Pentesting VoIP
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Per iniziare a imparare come funziona il VoIP, controlla:
Basic VoIP Protocols1xx—Risposte Provvisorie
2xx—Risposte di Successo
3xx—Risposte di Reindirizzamento
4xx—Risposte di Errore del Client
5xx—Risposte di errore del server
6xx—Risposte di errore globale
Uno dei primi passi che un Red Team potrebbe fare è cercare numeri di telefono disponibili per contattare l'azienda utilizzando strumenti OSINT, ricerche su Google o scraping delle pagine web.
Una volta ottenuti i numeri di telefono, puoi utilizzare servizi online per identificare l'operatore:
Sapere se l'operatore fornisce servizi VoIP ti permetterà di identificare se l'azienda sta utilizzando VoIP... Inoltre, è possibile che l'azienda non abbia assunto servizi VoIP ma stia utilizzando schede PSTN per collegare il proprio PBX VoIP alla rete telefonica tradizionale.
Cose come risposte automatiche di musica di solito indicano che viene utilizzato VoIP.
Qualsiasi altra enumerazione OSINT che aiuti a identificare il software VoIP in uso sarà utile per un Red Team.
nmap è in grado di scansionare i servizi UDP, ma a causa del numero di servizi UDP scansionati, è molto lento e potrebbe non essere molto preciso con questo tipo di servizi.
svmap da SIPVicious (sudo apt install sipvicious): Localizzerà i servizi SIP nella rete indicata.
svmap è facile da bloccare perché utilizza l'User-Agent friendly-scanner, ma puoi modificare il codice da /usr/share/sipvicious/sipvicious e cambiarlo.
SIPPTS scan da sippts: La scansione SIPPTS è uno scanner molto veloce per i servizi SIP su UDP, TCP o TLS. Utilizza il multithreading e può scansionare ampie gamme di reti. Consente di indicare facilmente un intervallo di porte, scansionare sia TCP che UDP, utilizzare un altro metodo (per impostazione predefinita utilizzerà OPTIONS) e specificare un User-Agent diverso (e altro).
metasploit:
Il PBX potrebbe anche esporre altri servizi di rete come:
69/UDP (TFTP): Aggiornamenti del firmware
80 (HTTP) / 443 (HTTPS): Per gestire il dispositivo dal web
389 (LDAP): Alternativa per memorizzare le informazioni degli utenti
3306 (MySQL): Database MySQL
5038 (Manager): Consente di utilizzare Asterisk da altre piattaforme
5222 (XMPP): Messaggi utilizzando Jabber
5432 (PostgreSQL): Database PostgreSQL
E altri...
È possibile trovare quali metodi sono disponibili da utilizzare nel PBX usando SIPPTS enumerate da sippts
È molto importante analizzare le intestazioni che un server ci restituisce, a seconda del tipo di messaggio e delle intestazioni che inviamo. Con SIPPTS send da sippts possiamo inviare messaggi personalizzati, manipolando tutte le intestazioni, e analizzare la risposta.
È anche possibile ottenere dati se il server utilizza i websockets. Con SIPPTS wssend da sippts possiamo inviare messaggi WS personalizzati.
Le estensioni in un sistema PBX (Private Branch Exchange) si riferiscono agli identificatori interni unici assegnati a singole linee telefoniche, dispositivi o utenti all'interno di un'organizzazione o azienda. Le estensioni rendono possibile instradare le chiamate all'interno dell'organizzazione in modo efficiente, senza la necessità di numeri di telefono esterni individuali per ogni utente o dispositivo.
svwar da SIPVicious (sudo apt install sipvicious): svwar è uno scanner di linee di estensione SIP PBX gratuito. In concetto funziona in modo simile ai tradizionali wardialer indovinando un intervallo di estensioni o un elenco specifico di estensioni.
SIPPTS exten da sippts: SIPPTS exten identifica le estensioni su un server SIP. Sipexten può controllare ampie reti e intervalli di porte.
metasploit: Puoi anche enumerare estensioni/nomi utente con metasploit:
enumiax (apt install enumiax): enumIAX è un enumeratore di username brute-force per il protocollo Inter Asterisk Exchange. enumIAX può operare in due modalità distinte: Indovinare Username in Sequenza o Attacco a Dizionario.
Avendo scoperto il PBX e alcuni interni/nomi utente, un Red Team potrebbe provare ad autenticarsi tramite il metodo REGISTER a un interno utilizzando un dizionario di password comuni per forzare l'autenticazione.
Nota che un nome utente può essere lo stesso dell'interno, ma questa pratica può variare a seconda del sistema PBX, della sua configurazione e delle preferenze dell'organizzazione...
