地下运营商智能发现与拦截系统

1、成果上报申请书（同2010年）成果名称“地下运营商”智能发现与拦截系统成果申报单位 江苏 省（自治区/直辖市）公司成果承担部门/分公司网络部 部门 / 分公司项目负责人姓名项目负责人联系电话和email成果专业类别*核心网所属专业部门*网络线条成果研究类别*相关网络解决方案省内评审结果*优秀关键词索引（35个）回拨 天下通 免费通话手机 拦截 应用投资10 万元（指别的省引入应用大致需要的投资金额）产品版权归属单位 中国移动通信集团江苏有限公司 对企业现有标准规范的符合度：（按填写说明5）符合如果该成果来源于研发项目，请填写研发项目的年度、名称和类型（类型包括：集团重点研发项目、集团联合研发项

2、目、省公司重点研发项目、其他研发项目），可填写多个：成果简介：简要描述成果目的和意义，解决的问题，取得的社会和经济效益。背景：开展新型回拨业务(主叫用户通过gprs网络将被叫信息传递给wap网站，wap网站将相关信息传递给呼叫平台，由呼叫平台完成主被叫的双路接续)的地下运营商活动猖獗，高端用户保有困难。由于新型回拨业务通过gprs网络传递主被叫号码，比传统回拨业务更加隐蔽，使用传统的从话音域进行拦截的方法比较困难；而本成果针对地下运营商的非法业务进行了深入的研究，开创出根据gprs网络中地下运营商业务报文的特征码对非法业务进行过滤和拦截的新方法，解决了新型回拨业务拦截困难的问题，取得了良好的社

3、会效益和经济效益。社会效益：1）有效切断了个别社会敌对势力利用voip技术危害国家和社会安全的通道；2）有力控制了地下运营商对传统运营商攻击和侵蚀的态势，保持了运营商的美誉度。经济效益：1）目前通过该系统已发现的地下运营商每日呼叫总量在42660次左右，若不加以拦截，以每次通话3分钟计，每日江苏移动将话务损失42660*3*0.2=25596元；因此可减少损失超过800万元/年；2）扩展至三大运营商层面，保守估计可减少损失3亿元/年。省内试运行效果：描述成果引入后在本省试运行方案、取得的效果、推广价值和建议等。在本省的试运行方案：我们基于gprs信令监测系统开发了一套专门针对地下运营商的智能发

4、现和拦截系统：在gn接口针对地下运营商用户通过gprs网络发送的post请求中的“特征码信息”进行匹配分析，定时输出非法回拨业务使用的wap网址以及用户名单，根据得到的wap网址和ip地址自动给wap网关和cmnet省网下发命令进行拦截。目前本成果已在江苏公司投入使用，对地下运营商的非法呼叫进行了有效地拦截，每日拦截的呼叫总量达42660次左右。该系统的地下运营商发现和拦截系统均具有通用性，已在集团内推广，可适用至所有运营商。文章主体（3000字以上，可附在表格后）：根据成果研究类别，主体内容的要求有差异，具体要求见表格后的“填写说明6”。一、背景情况：电话回拨业务，是利用固定电话、小灵通、手

5、机接听免费的特点，将主叫用户变为被叫用户，从而达到用户节省通话资费虚拟运营商赢利的目的。 由于回拨电话号码传递不规范，可以随意虚拟号码，为犯罪分子及别有用心的人提供方便。因此，回拨业务不仅扰乱了通信市场，严重侵害合法用户的权益，且给整个通信行业造成了不良影响 。为此，通信管理部门曾经三令五申，经营回呼业务属违法行为。尽管如此在利益的驱动下，一些投资商仍不停的变换手段，秘密、变相经营回拨业务。2010年8月开始，宿迁分公司发现市场上出现“圣丰”和天下通等免费通话手机的宣传广告：以圣丰为例，广告宣称购买“圣丰”手机后，只要开通gprs上网和免费接听的套餐，就可免费打电话了。由此我们经过分析发现了地

6、下运营商经营的新型回拨业务。这种新型地下运营商的特征就是呼叫信息的上报与建立两个流程分开，利用移动互联网将呼叫信息送至非法网站的数据接受平台，然后由平台发起双路呼叫。 举例：圣丰及天下通宣传材料 l 圣丰手机：免费通话手机。手机2680元/台，可获赠三年免费拨打和接听全国电话。不换卡，使用本人原手机卡号。l 天下通：只要月消费在100元以上，并开通了gprs包月功能，在不换号码不换卡的前提下，通过天下通手机终端拔打全国电话100元不限时全包。通过进一步跟踪查询，我们发现这种新型回拨业务的地下运营商已有成百上千家，并已呈燎原之势蓬勃发展。在搜索引擎上，对“免费电话”关键字进行搜索，排名第一的网站

