When the Internet & Telephony Mix - Power Of Communitypowerofcommunity.net/poc2009/sandro.pdf · 2018-01-08 · Power of Community 2009

Power of Community 2009 _.===========================._ .'` .- - __- - - -- --__--- -. `'. __ / ,'` _|--|_________|--|_ `'. \ /'--| ; _.'\ | ' ' | /'._ ; | // | |_.-' .-'.' ___ '.'-. '-._| | (\) \"` _.-` / .-'`_ `'-. \ `-._ `"/ (\) `-' | .' .-'" "'-. '. | `-` (\) | / .'(3)(2)(1)'. \ | (\) | / / (4) .-. \ \ | (\) | | |(5) ( )'==,J | | (\) | \ \ (6) '-' (0) / / | (\) | \ '.(7)(8)(9).' / | (\) ___| '. '-.._..-' .' | (\) /.--| '-._____.-' | (\) (\) |\_ _ __ _ __ __/| (\) (\) | |(\)_._._.__(\) | | (\\\\jgs\\\) '.___________________.' '-'-'-'--'

ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

When the Internet & Telephony MixSecurity Flaws in VoIP Systems


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Obligatory whois

• Sandro Gauci (from .mt)

• Security researcher and Pentester

• SIPVicious / VOIPPACK for CANVAS

• VOIPSCANNER.com - SaaS VoIP security

• Not just about VoIP :-)

• EnableSecurity


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Agenda

• Get the basics out of the way

• Demonstrate lots of exposed telephony

• What are the security threats?

• What’s the underground doing about it?


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

VoIP protocols

• Signaling protocols

• SIP

• IAX2

• SCCP

• H.323

• MGCP


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

A primer on SIP

• Text based just like HTTP

• Mostly UDP port 5060

• Endpoints

• “Servers”

• registrars

• proxies


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

A primer on SIP

• Methods

• INVITE gets things to buzz and ring

• REGISTER sends phone calls your way

• OPTIONS gives you supported options


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Scanning SIP

• Basic concept: elicit a response

• UDP has advantages for scanning

• send and forget

• no need to multiple sockets


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

SIP: OPTIONS scan

scannerSIP

Registrar

OPTIONS

200 OK


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

SIP: OPTIONS scan

OPTIONS sip:[email protected] SIP/2.0Via: SIP/2.0/UDP 0.0.0.0:1498;branch=BCEA2F83-1CEF-FC6A-2989-54C18CE6425E;rportMax-Forwards: 70To: <sip:[email protected]>From: <sip:[email protected]>;tag=723535DC-E71F-E3D4-D572-2B41E58782E8Call-ID: 4203F1B5-3E1F-E6D6-32FF-B8C2DFAA190FCSeq: 1 OPTIONSContact: <sip:@0.0.0.0:1498;transport=udp>Accept: application/sdpContent-Length: 0

mailto:[email protected]







ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Scanning lots!

scanner


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Scanning lots!

scanner


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Real life SIP scanning

• Different ranges

• Random scan

• Alternative ports

• Methods other than OPTIONS

• SRV records


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Introducing svmap

• Trying out different ranges

• 1.1.1.1-1.1.1.20

• 1.1.1.1/24

• 1.1.1-3.*


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Introducing svmap

• Random scans

• svmap.py --randomscan

• svmap.py --randomize 1.1.1.*


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Choose your target

• Can scan by IP address class

• Scan by provider

• Decided to go for countries

• Location based trends


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Scan a country?

• Why not?

• GeoIP and similar services

• I’m lazy.. will use available data anytime


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Scanning a tiny country

INFO:root:we have 47572 devicesWARNING:root:too many to print - use svreport for thisINFO:root:Total time: 2:34:18.657080

Country has ~418,000 possible IPs to scan


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""


11.37%real sip on port 5060


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""


• Total number of SIP devices found: 47572

• Total number of unique user-agents: 90

• Total number of unique vendors: 31


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Scanning a tiny country• Most popular user agents

• M5T SIP-UA SAFE/v3.6.4.8 (20791)

• Brcm Callctrl/1.5.1.2 MxSF/v3.2.6.26 (16897)

• EPC2203-071225 (9458)

• SpeedTouch 706 (183)

• unknown (38)

• Asterisk PBX (33)

• Cisco-SIPGateway/IOS-12.x (13)

• Linksys/PAP2-3.1.22(LS) (11)


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Scanning a tiny country• Most unpopular user agents

• Linksys/SPA941-5.1.8 (1)

• 3CXPhoneSystem 6.1.1787.0 (1)

• AVM FRITZ!Box Fon WLAN 7270 54.04.76 (Jun 23 2009) (1)

• AVM FRITZ!Box Fon WLAN 7270 54.04.59 (Aug 11 2008) (1)

• AVM FRITZ!Box Fon WLAN 7270 54.04.67 (Dec 17 2008) (1)

• OpenSer 1.0.0 (milkfish-dd.milkfish.org) (1)

• Airgate_Agent_001 (1)

• Grandstream GXW-4008 V1.3A 1.0.0.67 (1)


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

What if ...we want to avoid version numbers in our stats?


