# SS7暗战：一条信令定位你 ## 概述 2025年6月，路透社调查报道系列《Hacking for the Republic》披露：墨西哥军方多年来利用七号信令网（SS7）的固有漏洞，对记者、活动人士和政界批评者的手机实施定位。无需木马、无需点击链接，几条信令就能把一部手机钉在地图上。这并不是孤例——从2014年正科技（Positive Technologies）的公开演示、2015年CBS《60分钟》直播黑掉美国议员手机，到历年多起短信验证码劫持盗刷案，SS7这个1980年设计的“全球信任网”，一直是移动网络安全最深的暗门。本文拆解SS7攻击的技术原理、五十年不改的结构性原因、Diameter与5G SBA是否真解决了问题，以及一个核心网老兵眼中的自查清单与AI防守新打法。 ## 目录 - 一、开胃菜：军方用什么定位了你 - 二、SS7是台什么机器：1980年的全球信任网 - 三、攻击面拆解：三步定位，两步截码 - 四、五十年不修：不是没钱，是没人敢动 - 五、Diameter与SBA：换了协议，没换脾气 - 六、AI进信令网：从规则过滤到异常发现 - 七、核心网老兵的自查清单 - 八、结论：最大的漏洞叫“信任” ## 一、开胃菜：军方用什么定位了你 2025年6月，据路透社调查报道披露，墨西哥军方一个长期运行的监控项目利用SS7信令网的漏洞，对记者、人权活动人士和政府批评者的手机进行持续定位。整个攻击不需要在手机上植入任何软件，被定位者不会收到任何提示，运营商侧如果缺乏针对性的信令审计，也很难察觉——因为在SS7的字典里，这些查询和正常漫游业务长得一模一样。 这不是SS7第一次登上头条。时间线可以拉得很长： - **2014年**：Positive Technologies研究员在公开会议上演示“SS7: Locate. Track. Manipulate”，仅凭一个手机号码，通过信令侧操作实现定位、截取短信和通话，全程不需要接触终端。 - **2015年4月**：CBS《60分钟》节目《Hacking Your Phone》中，Security Research Labs（SRLabs）的Karsten Nohl团队仅凭电话号码，实时定位并窃听了美国加州联邦众议员Ted Lieu的手机通话与短信。Lieu本人随后呼吁国会介入调查。 - **2017年**：Positive Technologies进一步发布了能在SS7网内自我复制的“蠕虫”式攻击研究（Metaphor），证明攻击可以像病毒一样在互连的信令网里横向扩散。 - **2017–2019年**：欧洲、拉美多起银行短信验证码（OTP）劫持盗刷案件被公开报道，攻击者通过信令侧手段截获受害者的银行验证码，绕过短信双因素认证。 - **2025年**：路透社的墨西哥调查把SS7攻击从“黑客炫技”和“银行盗刷”推到了国家行为体的语境里。 对一个跑了四十多年的核心网老兵来说，这些新闻最刺眼的地方不是“能被攻击”，而是**攻击的入口是全世界运营商自己建起来的那张信任之网**。你花大价钱把计费、鉴权、加密做进空口，却把管理面敞开给几百个你并不都认识的“邻居”。 ## 二、SS7是台什么机器：1980年的全球信任网 SS7（Signalling System No.7，七号信令）由ITU-T（当时的CCITT）自1980年起标准化（Q.400系列建议书），设计初衷很简单：把呼叫控制信令从话音信道里拆出来，单独走一张带外分组网，让电话接续更快、 trunk利用更高效。这个思路在今天看依然是天才设计——401、TUP、ISUP让全球电话网第一次实现了“信令对话”。 移动时代，SS7长出了自己的肌肉： - **MTP1–3 + SCCP + TCAP + MAP**：移动应用部分（MAP，3GPP TS 29.002的前身）承载了位置更新、鉴权向量获取、短信路由、漫游用户查询等一切“管理面”操作； - **ISUP**：承载呼叫接续； - **SCCP全局码（GT）寻址**：让信令可以跨网、跨国，按号码而非电路找节点。 正因为它生在一个“世界上只有少数国有电信运营商”的年代，SS7的默认假设是：**能给我发信令的，都是自己人**。没有对等认证、没有消息签名、没有加密——MAP消息是明文的，来源GT可以伪造，操作权限只取决于“你能不能把这条消息送进网”。 