TCB13
commented
4 years ago Tentei fazer o que descrevi e para além de ser possível interceptar o tráfego do Thomson com o Wireshark de nada serve. Infelizmente o protocolo SIP faz um hash da password do VOIP. Se quiserem saber detalhadamente como funciona está aqui: https://nickvsnetworking.com/reverse-md5-on-sip-auth/
Confirmei com o meu Thomson e existe um pedido REGISTER que é recusado (401) e que apenas serve para que o servidor responda com um header WWW-Authenticate que contem um Nonce utilizado de seguida pelo router para calcular o response a ser incluído no próximo pedido REGISTER.
Primeiro pedido com o header:
Frame 5: 526 bytes on wire (4208 bits), 526 bytes captured (4208 bits) on interface \Device\NPF_{CCA4E935-BE95-###################}, id 0
Ethernet II, Src: TiMetraN_00:###### (00:###########), Dst: Technico_######## (10:############)
Internet Protocol Version 4, Src: 213.xxx.xxx.xxx, Dst: 85.xxx.xxx.xxx
User Datagram Protocol, Src Port: 5070, Dst Port: 5060
Session Initiation Protocol (401)
Status-Line: SIP/2.0 401 Unauthorized 010300337
Message Header
From: <sip:+35121--------@sip.sapo.pt:5060>;tag=14e9660-55f3aa8f-13c4-##########
SIP from address: sip:+35121--------@sip.sapo.pt:5060
SIP from tag: 14e9660-55f3aa8f-13c4-##########
To: <sip:+35121--------@sip.sapo.pt:5060>;tag=0879afb############
SIP to address: sip:+35121--------@sip.sapo.pt:5060
SIP to tag: 0879afb############
Call-ID: 14f2fd0-55f3aa8f-#############
[Generated Call-ID: 14f2fd0-55f3aa8f-#############]
CSeq: 1 REGISTER
Via: SIP/2.0/UDP 85.xxx.xxx.xxx:5060;branch=z9hG4bK-#########
Content-Length: 0
WWW-Authenticate: Digest nonce="FF900000000000000000000000000000",realm="ims.telecom.pt",algorithm=MD5,qop="auth"
Authentication Scheme: Digest
Nonce Value: "FF900000000000000000000000000000"
Realm: "ims.telecom.pt"
Algorithm: MD5
QOP: "auth"Segundo pedido de autenticação com o response baseado no nonce anterior:
Frame 6: 828 bytes on wire (6624 bits), 828 bytes captured (6624 bits) on interface \Device\NPF_{CCA4E935-BE95-###################}, id 0
Ethernet II, Src: Technico_19 (10:############), Dst: TiMetraN_00:###### (00:###########)
Internet Protocol Version 4, Src: 85.xxx.xxx.xxx, Dst: 213.xxx.xxx.xxx
User Datagram Protocol, Src Port: 5060, Dst Port: 5070
Session Initiation Protocol (REGISTER)
Request-Line: REGISTER sip:sip.sapo.pt:5060;transport=UDP SIP/2.0
Message Header
From: <sip:+35121--------@sip.sapo.pt:5060>;tag=14e9660-55f3aa8f-13c4-##########
SIP from address: sip:+35121--------@sip.sapo.pt:5060
SIP from tag: 14e9660-55f3aa8f-13c4-##########
To: <sip:+35121--------@sip.sapo.pt:5060>
SIP to address: sip:+35121--------@sip.sapo.pt:5060
Call-ID: 14f2fd0-55f3aa8f-#############
[Generated Call-ID: 14f2fd0-55f3aa8f-#############]
CSeq: 2 REGISTER
Via: SIP/2.0/UDP 85.xxx.xxx.xxx:5060;branch=z9hG4bK-61-10000-#######
Max-Forwards: 70
Supported: replaces,100rel
User-Agent: Technicolor TG784n v3 Build 10.2.1.O
Expires: 3600
[truncated]Authorization: Digest username="+35121--------",realm="ims.telecom.pt",nonce="FF900000000000000000000000000000",uri="sip:sip.sapo.pt:5060;transport=UDP",response="5ae00000000000000000000000000000",algorithm=MD5,cnonce="10000",q
Authentication Scheme: Digest
Username: "+35121--------"
Realm: "ims.telecom.pt"
Nonce Value: "FF900000000000000000000000000000"
Authentication URI: "sip:sip.sapo.pt:5060;transport=UDP"
Digest Authentication Response: "5ae00000000000000000000000000000"
Algorithm: MD5
CNonce Value: "10000"
QOP: auth
Nonce Count: 00000001
Contact: <sip:+35121--------@85.xxx.xxx.xxx:5060>
Contact URI: sip:+35121--------@85.xxx.xxx.xxx:5060
X-Serialnumber: CP1650SATLQ
[Expert Info (Note/Undecoded): Unrecognised SIP header (x-serialnumber)]
[Unrecognised SIP header (x-serialnumber)]
[Severity level: Note]
[Group: Undecoded]
Content-Length: 0Pronto é isto, se alguém tiver ideias de como crakear isso são bem vindas.
Aproveito para mais uma vez referir a questão de "nivelamento de conhecimento" recorrente em Portugal. Os comentários que se leem em foruns como o zwame quando alguém tenta fazer alguma coisa são uma simples demonstração da mentalidade tuga. Se não sabem como as coisas funcionam, se não querem ajudar etc fiquem calados. O mesmo se aplica aos moderadores que apagam publicações com justificações de algibeira...
pbaptistes
vankxr
Zanatus
NokiasSOFT
Oi,
Finalmente alguém publica alguma coisa interessante sobre o assunto e uma abordagem sólida. Agora algumas questões:
1) Que servidor de VOIP pode ser usado? Diria Asterisk? Tiveste algum sucesso aqui? 2) Que configuração podemos usar no servidor? 3) Atualmente já não é possível obter (facilmente) o root user dos Thomson o que dificulta as coisas.
Acredito que tal como o VOIP dos número nómadas este VOIP no router não utilize TLS ou qualquer outra forma de proteger o tráfego. Posto isto, podemos usar um Switch (ou https://hackaday.com/2008/09/14/passive-networking-tap/), interceptar o tráfego que o Router faz para a MEO e com o Wireshark ver a password.
Outra possibilidade seria montar um servidor de VOIP e um de DHCP completo num PC e lidar-lhe o router. O router iria pedir um IP ao PC e de seguida deveria tentar resolver o IP do servidor VOIP o que seria fácil de interceptar e alterar para o nosso servidor local...