概述

2024年四季度起，一家监控公司的攻击工具在全球多个运营商网络里“隐身飞行”：它发出的信令消息看起来像正常话单查询，却能绕过各大运营商部署多年的SS7防火墙，直接查到用户的小区级位置。2025年7月，Enea威胁情报单元将其公开披露；同年10月，这套绕过工具被发现在黑市以5000美元“开箱即用”的价格叫卖。本文以这次真实攻击为切口，讲清楚三件事：SS7这套40多年前的信令体系为什么至今仍是移动网络的命门；一条短信验证码被千里之外截走的完整信令链路；以及作为核心网/信令工程师，你今天就该去检查自己网络的哪几道防线。

目录

• 一、一条会“隐身”的定位指令：TCAP扩展标签绕过
• 二、SS7：比互联网还老的“内部铁路”
• 三、三招典型攻击：定位、探路、劫持
• 四、修了十年没修好：攻防时间线与结构性困局
• 五、运营商侧的防御工事：四道防线
• 六、5G时代，SS7为何还在场
• 七、给核心网工程师的七条排查清单
• 结语

一、一条会“隐身”的定位指令：TCAP扩展标签绕过

先看这次最新的实战案例。据Enea威胁情报单元2025年7月披露（Cyber Security News、Daily Security Review等多家媒体跟进报道），一家监控供应商从2024年四季度开始，持续向全球多家移动网络发起位置追踪攻击。攻击的精妙之处不在“打了谁”，而在“怎么骗过防线”：

SS7网络里查用户位置，走的是MAP协议的PSI（ProvideSubscriberInfo）消息，消息体里要携带目标用户的IMSI。按ASN.1 BER编码规则，这个信息元素的标签（Tag）标准编码是 30 12 80 08。攻击者把它改写成扩展标签编码 30 13 9f 00 08——内容一字未变，只是Tag字段的编码方式从单字节扩展成了多字节。这种编码在ASN.1标准里是合法的，但40多年来的TCAP软件栈几乎从没见过它。

结果是什么？主流信令防火墙拿到这条消息后，IMSI字段解不出来。解不出IMSI，就没办法做最关键的那道校验——“这个用户是不是我本网用户？这个查询是不是来自它归属网络的合法节点？”校验做不了，防火墙就按老系统的宽容策略放行：只要消息路由得通，就让它走，解码交给端局。端局同样解不动，但它只管执行。位置数据就这么流回了攻击者手里。

Enea确认这是真实环境中的成功利用，不是实验室PoC。GSMA社区已收到通报并向运营商下发加固建议。更值得警惕的是后续进展：据Cyber Security News 2025年10月报道，这套绕过技术已经出现在非法交易市场，打包成“拦截+定位”的交钥匙服务，标价5000美元——攻击门槛从国家级实验室，降到了一台电脑加五千美元。

给信令工程师划一下重点：这次打的不是协议缺陷，是工程实现缺陷。ASN.1规则没被违反，被利用的是“40年没人这么编码”这个统计学事实，加上老系统“解不出就放行”的容错哲学。这两条凑在一起，就是绕过。

二、SS7：比互联网还老的“内部铁路”

要理解为什么一条改了两个字节的信令就能横扫全球，得回到SS7的出身。

SS7（7号信令系统）是ITU-T在1970-80年代定义的公共信道信令体系（Q.700系列建议），本来是给电话网用的：交换机之间建立、释放、管理呼叫，全靠它。移动时代，MAP协议骑在TCAP/SCCP/MTP这套栈上，负责漫游位置更新、短信路由、鉴权这些移动性管理。它的架构可以简化成下面这张图：

flowchart TD
    A["攻击者节点"] -->|伪造GT发起信令| B["国际信令转接商STP"]
    B -->|互信互连直接转发| C["目标运营商信令网关"]
    C --> D["信令防火墙"]
    D -->|正常MAP消息可解码| E["HLR或HSS"]
    D -->|畸形TCAP解不出IMSI| F["宽容策略放行"]
    F --> E
    E -->|PSI响应含小区级位置| C
    C --> B
    B --> A

理解它的两个设计基因，一切就通了：

第一，信任一切邻居。 SS7诞生的年代，全球就几十家国营电话公司，网间互连靠的是运营商之间签署的互信协议，协议本身没有对等认证、没有加密。消息里宣称自己是谁（Global Title路由），网络就信你是谁。这套“以名声担保”的模型被原样搬进了移动时代，而今天的互连对手不再只是同行，还有租用转接商线路的监控公司、情报机构和黑产。

