搜索

[13363] 2018-11-01_低功耗蓝牙（BLE）攻击分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-11-01_低功耗蓝牙（BLE）攻击分析 低 功 耗 蓝 牙 （ B L E ） 攻 击 分 析 s e c i s t   F r e e B u f   2 0 1 8 - 1 1 - 0 1 前 言 前 言 蓝 牙 是 一 种 短 距 的 无 线 通 讯 技 术 ， 可 实 现 固 定 设 备 、 移 动 设 备 之 间 的 数 据 交 换 。 可 以 说 蓝 牙 是 当 今 世 界 上 ， 最 蓝 牙 是 一 种 短 距 的 无 线 通 讯 技 术 ， 可 实 现 固 定 设 备 、 移 动 设 备 之 间 的 数 据 交 换 。 可 以 说 蓝 牙 是 当 今 世 界 上 ， 最 受 欢 迎 和 使 用 最 为 广 泛 的 无 线 技 术 之 一 。 随 着 物 联 网 的 快 速 发 展 ， 蓝 牙 技 术 也 加 速 了 其 发 展 步 伐 以 适 应 不 断 增 受 欢 迎 和 使 用 最 为 广 泛 的 无 线 技 术 之 一 。 随 着 物 联 网 的 快 速 发 展 ， 蓝 牙 技 术 也 加 速 了 其 发 展 步 伐 以 适 应 不 断 增 长 的 市 场 和 用 户 需 求 。 蓝 牙 特 别 兴 趣 小 组 （ 长 的 市 场 和 用 户 需 求 。 蓝 牙 特 别 兴 趣 小 组 （ S I G ） 正 不 断 努 力 提 高 蓝 牙 的 传 输 速 度 ， 以 让 蓝 牙 技 术 更 好 的 融 合 ） 正 不 断 努 力 提 高 蓝 牙 的 传 输 速 度 ， 以 让 蓝 牙 技 术 更 好 的 融 合 于 各 种 物 联 网 设 备 当 中 。 于 各 种 物 联 网 设 备 当 中 。 低 功 耗 蓝 牙 （ B L E ） 是 蓝 牙 4 . 0 规 范 的 一 部 分 ， 其 包 括 传 统 蓝 牙 和 蓝 牙 高 速 协 议 。 相 较 于 传 统 蓝 牙 ， B L E 旨 在 使 用 更 低 的 功 耗 ， 并 保 持 同 等 距 离 的 通 信 范 围 。 B L E 只 在 需 要 时 传 输 少 量 数 据 ， 而 除 此 之 外 则 会 保 持 关 闭 状 态 ， 这 大 大 降 低 了 其 功 耗 ， 也 使 其 成 为 了 在 低 数 据 速 率 下 需 要 长 久 连 接 使 用 的 理 想 选 择 。 B L E 非 常 适 合 运 用 于 电 视 遥 控 器 ， 但 对 于 需 要 传 输 大 量 数 据 的 无 线 媒 体 流 设 备 则 并 不 适 用 。 B L E 内 置 于 我 们 今 天 使 用 的 许 多 电 器 或 智 能 设 备 当 中 ， 例 如 智 能 手 机 ， 智 能 电 视 ， 医 疗 设 备 ， 咖 啡 机 等 等 。 B L E   受 欢 迎 的 原 因 ？ 受 欢 迎 的 原 因 ？ 支 持 多 平 台 ， 以 下 列 出 的 设 备 和 平 台 均 支 持 蓝 牙   4 . 0 和 B L E ： i O S 5 +   ( i O S 7 +   p r e f e r r e d ) A n d r o i d   4 . 3 +   ( n u m e r o u s   b u g   f i x e s   i n   4 . 4 + ) A p p l e   O S   X   1 0 . 6 + W i n d o w s   8   ( X P ,   V i s t a   a n d   7   o n l y   s u p p o r t   B l u e t o o t h   2 . 1 ) G N U / L i n u x   V a n i l l a   B l u e Z   4 . 9 3 + W i n d o w s   P h o n e B L E   听 上 去 不 错 ， 但 真 的 如 此 吗 ？ 听 上 去 不 错 ， 但 真 的 如 此 吗 ？ 从 安 全 的 角 度 来 看 ， 这 个 问 题 提 的 非 常 的 好 。 事 实 是   -   B L E 只 是 一 个 协 议 。 制 造 商 可 以 在 他 们 的 设 备 中 安 全 地 实 施 B L E 。 