攻击性蓝牙BLE

为什么 BLE 需要单独的攻击路径

BLE 设备通过 GATT 暴露能力，但很多厂商把“蓝牙链路已连接”当成授权边界。结果就是：附近设备可以直接 read / write / notify 特征，读取门锁状态、灯泡配置，甚至在无认证情况下写入控制指令。配对方式也同样脆弱：Just Works 没有 MITM 防护，Legacy Pairing 的密钥交换可被离线破解。

这个技能做什么

攻击性蓝牙BLE 把常见 BLE 攻击串成可执行的工作流。

1. GATT 发现与枚举：识别 16-bit SIG UUID 与 128-bit 厂商 UUID，后者通常是专有指令入口。
2. 无认证读写测试：逐一测试 read / write / notify 标志，验证门锁、灯泡、穿戴设备是否真的不设防。
3. 配对方式识别：判断是 Just Works、Numeric Comparison、Passkey Entry 还是 OOB。
4. 配对攻击：对 Just Works 发起 MITM，捕获并注入配对交换；对 Legacy Pairing 使用 crackle 尝试恢复 LTK。
5. 伴随应用逆向：厂商自定义特征的命令格式通常藏在 app 里，需要进一步分析。
6. 特定设备类检查：覆盖智能门锁、汽车手机钥匙、医疗设备和 BLE 信标。

适用边界与注意点

• 医疗设备可能暴露遥测 PHI，胰岛素泵或起搏器配置尤其敏感，披露前需要协调。
• 汽车 BLE 钥匙的 relay 攻击依赖硬件和具体实现，不能保证所有车型都适用。
• BLE 没有像 Wi-Fi WIDS 那样成熟的入侵检测体系，主要靠云平台或配对日志间接发现。
• 不同工具链：Sniffle 用于嗅探，crackle 用于解密，bettercap 提供 BLE 模块。