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Top 12 Vendors

• M5T (20791)• Brcm (16897)• EPC2203-071225 (9458)• SpeedTouch (184)• Linksys (43)• unknown (38)• Asterisk (37)• OP150S (18)• Grandstream (16)• Cisco (SIPGateway) (13)• AVM (12)• 3CXPhoneSystem (10)


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

.jp

• Scanned 1,000,000 IP addresses

• Found 13,589

• Unique user agents: 38

• Unique user agent names: 34


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

.jp results• unknown (10315)

• F308R20-2.01 (1883)

• F317R34-2.00 (401)

• F151R87-0.00 (338)

• algida (262) .... ??

• F148R83-0.00 (143)

• F111R19-0.01 (93)

• F209R21-1.01 (59)

• F216R31-1.00 (19)

• Asterisk PBX (14)


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

What is the ‘unknown’?

• The user-agent or server header is missing

• Running svmap with the -d (debug) option

SIP/2.0 405 Method Not AllowedVia: SIP/2.0/UDP 1.1.1.1:5061;branch=z9hG4bK-3133759748;rport;received=1.1.1.1From: "maaah"<sip:[email protected]>; tag=1312231123321To: "maaah"<sip:[email protected]>;tag=162776394Call-ID: 1075070418076552254349187CSeq: 1 OPTIONSAllow: INVITE, ACK, CANCEL, BYEContent-Length: 0






ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

.se


• Found 2,296

• Unique user agents: 216

• Unique user agent names: 79


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Some details

• Some of the top:• Linksys (1362)

• unknown (159)

• Asterisk (121)

• sipgt-67 (114)

• EPC2203-080530 (111)

• RIX67GW2 (78)

• SpeedTouch (66)

• Intertex (27)


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

.kr


• Total number of SIP devices found: 206,108

• Total number of useragents: 100


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

.kr top names

• unknown (197140)

• Stonehenge (2718)

• CPG-4000 (2341) and CPG-3000 (2147)

• AddPac (902)

• Dasan (271)

• Cisco-SIPGateway (89)

• Asterisk (84)


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Interesting UAs

• Mario

• RouterToWorld

• German cities or districts

• Schrobenhausen

• Langenselbold

• PADERBORN


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Alternative Ports

• Port 5060 gives lots of results

• Not all devices reply to my OPTIONS

• Some gateways might also listen on 5061

• Eg. scanning for Gizmo5 on port 64064

• syntax: svmap.py -p 64064 1.1.1.1/24


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

How are these useful?

• Market research

• Understanding service providers make endpoints reachable

• Estimating exposed+vulnerable VoIP devices

• An answer to whoever says that VoIP is not exposed...


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

What’s the point?

• Lots of endpoints out there

• Not too many PBX servers

SIP Digest leak


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

SIP Digest Auth

• REGISTER usually gets a 401 Unauthorized

• INVITE gets a 407 Proxy Authentication

• Challenge response mechanism

• Takes various properties + password

• Nonce, Method, URI


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Authenticated callsINVITE sip:[email protected] SIP/2.0Via: SIP/2.0/UDP 192.168.2.102:5070;branch=z9hG4bK-d8754z-e275a0716f34db3e-1---d8754z-;rportMax-Forwards: 70Contact: <sip:[email protected]:5070>To: "80072121"<sip:[email protected]>From: "testing2"<sip:[email protected]>;tag=f8537306Call-ID: MjEwMDk0MDMwYzRjMzA3ZjQxNjc5YzYyMTQ3NGE5OWY.CSeq: 1 INVITEContent-Type: application/sdpContent-Length: 565

v=0o=- 3 2 IN IP4 4.3.2.1s=CounterPath X-Lite 3.0c=IN IP4 4.3.2.1t=0 0m=audio 5072 RTP/AVP 100 106 6 0 97 105 98 8 102 3 5 101... more






ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Authenticated calls

SIP/2.0 401 UnauthorizedVia: SIP/2.0/UDP 192.168.2.102:5070;branch=z9hG4bK-d8754z-e275a0716f34db3e-1---d8754z-;rport=5070;received=4.3.2.1To: "80072121"<sip:[email protected]>;tag=329cfeaa6ded039da25ff8cbb8668bd2.b432From: "testing2"<sip:[email protected]>;tag=f8537306Call-ID: MjEwMDk0MDMwYzRjMzA3ZjQxNjc5YzYyMTQ3NGE5OWY.CSeq: 1 INVITEWWW-Authenticate: Digest realm="sipservice.com", nonce="4adb864d7465475a24c5e818f1badaacb62a99c2", qop="auth"Server: SIP ServerContent-Length: 0




ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Authenticated callsINVITE sip:[email protected] SIP/2.0Via: SIP/2.0/UDP 192.168.2.102:5070;branch=z9hG4bK-d8754z-d451376c9eceb832-1---d8754z-;rportMax-Forwards: 70Contact: <sip:[email protected]:5070>To: "80072121"<sip:[email protected]>From: "testing2"<sip:[email protected]>;tag=f8537306Call-ID: MjEwMDk0MDMwYzRjMzA3ZjQxNjc5YzYyMTQ3NGE5OWY.CSeq: 2 INVITEContent-Type: application/sdpAuthorization: Digest username="12345678",realm="sipservice.com",nonce="4adb864d7465475a24c5e818f1badaacb62a99c2",uri="sip:[email protected]",response="a091e2de5dc81d206a0924415d88ca7f",cnonce="21e8908071d7d953a456cc5fde0ec753",nc=00000001,qop=auth,algorithm=MD5Content-Length: 565

v=0o=- 3 2 IN IP4 4.3.2.1s=CounterPath X-Lite 3.0c=IN IP4 4.3.2.1t=0 0m=audio 5072 RTP/AVP 100 106 6 0 97 105 98 8 102 3 5 101a=fmtp:101 0-15a=rtpmap:100 SPEEX/16000... more sdp










ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Authenticated callsSIP/2.0 200 OKVia: SIP/2.0/UDP 192.168.2.102:5070;received=4.3.2.1;branch=z9hG4bK-d8754z-d451376c9eceb832-1---d8754z-;rport=5070From: "testing2"<sip:[email protected]>;tag=f8537306To: "80072121"<sip:[email protected]>;tag=38E85508-1950Date: Sun, 18 Oct 2009 21:37:05 GMTCall-ID: MjEwMDk0MDMwYzRjMzA3ZjQxNjc5YzYyMTQ3NGE5OWY.Server: Cisco-SIPGateway/IOS-12.xCSeq: 2 INVITEAllow-Events: telephone-eventContact: <sip:[email protected]:5060>Record-Route: <sip:1.2.34;lr=on;ftag=f8537306>Supported: replacesContent-Type: application/sdpContent-Disposition: session;handling=requiredContent-Length: 235

v=0o=CiscoSystemsSIP-GW-UserAgent 5566 5486 IN IP4 1.2.3.4s=SIP Callc=IN IP4 1.2.3.4t=0 0m=audio 17666 RTP/AVP 0 101... more








ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Digest authentication

*

* yes, this is from wikipedia


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Previous work

• Work done by MADYNES research team

• Relaying INVITEs

• The victim has to send an INVITE to the attacker

• Not easy to automate, does not scale


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

What’s vulnerable?

• Cisco

• Linksys

• LG

• Grandstream

• Aastra

• Softphones and other vendors


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Digest Leak

INVITE

200 OK


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Digest Leak

BYE

407 Challenge


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Optimizing the attack

• Automate the hangup

• Offline password cracking?

• Basic authentication?


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Broken SDP?

• No SDP means that the other end hangs up

• Tested on Linksys phone adapter and X-lite

• That is what we want!


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Offline password cracking

no need to run md5() three times


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Basic authentication

• Was supported by RFC 2543

• No longer supported by RFC 3261

• If any endpoint still supports old RFC...

• Note: Didn’t find any that do (yet)


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

demo


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

INVITE scans

• INVITE gets thing to ring

• Many times it requires a valid sip uri

• The problem is ...


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Some phones will ring on any extension

some PBXs (or routers) will try to route the calla bigger issue is that..


