无线电安全攻防大揭秘

√ 奇虎360公司神秘之师——无线电设备安全界特级纵队荣誉出品√ 门禁卡|遥控车锁|航电|蓝牙|卫星|ZigBee|移动通信全能搞定√ 嗅探|漏洞分析|信号伪造|加密破解|密钥获取|克隆攻击一本道√ 物联网时代颠覆安全*前线，看不见硝烟的战场更要握紧盾牌！ 

本书着眼于无线通信安全领域，以无线通信距离由近及远的顺序，讨论各种无线通信系统的安全问题。协议分析结合攻防实例，深入介绍安全攻防技术。案例题材囊括物联网、车联网、移动通信、卫星导航及相关的软硬件安全。本书共分 9 章，其中第 1 章介绍作者在无线安全攻防领域多年来的思路、理念及对该领域未来的展望；第 2~8 章分别介绍各种无线通信系统的安全攻防（RFID、无线遥控、ADS-B、BLE、ZigBee、移动通信、卫星通信等）及实例测试；第9 章介绍无线安全研究的重要手段，软件无线电工具GNU Radio和相关硬件的详细使用。希望本书可以为对无线通信安全感兴趣的同学、从业者、产品研发人员提供有价值的安全参考。

杨卿，360独角兽安全团队（UnicornTeam）、360天巡企业安全产品负责人。国内首个地铁无线网（Wireless）与公交卡（NFC）安全漏洞的发现及报告者。2015年315晚会WiFi安全环节的“网络安全工程师”及后台技术负责人。美国DEFCON黑客大会、加拿大CanSecWest、韩国POC、中国XCON、ISC等安全峰会演讲者。黄琳，UnicornTeam高级无线安全研究员，软件无线电专家，北京邮电大学博士。擅长无线信号分析和逆向，移动通信安全。国内该领域著作《GNURadio入门》的作者。首位实现低成本GPS信号欺骗试验的中国安全研究人员。美国DEFCON黑客大会、韩国POC、荷兰HITB等安全峰会演讲者。张婉桥，UnicornTeam无线通信安全研究员，i春秋无线通信安全讲师。主要从事无线电、物联网安全研究，熟悉SDR工具的使用、GPS信号欺骗及通信系统原理等。长期关注国内外无线电研究领域安全动态、案例。单好奇，UnicornTeam信息安全研究员。擅长Windows平台编程、嵌入式设备漏洞挖掘、新领域安全研究等，在无线安全领域小有建树。2015年于Defcon演讲《飞蜂窝基站劫持》，是美国黑客大会历*年轻的Speaker；2016年于Cansecwest及Syscan360演讲《高低频无线安全攻击防御套件》。李均，UnicornTeam信息安全研究员，成都信息工程大学信息安全工程学院硕士；美国DEFCON黑客大会、荷兰HITB、中国SyScan360等安全峰会演讲者；i春秋智能汽车安全讲师。研究方向包括传感器网络安全、嵌入式设备安全及汽车网络安全等。

目录第１章　鸟瞰无线安全攻防 11.1　无线安全概述 11.1.1　无线安全的由来 11.1.2　无线安全与移动安全的区别 21.1.3　无线安全的现状 21.2　无线安全攻防思路 31.2.1　常见攻击对象 31.2.2　无线安全攻击手段 31.2.3　无线安全防范思路 41.2.4　无线安全趋势 4第２章　RFID智能卡的安全研究 62.1　Mifare Classic智能卡简介 62.2　Mifare Classic智能卡安全分析 72.2.1　RFID芯片硬件逆向分析 82.2.2　RFID芯片加密算法细节 102.2.3　Mifare Classic业界破解过程回顾 122.3　Mifare Classic智能卡破解实例 152.3.1　Proxmark Ⅲ简介 152.3.2 Proxmark Ⅲ固件烧写及使用 172.3.3 Proxmark Ⅲ客户端 202.3.4 Proxmark Ⅲ安全测试Mifare Classic用例 232.3.5 Chameleon-Mini简介 292.3.6 Chameleon-Mini固件烧写及使用 302.3.7 Proxmark Ⅲ与Chameleon-Mini配合模拟Mifare Classic 352.3.8 RFID高频攻防总结 362.4 低频ID卡安全分析 362.4.1 低频ID卡简介 362.4.2 ID卡编码原理 372.4.3 ID卡译码原理 382.4.4 ID卡数据读取 392.4.5 ID卡卡号格式 402.5 低频ID卡克隆攻击 412.5.1 Proxmark Ⅲ模拟攻击 422.5.2 白卡克隆攻击 432.5.3 HackID模拟攻击 442.6 EMV隐私泄露 452.6.1 EMV简介 452.6.2 非接触式芯片卡隐私泄露原理 462.6.3 非接触式芯片卡隐私泄露现象 492.6.4 非接触式芯片卡个人隐私保护 50第３章　短距离无线遥控系统 523.1　遥控信号嗅探与安全分析 523.2　遥控信号重放攻击 553.3　车库门固定码暴力破解 593.3.1　暴力破解的复杂度分析 593.3.2　固定码暴力破解的硬件实现 613.4　