搜索

[10441] 2016-08-28_开源BTS产品中存在多处漏洞，攻击者或可劫持手机通讯基站

文档创建者：s7ckTeam
浏览次数：39
最后更新：2025-01-18
2016-08-28_开源BTS产品中存在多处漏洞，攻击者或可劫持手机通讯基站 开 源 B T S 产 品 中 存 在 多 处 漏 洞 ， 攻 击 者 或 可 劫 持 手 机 通 讯 基 站 A l p h a _ h 4 c k   F r e e B u f   2 0 1 6 - 0 8 - 2 8 前 言 前 言 在 过 去 的 几 周 时 间 里 ， 我 从 多 个 方 面 对 在 过 去 的 几 周 时 间 里 ， 我 从 多 个 方 面 对 G S M 的 安 全 性 进 行 了 调 查 和 研 究 ， 例 如 的 安 全 性 进 行 了 调 查 和 研 究 ， 例 如 G S M 通 信 协 议 中 存 在 的 漏 洞 。 除 此 之 外 ， 我 通 信 协 议 中 存 在 的 漏 洞 。 除 此 之 外 ， 我 还 对 目 前 世 界 上 应 用 最 为 广 泛 的 还 对 目 前 世 界 上 应 用 最 为 广 泛 的 B T S 软 件 进 行 了 安 全 审 计 。 在 这 篇 文 章 中 ， 我 将 会 给 大 家 介 绍 一 下 我 在 这 款 开 源 产 品 中 所 软 件 进 行 了 安 全 审 计 。 在 这 篇 文 章 中 ， 我 将 会 给 大 家 介 绍 一 下 我 在 这 款 开 源 产 品 中 所 发 现 的 多 个 漏 洞 ， 这 些 漏 洞 将 允 许 攻 击 者 入 侵 基 站 收 发 信 台 （ 发 现 的 多 个 漏 洞 ， 这 些 漏 洞 将 允 许 攻 击 者 入 侵 基 站 收 发 信 台 （ B T S ） ， 并 远 程 控 制 它 的 信 号 收 发 模 块 。 ） ， 并 远 程 控 制 它 的 信 号 收 发 模 块 。 背 景 知 识 背 景 知 识 一 个 基 站 收 发 信 台 （ B T S ） 是 由 软 件 和 无 线 电 设 备 组 成 的 ， 它 是 智 能 手 机 连 接 G S M 、 U M T S 、 以 及 L T E 网 络 时 必 不 可 少 的 关 键 组 件 。 B T S 主 要 分 为 基 带 单 元 、 载 频 单 元 和 控 制 单 元 三 部 分 。 基 带 单 元 主 要 用 于 话 音 和 数 据 速 率 适 配 以 及 信 道 编 码 等 ； 载 频 单 元 主 要 用 于 调 制 / 解 调 与 发 射 机 / 接 收 机 间 的 耦 合 ； 控 制 单 元 则 用 于 B T S 的 操 作 与 维 护 。 B T S 中 存 储 编 码 算 法 A 5 和 密 钥 K c ， 用 于 解 密 接 收 到 的 密 文 形 式 的 用 户 数 据 和 信 令 数 据 （ 包 括 解 密 ） 。 它 相 当 于 W i - F i 网 络 中 的 无 线 接 入 点 ， 它 负 责 管 理 U m 接 口 的 通 信 过 程 。 U m 接 口 是 M S ( M o b i l e S t a t i o n ， 移 动 台 ) 和 B T S 之 间 的 接 口 ， 通 过 该 接 口 ， M S 完 成 与 网 络 侧 的 通 信 ， 完 成 分 组 数 据 传 送 、 移 动 性 管 理 、 会 话 管 理 、 无 线 资 源 管 理 等 多 方 面 的 功 能 。 U m 接 口 是 G S M / G P R S / E D G E 网 络 中 ， M S 与 网 络 之 间 的 接 口 ， 也 被 称 为 空 中 接 口 ( A i r I n t e r f a c e ) 。 U m 接 口 用 于 传 输 M S 与 网 络 之 间 的 信 令 信 息 和 业 务 信 息 。 具 体 如 图 一 所 示 ：
图 一 ： M S 与 B T S 的 连 接 B T S 的 底 层 软 件 实 际 上 是 一 个 信 号 收 发 器 ， 而 它 就 是 无 线 硬 件 设 备 的 直 接 接 口 。 它 主 要 负 责 频 率 调 谐 ， 并 处 理 G M S K （ 高 斯 最 小 移 频 键 控 ） 数 据 的 调 制 与 解 调 。 简 而 言 之 ， 它 主 要 负 责 的 是 将 无 线 电 波 转 化 成 数 字 信 号 。 B T S 其 余 逻 辑 单 元 的 通 信 和 同 步 操 作 都 是 由 图 二 所 示 的 三 个 U D P 数 据 包 负 责 处 理 的 。 