浅谈 SS7 攻击：窥探隐私的利器

一个可进行电话拦截、短信窃取和位置跟踪的强大漏洞的背后，是一颗隐藏在华丽大厦身后的定时炸弹。

本文目录

序言

自 1991 年芬兰 Radiolinja 运营商 (也就是现如今的 Elisa) 发布 GSM 标准开始，移动通信正式拉开商用使用的帷幕，现如今，移动通信已然成为我们日常生活中最不可或缺的一部分。

随着时代的发展，通信网络的终端设备已经从 “大哥大”、小灵通、BP机等时代的眼泪，逐渐进化到功能更强、通话更清晰的智能手机。

而 VoLTE、VoNR、eSIM 等新兴通信电话技术逐渐普及开来，移动通信看起来已经建成了一座伟岸的现代通信网络大厦。

然而，在这看似华丽完善的大厦背后，却暗里隐藏着一个定时炸弹。本文笔者将浅析 SS7 攻击的原理、影响以及我们应该如何防范。

历史背景

上世纪 80 年代，为提高通话路由和漫游的效率，SS7（七号信令系统）应运而生。

七号信令系统 (SS7，Signaling System Number 7, 标准名为 Q.700) 是一种被广泛应用在公共交换电话网、蜂窝通信网络等现代通信网络的共路信令系统。七号信令系统是国际电信联盟推荐首选的标准信令系统。

为了实现电信业务的互联互通，不同通信运营商之间，特别是不同国家的运营商之间都会采用七号信令系统控制运营商之间业务交换的过程。许多的通信运营商也在自己的通信网络里面使用七号信令系统实现计费、漫游或者其他电信业务。

:: 5pys5paH5L2c6ICF77yaSGF0J3MgQmxvZywgd3d3LGhhdHMtbGFuZC5jb20 ::

实现原理

SS7 被设计为多层理论模型，对应的有实现了 OSI 七层网络参考模型的物理层、数据链路层、网络层和应用层。

SS7 最初是专为电信运营商设计的一个完全封闭的、基于信任模型的不同运营商间的互访网络，采用了类似互联网中 IP 地址的 GT (Global Title) 地址进行相互连接和寻址，只要攻击者接入了这个 SS7 网络，就能获取任何接入了这个系统的所有信息。

而只要满足以下几个条件，攻击者就能轻松利用 SS7 系统权限漏洞：

曾经打开过国际电话/国际短信/国际流量漫游服务
攻击者知道你的手机号码
你的运营商接入了 SS7 系统（只要能国际漫游都接入了，放心别想逃）

可利用漏洞

窃听者可将通话的目标呼入地址修改为自己的手机号码，以实现通话中间人攻击。
还可以将发送到目标手机号码的短信进行拦截，可绕过网站基于短信验证的两步验证逻辑。
甚至能通过基站信息对你进行三角定位出确切的信息。

不安全的短信验证

首先笔者需要阐明的一个观点是：各种服务的 SMS 短信验证本身就非常不安全。

目前很多软件仍然使用手机号 SMS 验证作为 唯一的 两步验证 (2FA) 方式，会导致很多问题，让笔者一一细数短信验证的罪恶：

补卡攻击，在国内可能比较少见，但是在欧美一些实名制不严的地区，是可以通过营业厅直接申报丢失了你的手机号，然后直接补卡使用。
运营商窃听，这个目前比较罕见，但是谁会保证没有呢.jpg
就是这次介绍的 SS7 攻击。

缓解措施

使用 Passkey (通行密钥)、Yubikey (物理密钥)、TOTP 等多步验证 (MFA, Multi-Factor Authentication) 方法。
尽量不要在任何社交软件上泄露你的手机号，即便是 Telegram。
Telegram 等强制基于手机号的软件请务必一定要开两步验证！

参考内容 (点击展开)

java

## Historical Context
- Evolution from manual switchboards to automated dialing systems
- Introduction of SS7 in the 1980s for efficient call routing and roaming

## Understanding SS7
- Designed as a closed, trusted network for telecom operators
- Uses Global Titles (GTs) for addressing, similar to IP addresses

## Vulnerabilities Exposed
1. **Call Interception**: Rerouting calls to attacker's number
2. **SMS Interception**: Capturing messages, including 2FA codes
3. **Location Tracking**: Pinpointing user's location via cell towers

## Real-World Implications
- Case study: Tracking of Princess Latifa of Dubai
- Financial fraud through intercepted 2FA codes
- Potential for mass surveillance by state actors

## Why SS7 Persists
- Backbone of 2G and 3G networks
- Still used in emergency systems (e.g., EU car emergency buttons)
- Inertia in telecom industry to adopt new standards

## Protective Measures
- Use alternative 2FA methods (authenticator apps, hardware tokens)
- Opt for encrypted communication apps (Signal, WhatsApp)
- Limited options for preventing location tracking

## Future Outlook
- Gradual transition to more secure protocols (5G signaling)
- Ongoing challenges in balancing legacy support and security upgrades

## Conclusion
The SS7 vulnerability highlights the ongoing tension between technological 
progress and security in our interconnected world, emphasizing the need for 
continued vigilance and adaptation in telecommunications security.

