从蓝牙键盘到智能门锁：手把手教你用Ubertooth One嗅探身边的BLE设备（附实战分析）-深圳市維司達科技有限公司

从蓝牙键盘到智能门锁：揭秘BLE设备的安全隐患与防护实战

你是否曾在咖啡馆用蓝牙键盘输入密码，或通过手机APP远程解锁智能门锁？这些看似便捷的日常操作，可能正将你的隐私暴露在无形的风险中。蓝牙低功耗（BLE）技术虽然以节能著称，但其广播机制和连接过程却可能成为安全链中最脆弱的一环。本文将带你深入BLE设备的工作机制，通过Ubertooth One这类专业工具，亲身体验如何发现和评估身边智能设备的安全漏洞。

1. BLE技术的工作原理与安全隐患

蓝牙低功耗技术自2010年成为蓝牙4.0标准的一部分后，凭借其低功耗特性迅速占领了物联网市场。从健身手环到智能家居中枢，BLE设备已经渗透到我们生活的各个角落。然而，这种普及也带来了新的安全挑战。

BLE设备通常采用两种通信模式：

广播模式：设备定期发送包含自身信息的广播包
连接模式：与配对设备建立持续的数据通道

安全隐患主要存在于三个环节：

广播信息泄露：设备名称、服务UUID等敏感信息可能被嗅探
连接过程漏洞：配对过程中的加密强度不足
固件缺陷：厂商实现中的安全疏忽

下表对比了常见BLE设备的安全风险等级：

设备类型	风险等级	主要威胁
蓝牙键盘	高	按键记录、中间人攻击
智能门锁	极高	非法开锁、家庭安全威胁
健康监测设备	中	隐私数据泄露
智能灯泡	低	有限的操作风险

提示：即使设备宣称使用"安全配对"，仍可能存在实现缺陷。2019年就有研究团队发现多个品牌的智能锁存在BLE协议栈漏洞。

2. Ubertooth One硬件入门与配置

Ubertooth One是一款开源的无线安全研究工具，专为2.4GHz频段分析设计，其硬件规格使其特别适合BLE信号捕获：

频率范围：2402-2480MHz
接收灵敏度：-90dBm
采样率：8MHz
接口：USB 2.0高速

搭建测试环境的步骤：

安装依赖库：

sudo apt-get install cmake libusb-1.0-0-dev make gcc g++ libbluetooth-dev \ pkg-config python3-numpy python3-qtpy python3-distutils

编译并安装Ubertooth工具链：

git clone https://github.com/greatscottgadgets/ubertooth.git cd ubertooth/host mkdir build cd build cmake .. make sudo make install

加载固件：
```
ubertooth-util -f
```
验证设备识别：
```
ubertooth-util -v
```
正常输出应显示硬件版本和固件信息。

常见问题排查：

设备未识别：检查USB连接，尝试lsusb确认设备列出

权限问题：将用户加入plugdev组并重载规则

sudo usermod -a -G plugdev $USER sudo cp ubertooth/scripts/99-ubertooth.rules /etc/udev/rules.d/ sudo udevadm control --reload-rules

3. BLE设备发现与广播包分析

启动Ubertooth的BLE嗅探模式非常简单：

ubertooth-btle -f

这个命令会让设备开始监听三个主要的BLE广播信道（37、38、39）。

典型的发现过程输出示例：

Access Address: 0x8e89bed6 CRCInit: 0x0bd54a Channel: 37 ... Advertising Address: 22:44:66:88:AA:CC (random) AdvData: 0201061107e4fec27f4500a0b9a40348f842ee

广播数据包中的关键字段解析：

AdvA：设备广播地址
AdvData：实际广播内容
RSSI：信号强度指示

使用Wireshark进行深度分析：

将捕获数据保存为PCAP格式：
```
ubertooth-btle -q capture.pcap
```
在Wireshark中打开文件，应用btle过滤器
重点关注以下协议字段：
- ADV_IND：通用广播帧
- SCAN_REQ：扫描请求
- CONNECT_REQ：连接请求

注意：许多智能设备在广播中包含可识别的厂商特定数据（Manufacturer Specific Data），这可能泄露设备型号和功能信息。

4. 连接过程拦截与安全评估

当两个BLE设备建立连接时，它们会执行一个精密的"舞蹈"——跳频序列。Ubertooth可以跟踪这个过程：

ubertooth-btle -t AA:BB:CC:DD:EE:FF -p

连接建立的关键阶段：

广告阶段：从设备广播可连接指示
连接请求：主设备发送连接参数
数据交换：双方开始加密通信

安全评估要点：

配对方式：Just Works、Passkey Entry还是OOB？
加密强度：检查使用的加密算法和密钥长度
重放攻击：是否容易受到重复数据包攻击

实战案例：智能门锁分析

通过捕获某品牌门锁的连接过程，我们发现：

设备使用固定配对码"000000"
加密采用AES-128但密钥派生过程存在缺陷
可以通过重放攻击绕过身份验证

# 示例：解析连接参数 from scapy.all import * packets = rdpcap('doorlock.pcap') for pkt in packets: if pkt.haslayer(BTLE): if pkt.btle_header.LLID == 1: # 数据PDU print(f"Channel: {pkt.btle_channel}") print(f"Sequence: {pkt.btle_header.NESN}")