VoIP Sniffing

IHSEN BEN SALAH (GL 3)

MAHMOUD MAHDI (GL 3)
MARIEM JBELI (RT 2)
SAFA GALLAH (RT 3)
SALAH KHEMIRI (RT 3)
YOUSSEF BEN DHIAF (GL 3)
 VoIP Sniffing |SECURILIGHT 2013

Table des matières:

1. Présentation de l’atelier ................................................................................................... 2

2. Présentation des outils utilisés ........................................................................................ 3

3. Topologie du réseau ......................................................................................................... 3

4. Configuration des outils.................................................................................................... 4

5. scénarios de test : ..........................................................................................................….8

6. Conclusion: ..................................................................................................................... 15

1
 VoIP Sniffing |SECURILIGHT 2013

I. Etapes
1. Présentation de l’atelier
 C’est quo i la VoIP ?
La voix sur IP, pour Voice over IP, est une technique qui permet de communiquer par
la voix (audio ou/et vidéo) sur des réseaux compatibles IP, qu'il s'agisse de réseaux privés ou
d'Internet.
Cette technologie est complémentaire de la téléphonie sur IP (« ToIP » pour Telephony over
Internet Protocol).

Divers protocoles peuvent être utilisés pour acheminer les informations au(x) destinataire(s)
parmi lesquels RTP, Real-time Transport Protocol, qui est un protocole basé sur UDP/IP .

La sécurité de la téléphonie est souvent restée un sujet à part dans l’entreprise. Là, on peut
citer l’exemple du VoIP Sniffing.
Voici l’enchainement des messages lors de l’établissement d’une communication entre deux
clients A et B :

2
 VoIP Sniffing |SECURILIGHT 2013


 VoIP Sniffing ?

Grâce aux outils d’écoute de réseau, d’analyse de flux et d’injection de trafic IP, on
peut attaquer un réseau VoIP. Dès lors que le Hacker est entré sur le réseau
d’entreprise, il aura alors accès aux communications de l’entreprise.

 Dans le cadre de cet atelier , on effectuera :

 Scan du réseau, des ports et des différentes adresses IP de ce réseau.


 RTP Sniffing : capture des paquets RTP échangés à travers l'ARP spoofing, ou ARP
poisoning :détournement des flux réseaux transitant entre une machine cible et un routeur.

 Eaveasdropping: C'est l'écoute des conversations privées des deux utilisateurs.

 SIP Spoofing : le vol de session, c'est-à-dire les identifiants et les mots de passe
d’un utilisateur.

 SIP flooding : L'envoi excessif de paquets au serveur pour le saturer

3
 VoIP Sniffing |SECURILIGHT 2013

2. Présentation des outils utilisés

 BackTrack
est une distribution basée sur Debian GNU / Linux distribution destinée au forensics
et à l'utilisation des tests de pénétration. La version actuelle est BackTrack 5 R3. Elle
est basée sur Ubuntu 10.04 (Lucid) LTS et appartient à la famille Debian.

 Ettercap :
effectuer l’ARP Poisonnig, intercepter le trafic échangé sur le réseau, et réaliser les
attaques MITM (Man In The Middle).

 Wireshark :
analyseur de paquets, permettant la capture des paquets RTP échangés et
l’enregistrement des conversations se déroulant sur le réseau.

3. Topologie du réseau
Pour illustrer l’atelier, on va utiliser 4 machines : l’une va servir de serveur , 2 autres
comme clients VoIP , et un Hacker. Par la suite, elles seront reliées par un routeur.

4
 VoIP Sniffing |SECURILIGHT 2013

4. Configuration des outils

La mise en œuvre de l’atelier nécessite l’installation d’un serveur voip et de deux logiciels
d’appel à base de voip.

a) Le serveur utilisé : Asterisk PBX 11.6.0 sur backtrack :

Asterisk est un PABX (PrivateAutomaticBrancheXchange), téléchargeable gratuitement sur

internet, d’une rare puissance et souplesse, capable de gérer la téléphonie analogique, mais
surtout, et c’est ce qui nous intéresse, la voix sur IP.