今天这张网有多大：全球七八百家移动运营商通过直连专线、GRX/IPX（GSMA IR.34定义的漫游互连IP承载网）以及国际信令转接点（ISTP）彼此互连。你手机一出国开机，归属HLR/HSS和拜访MSC/MME之间跑的还是这套逻辑——哪怕空口已经是5G。更关键的一点常被低估：**短信的全球路由至今仍深度依赖MAP**。只要银行验证码还走短信、只要还有国家在用2G网（覆盖、物联网、老年机），SS7就退不了休。2G/3G退网退的是无线侧，信令侧这张网会活得比很多人想象的久。 ## 三、攻击面拆解：三步定位，两步截码 SS7攻击的经典套路，本质上是对合法MAP操作的滥用。以“仅凭手机号码定位+截码”为例，流程如下： ```mermaid flowchart TD A["攻击者
伪装成运营商"] -->|"接入GRX或IPX"| B["全球SS7信令网"] B -->|"SRI-SM查询"| C["受害者归属HLR"] C -->|"返回IMSI与
拜访MSC地址"| A A -->|"PSI或ATI定位查询"| D["拜访地VMSC"] D -->|"返回所在小区
基站位置"| A A -->|"伪造UpdateLocation
谎报假MSC"| C C -->|"改签用户数据"| E["攻击者假MSC"] F["归属短信中心"] -->|"短信照常路由"| E E -->|"截取验证码
与通话信令"| A ``` 拆开看每一步在信令层的含义： **第一步：查号（SRI-SM）。** 攻击者向受害者归属HLR发送`sendRoutingInfoForSM`（SRI-SM）——这本是短信中心投递短信前的正常查询。HLR毫不设防地返回两个宝贝：受害者的IMSI，以及当前拜访MSC/VLR的地址。这一步等于告诉你“这个人在哪个国家的哪张网里”。大量防火墙对SRI-SM的放行策略过于宽松，因为“拦了怕影响短信投递”。 **第二步：定位（PSI/ATI）。** 拿到拜访MSC地址后，向该MSC发送`provideSubscriberInfo`（PSI），或直接用HLR侧的`anyTimeInterrogation`（ATI）——这两个操作本是为合法监听和客服查询设计的。返回结果里有当前驻留的小区识别（CGI），对照基站经纬度表，定位精度可以到几百米的城市街区级。路透社报道的墨西哥军方项目，用就是这个量级的技术。 **第三步：截码（假位置更新）。** 更狠的一步：向HLR发送伪造的`updateLocation`，谎称自己是受害者的新拜访MSC。HLR信以为真，把用户签约数据“插入”给攻击者的假MSC，后续来电、短信的寻呼路由都指向攻击者。银行OTP短信就这么被静默截走——受害者手机毫无异常，因为攻击者通常不需要“抢走”连接，只需要让短信“路过”自己。 **变体还有很多**：`purgeMS`可以把用户从HLR里“注销”，制造不可达；对`insertSubscriberData`滥用可以做恶意的呼叫前转；不同网络对同一操作的支持程度不一，防火墙规则一旦有漏网操作，攻击者就换一条路径绕行。这也是SS7防护最大的痛点——**你防的是几百种合法操作的非法使用，而不是一个明确的恶意载荷**。 值得强调：以上属于公开多年的研究结论，标准允许各厂家在过滤策略粒度、默认开关上有不同实现，具体行为以各厂家官方文档为准。 ## 四、五十年不修：不是没钱，是没人敢动 为什么一个公开了十多年的漏洞体系至今健在？四个结构性原因： **1. 信任模型是地基，拆了房子就塌。** SS7没有对等实体认证，等于“任何人自称谁都行”。要补认证，就得让全球几百家运营商、几十个转接商、若干国家级网关同步升级鉴权机制——任何一个环节掉队，整张网还是裸奔。这是典型的“最薄弱环节决定安全水位”。 **2. 漫游是真金白银，过滤规则不敢太紧。** MAP操作的合法场景和滥用场景高度重叠：SRI-SM可能是短信投递，也可能是定位攻击。防火墙规则收紧一档，轻则漫游用户收不到短信、投诉爆炸，重则国际接续异常。运维团队天然倾向“先保通，再谈安全”。 **3. 防火墙是猫鼠游戏。** GSMA在FS.11等网络安全指引中，把SS7攻击按危害分为四类：网络中断、计费欺诈、用户数据与位置泄露、通信内容窃听，并给出了分级防护建议。但行业实践表明，攻击者总能找到规则没覆盖的变体：你封了ATI，他走PSI；你按GT过滤，他伪造漫游伙伴的GT；你限速，他拆成低速慢扫。