Se il nome utente non è lo stesso dell'interno, dovrai scoprire il nome utente da forzare.
svcrack da SIPVicious (sudo apt install sipvicious): SVCrack ti consente di decifrare la password per un nome utente/interno specifico su un PBX.
SIPPTS rcrack da sippts: SIPPTS rcrack è un cracker di password remoto per i servizi SIP. Rcrack può testare le password per diversi utenti in diversi IP e intervalli di porte.
Metasploit:
Se trovi attrezzature VoIP all'interno di una rete Wifi aperta, potresti sniffare tutte le informazioni. Inoltre, se sei all'interno di una rete più chiusa (connessa tramite Ethernet o Wifi protetto) potresti eseguire attacchi MitM come ARPspoofing tra il PBX e il gateway per sniffare le informazioni.
Tra le informazioni di rete, potresti trovare credenziali web per gestire l'attrezzatura, estensioni utente, nome utente, indirizzi IP, persino password hashate e pacchetti RTP che potresti riprodurre per ascoltare la conversazione, e altro ancora.
Per ottenere queste informazioni potresti utilizzare strumenti come Wireshark, tcpdump... ma uno strumento appositamente creato per sniffare conversazioni VoIP è ucsniff.
Nota che se TLS è utilizzato nella comunicazione SIP non sarai in grado di vedere la comunicazione SIP in chiaro. Lo stesso accadrà se viene utilizzato SRTP e ZRTP, i pacchetti RTP non saranno in chiaro.
Controlla questo esempio per comprendere meglio una comunicazione SIP REGISTER per imparare come vengono inviate le credenziali.
sipdump & sipcrack, parte di sipcrack (apt-get install sipcrack): Questi strumenti possono estrarre da un pcap le autenticazioni digest all'interno del protocollo SIP e bruteforzarle.
SIPPTS dump da sippts: SIPPTS dump può estrarre autenticazioni digest da un file pcap.
SIPPTS dcrack da sippts: SIPPTS dcrack è uno strumento per decifrare le autenticazioni digest ottenute con il dump di SIPPTS.
SIPPTS tshark da sippts: SIPPTS tshark estrae dati del protocollo SIP da un file PCAP.
Non solo le credenziali SIP possono essere trovate nel traffico di rete, è anche possibile trovare codici DTMF che vengono utilizzati, ad esempio, per accedere alla voicemail. È possibile inviare questi codici nei messaggi SIP INFO, in audio o all'interno dei pacchetti RTP. Se i codici sono all'interno dei pacchetti RTP, puoi tagliare quella parte della conversazione e utilizzare lo strumento multimo per estrarli:
In Asterisk è possibile consentire una connessione da un indirizzo IP specifico o da qualsiasi indirizzo IP:
Se viene specificato un indirizzo IP, l'host non avrà bisogno di inviare richieste REGISTER di tanto in tanto (nel pacchetto REGISTER viene inviato il tempo di vita, solitamente 30 minuti, il che significa che in un altro scenario il telefono dovrà REGISTRARSI ogni 30 minuti). Tuttavia, dovrà avere porte aperte che consentano connessioni dal server VoIP per ricevere chiamate.
Per definire gli utenti, possono essere definiti come:
type=user: L'utente può ricevere solo chiamate come utente.
type=friend: È possibile effettuare chiamate come peer e riceverle come utente (utilizzato con le estensioni)
type=peer: È possibile inviare e ricevere chiamate come peer (SIP-trunks)
È anche possibile stabilire fiducia con la variabile insicura:
insecure=port: Consente connessioni peer validate per IP.
insecure=invite: Non richiede autenticazione per i messaggi INVITE
insecure=port,invite: Entrambi
Quando viene utilizzato type=friend, il valore della variabile host non verrà utilizzato, quindi se un amministratore misconfigura un SIP-trunk utilizzando quel valore, chiunque sarà in grado di connettersi ad esso.
Ad esempio, questa configurazione sarebbe vulnerabile:
host=10.10.10.10
insecure=port,invite
type=friend
In Asterisk un contesto è un contenitore o sezione nominata nel piano di chiamata che raggruppa insieme estensioni, azioni e regole correlate. Il piano di chiamata è il componente centrale di un sistema Asterisk, poiché definisce come vengono gestite e instradate le chiamate in entrata e in uscita. I contesti vengono utilizzati per organizzare il piano di chiamata, gestire il controllo degli accessi e fornire separazione tra le diverse parti del sistema.
