“ 伪基站” 设备在连入用户手机､阻碍用户通信时所使用的核心部分是OpenBTS软件｡OpenBTS软件在运行时可能会在系统留下日志文件, 该文件通常为位于系统目录下的OpenBTS.log或Syslog日志文件｡该日志包含了“ 伪基站” 设备与手机设备通信中的交互过程及手机设备的IMSI号(international mobile subscriber identification number, 国际移动用户识别码), 分析该日志将会获取到受“ 伪基站” 设备干扰的手机设备数｡由于OpenBTS是一个开源程序, 各版本的“ 伪基站” 可能使用不同的OpenBTS程序, 在使用时有些OpenBTS不会输出日志或输出到其他路径, 需要分析人员对日志文件进行准确定位｡

“ 伪基站” 软件与其他软件一样, 通常包含后台数据库､运行日志等数据文件｡其中后台数据使用最多的是MySQL和SQLite数据库｡这些数据库中经常会存有用户设置发送的短信､号码以及发送的数量｡部分“ 伪基站” 软件在发送过程会留下具体的发送日志文件, 包含发送时间和发送对象的IMSI号码等信息｡分析这些后台文件将获取以下数据:(1)界面显示数量:“ 伪基站” 软件界面上所显示的短信发送数量; (2)数据库实发数:“ 伪基站” 软件存储在后台数据库中的短信实际发送条数; (3)IMSI详单数:统计“ 伪基站” 软件运行日志文件详单中IMSI条数后获得的统计数｡由于“ 伪基站” 在发送短信时需要中断手机与原有基站的联系, 因此“ IMSI详单数” 在检验结果中也可以认定为从“ 伪基站” 运行日志文件中获取到的手机设备被干扰数｡

“ 伪基站” 的Linux环境在使用时通常包含大量的用户痕迹数据, 如用户登录记录､系统终端日志､系统使用日志等｡在检验中, 通过对这些数据的解析将提供“ 伪基站” 软件使用相关的行为痕迹｡例如“ 伪基站” 检验工作中出现过“ 伪基站” 的Linux系统时间与真实世界的时间存在的时间差, 检验结果中必须将该时间差作为结果一部分进行表述｡

GSMS“ 伪基站” 的OpenBTS日志位于/ var/log/syslog路径(见图3)｡该文件记录了OpenBTS程序与附近手机设备交互的全过程, 其中在GSMSL-3Message.Cpp日志项中记录了包含有交互的手机设备的IMSI号, 而每一个IMSI号都对应一个手机设备｡通过对该类型日志中IMSI号数据进行统计, 即可得到该“ 伪基站” 通信日志中记录的手机设备被干扰数｡

图 3

Fig.3

	Figure Option ViewDownloadNew Window
	图 3 OpenBTS日志Fig.3 OpenBTS log

GSMS“ 伪基站” 使用MySQL数据库作为短信任务的存储数据库｡当用户添加､发送､删除短信任务时, 都将对MySQL数据库中存储的数据进行修改｡使用取证软件打开位于路径 /var/lib/mysql 的数据库文件可以发现该数据库内的“ gsm_business” 表中存储了“ 伪基站” 短信的详细内容, 包含8个字段 (见图4)｡

图 4

Fig.4

	Figure Option ViewDownloadNew Window
	图 4 GSMS“ 伪基站” MySQL数据库Fig.4 MySQL database of GSMS “ Pseudo Base Station”

这些字段中需要注意的是“ lasttime” 和 “ count” 字段｡通过对GSMS“ 伪基站” 代码(见图5､图6)分析可以发现, “ 伪基站” 软件通过实时统计运行日志文件send.data中的IMSI号数量来确定短信发送数量, 并存入“ lasttime” 字段, 即数据库实发数; 而数据库的“ count” 字段的数值, 则是在发送数量的基础上加上了一个随机数并存入数据库中, 同时显示到界面上, 即界面显示数｡

图 5

Fig.5

	Figure Option ViewDownloadNew Window
	图 5 GSMS“ 伪基站” 代码1Fig.5 Code 1 of GSMS “ Pseudo Base Station”

图 6

Fig.6

	Figure Option ViewDownloadNew Window
	图 6 GSMS“ 伪基站” 代码2Fig.6 Code 2 of GSMS “ Pseudo Base Station”

