Tras los robos de cuentas de VoIP hay verdaderas mafias. No sólo se trata de de alguien que hackea una cuenta y hace 4 llamadas gratis a los amigos, sino que hay, desde grupos organizados hasta locutorios que venden minutos y no pagan por ello.
Lo que voy a contar, evidentemente, no es para que hackees ninguna cuenta sino para que, en caso de ser administrador de Asterisk, comprendas que las consecuencias de tener una cuenta comprometida pueden ser muy graves.
Vamos a ver un sencillo ejemplo de cómo configurar un Asterisk al que podemos ir añadiendo cuentas de forma indefinida.
En primer lugar, nos encontramos con un servidor Asterisk montado con un número determinado de extensiones, y al que iremos añadiendo conexiones SIP-trunk con cuentas externas, y que nos permitirán realizar las llamadas al exterior.
Los servidores SIP a los que conectamos los SIP-trunk son máquinas comprometidas de las que se ha obtenido alguna cuenta.
La configuración básica para el servidor podría ser algo así (pongo sólo 2 extensiones para no alargar mucho el post):
Fichero sip.conf:
[general] defaultexpire=1800 maxexpire=3600 srvlookup=yes language=es nat=yes allow=all dtmfmode=rfc2833 canreinvite=no [100] type=friend context=local host=dynamic secret=mipass callerid=666666666 insecure=port,invite call-limit=2 [101] type=friend context=local host=dynamic secret=mipass callerid=666666666 insecure=port,invite call-limit=2
Fichero extensions.conf:
[local] exten => s,1,Hangup() exten => 100,1,Answer() exten => 100,n,Dial(SIP/100) exten => 100,n,Hangup() exten => 101,1,Answer() exten => 101,n,Dial(SIP/101) exten => 101,n,Hangup()
Con esto tendríamos montado un Asterisk básico con un par de extensiones que, de momento sólo podrían hablar entre ellos.
Ahora vamos a modificar la configuración y crear varios SIP-trunk con cuentas comprometidas:
Fichero sip.conf:
[general] defaultexpire=1800 maxexpire=3600 srvlookup=yes language=es nat=yes allow=all dtmfmode=rfc2833 canreinvite=no localnet=192.168.1.0/255.255.255.0 register => uservulnerable1:passvulnerable1@hostvulnerable1:5060/uservulnerable1 register => uservulnerable2:passvulnerable2@hostvulnerable1:5060/uservulnerable2 register => uservulnerable3:passvulnerable3@hostvulnerable2:5060/uservulnerable3 [proveedor1] type=peer context=remoto host=hostvulnerable1 fromdomain=hostvulnerable1 defaultuser=uservulnerable1 secret=passvulnerable1 insecure=port,invite call-limit=1000 progressinband=never nat=yes canreinvite=no [proveedor2] type=peer context=remoto host=hostvulnerable2 fromdomain=hostvulnerable2 defaultuser=uservulnerable2 secret=passvulnerable2 insecure=port,invite call-limit=1000 progressinband=never nat=yes canreinvite=no [proveedor3] type=peer context=remoto host=hostvulnerable3 fromdomain=hostvulnerable3 defaultuser=uservulnerable3 secret=passvulnerable3 insecure=port,invite call-limit=1000 progressinband=never nat=yes canreinvite=no [100] type=friend context=local host=dynamic secret=mipass callerid=666666666 insecure=port,invite call-limit=2 [101] type=friend context=local host=dynamic secret=mipass callerid=666666666 insecure=port,invite call-limit=2
Fichero extensions.conf:
[remoto]
exten => s,1,Hangup()
exten => _X.,1,Hangup()
[local]
exten => s,1,Hangup()
exten => 100,1,Answer()
exten => 100,n,Dial(SIP/100)
exten => 100,n,Hangup()
exten => 101,1,Answer()
exten => 101,n,Dial(SIP/101)
exten => 101,n,Hangup()
exten => _X.,1,Set(CALLERID(num)=666666666)
exten => _X.,2,Dial(SIP/proveedor1/${EXTEN}:1,60)
exten => _X.,3,GotoIf($[${DIALSTATUS} = ANSWERED]?100)
exten => _X.,4,Dial(SIP/proveedor2/${EXTEN}:1,60)
exten => _X.,5,GotoIf($[${DIALSTATUS} = ANSWERED]?100)
exten => _X.,6,Dial(SIP/proveedor3/${EXTEN}:1,60)
exten => _X.,7,GotoIf($[${DIALSTATUS} = ANSWERED]?100)
exten => _X.,100,Hangup()
Lo que hemos hecho es, en sip.conf, en la configuración general, hemos añadido:
localnet=192.168.1.0/255.255.255.0 # indica nuestra red local (sólo si nuestro Asterisk conecta desde una red local y necesita el uso de NAT para salir)
register => uservulnerable1:passvulnerable1@hostvulnerable1:5060/uservulnerable1 # registro de un primer usuario en el host vulnerable 1
register => uservulnerable2:passvulnerable2@hostvulnerable1:5060/uservulnerable2 # registro de un segundo usuario en el host vulnerable 1
register => uservulnerable3:passvulnerable3@hostvulnerable2:5060/uservulnerable3 # registro de un primer usuario en el host vulnerable 2
Con esto tenemos creados 3 SIP-trunk con diferentes cuentas. Por otro lado:
[proveedorX]
type=peer
context=remoto
host=hostvulnerableX
fromdomain=hostvulnerableX
defaultuser=uservulnerableX
secret=passvulnerableX
insecure=port,invite
call-limit=1000
progressinband=never
nat=yes
canreinvite=no
Aquí definimos las 3 cuentas (como proveedor1, proveedor2 y proveedor3), con sus usuarios y contraseñas correspondientes, e indicando que el contexto que debe usar en extensions.conf se llama remoto. Además le hemos dejado la posibilidad de realizar 1000 llamadas simultáneas (nunca sabemos cuál es el tope que tiene el usuario).
