lokalen Rechner (oder verteilten Netzwerk usw.) durchführen und das Passwort erraten
SIPPTS-Leck von sippts: SIPPTS-Leck nutzt die SIP Digest Leak-Schwachstelle aus, die eine große Anzahl von SIP-Telefonen betrifft. Die Ausgabe kann im SipCrack-Format gespeichert werden, um sie mit SIPPTS dcrack oder dem SipCrack-Tool zu bruteforcen.
Click2Call ermöglicht es einem Webbenutzer (der beispielsweise an einem Produkt interessiert sein könnte), seine Telefonnummer anzugeben, um einen Anruf zu erhalten. Dann wird ein kommerzieller Anruf getätigt, und wenn er den Hörer abnimmt, wird der Benutzer angeklingelt und mit dem Agenten verbunden.
Ein gängiges Asterisk-Profil dafür ist:
Das vorherige Profil erlaubt JEDER IP-Adresse die Verbindung (wenn das Passwort bekannt ist).
Um einen Anruf zu organisieren, wie zuvor angegeben, sind keine Leseberechtigungen erforderlich und es wird nur Originate in Schreib benötigt.
Mit diesen Berechtigungen könnte jede IP, die das Passwort kennt, sich verbinden und zu viele Informationen extrahieren, wie:
Weitere Informationen oder Aktionen könnten angefordert werden.
In Asterisk ist es möglich, den Befehl ChanSpy zu verwenden, um die Nebenstelle(n) zu überwachen (oder alle) und Gespräche zu hören, die stattfinden. Dieser Befehl muss einer Nebenstelle zugewiesen werden.
Zum Beispiel, exten => 333,1,ChanSpy('all',qb) bedeutet, dass wenn Sie die Nebenstelle 333 anrufen, es alle Nebenstellen überwacht, beginnt zuzuhören, wann immer ein neues Gespräch beginnt (b) im ruhigen Modus (q), da wir nicht interagieren möchten. Sie können von einem laufenden Gespräch zum anderen wechseln, indem Sie * drücken oder die Nebenstellennummer wählen.
Es ist auch möglich, ExtenSpy zu verwenden, um nur eine Nebenstelle zu überwachen.
Anstatt die Gespräche anzuhören, ist es möglich, sie in Dateien aufzuzeichnen mit einer Nebenstelle wie:
Anrufe werden in /tmp gespeichert.
Sie könnten Asterisk sogar dazu bringen, ein Skript auszuführen, das den Anruf leakt, wenn er beendet wird.
RTCPBleed ist ein schwerwiegendes Sicherheitsproblem, das Asterisk-basierte VoIP-Server betrifft (veröffentlicht im Jahr 2017). Die Sicherheitsanfälligkeit ermöglicht es, dass RTP (Real Time Protocol)-Verkehr, der VoIP-Gespräche überträgt, von jedem im Internet abgefangen und umgeleitet werden kann. Dies geschieht, weil RTP-Verkehr die Authentifizierung umgeht, wenn er durch NAT (Network Address Translation)-Firewalls navigiert.
RTP-Proxys versuchen, NAT-Einschränkungen zu beheben, die RTC-Systeme betreffen, indem sie RTP-Streams zwischen zwei oder mehr Parteien proxyen. Wenn NAT vorhanden ist, kann die RTP-Proxy-Software oft nicht auf die RTP-IP- und Portinformationen zugreifen, die über Signalisierung (z. B. SIP) abgerufen werden. Daher haben eine Reihe von RTP-Proxys einen Mechanismus implementiert, bei dem solche IP- und Port-Tuple automatisch gelernt werden. Dies geschieht oft, indem eingehender RTP-Verkehr inspiziert und die Quell-IP und der Port für eingehenden RTP-Verkehr als die markiert werden, auf die geantwortet werden soll. Dieser Mechanismus, der als "Lernmodus" bezeichnet werden kann, verwendet keine Art von Authentifizierung. Daher können Angreifer RTP-Verkehr an den RTP-Proxy senden und den proxied RTP-Verkehr empfangen, der für den Anrufer oder Angerufenen eines laufenden RTP-Streams bestimmt ist. Wir nennen diese Sicherheitsanfälligkeit RTP Bleed, weil sie es Angreifern ermöglicht, RTP-Medienstreams zu empfangen, die an legitime Benutzer gesendet werden sollen.
Ein weiteres interessantes Verhalten von RTP-Proxys und RTP-Stacks ist, dass sie manchmal, selbst wenn sie nicht anfällig für RTP Bleed sind, RTP-Pakete von jeder Quelle akzeptieren, weiterleiten und/oder verarbeiten. Daher können Angreifer RTP-Pakete senden, die es ihnen ermöglichen, ihre Medien anstelle der legitimen einzufügen. Wir nennen diesen Angriff RTP-Injection, weil er die Einspeisung illegitimer RTP-Pakete in bestehende RTP-Streams ermöglicht. Diese Sicherheitsanfälligkeit kann sowohl in RTP-Proxys als auch in Endpunkten gefunden werden.
Asterisk und FreePBX haben traditionell die NAT=yes-Einstellung verwendet, die es RTP-Verkehr ermöglicht, die Authentifizierung zu umgehen, was potenziell zu keinem Audio oder einseitigem Audio bei Anrufen führen kann.
Für weitere Informationen siehe https://www.rtpbleed.com/
SIPPTS rtpbleed von sippts: SIPPTS rtpbleed erkennt die RTP Bleed-Sicherheitsanfälligkeit, indem es RTP-Streams sendet.