Ogni contesto è definito nel file di configurazione, tipicamente nel file extensions.conf. I contesti sono denotati da parentesi quadre, con il nome del contesto racchiuso all'interno. Ad esempio:
All'interno del contesto, definisci le estensioni (modelli di numeri composti) e le associ a una serie di azioni o applicazioni. Queste azioni determinano come la chiamata viene elaborata. Ad esempio:
Questo esempio dimostra un semplice contesto chiamato "my_context" con un'estensione "100". Quando qualcuno compone 100, la chiamata verrà risposta, verrà riprodotto un messaggio di benvenuto e poi la chiamata verrà terminata.
Questo è un altro contesto che consente di chiamare qualsiasi altro numero:
Se l'amministratore definisce il contesto predefinito come:
Chiunque sarà in grado di utilizzare il server per chiamare qualsiasi altro numero (e l'amministratore del server pagherà per la chiamata).
Inoltre, per impostazione predefinita, il file sip.conf contiene allowguest=true, quindi qualsiasi attaccante senza autenticazione sarà in grado di chiamare qualsiasi altro numero.
SIPPTS invite da sippts: L'invito SIPPTS verifica se un server PBX ci consente di effettuare chiamate senza autenticazione. Se il server SIP ha una configurazione errata, ci permetterà di effettuare chiamate a numeri esterni. Può anche permetterci di trasferire la chiamata a un secondo numero esterno.
Ad esempio, se il tuo server Asterisk ha una cattiva configurazione del contesto, puoi accettare richieste INVITE senza autorizzazione. In questo caso, un attaccante può effettuare chiamate senza conoscere alcun utente/password.
IVRS sta per Sistema di Risposta Vocale Interattiva, una tecnologia telefonica che consente agli utenti di interagire con un sistema computerizzato tramite input vocali o a toni. IVRS è utilizzato per costruire sistemi di gestione automatizzata delle chiamate che offrono una gamma di funzionalità, come fornire informazioni, instradare chiamate e catturare input degli utenti.
IVRS nei sistemi VoIP consiste tipicamente in:
Messaggi vocali: Messaggi audio preregistrati che guidano gli utenti attraverso le opzioni e le istruzioni del menu IVR.
DTMF (Dual-Tone Multi-Frequency) signaling: Input a toni generati premendo i tasti del telefono, utilizzati per navigare nei menu IVR e fornire input.
Instradamento delle chiamate: Direzionare le chiamate alla destinazione appropriata, come dipartimenti specifici, agenti o interni in base all'input dell'utente.
Cattura dell'input dell'utente: Raccolta di informazioni dai chiamanti, come numeri di conto, ID caso o qualsiasi altro dato rilevante.
Integrazione con sistemi esterni: Collegare il sistema IVR a database o altri sistemi software per accedere o aggiornare informazioni, eseguire azioni o attivare eventi.
In un sistema VoIP Asterisk, puoi creare un IVR utilizzando il piano di composizione (extensions.conf file) e varie applicazioni come Background(), Playback(), Read(), e altro. Queste applicazioni ti aiutano a riprodurre messaggi vocali, catturare input degli utenti e controllare il flusso delle chiamate.
L'esempio precedente è un caso in cui all'utente viene chiesto di premere 1 per chiamare un dipartimento, 2 per chiamare un altro, o il numero completo se lo conosce. La vulnerabilità è il fatto che la lunghezza dell'estensione indicata non viene controllata, quindi un utente potrebbe inserire il timeout di 5 secondi di un numero completo e verrà chiamato.
Utilizzando un'estensione come:
Dove ${EXTEN} è l'interno che verrà chiamato, quando viene introdotto l'ext 101 questo è ciò che accadrebbe:
Tuttavia, se ${EXTEN} consente di introdurre più di numeri (come nelle versioni precedenti di Asterisk), un attaccante potrebbe introdurre 101&SIP123123123 per chiamare il numero di telefono 123123123. E questo sarebbe il risultato:
Pertanto, una chiamata all'estensione 101 e 123123123 verrà inviata e solo la prima a ricevere la chiamata sarà stabilita... ma se un attaccante utilizza un 'estensione che bypassa qualsiasi corrispondenza che viene eseguita ma non esiste, potrebbe iniettare una chiamata solo al numero desiderato.
La vulnerabilità SIP Digest Leak è una vulnerabilità che colpisce un gran numero di telefoni SIP, inclusi sia telefoni IP hardware che software, così come adattatori telefonici (VoIP a analogico). La vulnerabilità consente la fuoriuscita della risposta di autenticazione Digest, che viene calcolata dalla password. Un attacco offline alla password è quindi possibile e può recuperare la maggior parte delle password basate sulla risposta alla sfida.
