LoRaWAN/Sub-GHz攻击套件

要解决的具体问题

LoRaWAN 与 Sub-GHz 物联网设备广泛部署于智慧城市、资产追踪、工业遥测等场景，但大量设备存在安全薄弱问题。LoRaWAN 的 OTAA/ABP 激活机制依赖预置或空中派生的密钥，若实现不当会导致后续流量可解密甚至被注入；Sub-GHz 频段（433/868/915 MHz）的车库门、门铃、TPMS 等设备常使用固定码或弱滚动码，甚至明文传输，攻击者仅需简单重放即可控制设备。

技能如何工作

该技能覆盖从信号识别到攻击落地的全流程：

1. 使用 RTL-SDR 或 HackRF 等硬件捕获目标频段信号，区分 LoRa CSS 调制与 OOK/FSK 等简单调制
2. 针对 LoRaWAN：

- OTAA 模式：利用提取的 AppKey 解密 Join-Accept，恢复 NwkSKey 和 AppSKey，实现后续流量解密与注入
- ABP 模式：检测预置密钥复用、帧计数器无回滚保护等常见缺陷

1. 针对 Sub-GHz 协议：

- 对 KeeLoq 等滚动码协议，使用公开的制造商密钥预测合法代码
- 对固定码设备，通过 Flipper Zero 捕获一次后无限重放
- 对未知协议，借助 URH 从原始 RF 数据重建协议格式

适用边界与注意点

• 仅适用于授权范围内的安全测试
• LoRaWAN 1.0.x 等旧版本存在帧计数器不严格限制的漏洞，新版本已强化
• 消费级 Sub-GHz 设备普遍缺乏 RF 异常监控，而 LoRaWAN 网络通常部署有服务器端异常检测
• 测试时需准确记录频率、调制方式、波特率及包格式，区分重放攻击与构造攻击