// 2024-09-22 @ https://www.hats-land.com/archives/simple-explanation-of-ss7-attacks.html
// :: MjAyNC0wOS0yMiBAIHd3dy5oYXRzLWxhbmQuY29t :: 
// ~~ d3d3LmhhdHMtbGFuZC5jb20vYXJjaGl2ZXMvc2ltcGxlLWV4cGxhbmF0aW9uLW9mLXNzNy1hdHRhY2tzLmh0bWw ~~

参考文献 (点击展开)

### References:

王兴亮，数字通信原理和技术, 西安：西安电子科技大学出版社，2003年第2版，ISBN 7-5606-0834-5

多德（Dodd,A.Z.）著、晓波译，通信技术导论（第4版），北京：清华大学出版社，ISBN 7-302-13908-3

Black, C. (2020). Spy companies using Channel Islands to track phones around the world. The Bureau of Investigative Journalism - https://ve42.co/SpyTBIJ

It is dangerously easy to hack the world's phones via The Economist - https://ve42.co/EconHack

Blake, H. (2023). The Fugitive Princesses of Dubai. The New Yorker - https://ve42.co/DubaiNY

McDaid, C. (2021). How Surveillance Companies Track You Using Mobile Networks. media.ccc.de - https://ve42.co/McDaid2021

Engel, T. (2014). SS7: Locate. Track. Manipulate. media.ccc.de - https://ve42.co/Engel2014

Nohl, K. (2014). Mobile self-defense. media.ccc.de - https://ve42.co/Nohl2014

How Cell Service Actually Works via WendoverProductions - https://ve42.co/CellWendover

How Telephone Phreaking Worked via The 8-Bit Guy - https://ve42.co/8BitGuy

Transmission Lines: Part 1 An Introduction via TheSiGuy - https://ve42.co/TheSiGuy

The Step-By-Step Switch via AT&T Tech Channel - https://ve42.co/SwitchATNT

Hacking Your Phone via 60 Minutes - https://ve42.co/60minHack

Rosenbaum, R. (1971). Secrets of the Little Blue Box. The Esquire Magazine - https://ve42.co/Rosenbaum1971

Black, C. et. al. (2023). Ghost in the network. Lighthouse Reports - https://ve42.co/Black2023

Kerr, D. (2019). The step-by-step telephone switching system. dougkerr.net - https://ve42.co/Kerr2019

Ecall and 2G/3G Network Obsolescence via PFA Plateforme Automobile - https://ve42.co/PFAAuto2021
 

### Images & Video:

All references can be found here: https://ve42.co/PhoneSpyingImageVideo

Exposing The Flaw In Our Phone System: https://www.youtube.com/watch?v=wVyu7NB7W6Y

// Copyright (c) @ Hat's Blog hats-land,com
// !! Ly8gQ29weXJpZ2h0IChjKSBAIEhhdCdzIEJsb2cgaGF0cy1sYW5kLGNvbQ !!

版权信息 (点击展开)

Copyright (c) @ Hat's Blog www.hats-land.com
Released Date @ 2024-09-22
GPG Signature: 'https://www.hats-land.com/gpg-public.txt' (F166C5F4F897B96A07390B8574E3D911A0E70FEC)

// -----BEGIN PGP MESSAGE-----
// 
// hF4DYvdQZ6S+TycSAQdAOPKcBoYz02T0Kk8UQhub4FmzqpA+L388ZapUO15B4j8w
// 24WwxT1blkN6nrFnkrA/ygYDn8F4ByfKFl8nDMb63MhUbGFngejdZROFU3u4MqZx
// 1MBOAQkCEE5lRsF4NOvbDyggR7/CiFCJ+ML+grnWN0Y+UgSRX3/Y3eiECXFZ8aMv
// kBHtp37IblBxs4+bPrPHAXWlsTaPQfHpas5NPPOFe8ZIKtF2dqgppntVPHBLpdWO
// RauQ2zmjpn2nwxyN120CQvgZFVZDk97TQ5vb3/Yi4g32Jg9cfowi/tu8kAgemDMU
// FobCbnIZvaEfoEmlmnvhKrky9dE+MIbaHAan69tswSp2MBEBMX9MO5JoempKMXpS
// oa9P7yYeD8tN6OVZyPN4g+DWJqiA9RAiRYxaR7RBAgEqU/ap0nu6nmaqVUyT2yu/
// m1+gtbbyn64cans2aLeGlMdO7lD3AFhG5ccThs3xOZEa
// =vw/7
// -----END PGP MESSAGE-----

浅谈 SS7 攻击：窥探隐私的利器 ​

序言 ​

历史背景 ​

实现原理 ​

可利用漏洞 ​

不安全的短信验证 ​

缓解措施 ​