BLE数据包捕获与分析-实战篇

一、涉及的基本原理

蓝牙信道

有两种通信信道：广播信道和数据信道（advertising channels and data channels）,对应的通道如下图，其中广播信道只使用37，38，39这三个通道。数据信道共包含37个信道。

ble-phy-channel-assignment.png

广播通道作用

设备发现
连接建立
传输广播

数据通道作用

自适应跳频以及设备间数据传输

自适应跳频

在数据传输时，设备间会使用跳频算法在数据通道间跳频。常见的CC2540不具备捕获数据通道中的数据的能力，需使用昂贵的专业蓝牙设备（数万元）或Ubertooth进行捕获（几百元，但是不稳定）。

蓝牙地址(bdaddr)

蓝牙地址也有多种类型，有设备使用固定的蓝牙地址，也有设备使用随机的蓝牙地址。类型如下,具体的定义参考末尾的参考连接

Address-Types-1.png

BLE安全模式

蓝牙有两种安全模式和4个安全等级，Level 1 ~ Level 4对应的安全强度由若到强，分别为：

Security Level 1 supports communication without security at all, and applies to any Bluetooth communication, but think of it as applying to unpaired communications.
Security Level 2 supports AES-CMAC encryption (aka AES-128 via RFC 4493, which is FIPS-compliant) during communications when the devices are unpaired.
Security Level 3 supports encryption and requires pairing.
Security Level 4 supports all the bells and whistles, and instead of AES-CMAC for encryption, ECDHE (aka Elliptic Curve Diffie-Hellman aka P-256, which is also FIPS-compliant) is used instead.

二、准备抓包所需的软件和硬件

所需硬件

Ubertooth 一个（配合ubertooth-btle使用）
CSR模组一个 (配合bluetoothctl使用，也可使用树莓派等设备替代)
Linux PC 一台
ESP32模组一个（作为ble server使用）

ESP32模组的长相

截屏2020-09-15 下午3.02.32.png

所需软件

ubertooth-btle （抓取数据信道数据）
bluetoothctl （监听广播数据）
esp-idf （烧录ble server）
crackle （分析加密情况）
wireshark
LightBlue （手机APP）

三、动手做

烧录BLE Server

首先从乐鑫GitHub获取esp-idf工具链和demo，具体的esp-idf下载和配置的方法可按官方教程操作。
当配置好esp-idf后，连接ESP32模组和PC。

烧录不安全的demo：gatts_demo

该demo位于该路径下
esp-idf/examples/bluetooth/bluedroid/ble/gatt_server

烧录方法

cd ~/esp-idf/examples/bluetooth/bluedroid/ble/gatt_server  
make menuconfig    
make flash  //烧录时可能需按住ESP32模组上的boot键

扫描附近的BLE设备

将CSR模组插入Linux PC，也可直接使用树莓派。安装并启动bluetoothctl（可能需要sudo权限）。执行如下命令。

sudo bluetoothctl
[bluetooth]# scan on   //启动扫描，等待一会
[bluetooth]# scan off   //关闭扫描
[bluetooth]# devices   //查看附近的设备

找到ESP_GATTS_DEMO对应的地址并记住。

开始捕获数据包

将Ubertooth插入Linux PC，安装ubertooth-btle并刷入最新的固件，操作流程参考如下链接：
https://github.com/greatscottgadgets/ubertooth/wiki/Build-Guide
https://github.com/greatscottgadgets/ubertooth/wiki/Firmware

准备完成后，输入如下命令进行捕获

touch /tmp/pipe
ubertooth-btle -t aa:bb:cc:dd:ee:ff -f -c /tmp/pipe   //aa:bb:cc:dd:ee:ff为之前获取到的ESP_GATTS_DEMO对应的地址
启动wireshark 并获取/tmp/pipe中的数据

手机端使用LightBlue连接设备，由于蓝牙跳频，有时Ubertooth会抓不到包，或者卡住，可以反复在LightBlue中“返回-进入”来抓取ble通讯包。

查看明文数据

由于我们使用的是未加密的demo，可直接在wireshark中看到明文传输的数据，如下图。

image.png

可以在图片下方看到deedbeef数据值，该数据值由gatts_demo.c中如下代码产生。

case ESP_GATTS_READ_EVT: {
        ESP_LOGI(GATTS_TAG, "GATT_READ_EVT, conn_id %d, trans_id %d, handle %d\n", param->read.conn_id, param->read.trans_id, param->read.handle);
        esp_gatt_rsp_t rsp;
        memset(&rsp, 0, sizeof(esp_gatt_rsp_t));
        rsp.attr_value.handle = param->read.handle;
        rsp.attr_value.len = 4;
        rsp.attr_value.value[0] = 0xde;
        rsp.attr_value.value[1] = 0xed;
        rsp.attr_value.value[2] = 0xbe;
        rsp.attr_value.value[3] = 0xef;
        esp_ble_gatts_send_response(gatts_if, param->read.conn_id, param->read.trans_id,
                                    ESP_GATT_OK, &rsp);
        break;
    }

再来分析下安全的BLE连接

在esp-idf目录下，找到如下demo，按照之前烧录不安全demo的方式烧录该demo。
examples/bluetooth/bluedroid/ble/gatt_security_server

烧录完成后，使用Ubertooth捕获手机与ESP32模组间的通讯。捕获到的数据片段如下。

截屏2020-09-15 上午11.37.49.png

可以看到Random、DHKey、LL_ENC_REQ等信息，说明该连接使用到密钥交换，接下来我们可以借助另一个工具判断这两个连接是否安全。

破解工具上场--crackle

工具下载地址
https://github.com/mikeryan/crackle
该工具可以用来破解BLE通讯中的TK，或者配合LTK对BLE通讯进行解密。
我们分别使用该工具读取两次通讯的PCAP文件。

读取不安全的BLE通讯

image.png

可以看到该通讯PCAP中不包含加密通讯。

读取安全的BLE通讯

image2.png

能看到crackle提示找到了加密的数据包，但是由于没有LTK，无法解密数据包。在让我们回到demo的代码中，那么可以看到在example_ble_sec_gatts_demo.c中有如下代码片段。

case ESP_GATTS_CONNECT_EVT:
            ESP_LOGI(GATTS_TABLE_TAG, "ESP_GATTS_CONNECT_EVT");
            /* start security connect with peer device when receive the connect event sent by the master */
            esp_ble_set_encryption(param->connect.remote_bda, ESP_BLE_SEC_ENCRYPT_MITM);
            break;

代码片段中用到了ESP_BLE_SEC_ENCRYPT_MITM来指明连接的安全等级。除了该安全选项，还有另外三个，分别是：

ESP_BLE_SEC_NONE
ESP_BLE_SEC_ENCRYPT
ESP_BLE_SEC_ENCRYPT_NO_MITM
ESP_BLE_SEC_ENCRYPT_MITM

四、总结

蓝牙提供了完善的安全机制和抗干扰机制
由于自适应跳频机制的存在，捕获数据通道中的数据较为困难
不是所有的设备都会选择安全的BLE蓝牙配对和连接模式，可能存在数据明文传输的情况

五、参考链接

https://microchipdeveloper.com/wireless:ble-link-layer-channels
https://www.rfwireless-world.com/Terminology/BLE-Advertising-channels-and-Data-channels-list.html
https://www.novelbits.io/bluetooth-address-privacy-ble/
https://duo.com/decipher/understanding-bluetooth-security