概述：2026年7月，英国《金融时报》披露：在2026年美伊冲突期间，伊朗政府利用移动通信信令系统 SS7 的安全漏洞，定位了驻中东美军人员的手机。一个诞生于1980年、本该只在运营商“ closed network ”内部跑的协议，为何至今仍是国家级行为体的定位武器？本文以该事件为主线，结合 Veritasium 科普视频与二十余年公开攻击案例，拆解 SS7 的信任模型缺陷、典型攻击链路，以及一线运维能落地的防御清单。

目录

• 一、一场战争，揪出四十岁的老协议
• 二、SS7是什么：电话网的神经系统
• 三、三步定位一个人：SS7攻击的标准链路
• 四、二十年攻击史：从学术演示到国家级武器
• 五、为什么四十年修不好
• 六、运维老兵的防御清单
• 七、结语：信令网，通信安全最隐秘的角落

一、一场战争，揪出四十岁的老协议

2026年7月14日，TechCrunch 报道了《金融时报》此前披露的一则消息：伊朗政府滥用移动网络的 SS7 信令漏洞，在2026年伊朗战争期间定位中东地区的美军人员。TechCrunch 在报道中评论称，这个协议“被情报机构滥用多年”。这是 SS7 漏洞首次被公开确认大规模用于战时军事目标定位——此前它更多出现在间谍活动、记者定位和银行盗刷案里。

需要说明的是，截至目前公开报道并未披露攻击的具体手法细节：涉及哪些国家的哪些运营商、定位了多少目标、定位精度到小区还是到经纬度，均无官方数据。但攻击的载体没有悬念——SS7，这套全球所有移动网络至今仍在用于漫游、短信路由和呼叫控制的七号信令系统。

对干了一辈子核心网的人来说，这个新闻最大的冲击不是“伊朗能定位美军”，而是那个反复被验证却反复被忽视的事实：全球电话网的神经系统，建立在一个“所有邻居都是好人”的假设之上。这个假设在 TDM 专线时代勉强成立，在信令全部跑上 IP 的今天，早已千疮百孔。

二、SS7是什么：电话网的神经系统

SS7（Signalling System No. 7，七号信令系统）由 ITU-T 在1980年黄皮书的 Q.7XX 系列建议中定义，1988年成为国际标准，其前身是贝尔系统上世纪70年代部署的共路信令（CCIS）。它解决的核心问题叫“带外信令”：在 SS6/SS5 时代，呼叫控制信息是靠语音通道里的多频音传送的——著名的“蓝盒子”攻击就是复刻这些音频信号冒充交换机发指令。SS7 把信令和话路彻底分离，用独立的信令链路承载呼叫建立、释放、号码翻译、短信路由等控制信息，蓝盒子从此失效。

它的协议栈大致是这么分的：

网络物理结构上是三类节点：业务交换点 SSP（交换机）、信令转接点 STP（信令路由器）、业务控制点 SCP（数据库，HLR 早期就挂在 SCP 上）。大网络普遍采用准直联模式——交换机之间的信令不直连，而是经过 STP 网转接，这样能大幅减少链路数量。每个节点用信令点码标识，每个用户号码用全局码（GT）寻址，STP 负责把 GT 翻译成下一跳路由。

后来 IETF 定义了 SIGTRAN 协议族（M3UA over SCTP 等），把 SS7 上层协议原封不动搬到 IP 网上跑。这一步对效率是巨大的提升，对安全则是灾难的开始——过去信令走的是运营商机房之间的 64k TDM 专线，物理上就不是你能摸到的；现在信令是 IP 包，而 IP 网是处处互通的。协议本身一个字节没改，信任边界却已经从“物理专线”塌缩成了“一张 IP 互联网上的君子协定”。

三、三步定位一个人：SS7攻击的标准链路

在讲攻击链之前，先分清事实与机理：伊朗攻击的手法细节未见披露，但 SS7 定位的原理是二十年来被反复演示的公开知识——2008年黑客 Tobias Engel 就在第25届混沌计算机大会（25C3）上做过 SS7 定位演示，2014年《华盛顿邮报》报道此类系统对全球手机用户的追踪成功率约达70%。

