← retour aux outils back to tools

# rtpbreak

Détecte, analyse et reconstruit des sessions RTP (audio VoIP) à partir de trafic réseau capturé ou en direct, sans dépendre du protocole de signalisation. Detects, analyzes, and reconstructs RTP (VoIP audio) sessions from captured or live network traffic without relying on the signaling protocol.

↗ https://github.com/HackerFactor/rtpbreak

## Overview

rtpbreak identifies RTP (Real-time Transport Protocol) media streams inside a traffic capture purely by inspecting the traffic itself — it doesn’t need to see or understand the SIP/H.323 signaling that set the call up. This makes it useful for reconstructing VoIP audio sessions in situations where the signaling was missed, encrypted, or simply out of scope, letting an assessor pull intercepted calls out of a pcap for playback and analysis.

## Common Usage

Analyze live traffic on an interface

    rtpbreak -i eth0

Analyze a pcap file and write reconstructed streams to an output directory

    rtpbreak -F capture.pcap -o output/

Apply a BPF capture filter (limit to a subnet of interest)

    rtpbreak -i eth0 -f "net 10.10.20.0/24" -o output/

Save extracted audio only for streams with recognized codecs

    rtpbreak -F capture.pcap -o output/ -s

## Tips

- Reconstructed streams are dumped as raw/`.au` audio files per session in the output directory — convert with `sox`/`ffmpeg` for easy playback
- Because detection is signaling-agnostic, it also surfaces RTP traffic that other VoIP tools miss when SDP negotiation wasn’t captured
- Pair with `sipdump`/`sipcrack` when both signaling credentials and the actual call audio are in scope

Help / Man page

    rtpbreak [-i interface] [-F file.pcap] [-o output_dir] [-f bpf_filter] [-s] [-v] [-h]

      -i interface     capture live from this interface
      -F file          read packets from an existing pcap file
      -o dir           directory to write reconstructed RTP streams to
      -f filter        BPF-style capture filter
      -s               save only streams with a recognized audio codec
      -v               verbose output
      -h               display this help and exit

## Vue d’ensemble

rtpbreak identifie les flux média RTP (Real-time Transport Protocol) au sein d’une capture de trafic en inspectant uniquement le trafic lui-même : il n’a pas besoin de voir ou de comprendre la signalisation SIP/H.323 qui a établi l’appel. Cela le rend utile pour reconstruire des sessions audio VoIP dans les situations où la signalisation a été manquée, chiffrée, ou simplement hors périmètre, permettant à un auditeur d’extraire des appels interceptés d’un pcap pour lecture et analyse.

## Utilisation courante

    # Analyser le trafic en direct sur une interface
    rtpbreak -i eth0

    # Analyser un fichier pcap et écrire les flux reconstruits dans un répertoire de sortie
    rtpbreak -F capture.pcap -o output/

    # Appliquer un filtre de capture BPF (limiter à un sous-réseau d'intérêt)
    rtpbreak -i eth0 -f "net 10.10.20.0/24" -o output/

    # Sauvegarder uniquement l'audio extrait pour les flux avec des codecs reconnus
    rtpbreak -F capture.pcap -o output/ -s

## Conseils

- Les flux reconstruits sont enregistrés sous forme de fichiers audio bruts/`.au` par session dans le répertoire de sortie : convertir avec `sox`/`ffmpeg` pour une lecture facile
- Comme la détection est agnostique à la signalisation, elle fait aussi remonter du trafic RTP que d’autres outils VoIP manquent quand la négociation SDP n’a pas été capturée
- À associer avec `sipdump`/`sipcrack` quand à la fois les identifiants de signalisation et l’audio réel de l’appel sont dans le périmètre

Aide / Page de manuel

    rtpbreak [-i interface] [-F file.pcap] [-o output_dir] [-f bpf_filter] [-s] [-v] [-h]

      -i interface     capture live from this interface
      -F file          read packets from an existing pcap file
      -o dir           directory to write reconstructed RTP streams to
      -f filter        BPF-style capture filter
      -s               save only streams with a recognized audio codec
      -v               verbose output
      -h               display this help and exit