7、为，登录该网站可以看到“免费电话”呈燎原之势蓬勃发展，几乎每天都有新的“业务产品”在上面发布广告，已成为“免费电话”的集散地。基于新型“回拨”业务的地下运营商活动日益猖獗，疯狂入侵高端用户领地，对各大运营商的正常经营造成了巨大影响。二、技术方案：1、原理分析:地下运营商的运营原理如下图所示：（1）用户通过手机上的应用软件输入主被叫号码以及账号密码等信息，之后手机利用gprs网络将主叫用户的注册帐号及主被叫号码发送到wap服务器，wap服务器将相关信息传递给呼叫平台。 （2）呼叫平台发起原主叫号码的呼叫，通过电信关口局接续到移动网络。 （3）呼叫平台对被叫用户号码发起呼叫，通过电信关口局接续到移

8、动网络。 由于呼叫平台对双方用户发起呼叫时使用的主叫号码均是虚拟的，可以随意定义成任何看似合法的号码。因此这种实现方式简单快捷、十分隐蔽，在移动话音网上几乎看不到明显特征。如果从gprs网络内着手，只要我们发现了地下运营商的网站和域名，对这种地下运营商的业务拦截很容易。但是由于地下运营商的域名和网站及其繁多，不停变化，这个发现的过程十分困难。2、拦截思路分析:既然话音网络上无法进行跟踪发现，我们只能从分组域gprs网络上寻找突破口。通过对大量地下运营商业务的抓包分析，我们发现不论地下运营商的域名和网站如何变化，基本的流程都是通过手机向地下运营商的服务器发起一个http/wap2.0 的post

9、请求，而这个post请求几乎都包括用户的用户名、密码，主叫号码被叫号码相关的信息，并且对于每个地下运营商的业务来说这条post请求的消息都有着相对固定的格式，我们只要将这种相对固定的格式提取出来，将其做为筛选地下运营商消息的“特征码信息”就可以有效地去查询地下运营商使用的域名，由此实现对这些域名的拦截。这种拦截方法的优点： 1.通过对地下运营商的存量用户进行监测，及时丰富特征码信息，可实现对地下运营商的智能检测。 2.除非地下运营商修改终端程序，否则无论怎么变换网站，均能被系统有效拦截。3、网络解决方案：l 我们的想法是利用gprs信令监测系统在gn接口，对用户访问地下运营商服务器的post请

10、求中的“特征码信息”进行匹配分析，由智能发现系统定时输出非法回拨业务使用的wap网址以及用户名单，根据得到的wap网址和ip地址自动下发给wap网关和cmnet省网下发命令进行拦截。4、设备及系统改造/建设要求只需基于已有的gprs信令监测系统开发一个专门针对地下运营商的智能发现与拦截系统，无需更改网络架构或添加新的网元设备。5、码号要求不涉及新的码号要求三、效果1、圣丰的覆灭过程我们从圣丰宣传单页上的宣传号码入手，顺藤摸瓜进行分析。根据分析，通过分析用户的历史上网记录可以清楚地看到该手机登陆的wap网站：，以及相关传送信息：包括用户名密码、主被叫号码。考虑到用户名和密码的消息格式比较普遍，我

11、们将过滤的特征码设定为“*tel2= *tel1=*”，果然搜索出大量的用户使用记录。之后我们又根据查出的圣丰业务用户号码查找用户的上网记录进行了反向验证，结果证明我们设定的特征码可以查出目前圣丰业务的所有wap记录，没有遗漏。2、让“天下通”无路可通根据同样的思路，我们从天下通网站上宣传的网址“”入手对“天下通”的回拨业务进行了分析。url的规律更为明显，均为/gprs/register.php和/gprs/call.php两种。.我们选定以此两者为匹配特征码进行了过滤查询，拦截之后，天下通不断地变化域名，目前已先后发现了近100个不同的x-online-host域名。因此与地下运营商的斗争