汽车遥控钥匙信号安全分析 643.5　汽车胎压传感器系统安全分析 72第４章　航空无线电导航 784.1　ADS-B系统简介 784.1.1　ADS-B是什么 794.1.2　1090ES的含义 794.2　ADS-B信号编码分析 804.2.1　调制方式 804.2.2　报文格式 814.2.3　高度编码 824.2.4　CPR经纬度编码 834.2.5　CRC校验 854.3　ADS-B信号欺骗攻击 854.4　攻防分析 87参考文献 88第５章　蓝牙安全 905.1　蓝牙技术简介 905.2　蓝牙安全概述 915.3　蓝牙嗅探工具Ubertooth 935.3.1　Ubertooth软件安装 945.3.2 使用Ubertooth 955.4　低功耗蓝牙 975.4.1　TI BLE Sniffer 975.4.2　使用手机应用读写BLE设备的属性 1015.4.3　模拟BLE设备发射数据包 102第６章　ZigBee安全 1066.1　ZigBee简介 1066.1.1　ZigBee与IEEE 802.15.4的关系 1076.1.2　802.15.4帧结构 1086.1.3　ZigBee的MAC帧类型 1096.1.4　ZigBee设备类型及网络拓扑 1096.1.5　ZigBee组网过程 1106.1.6　ZigBee的应用层 1126.1.7　ZigBee的应用支持子层 1126.1.8　ZigBee应用Profile 1136.2　ZigBee安全 1136.2.1　安全层次 1146.2.2　密钥类型 1156.2.3　安全等级 1156.2.4　密钥分发 1166.2.5　ZigBee节点入网认证 1166.3　ZigBee攻击 1176.3.1　攻击工具介绍 1176.3.2　协议分析软件 1186.3.3　网络发现 1226.3.4　对非加密信息的攻击 1246.3.5　对加密信息的攻击 1266.4　攻击实例 1316.4.1　从设备中获取密钥 1316.4.2　利用密钥可进行的攻击 1386.5　攻防分析 141第７章　移动通信网络安全现状 1427.1　GSM系统安全现状 1427.1.1　GSM/UMTS系统术语和基本概念的简介 1427.1.2　GSM加密算法的安全性 1467.1.3　GSM攻击 1507.2　IMSI Catcher 1567.2.1　什么是IMSI Catcher 1567.2.2　GSM环境下的IMSI Catcher 1577.2.3　UMTS环境下的IMSI Catcher 1597.2.4　LTE环境下的IMSI Catcher 1607.2.5　IMSI Catcher的缺陷 1627.2.6　Stingray 手机追踪器 1637.2.7　IMSI Catcher Detector 1667.3　Femtocell安全 1697.3.1　Femtocell简介 1697.3.2　家庭基站的攻击面 1707.3.3　CDMA Femtocell漏洞综合利用 1717.3.4　基于VxWorks的GSM Femtocell流量捕获器 1787.3.5　350元玩转Femto 1847.4　降级攻击 1887.5　移动通信网络中的防御措施 189第８章　卫星通信安全 1908.1　人造卫星概况 1908.2　GPS的安全研究 1928.2.1　GPS嗅探与安全分析 1928.2.2　GPS信号伪造风险评估 1958.2.3　防御方法及建议 2118.3　Globalstar系统的安全分析 2128.3.1　Globalstar的码分多址技术 2138.3.2　Globalstar数据破解 2158.3.3　可能的攻击手法 220参考文献 221第９章　无线安全研究工具—GNU Radio 2239.1　软件无线电技术 2239.1.1　SDR的强大能力 2249.1.2　SDR的用途 2259.2　GNU Radio简介 2269.3　GNU Radio支持的硬件工具 2289.3.1　USRP 2289.3.2　RTL-SDR 2329.3.3　HackRF 2369.3.4　bladeRF 2379.4　GNU Radio安装 2399.4.1　从源码手动安装 2409.4.2　使用PyBOMBS安装GNU Radio 2439.4.3　如何更新软件版本 2459.5　安装好之后可以做的件事 2459.5.1　如果有硬件 2459.5.2　如果没有硬件 2499.6　GNU Radio的一些基本概念 2509.6.1　流图（flow graph） 2519.6.2　信号流中的颗粒（item） 2519.6.3　采样率 2529.6.4　metadata 2539.6.5　传递数据的两种方式：信号流和消息 2549.7　初学者如何使用GNU Radio 2549.7.1　如何编写流图—Python应用程序 2559.7.2　如何编写自己的C 模块 2659.7.3　如何编写自己的Python模块 2769.7.4　调试代码的方法 2799.8　范例解读—OFDM Tunnel 2839.8.1　系统框图和MAC帧的构成 2859.8.2　物理层 2869.8.3　调试方法 288

