GSM Hacking Part② ：使用SDR捕获GSM网络数据并解密

0×00

在文章第一部分 GSM Hacking Part① ：使用SDR扫描嗅探GSM网络 搭建了嗅探GSM流量的环境，在第二部中，我们来讨论如何捕获发短信以及通话过程中的流量，从捕获到的数据中解密提取出短信文字以及通话语音。

0×01

1.1 获取三星漏洞利用代码：

这是三星的Modem interface exposed via USB通过该exp可对设备输入AT指令进行调试（此方法仅适用于：Galaxy Note 3、Galaxy S4、Galaxy S5、Galaxy S6）。

AT 即Attention,AT指令用于终端设备与PC应用之间的连接与通信。

1.2 源码编译libusb：

1.3 gcc编译PoC:

0×02 获取Kc、TMSI参数

插入三星设备，可以在/dev/ttyACM*中找到它：

2.1 switcher

这一步比较尴尬，需要反复执行才能成功进入交互界面，如果实在不行可以尝试下一种方式，使用minicom：

2.2 minicom

通过AT指令获取Kc\TMSI可参阅：Attacking the Baseband Modem of Mobile Phones to Breach the users’ Privacy and network Security

2.3 Kc

GSM系统中的加密也只是指无线路径上的加密，防止BTS和MS之间交换客户信息和客户参数时不被非法个人或团体所得或监听，在鉴权程序中，当客户侧计算SRES三参数组的提供时，同时用另一算法(A8算法)也计算出密钥Kc。根据MSC/VLR发送出的加密命令，BTS侧和MS侧均开始使用Kc。在MS侧，由Kc、TDAM帧号和加密命令M一起经A5算法，对客户信息数据流进行加密，在无线路径上传送。在BTS侧，把从无线信道上收到加密信息数据流、TDMA帧号和Kc，再经过A5算法解密后，传送BSC和MSC。可以通过AT指令获取KC值：

演示视频中，Crazy Danish Hacker获得了该值为：5973237C3E96980303 丢弃最后两位，即：5973237C3E9698033

0×03 信号捕获

3.1 确定当前手机接入基站

手机在连入GSM基站时，我们可通过一些方式确定自己手机连入的是哪个基站、ARFCN是多少，安卓手机在2G状态时，可在键盘拨号界面输入

上面这个是安卓通用的如果你的手机没反应，还可以尝试

进去以后能找到基站的MCC、MNC、ARFCN这些参数。

MCC 移动国家码

MNC Mobile Network Code，移动网络码，共2位，中国联通GSM系统使用01，中国移动GSM系统使用02

ARFCN 绝对无线频道编号（Absolute Radio Frequency Channel Number – ARFCN ），是在GSM无线系统中，用来鉴别特殊射频通道的编号方案。

手机开机后，即搜索广播控制信道（BCCH）的载频。因为系统随时都向在小区中的各用户发送出用广播控制信息。手机收集到最强的（BCCH）对应的载频频率后，读取频率校正信道（FCCH），使手机（MS）的频率与之同步。所以每一个用户的手机在不同的位置（即不同的小区）的载频是固定的，它是由GSM网络运营商组网时确定，而不是由用户的GSM手机来决定。

手机读取同步信道（SCH）的信息后找出基地站（BTS）的认别码，并同步到超高帧TDMA的帧号上。手机在处理呼叫前要读取系统的信息。如：领近小区的情况、现在所处小区的使用频率及小区是否可以使用移动系统的国家号码和网络号码等等，这些信息都以BCCH上得到。

手机在请求接入信道（RACH）上发出接入请求的信息，向系统传送SIM卡帐号等信息。系统在鉴权合格后，通过允许接入信道（AGCH）使GSM手机接入信道上并分配给GSM手机一个独立专用控制信道（SDCCH）。手机在SDCCH上完成登记。在慢速随路控制信道（SACCH）上发出控制指令。然后手机返回空闲状态，并监听BCCH和CCCH公共控制信道上的信息。

在Part 1 中937.4MHz这个基站的ARFCN为12，本部分假设我们的手机接入的是这个基站，接下来，我们通过SDR捕获这个基站的下行数据包：

3.2 确定当前基站的下行频率：

打开http://www.cellmapper.net/arfcn.php

结果：

获取Downlink Frequency 下行频率 (base station to phone) ：937.4 MHz 写作：937400000

3.3捕获下行数据包：

命令执行后可以用另外一部手机给接入ARFCN 12基站的手机打电话、发短信，这样我们就实现了捕获通话过程中的语音、短信数据包。

捕获到数据包后再次查看KC、TMSI，确定这两个数值没有改变。

0×04 信号解码

捕获完数据以后再次获取KC TMSI值：

4.1 KC:

演示视频中输出结果为：5973237C3E96980303 丢弃最后两位，即：5973237C3E969803

4.2 TMSI:

演示视频中输出结果为：9062FF7632F8665610FF00 取其前4bytes,也就是前8字节，即：9062FF76

一起来看看解码脚本的用法：

decode usage

在接下来的解码案例中，我们以gr-gsm开源项目的测试数据为例：https://github.com/ptrkrysik/test_data

测试数据已知参数如下：

在Immediate Assignment中，我们可以确定广播控制信道（HCCH）为： SDCCH、Timeslot:1

使用我们刚刚知道的参数再次解密：

在这一步我们解码出的数据包数量比前几步少了很多，我们可以通过Ciphering Mode Command这一栏的数据包确定A5类型:

A5算法在1989年由法国人开发，用于GSM系统的序列密码算法。

A5它用于对从电话到基站连接的加密，先后开发了三个版本记作A5/1、A5/2、A5/3，如果没有特别说明，通常所说的A5是指A5/1。

确定了加密算法，再次执行解密脚本：

在cc Setup这一项，可以看到Calling party BCD number – Calling party number(被叫手机显示的主叫号码):

Assignment Command一栏信息如下：

在上面这幅图中我们确定了 CHAN_MODE 为TCHF，Timeslot为5，有了这些信息，我们便能从捕获到的文件中提取出通话语音，其效果类似于通话监听：

进入/tmp缓存目录中，已经可以发现一个音频文件了：

安装VLC播放器：

耳机了传来歪果仁酸爽“test”的声音。解码出音频的文件：https://pan.baidu.com/s/1i5jn1A1

0×05 refer

GSM Sniffing: TMSI & KC Extraction – Software Defined Radio Series #9
Voice Decryption 语音解密
SMS Decryption 短信解密
SMS text messeges and voice calls sniffing
https://ccdcoe.org/cycon/2015/proceedings/16_xenakis_ntantogian.pdf

原文地址：http://www.freebuf.com/articles/wireless/111577.html

本文转自 K1two2 博客园博客，原文链接：

http://www.cnblogs.com/k1two2/p/5804566.html

  ，如需转载请自行联系原作者