但 如 果 随 机 数 生 成 器 无 法 生 成 “ 足 够 强 壮 ” 的 随 机 数 ， 那 么 即 使 最 强 的 加 密 协 议 也 可 能 被 破 解 ， 这 同 样 也 适 用 于 B L E 。 因 此 ， 换 句 话 来 说 就 是 B L E 的 安 全 性 实 际 掌 握 在 其 实 施 者 手 中 。 虽 然 ， 所 有 低 功 耗 蓝 牙 设 备 开 发 的 主 要 动 机 都 是 为 了 增 强 用 户 体 验 。 但 与 此 同 时 ， 我 们 需 要 思 考 的 是 安 全 性 是 否 也 已 同 步 ？ 下 面 ， 让 我 们 看 看 影 响 B L E 安 全 性 的 三 个 主 要 漏 洞 ： 1 .   窃 听 窃 听 考 虑 常 规 的 B L E 通 信 ， 一 端 是 手 机 ， 一 端 是 B L E 设 备 。 假 如 二 者 没 有 进 行 认 证 加 密 ， 那 么 在 通 信 开 始 之 前 ， 在 附 近 开 启 一 个 B L E   S n i f f e r ， 就 可 以 看 到 手 机 与 B L E 设 备 之 间 的 连 接 后 的 通 信 数 据 明 文 。 2 .   M I T M   攻 击 攻 击
M I T M （ M a n   i n   t h e   M i d d l e ） 中 间 人 攻 击 是 指 第 三 方 设 备 混 入 B L E 通 信 链 路 之 间 ， 伪 造 通 信 数 据 迷 惑 双 方 。 假 如 设 备 A 和 设 备 B 在 通 信 之 始 ， 设 备 M 注 意 到 二 者 要 进 行 通 信 ， 设 备 M 截 取 设 备 A 发 起 的 连 接 请 求 ， 伪 装 成 设 备 B 跟 其 建 立 连 接 进 行 通 信 ， 通 信 完 毕 后 再 伪 装 成 设 备 A 向 设 备 B 发 起 连 接 请 求 ， 建 立 连 接 后 重 复 设 备 A 在 前 面 发 送 的 数 据 。 这 样 设 备 A 就 一 直 以 为 在 跟 设 备 B 进 行 通 信 ， 设 备 B 也 同 样 ， 却 不 知 中 间 还 藏 着 一 个 第 三 者 。 3 .   拒 绝 服 务 攻 击 拒 绝 服 务 攻 击 由 于 目 前 大 多 数 无 线 设 备 都 使 用 内 置 电 池 组 ， 因 此 这 些 设 备 存 在 遭 受 拒 绝 服 务 攻 击 （ D o S ） 的 风 险 。 D o S 攻 击 会 导 致 系 统 频 繁 崩 溃 ， 并 耗 尽 其 电 池 电 量 。 F u z z i n g 攻 击 也 会 导 致 系 统 崩 溃 ， 因 为 攻 击 者 可 能 会 将 格 式 错 误 或 非 标 准 数 据 ， 发 送 到 设 备 的 蓝 牙 无 线 电 检 查 其 响 应 ， 并 最 终 击 垮 设 备 。 B L E   的 核 心 概 念 的 核 心 概 念 B L E 有 两 个 基 本 概 念 ： G A P   -   通 用 属 性 配 置 文 件 G A T T   -   通 用 属 性 G A P G A P （ G e n e r i c   A c c e s s   P r o f i l e ） 主 要 负 责 控 制 设 备 连 接 和 广 播 。 G A P 使 你 的 设 备 被 其 他 设 备 可 见 ， 并 决 定 了 你 的 设 备 是 否 可 以 或 者 怎 样 与 合 同 设 备 进 行 交 互 。 G A P 给 设 备 定 义 了 若 干 角 色 ， 其 中 主 要 的 两 个 是 ： 外 围 设 备 （ P e r i p h e r a l ） 和 中 心 设 备 （ C e n t r a l ） 。 外 围 设 备 外 围 设 备 ： 这 一 般 就 是 非 常 小 或 者 简 单 的 低 功 耗 设 备 ， 用 来 提 供 数 据 ， 并 连 接 到 一 个 更 加 相 对 强 大 的 中 心 设 备 。 中 心 设 备 中 心 设 备 ： 中 心 设 备 相 对 比 较 强 大 ， 用 来 连 接 其 他 外 围 设 备 。 例 如 手 机 等 。 广 播 协 议 广 播 协 议 G A P 的 广 播 工 作 流 程 如 下 图 所 示 ： 在 G A P   中 外 围 设 备 通 过 两 种 方 式 向 外 广 播 数 据 ： A d v e r t i s i n g   D a t a   P a y l o a d （ 广 播 数 据 ） 和 S c a n   R e s p o n s e   D a t a P a y l o a d （ 扫 描 回 复 ） ， 每 种 数 据 最 长 可 以 包 含 3 1 字 节 。 这 里 广 播 数 据 是 必 需 的 ， 因 为 外 设 必 需 不 停 的 向 外 广 播 ， 让 中 心 设 备 知 道 它 的 存 在 。 扫 描 回 复 是 可 选 的 ， 中 心 设 备 可 以 向 外 设 请 求 扫 描 回 复 ， 这 里 包 含 一 些 设 备 额 外 的 信 息 ， 例 如
