SS7暗战：一条信令定位你

概述

2025年6月，路透社调查报道系列《Hacking for the Republic》披露：墨西哥军方多年来利用七号信令网（SS7）的固有漏洞，对记者、活动人士和政界批评者的手机实施定位。无需木马、无需点击链接，几条信令就能把一部手机钉在地图上。这并不是孤例——从2014年正科技（Positive Technologies）的公开演示、2015年CBS《60分钟》直播黑掉美国议员手机，到历年多起短信验证码劫持盗刷案，SS7这个1980年设计的“全球信任网”，一直是移动网络安全最深的暗门。本文拆解SS7攻击的技术原理、五十年不改的结构性原因、Diameter与5G SBA是否真解决了问题，以及一个核心网老兵眼中的自查清单与AI防守新打法。

目录

• 一、开胃菜：军方用什么定位了你
• 二、SS7是台什么机器：1980年的全球信任网
• 三、攻击面拆解：三步定位，两步截码
• 四、五十年不修：不是没钱，是没人敢动
• 五、Diameter与SBA：换了协议，没换脾气
• 六、AI进信令网：从规则过滤到异常发现
• 七、核心网老兵的自查清单
• 八、结论：最大的漏洞叫“信任”

一、开胃菜：军方用什么定位了你

2025年6月，据路透社调查报道披露，墨西哥军方一个长期运行的监控项目利用SS7信令网的漏洞，对记者、人权活动人士和政府批评者的手机进行持续定位。整个攻击不需要在手机上植入任何软件，被定位者不会收到任何提示，运营商侧如果缺乏针对性的信令审计，也很难察觉——因为在SS7的字典里，这些查询和正常漫游业务长得一模一样。

这不是SS7第一次登上头条。时间线可以拉得很长：

• 2014年：Positive Technologies研究员在公开会议上演示“SS7: Locate. Track. Manipulate”，仅凭一个手机号码，通过信令侧操作实现定位、截取短信和通话，全程不需要接触终端。
• 2015年4月：CBS《60分钟》节目《Hacking Your Phone》中，Security Research Labs（SRLabs）的Karsten Nohl团队仅凭电话号码，实时定位并窃听了美国加州联邦众议员Ted Lieu的手机通话与短信。Lieu本人随后呼吁国会介入调查。
• 2017年：Positive Technologies进一步发布了能在SS7网内自我复制的“蠕虫”式攻击研究（Metaphor），证明攻击可以像病毒一样在互连的信令网里横向扩散。
• 2017–2019年：欧洲、拉美多起银行短信验证码（OTP）劫持盗刷案件被公开报道，攻击者通过信令侧手段截获受害者的银行验证码，绕过短信双因素认证。
• 2025年：路透社的墨西哥调查把SS7攻击从“黑客炫技”和“银行盗刷”推到了国家行为体的语境里。

对一个跑了四十多年的核心网老兵来说，这些新闻最刺眼的地方不是“能被攻击”，而是攻击的入口是全世界运营商自己建起来的那张信任之网。你花大价钱把计费、鉴权、加密做进空口，却把管理面敞开给几百个你并不都认识的“邻居”。

二、SS7是台什么机器：1980年的全球信任网

SS7（Signalling System No.7，七号信令）由ITU-T（当时的CCITT）自1980年起标准化（Q.400系列建议书），设计初衷很简单：把呼叫控制信令从话音信道里拆出来，单独走一张带外分组网，让电话接续更快、 trunk利用更高效。这个思路在今天看依然是天才设计——401、TUP、ISUP让全球电话网第一次实现了“信令对话”。

移动时代，SS7长出了自己的肌肉：

• MTP1–3 + SCCP + TCAP + MAP：移动应用部分（MAP，3GPP TS 29.002的前身）承载了位置更新、鉴权向量获取、短信路由、漫游用户查询等一切“管理面”操作；
• ISUP：承载呼叫接续；
• SCCP全局码（GT）寻址：让信令可以跨网、跨国，按号码而非电路找节点。

正因为它生在一个“世界上只有少数国有电信运营商”的年代，SS7的默认假设是：能给我发信令的，都是自己人。没有对等认证、没有消息签名、没有加密——MAP消息是明文的，来源GT可以伪造，操作权限只取决于“你能不能把这条消息送进网”。

今天这张网有多大：全球七八百家移动运营商通过直连专线、GRX/IPX（GSMA IR.34定义的漫游互连IP承载网）以及国际信令转接点（ISTP）彼此互连。你手机一出国开机，归属HLR/HSS和拜访MSC/MME之间跑的还是这套逻辑——哪怕空口已经是5G。更关键的一点常被低估：短信的全球路由至今仍深度依赖MAP。只要银行验证码还走短信、只要还有国家在用2G网（覆盖、物联网、老年机），SS7就退不了休。2G/3G退网退的是无线侧，信令侧这张网会活得比很多人想象的久。

