## 概述 2024年四季度起，一家监控公司的攻击工具在全球多个运营商网络里“隐身飞行”：它发出的信令消息看起来像正常话单查询，却能绕过各大运营商部署多年的SS7防火墙，直接查到用户的小区级位置。2025年7月，Enea威胁情报单元将其公开披露；同年10月，这套绕过工具被发现在黑市以5000美元“开箱即用”的价格叫卖。本文以这次真实攻击为切口，讲清楚三件事：SS7这套40多年前的信令体系为什么至今仍是移动网络的命门；一条短信验证码被千里之外截走的完整信令链路；以及作为核心网/信令工程师，你今天就该去检查自己网络的哪几道防线。 ## 目录 - 一、一条会“隐身”的定位指令：TCAP扩展标签绕过 - 二、SS7：比互联网还老的“内部铁路” - 三、三招典型攻击：定位、探路、劫持 - 四、修了十年没修好：攻防时间线与结构性困局 - 五、运营商侧的防御工事：四道防线 - 六、5G时代，SS7为何还在场 - 七、给核心网工程师的七条排查清单 - 结语 ## 一、一条会“隐身”的定位指令：TCAP扩展标签绕过 先看这次最新的实战案例。据Enea威胁情报单元2025年7月披露（Cyber Security News、Daily Security Review等多家媒体跟进报道），一家监控供应商从2024年四季度开始，持续向全球多家移动网络发起位置追踪攻击。攻击的精妙之处不在“打了谁”，而在“怎么骗过防线”： SS7网络里查用户位置，走的是MAP协议的PSI（ProvideSubscriberInfo）消息，消息体里要携带目标用户的IMSI。按ASN.1 BER编码规则，这个信息元素的标签（Tag）标准编码是 `30 12 80 08`。攻击者把它改写成扩展标签编码 `30 13 9f 00 08`——内容一字未变，只是Tag字段的编码方式从单字节扩展成了多字节。这种编码在ASN.1标准里是合法的，但40多年来的TCAP软件栈几乎从没见过它。 结果是什么？主流信令防火墙拿到这条消息后，IMSI字段解不出来。解不出IMSI，就没办法做最关键的那道校验——“这个用户是不是我本网用户？这个查询是不是来自它归属网络的合法节点？”校验做不了，防火墙就按老系统的宽容策略放行：只要消息路由得通，就让它走，解码交给端局。端局同样解不动，但它只管执行。位置数据就这么流回了攻击者手里。 Enea确认这是真实环境中的成功利用，不是实验室PoC。GSMA社区已收到通报并向运营商下发加固建议。更值得警惕的是后续进展：据Cyber Security News 2025年10月报道，这套绕过技术已经出现在非法交易市场，打包成“拦截+定位”的交钥匙服务，标价5000美元——攻击门槛从国家级实验室，降到了一台电脑加五千美元。 给信令工程师划一下重点：**这次打的不是协议缺陷，是工程实现缺陷**。ASN.1规则没被违反，被利用的是“40年没人这么编码”这个统计学事实，加上老系统“解不出就放行”的容错哲学。这两条凑在一起，就是绕过。 ## 二、SS7：比互联网还老的“内部铁路” 要理解为什么一条改了两个字节的信令就能横扫全球，得回到SS7的出身。 SS7（7号信令系统）是ITU-T在1970-80年代定义的公共信道信令体系（Q.700系列建议），本来是给电话网用的：交换机之间建立、释放、管理呼叫，全靠它。移动时代，MAP协议骑在TCAP/SCCP/MTP这套栈上，负责漫游位置更新、短信路由、鉴权这些移动性管理。它的架构可以简化成下面这张图： ```mermaid flowchart TD A["攻击者节点"] -->|伪造GT发起信令| B["国际信令转接商STP"] B -->|互信互连直接转发| C["目标运营商信令网关"] C --> D["信令防火墙"] D -->|正常MAP消息可解码| E["HLR或HSS"] D -->|畸形TCAP解不出IMSI| F["宽容策略放行"] F --> E E -->|PSI响应含小区级位置| C C --> B B --> A ``` 理解它的两个设计基因，一切就通了： **第一，信任一切邻居。** SS7诞生的年代，全球就几十家国营电话公司，网间互连靠的是运营商之间签署的互信协议，协议本身没有对等认证、没有加密。消息里宣称自己是谁（Global Title路由），网络就信你是谁。这套“以名声担保”的模型被原样搬进了移动时代，而今天的互连对手不再只是同行，还有租用转接商线路的监控公司、情报机构和黑产。 **第二，路由与业务一体。** TCAP/MAP把“怎么送到”和“送什么”绑在一起，Global Title既是地址又是身份。