设 备 的 名 字 。 G A T T G A T T （ G e n e r i c   A t t r i b u t e   P r o f i l e ） 定 义 了 两 个 B L E 设 备 ， 通 过 S e r v i c e   和 C h a r a c t e r i s t i c 进 行 通 信 。 G A T T 使 用 了 A T T （ A t t r i b u t e   P r o t o c o l ） 协 议 ， A T T   协 议 把   S e r v i c e ， C h a r a c t e r i s t i c 对 应 的 数 据 保 存 在 一 个 查 找 表 中 ， 次 查 找 表 使 用   1 6   b i t   I D   作 为 每 一 项 的 索 引 。 一 旦 两 个 设 备 建 立 起 了 连 接 ， G A T T   就 开 始 起 作 用 了 ， 这 也 意 味 着 ， G A T T 只 有 在 G A P 管 理 的 广 播 流 程 完 成 后 才 能 启 动 。 G A T T 的 两 个 主 要 概 念 ： S e r v i c e s C h a r a c t e r i s t i c s S e r v i c e S e r v i c e 是 把 数 据 分 成 一 个 个 的 独 立 逻 辑 项 ， 它 包 含 一 个 或 者 多 个   C h a r a c t e r i s t i c 。 每 个   S e r v i c e   有 一 个   U U I D   唯 一 标 识 。   U U I D   有   1 6   b i t   的 ， 或 者   1 2 8   b i t   的 。 1 6   b i t   的   U U I D   是 官 方 通 过 认 证 的 ， 需 要 花 钱 购 买 ， 1 2 8   b i t   是 自 定 义 的 ， 这 个 就 可 以 自 己 随 便 设 置 。 官 方 通 过 了 一 些 标 准   S e r v i c e ， 完 整 列 表 在 这 里 。 以   H e a r t   R a t e   S e r v i c e 为 例 ， 可 以 看 到 它 的 官 方 通 过   1 6   b i t   U U I D 是 0 x 1 8 0 D ， 包 含 3 个 C h a r a c t e r i s t i c ： H e a r t   R a t e   M e a s u r e m e n t ,   B o d y   S e n s o r   L o c a t i o n 和 H e a r t   R a t e   C o n t r o l   P o i n t ， 并 且 定 义 了 只 有 第 一 个 是 必 须 的 ， 它 是 可 选 实 现 的 。 C h a r a c t e r i s t i c 在 G A T T 事 务 中 的 最 低 界 别 的 是 C h a r a c t e r i s t i c ， C h a r a c t e r i s t i c 是 最 小 的 逻 辑 数 据 单 元 ， 当 然 它 可 能 包 含 一 个 组 关 联 的 数 据 ， 例 如 加 速 度 计 的   X / Y / Z 三 轴 值 。 与 S e r v i c e 类 似 ， 每 个   C h a r a c t e r i s t i c 用 1 6   b i t 或 1 2 8   b i t 的 U U I D 唯 一 标 识 。 你 可 以 免 费 使 用 B l u e t o o t h   S I G 官 方 定 义 的 标 准   C h a r a c t e r i s t i c ， 使 用 官 方 定 义 的 ， 可 以 确 保   B L E   的 软 件 和 硬 件 能 相 互 理 解 。 