三、攻击面拆解：三步定位，两步截码

SS7攻击的经典套路，本质上是对合法MAP操作的滥用。以“仅凭手机号码定位+截码”为例，流程如下：

flowchart TD
    A["攻击者<br/>伪装成运营商"] -->|"接入GRX或IPX"| B["全球SS7信令网"]
    B -->|"SRI-SM查询"| C["受害者归属HLR"]
    C -->|"返回IMSI与<br/>拜访MSC地址"| A
    A -->|"PSI或ATI定位查询"| D["拜访地VMSC"]
    D -->|"返回所在小区<br/>基站位置"| A
    A -->|"伪造UpdateLocation<br/>谎报假MSC"| C
    C -->|"改签用户数据"| E["攻击者假MSC"]
    F["归属短信中心"] -->|"短信照常路由"| E
    E -->|"截取验证码<br/>与通话信令"| A

拆开看每一步在信令层的含义：

第一步：查号（SRI-SM）。 攻击者向受害者归属HLR发送sendRoutingInfoForSM（SRI-SM）——这本是短信中心投递短信前的正常查询。HLR毫不设防地返回两个宝贝：受害者的IMSI，以及当前拜访MSC/VLR的地址。这一步等于告诉你“这个人在哪个国家的哪张网里”。大量防火墙对SRI-SM的放行策略过于宽松，因为“拦了怕影响短信投递”。

第二步：定位（PSI/ATI）。 拿到拜访MSC地址后，向该MSC发送provideSubscriberInfo（PSI），或直接用HLR侧的anyTimeInterrogation（ATI）——这两个操作本是为合法监听和客服查询设计的。返回结果里有当前驻留的小区识别（CGI），对照基站经纬度表，定位精度可以到几百米的城市街区级。路透社报道的墨西哥军方项目，用就是这个量级的技术。

第三步：截码（假位置更新）。 更狠的一步：向HLR发送伪造的updateLocation，谎称自己是受害者的新拜访MSC。HLR信以为真，把用户签约数据“插入”给攻击者的假MSC，后续来电、短信的寻呼路由都指向攻击者。银行OTP短信就这么被静默截走——受害者手机毫无异常，因为攻击者通常不需要“抢走”连接，只需要让短信“路过”自己。

变体还有很多：purgeMS可以把用户从HLR里“注销”，制造不可达；对insertSubscriberData滥用可以做恶意的呼叫前转；不同网络对同一操作的支持程度不一，防火墙规则一旦有漏网操作，攻击者就换一条路径绕行。这也是SS7防护最大的痛点——你防的是几百种合法操作的非法使用，而不是一个明确的恶意载荷。

值得强调：以上属于公开多年的研究结论，标准允许各厂家在过滤策略粒度、默认开关上有不同实现，具体行为以各厂家官方文档为准。

四、五十年不修：不是没钱，是没人敢动

为什么一个公开了十多年的漏洞体系至今健在？四个结构性原因：

1. 信任模型是地基，拆了房子就塌。 SS7没有对等实体认证，等于“任何人自称谁都行”。要补认证，就得让全球几百家运营商、几十个转接商、若干国家级网关同步升级鉴权机制——任何一个环节掉队，整张网还是裸奔。这是典型的“最薄弱环节决定安全水位”。

2. 漫游是真金白银，过滤规则不敢太紧。 MAP操作的合法场景和滥用场景高度重叠：SRI-SM可能是短信投递，也可能是定位攻击。防火墙规则收紧一档，轻则漫游用户收不到短信、投诉爆炸，重则国际接续异常。运维团队天然倾向“先保通，再谈安全”。

3. 防火墙是猫鼠游戏。 GSMA在FS.11等网络安全指引中，把SS7攻击按危害分为四类：网络中断、计费欺诈、用户数据与位置泄露、通信内容窃听，并给出了分级防护建议。但行业实践表明，攻击者总能找到规则没覆盖的变体：你封了ATI，他走PSI；你按GT过滤，他伪造漫游伙伴的GT；你限速，他拆成低速慢扫。GSMA近年持续更新指引并推动IPX侧准入收紧（对接入实体做认证与合规审查），堵住了“随便谁都能进GRX”的粗放时代，但已接入实体的滥用仍是盲区——路透社报道的案例里，攻击流量很可能就是披着“某张合法网络”的外衣进来的。

4. 安全投入看不见回报。 信令防火墙、安全网关、日常审计，不产生一分钱收入。CFO看到的只有成本，看不到“没被打”的价值。直到上监管处罚、上头条，预算才会批——这是全世界运营商的通病。

五、Diameter与SBA：换了协议，没换脾气

4G来了之后，很多人以为SS7的麻烦结束了。现实是Diameter（3GPP TS 29.272等）几乎逐字继承了SS7的信任模型：跑在SCTP上，承载S6a/S6d/S13等接口，用于漫游用户的鉴权、位置管理、设备检查。能进IPX的实体，照样可以向归属HSS发起位置更新类查询。SS7研究里那些套路，大部分在Diameter上换个消息名就能重演。5G SBA用HTTP/2 + TLS双向认证（3GPP TS 33.501）补上了认证和加密这两课，但只要网络还在做4G/2G互操作和传统漫游（N26接口、CSFB、SMS over MAP），旧世界的攻击面就还在。

