关注安全。

本帖最後由 kermit 於 2010-8-28 15:33 編輯

我的asterisk，在25日被侵入，将我nonoh上大概5欧元的balance清空了。同时还有其他的人被盗打。
根据mitbbs的voip 俱乐部的ianw的说法：

攻击原理和这篇说的是一样的：
http://mikeoverip.wordpress.com/ ... using-sipp-and-sec/

kermit

新手上路

Rank: 1

2^#

發表於 2010-8-28 15:32 | 只看該作者

本帖最後由 kermit 於 2010-8-28 15:33 編輯

根据mitbbs的voip 俱乐部的ianw的说法：

攻击应该是基于SIP协议的‘users enumeration’ attack。

在sip.conf中定义的extendsion一般是基于username/password认证的。所以，攻击者
可以用特殊的SIP client配合字典，暴力猜测sip.conf中存在的extension和密码。一
旦蒙对了，就可以注册到你的asterisk server来盗打电话。

上面的文章主要描述了如何模拟这种攻击，和如何监测这种攻击（利用SEC，扫描
asterisk的log）。

防范的方法：sip.conf中定义的extension密码强度要加强，或者authentication基于IP address

TOP

kermit

新手上路

Rank: 1

3^#

發表於 2010-8-28 15:34 | 只看該作者

根据mitbbs的voip 俱乐部的ianw的说法：

http://www.voip-info.org/wiki/view/Asterisk+sip+permit-deny-mask

把下面两行加到每一个extensions的定义里面，这样extension就只能从局域网上注册
了。

deny=0.0.0.0/0.0.0.0
permit=192.168.1.0/255.255.255.0

TOP

kermit

新手上路

Rank: 1

4^#

發表於 2010-8-28 15:37 | 只看該作者

本帖最後由 kermit 於 2010-8-28 15:41 編輯

我个人觉得ianw的分析很有道理。本来我的externsion的密码设置相当简单，就是1234。
现在我的密码长度是12位，还带有特殊字符，让他来实验吧～～～

但是如果需要从外面注册的话，这个permit能否用DNS的域名来代替？

TOP

角色

註冊會員

Rank: 2

5^#

發表於 2010-8-28 15:43 | 只看該作者

真的不知道行不行。但是我们的Asterisk却经常有人去scan，就是username和password，username从0000-9999，然后用password 0000-9999这样逛scan。所以如果有接PSTN线，一样要非常小心。特别是密码一定不能用extension number那样简单，一定要想有letter和numerical digits组成，起码8位！有的members的passwords会用16位，这样就算攻击者集中一个extension去猜正确秘密也非常困难。

角色

TOP

電腦超人

管理員

Rank: 9 Rank: 9 Rank: 9

6^#

發表於 2010-8-28 16:45 | 只看該作者

終於連我們的member也遭殃了...
可幸的是...只有5美元損失...(不像日本那邊損失的有數千至數萬港元...)
但請kermit兄把log留下一份備份...以及查一下黑客是哪國的...

我現在的password也只有6-10位...
但我是在Dial Plan中設定好...只讓特定的組別(全免費的)才可通過撥出PSTN...
要收費的全部也會Hangup...
而設定形式也像iptable形式...所有的Hangup會放在上邊...最底的才到撥出PSTN...

TOP

電腦超人

管理員

Rank: 9 Rank: 9 Rank: 9

7^#

發表於 2010-8-28 16:50 | 只看該作者

如果有些member接上了香港的PSTN...也請小心一下...
如果不需要用到IDD的...可考慮向電訊商加設IDD密碼(好像是有的吧)或把IDD取消掉好了...
而在設定DialPlan時...我相信有些也只會用上"[2356789]X."之類吧...
請別忘記把900和99X字頭刪去啊...
900的要收費...99X...咳咳...

TOP

kermit