关键在于：MAP 协议里有一批本来是给运营商自己用的合法操作。比如 AnyTimeInterrogation（ATI，任意时间询问），设计用途是客服查询用户当前登记的交换机和状态；比如 SendRoutingInfoForSM（SRI-SM），设计用途是短信网关询问“这个用户的手机现在登记在哪台 MSC"，以便投递短信。这些操作没有设计成“只能本网调用”——在 SS7 的世界观里，能给你发信令的节点天然可信，因为能接入信令网的只有别的运营商。

攻击链大致是三步：

flowchart TD
    A["攻击者接入信令网<br/>租用漫游对端或GT资源"] --> B["伪造网元身份<br/>冒充合法MSC或网关"]
    B --> C["第一步: SRI-SM查询<br/>向被叫HLR要VMSC地址"]
    C --> D["HLR返回<br/>用户当前登记的MSC全局码"]
    D --> E["第二步: ATI或PSI查询<br/>向VMSC请求用户状态与位置"]
    E --> F["第三步: 返回结果<br/>小区ID甚至经纬度"]
    F --> G["定位完成<br/>据公开案例成功率约七成"]
    H["防御点1: 信令防火墙<br/>拦截异常MAP操作"] -.-> C
    I["防御点2: GT白名单<br/>拒绝陌生点码接入"] -.-> B
    J["防御点3: 异常频次监控<br/>同一号码反复被查即告警"] -.-> E

注意这个链条里没有任何一步是“漏洞利用”意义上的黑客行为——每个信令消息都是协议规定的合法操作，只是发起方不该有权限调用。这就是 SS7 问题最让工程师难受的地方：它不是 bug，是被辜负的信任。协议设计者的假设是“接入这张网的都是持牌运营商”，而当一个国家级行为体可以通过租用转售商、漫游伙伴甚至直接伪造信令点码接入时，整张网就变成了对所有人开放的查询接口。

四、二十年攻击史：从学术演示到国家级武器

把 2026 年的伊朗事件放进时间轴，会发现这不是孤例，而是一部持续二十年的“信任崩塌史”：

其中 2016 年 Telenor 事件值得运维同行多看一眼：那次不是隐私问题，而是可用性事故——大量异常信令直接把网络打出了不稳定状态，30% 的网络受影响。这提醒我们，SS7 防护不只是合规部门关心的“用户数据保护”问题，而是和信令风暴、STP 过载同一量级的网络安全问题。一次大规模的 SRI-SM 轰炸，效果上等同于一场针对 HLR 的 DDoS。

2024 年以来的事态升级还体现在另一个维度：美国众议院、国土安全部相继被卷入相关调查，FBI 在2025年4月针对相关黑客开出1000万美元悬赏——信令网安全已经从技术圈议题升格为国会听证级别的国家安全议题。

五、为什么四十年修不好

从2008年漏洞公开算起，行业有整整十八年时间去修，为什么修不好？我理解有四层原因，一层比一层难：

第一层：协议没有认证机制。SS7 的 MAP 消息里没有“发件人签名”这回事。SCCP 的CalledAddress/GT 就是路由地址，不是身份凭证。要在协议层加认证，等于重写全球信令网——没有任何标准化组织能做到这一点，3GPP 的路线是绕开：4G 时代的 Diameter 和 5G 的 SBA 从协议上引入了 IPsec/TLS 与证书体系（网络域安全 NDS/IP，3GPP TS 33.210；5G 安全架构 3GPP TS 33.501 中的 SEPP，通过 N32 接口做边界保护与消息级认证）。方向是对的，但 2G/3G 语音与短信的漫游依赖意味着 SS7 不可能退役——重耕频谱可以，重写全球信令不行。

第二层：商业互连的现实。全球几百个运营商、上千个 MVNO、无数转售商和国际信令转接商（通过 IPX 等互联网络交换信令），任何一环薄弱，全网皆弱。你的网络可以修成铜墙铁壁，但用户的漫游注册消息照样要发给世界上任何一个他可能漫游到的国家——而那个国家的某个小运营商，可能就是整条链路上最薄弱的一跳。2018年拉提法公主案里信号绕道泽西岛、喀麦隆、老挝，讲的就是这个“木桶效应”。