图 二 ： 信 号 收 发 模 块 以 及 用 来 与 B T S 其 余 逻 辑 单 元 进 行 通 信 的 三 个 U D P 数 据 包   其 如 上 图 所 示 ， “ C l o c k S o c k e t ” 数 据 包 主 要 负 责 进 行 时 间 同 步 ； B T S 会 使 用 “ C o m m a n d S o c k e t ” 数 据 包 来 向 信 号 收 发 器 发 送 控 制 命 令 ； 最 后 ， “ D a t a S o c k e t ” 数 据 包 负 责 将 G S M 数 据 包 从 B T S 通 过 无 线 电 信 号 广 播 出 去 ， 然 后 接 收 返 回 的 响 应 信 息 。 其 中 ， 信 号 收 发 器 模 块 中 的 “ U D P S o c k e t ” 类 主 要 负 责 处 理 上 述 三 个 信 道 的 通 信 过 程 。 我 们 的 分 析 表 明 ， 目 前 大 多 数 B T S 软 件 所 使 用 的 都 是 同 一 个 （ 或 者 极 其 相 似 的 ） 收 发 器 代 码 库 。 因 此 ， 基 本 上 这 些 B T S 软 件 都 会 受 到 相 同 漏 洞 的 影 响 。 恶 意 攻 击 者 可 以 利 用 这 些 漏 洞 来 远 程 控 制 信 号 收 发 器 模 块 ， 从 而 影 响 B T S 的 正 常 功 能 。
不 仅 如 此 ， 攻 击 者 还 有 可 能 向 收 发 器 模 块 发 送 G S M 数 据 脉 冲 ， 然 后 对 移 动 用 户 进 行 各 种 网 络 攻 击 ， 例 如 I M S I 分 离 、 加 密 降 级 、 以 及 拒 绝 服 务 攻 击 等 等 。 为 了 让 信 号 收 发 器 模 块 能 够 接 收 并 处 理 攻 击 者 发 送 的 信 息 ， 发 送 至 数 据 信 道 套 接 字 的 U D P 数 据 包 必 须 遵 循 下 列 格 式 ： 当 信 号 收 发 器 模 块 接 收 到 了 这 些 数 据 包 之 后 ， 它 会 解 码 这 些 数 据 包 ， 然 后 使 用 G M S K 来 进 行 信 号 调 制 。 最 终 ， 不 同 内 容 的 信 号 脉 冲 将 会 被 发 送 到 与 之 相 连 的 移 动 台 （ M S ） 。 即 便 是 下 方 列 表 中 标 注 的 产 品 只 使 用 了 G M S 或 者 U M T S 网 络 ， 但 是 它 们 的 信 号 收 发 器 模 块 （ 这 是 一 个 独 立 组 件 ） 本 身 却 是 基 本 相 同 的 。 所 以 我 们 推 测 ， 负 责 处 理 L T E 连 接 的 B T S 软 件 同 样 也 使 用 了 类 似 的 信 号 收 发 器 代 码 。   受 影 响 产 品 受 影 响 产 品 － Y a t e B T S < =   5 . 0 . 0 － O p e n B T S < =   4 . 0 . 0 － O p e n B T S - U M T S < =   1 . 0 . 0 － O s m o - T R X / O s m o - B T S < =   0 . 1 . 1 0 － 以 及 其 他 使 用 了 相 同 信 号 收 发 器 代 码 的 产 品
  相 关 厂 商 相 关 厂 商 － L e g b a 股 份 有 限 公 司 （ Y a t e B T S ） － R a n g e N e t w o r k s （ O p e n B T S 和 O p e n B T S - U M T S ） － O s m o C O M （ O s m o - T R X 和 O s m o - B T S ）   问 题 一 ： 过 度 暴 露 的 服 务 绑 定 问 题 一 ： 过 度 暴 露 的 服 务 绑 定 概 述 概 述 这 个 漏 洞 存 在 于 上 述 产 品 的 网 络 库 中 ， 这 个 问 题 导 致 信 号 收 发 器 的 U D P s o c k e t s 地 址 绑 定 到 了 0 . 0 . 0 . 0 ， 但 是 这 三 个 信 号 收 发 器 的 地 址 应 该 绑 定 到 用 户 设 置 的 地 址 上 （ 默 认 为 1 2 7 . 0 . 0 . 1 ） 。 这 也 就 意 味 着 ， 攻 击 者 可 以 利 用 这 些 地 址 来 与 B T S 系 统 进 行 连 接 ， 并 从 信 号 收 发 器 中 接 收 （ 发 送 ） 数 据 包 。 