结论很清楚：SBA解决的是“5G域内”的认证问题，但2G/3G/4G存量互连是长期现实。谁的网里还跑着MAP和Diameter对外接口，谁就还活在1980年的信任模型里。

六、AI进信令网：从规则过滤到异常发现

传统信令防火墙的哲学是“规则匹配”，AI防守的哲学是“基线偏离”。这是Round 8最值得说的实战方向：

• 无监督异常检测：对每对GT（源-目的地）的MAP/Diameter操作类型、速率、时段分布建立基线，偏离即告警。定位攻击的典型指纹是“某外部GT突然开始对大量本网用户发SRI-SM+PSI组合”——规则写不全，但基线一比就看出来。
• 图分析：把GT-GT-IMSI的查询关系建成图，攻击链（查号→定位→改签）会呈现出正常漫游业务没有的子图结构。社区发现算法能揪出“中间人”式的可疑转接路径。
• 蜜罐号段：维护一批从不产生真实业务的号码，任何针对它们的信令查询必然是攻击。这个传统手法配上AI做自动取证，是目前成本最低、误报最低的“主动防御”。
• 大模型辅助分析：让LLM读防火墙日志和月度漫游伙伴信令审计报告，自动聚类可疑模式、起草过滤规则供人工复核——生成规则必须人审，这在安全域没有争议。

需要说明：以上方向在行业里已有越来越多运营商和信令转接商部署，但公开的量化效果数据有限，属于趋势判断而非已验证的行业标准答案。GSMA的威胁情报共享机制（运营商标记可疑GT与攻击模式）也在把单点防守变成集体免疫。

flowchart TD
    G["外部信令<br/>GRX或IPX"] --> H["信令防火墙"]
    H --> I["GT白名单"]
    H --> J["MAP操作分级过滤"]
    H --> K["速率限制与异常检测"]
    I --> L["核心网<br/>HLR或HSS"]
    J --> L
    K --> L
    L --> M["AI审计平台<br/>图分析与告警"]
    M -->|"可疑GT通报行业"| N["GSMA威胁情报<br/>共享机制"]

七、核心网老兵的自查清单

如果你在运营商管核心网或信令网，下面12条是我建议每个季度过一遍的实战清单：

第12条最容易被忽视，却最致命：事后取证时拿不出完整的信令流水，等于永远不知道自己丢过什么。

八、结论：最大的漏洞叫“信任”

SS7的故事讲了十多年，剧本几乎没变过：研究者演示、行业震惊、运营商补几条防火墙规则、热度退去、下次继续。墨西哥军方的报道只是给这个老剧本换了一个更冷的结尾——当攻击者从黑客变成国家机器，“概率性风险”就变成了“确定性武器”。

作为老兵，我的三点判断：

1. SS7不会死，只会换宿主。2G退网退不掉短信路由，4G退不掉Diameter漫游，5G SBA的认证红利要等存量互连彻底收口才能兑现。信令安全是至少十年的持久战。
2. 规则防线到顶了，数据防线刚起步。防火墙规则集再丰富，也追不上合法操作被滥用的组合爆炸。基线建模、图分析、蜜罐、行业情报共享，是把防守从“猜攻击”升级为“察异常”的唯一路径。
3. 对个人的建议朴素但有效：重要账户别把短信验证码当唯一防线，能换 Authenticator 类动态口令就换。信令网的问题你解决不了，但你可以让自己少依赖它。

那张1980年织成的信任之网还在运转。它最大的设计缺陷不是哪条消息、哪个操作，而是“进来的人都是自己人”这个前提。修补这个前提，是全球几百张网共同的作业——而作业交得越晚，路透社式的头条就会越多。

参考来源

1. Reuters Investigates — 路透社调查报道栏目，《Hacking for the Republic》系列（2025年6月）揭露墨西哥军方利用SS7定位记者与批评者，本文案例部分主要依据该系列，细节以原文为准
2. 60 Minutes: Hacking Your Phone（CBS News，2015） — Karsten Nohl团队直播演示仅凭电话号码攻破美国众议员Ted Lieu手机
3. SS7: Locate. Track. Manipulate（Positive Technologies，2014） — 正科技SS7攻击原始研究：定位、跟踪、截码的完整信令操作演示；其2017年Metaphor蠕虫研究亦发布于同一博客
4. Security Research Labs（SRLabs） — Karsten Nohl创办的研究机构，SS7与移动网络安全研究的长期产出方
5. 3GPP TS 33.210（网络域安全 NDS/IP） — 3GPP对IP承载信令的网络域安全规范，Diameter防护的标准依据；SS7/MAP标准见ITU-T Q系列建议书

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。