安全杂谈 | 是什么绑架了你的手机？ – 作者:网络安全通

前言

之前我们说到有人晚上发现手机突然没有了信号，睡醒时就发现收到了一堆短信，接下来，手机里的钱就不翼而飞了，之前的实验说明是利用伪基站进行的。伪基站这个东西很老了，但是最近又有一些不法分子利用它谋取钱财的时间进入了公众的视野。

那么，什么是伪基站呢？

伪基站就是假基站，是伪装成运营商合法基站的非法通信设备。它利用通信网络的一些技术漏洞，劫持正常用户的手机通讯，骗取用户信息，强行发送广告、诈骗等信息，以此达到非法目的。

那么，伪基站到底长什么样？它是如何工作的？

首先，我们先从了解真假基站开始说起吧。

真基站和伪基站，分别是什么样？

从二十世纪八九十年代开始，我们的手机通信从1G（大哥大）一路发展到现在的4G。

因为投资成本等客观原因，新技术投入使用后，旧技术无法立刻淘汰。因此，很长一段时间内，会新旧技术共存。

就像现在，我们同时在使用2G、3G、4G技术。而我们的手机，也同时支持三代网络。

而问题，就出在技术最落后的2G网络身上。

我们的2G，包括GSM和CDMA这两种技术。中国移动和中国联通的2G，使用的是GSM。而中国电信的2G，使用的是CDMA。

CDMA因为本身拥有快速切换功率控制、伪随机码、扩频通信等技术，所以安全性很好，保密性很强，基本上免疫了“伪基站”的威胁。

但是，GSM就不行了，它的安全性很差，是伪基站的重点攻击对象。尤其是GSM网络的短信业务，更容易遭受攻击。

真的基站从广义和狭义的角度来说：

广义的基站是基站子系统（BSS，BaseStation Subsystem）的简称。以GSM网络为例，包括基站收发信机（BST）和基站控制器（BSC）。一个基站控制器可以控制十几以至数十个基站收发信机。而在WCDMA等系统中，类似的概念称为NodeB和RNC。

狭义的基站即公用移动通信基站是无线电台站的一种形式，是指在一定的无线电覆盖区中，通过移动通信交换中心，与移动电话终端之间进行信息传递的无线电收发信电台。

基站是由移动通信经营者申请设置的。

看完真基站，再来看看伪基站到底长什么样吧。

伪基站即假基站，设备一般由主机和笔记本电脑或手机组成，通过短信群发器、短信发信机等相关设备能够搜取以其为中心、一定半径范围内的手机卡信息，利用2G移动通信的缺陷，通过伪装成运营商的基站，冒用他人手机号码强行向用户手机发送诈骗、广告推销等短信息。

在笔记本电脑上一般会安装伪基站的配置软件。

在工程模式下，可以查看网络信息和相关的一些参数，通常只有工程师才会用到。

从本质上来说，伪基站是基于开源的软件无线电（SDR）项目进行设计的，遵循的是USRP（通用软件无线电外设）规范。这个项目本身是好的，可惜被坏人利用了。

划重点：制造和销售伪基站在我们国家是违法行为。

但是，伪基站能带来丰厚的利益回报，所以即使违法，仍然有很多人从事伪基站的研发和制造。利用正常渠道交易是不可能的，不法分子一般都是通过地下黑产（黑色产业）进行购买。

不法分子购买伪基站之后，会将伪基站放置在汽车后备箱，或者旅店、商业街等人员流动较多的场所，实施流动攻击。

随着伪基站技术的不断升级，甚至还出现了很多“背包式”伪基站——一个背包就能装下整个伪基站，流动性更大，更难排查。

伪基站的工作原理

接下来，我们来看伪基站的具体攻击过程.

伪基站的攻击一共包括了4个步骤：

1、监听与伪装

2、吸入手机

3、发送短信

4、踢出手机

第一步：监听与伪装

首先，攻击者会使用一部工程手机，获取当前环境下运营商的网络信息（包括LAC、CI、频点、场强等）。

获取了合法网络的信息之后，攻击者会将伪基站的相关参数设置成和合法基站一样。这样，就算是完成了自己的伪装。

第二步：吸入手机

接着，攻击者把伪基站的发射功率调大。当信号功率足够大时，用户手机就被“吸”过去了——手机以为自己进入了新的位置区，然后触发位置更新请求（Location Update），连入伪基站。

伪基站收到用户手机的位置更新请求后，向用户手机下发标示请求，获取用户手机的TMSI（临时识别码），IMSI（用户识别码），还有IMEI（设备识别码）。就像是伪基站假扮了警察说要查你的证件。这个地方就是问题的关键了——这些关键信息，为什么伪基站去找手机要，手机就愿意给呢？这是由GSM的自身设计决定的。

GSM是一个单向鉴权网络。网络可以鉴定手机是不是合法的，但手机并不能鉴定网络是不是合法的。所以，手机无法有效保护自己的信息。

当用户手机提交信息给伪基站之后，伪基站当然不会真正给用户鉴权。伪基站直接判定用户“合法”。但是对用户手机的劫持就已经完成了。

第三步：发送短信

然后就是发送“假短信”了。

第四步：踢出手机

坏事一旦干完，伪基站就要想办法脱身。如果长时间劫持手机通讯，一定会被用户发现。这也是为什么现在很多坏人喜欢在晚上搞劫持——因为用户在睡觉，不容易察觉。

脱身就很简单了。伪基站会修改更新自己的LAC（位置区）信息，并广播。用户手机发现LAC变化，于是再次发起位置更新。伪基站如果判断手机的IMSI是已经骗过的，那么，拒绝再次接入。用户手机重选，接入正常的合法基站。

当然，伪基站经常处于移动状态。如果伪基站的信号不再覆盖用户手机，用户手机也会正常回到合法基站的怀抱。

以上，就是伪基站的完整攻击过程，一般持续时间不长，只有几十秒。

目前，伪基站的主要攻击对象是GSM网络，尤其是900MHz这个频段范围的GSM网络。

是不是4G就绝对安全了呢？也不是，4GLTE也存在安全隐患。

因为安全级别变高，4G伪基站无法像2G一样，直接攻击用户手机或网络。它只能利用有限的手段，骗取极少量的信息，例如IMSI。或者，也有不法分子，利用4G伪基站，压制合法4G基站，将用户“逼”到2G伪基站里。

总的来说，4G比2G要安全很多。至于5G，就更厉害了，不仅完全杜绝了伪基站的攻击，甚至还有寻获伪基站的功能。

伪基站的防御

那么，作为我们普通用户，如何判断自己是否遭到伪基站的攻击呢？

一般来说，手机出现以下现象，有可能代表正在遭受伪基站攻击：

1、手机信号强度飘忽不定。

2、在正常情况下，手机莫名其妙回落到2G网络。

3、手机收到大量的可疑短信。

4、手机有信号，但是无法拨打和接听电话，无法上网。

对于运营商来说，如果有伪基站肆虐，也会发现一些端倪：

1、用户脱网率无故上升。

2、部分基站发生可疑拥塞（因为伪基站会触发大量的位置更新消息）。

3、用户信号质量投诉陡然增加。

*本文作者：网络安全通，转载请注明来自FreeBuf.COM

来源：freebuf.com 2018-10-21 09:00:24 by: 网络安全通