搜索

[13601] 2019-01-01_巧用HackCube-Special分析胎压信号

文档创建者：s7ckTeam
浏览次数：18
最后更新：2025-01-18
2019-01-01_巧用HackCube-Special分析胎压信号 巧 用 H a c k C u b e - S p e c i a l 分 析 胎 压 信 号 m o b i e r   F r e e B u f   2 0 1 9 - 0 1 - 0 1 胎 压 无 线 传 感 器 安 全 检 测 胎 压 无 线 传 感 器 安 全 检 测 我 们 团 队 之 前 也 有 用 我 们 团 队 之 前 也 有 用 U S R P 和 和 G N U r a d i o 对 其 他 的 胎 压 设 备 进 行 的 安 全 检 测 ， 我 不 使 用 这 套 环 境 的 原 因 是 软 件 无 对 其 他 的 胎 压 设 备 进 行 的 安 全 检 测 ， 我 不 使 用 这 套 环 境 的 原 因 是 软 件 无 线 电 的 设 备 和 笔 记 本 已 经 算 体 积 不 小 的 一 套 设 备 ， 通 常 测 试 环 境 都 在 户 外 ， 在 这 种 环 境 下 对 这 个 胎 压 系 统 做 安 线 电 的 设 备 和 笔 记 本 已 经 算 体 积 不 小 的 一 套 设 备 ， 通 常 测 试 环 境 都 在 户 外 ， 在 这 种 环 境 下 对 这 个 胎 压 系 统 做 安 全 检 测 实 在 不 方 便 ， 并 且 一 套 无 线 电 设 备 也 不 是 一 般 入 门 小 白 能 消 费 的 起 的 ， 所 以 这 也 是 为 什 么 我 想 打 造 一 套 全 检 测 实 在 不 方 便 ， 并 且 一 套 无 线 电 设 备 也 不 是 一 般 入 门 小 白 能 消 费 的 起 的 ， 所 以 这 也 是 为 什 么 我 想 打 造 一 套 低 成 本 便 携 性 无 线 电 攻 防 设 备 的 原 因 。 低 成 本 便 携 性 无 线 电 攻 防 设 备 的 原 因 。 发 现 信 号 发 现 信 号 首 先 我 们 要 观 察 这 个 设 备 的 工 作 频 点 ， 通 常 这 类 的 胎 压 设 备 都 工 作 在 这 个 频 点 上 ， 传 感 器 会 在 安 装 和 卸 下 时 候 发 送 无 线 数 据 ， 否 者 就 要 等 待 数 分 钟 传 感 器 才 会 再 次 发 送 胎 压 数 据 ， 因 为 低 功 耗 的 原 因 考 虑 。 然 后 我 们 可 以 通 过 观 察 频 谱 方 式 得 到 该 信 号 工 作 在 上 ， 调 制 方 式 为 ， 两 个 主 瓣 之 间 的 频 率 偏 差 ， 然 后 我 们 通 过 软 件 无 线 电 的 方 式 将 胎 压 的 原 始 信 号 接 收 下 来 进 行 分 析 。 胎 压 传 感 器 信 号 调 制 胎 压 传 感 器 信 号 调 制 4 3 3 . 9 2 M h z ( F o s p h o r ) 4 3 3 . 9 2 M h z 2 - F S K 2 0 . 5 K h z ( D e v i a t i o n )
然 后 这 个 就 是 我 通 过 软 件 无 线 电 的 方 式 采 样 到 的 原 始 信 号 导 入 到 的 频 谱 图 ， 然 后 我 们 通 过 这 一 幅 频 谱 图 来 讲 讲 调 制 方 式 ： 调 制 方 式 简 单 来 说 就 是 两 种 频 率 来 表 示   ， ， 如 图 所 示 假 如 我 们 要 发 射 ， 这 段 数 据 在 要 发 送 数 据 时 候 频 率 切 换 成 了 载 波 频 率 ， 要 发 送 数 据 时 候 切 换 到 载 波 频 率 ， 最 后 的 调 制 输 出 就 是 我 们 用 软 件 无 线 电 接 收 到 的 结 果 了 ， 然 后 我 们 可 以 通 过 这 种 方 式 将 下 来 了 进 行 分 析 了 。 这 个 就 是 整 一 段 胎 压 传 感 器 发 射 出 来 的 信 号 了 ， 前 面 是 前 导 码 用 于 唤 醒 接 收 端 使 用 的 ， 前 导 码 后 面 一 个 特 别 长 的 脉 冲 信 号 是 同 步 引 导 码 用 于 发 射 端 和 接 收 端 同 步 时 钟 使 用 的 ， 后 面 就 是 胎 压 的 了 ， 我 们 可 以 对 这 个 有 效 数 据 进 行 分 析 了 。 胎 压 传 感 器 协 议 数 据 逆 向 胎 压 传 感 器 协 议 数 据 逆 向 d s p e c t r u m 2 F S K 2 F S K B i t   0 B i t   1 1 1 1 0 0 1 0 1 B i t   1 F 1 B i t   0 F 2 信 号 数 据 解 调 有 效 数 据
