帖子主题: [推荐]SIP协议攻击之身份劫持

7月份的杂志将会详细介绍

图2描述了一个有效注册的信息和回显。从SIP的注册中我们可以看到，它是用来标记一个用户联系点的。这表明，用户的设备接受了来电。

图二http://1801.img.pp.sohu.com.cn/images/2008/6/19/5/20/11b42d1438c.jpg
注册的要求（包扩联系方式）：IP地址和该用户的数据连接设备 。当一个代理服务器收到请求要处理一个来电（邀请）时 ，它会执行查找功能，找出各自可以联系的用户。在这种情况下，用户的电话号码201-853-0102 ，可达成的IP地址192.168.94.70 。代理将向该IP地址提出邀请的请求时，大家可能会发现，端口是5061，这个端口是预留作sip通讯端的，实际上它是在违反RFC 3261协议 。 以下图3显示的是修改后版本注册的要求。

图三http://1801.img.pp.sohu.com.cn/images/2008/6/19/5/20/11b42d144c9.jpg在这方面的要求中，所有的邮件标题和参数保持不变。图中信息已经改变，攻击者的设备接收的邮件标题是IP地址（ 192.168.1.3 ）。然后回应注册的要求，发送数据到SIP协议的注册服务器192.168.1.2 上去。sivus工具可以实现这个过程，如图4 。

图四http://1801.img.pp.sohu.com.cn/images/2008/6/19/5/20/11b42d14501.jpg
身份劫持攻击的过程如下：
1 。禁用合法用户的注册：
对用户的设备执行DoS攻击。
撤销注册用户（另一次攻击）。
产生注册条件，攻击者一再发送注册的要求，在较短的时间（如每15秒）内 ，以冒充合法用户的注册请求。
2 。发送一份注册表，要求与攻击者的IP地址相同但不能是合法用户的。
过程与结果如图5显示。

图五http://1801.img.pp.sohu.com.cn/images/2008/6/19/5/20/11b42d14545.jpg
这次攻击成功的原因如下：
1. 明令信号传送邮件，它允许攻击者可以嗅探，修改和重置数据。
2.目前执行的SIP信令不支持浏览电文的完整内容，从而修改和重置攻击不会被测到。

这次攻击是成功的，即使偏远的SIP代理服务器要求显示用户的身份验证信息，但也因为SIP的数据传输漏洞，攻击者可以明确的嗅探，修改和重置。这种方法可以展开对双方企业或住宅用户的攻击。举例来说，家庭网络如果使用不当配置的无线接入点的话，谁都可以拦截和重置注册的要求。当然这里也包括配置那里的WEP （有线等效保密）或WPA （ Wi - Fi保护访问），因为有已知的漏洞，可以让攻击者获得未经授权的访问。这样，攻击者可以执行各种攻击，包括窃听来电或重定向通信，在企业环境中攻击者可以转接电话给未经授权的当事方。事实上，使用sips验证的回显可以抑制许多相关的攻击(包括窃听和用户身份挟持)。