任何接入国际信令转接网的节点，理论上都能以任意GT身份向任何运营商的HLR发起查询。这不是漏洞，这是它的工作方式——1980年代这叫互联互通效率。 我在运营商做核心网的那些年，组里新人的第一课就是这句话：**“信令网里没有陌生人这个概念。”** SS7的麻烦，本质上是这个概念一直没被补上。 ## 三、三招典型攻击：定位、探路、劫持 把40多年来公开披露的SS7攻击归纳一下，真正被实战反复使用的手法就三类。每一类都对应一条具体的MAP消息： | 攻击手法 | 关键信令消息 | 能拿到什么 | 网络侧痕迹 | 主要防御手段 | |---|---|---|---|---| | 定位追踪 | ATI / PSI | 小区级位置、用户状态、IMSI激活情况 | 外部网高频位置查询 | GT白名单、IMSI归属校验、畸形PDU阻断 | | 短信探路 | SRI-SM | 用户当前登记的VMSC/MSC地址 | 冒充短信中心GT的路由查询 | 短信Home Routing、SMSC GT严格校验 | | 通话短信劫持 | UpdateLocation | 呼叫与短信整体中转旁听 | 异常漫游登记、呼叫建立时延增大 | 漫游协议校验、信令认证、异常登记告警 | 第二招“探路”值得一提：攻击者冒充一个合法短信中心（SMSC）的GT，向归属HLR发起SRI-SM（Send Routing Info for SM）查询，HLR会礼貌地回答“这位用户现在登记在某某VMSC”。这个地址本身不是验证码，但它是后续一切攻击的路标。 第三招是杀伤力最大的完整劫持链：2014年底31C3大会（Chaos Communication Congress）上，Karsten Nohl和Tobias Engel现场演示的正是这条路——攻击者架起一个假的MSC/VLR节点，用UpdateLocation消息把目标用户“漫游登记”到自己的假节点上，HLR照常下发签约数据。此后用户的呼叫和短信先到假节点，攻击者读完验证码、录完通话，再把业务中转回真实网络。用户手机信号满格、业务正常，毫无感知： ```mermaid sequenceDiagram participant A as 攻击者假MSC participant H as 归属HLR participant N as 真实网络 A->>H: UpdateLocation伪造漫游登记 H->>A: 下发用户签约数据 Note over A,H: 用户被悄悄漫游到假节点 A->>N: 呼叫与短信经假节点中转 N->>A: 银行验证码短信抵达假节点 A->>N: 读取后原样转发回真实位置 ``` 2024-2025年的TCAP扩展标签绕过，属于第一招（PSI定位）的进化版：不是发明新消息，而是让老消息穿过新防线。 ## 四、修了十年没修好：攻防时间线与结构性困局 SS7安全问题被摆上台面已经超过十年，为什么还没解决？先看时间线： | 时间 | 事件 | 说明 | |---|---|---| | 1970-80年代 | SS7体系定型 | ITU-T Q.700系列，互信模型写入基因 | | 2014年12月 | 31C3大会现场演示 | Nohl与Engel数分钟内完成定位、监听与短信拦截，举世哗然 | | 2017年 | 德国银行验证码拦截案 | 据《南德意志报》当年5月报道，攻击者利用运营商网络漏洞截取银行短信验证码盗取资金 | | 2018年 | Positive Technologies披露多起攻击活动 | SS7滥用从演示走向常态化 | | 2019年 | Global Opcode手法出现；英国Metro Bank曝出2FA绕过 | 绕过信令过滤的手法开始体系化 | | 2022年 | 扩展应用上下文、Long TCAP ID手法登场 | 从消息内容伪装进化到结构伪装 | | 2024年四季度 | TCAP扩展标签绕过开始实战 | Enea事后确认的活跃利用起点 | | 2025年7月 | Enea公开披露，GSMA全网通报 | 绕过IMSI过滤，直取位置数据 | | 2025年10月 | 绕过工具黑市叫卖5000美元 | 攻击能力商品化 | | 2026年4月 | 研究者报告SS7与Diameter追踪活动仍在全球持续 | 协议级威胁未见收敛 | 十年攻防下来，业界其实已经形成共识：这不是“打个补丁”能解决的事，而是三个结构性困局的叠加。 **困局一：改不动协议。** SS7是全球漫游结算和互联互通的地基，任何协议级改造都意味着全球几百张网络同步升级，成本以十年计。