【行业标准】 对支持SIP协议设备的安全性测试方法

ICS33.040
中华人民共和国通信行业标准
YD/T 2257-2011
对支持SIP协议设备的安全性测试方法The test methods of SiP protocol security2011-06-01 发布
2011-06-01实施
中华人民共和国工业和信息化部发布前言·
2规范性引用文件：
3缩略语·
5测试环境-
安金性测试项目·
6.1SIP协议漏洞测试
6.2SIP协议报文解析处理测试
6.3SIP 协议健壮性测试---
TTTKANTKACA
YD/T 2257-2011
YD/T2257-2011
本标准是对支持SIP协议设备的安全性系列标准之一。该系列标准的名称及结构如下：1.YDT2256-2011《对支持SIP协议设备的安全性技术要求：2.YD/T2257-2011《对支持SIP协议设备的安全性测试方法》。本标推由中国通信标推化协会提出井归口本标准起草单位：工业和信感化部电信研究院、中兴通讯股份有限公司、华为技术有限公司、大唐电信科技产业集团：
本标准主要起草人：下哲、陈勇、高新菊、姜晓宁，H
TTKANYKACA
1范围
对支持SIP协议设备的安全性测试方法YD/T2257-2011
本标准规定了对支持SIP协议设备进行SP协议安全性测试的具体测试方法，主要包括SIP协议漏洞测试、SIP协议报文解析处理测试、S卫P协议键壮性测试。本标准适用于支持SP协议的设备的测试。2规范性引用文件
下列文补对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。YD/T 1522.1-2006
3缩略语
会话初始协议（SP）技术要求第1部分：基本的会话初始协议下列缩略语适用于本文件。
4总则
Device Under Test
LinearWhitespace
Media Gateway
MediaGatewayControler
Session Initiation Protoco
被测设备
线性空格符
媒体网关
媒体网关控制器
会话初始化协议
本标准中提及的INVITE/REGISTER/CANCEL/BYE报文等涉及SIP协议本身的内容见YD/T1522,1-2006牛的定义，
5测试环境
测试环境如图1、图2所示。
MGC(DUT)
承规网缘
终端 1
测试仅
终端2
图1 测试环境 1
TTTKANTKACA
YD/T 2257-2011
6安全性测试项目
6.1SIP协议漏洞测试
6.1.1JNVITE享务处理能力测试
测试编号：
测试项目，
测试目的：
测试配置：
测试过程：
预期结果：
测试编号：
测试项目：
测试目的：
测试配置：
测试过程：
预期结果：
【承献网块
ur（群谱）
测试仪衰
图 2 测试环境 2
INVYITE事务处理能力测试
检避SIP协议设备能否抵御SIP客户伪装攻击如图 1 测试环境
1. 按图1测试环境连接设备：
2,SIP终端1、SIP终端2在DUT上注册，路端1呼叫终撇2，建立通话：3.在终端通话过程中，仪表以SIP终端1的焦色向DUT发送正常的INVTTE报文，试图重新建立新的会话
步骤3 中 DUT应能丢弃攻击者发出的 INVTTE请求抵文，不影响终端用户的正常通话4.1.1.2
INVTTE事务处理能力测试
检测 SIP 协议设备只识别所注册的 SIP 代理服务器或是 SIP 服务器发出的 INVITE消息报文
如图2测试环境
1.按图2测试环境连接设备：
2. SIP 终端 1、DUT (SP 终端 2）在 SIP 服务器上注册，终端 1 能够孵叫 DUT 并成功建立起会话；
3. 仪表以非所注册的 SIP 代理服务器或是 SIP 服务器的角色向DUT(SIP 终端 2）发送INVTTE报文,此时发送的 INVTTE报文中 Via 字段中为非注册的 SIP 代理服务器或是 SIP服务器地址或域名，试图建立 SIP终端1与DUT之间的会话步骤 3 中 DUT (SIP 终端 2) 应能丢弃攻击者发出的 INVTTE 请求报文，不能建立 SIP 终端I与DUT之间的会话
TTTKNTKACA
测试编号：
测试项目：
测试目的：
测试配置：
测试过程：
预期结果：
INVTTE事务处理能力测试
支持SIP协议的设备能抵御SIPloop攻击如图 1 测试环境
1.按图1测试环境连接设备：
2.SIP 终端1 在 SIP服务器（DUT)） 上注册成功：YD/T 2257-2011