GSMA近年持续更新指引并推动IPX侧准入收紧（对接入实体做认证与合规审查），堵住了“随便谁都能进GRX”的粗放时代，但已接入实体的滥用仍是盲区——路透社报道的案例里，攻击流量很可能就是披着“某张合法网络”的外衣进来的。 **4. 安全投入看不见回报。** 信令防火墙、安全网关、日常审计，不产生一分钱收入。CFO看到的只有成本，看不到“没被打”的价值。直到上监管处罚、上头条，预算才会批——这是全世界运营商的通病。 ## 五、Diameter与SBA：换了协议，没换脾气 4G来了之后，很多人以为SS7的麻烦结束了。现实是Diameter（3GPP TS 29.272等）几乎逐字继承了SS7的信任模型：跑在SCTP上，承载S6a/S6d/S13等接口，用于漫游用户的鉴权、位置管理、设备检查。能进IPX的实体，照样可以向归属HSS发起位置更新类查询。SS7研究里那些套路，大部分在Diameter上换个消息名就能重演。5G SBA用HTTP/2 + TLS双向认证（3GPP TS 33.501）补上了认证和加密这两课，但只要网络还在做4G/2G互操作和传统漫游（N26接口、CSFB、SMS over MAP），旧世界的攻击面就还在。 | 维度 | SS7 / MAP | Diameter / S6a | 5G SBA（HTTP/2） | |---|---|---|---| | 设计年代 | 1980年代 | 2000年代（LTE） | 2017年起（R15+） | | 承载 | MTP/SCCP 或 SIGTRAN | SCTP over IP | TCP/TLS（HTTP/2） | | 对等实体认证 | 无 | 依赖IPX准入，协议级认证弱 | 强制双向TLS（TS 33.501） | | 消息加密 | 无（明文） | 可选IPsec（TS 33.210） | TLS标配 | | 典型滥用 | 定位、截码、假位置更新 | 定位、订阅数据窃取 | API滥用、NF仿冒（防护成熟度更高） | | 主要防护 | 信令防火墙、GT白名单 | 防火墙、IPsec、漫游伙伴治理 | 服务发现鉴权、切片隔离 | 结论很清楚：**SBA解决的是“5G域内”的认证问题，但2G/3G/4G存量互连是长期现实**。谁的网里还跑着MAP和Diameter对外接口，谁就还活在1980年的信任模型里。 ## 六、AI进信令网：从规则过滤到异常发现 传统信令防火墙的哲学是“规则匹配”，AI防守的哲学是“基线偏离”。这是Round 8最值得说的实战方向： - **无监督异常检测**：对每对GT（源-目的地）的MAP/Diameter操作类型、速率、时段分布建立基线，偏离即告警。定位攻击的典型指纹是“某外部GT突然开始对大量本网用户发SRI-SM+PSI组合”——规则写不全，但基线一比就看出来。 - **图分析**：把GT-GT-IMSI的查询关系建成图，攻击链（查号→定位→改签）会呈现出正常漫游业务没有的子图结构。社区发现算法能揪出“中间人”式的可疑转接路径。 - **蜜罐号段**：维护一批从不产生真实业务的号码，任何针对它们的信令查询必然是攻击。这个传统手法配上AI做自动取证，是目前成本最低、误报最低的“主动防御”。 - **大模型辅助分析**：让LLM读防火墙日志和月度漫游伙伴信令审计报告，自动聚类可疑模式、起草过滤规则供人工复核——生成规则必须人审，这在安全域没有争议。 需要说明：以上方向在行业里已有越来越多运营商和信令转接商部署，但公开的量化效果数据有限，属于趋势判断而非已验证的行业标准答案。GSMA的威胁情报共享机制（运营商标记可疑GT与攻击模式）也在把单点防守变成集体免疫。 ```mermaid flowchart TD G["外部信令
GRX或IPX"] --> H["信令防火墙"] H --> I["GT白名单"] H --> J["MAP操作分级过滤"] H --> K["速率限制与异常检测"] I --> L["核心网
HLR或HSS"] J --> L K --> L L --> M["AI审计平台
图分析与告警"] M -->|"可疑GT通报行业"| N["GSMA威胁情报