业界选择的路线是“不动协议、加外围防御”——防火墙、路由策略、认证扩展，而这恰好给了攻击者研究防火墙的时间窗口。本次TCAP绕过就是对外围防御的精准反制。 **困局二：归因比拦截难。** 信令攻击不留下用户侧痕迹，运营商侧只有海量转接信令。一个恶意的Global Title背后可能是租用线路的空壳公司，关一个号，换一个号再来。行业只能靠情报共享和通报机制（GSMA的FSS体系，即反欺诈与安全组，其FS系列规范如FS.11、FS.31对互连安全提出要求）打游击，永远慢半拍。 **困局三：收益严重不对称。** 攻击者只要绕过一个运营商的一个防火墙实例就够用；防御方要守住全球每一个互连点、每一种编码边界情况。40年没人用过的TCAP扩展标签，攻击者用了，防御方就要为“40年没人用”这件事付出补课成本。2024年7月EFF在致FCC的公开信中把话说得很直白：运营商必须承认SS7是脆弱的，而不是继续用“主要影响2G/3G”的说法搪塞。 ## 五、运营商侧的防御工事：四道防线 落到工程实践，一个移动网络对信令攻击的防御纵深大致是四道防线，本次TCAP事件对每一道都有新启示： | 防线 | 核心做法 | 拦得住什么 | 局限 | |---|---|---|---| | 信令防火墙 | GT白名单、消息类型过滤、IMSI归属校验 | 非授权来源的定位与路由查询 | 畸形编码可致过滤失效（本次案例正中此处） | | 严格解码策略 | 解码失败即阻断，拒绝malformed PDU | 各类结构伪装绕过 | 需升级信令栈，误伤风险要灰度验证 | | SMS Home Routing | 入境短信先落归属网短信中心，不向外部暴露VMSC路由 | SRI-SM探路与验证码外流 | 增加时延与建设成本，出境侧依赖对方部署 | | 信令审计与联防 | 全量信令留存、跨网异常比对、GSMA通报联动 | 慢速低频的长期侦察 | 事后为主，依赖情报共享速度 | 几条实操层面的心得： **第一，防火墙的默认策略必须从“放行”翻转为“拒绝”。** 本次事件里，老系统“能路由就放行、解码交给端局”的宽容哲学是罪魁。工程上的对应动作是：凡是TCAP解码失败、IMSI字段缺失或不可读的MAP消息，一律阻断并告警，而不是尽力而为地转发。标准允许多种实现，各防火墙和信令栈对畸形消息的默认行为差异很大，具体行为以各厂家官方文档为准——这条要逐台核实，不能凭经验假设。 **第二，GT白名单要活维护。** 我见过太多网络的白名单是五年前割接时抄的一份静态清单，之后转接商换了三轮没人更新。白名单的生命周期管理（新增、吊销、季度复核）应纳入日常运维，而不是安全专项。 **第三，给高频侦察设基线告警。** 攻击者现在很克制：一天几十条PSI查询，专挑深夜，专挑转接链路。总量上看不见，但任何一个具体GT对PSI/ATI/SRI-SM的调用频次，和它签署的漫游/转接业务完全不匹配——这种“业务不相关”才是最强的异常信号，比绝对阈值好用得多。 **第四，Home Routing是目前验证码保护的唯一“结构性”手段。** 防火墙是概率防御，Home Routing是让SRI-SM探路本身失效：外部网问路由，回答的永远是归属网短信中心，真实VMSC地址从不出口。代价是时延、投资和国际协调，但对以短信验证码为命脉的金融类业务，这钱值得花。 ## 六、5G时代，SS7为何还在场 有同行会问：我们都VoNR了，2G/3G都退网了，SS7是不是该进博物馆了？三个坏消息： **其一，互通即存在。** 5G手机国际漫游时，与大量仍以传统方式组网的网络互通，MAP信令链路依然是全球移动性的通用语。只要有一个国际漫游伙伴还在用SS7承载互通业务，你的网络就得开着这扇门。Diameter接过了LTE/5G的信令担子，但它是同一个互信哲学换个端口——2026年4月CyberPress报道的全球追踪活动里，SS7和Diameter是并排出现的。 **其二，攻击面在迁移而非消失。** 短信从CS域走到VoLTE的SMS over NAS再走到5G，但“短信验证码”这个业务形态没变，攻击者打击的是业务不是空口。Home Routing和信令防火墙在5G互通架构里同样是必选项。 **其三，攻击在商品化。** 5000美元的交钥匙服务意味着客户群从国家级买家扩展到普通诈骗团伙——而验证码拦截正是通讯网络诈骗链条的核心能力。协议安全问题，正在直接转化为人人有份的财产安全和反诈问题。这也是EFF向FCC施压、监管机构持续过问的根本原因：行业自己的整改速度，已经追不上攻击能力的民主化速度。 ## 七、给核心网工程师的七条排查清单 最后，把本文落到一张可以直接开工的清单上。