>> ble.write <mac address of device> ff06 68656c6c6f

Также можно использовать GATTTool для чтения и записи данных. GATTTool поддерживает дополнительные форматы ввода для указа- ния обработчиков или UUID. Например, чтобы выполнить команду write с помощью­ GATTTool вместо Bettercap, введите:

# gatttool -i <Bluetooth adapter interface> -b <MAC address of device> --charwrite- req <characteristic handle> <value>

Попрактикуемся в чтении данных с помощью­ GATTTool. Извлеки- те имя устройства из дескриптора с адресом 0x16 (он зарезервирован протоколом как имя устройства.)

#gatttool -i <Bluetooth adapter interface> -b <MAC address of device> --charread -a 0x16

#gatttool -b a4:cf:12:6c:b3:76 --char-read -a 0x16

Characteristic value/descriptor: 32 62 30 30 30 34 32 66 37 34 38 31 63 37 62 30 35 36 63 34 62 34 31 30 64 32 38 66 33 33 63 66

Теперь вы можете обнаруживать устройства, составлять список ха- рактеристик, а также читать и записывать данные, чтобы попытать- ся изменить функциональность устройства. Вы готовы приступить к взлому BLE.

Взлом BLE

В этом разделе мы рассмотрим CTF, разработанный, чтобы помочь вампопрактиковатьсявовзломеBLE,–проектBLECTFInfinity(https:// github.com/hackgnar/ble_ctf_infinity/). Использование CTF требует нали-

чия как базовых, так и продвинутых навыков. Этот CTF работает на плате ESP32 WROOM.

МыбудемиспользоватьпопеременноBettercap иGATTTool,потому что в решении определенных задач иногда лучше один,а иногда дру- гой инструмент. Решение практических задач с помощью­ этого CTF научитвас исследовать неизвестные устройства,обнаруживать функ- циональные возможности и управлять состояниями этих устройств. Прежде чем двигаться дальше, убедитесь, что вы настроили среду разработки и набор инструментов для ESP32, как описано на страни-

це https://docs.espressif.com/projects/esp-idf/en/latest/get-started/. Большин-

ство операций будет выполняться, как описано в документации; не- которые нюансы мы отметим ниже.

Bluetooth Low Energy (BLE)  323

1.Создайте пустую папку с именем main в корневой папке про­ екта.

2.Выполнитекомандуmake menuconfig.Убедитесь,чтовашеустрой- ство настроено, Bluetooth на нем включен, а предупреждения компиляторанесвидетельствуютобошибках.Файлsdkconfigдля сборки вы опять же найдете в онлайн-ресурсах к книге.

3.Выполните команду make codegen, чтобы запустить скрипт Py- thon,который,помимо прочего,копируетисходные файлы в ос- новную папку.

4.Отредактируйте файл main/flag_scoreboard.c и измените значе-

ние переменной string_total_flags [] с 0 на 00.

Выполните команду make, чтобы собрать CTF, и make flash, чтобы записать прошивку на плату. Когда процесс завершится, программа CTF запустится автоматически.

После запуска CTF вы должны увидеть маяки, доступные при ска- нировании. Другой вариант – связаться с назначенным последова- тельным портом (скорость передачи по умолчанию 115200) и прове- рить отладочный вывод.

…

I (1059) BLE_CTF: create attribute table successfully, the number handle = 31

I (1059) BLE_CTF: SERVICE_START_EVT, status 0, service_handle 40

I (1069) BLE_CTF: advertising start successfully

Приступаем к работе

Найдите табло,на котором показан дескриптор для отправки флагов, дескриптор для навигации по задачам и еще один дескриптор для сброса CTF.Затем получите перечень характеристик при помощи ин- струмента, который вы предпочитаете (рис. 11.8).