第二，路由与业务一体。 TCAP/MAP把“怎么送到”和“送什么”绑在一起，Global Title既是地址又是身份。任何接入国际信令转接网的节点，理论上都能以任意GT身份向任何运营商的HLR发起查询。这不是漏洞，这是它的工作方式——1980年代这叫互联互通效率。

我在运营商做核心网的那些年，组里新人的第一课就是这句话：“信令网里没有陌生人这个概念。” SS7的麻烦，本质上是这个概念一直没被补上。

三、三招典型攻击：定位、探路、劫持

把40多年来公开披露的SS7攻击归纳一下，真正被实战反复使用的手法就三类。每一类都对应一条具体的MAP消息：

第二招“探路”值得一提：攻击者冒充一个合法短信中心（SMSC）的GT，向归属HLR发起SRI-SM（Send Routing Info for SM）查询，HLR会礼貌地回答“这位用户现在登记在某某VMSC”。这个地址本身不是验证码，但它是后续一切攻击的路标。

第三招是杀伤力最大的完整劫持链：2014年底31C3大会（Chaos Communication Congress）上，Karsten Nohl和Tobias Engel现场演示的正是这条路——攻击者架起一个假的MSC/VLR节点，用UpdateLocation消息把目标用户“漫游登记”到自己的假节点上，HLR照常下发签约数据。此后用户的呼叫和短信先到假节点，攻击者读完验证码、录完通话，再把业务中转回真实网络。用户手机信号满格、业务正常，毫无感知：

sequenceDiagram
    participant A as 攻击者假MSC
    participant H as 归属HLR
    participant N as 真实网络
    A->>H: UpdateLocation伪造漫游登记
    H->>A: 下发用户签约数据
    Note over A,H: 用户被悄悄漫游到假节点
    A->>N: 呼叫与短信经假节点中转
    N->>A: 银行验证码短信抵达假节点
    A->>N: 读取后原样转发回真实位置

2024-2025年的TCAP扩展标签绕过，属于第一招（PSI定位）的进化版：不是发明新消息，而是让老消息穿过新防线。

四、修了十年没修好：攻防时间线与结构性困局

SS7安全问题被摆上台面已经超过十年，为什么还没解决？先看时间线：

十年攻防下来，业界其实已经形成共识：这不是“打个补丁”能解决的事，而是三个结构性困局的叠加。

困局一：改不动协议。 SS7是全球漫游结算和互联互通的地基，任何协议级改造都意味着全球几百张网络同步升级，成本以十年计。业界选择的路线是“不动协议、加外围防御”——防火墙、路由策略、认证扩展，而这恰好给了攻击者研究防火墙的时间窗口。本次TCAP绕过就是对外围防御的精准反制。

困局二：归因比拦截难。 信令攻击不留下用户侧痕迹，运营商侧只有海量转接信令。一个恶意的Global Title背后可能是租用线路的空壳公司，关一个号，换一个号再来。行业只能靠情报共享和通报机制（GSMA的FSS体系，即反欺诈与安全组，其FS系列规范如FS.11、FS.31对互连安全提出要求）打游击，永远慢半拍。

困局三：收益严重不对称。 攻击者只要绕过一个运营商的一个防火墙实例就够用；防御方要守住全球每一个互连点、每一种编码边界情况。40年没人用过的TCAP扩展标签，攻击者用了，防御方就要为“40年没人用”这件事付出补课成本。2024年7月EFF在致FCC的公开信中把话说得很直白：运营商必须承认SS7是脆弱的，而不是继续用“主要影响2G/3G”的说法搪塞。

五、运营商侧的防御工事：四道防线

落到工程实践，一个移动网络对信令攻击的防御纵深大致是四道防线，本次TCAP事件对每一道都有新启示：

几条实操层面的心得：

第一，防火墙的默认策略必须从“放行”翻转为“拒绝”。 本次事件里，老系统“能路由就放行、解码交给端局”的宽容哲学是罪魁。工程上的对应动作是：凡是TCAP解码失败、IMSI字段缺失或不可读的MAP消息，一律阻断并告警，而不是尽力而为地转发。标准允许多种实现，各防火墙和信令栈对畸形消息的默认行为差异很大，具体行为以各厂家官方文档为准——这条要逐台核实，不能凭经验假设。

第二，GT白名单要活维护。 我见过太多网络的白名单是五年前割接时抄的一份静态清单，之后转接商换了三轮没人更新。白名单的生命周期管理（新增、吊销、季度复核）应纳入日常运维，而不是安全专项。

第三，给高频侦察设基线告警。 攻击者现在很克制：一天几十条PSI查询，专挑深夜，专挑转接链路。总量上看不见，但任何一个具体GT对PSI/ATI/SRI-SM的调用频次，和它签署的漫游/转接业务完全不匹配——这种“业务不相关”才是最强的异常信号，比绝对阈值好用得多。