12、还将长期持续下去。使用同样的方法，我们分析了uucall,vivicall，阿里通等等数十种地下运营商业务，也都发现了相应的不同特征码。因此，地下运营商的wap请求都是有规律可循的，只要我们分析得出特征码就可以过滤出这家地下运营商的所有域名加以拦截。面对拦截，地下运营商必然会不断地变化域名甚至消息格式，此时我们可以根据历史查询结果得出用户数据库，只要用户继续使用，我们就可以分析出新的特征码。3、效益分析本成果针对地下运营商的非法业务进行了深入的研究，开创出根据gprs网络中地下运营商业务报文的特征码对非法业务进行过滤和拦截的新方法，解决了新型回拨业务拦截困难的问题，取得了良好的社会效益和经济效

13、益。【经济效益】：1）目前通过智能发现系统已发现的地下运营商业务请求情况业务名称次数/天域名阿里通2450kc16000;:2009uucall15000; vivicall会友通710易音达700圣丰1300:80:80:80天下通6500:8871:99.根据此表测算通过该系统已发现的地下运营商每日呼叫总量在42660次左右，若不加以拦截，以每次通话3分钟计，每日江苏移动将话务损失42660*3*0.2=25596元；因此可减少损失超过800万元/年2）扩展至三大运营商层面，保守估计可减少损失3亿元/年。【社会效益】：1）有效切断了个别社会敌

14、对势力利用voip技术危害国家和社会安全的通道；2）有力控制了地下运营商对传统运营商攻击和侵蚀的态势，保持了运营商的美誉度。四、 本省应用推广情况在本省的试运行方案：我们基于gprs信令监测系统开发了一套专门针对地下运营商的智能发现和拦截系统：在gn接口针对地下运营商用户通过gprs网络发送的post请求中的“特征码信息”进行匹配分析，定时输出非法回拨业务使用的wap网址以及用户名单，根据得到的wap网址和ip地址自动给wap网关和cmnet省网下发命令进行拦截。l 这张图显示的是我们整个系统的原理图。系统分为智能发现与拦截两大功能模块。首先，我们在信令监测系统的基础上开发一个智能发现系统：针

15、对在gn口的报文对预设的特征码进行匹配过滤的智能检测，生成包含用户号码和用户使用wap网址/域名的报表，并将结果保存进数据库。同时根据智能检测得到的输出结果，我们的智能拦截系统将自动根据预设的指令制作脚本下发给wap网关等网元进行拦截，同时输出执行日志备查。通过这样的方式我们实现了”智能发现，快速拦截”的目的。实现界面截图：目前本成果已在江苏公司投入使用，对地下运营商的非法呼叫进行了有效地拦截，每日拦截的呼叫总量达42660次左右，拦截成功率达99%以上。拦截之后，各地下运营商均不断地变化域名，以天下通业务为例，目前已先后发现了近100个不同的x-online-host域名。因此与地下运营商的

16、斗争还将长期持续下去。本成果的地下运营商发现和拦截系统均具有通用性，可在集团内推广，并可适用至所有运营商。“成果上报申请书”的填写说明：1、“成果专业类别”指：核心网、无线、传输、ip、网管、业务支撑、管理信息系统、市场研究、数据业务、数据网络、通信电源、空调、其他。2、“成果研究类别”指：超前研究、新产品开发、相关网络解决方案、现有业务优化、其他。3、“所属专业部门”指：完成该成果的单位在省公司或地市分公司所属的专业部门线条。可填写：规划计划线条、网络线条、业务支撑线条、管理信息系统线条、数据线条、市场线条、集团客户线条、其他。4、“省内评审结果”指：优秀、通过。5、“对企业现有标准规范的符

17、合度”指：列举该成果使用并符合的中国移动统一发布的企业标准的名称和编号，详细描述该成果在现有的企业标准基础上所需新增的功能要求（如业务流程的改变、设备新增的功能要求等）。6、“文章主体”：根据不同科技成果分类实施不同的主体要求，具体如下：1）超前研究类成果主体包括： 背景情况 技术特点分析 标准化情况 其他运营商应用情况（可选） 技术发展趋势 引入策略分析2）相关网络解决方案类成果主体包括： 背景情况 技术方案：概述、网络解决方案（如果涉及到网络方面的改造，信令改造，路由改造等，应有详细的描述）、设备及系统改造/建设要求、码号资源需求 效果（解决了哪些问题） 本省应用推广情况3）新产品开发类成果主体包括： 业务及功能简介：业务概述、业务主要功能介绍 技术实现方案：包括业务实现组网结构图、相关系统（平台、终端）功能和要求、业务实现流程、码号要求等 业务申请和开通：包括用户范围及业务使用范围、业