搜索

[17728] 2020-11-04_GeekPwn2020｜现场观众的手机为何一度调到了飞行模式？

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2020-11-04_GeekPwn2020｜现场观众的手机为何一度调到了飞行模式？ G e e k P w n   2 0 2 0   ｜   现 场 观 众 的 手 机 为 何 一 度 调 到 了 飞 行 模 式 ？ 海 特 实 验 室   G e e k P w n   2 0 2 0 - 1 1 - 0 4 编 者 按 ： 编 者 按 ： 1 0 月 2 4 日 ， G e e k P w n   2 0 2 0   现 场 展 示 了 “ 一 种 利 用 设 备 层 未 知 漏 洞 渗 透 L T E 基 站 的 远 程 攻 破 ” 项 目 ， 项 目 参 赛 团 队 来 自 安 恒 海 特 实 验 室 。 参 赛 成 员 在 现 场 展 示 利 用 多 款 皮 基 站 皮 基 站 的 漏 洞 控 制 设 备 ， 并 控 制 在 该 基 站 设 备 下 的 移 动 设 备 通 信 ， 实 现 了 对 网 页 的 劫 持 。 由 于 所 涉 设 备 的 特 殊 性 ， 该 项 目 被 列 为 展 示 项 目 ， 旨 在 揭 示 新 基 建 领 域 的 安 全 风 险 ， 提 醒 相 关 部 门 提 高 对 新 基 建 安 全 的 重 视 程 度 。
皮 基 站 是 什 么 ？ 为 什 么 在 现 场 需 要 所 有 观 众 和 工 作 人 员 将 手 机 调 为 飞 行 模 式 才 能 实 现 展 示 ？ 项 目 中 用 到 的 技 术 与 “ 伪 基 站 ” 技 术 有 何 不 同 ？ L T E 的 基 础 网 络 架 构 是 怎 样 的 … … 为 了 解 答 这 些 疑 问 ， 参 赛 选 手 与 我 们 分 享 了 项 目 背 后 的 技 术 原 理 。 * 由 于 基 站 设 备 漏 洞 有 极 高 风 险 ， 相 关 漏 洞 已 经 在 第 一 时 间 向 相 关 监 管 部 门 上 报 。 为 遵 循 负 责 任 的 安 全 漏 洞 披 露 流 程 ， 且 相 关 基 站 漏 洞 与 传 统   I o T   漏 洞 相 近 ， 在 本 文 中 将 不 涉 及 展 开 。 （ 文 末 含 项 目 视 频 ） 在 本 项 目 中 ， 由 于 基 站 通 信 采 用 特 殊 的 协 议 ， 所 以 实 现 劫 持 和 篡 改 并 非 是 T C P / I P 中 传 统 的 S n i f f e r 或 者 M I T M 手 段 。 互 联 网 上 可 参 考 的 资 料 非 常 之 少 ， 故 写 下 该 文 章 ， 希 望 能 给 后 续 研 究 的 同 学 提 供 参 考 。 微 基 站 还 是 伪 基 站 ， 微 基 站 还 是 伪 基 站 ， 和 攻 破 了 一 台 和 攻 破 了 一 台 W i - F i 路 由 器 有 区 别 吗 ？ 路 由 器 有 区 别 吗 ？ 在 本 次 展 示 中 并 没 有 使 用 重 定 向 技 术 去 降 级 用 户 设 备 到 已 经 是 没 有 使 用 重 定 向 技 术 去 降 级 用 户 设 备 到 已 经 是 “ 马 蜂 窝 马 蜂 窝 ” 等 级 的 等 级 的 2 G 网 络 ， 而 是 采 用 了 关 闭 了 网 络 ， 而 是 采 用 了 关 闭 了 2 G 频 频 段 ， 使 用 商 业 现 网 段 ， 使 用 商 业 现 网 U S I M 卡 的 一 台 手 机 作 为 展 示 目 标 ， 传 统 的 伪 基 站 在 这 样 的 场 景 下 是 无 能 为 力 的 ， 所 以 不 是 伪 卡 的 一 台 手 机 作 为 展 示 目 标 ， 传 统 的 伪 基 站 在 这 样 的 场 景 下 是 无 能 为 力 的 ， 所 以 不 是 伪 基 站 ， 而 是 微 基 站 基 站 ， 而 是 微 基 站 ( 皮 基 站 皮 基 站 ) 。 