从基站到SIM卡：手把手教你用Wireshark抓包分析GSM/LTE网络中的关键标识符

从基站到SIM卡：实战解析移动通信网络中的关键标识符

移动通信网络如同一个庞大的数字迷宫，而其中的各种标识符就是指引信号传输的路标。对于开发者、安全研究员和网络技术爱好者来说，理解这些标识符不仅能够加深对通信原理的认识，更能为网络优化、安全测试提供实际帮助。本文将带您深入GSM/LTE网络的底层，通过Wireshark抓包分析，揭示那些隐藏在信号背后的关键信息。

与大多数理论性文章不同，我们聚焦于"看到即所得"的实践方法。您将学习如何搭建简易的测试环境，捕获真实的空口信令，并从中提取CGI、TMSI等关键标识符。更重要的是，我们会解析这些标识符在实际通信流程中的作用，比如它们如何在位置更新、呼叫建立过程中被使用。

1. 搭建测试环境：从硬件到软件

在开始抓包之前，一个合适的测试环境是必不可少的。不同于商业基站，我们可以使用软件无线电(SDR)设备来构建一个可控的测试网络。以下是几种常见的配置方案：

• 低成本入门方案：RTL-SDR加密狗配合开源软件
  • 硬件：RTL2832U芯片的电视棒(约20美元)
  • 软件：GNURadio、gr-gsm等开源项目
• 专业级方案：USRP设备配合专用软件
  • 硬件：USRP B200mini(约700美元)
  • 软件：srsRAN、OpenBTS等
• 云环境方案：AWS等云服务提供的SDR实例

注意：所有测试应在法律允许的范围内进行，建议使用隔离的测试频段或向当地无线电管理部门申请实验许可。

配置完成后，我们需要确保系统能够正确识别GSM/LTE信号。以下是一个基本的gr-gsm安装和测试命令：

# 安装gr-gsm sudo apt-get install gnuradio gr-osmosdr gr-gsm # 启动GSM接收 grgsm_livemon -f <频率> -g <增益>

如果一切正常，您应该能在终端看到类似下面的输出，表明已成功捕获到GSM信号：

[DEBUG] [0x7f8f2b7fe700] GSM解调: 检测到FCCH突发，ARFCN=45 [INFO] [0x7f8f2b7fe700] 已同步到基站，MCC=310，MNC=260

2. Wireshark配置与基础抓包技巧

Wireshark作为网络分析的神器，同样适用于移动通信协议的分析。但在开始前，需要进行一些特定配置：

关键配置步骤：

1. 安装必要的解码插件

   • 从Wireshark官网下载最新的GSM、LTE协议支持包
   • 确保启用了"GSM A-bis"和"GSM Um"协议解析

2. 接口设置

   • 对于SDR设备，通常需要通过虚拟接口(如lo或新建的tap)接入
   • 设置合适的缓冲区大小(建议256MB以上)

3. 显示过滤器预设

   • 预先保存常用的GSM/LTE过滤表达式
   • 配置颜色规则突出显示关键信令

一个典型的首次捕获可能包含大量冗余信息。这时，我们需要掌握几个基础过滤技巧：

# 简单的Python脚本可以帮助预处理捕获文件 from pyshark import FileCapture cap = FileCapture('gsm_capture.pcapng', display_filter='gsm_a.dtap') for pkt in cap: if hasattr(pkt.gsm_a, 'imsi'): print(f"发现IMSI: {pkt.gsm_a.imsi}")

3. 关键标识符解析实战

移动网络中的每个元素都有其独特的"身份证"，理解这些标识符是分析网络行为的基础。我们将通过实际捕获的数据包，逐一解析最常见的几种标识符。

3.1 小区全球标识(CGI)