相应的, “ 伪基站” 软件在系统内留下了两组不同的发送详单数据｡一组是位于/ var/usr/openbts目录下的send.data(见图7), 另一组是位于系统桌面以“ 任务名称_id” 命名的记录文件｡位于软件目录下的send.data文件的每一行由发送任务的任务ID和发送目标的IMSI号组成, 通过对该运行日志文件的统计, 获取到IMSI详单数｡IMSI详单数通常与数据库实发数相同, 但在实际工作中发现两者存在差异, 主要是由“ 伪基站” 软件和数据库读写效率上产生概率性误差造成的｡而桌面的任务文件则是通过调用图8中所示的函数随机生成46000XXXXXXXXXX､46001XXXXXXXXXX和46002XXXXXXXXXX(X为0-9的随机数)的IMSI号码写入到桌面的“ 任务名称_id.txt” 文件中, 使其总数量满足count的值｡通常情况下, 界面显示数､数据库实发数和IMSI详单数三者是保持一致的｡但在本例“ 伪基站” 检验中, 界面显示数, 即“ count” 字段数据, 使用了一定规则的随机数值, 与数据库实发数“ lasttime” 并不一致, 在检验结果中应选用“ lasttime” 作为“ 伪基站” 设备实际发送数｡而在通信日志完整的情况下, 手机干扰数一般大于或等于IMSI详单数｡

图 7

Fig.7

	Figure Option ViewDownloadNew Window
	图 7 send.data数据Fig.7 Data of send.data

图 8

Fig.8

	Figure Option ViewDownloadNew Window
	图 8 GSMS“ 伪基站” 随机生成IMSI代码Fig.8 IMSI Code randomly generated by GSMS “ Pseudo Base Station”

测试设备:GSMS“ 伪基站” 设备一套; 测试手机10台, 型号为NOKIA 1010; 运营商为移动(见表1)｡

表 1

Table 1

表 1(Table 1)

表 1 手机检验结果 Table 1 Tested phone information and the testing data 测试手机 任务1 任务2 样机 IMSI 接收短信 send.data OpenBTS 接收短信 send.data OpenBTS 样机1 460020560724446 收到 460020560724446 460020560724446 收到 460020560724446 460020560724446 样机2 460020560724458 收到 460020560724458 460020560724458 收到 460020560724458 460020560724458 样机3 460020560724449 收到 460020560724449 460020560724449 收到 460020560724449 460020560724449 样机4 460020560724483 未收到 无 460020560724483 收到 460020560724483 460020560724483 样机5 460020560724487 收到 460020560724487 460020560724487 收到 460020560724487 460020560724487 样机6 460020560724447 收到 460020560724447 460020560724447 未收到 无 460020560724447 样机7 460020560724438 收到 460020560724438 460020560724438 未收到 无 460020560724438 样机8 460020560724450 收到 460020560724450 460020560724450 收到 460020560724450 460020560724450 样机9 460020560724460 收到 460020560724460 460020560724460 未收到 无 460020560724460 样机10 460020560724494 收到 460020560724494 460020560724494 收到 460020560724494 460020560724494

表 1 手机检验结果 Table 1 Tested phone information and the testing data

测试环境:外围无无线信号屏蔽的小型实验室, 测试手机放置于GSMS“ 伪基站” 周围, 网络是手机移动2G网｡

测试步骤:(1)在“ 伪基站” 软件界面上设定需要发送的短信内容; (2)运行“ 伪基站” 软件, 记录开始时间; (3)“ 伪基站” 软件运行3分钟后关闭; (4)修改“ 伪基站” 发送内容, 号码, 重复试验｡

测试结果见表1, 依据上文的取证方法｡对“ 伪基站” 数据中的send.data和OpenBTS通讯日志的检验结果显示, 收到短信的手机, 其对应的IMSI即出现在OpenBTS通讯日志和send.data文件中, 检验结果和上文理论一致｡

“ 伪基站” 犯罪是一种社会危害性巨大的高科技犯罪, 并一直在不断进化, 目前只要使用2G通讯网络, “ 伪基站” 就有存在的空间, 将来随着技术的发展, 其影响可能会涉及到4G通讯网络｡因此, 制订相关“ 伪基站” 检验技术标准, 形成行之有效的方法, 持续推进和深化“ 伪基站” 取证技术研究刻不容缓｡本文针对“ 伪基站” 取证的原理和取证难点, 介绍了“ 伪基站” 数据取证过程的重点和目标, 提出了一套具有普遍意义的“ 伪基站” 取证框架和方法, 以最常见的GSMS“ 伪基站” 软件作为案例深入分析和测试实验, 对有效开展“ 伪基站” 数据检验, 有力打击和震慑“ 伪基站” 违法犯罪活动提供强有力的技术支撑｡