3.SIP 终端 1 向 SIP 服务器（DUT）发起呼叫，呼叫的INVITE消息中的 request-uri 置为SIP服务器的P地址（在IMS 中可以是PCSCF、ICSCF、SCSCF或AS服务器的地址）示例:INVITE sip:Usemane@8.6.2.16 SIP/2.0其中8.6.2.16为ICSCF的P。试图让ivite消息在SIP服务器中实现振满，直至最大跳数回0，Max-Forwards：10o.从而消耗SIP服务器的资源SP服务器毛弃此类攻击报文惑响应4报文6.1.2FEGISTER事务处理能力测试测试编号：
测试项目：
测试目的：
测试配置：
测试过程：
预期结果：
测试编号：
测试项目：
测试目的：
测试配置：
测试过程：
预期结果：
REGISTER事务处理能力测试
检测SIP协议设备能否抵御 SIP注册劫持攻击 1如图1测试环境
1.按图1测试环境连接设备
2.SIP终端1、SIP终端2在DUT上注珊，终端1、终端2可以建立会话：3.议表以 SIP终端1的角色向DUT发送REGISTER报文，该报文Contact字段中的自的P地址被修改为非终端1的卫P地址步骤3中DUT应该能够拒绝REGISTER测试报文，抵御该类攻击4.1.2.2
REGISTER事务处理能力测试
检测SIP协议设备能否抵御SIP注册持攻击3如图1测试环境
1.按图1测试环境连接设备：
2. SIP 终端 1、SIP 终端2 在 DUT 上注册：终端 1、终端 2 可以建立会话：3.仪表以非注册终端IP地址身份向DUT发送REGISTER报文，该报文Expires学段为0，试图注销合法用户终端1
步骤3中DUT应该能够拒绝REGISTER测试报文，抵御该类攻击3
TTTKAONTKACA
YD/T 2257-2011
6.1.3CANCEL事务处理能力测试
测试编号：
测试项目：
测试目的：
测试配置：
测试过程：
预期结果：
CANCEL事务处理能力测试
检测 SIP协议设备能否抵御CANCEL破坏会话建立攻击如图1测试环境
1.按图1测试环境连接设备
2. SIP终端 1、SIP终端 2 在DUT 上注册，终端 1、终端2可以建立会话3.在终端通话过程中，仪表以 SIP终端1的角色向DUT发送CANCEL报文，该报文中包括不同的Cali-ID，试图非法中断SIP终端之间的正常会话步骤3中DUT应该能够拒绝伪造的CANCEL测试报文，抵御该类攻击6.1.4：BYE率务处理能力测试
测试编号：
测试项目：
试目的：
测试配置：
测试过程：
预期结果：
BYE 事务处理能力测试
检测SIP协议设备能否抵询SIP客户端伪装攻击如图1测试环境
1.按图1测试环境连接设备：
2. SP 终端 1、 SIP 终端 2 在 DUT 上注册,终端 1 呼叫终端 2,建立通话3. 在终端通话过程中，仪表以 SIP终端 1 的角色向 DUT 发送BYE报女，该抵文中包括不同的 Call-ID，试图中断 SIP终端之间的正常会话步彝3中DUT应能拒绝伪造的BYE测试报文，抵御该类攻击6.1.5对事务合法性识别的安全性要求测试编号：
测试项目：
测试目的，
测试配置：
测试过程：
预期结果：
验证事务合法性的测试
检测 SIP协议设备能否识别事务合法性，抵御来电显示欺骗或计费欺骗等攻击如图1测试环境
1.按图1测试环境连接设备：
2.SIP终端1、SIP终端2在DUT上注册，终端1能够呼叫终端2并建立会话3. SIP 终端 1 向 DUT 发送 INVTTE报文，该报文 FROM 字段是第三方终端号码、P 地址或是其他用户标识
步骤 3 中 DUT 应能拒绝或修正伪造的 INVTTE 测试报文，者修正则建立起终端 1、2 之间的会话
TTKANYKACA
6.2SIP协这报文解析处理测试
6.2.1有效消测试
6.2.1.1短小复杂的 INVITE请求测试编号：
测试项目：
测试目的：
测试配置，
测试过程：
预期结果：
短小复杂的 INVITE 请求
验证DUT对短小，复杂的INVITE请求的处理方式如图 1 测试环境
1.按图1测试环境连接设备：
YD/T2257-2011
2.测试仪表向DUT发送短小、复杂的 SIPINVTTE报文，报文中应该至少含有下列情况中的一种
1）头字段分行
2）包含引用中的转义字符：
3）包含空subjet
4）在管号、分号、头字段值和其它头字段之间包含LWS：5）逗号隔离参数和参教单独成列的头字段值，6）同一头字段名称长短混杂；