La VoIP sur Asterisk passe entre autre par la prise en charge d’un protocole standard, ouvert
et très largement utilisé, le SIP (Session Initiation Protocol), qui est un protocole très proche
d’HTTP qui n’est pas limité à la seule voix mais qui prend aussi en charge la vidéo et la
messagerie instantanée. Dans le document qui suit , seule la gestion des appels sera pris en
compte.
D’un point de vue fonctionnalité, Asterisk permet tout ce que l’on peut attendre d’un PABX
moderne:
La gestion des postes téléphonique sur IP locaux. Il peut s’agir de téléphones physiques mais
aussi logiciels (ou SoftPhone) comme Ekiga ou X-lite.

Le logiciel de téléphonie : Xlite 3.0 sur deux machines munies de windows 7. Notons qu’il
s’agit d’un logiciel téléchargeable gratuitement.

Etapes d ’installation du serveur asterisk sur backtrack :

 apt-get update && apt-get upgrade
 apt-get install build-essential libxml2-dev libncurses5-dev linux-headers-`uname-r`
libsqlite3-dev libssl-dev
 mkdir/usr/src/asterisk
 cd/usr/src/asterisk
 wget [Link]
[Link]
 tar xvzf [Link]
 cdasterik-asterisk-10.7.0
 ./configure
 make
 make install
 make samples
 make config
 /etc/init.d/asterisk start
Pour afficher la console d’asterisk, il suffit de taper:
 asterisk –cvvvvvvvvvvr

Par la suite, il faut configurer les fichiers de configuration du serveur : [Link], [Link],
[Link].

5
 VoIP Sniffing |SECURILIGHT 2013

I. Fichier [Link] :
Ajouter la ligne: " language=fr" pour choisir la langue française ,sinon on peut garder
Asterisk en anglais .
II. Fichier [Link] :
Permet d’enregistrer les différents utilisateurs et leurs mots de passes.
On suppose que l’on dispose de deux utilisateurs de full-name respectifs toshiba et dell :

III. Le fichier [Link]

permet de configurer le dialplan :

6
 VoIP Sniffing |SECURILIGHT 2013

b) Configuration de X-lite :

7
 VoIP Sniffing |SECURILIGHT 2013

Le callerID doit être spécifié dans les trois champs display Name, user name et authorization
user name
L’adresse ip du serveur doit être dans le champs Domain.

Afin de vérifier que les deux utilisateurs se sont bien connectés au serveur, il faut que les
lignes suivantes se trouvent dans la console de ce dernier :

Voici les commandes permettant d’effectuer le scan du réseau:

 Ifconfig : vérifier l’adresse ip de la machine
 Nmap –sS –A –PO [Link]/24 : fournir les ports exploités sur toutes les
machines connectées sur le réseau.
 Smap –O [Link]/24 : fournir l’adresse IP du serveur
 Ping 192.168.1.x : vérifier que le serveur est bien connecté dans le réseau

8
 VoIP Sniffing |SECURILIGHT 2013

5. scénarios de test :
I. Eaveasdropping
i. Lancement d’Ettercap afin d’effectuer l’ARP poisoning
 On le lance en mode graphique grâce à la commande " Ettercap -G " et on choisit
« Unified Sniffing »

ii. Scan du réseau et ajouts d’hôtes:

Cette étape nous permet de visualiser les machines connectés sur ce réseau .

 Le résultat de cette étape :

9
 VoIP Sniffing |SECURILIGHT 2013

iii. Choisir le type de l’attaque :

L'attaquant émet une trame ARP en Broadcast (à tout le reseau) dans laquelle il fait
correspondre son adresse MAC à l'adresse IP de la passerelle.

10
 VoIP Sniffing |SECURILIGHT 2013

iv. Début du Sniffing :

Après avoir effectué cette étape l’architecture du réseau devient comme suit :
L’attaque Man in the Middle est réalisée et les paquets transitent alors par le Hacker au lieu
du routeur et ce dernier se charge de tout échange entre le client « victime » et le routeur !

v. Lancer Wireshark :
Il suffit de taper dans le terminal de la machine pirate : wireshark

vi. Choix de l’interface réseau sur laquelle on va effectuer la capture des

paquets échangés :

11
 VoIP Sniffing |SECURILIGHT 2013

vii. Filtrer les paquets à capturer et se limiter au protocole « RTP » :

12
 VoIP Sniffing |SECURILIGHT 2013

viii. Analyse des paquets capturés :

ix. Ecoute des conversations enregistrées : Eavesdropping

13
 VoIP Sniffing |SECURILIGHT 2013

II. SIPcrack

Comme son nom l’indique, c’est une attaque qui vise à avoir toutes les informations
nécessaires à propos de l’utilisateur, entre autre son identifiant et son mot de passe.
Afin de réaliser cette opération, il suffit de télécharger le module sipcrack via la
commande :

Apt-get install sipcrack.

