本文原创作者：敏争 <img src="http://image.3001.net/images/20151016/1444964929762.jpg!small">“伪基站”目前已经成为广告、诈骗等垃圾短信的重要实施手段。在经过一轮打击销声匿迹一段时间之后，现在又有抬头之势，有的犯罪集团通过生产、销售“伪基站”设备，年获利可达到几百万。 一、伪基站及其危害 伪基站，是一套非法无线电发射装置，由一台笔记本电脑、一台发射器、一根天线、一部手机、一组电瓶组成。其中手机是用来探测伪基站可用的工作信道，到了某个区域后，用这个改造过的手机就可以测定出这个区域基站的信道，然后伪基站开始广播控制信道，由于信号的强度优势，诱使周围的手机连接伪基站，最后向连接上来的手机发送垃圾短信。从攻击角色上看，伪基站也是一种中间人攻击。 <img src="http://image.3001.net/images/20151015/14448901336833.png!small">通过伪基站发送的短信一般是两类： 1、广告类。比如“xxx 盛大开业，开业钜惠，光顾即送 VIP 至尊卡一张……”； 2、诈骗类。比如“我是房东，我在外地，请把房租打到我爱人账号 xxx”；更有甚者，伪造 10086 或者 95xxx 的发送号码，诱骗用户访问木马链接，植入木马 App，实现对用户的永久控制。通讯录、短信、照片等隐私信息都会被盗取。 二、GSM 基本原理 <img src="http://image.3001.net/images/20151015/14448901838075.png!small">整个 GSM 网络中，在手机终端侧，最重要的两个标识是 IMSI 和 MSISDN。而运营商网络侧，核心是一个控制器（MSC）和三个数据库（HLR、VLR、AUC）。中间是基站系统。下面对几个关键概念分别做出解释： 1、 概念解析 IMSI IMSI 是 SIM 卡的唯一 ID，类似居民身份证号，全世界唯一。每次登记、位置更新、呼叫建立的尝试，都是以 IMSI 作为用户标识。 MSISDN 用户的电话号码，相当于姓名或者 QQ 昵称，即便重复了也不会影响正常的通信过程。IMSI 和 MSISDN 的对应关系，存储在运营商的 HLR 中。 MSC 移动业务交换中心（mobile switching center），是 GSM 网络的核心，它提供交换功能以及面向系统其他实体的功能。MSC 可以从三种数据库（HLR、VLR、AUC）获取处理用户位置登记和呼叫请求所需的全部数据。反之，MSC 也根据其最新获取的信息请求更新数据库的部分数据。MSC 具有号码储存译码、呼叫处理、路由选择、回波抵消、超负荷控制等功能；MSC 能支持位置登记、越区切换和自动漫游等移动管理功能；MSC 支持信道管理、数据传输，以及包括鉴权、信息加密、移动台设备识别等安全保密功能。 HLR 归属位置数据库,负责移动用户管理的数据库，永久存储和记录所辖区域内用户的签约数据，并动态地更新用户的位置信息，以便在呼叫业务中提供被呼叫用户的网络信息。 VLR 拜访位置数据库，它是一个动态数据库，服务于其控制区域内移动用户的，存储着进入其控制区域内已登记的移动用户相关信息，为已登记的移动用户提供建立呼叫连接的必要条件。VLR 从该移动用户的归属用户位置寄存器(HLR)出获取并储存必要的数据。一旦移动用户离开该 VLR 的控制区域，则重新在另一个 VLR 登记，原 VLR 将取消临时记录的该移动用户数据。 AUC 鉴权中心，是 GSM 系统中的安全管理单元。存储鉴权算法和密钥，保证各种保密参数的安全性，向 HLR 提供鉴权参数（鉴权三参组，RAND、SRES、KC）。AUC 鉴权中心通过伪随机码发生器产生 128 位随机数 RAND，RAND 和 KI 经过 A3 算法产生 SRES，RAND 和 KI 经过 A8 算法产生 KC。 BSS 基站子系统，包括 BTS（基站收发台）和 BSC（基站控制器），是 GSM 系统与无线蜂窝方面最基本的组成部分。