retour aux outils back to tools Ducklings

inviteflood

Outil de flood SIP INVITE pour les tests de déni de service VoIP. Sature les serveurs et téléphones SIP avec des requêtes INVITE pour surcharger les ressources et tester la résilience de l'infrastructure VoIP. SIP INVITE flood tool for VoIP DoS testing. Floods SIP servers and phones with INVITE requests to overwhelm resources and test the resilience of VoIP infrastructure.

↗ https://github.com/Pepelux/sippts

Overview

inviteflood sends SIP INVITE packets to overwhelm VoIP systems. By flooding a SIP server or endpoint with call setup requests, it tests whether the system can handle high-volume traffic or will crash/become unresponsive — a common VoIP DoS attack vector.

Basic Usage

Flood a SIP server with INVITE packets

inviteflood eth0 target_extension target_domain target_ip packet_count

Example: flood extension 100 on 192.168.1.5

inviteflood eth0 100 192.168.1.5 192.168.1.5 1000

Flood with high count (DoS test)

inviteflood eth0 100 sip.target.com 192.168.1.5 100000

Parameters

# Syntax:
# inviteflood INTERFACE EXTENSION DOMAIN TARGET COUNT

# INTERFACE  — network interface (eth0, wlan0)
# EXTENSION  — target SIP extension/username (or "")
# DOMAIN     — SIP domain
# TARGET     — target IP address
# COUNT      — number of INVITE packets

Flood specific extension:

inviteflood eth0 200 domain.com 10.10.10.1 5000

Flood without specific extension:

inviteflood eth0 "" domain.com 10.10.10.1 5000

SIP Flooding Context

# SIP INVITE flood effects:
# - CPU exhaustion on SIP proxy/PBX
# - Memory overflow from unclosed sessions
# - Legitimate calls blocked/dropped
# - SIP registration failures

# Amplification variant:
# Send INVITEs with forged source IP
# Target responds to victim's IP → amplification attack

Combining with SIP Scanning

Step 1: Discover SIP infrastructure

svmap 192.168.1.0/24 -p 5060

Step 2: Enumerate extensions

svwar -e100-999 192.168.1.5

Step 3: Flood discovered extensions

inviteflood eth0 200 192.168.1.5 192.168.1.5 10000
# Monitor impact:
# Asterisk: asterisk -rx "core show channels"
# FreeSWITCH: fs_cli -x "show channels"

Tips

  • SIP flooding is the most common VoIP DoS attack — test your systems before attackers do
  • Rate limiting (fail2ban for SIP) is the primary mitigation
  • Test at low packet counts first to understand the system’s behavior
  • Asterisk’s built-in rate limiting: sip.conf → maxexpirey and minexpirey
  • Combine with SIP digest brute force for a complete VoIP security assessment
Help / Man page 
inviteflood IFACE EXTENSION DOMAIN TARGETIP COUNT

IFACE      Network interface
EXTENSION  Target extension (or empty string)
DOMAIN     SIP domain
TARGETIP   Target server IP
COUNT      Number of INVITE packets to send

Vue d’ensemble

inviteflood envoie des paquets SIP INVITE pour saturer les systèmes VoIP. En inondant un serveur ou point de terminaison SIP avec des requêtes d’établissement d’appel, il teste si le système peut gérer un trafic à haut volume ou s’il va planter/devenir non réactif : un vecteur d’attaque DoS VoIP courant.

Utilisation de base

# Saturer un serveur SIP avec des paquets INVITE
inviteflood eth0 target_extension target_domain target_ip packet_count

# Exemple : saturer l'extension 100 sur 192.168.1.5
inviteflood eth0 100 192.168.1.5 192.168.1.5 1000

# Saturer avec un nombre élevé (test DoS)
inviteflood eth0 100 sip.target.com 192.168.1.5 100000

Paramètres

# Syntaxe :
# inviteflood INTERFACE EXTENSION DOMAIN TARGET COUNT

# INTERFACE : interface réseau (eth0, wlan0)
# EXTENSION : extension/nom d'utilisateur SIP cible (ou "")
# DOMAIN    : domaine SIP
# TARGET    : adresse IP cible
# COUNT     : nombre de paquets INVITE

# Saturer une extension spécifique
inviteflood eth0 200 domain.com 10.10.10.1 5000

# Saturer sans extension spécifique
inviteflood eth0 "" domain.com 10.10.10.1 5000

Contexte du flood SIP

# Effets du flood SIP INVITE :
# - Épuisement CPU sur le proxy/PBX SIP
# - Débordement mémoire dû aux sessions non fermées
# - Appels légitimes bloqués/perdus
# - Échecs d'enregistrement SIP

# Variante par amplification :
# Envoyer des INVITE avec une IP source falsifiée
# La cible répond à l'IP de la victime → attaque par amplification

Combinaison avec le scan SIP

# Étape 1 : découvrir l'infrastructure SIP
svmap 192.168.1.0/24 -p 5060

# Étape 2 : énumérer les extensions
svwar -e100-999 192.168.1.5

# Étape 3 : saturer les extensions découvertes
inviteflood eth0 200 192.168.1.5 192.168.1.5 10000

# Surveiller l'impact :
# Asterisk: asterisk -rx "core show channels"
# FreeSWITCH: fs_cli -x "show channels"

Conseils

  • Le flood SIP est l’attaque DoS VoIP la plus courante : tester ses propres systèmes avant que des attaquants ne le fassent
  • Le rate limiting (fail2ban pour SIP) est la principale mitigation
  • Tester avec un faible nombre de paquets d’abord pour comprendre le comportement du système
  • Rate limiting intégré d’Asterisk : sip.conf → maxexpirey et minexpirey
  • Combiner avec le brute force du digest SIP pour une évaluation de sécurité VoIP complète
Aide / Page de manuel 
inviteflood IFACE EXTENSION DOMAIN TARGETIP COUNT

IFACE      Network interface
EXTENSION  Target extension (or empty string)
DOMAIN     SIP domain
TARGETIP   Target server IP
COUNT      Number of INVITE packets to send