攻击性蓝牙BLE

核心问题

许多 BLE 设备将蓝牙链路本身视为信任边界，在可从任何附近设备读取/写入的 GATT 特征值上暴露特权操作。这意味着门锁可能接受任何写入请求就能解锁，智能灯泡允许任何对等设备调整亮度/颜色，可穿戴设备可能暴露 PIN 或锁状态。

工作原理

该技能遵循结构化的工作流：

1. 发现与枚举：扫描 GATT 树，识别 16-bit SIG 定义服务和 128-bit 厂商自定义服务，后者通常包含厂商特定的命令格式
2. 权限测试：对每个标记为可读/可写/可通知的 characteristic 进行无认证测试
3. 配对方法识别：确定设备使用的是 Just Works、Numeric Comparison、Passkey Entry 还是 OOB
4. MITM 攻击：对于 Just Works 配对，进行中间人攻击以捕获或注入数据
5. 应用逆向：从配套应用中提取专有命令格式

特定设备类别

• 智能锁：测试解锁 characteristic 的无认证写入，检查滚动令牌是否可重放，分析固件中硬编码的 LTK
• 汽车（BLE 手机钥匙）：中继攻击（使用两个 SDR 设备扩展范围），配对状态机缺陷
• 医疗设备：通常使用无认证 GATT 进行遥测，可能允许远程配置（胰岛素泵、起搏器）
• 信标：默认密码配置，重品牌攻击

检测与限制

BLE 没有原生的入侵检测系统（不像 Wi-Fi WIDS）。检测主要依赖：

• 厂商云可能检测异常 characteristic 模式
• 用户可见的配对失败日志
• 多次 Just Works 提示可能引发怀疑

工具链包括 Sniffle（嗅探）、crackle（LTK 恢复）和 bettercap BLE 模块。对于 LE Secure Connections（蓝牙 4.2+），crackle 会返回"用强密钥加密，无法恢复"。

适用边界

该技能适用于授权的安全评估。医疗设备（如胰岛素泵、起搏器）的远程配置功能需要谨慎披露。汽车中继攻击研究参考了 2022 年 Tesla 研究。配套应用的深入分析需要结合 offensive-mobile 技能。