SIPPTS rtcpbleed von sippts: SIPPTS rtcpbleed erkennt die RTP Bleed-Sicherheitsanfälligkeit, indem RTCP-Streams gesendet werden.
SIPPTS rtpbleedflood von sippts: SIPPTS rtpbleedflood nutzt die RTP Bleed-Sicherheitsanfälligkeit aus, indem RTP-Streams gesendet werden.
SIPPTS rtpbleedinject von sippts: SIPPTS rtpbleedinject nutzt die RTP Bleed-Sicherheitsanfälligkeit aus, indem eine Audiodatei (WAV-Format) injiziert wird.
In Asterisk gelingt es Ihnen irgendwie, Erweiterungsregeln hinzuzufügen und sie neu zu laden (zum Beispiel durch das Kompromittieren eines anfälligen Web-Manager-Servers), es ist möglich, RCE mit dem System-Befehl zu erhalten.
Es gibt einen Befehl namens Shell, der anstatt von System verwendet werden kann, um Systembefehle auszuführen, falls erforderlich.
Wenn der Server die Verwendung bestimmter Zeichen im System-Befehl (wie in Elastix) nicht zulässt, überprüfen Sie, ob der Webserver es erlaubt, irgendwie Dateien im System zu erstellen (wie in Elastix oder trixbox), und verwenden Sie dies, um ein Backdoor-Skript zu erstellen und dann System zu verwenden, um dieses Skript zu auszuführen.
sip.conf -> Enthält das Passwort der SIP-Benutzer.
Wenn der Asterisk-Server als root läuft, könnten Sie root kompromittieren.
Der mysql root-Benutzer könnte kein Passwort haben.
Dies könnte verwendet werden, um einen neuen mysql-Benutzer als Backdoor zu erstellen.
FreePBX
amportal.conf -> Enthält das Passwort des Administrators des Webpanels (FreePBX).
FreePBX.conf -> Enthält das Passwort des Benutzers FreePBXuser, der auf die Datenbank zugreift.
Dies könnte verwendet werden, um einen neuen mysql-Benutzer als Backdoor zu erstellen.
Elastix
Elastix.conf -> Enthält mehrere Passwörter im Klartext, wie mysql root-Passwort, IMAPd-Passwort, Web-Admin-Passwort.
Mehrere Ordner gehören dem kompromittierten Asterisk-Benutzer (wenn nicht als root ausgeführt). Dieser Benutzer kann die vorherigen Dateien lesen und kontrolliert auch die Konfiguration, sodass er Asterisk dazu bringen könnte, andere kompromittierte Binärdateien beim Ausführen zu laden.
Es ist möglich, eine .wav in Gespräche einzufügen, indem man Tools wie rtpinsertsound (sudo apt install rtpinsertsound) und rtpmixsound (sudo apt install rtpmixsound) verwendet.
Oder Sie könnten die Skripte von http://blog.pepelux.org/2011/09/13/inyectando-trafico-rtp-en-una-conversacion-voip/ verwenden, um Gespräche zu scannen (rtpscan.pl), eine .wav an ein Gespräch zu senden (rtpsend.pl) und Geräusche in ein Gespräch einzufügen (rtpflood.pl).
Es gibt mehrere Möglichkeiten, um DoS in VoIP-Servern zu erreichen.
SIPPTS flood von sippts**: SIPPTS flood sendet unbegrenzte Nachrichten an das Ziel.
sippts flood -i 10.10.0.10 -m invite -v
SIPPTS ping von sippts**: SIPPTS ping führt einen SIP-Ping durch, um die Serverantwortzeit zu überprüfen.
sippts ping -i 10.10.0.10
IAXFlooder: DoS IAX-Protokoll, das von Asterisk verwendet wird.
inviteflood: Ein Tool, um SIP/SDP INVITE-Nachrichten über UDP/IP zu fluten.
rtpflood: Sendet mehrere gut formatierte RTP-Pakete. Es ist notwendig, die verwendeten RTP-Ports zu kennen (zuerst sniffen).
SIPp: Ermöglicht die Analyse und Generierung von SIP-Verkehr, sodass es auch für DoS verwendet werden kann.
SIPsak: SIP Schweizer Taschenmesser. Kann auch verwendet werden, um SIP-Angriffe durchzuführen.
Fuzzer: protos-sip, voiper.
Der einfachste Weg, eine Software wie Asterisk zu installieren, besteht darin, eine Betriebssystemdistribution herunterzuladen, die bereits installiert ist, wie: FreePBX, Elastix, Trixbox... Das Problem dabei ist, dass, sobald es funktioniert, die Systemadministratoren sie möglicherweise nicht mehr aktualisieren und Schwachstellen im Laufe der Zeit entdeckt werden.
Erhalten Sie die Perspektive eines Hackers auf Ihre Webanwendungen, Netzwerke und Cloud
Finden und melden Sie kritische, ausnutzbare Schwachstellen mit echtem Geschäftsauswirkungen. Verwenden Sie unsere 20+ benutzerdefinierten Tools, um die Angriffsfläche zu kartieren, Sicherheitsprobleme zu finden, die es Ihnen ermöglichen, Berechtigungen zu eskalieren, und verwenden Sie automatisierte Exploits, um wesentliche Beweise zu sammeln, und verwandeln Sie Ihre harte Arbeit in überzeugende Berichte.
Lernen & üben Sie AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Lernen & üben Sie GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