。 直 白 的 来 说 ， 通 过 I P 网 络 可 达 的 前 提 攻 破 一 台 皮 基 站 ， 和 打 穿 一 台 W i - F i 路 由 器 在 技 术 原 理 上 并 没 有 什 么 区 别 ， 但 是 相 对 于 整 个 实 现 过 程 中 ， 找 到 并 利 用 一 个 栈 溢 出 只 是 迈 出 了 第 一 步 ， 随 后 的 L T E 基 础 架 构 才 是 真 正 的 长 征 。 有 一 定 安 全 基 础 的 读 者 可 能 会 产 生 一 个 疑 问 ： “ 只 要 搭 建 一 台 基 站 ， 启 动 M I T M P r o x y 和 W i r e s h a r k ， 然 后 再 让 手 机 连 上 来 不 就 好 了 么 ？ ” 。 没 错 ， 这 也 是 我 最 开 始 的 想 法 ， 然 而 现 实 总 是 很 残 酷 的 。 L T E 的 基 础 网 络 架 构 的 基 础 网 络 架 构 一 个 最 简 单 的 L T E 网 络 的 组 成 ， 如 下 图 ：
用 户 手 中 所 使 用 的 设 备 ， 如 手 机 ， 共 享 单 车 ， 智 能 水 表 等 ， 有 一 个 统 一 的 名 称 叫 U E 。 任 何 一 种 基 站 ， 无 论 是 宏 基 站 还 是 微 基 站 ， 在 网 络 框 图 中 都 被 称 作 e N o d e B ， 我 们 接 下 来 就 简 称 e N B 。 M M E 是 一 个 管 理 角 色 ， 负 责 管 理 若 干 个 e N B ， 具 体 来 讲 ， 控 制 e N B 与 U E 的 连 接 断 开 ， 网 络 漫 游 ， 身 份 验 证 流 程 ， 一 些 短 消 息 的 传 递 等 。 S G W 与 P G W 则 是 一 个 数 据 网 关 的 角 色 ， U E 中 所 体 现 的 “ 流 量 ” ， 也 就 是 “ T C P / I P ” 网 络 ， 是 由 S G W 与 P G W 一 同 提 供 的 。 H S S 虽 然 不 直 接 与 e N B 通 信 ， 但 是 它 存 储 了 所 有 入 网 用 户 的 身 份 验 证 信 息 ， 在 需 要 使 用 的 时 候 提 供 给 M M E 。 如 果 用 W i - F i 网 络 来 类 比 的 话 ， e N B 是 A P ， M M E 是 A C ， S / P G W 是 上 行 路 由 网 关 ， H S S 就 是 数 据 库 里 躺 着 的 那 张 u s e r 表 了 。 位 于 内 核 态 的 位 于 内 核 态 的 I P S e c 皮 基 站 出 于 安 全 和 其 他 考 虑 ， 并 不 会 在 互 联 网 上 直 接 传 输 数 据 ， 它 经 过 I P S e c 网 关 ， 叫 做 S e G W 的 一 个 接 入 设 备 连 入 核 心 网 。 接 入 核 心 网 后 ， 可 能 存 在 一 个 叫 H e G W ( H e N B - G W ) 的 设 备 统 一 代 理 位 于 核 心 网 内 的 M M E 、 S G W 等 端 点 I P 。 