CGI是基站小区的全球唯一标识，相当于小区的"邮政地址"。在Wireshark中，它通常出现在以下几种消息中：

• 系统信息消息：如SI1、SI3等
• 测量报告：手机上报的邻区测量结果
• 切换命令：源小区和目标小区的CGI

一个典型的CGI结构如下：

MCC-MNC-LAC-CI │ │ │ └─ 小区ID(16bit) │ │ └─── 位置区码(16bit) │ └─────── 移动网络码(8-12bit) └─────────── 移动国家码(12bit)

在Wireshark中查找CGI的技巧：

1. 使用过滤表达式：gsm_a.rr.cgi或lte-rrc.cellGlobalId
2. 关注"System Information Type 3"消息
3. 在切换流程中对比源CGI和目标CGI

3.2 用户标识：从IMSI到TMSI

用户标识是通信隐私的核心，也是网络识别终端设备的关键。现代网络采用分层标识策略来平衡效率与安全：

标识符演变流程：

1. IMSI(国际移动用户识别码)：存储在SIM卡中的永久标识
   • 结构：MCC-MNC-MSIN (通常15位)
   • 仅在初始注册等关键流程中使用
2. TMSI(临时移动用户识别码)：由VLR分配的临时标识
   • 32位本地有效标识
   • 定期更新以增强隐私
3. P-TMSI(分组TMSI)：用于数据业务
   • 类似TMSI但用于PS域

在Wireshark中捕获这些标识符需要特别注意：

重要提示：IMSI属于敏感用户信息，在实际测试中应使用测试SIM卡，避免触及真实用户隐私。商业网络中捕获IMSI可能涉及法律问题。

一个安全的实践方法是关注TMSI分配流程：

1. 过滤位置更新请求：gsm_a.dtap == location_updating_request
2. 查找鉴权响应消息中的TMSI分配
3. 跟踪后续信令中TMSI的使用情况

# 使用tshark提取TMSI变更记录 tshark -r capture.pcap -Y "gsm_a.dtap.tmsi" -T fields -e gsm_a.dtap.tmsi

3.3 呼叫流程中的MSRN解析

MSRN(移动台漫游号码)是呼叫建立过程中的关键临时标识。与常规标识不同，MSRN的特点包括：

• 临时性：仅在呼叫建立期间有效
• 路由功能：用于GMSC查询当前VLR位置
• 分配机制：由被叫方VLR动态分配

在Wireshark中分析MSRN的最佳时机是呼叫建立流程：

1. 过滤呼叫建立消息：gsm_a.map == sendRoutingInfo
2. 查找包含MSRN的响应消息
3. 对比主叫IMSI与被叫MSRN的关联关系

以下表格对比了几种常见标识符的特性：

4. 实战案例：跟踪一次完整的呼叫流程

现在，我们将所有知识综合应用，通过Wireshark跟踪一次完整的移动呼叫流程，观察各种标识符如何协同工作。

4.1 位置更新流程

呼叫开始前，手机必须完成网络注册。这个流程展示了TMSI的分配过程：

1. 手机发送位置更新请求

   • 包含当前TMSI(如果是重新注册)
   • 或IMSI(如果是首次注册)

2. 网络响应鉴权挑战

   • 典型消息：Authentication Request
   • 包含RAND挑战值

3. TMSI分配

   • 在Location Updating Accept中分配新TMSI
   • 可能伴随加密命令

在Wireshark中，我们可以这样过滤关键消息：

(gsm_a.dtap == location_updating_request) || (gsm_a.dtap == authentication_request) || (gsm_a.dtap == location_updating_accept)

4.2 主叫发起流程

当用户拨打电话时，网络开始协调资源：

1. 信道请求(Channel Request)

   • 通过RACH信道发送
   • 包含建立原因(本例为"originating call")

2. 立即指配(Immediate Assignment)

   • 网络分配专用信道
   • 包含时隙、频点等物理层参数

3. 呼叫建立(Setup)