推荐序1本人已从事通信理论的研究与教学工作二十多年，曾承担多项科研项目以及与企业合作开发项目，在通信系统设计、算法优化和协议实现等方面积累了一些经验。应该讲，所有通信系统都存在安全问题，通信系统安全问题涉及设备安全、内容安全和防护安全等，各种安全措施伴随着通信和网络技术的发展而发展，特别是当今互联网技术的发展引发的安全问题越来越突出。近年来，国家层面对网络空间安全越来越重视，无线电的安全问题也越来越受到政府、企业和公众的关注。、非法广播电台，已经真实地影响到普通老百姓的生活。并且，随着软件无线电技术的发展，无线通信协议的实现成本变得越来越低，这意味着攻击的门槛也变得越来越低。在2009年，我的学生在研究OpenBTS的时候，就已经发现搭建的基站很容易把周围的手机吸入它的网络，这也许是国内早的。只是那时，我们从未想到，会泛滥成如今的样子。本书作者黄琳是我的学生，一位具有丰富经验的无线通信领域的专家，对无线通信和无线电安全进行了长期深入研究和实践。2010年，她曾写过一本《GNU Radio入门》教程，在网络上影响很大。她还曾作为中国360UnicornTeam的女性代表在第23届DEFCON世界黑客大会上发表演讲，在无线电安全领域产生了重要影响。《无线电安全攻防大揭秘》这本书，涵盖当前常见无线电多种应用的安全问题，内容讲解深入浅出、通俗易懂、可读性强，具备一般专业基础知识的读者均可阅读。本书既适合从事无线电安全领域的技术人员阅读，对无线电安全方面感兴趣的一般读者也可以通过本书对该领域有初步的了解。 王文博（北京邮电大学教授，研究生院常务副院长）推荐序2无线电安全是一个既年轻又古老的领域。有多古老呢？和无线电本身一样古老。1903年，当马可尼在伦敦皇家学院公开展示无线电通信时，他的竞争对手马斯基林就劫持了马可尼演示的通信。马斯基林在发射的信号中骂马可尼是“老鼠”、“欺骗公众的意大利佬”，弄得现场非常尴尬。直到今天，信号劫持及其防御，仍然是无线电安全领域的重要内容。二战期间，盟军成功破解纳粹用Enigma机加密的无线电报，大大改变了战局。盟军和纳粹当年在加密解密对抗上所做的工作，今天也仍是无线电安全领域的重要内容。随着时间的推移，无线电通信技术日趋先进、便捷和普及，无线电安全领域的攻防对抗也逐渐从神秘的实验室，走到了大众的身边。20世纪80年代，使用模拟信号的移动电话“大哥大”在香港流行，市面上也就随之出现了专门用于窃听“大哥大”的“小弟小”（粤语叫“细佬细”）。进入21世纪后，信息技术一日千里，作为其重要组成部分的数字无线电通信技术，也以惊人的速度在发展。然而，人们对这个领域安全对抗的了解却一度没有跟上。十几年前，黑市上刚出现GSM窃听装置时，还有不少通信领域的专家出来辟谣，认为GSM不可能被窃听。现在，GSM的不安全，至少在信息安全工作者中已经成为常识。今天，在智能手机的引领下，万物互联的趋势不可阻挡，也带动了各种无线通信技术的发展。当街边的大爷大妈也能随口说出“WiFi”、“GPS”这些词的时候，当家门口的电表也被接上天线的时候，无线电安全越来越多被大众关注也就不奇怪了。然而，相对软件安全领域，无线电安全人才还是比较缺乏的。我国每年培养的通信人才并不少，高校的安全专业建设这几年也逐渐跟上来了。但懂通信、会逆向，能拆能焊，又有攻防思维的跨界人才就比较稀罕了。而未来，这个领域会越来越重要。希望这本书能帮助更多对此有兴趣的年轻人走上无线电安全研究之路。无线传千里，攻防永不眠。于旸（腾讯玄武实验室总监，网名“tombkeeper”）推荐序3I first meet Yang Qing at Blackhat 2014 and was pleasantly surprised to learn such a young face leads a team on hardware security. Since then he has accomplished several works, ranging from GPS spoofing to designing various gadgets for protecting users’ security and privacy. When he told me about their book on wireless security, I was delighted because wireless security is such an important topic and needs much more attention and talents than