这 样 我 们 上 面 的 最 小 L T E 网 络 在 皮 基 站 这 里 就 成 为 了 下 图 的 样 子 ： 一 般 来 说 对 于 一 个 V P N 网 络 ， 只 要 在 它 的 虚 拟 网 卡 入 口 进 行 操 作 即 可 获 得 未 加 密 的 流 量 ， 然 而 L i n u x 下 的 I P S e c 是 基 于 内 核 态 的 ， 用 户 层 并 没 有 用 于 可 以 让 W i r e s h a r k 去 监 听 的 虚 拟 网 卡 接 口 ， i p t a b l e s 也 显 得 非 常 无 力 。 即 便 是 利 用 a n y 的 特 性 去 做 全 局 抓 包 ， 也 只 能 获 取 到 部 分 单 向 流 量 。 好 在 掉 了 几 天 头 发 之 后 解 决 了 这 个 问 题 ， 实 现 了 透 明 的 通 信 数 据 监 听 与 劫 持 系 统 。 一 些 相 关 研 究 也 可 以 参 考 s e e k e r 在 2 0 1 9 年 针 对 f e m t o 的 一 篇 演 示 文 稿 《 4 G   L T E   M a n   i n   t h e   M i d d l e :   A t t a c k   w i t h   a   H a c k e d   F e m t o c e l l 》 ， 在 这 个 演 示 文 稿 中 可 以 看 到 作 者 已 经 通 过 W i r e s h a r k 成 功 的 捕 获 到 了 双 向 流 量 ， 可 能 是 出 于 合 理 披 露 的 考 虑 ， 作 者 没 有 过 多 提 及 相 关 的 技 术 如 何 确 切 的 填 掉 I P S e c 双 向 抓 包 的 坑 和 具 有 了 双 向 抓 包 能 力 后 续 利 用 的 具 体 方 法 。 L T E 的 接 入 点 选 择 与 身 份 认 证 的 接 入 点 选 择 与 身 份 认 证
L T E 的 接 入 点 选 择 比 较 简 单 ， 首 先 S I M 卡 会 告 知 手 机 我 要 选 择 某 个 运 营 商 的 网 络 — — 就 好 像 是 一 个 固 定 的 S S I D 一 样 ， 之 后 手 机 会 优 先 连 接 信 号 较 强 的 e N B 。 由 于 在 设 计 之 初 就 考 虑 到 2 G 的 前 车 之 鉴 ， L T E 会 使 用 包 含 了 ： 临 时 密 钥 ， 消 息 签 名 ， 随 机 数 ， 滚 动 码 等 机 制 来 双 向 验 证 U E 侧 和 e N B 侧 的 合 法 性 。 下 面 用 一 个 图 来 简 单 描 述 一 下 在 U E 入 网 的 一 瞬 间 发 生 了 什 么 。 M M E 向 U E 传 递 R A N D :   随 机 数 S Q N   ^   A K :   加 密 后 的 滚 动 码 M A C :   签 名 的 消 息 验 证 码 在 这 之 后 ， U S I M 卡 验 证 该 消 息 是 否 合 法 ， 起 到 验 证 网 络 是 否 可 信 的 作 用 ， 如 果 网 络 可 信 ， 将 会 回 复 如 下 消 息 U E 向 M M E 传 递 R E S :   基 于 R A N D   S Q N   M A C 计 算 出 来 的 验 证 码 网 络 将 基 于 上 述 的 消 息 来 验 证 S I M 卡 是 否 可 信 基 于 S I M 卡 每 一 张 密 钥 都 不 同 的 前 提 ， 想 要 脱 离 后 端 验 证 数 据 搭 建 一 个 e N B 并 让 U E 稳 定 信 任 是 几 乎 不 可 能 的 。 不 是 不 是 U D P 也 不 是 也 不 是 T C P 的 的 S C T P e N B 与 M M E 的 通 信 是 基 于 一 种 在 三 层 链 路 上 叫 做 S C T P 的 协 议 ， 基 于 这 个 协 议 上 面 又 有 应 用 态 的 S 1 - A P 协 议 。 