为什么别人会掌握你的手机号码？ ----伪基站诱骗终端IMSI过程详解

浮云游子意

Original Mr.Kang [url=]和老康一起学5G[/url]

IMSI(International Mobile Subscriber Identity)是用于区分蜂窝网络中不同用户、在所有蜂窝网络中不重复的(个人)识别码。手机在接入网络时将IMSI通过一个64比特的字段发送给网络。

IMSI是由一串十进制数字组成，最大长度为15位(实际使用长度绝大部分是15位，短于15位的少见)。

IMSI由移动国家代码(MCC-Mobile Country Code)、移动网络代码(MNC-Mobile Network Code)和移动订户识别代码(MSIN-Mobile subscription identification number)依次连接而成。

                                                        -----得IMSI者，得用户号码

为了获取某区域用户的IMSI，一些别有用心者会在用户经常活动地架设伪基站捕获用户IMSI；以下从移动通信原理结合现场测试LOG对其过程予以解析；

3GPP TS24.301规定当移动终端(UE)检测到一个新的TAC时将发起TAU(TAC区更新)流程；在TAU过程中UE需将其IMEI,TMSI和GUTI等关键信息上报给核心网；核心网根据其信息更新归属信息，以便UE继续进行业务；而伪基站正是通过截取用户IMSI这一关键信息，还原号码；然后通过其发射单元向用户发布广告，诈骗等危害社会的不良信息。现网中伪基站获取用户信息主要分为三个阶段,它们分别如下：

一、诱惑终端发起重选

伪基站采用与现网相同的网络代码、频段、扰码等基础信息持续发射无线信号；终端(UE)测量到其小区信息，对比服务小区电平后进行小区重选；因伪基站小区TAC与现网不同，UE发起TAC更新流程；

Time	Event	Event Information
15:46:05:590	LTEMeasurementReport	UE测量到X小区信号
15:46:06:258	LTERandomAccessRequest	UE发起向X小区随机接入
15:46:06:697	LTERRCConnectionReestablishmentRequest	RRC连接重建请求
15:46:06:697	LTERandomAccessComplete	随机接入完成
15:46:06:697	LTERRCConnectionReestablishmentReject	RRC重建拒绝（-没有上下文）
15:46:06:697	LTERRCConnectionReestablishmentRejectBeforeERAB	Reestablishment reject before E-RAB Accept
15:46:06:784	LTETauRequest	TAU请求
15:46:06:784	LTERRCConnectionRequest	RRC连接请求
15:46:06:784	LTETauConnectionRequest	TAU Connection Request
15:46:06:861	LTERandomAccessRequest	随机接入请求（在X小区）
15:46:06:914	LTERandomAccessComplete	随机接入完成（在X小区）
15:46:06:914	LTERRCConnectionSetup	RRC连接建立
15:46:06:914	LTERRCConnectionEstablished	RRC连接完成
15:46:06:914	LTETauConnectionSetup	TAU Connection Setup
15:46:06:967	LTETauReject	TAU拒绝
15:46:06:967	LTERRCConnectionReleaseNormal	Release before default EPS bearer setup complete

图表1 UE被诱惑全部流程

1.1 UE测量到(PCI=33)伪小区，RSRP=58高于服务小区65；

测量到邻区

伪小区信息

                                 图表2 UE发现目标读取信息

1.2 UE发起向伪小区(PCI=33)RRC重建

UE发起向该小区的重建(层2呈现为随机接入-见图表1)；重建失败后发起向该小区RRC连接重建，连接重建拒绝。

                          图表3  UE接入失败又重建

二、终端在伪基站进行TAU

2.1 UE发起TAU(伪小区)请求，其中携带T_IMSI、T_IMEI、T_GUTI等信息；

          图表 4  TAU请求中携带消息内容

2.2 UE与伪小区进行消息直传，UE在伪小区的RRC连接建立后携带自身内容进行消息直传;

                                    图表5 在伪小区RRC连接和消息直传

2.3 UE与伪小区信息交互

伪小区发送身份查询(IDENTITY REQ)，UE响应回复上报自身T_IMSI等关键内容----伪基站真实目的实现。

             图表6 伪小区查询身份信息和UE回应

三、TAU拒绝UE被踢出

伪基站因与运营商核心网无连接，终端上报其用户信息后TAU被拒绝；伪小区释放分配给终端的RRC连接。

                图表7  TAU拒绝和无线连接释放

至此，被骗的终端重新读取运营商网络小区系统消息再次进行TAU；然后再继续中断的业务流程。

在移动通信网络中除空口外，还有其他可获取用户信息及通信内容的渠道和方法--本公众号曾在"5G(NR)网络中的合法拦截"一文有详细介绍；但这是基于国家安全及法律、法规需要，除此之外均是触犯法律的事，切勿以身试法！