第三层：攻防成本极度不对称。防御方要在信令边界部署防火墙、维护 GT 白名单、监控每秒数十万条 MAP 消息的异常模式；攻击方只需要接入一个薄弱点。而且 SS7 攻击的痕迹天然稀薄——一条正常的 ATI 查询和一条恶意的 ATI 查询，在报文层面一模一样，区别只在“这个外国运营商为什么要查我网里的这个号码”。

第四层：检测能力的代差。很多运营商的信令监控还停留在链路利用率和 MTP 层错误统计，对 MAP 层的业务异常（一个从未给本网用户做过终接短信的境外点码突然开始发 SRI-SM）没有基线模型。这也是近年 AIOps 厂商把异常检测下沉到信令层的原因——不过工具再好，也得有人盯。

六、运维老兵的防御清单

以下是我按十八年核心网与信令网运维经验整理的实践建议，属于作者观点，供同行参考（标准允许多种实现，具体产品形态以各厂家官方文档为准）：

网元与边界侧：

1. 信令防火墙（SEPP/信令边界网关）必须前置。所有进出国际信令网的 MAP/Diameter 消息过墙，默认拒绝，按漫游协议白名单放行。没有墙的网络等于不设防。
2. GT 白名单+ 点码校验双管齐下。不只看 GT，还要核对底层 MTP 点码与 SCCP 主叫地址的一致性——伪造信令最常见的破绽就是两层地址对不上。
3. 给高危 MAP 操作单独设阈。ATI、ProvideSubscriberInfo、UpdateLocation 这类能拿位置和用户状态的操作，按“境外点码×本网用户”的二维基线监控，单用户短时间被多个境外点码反复查询，直接告警甚至动态拉黑。
4. HLR/HSS 的 SRI-SM 响应收敛。对可疑来源的短信路由查询，返回失败而非真实 VMSC 地址——攻击链的第一步就断掉。
5. 定期做信令面渗透测试。用现成的开源工具（Wireshark 配合 SS7 解码做检测、Snort 写规则）至少能覆盖基础检测，2018年3月就有公开的方法论文发表，别把信令面当成渗透测试的盲区。

漫游与商务侧：

6. 漫游对端安全审计写进协议。与漫游伙伴和信令转接商的协议里明确安全责任，定期交换防火墙策略基线——GSMA 的欺诈与安全工作组（FASG）多年推动的正是这类基线。
7. 自营国际出口最小化。能直连的漫游对端就别绕第三方转接，每少一跳，就少一个不可控环节。

终端与高价值用户侧：

8. 高敏感人员当“高价值目标”对待。军政人员、企业高管的号码应默认按 SS7 可被定位来设防：专用号卡、减少跨国漫游、重要通信用端到端加密应用。安卓端的开源工具 SnoopSnitch（需高通平台）能在部分攻击发生时给出告警，至少是个哨兵。2024年 Veritasium（Derek Muller）发布的《Exposing The Flaw In Our Phone System》把这套风险讲得很透，适合推荐给非技术背景的管理层看。

如果说这件事对我这样的老运维有什么最深的触动，那就是：我们习惯把“网络安全”理解为 IP 承载网的防火墙和核心网主机的补丁管理，而信令网这个真正承载着全球每个人位置与身份的平面，长期躺在安全预算的盲区里。伊朗不是第一个这么干的，也绝不会是最后一个——在 SS7 全面退役之前，这场围绕“君子协定”的攻防还会继续。

参考来源

1. Iran abused mobile networks' vulnerabilities to locate US military in the Middle East, report says — TechCrunch 2026年7月14日对FT报道的跟进，本文主轴事件的直接来源
2. US military targeted in Iran war phone-tracking campaign — Financial Times，2026年7月（付费墙，细节以FT原文为准，经由维基百科SS7词条引用可查证）
3. Signalling System No. 7 — SS7协议定义、历史沿革及历年安全事件引用汇总
4. Salt Typhoon — 对照参考：同期电信核心网APT入侵事件的时间线与披露文件
5. Exposing The Flaw In Our Phone System — Veritasium（Derek Muller），2024年9月，YouTube（频道地址）— SS7风险的权威科普视频

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。