可 能 也 是 因 为 这 个 S C T P 既 不 是 T C P 也 不 是 U D P ， 并 不 方 便 在 现 有 的 互 联 网 上 传 输 ， 我 想 这 也 许 是 依 赖 V P N 的 另 一 个 原 因 。 这 个 协 议 在 可 用 性 和 防 中 间 人 方 面 有 很 多 的 优 势 和 新 特 性 ， 但 是 和 S 1 - A P 协 议 一 结 合 ， 其 中 最 值 得 关 注 的 一 点 就 是 ： 几 乎 丧 失 了 通 过 N A T 传 输 的 能 力 。 直 白 来 说 ， 皮 基 站 的 I P 必 须 是 I P S e c 分 配 的 I P 而 且 要 和 整 个 核 心 网 双 向 互 通 ， 如 果 尝 试 套 一 层 N A T 去 剥 离 流 量 的 话 ， 会 导 致 e N B 无 法 正 常 工 作 ， 监 听 劫 持 系 统 的 “ 透 明 ” 性 是 非 常 必 要 的 。 S C T P 由 于 在 网 络 安 全 界
极 少 出 现 ， 在 项 目 准 备 阶 段 并 没 有 找 到 符 合 要 求 的 M I T M 工 具 ， 在 恶 补 了 整 个 S C T P 规 范 之 后 ， 基 于 C 语 言 完 成 了 一 个 可 以 保 持 一 般 S C T P 正 常 工 作 的 M I T M 工 具 ， 同 时 又 可 以 针 对 特 定 的 报 文 进 行 抓 取 和 修 改 。 一 个 S C T P 报 文 A S N . 1 与 与 S 1 A P S 1 A P 这 个 协 议 承 载 了 e N B 与 M M E 通 信 过 程 中 所 有 的 数 据 ， 但 是 它 解 析 起 来 却 比 较 困 难 。 该 协 议 本 身 是 开 放 的 ， 由 A S N . 1 语 法 书 写 ， 在 S C T P 上 以 P E R 格 式 编 码 传 输 。 在 项 目 开 发 的 过 程 中 没 有 找 到 一 个 方 便 的 组 件 来 处 理 这 个 协 议 ， 曾 经 尝 试 用 固 定 偏 移 量 + 结 构 体 的 方 式 去 捕 获 和 修 改 部 分 关 键 数 据 ， 但 是 这 种 方 式 的 操 作 并 不 稳 定 。 最 终 还 是 相 对 完 整 的 实 现 了 S 1 A P 的 解 析 流 程 ， 到 了 这 一 步 我 的 M I T M 程 序 可 以 有 效 的 去 捕 获 和 处 理 S 1 A P 协 议 中 我 们 所 关 注 的 数 据 ， 从 而 欺 骗 e N B 以 为 自 己 连 接 到 了 真 实 的 核 心 网 中 ， 也 可 以 正 确 的 中 继 L T E 在 e N B 侧 验 证 所 需 的 三 元 组 ， 对 于 上 游 真 正 的 M M E 来 说 ， 它 是 e N o d e B ， 对 于 真 正 发 射 信 号 的 e N o d e B 来 说 ， 它 又 是 M M E 。 L T E 的 数 据 保 全 机 制 的 数 据 保 全 机 制 L T E 网 络 在 接 入 的 过 程 进 行 了 身 份 认 证 ， 随 后 就 会 进 行 数 据 保 全 协 商 。 主 要 应 用 在 L T E 信 令 传 输 过 程 中 可 能 存 在 的 一 个 叫 做 N A S - P D U 的 容 器 。 其 中 包 含 了 两 种 保 全 机 制 ： 数 据 加 密 与 数 据 完 整 性 验 证 ， 使 用 的 密 钥 均 是 入 网 时 生 成 的 临 时 密 钥 。 