当 然 ， 你 可 以 自 定 义 C h a r a c t e r i s t i c ， 这 样 的 话 就 只 有 你 自 己 的 软 件 和 外 设 能 够 相 互 理 解 。 例 如 ， S I G 规 定 的 官 方 T X 功 耗 U U I D 是 0 x 1 8 0 4 。 利 用 利 用   B L E   的 工 具 的 工 具 L i n u x 为 B L E 提 供 了 最 好 的 支 持 。 想 要 使 用 B L E ， 我 们 需 要 安 装 b l u e Z 。 命 令 如 下 ： 这 里 我 使 用 的 是 U b u n t u 系 统 的 电 脑 ， 该 设 备 将 作 为 与 其 他 外 围 设 备 通 信 的 中 心 网 关 。 安 装 完 成 后 ， 我 们 需 要 两 个 工 具 来 扫 描 ， 连 接 和 读 / 写 数 据 。 h c i t o o l g a t t t o o l s u d o   a p t - g e t   i n s t a l l   b l u e z
在 开 始 之 前 ， 我 们 需 要 扫 描 附 近 的 B L E 设 备 。 找 到 后 我 们 需 要 设 法 与 其 建 立 连 接 ， 读 / 写 数 据 ， 发 现 其 中 的 漏 洞 以 进 行 利 用 。 因 此 ， h c i t o o l 是 我 们 必 不 可 少 的 工 具 。 h c i t o o l h c i t o o l 利 用 了 笔 记 本 电 脑 中 的 主 机 控 制 器 接 口 与 B L E 设 备 进 行 通 信 以 及 执 行 读 / 写 / 更 改 操 作 。 因 此 ， h c i t o o l 可 用 于 查 找 广 播 的 可 用 受 害 者 B L E 设 备 ， 然 后 连 接 后 更 改 其 值 。 但 要 更 改 值 / 数 据 ， 我 们 必 须 首 先 要 知 道 s e r v i c e 和 c h a r a c t e r i s t i c 。 因 此 ， 我 们 就 需 要 用 到 g a t t t o o l 。 g a t t t o o l g a t t t o o l 的 作 用 就 是 找 出 可 用 B L E 设 备 的 s e r v i c e 和 c h a r a c t e r i s t i c ， 以 执 行 对 受 害 者 数 据 的 读 取 / 写 入 操 作 。 命 令 命 令   c h e a t s h e e t 命 令 命 令 功 能 功 能 h c i c o n f i g 用 于 配 置 蓝 牙 设 备 。   我 们 可 以 运 行 此 命 令 列 出 连 接 到 我 们 计 算 机 的 B L E 加 密 狗 及 其 基 本 信 息 。 h c i c o n f i g   h c i X   u p 打 开 名 为 h c i X 的 蓝 牙 设 备 有 关 更 多 命 令 请 参 阅 ： h t t p s : / / h e l p m a n u a l . i o / m a n 1 / h c i c o n f i g / H c i t o o l   命 令 命 令 h c i t o o l 用 于 配 置 蓝 牙 连 接 并 向 蓝 牙 设 备 发 送 一 些 指 定 命 令 。 命 令 命 令 功 能 功 能 h c i t o o l   - i   h c i X 使 用 h c i X 接 口 。 如 未 指 定 ， 则 默 认 为 第 一 个 可 用 接 口 h c i t o o l   s c a n 扫 描 处 于 可 发 现 模 式 的 传 统 蓝 牙 设 备 h c i t o o l   l e s c a n 扫 描 B L E 蓝 牙 设 备 有 关 更 多 命 令 请 参 阅 ： h t t p s : / / h e l p m a n u a l . i o / m a n 1 / h c i t o o l / G a t t o o l   命 令 命 令 命 令 命 令 功 能 功 能 g a t t t o o l   - I 以 交 互 模 式 启 动 g a t t t o o l g a t t t o o l   - t   r a n d o m   - b   [ a d r ]   - I 使 用 随 机 L E 地 址 以 交 互 模 式 启 动 g a t t o o l 。 