第四，Home Routing是目前验证码保护的唯一“结构性”手段。 防火墙是概率防御，Home Routing是让SRI-SM探路本身失效：外部网问路由，回答的永远是归属网短信中心，真实VMSC地址从不出口。代价是时延、投资和国际协调，但对以短信验证码为命脉的金融类业务，这钱值得花。

六、5G时代，SS7为何还在场

有同行会问：我们都VoNR了，2G/3G都退网了，SS7是不是该进博物馆了？三个坏消息：

其一，互通即存在。 5G手机国际漫游时，与大量仍以传统方式组网的网络互通，MAP信令链路依然是全球移动性的通用语。只要有一个国际漫游伙伴还在用SS7承载互通业务，你的网络就得开着这扇门。Diameter接过了LTE/5G的信令担子，但它是同一个互信哲学换个端口——2026年4月CyberPress报道的全球追踪活动里，SS7和Diameter是并排出现的。

其二，攻击面在迁移而非消失。 短信从CS域走到VoLTE的SMS over NAS再走到5G，但“短信验证码”这个业务形态没变，攻击者打击的是业务不是空口。Home Routing和信令防火墙在5G互通架构里同样是必选项。

其三，攻击在商品化。 5000美元的交钥匙服务意味着客户群从国家级买家扩展到普通诈骗团伙——而验证码拦截正是通讯网络诈骗链条的核心能力。协议安全问题，正在直接转化为人人有份的财产安全和反诈问题。这也是EFF向FCC施压、监管机构持续过问的根本原因：行业自己的整改速度，已经追不上攻击能力的民主化速度。

七、给核心网工程师的七条排查清单

最后，把本文落到一张可以直接开工的清单上。以下七条，按优先级排序：

1. 核验信令防火墙对TCAP扩展标签（如 30 13 9f 00 08）的实际行为——用测试信令注入验证，别信配置说明，尤其确认“解码失败”分支的动作是阻断还是放行；
2. GT白名单全量复核：与转接商、漫游伙伴清单逐项对账，清理僵尸表项，建立季度复核机制；
3. 建立PSI/ATI/SRI-SM的来源-业务基线：对每个外部GT建立调用频次画像，"business-irrelevant"告警上线；
4. UpdateLocation双重校验：核验发起方漫游协议权限与用户归属关系，异常登记触发即时外呼/短信双通道确认，防止假MSC劫持静默生效；
5. 入境短信Home Routing覆盖检查：重点核对金融类短信（银行、支付）是否全部经由归属网短信中心，杜绝直投旁路；
6. 信令全量留存与回溯能力：确保任一IMSI的境外信令轨迹可在分钟级完成回查——归因慢，很大程度是查证工具慢；
7. 接入行业通报圈并演练：确认所在网络在GSMA FSS通报链路内，把“收到新绕过手法通报”到“规则全网生效”的时延做成KPI，本次TCAP事件从活跃利用到公开披露间隔约三个季度，你的响应窗口只能比它短。

结语

TCAP扩展标签绕过这件事，最讽刺的地方在于：攻击者没有发现任何新漏洞，他只是认真读了40年前定下的ASN.1编码规则，然后赌防御软件没读完。SS7的安全史，就是一部“互信时代的遗产”与“不互信时代的现实”反复碰撞的历史。协议不会重写，但每一次绕过手法曝光，都是对全网信令防线的一次免费红蓝对抗。5000美元的标价已经挂出来了，你网络里那道解不出IMSI就放行的老防线，最好别等到下一个季度巡检。

参考来源

1. Surveillance Company Using SS7 Bypass Attack to Track the User's Location Information — Cyber Security News — Enea披露的TCAP扩展标签绕过细节、编码对比与GSMA通报（2025年7月）
2. SS7 Alarm: TCAP Tag Exploit Lets Attackers Intercept SMS and Track Users — Daily Security Review — 绕过手法演化时间线、历史案例与黑市商品化（5000美元）报道（2025年10月）
3. Hackers Exploit SS7 and Diameter Protocols to Track Mobile Users Worldwide — CyberPress — 2026年SS7与Diameter全球追踪活动持续的分析
4. EFF to FCC: SS7 is Vulnerable, and Telecoms Must Acknowledge That — EFF — 公民社会对运营商"SS7仅影响旧网络"叙事的批评与监管施压
5. 31C3演讲 SS7: Locate. Track. Manipulate. — Chaos Communication Congress（Tobias Engel） — UpdateLocation假MSC劫持链路的经典公开演示（2014年12月，视频链接为大会公开录像常见转载源，未经二次核实请以CCCa官方片单为准）

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。