what we have today.With the proliferation of wireless technologies, numerous emerging wireless devices have been woven into the fabric of our daily life, ranging from controlling our home appliances to making our vehicles automatically seek for help in emergency situations. Unfortunately, the security on these wireless devices has almost always lagged behind the plethora of the interests in integrating wireless technologies into almost everything. Granted that manufactories and designers have gradually increased their motivation in securing their devices, we have a long way to go. Spreading knowledge on wireless security is one of the critical efforts towards securing wireless devices, and this book serves as a good endeavor along this goal.Many academic books on wireless communication and wireless security are available, and many of them focus on the theoretical principles. This book is a collection of the systems works that Qing and his team have carried out in the past few years as well as the state of the art. The book covers a wide range of wireless devices, such as RFID, Bluetooth, Zigbee, GPS, and it contains many results, plots, screen-snapshots from real world experiments.This book can serve as a good tutorial for those who want to have their hand dirty and reproduce the prior findings. It can also be a good reference book for those who want to find out the off-the-shelf tools for exploring the wireless world. I hope this book can help to foster talents in wireless security and to teach them necessary skills to secure the wireless world for many years to come. 徐文渊（浙江大学教授，南卡大学终身教授）前言本书的由来想到在广泛的无线频谱里，有那么多技术应用可以被我们研究，寻找漏洞，并通过漏洞影响一个又一个现实的设备，如手机、电脑、汽车、传感器、工控机、智能家居，甚至是植入在人体内的各种医疗设备，你会不会感到很兴奋呢？是的，这其实就是我及我的团队一直专注的方向和领域。无线电技术是人类能前进到此刻的重大发明之一，我们不能忽视这里面可能发生的安全问题，我期待在未来会有更多的朋友加入一同在这一安全领域遨游。我们团队在国内还将继续作为先驱者带动这个安全领域的健康发展。这也是我们将多年来的所有积累编著成书的原动力。同时希望本书也可以为对无线通信安全感兴趣的同学、从业者、产品研发人员提供有价值的安全参考。本书的结构第1章介绍我本人在无线安全攻防领域多年来的思路、理念以及对该领域未来的展望。第2~8章分别介绍无线通信主流技术的安全攻防（RFID、射频、ADS-B、BLE、ZigBee、移动通信网络、卫星通信等）及实例测试。由独角兽安全团队（UnicornTeam）核心成员黄琳、单好奇、张婉桥、李均共同编写。第9章作为无线安全研究实操的核心内容，介绍无线安全研究工具GNU Radi

