Bluetooth Keyboard Hacking--蓝牙键盘攻防

longas

        原本周五晚11点发布的分布式客户端延迟到了晚12点多才推出，感谢tange的配合，感谢一直坚守在群里的朋友们，让大家久等了！！好久没发帖了，因为都放到书里了，今晚就以此贴感谢大家一直以来的支持与鼓励，分布式测试刚刚开始，后续会有更多内容，请大家继续参与，让我们做得更好！！

Bluetooth Keyboard Hacking--蓝牙键盘攻防

作者：杨 哲 / Longas 【ZerOne Security Team】
4 T/ p+ o% x8 S/ T; s  M2 u（本文详细内容已发表在黑客防线杂志2009年10月份上，封面即可见，欢迎转载，但鄙视转载还僧装原创且修图的家伙）
6 h% C# j! |' H$ g8 c/ O" I
前言：本文目的只是为了日渐麻木的生活增添一点乐趣，当然，也是为了吸引更多的拍砖。关于文中所提的蓝牙键盘记录方面并不能造成更为广泛的实际意义，但却可以对特定的人群、特定的环境、特定的目标造成特定的损害。鉴于最近几个月论坛里也太无聊了，几乎都没有新的技术帖，所以我还是来带头拍个砖吧。

$ j, G% K6 k: i4 P1．关于蓝牙键盘

    说到键盘，这个大家都太熟悉了。不过这次我要提及的是蓝牙键盘。所谓蓝牙键盘是无线键盘的一种，和其它同样基于2.4GHz开发的无线键盘不同，蓝牙键盘从一开始就决定了其身份的不同。基于蓝牙技术的设计，使得闪着蓝光的键盘也更具稳定性和诱惑性。
9 r8 P3 q; |( X1 n3 @& L$ _- x/ |0 H       抱着如下图所示的蓝牙键盘或者键鼠套装，在家我们就可以休闲地躺在沙发上，轻松地操作远处的电脑上网搜索、浏览网页，聊天、玩游戏、看电影、写文章。

/ D) |  i3 g6 g2 c6 \        无线键盘使用二级模块，其使用距离一般都为10米。不过需要注意的是，蓝牙的使用距离与电池的电量和使用环境是否存在无线吸收物质均有关。快没电的电池对于其所在的蓝牙键盘来说，完全可以制造出时而不稳定时而断线的情况。
+ C$ v" a% t2 t- _
    下面为蓝牙键盘安全攻防实验中所用的测试环境：（如下图所示）：主要包括IBM X61笔记本、Dell笔记本、多款USB蓝牙适配器、Dell 蓝牙键盘等。
4 R/ L" Y+ ^( z

2．蓝牙通信数据截获及解码分析
5 K, N$ e2 a2 y7 o7 n
2．1 搜索及识别蓝牙键盘设备
! T' Z$ D2 [+ T' u: L4 k0 w& h
    在第一次使用蓝牙设备前，都需要进行蓝牙设备搜索来确认欲连接的蓝牙设备是否存在。如下图
所示，使用Windows下最有名气的IVT进行蓝牙设备搜索，发现了名为“Dell BT Keyboard”的蓝牙设备。这里就是Dell蓝牙键盘，BT就是Bluetooth的简写。
6 f( T% ?3 G& Q& [6 P9 n' u

   在旁路对蓝牙键盘的交互过程截获，通过分析蓝牙数据流中，我们可以清晰地看到下图9所示左侧蓝牙设备的Name，即“Dell BT Keyboard”，在右侧的内容中也可以清晰地看到。此外，在左侧的Bluetooth Device Address处，也可以清晰地看到该蓝牙设备的地址。

+ V( J6 E" ~* V2 ^- E* Z$ q
2．2 蓝牙设备厂商信息查询

7 A- ]/ V4 R0 J6 K    通过对蓝牙键盘与主机之间交互过程中的数据报文分析，我们可以在其中关于设备的“Attribute List”即属性列表里面，查看“Provider Name”即供应商名称。由下图所示，我们可以清楚地看到出现了“Logitech”的字样，看来传闻中市面上销售的Dell无线蓝牙键鼠套装是由罗技代工是真的。