   • 包含被叫号码(MSISDN)
   • 开始TMSI到MSRN的转换

这个阶段的关键是观察TMSI如何被用于识别主叫方。在加密启用的情况下，我们可能无法直接看到TMSI，但可以通过之前的关联确定。

4.3 被叫寻址流程

被叫方的处理流程展示了MSRN的生成与使用：

1. HLR查询(Send Routing Info)

   • GMSC向HLR查询被叫当前位置
   • HLR返回当前服务的VLR地址

2. MSRN分配(Provide Roaming Number)

   • 被叫方VLR动态分配MSRN
   • MSRN通常格式为常规电话号码

3. 呼叫建立(IAM in ISUP)

   • 使用MSRN而非原始被叫号码
   • 实现路由的最终跳转

在Wireshark中，这个流程可以通过以下过滤条件跟踪：

gsm_a.map.opcode == sendRoutingInfo || gsm_a.map.opcode == provideRoamingNumber

4.4 端到端标识符流转

综合整个呼叫流程，标识符的转换路径如下：

主叫方TMSI → 主叫方IMSI(HLR查询) → 被叫方IMSI(HLR) → 被叫方VLR分配MSRN → MSRN用于路由 → 最终转换为被叫方TMSI(当前VLR)

这个链条展示了移动网络如何在保护用户隐私的同时，实现高效的呼叫路由。通过Wireshark，我们能够实际观察到每个转换节点的具体信令交互。

5. 高级技巧与异常分析

掌握了基础流程后，我们可以进一步探索更复杂的场景和问题排查方法。

5.1 加密环境下的标识符追踪

现代网络普遍启用加密，这给协议分析带来挑战。以下是几种应对策略：

• 利用初始未加密消息：如系统信息、位置更新请求
• 关注信令元数据：即使内容加密，消息类型、时序仍有价值
• 合法测试环境配置：在可控环境中临时禁用加密

一个实用的方法是建立消息时序图，即使内容不可读，也能通过消息流判断状态：

手机 基站 核心网 │──位置更新请求──>│ │ │ │──鉴权请求──────>│ │ │<──鉴权响应──────│ │<─TMSI分配───────│ │

5.2 常见问题与标识符关联

许多网络问题可以通过标识符分析定位：

• 频繁位置更新：检查TMSI有效期设置
• 切换失败：对比源CGI与目标CGI配置
• 呼叫建立失败：跟踪MSRN分配过程

例如，当发现大量TMSI_Reallocation_Command消息时，可能表明：

• 网络故意频繁更换TMSI以增强安全
• VLR存在配置问题导致TMSI无法持久
• 地理边界设置不当引发不必要的更新

5.3 自动化分析脚本示例

对于大规模日志分析，可以结合Python自动化处理：

import pyshark from collections import defaultdict def analyze_tmsi_usage(pcap_file): cap = pyshark.FileCapture(pcap_file, display_filter='gsm_a.dtap') tmsi_changes = defaultdict(list) for pkt in cap: if hasattr(pkt.gsm_a, 'tmsi'): tmsi = pkt.gsm_a.tmsi if hasattr(pkt.gsm_a, 'tmsi_old'): tmsi_changes[tmsi].append(pkt.gsm_a.tmsi_old) return tmsi_changes # 使用示例 changes = analyze_tmsi_usage('network_trace.pcap') for new_tmsi, old_list in changes.items(): print(f"新TMSI: {new_tmsi} 替换了 {len(old_list)} 个旧TMSI")

这个脚本可以帮助统计网络中TMSI的更新频率，辅助判断是否存在异常。

6. 安全与隐私考量

在进行移动网络分析时，必须时刻牢记安全与隐私的边界。以下是一些重要准则：

• 测试SIM卡使用：始终使用专门准备的测试卡，避免接触真实用户数据
• 环境隔离：所有测试应在屏蔽室或专用频段进行
• 数据最小化：只收集必要的技术数据，立即匿名化处理
• 法律合规：事先获取所有必要的实验许可

实际操作中，可以采取这些具体措施：

安全措施对照表：

专业提示：即使是在合法研究中，也建议采用"黑箱"分析方法—只观察元数据和时序，不尝试解密或存储任何可能的用户内容。