我 们 先 得 到 胎 压 的 数 据 速 率 为 ， 数 据 如 果 采 用 或 者 的 话 速 率 要 除 于 2 ， 得 到 速 率 为 。 最 开 始 分 析 信 号 时 候 以 为 数 据 是 通 过 进 行 编 码 的 ， 发 现 用 曼 彻 斯 特 方 式 怎 么 解 码 都 不 对 ， 后 来 分 析 很 久 之 后 查 了 一 下 芯 片 的 才 发 现 是 ， 这 个 就 是 传 感 器 的 ， 下 一 个 B i t 的 波 形 是 会 根 据 上 一 个 B i t 波 形 结 尾 的 电 平 来 决 定 的 ， 知 道 编 码 规 则 后 通 过 这 个 我 们 对 数 据 进 行 进 行 解 码 ， 以 一 个 字 节 的 信 号 的 波 形 举 例 吧 ， 从 开 头 的 开 始 讲 吧 ， 可 以 看 到 前 面 的 脉 冲 是 波 形 ， 这 时 候 如 果 要 发 送 的 数 据 就 需 要 输 出 ， 如 果 之 前 是 的 话 则 输 出 ， 如 果 是 要 输 出 同 理 ， 上 一 个 波 形 结 尾 为 输 出 ， 如 果 是 的 话 输 出 ， 就 可 以 通 过 这 种 方 式 得 到 一 个 字 节 的 数 据 ， 二 进 制 ， 然 后 转 成 ， 这 一 段 的 波 形 就 表 示 的 数 据 内 容 了 ： N R Z 9 . 0 8 k 曼 彻 斯 特 类 似 编 码 4 . 5 K 曼 彻 斯 特 d a t a s h e e t 自 有 编 码 协 议 编 码 规 则 B i t   0 高 电 平 B i t 0 N R Z " 0 1 " 低 电 平 N R Z " 1 0 " B i t 1 高 电 平 N R Z " 0 0 " 低 电 平 N R Z " 1 1 0 1 0 1 1 1 0 0 十 六 进 制 0 x 5 C
通 过 多 次 对 多 台 胎 压 监 测 设 备 以 及 多 个 传 感 器 器 的 信 号 进 行 行 行 采 样 、 逆 向 分 析 得 到 其 信 号 的 数 据 结 构 为 ： I D 识 别 码   ( 4   B y t e ) +   电 压   ( 1   B y t e )   +   压 感   ( 1   B y t e ) +   温 度   ( 1   B y t e )   +   气 阀   ( 1   B y t e )   +   C R C   ( 2   B y t e ) + 停 止 码 ( 1 . 5 B i t ) 首 先 我 们 来 说 一 下 这 里 的 参 数 ， 是 每 个 传 感 器 的 类 似 的 标 识 符 ， 一 套 胎 压 系 统 配 备 四 个 传 感 器 所 以 出 厂 时 候 会 绑 定 ， 然 后 就 是 ， ， 的 数 据 ， 通 常 低 于 或 高 于 设 置 的 数 值 就 会 进 行 ， 每 家 胎 压 设 置 的 都 不 一 样 我 们 就 不 过 多 的 说 了 . 然 后 就 是 数 据 中 . 将 所 有 发 射 的 数 据 进 行 得 出 两 个 字 节 的 校 验 数 据 附 加 到 数 据 结 尾 。 需 要 注 意 是 这 里 采 用 的 C R C 1 6 的 校 验 方 式 ， 并 且 有 多 套 标 准 ， 经 过 重 复 的 分 析 得 出 使 用 是 这 套 的 标 准 ， 最 后 的 停 止 码 没 有 任 何 意 义 就 是 代 表 数 据 已 经 发 射 完 了 。 