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Introducing voiphun

• Short for “voip honeypot” :-)

• A very simple fake SIP registration server

• Which can be used as a honeypot


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

What did voiphun lure?INVITE sip:[email protected] SIP/2.0Via: SIP/2.0/UDP 93.190.143.10:5060;branch=z9hG4bK1e5f004e;rportMax-Forwards: 70From: "MeucciSolutions" <sip:[email protected]>;tag=as2e634a50To: <sip:[email protected]>Contact: <sip:[email protected]>Call-ID: [email protected]: 102 INVITEUser-Agent: MeucciSolutionsDate: Sun, 10 May 2009 15:39:15 GMTAllow: INVITE, ACK, CANCEL, OPTIONS, BYE, REFER, SUBSCRIBE, NOTIFYSupported: replaces, timerContent-Type: application/sdpContent-Length: 289

v=0o=root 2093936706 2093936706 IN IP4 93.190.143.10s=Asterisk PBX 1.6.0.5c=IN IP4 93.190.143.10t=0 0m=audio 13280 RTP/AVP 8 0 101a=rtpmap:8 PCMA/8000a=rtpmap:0 PCMU/8000a=rtpmap:101 telephone-event/8000a=fmtp:101 0-16a=silenceSupp:off - - - -a=ptime:20a=sendrecv












ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

What did voiphun lure?INVITE sip:[email protected] SIP/2.0Via: SIP/2.0/UDP 93.190.143.10:5060;branch=z9hG4bK553a8ca4;rportMax-Forwards: 70From: "MeucciSolutions" <sip:[email protected]>;tag=as059768a7To: <sip:[email protected]>Contact: <sip:[email protected]>Call-ID: [email protected]: 102 INVITEUser-Agent: MeucciSolutionsDate: Sun, 10 May 2009 16:08:05 GMTAllow: INVITE, ACK, CANCEL, OPTIONS, BYE, REFER, SUBSCRIBE, NOTIFYSupported: replaces, timerContent-Type: application/sdpContent-Length: 289













ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

What did voiphun lure?INVITE sip:[email protected] SIP/2.0Via: SIP/2.0/UDP 93.190.143.10:5060;branch=z9hG4bK63f6e79c;rportMax-Forwards: 70From: "MeucciSolutions" <sip:[email protected]>;tag=as5b7d22e8To: <sip:[email protected]>Contact: <sip:[email protected]>Call-ID: [email protected]: 102 INVITEUser-Agent: MeucciSolutionsDate: Sun, 10 May 2009 18:42:34 GMTAllow: INVITE, ACK, CANCEL, OPTIONS, BYE, REFER, SUBSCRIBE, NOTIFYSupported: replaces, timerContent-Type: application/sdpContent-Length: 289













ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Who is Meucci Solutions anyway?


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

voiphun: what else?INVITE sip:[email protected];transport=udp SIP/2.0Via: SIP/2.0/UDP 67.215.13.194:4169;branch=1111111011110011000010000000100067.215.13.1941.2.3.4-438495843;rportMax-Forwards: 70From: <sip:[email protected]>;tag=10461457742-792495409104614577421046145774267.215.13.194To: <sip:[email protected]>Call-ID: ba2ca82610001001100011001011111111000101111111011110011000010000000100067.215.13.1941.2.3.4-4384958431f1769d01876922100010461457742-792495409104614577421046145774267.215.13.194-1690651274CSeq: 1 INVITEContact: <sip:[email protected]:4169;transport=udp>Content-Type: application/sdpAllow: ACK, BYE, CANCEL, INFO, INVITE, MESSAGE, NOTIFY, OPTIONS, PRACK, REFER, REGISTER, SUBSCRIBE, UPDATE, PUBLISHUser-Agent: eyeBeam release 1003s stamp 31159Content-Length: 210

v=0o=- 16264 18299 IN IP4 1.2.3.4s=CounterPath eyeBeam 1.5c=IN IP4 1.2.3.4t=0 0m=audio 55153 RTP/AVP 18 0 8 101a=fmtp:18 annexb=noa=rtpmap:101 telephone-event/8000a=f










ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

voiphun: what else?INVITE sip:[email protected] SIP/2.0Via: SIP/2.0/UDP 127.0.0.1:34160;branch=z9hG4bKaergjerugroijrgrgTo: <sip:[email protected]>From: <sip:[email protected]>;tag=Zerogij34Call-ID: RGin4t394rjrmgk4gi42r2rioregijCSeq: 1 INVITEMax-Forwards: 69Contact: <sip:[email protected]:34160;transport=udp>Allow: INVITE,ACK,OPTIONS,BYE,CANCEL,NOTIFY,REFER,MESSAGEContent-Type: application/sdpContent-Length: 324

v=0o=sip 1232027668 1232027668 IN IP4 207.46.232.182s=sipc=IN IP4 207.46.232.182t=0 0m=audio 5060 RTP/AVP 0 8 4 3 18 101a=rtpmap:0 PCMU/8000a=rtpmap:8 PCMA/8000a=rtpmap:4 G723/8000a=rtpmap:3 GSM/8000a=rtpmap:18 G729/8000a=rtpmap:101 telephone-event/8000a=fmtp:101 0-16a=sendrecva=direction:active










ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

voiphun: what else?INVITE sip:[email protected] SIP/2.0Via: SIP/2.0/UDP 127.0.0.1:34160;branch=z9hG4bKaergjerugroijrgrgTo: <sip:[email protected]>From: <sip:[email protected]>;tag=Zerogij34Call-ID: RGin4t394rjrmgk4gi42r2rioregijCSeq: 1 INVITEMax-Forwards: 69Contact: <sip:[email protected]:34160;transport=udp>Allow: INVITE,ACK,OPTIONS,BYE,CANCEL,NOTIFY,REFER,MESSAGEContent-Type: application/sdpContent-Length: 324

v=0o=sip 1232027668 1232027668 IN IP4 207.46.232.182s=sipc=IN IP4 207.46.232.182t=0 0m=audio 5060 RTP/AVP 0 8 4 3 18 101a=rtpmap:0 PCMU/8000a=rtpmap:8 PCMA/8000a=rtpmap:4 G723/8000a=rtpmap:3 GSM/8000a=rtpmap:18 G729/8000a=rtpmap:101 telephone-event/8000a=fmtp:101 0-16a=sendrecva=direction:active










ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Profit?

• Phone fraud has been going on for a while

• Phone call termination cost money

• Premium numbers even more


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

One scheme

• Find SIP PBXs that have weak passwords

• Route phone calls through them

• Provide line termination to VoIP providers


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Others

• May involve premium numbers

• Denial of Service can be a huge problem

• Millions of dollars in losses have been previously mentioned (in toll fraud)


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

My conclusions

• There are more endpoints than servers out there (which makes sense)

• Cybercrime wants attacks that scale

• Abuse is mostly centered around servers

• Curious if this will change


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

References

• Analysis of a VoIP Attack http://www.ipcom.at/fileadmin/public/2008-10-22_Analysis_of_a_VoIP_Attack.pdf

• ASCII Art from http://www.ascii-art.de/ascii/t/telephone.txt

• SIP digest authentication relay attack http://tools.ietf.org/html/draft-state-sip-relay-attack-00

http://www.ipcom.at/fileadmin/public/2008-10-22_Analysis_of_a_VoIP_Attack.pdf

http://www.ipcom.at/fileadmin/public/2008-10-22_Analysis_of_a_VoIP_Attack.pdf

http://www.ascii-art.de/ascii/t/telephone.txt

http://www.ascii-art.de/ascii/t/telephone.txt

http://tools.ietf.org/html/draft-state-sip-relay-attack-00

http://tools.ietf.org/html/draft-state-sip-relay-attack-00


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

Thanks

• The POC Team for the invitation!

• Individuals: Gilbert, Sjur, others

• SIPVicious contributors and users


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

More at..

• EnableSecurity.com/research

• Sipvicious.org

• VOIPSA.org


ENABLESECURITY

..--""""----.. .-" ..--""""--.j-. .-" .-" .--.""--.. .-" .-" ..--"-. \/ ; .-" .-"_.--..--"" ..--' "-. : .' .' / `. \..--"" __ _ \ ; :.__.-" \ / .' ( )"-. Y ; ;: ( ) ( ). \ .': /:: : \ \ .'.-"\._ _.-" ; ; ( ) .-. ( ) \ " `.""" .j" : : \ ; ; \ bug /"""""/ ; ( ) "" :.( ) \ /\ / : \ \`.: _ \ : `. / ; `( ) (\/ :" \ \ \ `. : "-.(_)_.' t-' ; \ `. ; ..--": `. `. : ..--"" : `. "-. ; ..--"" ; `. "-.:_..--"" ..--" `. : ..--"" "-. : ..--"" "-.;_..--""

alternatively contact me

[email protected]

Q.A

When the Internet & Telephony Mix - Power Of Communitypowerofcommunity.net/poc2009/sandro.pdf · 2018-01-08 · Power of Community 2009

Documents