和杨卿认识是2010年的事情，那时他是360信息安全部安全工程师，帅哥一枚。2010年下半年的一天，他跑到我面前说：谭总，我们把北京公交一卡通破了……，围绕破解公交一卡通这事儿有很多很狗血的剧情，这里就不细表了。但这个事件的处理过程中让我对这个小伙子有了更深入的了解：做人很有底线、性格沉稳、内心很坚强，还有一个深爱着他的女朋友（现在已经是杨卿太太，他们宝贝女儿的妈妈……）。当杨卿提出组建Unicorn Team从事无线网络、无线电安全研究的时候，我无条件给予支持，既是看好无线网络、无线电安全这个研究方向，也是看好杨卿和他团队中的人。我相信有这些人，在兴趣驱动下，能在这个方向做出点事情来。Unicorn Team没有让我失望，先后在RFID、WiFi网络、2G数据通信网络、GPS、ZigBee、的安全研究中有所斩获，在DEFCON、CanSecWest、SyScan360等*的安全会议上有多个主题演讲，有几个研究成果还进行了产品化：360天巡WiFi入侵检测系统中标东莞无线城市项目、360卡防已经上市。我相信未来是一个万物互联的世界，无线网络必然扮演穿针引线的角色，而围绕无线网络的安全攻防不会有停止的一天。魔高一尺，道高一丈，Unicorn Team要成为未来世界的卫士。 ——谭晓生奇虎360 首席安全官

推荐序1本人已从事通信理论的研究与教学工作二十多年，曾承担多项科研项目以及与企业合作开发项目，在通信系统设计、算法优化和协议实现等方面积累了一些经验。应该讲，所有通信系统都存在安全问题，通信系统安全问题涉及设备安全、内容安全和防护安全等，各种安全措施伴随着通信和网络技术的发展而发展，特别是当今互联网技术的发展引发的安全问题越来越突出。近年来，国家层面对网络空间安全越来越重视，无线电的安全问题也越来越受到政府、企业和公众的关注。、非法广播电台，已经真实地影响到普通老百姓的生活。并且，随着软件无线电技术的发展，无线通信协议的实现成本变得越来越低，这意味着攻击的门槛也变得越来越低。在2009年，我的学生在研究OpenBTS的时候，就已经发现搭建的基站很容易把周围的手机吸入它的网络，这也许是国内早的。只是那时，我们从未想到，会泛滥成如今的样子。本书作者黄琳是我的学生，一位具有丰富经验的无线通信领域的专家，对无线通信和无线电安全进行了长期深入研究和实践。2010年，她曾写过一本《GNU Radio入门》教程，在网络上影响很大。她还曾作为中国360UnicornTeam的女性代表在第23届DEFCON世界黑客大会上发表演讲，在无线电安全领域产生了重要影响。《无线电安全攻防大揭秘》这本书，涵盖当前常见无线电多种应用的安全问题，内容讲解深入浅出、通俗易懂、可读性强，具备一般专业基础知识的读者均可阅读。本书既适合从事无线电安全领域的技术人员阅读，对无线电安全方面感兴趣的一般读者也可以通过本书对该领域有初步的了解。 王文博（北京邮电大学教授，研究生院常务副院长）推荐序2无线电安全是一个既年轻又古老的领域。有多古老呢？和无线电本身一样古老。1903年，当马可尼在伦敦皇家学院公开展示无线电通信时，他的竞争对手马斯基林就劫持了马可尼演示的通信。马斯基林在发射的信号中骂马可尼是“老鼠”、“欺骗公众的意大利佬”，弄得现场非常尴尬。直到今天，信号劫持及其防御，仍然是无线电安全领域的重要内容。二战期间，盟军成功破解纳粹用Enigma机加密的无线电报，大大改变了战局。盟军和纳粹当年在加密解密对抗上所做的工作，今天也仍是无线电安全领域的重要内容。随着时间的推移，无线电通信技术日趋先进、便捷和普及，无线电安全领域的攻防对抗也逐渐从神秘的实验室，走到了大众的身边。20世纪80年代，使用模拟信号的移动电话“大哥大”在香港流行，市面上也就随之出现了专门用于窃听“大哥大”的“小弟小”（粤语叫“细佬细”）。进入21世纪后，信息技术一日千里，作为其重要组成部分的数字无线电通信技术，也以惊人的速度在发展。然而，人们对这个领域安全对抗的了解却一度没有跟上。十几年前，黑市上刚出现GSM窃听装置时，还有不少通信领域的专家出来辟谣，认为GSM不可能被窃听。现在，GSM的不安全，至少在信息安全工作者中已经成为常识。今天，在智能手机的引领下，万物互联的趋势不可阻挡，也带动了各种无线通信技术的发展。当街边的大爷大妈也能随口说出“WiFi”、“GPS”这些词的时候，当家门口的电表也被接上天线的时候，无线电安全越来越多被大众关注也就不奇怪了。然而，相对软件安全领域，无线电安全人才还是比较缺乏的。我国每年培养的通信人才并不少，高校的安全专业建设这几年也逐渐跟上来了。但懂通信、会逆向，能拆能焊，又有攻防思维的跨界人才就比较稀罕了。而未来，这个领域会越来越重要。希望这本书能帮助更多对此有兴趣的年轻人走上无线电安全研究之路。无线传千里，攻防永不眠。