除 此 之 外 ， 访 问 这 些 暴 露 了 U D P 网 络 套 接 字 的 服 务 其 安 全 性 将 无 法 得 到 保 障 ， 因 为 任 何 身 份 验 证 机 制 都 无 法 保 证 这 些 服 务 的 安 全 。 图 三 ： 三 个 信 号 收 发 器 的 套 接 字 地 址 全 部 绑 定 到 了 地 址 0 . 0 . 0 . 0 影 响 影 响 攻 击 者 可 以 使 用 I P 连 接 来 发 送 U D P 数 据 包 ， 并 获 取 B T S 的 所 有 功 能 。 这 也 就 意 味 着 ， 攻 击 者 可 以 实 现 远 程 控 制 、 G S M 流 量 劫 持 、 获 取 用 户 的 通 信 数 据 、 D o S 拒 绝 服 务 攻 击 ， 甚 至 还 会 发 生 更 加 糟 糕 的 事 情 。 细 节 披 露 细 节 披 露 我 们 可 以 在 U D P S o c k e t 类 的 构 造 器 中 找 到 引 起 这 个 漏 洞 的 根 本 原 因 。 在 源 文 件 “ C o m m o n L i b s / S o c k e t s . c p p ” 中 ， 你 可 以 找 到 “ U D P S o c k e t : : o p e n ” 方 法 ， 而 正 是 这 个 方 法 中 的 错 误 代 码 才 导 致 了 这 个 漏 洞 的 存 在 。 值 得 注 意 的 是 ， 所 有 受 影 响 的 产 品 中 都 包 含 有 这 份 源 文 件 。 下 面 这 段 代 码 就 是 漏 洞 代 码 ： 从 上 面 的 代 码 段 中 我 们 可 以 看 到 ， 系 统 将 绑 定 的 地 址 保 存 到 了 m D e s t i n a t i o n 类 的 成 员 变 量 中 ， 但 是 U D P S o c k e t : : o p e n 方 法 的 实 现 方 式 却 是 这 样 的 ：
尽 管 U D P S o c k e t 类 提 供 了 一 个 构 造 参 数 来 指 定 服 务 器 所 要 绑 定 的 I P 地 址 ， 但 是 这 部 分 数 据 却 被 代 码 忽 略 了 。 正 如 上 图 第 2 7 2 行 代 码 所 示 ， 通 信 s o c k e t 被 绑 定 到 了 I N A D D R _ A N Y ， 然 而 并 没 有 使 用 m D e s t i n a t i o n 地 址 变 量 。   问 题 二 ： 基 于 栈 的 远 程 缓 冲 区 溢 出 问 题 二 ： 基 于 栈 的 远 程 缓 冲 区 溢 出 概 述 概 述 攻 击 者 可 以 通 过 向 设 备 的 控 制 信 道 发 送 一 个 较 大 的 U D P 数 据 包 来 引 起 栈 缓 冲 区 的 溢 出 。 影 响 影 响 攻 击 者 可 以 实 现 远 程 代 码 执 行 （ R C E ） 或 者 对 设 备 发 动 拒 绝 服 务 （ D o S ） 攻 击 。 细 节 披 露 细 节 披 露 控 制 信 道 是 由 源 文 件 T r a n s c e i v e r . c p p 中 的 T r a n s c e i v e r : : d r i v e C o n t r o l 方 法 控 制 的 。 这 部 分 代 码 如 下 所 示 ： 注 意 代 码 中 数 据 包 的 缓 存 空 间 ， 这 部 分 空 间 存 在 于 方 法 栈 中 ， 其 大 小 被 定 义 为 1 0 0 字 节 （ M A X _ P A C K E T _ L E N G T H ） 。 接 下 来 ， 我 们 对 源 文 件 S o c k e t s . c p p 中 声 明 的 D a t a g r a m S o c k e t : : r e a d 方 法 （ D a t a g r a m S o c k e t 类 是 U D P S o c k e t 类 的 父 类 ） 进 行 了 分 析 ， 结 果 我 们 发 现 了 下 列 信 息 ： 我 们 可 以 看 到 ， 代 码 读 取 的 是 M A X _ U D P _ L E N G T H 所 代 表 的 长 度 ， 并 非 M A X _ P A C K E T _ L E N G T H 变 量 的 值 。 而 M A X _ U D P _ L E N G T H 的 值 是 在 S o c k e t s . h 源 文 件 中 定 义 的 ， 如 下 图 所 示 ：