使 用 使 用 H a c k C u b e - S p e c i a l 伪 造 胎 压 传 感 器 数 据 伪 造 胎 压 传 感 器 数 据 假 如 说 要 发 射 出 T P M S _ d a t a 其 中 的 数 据 ， 最 后 会 发 射 出 来 的 就 是 这 串 数 据 ， 数 据 的 结 尾 就 是 算 出 来 的 I D 序 列 号 四 个 I D 气 压 温 度 气 阀 ( 漏 气 检 测 ) 报 警 阈 值 C R C 校 验 C R C 1 6 C R C 1 6 C R C 1 6 _ C C I T T 2 0 9 5 9 1 8 5 A 0 4 0 6 3 0 0 5 2 8 C 5 2 8 C C R C
这 个 就 是 算 出 结 尾 两 个 字 节 校 验 码 的 代 码 ， 接 收 端 会 先 判 断 这 两 个 字 节 的 校 验 码 ， 如 果 是 不 对 ， 接 收 端 是 不 会 去 响 应 的 。 发 射 胎 压 传 感 器 射 频 数 据 发 射 胎 压 传 感 器 射 频 数 据
之 后 我 们 就 可 以 根 据 这 个 去 发 射 伪 造 传 感 器 的 数 据 了 ， 这 里 我 使 用 的 T I 的   射 频 芯 片 ， 我 们 通 过 通 过 配 置 射 频 芯 片 的 相 关 射 频 寄 存 器 ， 然 后 通 过 的 引 脚 将 射 频 数 据 发 出 ， 也 可 以 采 用 数 据 包 模 式 将 数 据 发 射 出 来 ， 但 是 因 为 数 据 包 模 式 不 方 便 兼 容 其 他 的 类 型 的 胎 压 设 备 。 C C 1 1 0 1 射 频 参 数 配 置 射 频 参 数 配 置 C C 1 1 0 1 A t m e g a 3 2 u 4 S P I ( M O S I ， M I S O ， S C K ， C S ) C C 1 1 0 1 C C 1 1 0 1 G D O 0

这 个 是 根 据 胎 压 传 感 器 信 号 生 成 的 寄 存 器 的 配 置 ， 可 以 通 过 配 置 完 参 数 后 导 出 ， 不 过 有 些 寄 存 器 是 不 支 持 I D E 去 进 行 的 ， 必 须 是 根 据 芯 片 的 去 修 改 的 ， 比 如 说 让 射 频 芯 片 处 于 ， 切 换 射 频 芯 片 的 等 等 。 在 函 数 中 将 刚 刚 的 射 频 配 置 写 入 C C 1 1 0 1 的 相 关 寄 存 器 中 ， 然 后 我 们 挑 几 个 关 键 的 讲 讲 ， 函 数 用 于 将 C C 1 1 0 1 设 置 在 胎 压 的 上 ， 设 置 芯 片 的 调 制 模 式 为 ， 我 们 这 里 使 用 的 芯 片 的 异 步 模 式 ， 就 是 通 过 去 将 数 据 发 射 出 来 ， 不 是 通 过 方 式 将 要 发 射 的 数 据 写 入 到 芯 片 的 发 射 缓 存 区 中 。 射 频 信 号 发 射 射 频 信 号 发 射 C C 1 1 0 1 S m a r t R F   S t u d i o 设 置 d a t a s h e e t 异 步 模 式 工 作 状 态 c c 1 1 0 1 . i n i t ( ) s e t f r e q 工 作 频 率 M D M C F G 2 2 F S K 引 脚 S P I
l e f t _ b a c k 这 个 数 组 里 面 存 着 的 就 是 待 发 射 的 数 据 ， C R C 通 过 T r a n s m i t _ T P M S 自 动 算 出 来 附 加 到 数 组 结 尾 。 我 们 接 下 来 看 看 T r a n s m i t _ T P M S 发 射 数 据 操 作 函 数 。 然 后 这 个 是 发 射 数 据 操 作 函 数 ， 算 出 C R C 数 据 后 根 据 T r a n s m i t _ d a t a 的 数 据 内 容 在 G D O 0 这 个 引 脚 上 输 出 对 应 的 波 形 。
然 后 我 通 过 这 种 方 式 就 能 够 对 这 个 传 感 器 进 行 伪 造 攻 击 了 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理