7）末知的Request-URI 参数;
8）未知的头字段：
9）未知头字段含有值，如果按照一般的语法，该值在语法上是无效的：10）非常规的头字段序列：
11）非常规的头字段名字符串：12）已知头字段的末知参数；
13）URI参数没有值：
14）头字段参数没有值;
15）整形域以0开头
在步骤2中，DUT认为测试仪表发送的测试报文有效，并执行协议报文命令TTTKANTKACA
YD/T 2257-2011
6.2.1.2报文中的有效字符
测试编号：
测试项目：
测试目的：
测试配置：
测试过程：
报文中的有效字符
验证DUT对报文中有效字符的处理如图 1 测试环境
1.按围1测试环境连接设备：
2.测试仪表向 DUT 发送含有各种有效字符的 SIP INVTTE报文，报文中应该至少含有下列情说中的一种：
1）请求URI包含不常见的，但是合法的字符：2）branch 套数包含所有 non-alpharum 字符3）To头字段值引证串包含引证对扩展，其中包括引证一个空字符4>From头字段的名字部分、未知的头字段参数或tag参数值中包含带有所有nuoi-alphanum字符的多重标记，
5）Call-ID头字段值含有non-alphanum字符：6）未知的头字段名字中带有 non-alphanum标记字符和 UTF8 而非ASCI 值预期结果：在步骤2中，DUT认为测试仪表发送的测试报文无效，不执行协议报文命令6.2.1.3有效使用%转义机制
测试编号：
测试项目：
测试目的：
测试配置：
测试过程：
预期结果：
有效使用%转义机制
验证DUT对含有有效使用%转义机制报文的处理见图 1 测试环境
1.按接图1测试环境连接设备。
2.测试仪表向DUT发送含有有效使用%转义机制SIP协议报文，报文中应该至少含有下列情况中的一种：
1）Request-URI的用户部分包含转义字符：2）From和To头字段的用户部分包含转义字符3）ContactURI在URI终数部分包含转义字符在步骤2中，DUT认为测试仪表发送的测试报文有效，并执行协议报文命令6.2.1.4在 URIS 中使用转义空字符测试编号：
测试项目：
测试目的：
测试配置：
测试过程：
在URI中使用转义空字符
验证 DUT 对在 URI 中使用转义空字符 SIP 协议报文的处理见图1测试环境
1.按照图1测试环境连接设备：
2.从测试议表向 DUT发送头字段 URIS中包含空字符的测试报文，例如，To和 From 头字段中带有转义空字符的REGISTER请求预期结果：在步骤2中，DUT认为测试仪表发送的测试报文有效，并执行协议报文命令6
TTTKONTKACA
6.2.1.5 在非转义标识时使用%
测试编号：
测试项目：
测试目的：
测试配置：
测试过程：
预期结果：
在非转义标识时使用%
验证被测设备对请求方法中%不是转义字符的境况下使用%的处理方式见图1测试环境
1.按图1测试环境连接设备：
YD/T 2257-2011
2.从测试仪表向DUT发送%不是转义宇符的情说下使用%的测试报文，含有以下情况：1)由于在%不是转义字符的情况下使用%，使得请求方法名未知：例如，“RE%47IST%45Rsip:registrar.example.comSIPr2.o\2）在To和From头字段的显示名字部分使用%，\%Z%45\不等同于%ZE：Fron: *%Z%45\ ;tag=f232jadfj23 \:3）Contact方法名中使用%，它不等同于Contact。例如,“C%6Fntact 在步2中，DUT认为测试仪表发送的测试报文无效，不执行协议报文命令6.2.1.6Dispname 与<之间有非 Lw符号测试编号：
测试项目：
测试目的：
测试配置：
测试过程，
预期结果：
显示名字和之间有非LWS符号的消息验证被测设备对测试报文中displayname与<之间存在非Lws符号的处理方式见图1测试环境
1.按照图1测试环境连接设备：
2.从测试仪衰向 DUT 发送的测试报文中，头字段中 displayname 与<之间有非 LWS 符号在步骤2中，DUT认为测试仪表发送的测试报文有效，并执行协议报文命令6,2.1.7在头字段中含有超长数值测试编号：
测试项目：
测试目的：
测试配置：
测试过程：
预期结果：
头字段中含有长度很大的字符数值验证DUT对测试报文中头字段中长度很大的字符、数值的处理方式将图1测试环境