它通过无线电通信直接和手机相接，负责无线发送接收和无线资源管理。另一方面，基站子系统与网路子系统（NSS）中的移动业务交换中心（MSC）相连，实现移动用户间或移动用户与固定网路用户之间的通信连接，传送系统信号和用户信息等。 2、GSM 通信信道 <img src="http://image.3001.net/images/20151015/14448902551485.png!small">其中 BCCH 向手机广播本小区频率和 LAC（区域位置识别码），这个对于实现伪基站至关重要。 3、 GSM 用户鉴权 在 GSM 网络中，SIM 卡和运营商配合完成用户鉴权，以此防止未经授权的接入，保护运营商和合法用户双方的利益。 每个用户在 GSM 网中注册登记时，被分配给一个客户电话号码（MSISDN，就是通常的手机号）和客户身份识别码（IMSI）。IMSI 通过 SIM 写卡机写入客户的 SIM 卡中，同时在写卡机中又产生了一个对应此 IMSI 的唯一客户鉴权密钥 Ki，它被分别存储在客户的 SIM 卡和网络侧 AUC 中。在 AUC 中还有个伪随机码发生器，用于产生一个伪随机数 RAND。在 GSM 规范中还定义了 A3、A8 和 A5 算法，分别用于鉴权和加密过程。 GSM 的鉴权流程如下： <img src="http://image.3001.net/images/20151015/14448903008493.png!small"> 1、 GSM 网络侧和 SIM 卡上存储相同的用户密钥 Ki，用户开机准备接入网络，移动终端发送 IMSI 给 MSC/VLR； 2、 VLR 将首先查看在数据库中该 MS 是否有鉴权三参组，如果有，将直接向 MSC 下发鉴权命令，否则，向相应的 HLR/AUC 请求鉴权参数，从 HLR/AUC 得到三参组，然后再向 MSC 下发鉴权命令； 3、 MSC 收到 VLR 发送的鉴权命令后，通过基站子系统向移动终端下发鉴权挑战请求； 4、 移动终端收到鉴权挑战请求后，利用 SIM 卡通过 A3、A8 算法计算出 SRES 和加密密钥 KC，通过鉴权响应消息送达 MSC； 5、 MSC 将鉴权结果回送 VLR，由 VLR 核对 MS 上报的鉴权结果和从 HLR 取得的鉴权参数中的结果，如果二者一致，则允许接入，否则拒绝此次接入请求。 6、GSM 安全性 从整个鉴权流程可以看出，在 GSM 网络中，SIM 卡接入网络的鉴权方式是单向鉴权：只能网络对卡鉴权，卡无法鉴权网络。因此无法对抗主动攻击，如伪基站，非法设备可以伪装成合法的网络设备，实现欺骗。 三、伪基站 伪基站的整体工作流程： <img src="http://image.3001.net/images/20151015/14448903292134.png!small">1、监听与伪装 （1）使用修改过固件的手机获取邻小区 BCCH 频率； （2）选定 BCCH 信号最弱的小区频率； （3）发射伪装后的 BCCH 信号； 2、吸引手机接入 （1）手机发现 LAC（位置区识别码）变化，要重选接入小区，伪基站要求手机鉴权，手机发送鉴权应答信息，伪基站直接确认成功； （2）手机发现接入小区变化，触发位置更新请求； （3）伪基站向手机发起识别请求，获取到 IMSI、IMEI； 3、发送短信 伪基站设定任意主叫号码，于独立控制信道发送任意数量短信。 4、踢出手机 1、 伪基站更新 LAC 并广播； 2、 手机发现 LAC 变化，重新发起位置更新请求； 3、 伪基站拒绝位置更新； 4、 手机重选小区，接入正常基站； 四、解决的可能性 1、3G、4G 网络实现了双向鉴权，通信过程使用了更强壮的加密算法和完整性算法，因此安全性更高，解决了伪基站问题； 2、可以统计手机的 LAC 位置更新频次，过频（几秒到几十秒）意味着出现异常； 3、短信和语音通信使用端到端加密。 * 原创作者：敏争，本文属 FreeBuf 原创奖励计划文章，未经作者本人及 FreeBuf 许可，切勿私自转载。 查看原网页