Ce module contient deux commandes primordiales pour la réalisation de l’SIPcrack :

sipdump et sipcrack.

Sipdump : est une commande qui permet de déterminer les adresses des différents clients
en associant leur caller ID. Le résultat sera stocké dans le fichier (dans notre cas :fichier)

Voici le résultat :

Par la suite on utilise la commande sipcrack en lui spécifiant un dictionnaire téléchargeable

via le net et le fichier contenant le mot de passe crypté. Cela a pour but de décoder le mot
de passe de l’utilisateur et de se connecter via X-lite avec son compte.

14
 VoIP Sniffing |SECURILIGHT 2013

xi. ID Spoofing:
Cette attaque s’effectue par le biais de la commande inviteflood sous le fichier
/pentest/voip/inviteflood.

Cette commande signifie qu’un appel va être simulé à l’utilisateur dont l’identifiant est 6002.
Pour ce faire, il faut préciser dans la commande d’abord l’adresse ip de la victime puis
l’adresse ip du serveur.
Le 1 représente le nombre des paquets envoyés. Les options –a et –i permettent
respectivement de spécifier le nom du destinataire(FakeName choisi par le pirate) et son
adresse ip.
xii. SIP Flooding:
Une attaque visant à renverser le serveur est possible (SIP flooding) avec la
commande précédente; il suffit de remplacer le 1 qui représente le nombre des paquets
envoyés par un nombre important visant à submerger le serveur avec des requêtes SIP.

15
 VoIP Sniffing |SECURILIGHT 2013

[Link]:

Les attaques qui ont été effectuées au cours de cet atelier mettent en évidence
l’importance de la sécurisation du serveur ASTERISK s’agissant du composant où transitent
toutes les requêtes venant des utilisateurs.
C’est pour cette raison que les concepteurs du serveurs ont mis au point multiples moyens
visant à sécuriser l’établissement de la communication entre les utilisateurs préservant
ainsi le serveur contre les attaques citées précédemment:

. Configuration des adresses IP :

On peut utiliser "permit=" et "deny=" dans le fichier de configuration [Link] pour
permettre à des adresses ip uniques d'utiliser le serveur . Du coup, toute autre adresse
qui n'est pas spécifiée dans ce fichier n'aura pas le droit d'envoyer des requêtes au
serveur .

. Alwaysauthreject=yes :
Dans le fichier de configuration [Link] ,en mettant "alwaysauthreject=yes" interdira
aux pirates d'exécuter des attaques brute force pour deviner les extensions existantes
sur le serveur

. Utilisation d'un mot de passe FORT pour les sessions SIP :

L'utilisation d'un long mot de passe contenant des espaces,des lettres en majuscules et
minuscules, et des caractères spéciaux est recommandé pour diminuer les chances qu'il
existe dans les dictionnaires utilisés par les pirates .

. Bloquer les ports AMI manager :

utiliser "deny=" et "permit=" dans [Link] pour rendre les connections connues
par les hosts seulement .

. Permettre un ou deux appels au même moment par SIP :

Connaitre le nombre d'appels pouvant être effectué au même moment nous permet de
détecter toute tentative d'attaque ou de Spoofing .

. S'assurer que les SIP usernames sont différents des extensions : Lorsqu'on
définit le username "1234" avec l'extension"1234',cela facilitera la tache pour le
pirate pour deviner les usernames des utilisateurs .

. S'assurer que le [default] context est sécurisé :

Ne pas permettre à des clients non authentifiés d'atteindre les contexts pour effectuer
des appels .
Il suffit dans de mettre l'option "allowguest=no" dans la partie [general] dans [Link]

.Pour se protéger de l'attaque Man In The Middle ,il est conseillé de bien surveiller le
réseau,du coup,l'attaque ne pourra pas passer inaperçue .

16
 VoIP Sniffing |SECURILIGHT 2013

On pourra utiliser l'outil Arp Watch permettant de détecter les messages Arp
anormaux .
En plus ,il est conseillé d'utiliser des connexions cryptées et sécurisées comme SH ou
VPN .

17