连 接 到 具 有 地 址 a d r 的 远 程 蓝 牙 设 备 。 p r i m a r y 检 查 连 接 的 B L E 设 备 的 可 用 s e r v i c e s c h a r a c t e r i s t i c 检 查 我 们 可 以 从 中 读 取 数 据 的 所 连 接 B L E 设 备 的 可 用 c h a r a c t e r i s t i c s c h a r - d e s c C h a r a c t e r i s t i c s   D e s c r i p t o r 发 现 c h a r - r e a d - h n d 读 取 c h a r a c t e r i s t i c c h a r - w r i t e - r e q 将 值 写 入 h a n d l e 句 柄 有 关 更 多 命 令 请 参 阅 ： h t t p s : / / h e l p m a n u a l . i o / m a n 1 / g a t t t o o l / 使 用 示 例 使 用 示 例 h c i c o n f i g ： 列 出 所 有 连 接 的 B L E 适 配 器 。
h c i c o n f i g   h c i X   u p ： 启 用 名 为 h c i X 的 B L E 适 配 器 。 h c i c o n f i g   h c i X   d o w n ： 禁 用 名 为 h c i X 的 B L E 适 配 器 。 h c i t o o l   l e s c a n ： 扫 描 附 近 的 B L E 设 备 。 获 取 B L E 设 备 的 地 址 后 ， 我 们 需 要 连 接 它 ， 现 在 我 们 就 要 用 到 g a t t t o o l 了 。 g a t t t o o l   - I ： 以 交 互 R E P L 模 式 启 动 g a t t t o o l ， 用 户 可 以 在 其 中 发 送 各 种 命 令 ， 如 下 所 示 。 c o n n e c t   ： 使 用 指 定 的 地 址 连 接 到 B L E 设 备 。 如 果 设 备 仅 使 用 手 机 连 接 而 不 是 电 脑 ， 则 上 述 操 作 步 骤 可 能 无 效 。 为 了 连 接 这 些 设 备 ， 我 们 需 要 使 用 随 机 地 址 。 g a t t t o o l   - t   r a n d o m   - b   - I ： 使 用 随 机 地 址 连 接 到 设 备 。
连 接 成 功 后 ， 我 们 可 以 使 用 命 令 查 看 设 备 的 s e r v i c e s 和 c h a r a c t e r i s t i c s 。 P r i m a r y C h a r a c t e r i s t i c s 在 找 到 s e r v i c e s 和 c h a r a c t e r i s t i c s 之 后 ， 我 们 需 要 知 道 我 们 可 以 使 用 c h a r - d e s c 命 令 读 取 / 写 入 数 据 的 句 柄 。 我 们 还 可 以 使 用 c h a r - d e s c   0 1   0 5 之 类 的 命 令 ， 将 显 示 的 句 柄 过 滤 到 特 定 范 围 ， 该 命 令 将 显 示 从 1 到 5 的 5 个 句 柄 。 找 到 句 柄 后 ， 我 们 使 用 c h a r - r e a d - h n d   命 令 从 中 读 取 数 据 。
为 了 写 入 特 定 句 柄 ， 我 们 需 要 知 道 哪 一 个 是 写 句 柄 。 我 们 可 以 尝 试 逐 个 读 取 所 有 句 柄 ， 直 到 出 现 读 取 错 误 提 示 。 读 取 错 误 意 味 着 特 定 句 柄 是 写 句 柄 （ 因 为 写 句 柄 是 无 法 读 取 的 ） 。 或 者 ， 你 也 可 以 使 用 像 n r f   c o n n e c t 这 样 的 应 用 程 序 为 你 自 动 找 出 写 句 柄 。 句 柄 0 x 0 0 0 b 有 一 个 U U I D ， 如 下 图 所 示 ： 使 用 n R F   C o n n e c t 后 我 获 取 到 了 以 下 输 出 ， 这 也 为 我 们 确 认 了 句 柄 0 x 0 0 0 b 确 实 是 一 个 写 句 柄 。 上 图 中 句 柄 0 x 0 0 0 b 的 U U I D 和 n r f 连 接 匹 配 。