这 个 临 时 密 钥 是 在 入 网 的 时 候 H S S 通 过 S 6 e 信 令 传 递 给 M M E 的 ， 并 不 会 传 递 给 e N B 能 接 触 到 的 网 络 ， 这 是 一 个 U E 知 ， M M E 知 而 e N B ， W i r e s h a r k 都 不 知 的 东 西 。 一 般 来 说 ， 为 了 整 体 网 络 的 运 行 效 率 会 关 闭 数 据 加 密 策 略 ， 但 是 一 定 会 开 启 数 据 完 整 性 验 证 。 这 种 可 选 特 性 导 致 了 直 接 暴 露 L T E 信 令 虽 然 比 较 容 易 被 监 听 ， 但 是 被 保 护 的 部 分 几 乎 无 法 被 篡 改 。 但 是 N A S - P D U 本 身 的 定 位 是 “ 可 能 存 在 ” ， 经 过 一 段 时 间 的 分 析 ， 还 是 找 到 了 一 些 在 协 议 中 忘 记 被 N A S - P D U 保 护 的 漏 网 之 鱼 。 数 据 流 量 是 如 何 承 载 的 数 据 流 量 是 如 何 承 载 的 可 能 和 想 象 的 不 同 ， 在 L T E 网 络 中 ， 数 据 流 量 并 不 是 直 接 在 I P 层 做 路 由 转 发 发 送 到 互 联 网 上 的 ， 而 是 被 放 在 了 一 个 叫 G T P - U 的 外 层 包 裹 里 ， 统 一 发 往 运 位 于 核 心 网 的 S G W 网 关 ， 在 那 里 会 实 现 数 据 包 的 解 包 和 计 费 功 能 。 这 个 架 构 导 致 了 就 算 是 皮 基 站 架 设 在 家 中 的 宽 带 上 ， 占 用 你 的 带 宽 的 同 时 你 也 要 为 手 机 流 量 付 费 。 G T P - U 协 议 并 不 是 一 个 一 去 一 回 ， 有 状 态 跟 踪 的 协 议 ， 而 是 更 类 似 位 于 O S I 二 层 的 帧 。 为 了 保 证 移 动 网 络 的 漫 游 特 性 ， 所 有 的 G T P 封 包 包 含 了 一 个 类 似 C o o k i e
的 字 段 ， 这 个 类 似 C o o k i e 的 字 段 也 会 成 为 寻 找 通 信 目 标 的 地 址 ， e N B 需 要 为 U E 发 出 的 数 据 包 打 上 S G W 所 认 可 的 标 记 ， 反 之 ， S G W 向 U E 发 送 数 据 包 也 要 带 有 e N B 所 认 可 的 标 记 ， 而 且 这 两 个 标 记 往 往 还 是 不 同 的 ， 而 且 会 随 着 时 间 变 化 而 动 态 更 新 。 一 个 典 型 的 被 G T P 协 议 包 裹 的 D N S 查 询 如 果 想 要 接 管 手 机 的 数 据 流 量 ， 光 能 解 析 G T P 协 议 还 不 够 ， 还 需 要 完 整 的 重 现 这 部 分 的 标 记 同 步 协 议 和 篡 改 e N B 所 使 用 的 S G W 通 信 网 关 ， 这 些 数 据 存 在 M M E 和 e N B 的 U E 入 网 交 互 过 程 中 ， 也 就 是 上 面 所 说 的 S 1 A P 协 议 ， 我 们 的 M I T M 软 件 会 去 实 时 追 踪 这 一 部 分 的 标 记 交 换 ， 并 篡 改 e N B 所 收 到 的 S G W 网 关 地 址 ， 实 现 将 U E 的 数 据 流 量 重 定 向 到 我 们 自 己 编 写 的 S G W 网 关 上 ， 并 使 我 们 的 S G W 网 关 实 时 与 真 实 的 M M E 保 持 通 信 标 记 同 步 。 