Por otro lado, en extensions.conf:
[remoto]
exten => s,1,Hangup()
exten => _X.,1,Hangup()
Si nos llama alguien de fuera, directamente colgamos sin atender la llamada.
Y dentro del contexto local hemos añadido:
exten => _X.,1,Set(CALLERID(num)=666666666)
exten => _X.,2,Dial(SIP/proveedor1/${EXTEN}:1,60)
exten => _X.,3,GotoIf($[${DIALSTATUS} = ANSWERED]?100)
exten => _X.,4,Dial(SIP/proveedor2/${EXTEN}:1,60)
exten => _X.,5,GotoIf($[${DIALSTATUS} = ANSWERED]?100)
exten => _X.,6,Dial(SIP/proveedor3/${EXTEN}:1,60)
exten => _X.,7,GotoIf($[${DIALSTATUS} = ANSWERED]?100)
exten => _X.,100,Hangup()
Esto es para sacar las llamadas al exterior y, básicamente lo que ha es intentar salir con el proveedor1, si no lo consigue, prueba con el 2, y así sucesivamente. Para las llamadas al exterior usará como identificador de llamada el número 666666666.
Con esta configuración básica sobra con ir añadiendo cuentas y contextos con cada usuario hackeado que se obtenga. Además según la configuración que tenga cada usuario comprometido en call-limit, en el sip.conf de su Asterisk, podremos realizar más o menos llamadas simultáneas usando esa cuenta. Es decir, si un usuario tiene como call-limit 10, podremos hacer 10 llamadas a la vez usando ese mismo usuario.
Follow
Pero, sea como sea, hay que tener las cuentas VoIp del SIP-Trunk, ¿no?
Salvo para las mafias que comentaste arriba del todo, eso parece bastante difícil de conseguir.
Haces un SIP-trunk con una cuenta cualquiera, es decir, en lugar de conectar un teléfono a esa cuenta, conectas otro Asterisk
Hola, te felicito esta muy interesante tu web.
mi pregunta es la siguiente,
si con una sola cuenta SIP, puedes usarse las
exenciones simultáneamente.
o sea al mismo tiempo??
saludos y gracias por tu gran aporte
Hola Jaime.
La idea no es validar X usuarios con una cuenta SIP sino crear un sip-trunk, es decir, realizar un sólo registro pero en lugar de hacerlo desde un teléfono, hacerlo desde otro Asterisk, que ya tiene sus propias extensiones. Esta cuenta comprometida sólo se usará como canal de salida y se podrán realizar tantas llamadas simultáneas como límite de llamadas tenga configurado en su sip.conf (en call-limit).
Hola,
Mi pregunta es la siguiente, un Asterisk 20 extensiones
Y queremos dividirlas en grupos ejemplo grupo A (100 a 199)
Y grupo B (200 a 299)
La cuestión es aislar los grupos, que solo puedan hacer llamadas
Dentro de los mismos grupos, A no pueda llama al B
Tampoco B al A, solo los números del mismo grupos
Puedan llamarse. Indica un ejemplo de los dos archivo extensions.conf y sip.conf
Para este propósito.
Saludos
@Jaime lo que debes hacer es crear contextos diferentes para agrupar a las distintas extensiones. De esta forma, cada grupo tendrá sus propias configuraciones y cada centralita será independiente.
Hola
Hice lo que indicaste referente a los contextos.
Y funciona de maravilla,
Gracias por tu valiosa ayuda
Saludos
Hola,
Estoy intentando adaptarlo para recibir llamadas entrantes de numeros externos, ya que mis proveedores tienen asignados un numero fijo americano cada uno. Pero al llamar al numero de cualquiera de los proveedores se queda dando tono «comunicando»
Y despues de un rato veo en el CLI de asterisk que lo manda al mailbox(que no tengo configurado)
¿Alguna idea para hacerlo funcionar?
Gracias y un saludo.
Pues si ten entra en el Asterisk es porque al menos tienes bien configurados los puertos. Pero debes tener mal el plan de llamadas. Has dado de alta el número al que te llaman en tu dialplan?
Hola,
No lo he dado de alta(soy novato es asterisk) tengo una cuenta de voipbuster configurada y puedo realizar llamas hacia fuera sin problemas desde alguna de las extensiones.
En la cuenta de voipbuster tengo asignado el numero USA y la idea es que cuando llame alguien de fuera a ese numero me salte la llamada en una extension especifica.
Comunicación interna entre extensiones ya la tengo sin problemas.
Un saludo y gracias
El proveedor no te va a entregar una llamada en una extensión tuya por arte de magia 🙂
Debes crear una extensión con el número de teléfono en el que recibes las llamadas y desviarlo a la extensión que quieras.
Te recomiendo que pases por aquí: https://groups.google.com/forum/?hl=es&fromgroups#!forum/asterisk-es
alguna idea de donde sacar estas cuentas