3. SIP协议安全：从协议基础到攻击实战
各位好，今天我们聊SIP协议安全。说实话，SIP协议在核心网里太常见了——IMS、VoLTE、VoNR，哪个都离不开它。但正因为常见，攻击者也最爱拿它开刀。我这些年做安全评估，十次里有七八次都能碰到SIP层面的问题。
今天咱们就掰开揉碎，把SIP协议安全讲透。从协议基础开始，再到四种典型攻击手法。嗯，内容不少，但都是干货。
3.1 SIP协议基础：请求/响应与头域
SIP，全称Session Initiation Protocol，说白了就是用来建立、修改和终止多媒体会话的信令协议。它长得像HTTP，但比HTTP复杂得多。
先看SIP请求方法。常用的就这么几个：
| 方法 | 用途 | 我见过的坑 |
|---|---|---|
| REGISTER | 用户注册 | 注册劫持的重灾区 |
| INVITE | 发起呼叫 | 洪泛攻击最爱用这个 |
| ACK | 确认响应 | 容易被伪造 |
| BYE | 结束会话 | 可以强制拆线 |
| CANCEL | 取消请求 | 配合INVITE搞事情 |
| OPTIONS | 查询能力 | 信息泄露的入口 |
响应码也分六类，和HTTP很像：
- 1xx：临时响应（100 Trying, 180 Ringing）
- 2xx：成功（200 OK）
- 3xx：重定向（302 Moved Temporarily）
- 4xx：客户端错误（401 Unauthorized, 404 Not Found）
- 5xx：服务器错误（500 Server Internal Error）
- 6xx：全局错误（603 Decline）
我个人习惯把4xx和5xx当作重点监控对象。为什么？因为攻击者触发的大部分异常都会落在这两个区间。
头域才是SIP的灵魂。几个关键头域你得记住：
- From/To：标识主被叫，但注意——这个字段可以被伪造
- Call-ID：全局唯一标识一次会话，重复就出问题
- CSeq：序列号，防重放攻击的关键
- Contact：后续请求的地址，注册劫持就靠改这个
- Authorization：认证信息，但摘要认证也有弱点
- Via：记录路径，可以用于拓扑隐藏
重点提醒：SIP头域中，From、Contact、Route这三个字段是最容易被篡改的。我在项目中遇到过不止一次，攻击者把Contact改成自己的地址，然后所有呼叫都走他那里。
3.2 SIP注册劫持
注册劫持，说白了就是攻击者冒充合法用户向注册服务器发送REGISTER请求，把自己的Contact地址替换掉。这样一来，所有打给该用户的呼叫都会被路由到攻击者那里。
攻击流程是这样的：
- 攻击者监听或猜测用户的注册信息
- 伪造REGISTER请求，把Contact改成自己的IP
- 注册服务器更新位置信息
- 后续呼叫全部被劫持
我曾经在某个运营商的现网里发现过这个问题。当时用户投诉说打不通电话，一查才发现，他的SIP URI被注册到了三个不同的IP上——其中两个是攻击者的。嗯，这就是典型的注册劫持。
避坑指南：我曾经见过一个案例，攻击者利用注册劫持把某个高管的电话转接到自己的号码上，然后冒充高管进行诈骗。所以注册劫持不是技术问题，是实打实的安全事件。
防御手段：
- 强制使用摘要认证（但要注意nonce的时效性）
- 绑定IP地址和Contact（IMS里叫“隐式注册集”）
- 监控异常注册行为（同一用户短时间内多次注册）
- 使用TLS加密传输（防止中间人窃听）
3.3 SIP消息篡改与伪造
消息篡改和伪造，是SIP协议里最让人头疼的问题。为什么？因为SIP消息是明文传输的，除非你用TLS或者IPSec保护起来。
常见的篡改手法：
- 修改SDP体：把媒体流的IP和端口改成攻击者的，实现媒体劫持
- 修改头域：改From、To、Route，实现呼叫重定向
- 修改CSeq：破坏会话状态机，导致呼叫异常
- 插入恶意头域：比如插入多个Route头域，让信令绕路
伪造攻击更直接：
- 伪造BYE请求：强制终止别人的通话
- 伪造200 OK：让呼叫方以为对方已应答，实际上没人接
- 伪造CANCEL：取消正在建立的呼叫
你想想看，如果攻击者能伪造一个BYE请求，那你的通话随时可能被中断。我在做渗透测试时，就经常用这个手法来验证SIP服务器的消息完整性校验是否到位。
我的建议：在SIP网络中，一定要启用消息完整性校验。最简单的方式就是用TLS+双向证书认证。虽然会增加一些延迟，但比起被攻击的风险，这点代价完全可以接受。
3.4 SIP洪泛攻击
洪泛攻击，说白了就是发大量的SIP请求把服务器打瘫。这类攻击在VoLTE/VoNR网络里特别常见，因为核心网的处理能力是有限的。
常见的洪泛类型：
| 攻击类型 | 攻击方法 | 影响 |
|---|---|---|
| INVITE洪泛 | 大量伪造INVITE请求 | 耗尽会话处理资源 |
| REGISTER洪泛 | 大量伪造注册请求 | 数据库压力暴增 |
| OPTIONS洪泛 | 大量查询请求 | CPU过载 |
| BYE洪泛 | 大量拆线请求 | 正常通话被中断 |
我记得有一次，某个省份的IMS网络突然出现大量用户掉线。排查后发现，是攻击者从外网发起了INVITE洪泛，每秒几万个请求，直接把S-CSCF打挂了。嗯，这就是典型的洪泛攻击。
防御策略：
- 速率限制：对每个源IP限制每秒的请求数
- 黑白名单：信任的IP放行，可疑的IP直接丢弃
- 会话状态跟踪：异常状态的会话直接清理
- 分布式部署：用多个S-CSCF分担压力
- SBC防护：在边界部署会话边界控制器，做第一道防线
核心观点：洪泛攻击的防御，关键在于“早发现、快响应”。我建议在SBC和核心网之间部署流量分析系统，实时监控SIP消息的速率和分布。一旦发现异常，自动触发限流或封禁策略。
3.5 知识体系总览
下面这张图，是我梳理的SIP协议安全知识体系。你可以把它当作本章的思维导图：
这张图把SIP协议安全的四个核心维度都串起来了。你仔细看，其实所有攻击的根源都在于SIP协议本身缺乏足够的安全机制——明文传输、认证可选、头域可伪造。所以防御的核心思路就是：在SIP之上叠加安全层。
好了，关于SIP协议安全的内容就讲到这里。记住一句话：SIP协议本身是信任的，但网络环境是险恶的。我们做安全的人，就是要在这两者之间找到平衡点。