因 此 ， 攻 击 者 只 需 要 向 信 号 收 发 器 发 送 一 个 大 小 超 过 1 0 0 字 节 的 U D P 数 据 包 ， 就 可 以 成 功 在 目 标 设 备 上 引 起 栈 溢 出 。 图 四 显 示 的 是 该 漏 洞 所 引 发 的 错 误 调 试 信 息 ： 图 四 ： 由 于 U D P 数 据 包 过 大 所 导 致 的 数 据 包 切 分 错 误   问 题 三 ： 未 经 身 份 验 证 的 远 程 控 制 问 题 三 ： 未 经 身 份 验 证 的 远 程 控 制 概 述 概 述 控 制 信 道 并 没 有 引 入 任 何 形 式 的 身 份 验 证 机 制 。 再 加 上 ‘ 问 题 一 ’ 使 得 其 部 分 信 息 暴 露 在 了 外 部 网 络 中 ， 所 以 恶 意 攻 击 者 就 可 以 利 用 这 个 漏 洞 来 远 程 控 制 信 号 收 发 器 模 块 。 影 响 影 响 攻 击 者 可 以 ： － 通 过 关 闭 模 块 来 实 现 拒 绝 服 务 攻 击 。 － 通 过 修 改 无 线 电 信 号 频 率 来 阻 塞 信 号 发 送 。 － 通 过 “ S E T B S I C ” 命 令 远 程 劫 持 B T S 。   细 节 披 露 细 节 披 露 控 制 信 道 使 用 源 文 件 T r a n s c e i v e r . c p p 中 的 T r a n s c e i v e r : : d r i v e C o n t r o l 方 法 来 处 理 U D P 协 议 。 该 协 议 暴 露 的 部 分 功 能 包 括 ： － 开 启 或 关 闭 T R X 模 块 ： C M D P O W E R O N   /   C M D   P O W E R O F F
－ 更 改 T R X 的 无 线 频 率 ： C M D R X T U N E   f r e q u e n c y   /   C M D   T X T U N E   f r e q u e n c y － 设 置 G S M 信 号 的 验 证 信 息 ： C M D S E T B S I C   v a l u e 攻 击 者 只 需 要 向 服 务 器 的 5 7 0 1 端 口 发 送 一 个 简 单 的 U D P 数 据 包 ， 就 可 以 远 程 执 行 上 面 这 些 控 制 命 令 了 。 关 于 协 议 的 完 整 内 容 可 以 在 T R X M a n a g e r / R E A D M E . T R X M a n a g e r 文 件 中 找 到 。 结 论 ， 缓 解 方 案 ， 以 及 建 议 结 论 ， 缓 解 方 案 ， 以 及 建 议 通 过 这 篇 文 章 ， 想 必 大 家 已 经 了 解 了 这 些 代 码 漏 洞 和 身 份 验 证 机 制 的 缺 乏 将 会 如 何 影 响 上 述 的 这 些 B T S 产 品 了 。 而 且 不 仅 如 此 ， 攻 击 者 甚 至 还 可 以 利 用 这 些 漏 洞 来 发 动 大 规 模 的 网 络 攻 击 。 我 们 强 烈 建 议 厂 商 赶 紧 采 取 下 列 的 缓 解 措 施 ， 以 提 升 相 应 产 品 的 安 全 性 能 ： 1 .         更 新 你 的 B T S 软 件 ， 如 果 收 到 了 更 新 补 丁 推 送 ， 请 尽 快 安 装 补 丁 程 序 。 2 .         将 用 于 控 制 操 作 和 数 据 转 换 的 s o c k e t 地 址 绑 定 到 本 地 接 口 （ 1 2 7 . 0 . 0 . 1 ） 。 3 .         防 火 墙 ： 阻 止 流 经 端 口 5 7 0 1 （ 控 制 端 口 ） 和 端 口 5 7 0 2 （ 数 据 端 口 ） 的 所 有 外 部 网 络 流 量 。 4 .         引 入 身 份 验 证 系 统 ， 以 防 止 没 有 权 限 的 攻 击 者 通 过 B T S 控 制 端 口 来 登 录 服 务 器 或 访 问 网 络 。 5 .         修 复 代 码 中 的 缓 冲 区 大 小 问 题 。 6 .         进 行 额 外 的 代 码 审 计 。 *   参 考 来 源 ： Z I M P E R I U M z L a b s ， 本 文 由 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f （ F r e e b u f . C O M ）
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理