2．3 蓝牙键盘输入分析与识别

8 a+ ^' o$ h. g' q, M    我想对于很多使用蓝牙键盘的朋友，肯定不会想到自己在使用蓝牙键盘对PDA、笔记本设备进行操作时，其操作内容和步骤可以被轻松地截获，甚至还可以被完整地还原出来。这都是无线惹的祸。我们来看几个例子。

    如下图所示，当蓝牙键盘使用者输入字母“a”的时候，在截获的数据报文中，在对HID分析可以看到显示为“Keyboard a”，即键盘敲入a，而其对应的16进制编码，在下图12所示右侧中可以看到键盘输入字母“a”对应的编码为“04”。这个编码方式和我们已知的绝大多数编码对应并不一样，此为蓝牙键盘特有的编码方式。

; G' g$ u' O5 ^' ?& Q
    而除了字母之外，键盘上的其它特有键位，在输入时也可以被轻松地识别出。如下图13所示，常见的回车键在蓝牙键盘上被敲击时，截获到的蓝牙数据报文中将会出现明显的“Keyboard ENTER”的提示。同样地，对于蓝牙键盘来说，在传输的蓝牙数据流中，回车键对应的16进制编码为“28”。
3 d/ u9 L* O% x1 h
; B4 A) ]# F# l7 D
, k/ O" |+ s% x, i2 t      由于在拦截蓝牙设备交互数据时，并不都是如上图般能够看到整体的数据包结构，通过关键字段来识别蓝牙输入内容，这些都取决于工具本身。所以为了方便大家查看，通过一些比对实验，我也自己制作了一个简单的蓝牙键盘输入编解码对照表，不过为了防止一些不必要的麻烦，这里就不贴出来了。
5 Z% \( d* z2 f! h# a0 v
7 {; h1 t5 e2 z    嘿嘿，至于针对蓝牙键盘的PIN码拦截、交互PJ、蓝牙DOS等内容，稍后我会再补上。此外，蓝牙键盘记录器，也是一个有意思的东东，不过就是太贵了，不过硬件功底好的朋友可以自己搞哦。

   太晚了，虽然上面所写的只占黑防已发表内容的三分之一，但这次就先到这里。等有空再发，有问题可以到我Blog上说：http://bigpack.blogbus.com，当然啦，欢迎拍砖，写信留言给我也行。:)


: o6 v2 Z& `- t6 V* n7 `9 i7 ]! cPS：新书《无线网络安全攻防实战进阶》里专门有蓝牙攻防的章节，从蓝牙耳机破坏、蓝牙键盘攻击、蓝牙手机攻击等全面涉及，更多内容更多详细的操作步骤更多精彩，已经在全国各大书店上架、当当卓越网均可见，希望大家能喜欢。和那些只会跟风模仿的无线安全书籍不同，本书作为《无线网络安全攻防实战》系列，仍然全部为原创内容，并侧重实战，希望大家喜欢呀

longas

晕死，又是凌晨3点了，周六上午还要发布更新的分布式破解客户端，晚上还要进行分布式测试，睡了先.....

ysljz

我来顶了，太深奥了

kissme5000

难怪我2点还找不到老大发表的东东

kissme5000

唉 看来根基太浅 看不太懂

huhn

蓝牙也不安全了

longas

难怪我2点还找不到老大发表的东东
kissme5000 发表于 2009-9-26 09:33

( @+ |, c6 J# y
哈，不好意思，久等了。希望你喜欢。

dirtyair

顶下，刚起来

969191329

学习了，收藏

Kevin2600

恩。。。。。对LZ的敬意有如。。。。。。江水了

我是野原

窍不通的人一看就懂

独一无二

唉,都是无线惹的祸啊!