rtpbreak

Overview

rtpbreak identifies RTP (Real-time Transport Protocol) media streams inside a traffic capture purely by inspecting the traffic itself — it doesn’t need to see or understand the SIP/H.323 signaling that set the call up. This makes it useful for reconstructing VoIP audio sessions in situations where the signaling was missed, encrypted, or simply out of scope, letting an assessor pull intercepted calls out of a pcap for playback and analysis.

Common Usage

Analyze live traffic on an interface

rtpbreak -i eth0

Analyze a pcap file and write reconstructed streams to an output directory

rtpbreak -F capture.pcap -o output/

Apply a BPF capture filter (limit to a subnet of interest)

rtpbreak -i eth0 -f "net 10.10.20.0/24" -o output/

Save extracted audio only for streams with recognized codecs

rtpbreak -F capture.pcap -o output/ -s

Tips

• Reconstructed streams are dumped as raw/.au audio files per session in the output directory — convert with sox/ffmpeg for easy playback
• Because detection is signaling-agnostic, it also surfaces RTP traffic that other VoIP tools miss when SDP negotiation wasn’t captured
• Pair with sipdump/sipcrack when both signaling credentials and the actual call audio are in scope

rtpbreak [-i interface] [-F file.pcap] [-o output_dir] [-f bpf_filter] [-s] [-v] [-h]

  -i interface     capture live from this interface
  -F file          read packets from an existing pcap file
  -o dir           directory to write reconstructed RTP streams to
  -f filter        BPF-style capture filter
  -s               save only streams with a recognized audio codec
  -v               verbose output
  -h               display this help and exit

Vue d’ensemble

rtpbreak identifie les flux média RTP (Real-time Transport Protocol) au sein d’une capture de trafic en inspectant uniquement le trafic lui-même : il n’a pas besoin de voir ou de comprendre la signalisation SIP/H.323 qui a établi l’appel. Cela le rend utile pour reconstruire des sessions audio VoIP dans les situations où la signalisation a été manquée, chiffrée, ou simplement hors périmètre, permettant à un auditeur d’extraire des appels interceptés d’un pcap pour lecture et analyse.

Utilisation courante

# Analyser le trafic en direct sur une interface
rtpbreak -i eth0

# Analyser un fichier pcap et écrire les flux reconstruits dans un répertoire de sortie
rtpbreak -F capture.pcap -o output/

# Appliquer un filtre de capture BPF (limiter à un sous-réseau d'intérêt)
rtpbreak -i eth0 -f "net 10.10.20.0/24" -o output/

# Sauvegarder uniquement l'audio extrait pour les flux avec des codecs reconnus
rtpbreak -F capture.pcap -o output/ -s

Conseils

• Les flux reconstruits sont enregistrés sous forme de fichiers audio bruts/.au par session dans le répertoire de sortie : convertir avec sox/ffmpeg pour une lecture facile
• Comme la détection est agnostique à la signalisation, elle fait aussi remonter du trafic RTP que d’autres outils VoIP manquent quand la négociation SDP n’a pas été capturée
• À associer avec sipdump/sipcrack quand à la fois les identifiants de signalisation et l’audio réel de l’appel sont dans le périmètre

rtpbreak [-i interface] [-F file.pcap] [-o output_dir] [-f bpf_filter] [-s] [-v] [-h]

  -i interface     capture live from this interface
  -F file          read packets from an existing pcap file
  -o dir           directory to write reconstructed RTP streams to
  -f filter        BPF-style capture filter
  -s               save only streams with a recognized audio codec
  -v               verbose output
  -h               display this help and exit