经 过 T U N 分 离 后 的 易 于 操 作 的 H T T P 报 文 我 们 编 写 的 S G W 网 关 将 会 通 过 一 个 本 地 的 T U N 虚 拟 网 卡 来 发 送 接 收 所 有 U E 的 数 据 流 量 ， 至 此 可 以 使 用 传 统 的 M I T M P r o x y 或 者 W i r e s h a r k 实 现 完 整 的 T C P / I P 数 据 流 量 嗅 探 或 劫 持 篡 改 。 未 演 示 的 部 分 ： 未 演 示 的 部 分 ： H T T P 内 容 篡 改 内 容 篡 改 由 于 时 间 关 系 ， 我 们 很 遗 憾 的 未 能 演 示 针 对 数 据 流 量 的 篡 改 。 要 强 调 的 是 ， 实 现 篡 改 数 据 流 量 并 不 是 嗅 探 流 量 的 水 到 渠 成 。 嗅 探 流 量 只 需 要 解 决 I P S e c 的 双 向 抓 包 问 题 即 可 ， 而 如 果 想 要 实 现 数 据 流 量 的 篡 改 ， 则 需 要 完 成 上 述 所 提 到 的 全 部 的 M M E   M I T M 、 S G W 网 关 程 序 以 及 一 个 精 巧 部 署 的 网 络 。
观 看 项 目 视 频 观 看 项 目 视 频 工 信 部 发 布 的 《 2 0 1 9 年 通 信 业 统 计 公 报 》 显 示 ， 截 至 2 0 1 9 年 年 底 ， 我 国 4 G 用 户 总 数 超 过 1 2 亿 户 ， 基 站 总 数 达 8 4 1 万 个 （ 其 中 4 G 基 站 总 数 达 到 5 4 4 万 个 ） 。 时 至 今 日 ， 4 G 和 基 站 发 展 日 臻 成 熟 ， 各 项 技 术 都 有 保 障 ， 且 4 G 的 传 输 已 经 具 备 安 全 特 性 。 但 事 实 证 明 ， 如 今 还 研 究 4 G 和 基 站 的 安 全 问 题 ， 并 非 杞 人 忧 天 。 这 个 项 目 所 涉 及 的 是 设 备 层 漏 洞 ， 不 是 4 G 本 身 的 问 题 。 展 示 中 所 涉 及 的 皮 基 站 设 备 开 启 后 能 覆 盖 周 边 半 径 2 0 m - 5 0 m 的 范 围 ， 让 主 持 人 再 三 呼 吁 现 场 观 众 和 工 作 人 员 将 手 机 调 为 飞 行 模 式 ， 避 开 设 备 影 响 ， 也 便 于 选 手 找 到 攻 破 目 标 。 换 而 言 之 ， 这 类 攻 击 一 旦 发 起 ， 附 近 连 入 皮 基 站 并 使 用 4 G 的 手 机 都 可 能 受 到 影 响 。 所 幸 漏 洞 已 得 到 负 责 任 披 露 ， 不 会 被 恶 意 利 用 。 不 过 这 也 提 醒 我 们 ， 在 4 G 及 基 站 的 安 全 建 设 之 路 上 ， 我 们 还 可 以 做 得 更 好 ， 走 得 更 远 。 * 原 文 《 G e e k P w n   2 0 2 0   L T E   项 目 技 术 复 盘 》 ， 发 布 于 微 信 公 众 号 “ 安 恒 信 息 安 全 研 究 院 ” 。
G e e k P w n   2 0 2 0   全 天 赛 事 回 顾 央 视 、 中 国 教 育 网 聚 焦 G e e k P w n   2 0 2 0 ： 培 养 信 息 安 全 的 “ 明 日 之 子 ”  
让 自 动 驾 驶 撞 墙 ， 刷 别 人 的 脸 取 钱 ： 在 极 棒 的 赛 场 ， A I   再 一 次 变 成 了 智 障   点 击 阅 读 原 文 查 看   G e e k P w n   2 0 2 0   全 天 赛 事 视 频 回 放 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理