--------------------------------------------------------------------------------
 
Wikipedia
Asterisk es una aplicación de código abierto de una central telefónica (PBX). Como cualquier PBX, se puede conectar un número determinado de teléfonos para hacer llamadas entre sí e incluso conectar a un proveedor de VoIP o bien a una RDSI tanto básicos como primarios.

El problema

No existe la necesidad de loguearse como administrador para tener acceso al flash operator panel de Asterisk, lo que permite monitoreo del estado de Asterisk accesible desde la Web.

Esto permitiría tener control sobre las llamadas en curso que tiene el sistema si se obtiene el código de seguridad del FOP.

Mediante esta aplicación “flash operator panel” se puede iniciar, terminar o modificar el curso de una llamada.

El nivel de riesgo lo he considerado como medio si el atacante logra hacerse del password de algún user y seguidamente registrar un Softphone con el servidor. Tomando en cuenta que algunos administradores colocan password deficientes de fortaleza en combinación y longitud, no debería ser muy complejo el registro de uno de estos softwares (X-lite).

Si esto fuese así permitiría a un atacante realizar llamadas telefonicas a los usuarios registrados en la PBX y mas aún establecer comunicacion a distintos destinos a través del servidor, servidor que obviamente debería contar con las tarjetas necesarias para conectar teléfonos analógicos y las rutas para salida a redes GSM.

Cabe destacar que los password de users no guardan relación con el security code, esto lo comento para que no estés intentando descubrir el security code para registrar un softphone

Busqueda básica en Google de servidores Asterisk

intitle:"freePBX administration" inurl:admin -ext:pdf

Método bastante sencillo de ingresar al FOP

Anotar dirección a flash operator directamente sobre la Url sin pasar por admin.

Ejemplo:

http://10.1.6.30/freepbx/panel/
http://10.1.6.31/panel/

Ingresando de esta manera podemos averiguar los nombres de los users “EXTENSIONS” registrados en el Server.
Será de interés de vosotros obtener la pass de algún user lo que es a mi no me involucra




Cambio passwords en asterisk y password por default del security code

En http://www.voip-info.org/wiki/view/Asterisk@Home+Handbook+Wiki+Chapter+3 pueden encontrar una lista completa de cómo realizar las modificaciones al Server para proteger con password las distintas aplicaciones e interfaces utilizadas por la PBX

Chapter 3 Securing your Asterisk@Home Server
3.1 Giving your Asterisk@Home Server a static IP address
3.2 Changing your default CentOS Password
3.3 Changing your default FreePBX Password
3.4 Changing your default FOP Password
3.5 Changing your default MeetMe Password
3.6 Changing your default System Mail Password
3.7 Changing your default Sugar CRM Password
3.8 Securing the ALT-F9 into the Asterisk CLI console #9 feature/security risk
3.9 Placing a password on the Asterisk@Home Splash page
3.10 Changing your default MySQL Password
3.11 Changing your ARI (Asterisk Recording Interface) Password
3.11 Changing your A2Billing Password
3.11 Changing your host name
3.12 Updating patches to CentOS
3.13 Backup and restore of Asterisk@Home
3.13.1 Backup
3.13.2 Restore
3.13.3 Backup storage
3.14 UPS Backup
3.15 Using HTTPS


The default password for a newly installed Flash Operator Panel is: (yes the letter "o" is a "zero")

Password: passw0rd

To change this password, log into your CentOS machine using the root login and password and enter the FOP directory by typing:

cd /var/www/html/panel

Using nano as the editor, open the configuration file op_server.cfg

nano op_server.cfg

Go to the line that says security code=passw0rd. Replace the €œpassw0rdâ€? with the password of your choice.

security_code=whateverpasswordyouwant

For Trixbox 2+?

cd /etc

Using nano as the editor, open the configuration file amportal.cfg

nano amportal.cfg

Go to the line that says FOPPASSWORD=passw0rd. Replace the passw0rd? with the password of your choice.

FOPPASSWORD=whateverpasswordyouwant

Then do a CTRL-X to exit and then a "Y" to save changes. Now restart the FOP server.

amportal restart

****Esto NO soluciona el problema de acceso al FOP directamente desde la Web****
Disculpar las faltas de ortografía


Bytes
Las casualidades, impulsan nuevos recorridos
Clon de Santa (Boro)