**Scenario di vulnerabilità da qui**:
Un telefono IP (vittima) è in ascolto su qualsiasi porta (ad esempio: 5060), accettando chiamate telefoniche
L'attaccante invia un INVITE al telefono IP
Il telefono della vittima inizia a squillare e qualcuno risponde e riattacca (perché nessuno risponde al telefono dall'altra parte)
Quando il telefono viene riattaccato, il telefono della vittima invia un BYE all'attaccante
L'attaccante emette una risposta 407 che richiede autenticazione e emette una sfida di autenticazione
Il telefono della vittima fornisce una risposta alla sfida di autenticazione in un secondo BYE
L'attaccante può quindi emettere un attacco di forza bruta sulla risposta alla sfida sulla sua macchina locale (o rete distribuita ecc.) e indovinare la password
SIPPTS leak da sippts: Il leak SIPPTS sfrutta la vulnerabilità SIP Digest Leak che colpisce un gran numero di telefoni SIP. L'output può essere salvato in formato SipCrack per essere forzato utilizzando SIPPTS dcrack o lo strumento SipCrack.
Click2Call consente a un utente web (che ad esempio potrebbe essere interessato a un prodotto) di inserire il proprio numero di telefono per essere richiamato. Quindi verrà chiamato un commerciale e, quando lui risponde al telefono, l'utente sarà chiamato e connesso con l'agente.
Un profilo Asterisk comune per questo è:
Il profilo precedente consente a QUALSIASI indirizzo IP di connettersi (se la password è conosciuta).
Per organizzare una chiamata, come specificato in precedenza, non sono necessarie autorizzazioni di lettura e solo originate in scrittura è necessario.
Con quelle autorizzazioni, qualsiasi IP che conosce la password potrebbe connettersi ed estrarre troppe informazioni, come:
Ulteriori informazioni o azioni potrebbero essere richieste.
In Asterisk è possibile utilizzare il comando ChanSpy indicando le estensioni da monitorare (o tutte) per ascoltare le conversazioni in corso. Questo comando deve essere assegnato a un'estensione.
Ad esempio, exten => 333,1,ChanSpy('all',qb) indica che se chiami l'estensione 333, essa monitorerà tutte le estensioni, inizierà ad ascoltare ogni volta che inizia una nuova conversazione (b) in modalità silenziosa (q) poiché non vogliamo interagire. Puoi passare da una conversazione all'altra premendo *, o digitando il numero dell'estensione.
È anche possibile utilizzare ExtenSpy per monitorare solo un'estensione.
Invece di ascoltare le conversazioni, è possibile registrarle in file utilizzando un'estensione come:
Le chiamate saranno salvate in /tmp.
Potresti anche far sì che Asterisk esegua uno script che farà trapelare la chiamata quando è chiusa.
RTCPBleed è un grave problema di sicurezza che colpisce i server VoIP basati su Asterisk (pubblicato nel 2017). La vulnerabilità consente al traffico RTP (Real Time Protocol), che trasporta le conversazioni VoIP, di essere intercettato e reindirizzato da chiunque su Internet. Questo avviene perché il traffico RTP bypassa l'autenticazione quando naviga attraverso i firewall NAT (Network Address Translation).
I proxy RTP cercano di affrontare le limitazioni del NAT che influenzano i sistemi RTC proxyando i flussi RTP tra due o più parti. Quando è presente il NAT, il software del proxy RTP spesso non può fare affidamento sulle informazioni IP e porta RTP recuperate tramite segnalazione (ad es. SIP). Pertanto, un certo numero di proxy RTP ha implementato un meccanismo in cui tale tupla IP e porta viene appresa automaticamente. Questo viene spesso fatto ispezionando il traffico RTP in arrivo e contrassegnando l'IP e la porta di origine per qualsiasi traffico RTP in arrivo come quelli a cui si dovrebbe rispondere. Questo meccanismo, che può essere chiamato "modalità di apprendimento", non utilizza alcun tipo di autenticazione. Pertanto, gli attaccanti possono inviare traffico RTP al proxy RTP e ricevere il traffico RTP proxyato destinato al chiamante o al chiamato di un flusso RTP in corso. Chiamiamo questa vulnerabilità RTP Bleed perché consente agli attaccanti di ricevere flussi media RTP destinati a essere inviati a utenti legittimi.
Un altro comportamento interessante dei proxy RTP e degli stack RTP è che a volte, anche se non vulnerabili a RTP Bleed, accetteranno, inoltreranno e/o elaboreranno pacchetti RTP da qualsiasi sorgente. Pertanto, gli attaccanti possono inviare pacchetti RTP che possono consentire loro di iniettare i loro media al posto di quelli legittimi. Chiamiamo questo attacco iniezione RTP perché consente l'iniezione di pacchetti RTP illegittimi in flussi RTP esistenti. Questa vulnerabilità può essere trovata sia nei proxy RTP che nei terminali.
