Automatisch 0900 gewählt?

[kluck]

Hi,

ich kriege seit 2 Tagen sehr merkwürdige Meldungen.

Meine extensions.conf sieht für den Anrufausgang so aus:

[Anrufausgang]

;VERBOTENE NUMMERN
exten => _019X.,1,MP3Player(/var/lib/asterisk/sounds/anderenummer.mp3) 
exten => _019X.,n,NoOp() 
exten => _019X.,n,Hangup

exten => _018X.,1,MP3Player(/var/lib/asterisk/sounds/anderenummer.mp3) 
exten => _018X.,n,NoOp() 
exten => _018X.,n,Hangup

exten => _090X.,1,MP3Player(/var/lib/asterisk/sounds/anderenummer.mp3) 
exten => _090X.,n,NoOp() 
exten => _090X.,n,Hangup

exten => _0137X.,1,MP3Player(/var/lib/asterisk/sounds/anderenummer.mp3) 
exten => _0137X.,n,NoOp() 
exten => _0137X.,n,Hangup

exten => _X.,1,System(echo "Es wurde ein externer Anruf von ${CALLERID(num)} an ${EXTEN} am `date` abgesetzt" > /tmp/asteriskmail)
exten => _X.,2,System(mail -s Anrufausgang [email protected] < /tmp/asteriskmail)
exten => _X.,3,SetCallerId,123456789e0
exten => _X.,4,Set(PROTOCOL=ALL)
exten => _X.,5,Dial(SIP/${EXTEN}@Anrufausgang,60,tr)
exten => _X.,6,Hangup

Seit einigen Tagen kriege ich folgende Mail ab und zu:
Es wurde ein externer Anruf von 300 an 009003101042 am Wed Aug 13 09:55:32 CEST 2008 abgesetzt

oder

Es wurde ein externer Anruf von 300 an 909003101042 am Wed Aug 13 19:32:37 CEST 2008 abgesetzt

Es gibt aber keinen Benutzer mit der Kennung 300.

Auch wurde bisher noch keine 0900er Nummer bei sipgate in Rechnung gestellt, so dass ich davon ausgehe, dass keine Nummer gewählt wurde.

Kann sich irgendwer diesen Fehler trotzdem erklären?

Danke für Eure Hilfe.

 

[kombjuder]

Kann sich irgendwer diesen Fehler trotzdem erklären?

Ja, du hast eine Möglichkeit, für einen Anruf reinzukommen.

Vermutlich hast du einen Kontext [default] oder in der sip.conf unter general einen Kontext eingetragen. Über einen dieser beiden Wege kann der Anruf reinkommen.

Du musst nun sicherstellen, dass ein Anrufer über diesen Weg nur interne Ziele erreicht.
Diesen Weg ganz zubauen ist meist nicht erwünscht, da dann keine ENUM- oder direkt-IP Calls mehr gehen.

Hier scheint übringens jemand gezielt nach offenen Asteriskservern zu suchen, ich hatte auch so ein Gespräch heute.
zudem wurde versucht, die Vorwahl 09 zu benutzen, was bei etlichen Anlagen als Amzskennziffer verwendet wird. Ausserdem ist in meinem Log ausser der 300 auch noch ein Name vermerkt.

Ergänzt:
Bitte doch einfach einen Freund dich via IP anzurufen, dann siehst du wie der Anruf reinkommt.

 

[kluck]

Darf ich noch fragen, wie ich sehen kann, wie der Anruf rein kommt?

Bin kein wirklicher Asterisk-Profi und bräuchte für solche Sachen noch etwas Hilfe bitte

Danke.

 

[kombjuder]

Darf ich noch fragen, wie ich sehen kann, wie der Anruf rein kommt?

Bin kein wirklicher Asterisk-Profi und bräuchte für solche Sachen noch etwas Hilfe bitte

Du gehst auf deine Asteriskkonsole mit asterisk-rvvvv

und dann wartest du auf den Anruf deines Freundes. Du kannst dann zuschauen, was Asterisk macht.

Wobei der Anruf als direkter ip-Anruf kommen muss, nicht über einen Provider oder mit registriertem Account.

 

[kluck]

Es kommt folgendes:

    -- Executing [123456789e1@ankommend:1] Answer("SIP/sipgate.de-4152ed28", "") in new stack
    -- Executing [123456789e1@ankommend:2] Set("SIP/sipgate.de-4152ed28", "TIMEOUT(digit)=2") in new stack
    -- Digit timeout set to 2
    -- Executing [123456789e1@ankommend:3] Set("SIP/sipgate.de-4152ed28", "TIMEOUT(response)=2") in new stack
    -- Response timeout set to 2
    -- Executing [123456789e1@ankommend:4] System("SIP/sipgate.de-4152ed28", "echo "Der Anrufer mit der Rufnummer anonymous hat  am `date` die Rufnummer 123456789 angerufen." > /tmp/asteriskmail") in new stack
    -- Executing [123456789e1@ankommend:5] System("SIP/sipgate.de-4152ed28", "mail -s Anrufbenachrichtigung [email protected] < /tmp/asteriskmail") in new stack
    -- Executing [123456789e1@ankommend:6] Dial("SIP/sipgate.de-4152ed28", "SIP/5551109&SIP/5553107|15") in new stack
    -- Called 5551109
[Aug 13 22:48:19] WARNING[27829]: app_dial.c:1183 dial_exec_full: Unable to create channel of type 'SIP' (cause 3 - No route to destination)
    -- SIP/5551109-083147a0 is ringing
  == Spawn extension (ankommend, 123456789e1, 6) exited non-zero on 'SIP/sipgate.de-4152ed28'

