VoIP Hopper

Overview

VoIP Hopper exploits the fact that many networks auto-place IP phones into a separate voice VLAN based on discovery protocols like CDP (Cisco Discovery Protocol), DHCP options, or LLDP-MED. By impersonating a VoIP phone on those protocols, VoIP Hopper convinces the switch to hop a compromised host from the (usually more restricted) data VLAN into the voice VLAN — often a flatter, less-monitored segment with direct access to the phone system and sometimes the wider internal network.

Common Usage

CDP mode — sniff CDP traffic to learn the voice VLAN, then hop into it

voiphopper -i eth0 -c 0

Assessment mode — sniff and report the discovered voice VLAN without hopping

voiphopper -i eth0 -c 1

Spoof a specific known Cisco phone (uses its CDP fingerprint)

voiphopper -i eth0 -c 2 -E "SEP001EEEEEEEEE"

DHCP mode — use DHCP option 176/242 to discover the voice VLAN

voiphopper -i eth0 -c 3

Typical Workflow

# 1. Plug into a wall jack on the same segment as an IP phone (or its uplink)

2. Passive assessment first — confirm a voice VLAN exists and learn its ID

voiphopper -i eth0 -c 1

3. Actively hop into the voice VLAN

voiphopper -i eth0 -c 0

4. Once hopped, re-scan — the voice VLAN often has different (weaker) segmentation and access to VoIP infrastructure

nmap -sn <voice_vlan_subnet>

Tips

• Mode 0 (CDP sniff-and-hop) is the fastest path if the switch is actively sending/receiving CDP.
• Some environments use 802.1X on the voice VLAN too — VoIP Hopper alone won’t bypass authentication, only VLAN segmentation.
• A successful hop is a strong finding for a report: it demonstrates the voice VLAN isn’t actually isolated from an untrusted physical port.

voiphopper -i <interface> -c <mode> [options]

Modes (-c):
  0    CDP spoof and hop into discovered voice VLAN
  1    Sniff mode; discover voice VLAN without hopping (assessment)
  2    Spoof a specific Cisco phone via CDP (-E required)
  3    DHCP mode; use DHCP options to discover voice VLAN

Options:
  -i IFACE       Network interface to use
  -E DEVICE_ID   Cisco device ID to spoof (e.g. SEP<mac>)
  -v             Verbose output
  -d             Enable debug output
  -h             Show help

Vue d’ensemble

VoIP Hopper exploite le fait que de nombreux réseaux placent automatiquement les téléphones IP dans un VLAN voix séparé en se basant sur des protocoles de découverte comme CDP (Cisco Discovery Protocol), les options DHCP, ou LLDP-MED. En se faisant passer pour un téléphone VoIP sur ces protocoles, VoIP Hopper convainc le switch de faire basculer un hôte compromis du VLAN data (généralement plus restreint) vers le VLAN voix, souvent un segment plus plat et moins surveillé avec un accès direct au système téléphonique et parfois au reste du réseau interne.

Utilisation courante

# Mode CDP : sniffer le trafic CDP pour apprendre le VLAN voix, puis basculer dedans
voiphopper -i eth0 -c 0

# Mode évaluation : sniffer et rapporter le VLAN voix découvert sans basculer
voiphopper -i eth0 -c 1

# Usurper un téléphone Cisco connu spécifique (utilise son empreinte CDP)
voiphopper -i eth0 -c 2 -E "SEP001EEEEEEEEE"

# Mode DHCP : utiliser l'option DHCP 176/242 pour découvrir le VLAN voix
voiphopper -i eth0 -c 3

Workflow type

# 1. Se brancher sur une prise murale sur le même segment qu'un téléphone IP (ou son uplink)

Étape 2 : évaluation passive d’abord : confirmer qu’un VLAN voix existe et apprendre son ID

voiphopper -i eth0 -c 1

Étape 3 : basculer activement dans le VLAN voix

voiphopper -i eth0 -c 0

Étape 4 : une fois basculé, rescanner : le VLAN voix a souvent une segmentation différente (plus faible) et un accès à l’infrastructure VoIP

nmap -sn <voice_vlan_subnet>

Conseils

• Le mode 0 (sniff-and-hop CDP) est le chemin le plus rapide si le switch envoie/reçoit activement du CDP.
• Certains environnements utilisent aussi 802.1X sur le VLAN voix : VoIP Hopper seul ne contournera pas l’authentification, seulement la segmentation VLAN.
• Un basculement réussi est un finding fort pour un rapport : il démontre que le VLAN voix n’est en réalité pas isolé d’un port physique non fiable.

voiphopper -i <interface> -c <mode> [options]

Modes (-c):
  0    CDP spoof and hop into discovered voice VLAN
  1    Sniff mode; discover voice VLAN without hopping (assessment)
  2    Spoof a specific Cisco phone via CDP (-E required)
  3    DHCP mode; use DHCP options to discover voice VLAN

Options:
  -i IFACE       Network interface to use
  -E DEVICE_ID   Cisco device ID to spoof (e.g. SEP<mac>)
  -v             Verbose output
  -d             Enable debug output
  -h             Show help