Asterisk e FreePBX hanno tradizionalmente utilizzato l'impostazione NAT=yes, che consente al traffico RTP di bypassare l'autenticazione, portando potenzialmente a nessun audio o audio unidirezionale nelle chiamate.
Per ulteriori informazioni, controlla https://www.rtpbleed.com/
SIPPTS rtpbleed da sippts: SIPPTS rtpbleed rileva la vulnerabilità RTP Bleed inviando flussi RTP.
SIPPTS rtcpbleed da sippts: SIPPTS rtcpbleed rileva la vulnerabilità RTP Bleed inviando flussi RTCP.
SIPPTS rtpbleedflood da sippts: SIPPTS rtpbleedflood sfrutta la vulnerabilità RTP Bleed inviando flussi RTP.
SIPPTS rtpbleedinject da sippts: SIPPTS rtpbleedinject sfrutta la vulnerabilità RTP Bleed iniettando un file audio (formato WAV).
In Asterisk riesci in qualche modo a aggiungere regole di estensione e ricaricarle (ad esempio compromettendo un server di gestione web vulnerabile), è possibile ottenere RCE utilizzando il System command.
C'è un comando chiamato Shell che potrebbe essere utilizzato invece di System per eseguire comandi di sistema se necessario.
Se il server non consente l'uso di determinati caratteri nel comando System (come in Elastix), verifica se il server web consente di creare file in qualche modo all'interno del sistema (come in Elastix o trixbox), e usalo per creare uno script di backdoor e poi usa System per eseguire quello script.
sip.conf -> Contiene la password degli utenti SIP.
Se il server Asterisk è in esecuzione come root, potresti compromettere root.
L'utente root di mysql potrebbe non avere alcuna password.
questo potrebbe essere utilizzato per creare un nuovo utente mysql come backdoor.
FreePBX
amportal.conf -> Contiene la password dell'amministratore del pannello web (FreePBX).
FreePBX.conf -> Contiene la password dell'utente FreePBXuser utilizzato per accedere al database.
questo potrebbe essere utilizzato per creare un nuovo utente mysql come backdoor.
Elastix
Elastix.conf -> Contiene diverse password in chiaro come la password root di mysql, la password IMAPd, la password dell'amministratore web.
Diverse cartelle apparterranno all'utente asterisk compromesso (se non in esecuzione come root). Questo utente può leggere i file precedenti e controlla anche la configurazione, quindi potrebbe far caricare ad Asterisk altri binari con backdoor quando eseguiti.
È possibile inserire un .wav nelle conversazioni utilizzando strumenti come rtpinsertsound (sudo apt install rtpinsertsound) e rtpmixsound (sudo apt install rtpmixsound).
Oppure puoi utilizzare gli script da http://blog.pepelux.org/2011/09/13/inyectando-trafico-rtp-en-una-conversacion-voip/ per scansionare le conversazioni (rtpscan.pl), inviare un .wav a una conversazione (rtpsend.pl) e inserire rumore in una conversazione (rtpflood.pl).
Ci sono diversi modi per cercare di ottenere DoS nei server VoIP.
SIPPTS flood da sippts**: Il flood SIPPTS invia messaggi illimitati al bersaglio.
sippts flood -i 10.10.0.10 -m invite -v
SIPPTS ping da sippts**: Il ping SIPPTS effettua un ping SIP per vedere il tempo di risposta del server.
sippts ping -i 10.10.0.10
IAXFlooder: DoS protocollo IAX utilizzato da Asterisk.
inviteflood: Uno strumento per eseguire flooding di messaggi INVITE SIP/SDP su UDP/IP.
rtpflood: Invia diversi pacchetti RTP ben formati. È necessario conoscere le porte RTP che vengono utilizzate (sniff prima).
SIPp: Consente di analizzare e generare traffico SIP, quindi può essere utilizzato anche per DoS.
SIPsak: Il coltellino svizzero SIP. Può anche essere utilizzato per eseguire attacchi SIP.
Fuzzers: protos-sip, voiper.
Il modo più semplice per installare un software come Asterisk è scaricare una distribuzione OS che lo abbia già installato, come: FreePBX, Elastix, Trixbox... Il problema con questi è che una volta che funziona, gli amministratori di sistema potrebbero non aggiornarli più e le vulnerabilità verranno scoperte col tempo.
Impara e pratica il hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Impara e pratica il hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)