1.按接照,国 1 测试环境连接设备2.从测试仪表向DUT发送头字段部分含有长字节值的SIP协议报文，该报文中应分别或和包括以下3种情况；
1）To头字段含有长度很大的显示名字，长度很大的URI参数名称和值，2）From头字段含有长度很大的参数名称和值，以及长度很大的tag标签：3） Call-ID 值很长
在步骤2中，DUT认为测试仪表发送的测试报文有效，并执行协议报文命令7
TTKANYKACA
YD/T 2257-2011
6.2.1.8UDP净荷中含有 SIP协设报文以外的穴余字节測试编号：
测试项目：
测试目的：
测试配置：
测试过程：
预期结果：
UDP净荷中含有SIP协议报文以外的亢余字节验证被测设备对Register请求中带有额外的余字节的处理方式见图1测试环境
1.按照图1测试环境连接设备：
2.从测试仪表向 DUT发送带有额外的几余字节的 SIP协议测试报文，额外的元余字节类似 SIP协议INVTTE报文
在步骤2中，DUT认为测试仪表发送的测试报文有效，并执行协议报文命令6.2.1.9URl user部分中存在分号分隔的参数测试编号：
测试项目：
测试目的：
测试配置：
测试过程：
预期结果：
LRI用户部分存在分号分隔的参数验证被测设备对测试报文中Request-URI 的 user部分食有分号的处理方式见图1测试环境
1.按照图1测试环境连接设备：
2.从测试仪表向DUT发送Request-URI user部分是分号分隔的测试报文在步骤2中，DUT认为测试仪表发送的测试报文有效，并执行协议报文命令6.2.1.10不符的，未知的传输协议测试编号：
测试项目：
测试耳的：
测试配置：
测试过程：
预期结果：
不符的、未知的传输类型
验证DUIT对含有不符的、未知的传输类型Via头字段的协议报文的处理见图1测试环境
1.按照图1测试环境连接设备：
2.从测试仪表向DUT发送SIP协议测试报文，该报文中Via头字段所标识的传输类型与实际不符或是未知
在步骤2中，DUT认为测试仪表发送的测试报文无效，不执行协议报文俞令6.2.1.11
异常原因短语
测试编号：
测试项目：
测试目的
测试配置：
测试过程：
预期结果：
异常原因短语
验证被测设备对响应消息中异常原因短语的处理方式见图1测试环境
1.按照图 1 测试环境连接设备:2.从DUT向测试仪表端口发送INYTTE请求：3.从测试仪表向 DUT发送200OK按文，并且原因短语含有除 OK 以外的异常字符在步骤3中，DUT认为测试仪表发送的测试报文有效，并执行协议报文命令6.2.1.12
愿因短语为空
测试编号：
测试项目：
测试目的：
测试配置：
测试过程：
预期结果：
原因短语为空
验证被测设备对原因短语为空的测试报文的处理见图1测试环境
1.按照图1测试环境连接设备；
2.从DUT向测试仪表端口发送INVITE请求：YD/T 2257-2011
3.从测试仪表端口向DUT原因短语为空的应消息，例如“SP/2.0100[10”在步骤3中，DUT认为测试仪表发送的测试报文无效，并不执行协议报文命令。只要消息结构正确，即使原因短语缺少的响应协设消息应被视为有效消息，但此时原因代码后的空格字符必须有
6.2.2无效消息测试
6.2.2.1无效的头字段分隔符
衡试编号：
测试项目：
测试目的：
测试配置，
测试过程，
预期结果：
无效的头字段分隔符
验证DUT对合有无效头字段分隔符的协议报文的处理方式见图 1 测试环境
1.按照图 1 测试环境连接设备;2.从测试仪表向DUT发送测试报文，其中一些头字段言有非分隔作用的分号和逗号。例如，*Via: SIP/2.0/UDP 192.0.2.15;\在步骤2中，DUT认为测试仪表发送的测试报文为非有效报文，不执行协议报文命令Cantent-Length头字段数值为负值测试编号：
测试项目：
测试目的，
测试配置：bzxZ.net
测试过程：
预期结果：
Content-Length头字段数值为负值验证被测设备对INVITE请求方法中 Content-Length头字段数值为负值的处理方式见图 1 测试环境
1.按照图1测试环境连接设备；
2.从测试仪表向 DUT 发送 INVTTE请求，Content-Length头字段数值为负值在步2中，DUT认为测试仪表发送的测试报文无效，不执行协议报文命令
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。