连 接 到 灯 泡 后 ， 我 们 可 以 将 随 机 值 写 入 不 同 的 c h a r a c t e r i s t i c s 。 在 大 多 数 情 况 下 ， 写 入 随 机 值 将 无 法 按 预 期 工 作 。 要 在 句 柄 中 写 入 正 确 的 值 ， 我 们 需 要 解 密 数 据 协 议 ， 我 们 可 以 使 用 像 w i r e s h a r k 和 u b e r t o o t h 之 类 的 嗅 探 工 具 找 到 。 解 密 数 据 协 议 后 ， 我 们 可 以 使 用 命 令 c h a r - w r i t e - r e q   在 句 柄 中 写 入 值 。 如 果 c h a r - w r i t e - r e q 报 错 ， 我 们 可 以 使 用 c h a r - w r i t e - c m d 代 替 。 蓝 牙 蓝 牙   h c i   s n o o p   l o g
从 A n d r o i d   4 . 4 开 始 增 加 了 一 个 用 来 记 录 从 设 备 进 出 的 所 有 蓝 牙 数 据 包 的 选 项 。 要 启 用 蓝 牙 流 量 捕 获 ， 请 按 照 以 下 步 骤 操 作 。 请 确 保 A n d r o i d   a p p 已 安 装 。 第 第 1 步 ： 步 ： 打 开 手 机 设 置 并 启 用 开 发 人 员 选 项 。 第 第 2 步 ： 步 ： 打 开 “ 开 发 人 员 选 项 ” 并 启 用 蓝 牙 H C I   s n o o p   l o g 。 第 第 3 步 ： 步 ： 运 行 A n d r o i d   a p p （ m a g i c   b l u e ） 并 向 灯 泡 发 送 一 些 更 改 颜 色 的 指 令 。 多 重 复 操 作 几 遍 。 第 第 4 步 ： 步 ： 我 们 可 以 在 / s d c a r d / b t s n o o p _ h c i . l o g   或   / i n t e r n a l   S t o r a g e / b t s n o o p _ h c i . l o g 中 找 到 蓝 牙 流 量 的 捕 获 文 件 。 注 注   -   在 某 些 设 备 中 ， b t s n o o p _ h c i . l o g 会 被 创 建 在 其 它 位 置 ， 例 如 / s d c a r d / A n d r o i d / d a t a / b t s n o o p _ h c i . l o g 。 使 用 电 子 邮 件 或 G o o g l e   D r i v e 将 捕 获 的 日 志 文 件 传 输 到 电 脑 上 ， 或 者 你 也 可 以 通 过 U S B 数 据 线 将 A n d r o i d 设 备 与 电 脑 连 接 。
第 第 5 步 ： 步 ： 在 W i r e s h a r k 中 分 析 捕 获 的 数 据 包 。 W i r e s h a r k 是 一 个 免 费 的 开 源 数 据 包 分 析 工 具 ， 如 果 你 没 有 安 装 可 以 通 过 以 下 命 令 进 行 安 装 。 有 关 如 何 使 用 W i r e s h a r k 进 行 分 析 的 内 容 ， 请 参 阅 ： h t t p s : / / b l o g . a t t i f y . c o m / e x p l o i t i n g - i o t - e n a b l e d - b l e - s m a r t - b u l b - s e c u r i t y / 或 者 ， 你 也 可 以 在 像 n a n o 这 样 的 文 本 编 辑 器 中 打 开 捕 获 文 件 。 使 用 使 用   n R F   C o n n e c t s u d o   a p t   i n s t a l l   w i r e s h a r k - q t
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理