以下七条，按优先级排序： 1. **核验信令防火墙对TCAP扩展标签（如 `30 13 9f 00 08`）的实际行为**——用测试信令注入验证，别信配置说明，尤其确认“解码失败”分支的动作是阻断还是放行； 2. **GT白名单全量复核**：与转接商、漫游伙伴清单逐项对账，清理僵尸表项，建立季度复核机制； 3. **建立PSI/ATI/SRI-SM的来源-业务基线**：对每个外部GT建立调用频次画像，"business-irrelevant"告警上线； 4. **UpdateLocation双重校验**：核验发起方漫游协议权限与用户归属关系，异常登记触发即时外呼/短信双通道确认，防止假MSC劫持静默生效； 5. **入境短信Home Routing覆盖检查**：重点核对金融类短信（银行、支付）是否全部经由归属网短信中心，杜绝直投旁路； 6. **信令全量留存与回溯能力**：确保任一IMSI的境外信令轨迹可在分钟级完成回查——归因慢，很大程度是查证工具慢； 7. **接入行业通报圈并演练**：确认所在网络在GSMA FSS通报链路内，把“收到新绕过手法通报”到“规则全网生效”的时延做成KPI，本次TCAP事件从活跃利用到公开披露间隔约三个季度，你的响应窗口只能比它短。 ## 结语 TCAP扩展标签绕过这件事，最讽刺的地方在于：攻击者没有发现任何新漏洞，他只是认真读了40年前定下的ASN.1编码规则，然后赌防御软件没读完。SS7的安全史，就是一部“互信时代的遗产”与“不互信时代的现实”反复碰撞的历史。协议不会重写，但每一次绕过手法曝光，都是对全网信令防线的一次免费红蓝对抗。5000美元的标价已经挂出来了，你网络里那道解不出IMSI就放行的老防线，最好别等到下一个季度巡检。 ## 参考来源 1. [Surveillance Company Using SS7 Bypass Attack to Track the User's Location Information — Cyber Security News](https://cybersecuritynews.com/ss7-bypass-attack/) — Enea披露的TCAP扩展标签绕过细节、编码对比与GSMA通报（2025年7月） 2. [SS7 Alarm: TCAP Tag Exploit Lets Attackers Intercept SMS and Track Users — Daily Security Review](https://dailysecurityreview.com/cyber-security/application-security/ss7-alarm-tcap-tag-exploit-lets-attackers-intercept-sms-and-track-users/) — 绕过手法演化时间线、历史案例与黑市商品化（5000美元）报道（2025年10月） 3. [Hackers Exploit SS7 and Diameter Protocols to Track Mobile Users Worldwide — CyberPress](https://cyberpress.org/hackers-exploit-ss7-and-diameter-protocols-to-track-mobile-users-worldwide/) — 2026年SS7与Diameter全球追踪活动持续的分析 4. [EFF to FCC: SS7 is Vulnerable, and Telecoms Must Acknowledge That — EFF](https://www.eff.org/deeplinks/2024/07/eff-fcc-ss7-vulnerable-and-telecoms-must-acknowledge) — 公民社会对运营商"SS7仅影响旧网络"叙事的批评与监管施压 5. [31C3演讲 SS7: Locate. Track. Manipulate. — Chaos Communication Congress（Tobias Engel）](https://www.youtube.com/watch?v=-UJhmQvMXTY) — UpdateLocation假MSC劫持链路的经典公开演示（2014年12月，视频链接为大会公开录像常见转载源，未经二次核实请以CCCa官方片单为准） --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。