 

[Burmann]

Der Anrufer ist nicht in den context [Anrufausgang] gekommen. Nochmal mit IAX2 probieren.

und schau mal in "/var/log/asterisk/messages" vielleicht steht da was über einen dieser Anrufe drin. Ansonsten Verbose auf 4 setzen und auf den nächsten Versuch des Hackers warten.

 

[kombjuder]

Es kommt folgendes:


-- Executing [123456789e1@ankommend:1] Answer("SIP/sipgate.de-4152ed28", "") in new stack

Das ist ein ganz normaler Anruf über Sipgate. Der macht keine Probleme. Du brauchst einen unautorisierten Anruf.

Wenn du einen Kontext [default] in der extensions.conf hast, stelle ihn mal hier ein. Und deine sip.conf, ohne Accountnummern und Passworte.

Der Angreifer hat dir einen Sipanruf an 909003101042@deine ip geschickt. Der Anruf geht zur Bearbeitung in den Kontext [default] und wird dort, entsprechend der Regeln die dort hinterlegt sind, bearbeitet.

 

[kombjuder]

Hier scheint übringens jemand gezielt nach offenen Asteriskservern zu suchen, ich hatte auch so ein Gespräch heute.

In der Zwischenzeit sind weitere Anrufe aufgetaucht. Es werden "Amtskennziffern" probiert.
Ein Anfrage an google ergibt, dass es sich vmtl. um eine amerikanische 0900er Nummer handelt.

Nachdem ich einen freundlichen Asterisk habe, werden die Anrufe selbstverständlich beantwortet...

 

[kluck]

Daten

Hier mein Default-Kontext:

[default]

include => wake_up
include => echotest
include => mailbox
include => mailbox_own
include => benutzermenu
include => lokal
include => Anrufausgang
inclue => mailbox_direkt
inclue => wg_menu

Und hier meine sip.conf

[general]

context=default
port=5060
bindaddr=0.0.0.0
srvlookup=yes
qualify=no
allow=alaw
allow=alaw
allow=ulaw
allow=g729
allow=gsm
allow=slinear
canreinvite=yes
language=de
nat=yes
dtmfmode=auto




; --------------------------------------------------------------------

; RUFNUMMER 
register => 123456:[email protected]/123456



;_________________________________________________________________________

[Anrufausgang]
type=friend
insecure=very
nat=yes
username=123456e0
fromuser=123456e0
fromdomain=sipgate.de
secret=mysecret
host=sipgate.de
canreinvite=no
qualify=no

;_________________________________________________________________________





[Anrufeingang] 
type=peer
fromdomain=sipgate.de
host=sipgate.de
nat=yes
allow=alaw
allow=alaw
allow=ulaw
allow=g729
allow=gsm
allow=slinear
canreinvite=no
context=ankommend



; ---------------Konfiguration Endgeräte -----------------------------------------------------

;

; hier kommen die Anmeldekontexte für die SIP Endgeraete

[5551109]		: Endgeraet User01
callerid=User01 <5551109>
host=dynamic
username=User01
user=5551109
secret=mysecret
type=friend
mailbox=5551109
nat=yes
canreinvite=no
context=default

 

[kombjuder]

Hier mein Default-Kontext:

[default]
include => Anrufausgang

Jetzt brauche ich nur noch die ip deines Asteriskservers und dann kann ich auf deine Kosten überallhin telefonieren.

Laut deiner sip.conf gehen Anrufe für die es keinen Kontext gibt, nach default. In default ist Anrufausgang includet. Damit funktioniert ein Anruf 090012345@diene_IP.

Der Anruf landet im Kontext default weil es nichts anderes für ihn gibt. Durch das include Anrufausgang wird die Rufnummer zum Wählen an den Provider übergeben.


Also ändere mal folgendes in deiner

sip.conf
bei den usern machst du aus dem context=default ein context=intern

extensions.conf
du benennst den Kontext default in intern um.
Du machst einen neuen Kontext

[default]
include => lokal

oder du legst in default ein festes Ziel für eingehende Anrufe an:

exten => s,1,Dial(Sip/5551109) ;dein erster User

 

[kluck]

DANKE!! Habe es geändert und hoffe nun mal, dass nichts weiter passiert.

Habe in messages auch noch für diese Uhrzeit einen Eintrag gefunden.

[Aug 15 07:18:26] WARNING[16383] chan_sip.c: Maximum retries exceeded on transmission [email protected] for seqno 313 (Critical Response)

Kannst DU damit was anfangen?

 

[kombjuder]

Kannst DU damit was anfangen?

Die Gegenstelle antwortet nicht mehr, weil z.B. Verbindung abgebrochen ist.