于旸（腾讯玄武实验室总监，网名“tombkeeper”）推荐序3I first meet Yang Qing at Blackhat 2014 and was pleasantly surprised to learn such a young face leads a team on hardware security. Since then he has accomplished several works, ranging from GPS spoofing to designing various gadgets for protecting users’ security and privacy. When he told me about their book on wireless security, I was delighted because wireless security is such an important topic and needs much more attention and talents than what we have today.With the proliferation of wireless technologies, numerous emerging wireless devices have been woven into the fabric of our daily life, ranging from controlling our home appliances to making our vehicles automatically seek for help in emergency situations. Unfortunately, the security on these wireless devices has almost always lagged behind the plethora of the interests in integrating wireless technologies into almost everything. Granted that manufactories and designers have gradually increased their motivation in securing their devices, we have a long way to go. Spreading knowledge on wireless security is one of the critical efforts towards securing wireless devices, and this book serves as a good endeavor along this goal.Many academic books on wireless communication and wireless security are available, and many of them focus on the theoretical principles. This book is a collection of the systems works that Qing and his team have carried out in the past few years as well as the state of the art. The book covers a wide range of wireless devices, such as RFID, Bluetooth, Zigbee, GPS, and it contains many results, plots, screen-snapshots from real world experiments.This book can serve as a good tutorial for those who want to have their hand dirty and reproduce the prior findings. It can also be a good reference book for those who want to find out the off-the-shelf tools for exploring the wireless world. I hope this book can help to foster talents in wireless security and to teach them necessary skills to secure the wireless world for many years to come. 徐文渊（浙江大学教授，南卡大学终身教授）