共享机制"] ``` ## 七、核心网老兵的自查清单 如果你在运营商管核心网或信令网，下面12条是我建议每个季度过一遍的实战清单： | # | 检查项 | 看什么 | |---|---|---| | 1 | SRI-SM来源审计 | 本网用户的SRI-SM是否只来自有业务关系的网络 | | 2 | UpdateLocation监控 | 假MSC攻击的第一现场，重点看来源GT与VLR号一致性 | | 3 | PSI/ATI调用画像 | 有无外部网对批量用户发起定位类查询 | | 4 | GT白名单收敛 | 白名单多久没清理了？注销的漫游伙伴还在不在表里 | | 5 | PurgeMS与鉴权向量请求 | 异常批量操作是“清场”类攻击前兆 | | 6 | 蜜罐号段 | 是否部署，命中告警是否有人值班处理 | | 7 | 短信Home Routing | 国际短信是否强制归家路由，绕过截码路径 | | 8 | IPX接入对账 | 转接商实际开放的信令关系是否与合同一致 | | 9 | 漫游伙伴威胁评分 | 按来源国/网络分级设置过滤严格度 | | 10 | 渗透测试 | 每年至少一次第三方SS7/Diameter红队测试 | | 11 | 告警到处置的闭环 | 发现可疑信令后，封禁动作多久能落地 | | 12 | 日志留存与还原 | 能否回放“过去72小时对某IMSI的全部信令操作” | 第12条最容易被忽视，却最致命：事后取证时拿不出完整的信令流水，等于永远不知道自己丢过什么。 ## 八、结论：最大的漏洞叫“信任” SS7的故事讲了十多年，剧本几乎没变过：研究者演示、行业震惊、运营商补几条防火墙规则、热度退去、下次继续。墨西哥军方的报道只是给这个老剧本换了一个更冷的结尾——**当攻击者从黑客变成国家机器，“概率性风险”就变成了“确定性武器”**。 作为老兵，我的三点判断： 1. **SS7不会死，只会换宿主**。2G退网退不掉短信路由，4G退不掉Diameter漫游，5G SBA的认证红利要等存量互连彻底收口才能兑现。信令安全是至少十年的持久战。 2. **规则防线到顶了，数据防线刚起步**。防火墙规则集再丰富，也追不上合法操作被滥用的组合爆炸。基线建模、图分析、蜜罐、行业情报共享，是把防守从“猜攻击”升级为“察异常”的唯一路径。 3. **对个人的建议朴素但有效**：重要账户别把短信验证码当唯一防线，能换 Authenticator 类动态口令就换。信令网的问题你解决不了，但你可以让自己少依赖它。 那张1980年织成的信任之网还在运转。它最大的设计缺陷不是哪条消息、哪个操作，而是“进来的人都是自己人”这个前提。修补这个前提，是全球几百张网共同的作业——而作业交得越晚，路透社式的头条就会越多。 ## 参考来源 1. [Reuters Investigates](https://www.reuters.com/investigates/) — 路透社调查报道栏目，《Hacking for the Republic》系列（2025年6月）揭露墨西哥军方利用SS7定位记者与批评者，本文案例部分主要依据该系列，细节以原文为准 2. [60 Minutes: Hacking Your Phone（CBS News，2015）](https://www.cbsnews.com/news/60-minutes-hacking-your-phone/) — Karsten Nohl团队直播演示仅凭电话号码攻破美国众议员Ted Lieu手机 3. [SS7: Locate. Track. Manipulate（Positive Technologies，2014）](https://blog.ptsecurity.com/2014/08/ss7-locate-track-manipulate.html) — 正科技SS7攻击原始研究：定位、跟踪、截码的完整信令操作演示；其2017年Metaphor蠕虫研究亦发布于同一博客 4. [Security Research Labs（SRLabs）](https://www.srlabs.de/) — Karsten Nohl创办的研究机构，SS7与移动网络安全研究的长期产出方 5. [3GPP TS 33.210（网络域安全 NDS/IP）](https://www.3gpp.org/dynareport/33210.htm) — 3GPP对IP承载信令的网络域安全规范，Diameter防护的标准依据；SS7/MAP标准见ITU-T Q系列建议书 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。