Дескриптор 0030 позволяет перемещаться по задачам. Используя Bettercap, запишите значение 0001 в этот дескриптор, чтобы перейти к флагу № 1:

>> ble.write a4:cf:12:6c:b3:76 ff02 0001

324  Глава 11

Рис.11.8.Использование Bettercap для вывода перечня BLE CTF Infinity

ЧтобысделатьтожесамоеприпомощиGATTTool,используйтесле- дующую команду:

# gatttool -b a4:cf:12:6c:b3:76 --char-write-req -a 0x0030 -n 0001

После того как вы запишете характеристику, имя маяка будет ука- зывать,что вы видите сервер GATT для флага #1.Например,Bettercap покажет что-то в таком духе:

[ble.device.new] new BLE device FLAG_01 detected as A4:CF:12:6C:B3:76 -42 dBm

Это отображение новой таблицы GATT, по одной для каждой зада- чи.Теперь,когда вы знакомы с базовой навигацией,давайте вернем- ся к основной таблице:

[a4:cf:12:6c:b3:76][LE]> char-write-req 0x002e 0x1

Начнем с флага #0. Перейдите к нему, записав значение 0000 в дес- криптор 0x0030:

# gatttool -b a4:cf:12:6c:b3:76 --char-write-req -a 0x0030 -n 0000

Интересно,что задача 0 выглядит не чем иным,как исходным сер- вером GATT, отображающим таблицу (рис. 11.9). Мы что-то пропус­ тили?

Bluetooth Low Energy (BLE)  325

Рис.11.9.Таблица характеристик BLE CTF INFINITY

Флаг 1.Исследование характеристик и дескрипторов

Теперь перейдите к FLAG_01 с помощью­ команды:

# gatttool -b a4:cf:12:6c:b3:76 --char-write-req -a 0x0030 -n 0000

Здесь мы снова начинаем с изучения таблицы GATT. Давайте по- пробуем использовать GATTTool, чтобы перечислить характеристики и дескрипторы:

# gatttool -b a4:cf:12:6c:b3:76 -I

[a4:cf:12:6c:b3:76][LE]> connect

326  Глава 11

Запуская скрипт, мы должны получить информацию из дескрип­ торов:

Reading handle: 0001

Characteristic value/descriptor: 01 18 Reading handle: 0002

Characteristic value/descriptor: 20 03 00 05 2a

…

Reading handle: 002e

Characteristic value/descriptor: 77 72 69 74 65 20 68 65 72 65 20 74 6f 20 67 6f 74 6f 20 74 6f 20 73 63 6f 72 65 62 6f 61 72 64

Флаг 2.Аутентификация

При просмотре таблицы FLAG_02 GATT вы должны увидеть сообще- ние «Insufficient authentication» (недостаточная аутентификация) на дескрипторе 0x002c, а также сообщение Connect with pin 0000 на де- скрипторе 0x002a (рис. 11.10). Это задание имитирует устройство со слабым пин-кодом, используемым для аутентификации.

Рис.11.10.Нам нужно пройти аутентификацию перед чтением дескриптора 002c

Подсказка подразумевает, что нам нужно установить безопасное соединение для чтения защищенного дескриптора 0x002c. Для этого мы используем GATTTool с параметром --sec-level = high, который устанавливает высокий уровень безопасности­ соединения и уста- навливает аутентифицированное зашифрованное соединение (AESCMAC или ECDHE) перед чтением значения:

# gatttool --sec-level=high -b a4:cf:12:6c:b3:76 --char-read -a 0x002c

Characteristic value/descriptor: 35 64 36 39 36 63 64 66 35 33 61 39 31 36 63 30 61 39 38 64

328  Глава 11

Bluetooth Low Energy (BLE)  329

Рис.11.12.FLAG_3 отображается после соединения с нужным MAC-адресом

Вернитесь к главной таблице и отправьте свой новый флаг:

# gatttool -b a4:cf:12:6c:b3:76 --char-write-req -a 0x002e -n $(echo -n

"0ad3f30c58e0a47b8afb"|xxd -ps)

Characteristic value was written successfully

Затем проверьте таблицу, чтобы увидеть обновленный результат

(рис. 11.13).

Рис.11.13.Таблица после выполнения первых заданий

330  Глава 11