Sourcell Xu@海特实验室

bluescan 是一个由安恒信息 海特实验室安全研究员维护的一个开源项目

先前的蓝牙扫描工具都是零零散散，而且年久失修对吗？于是我们有了这个基于现代 Python 3 开发的强大蓝牙扫描器 —— bluescan。

在测试新的蓝牙目标时，该扫描器可以帮助我们做好情报收集工作，比如：

• BR 设备扫描

• LE 设备扫描

• SDP 服务扫描

• LMP 特性扫描

• GATT 服务扫描

• 漏洞扫描 (demo)

依赖

bluescan 在底层基于 Linux 官方的 BlueZ 蓝牙协议栈。如下依赖的包需要被安装：

sudo apt install libglib2.0-dev libbluetooth-dev

当在 Linux 虚拟机中使用该工具时，建议让虚拟机独占一个搭载博通或 CSR 芯片的 USB 蓝牙适配器，比如

 Ostran 奥视通 USB 蓝牙适配器 OST-105 CSR 8150 v4.0

https://item.taobao.com/item.htm?spm=a230r.1.14.14.21b6705fm5gjj3&id=38948169460&ns=1&abbucket=6#detail

如果你想尝试下漏洞扫描 (demo)，请参考

 ojasookert/CVE-2017-0785

https://github.com/ojasookert/CVE-2017-0785

 的 README.md 来解决依赖问题。

安装

最新的 bluescan 会被上传到 PyPI 上，因此执行如下命令即可安装 bluescan：

sudo pip3 install bluescan

功能和使用方法

$ bluescan -h
bluescan v0.1.1
A powerful Bluetooth scanner.
Author:SourcellXufrom DBAPP SecurityHatLab.
License: GPL-3.0
Usage:
    bluescan (-h |--help)
    bluescan (-v |--version)
    bluescan [-i <hcix>]-m br [--inquiry-len=<n>]
    bluescan [-i <hcix>]-m lmp BD_ADDR
    bluescan [-i <hcix>]-m sdp BD_ADDR
    bluescan [-i <hcix>]-m le [--timeout=<sec>][--le-scan-type=<type>][--sort=<key>]
    bluescan [-i <hcix>]-m gatt [--include-descriptor]--addr-type=<type> BD_ADDR
    bluescan [-i <hcix>]-m vuln --addr-type=br BD_ADDR
Arguments:
    BD_ADDR    TargetBluetooth device address
Options:
-h,--help                  Displaythis help
-v,--version               Show the version
-i <hcix>                   HCI device for scan [default: hci0]
-m <mode>Scan mode, support BR, LE, LMP, SDP, GATT and vuln
--inquiry-len=<n>Inquiry_Length parameter of HCI_Inquiry command [default:8]
--timeout=<sec>Duration of LE scan [default:10]
--le-scan-type=<type>Activeor passive scan for LE scan [default: active]
--sort=<key>Sort the discovered devices by key, only support RSSI now [default: rssi]
--include-descriptor        Fetch descriptor information
--addr-type=<type>Public, random or BR

BR 设备扫描 -m br

经典蓝牙设备可能使用三种技术：BR (Basic Rate)、EDR (Enhanced Data Rate) 以及 AMP (Alternate MAC/PHY)。由于它们都属于 Basic Rate system，因此在扫描这些设备时统称为 BR 设备扫描：

如上图，通过 BR 设备扫描，我们可以拿到周围经典蓝牙设备的地址、名称、类型以及 RSSI。

LE 设备扫描 -m le

蓝牙除了 Basic Rate system 就是 Low Energy (LE) system 了。当扫描周围的低功耗蓝牙设备时，称为 LE 设备扫描：

如上图，通过 LE 扫描，我们可以拿到周围低功耗蓝牙设备的地址、地址类型、连接状态、RSSI 以及 GAP 数据。

SDP 服务扫描 -m sdp

经典蓝牙设备通过 SDP 告诉外界自己开放的服务。通过 SDP 扫描，我们可以拿到指定经典蓝牙设备的 service record：

之后可以尝试连接这些 service，做进一步的安全测试。

LMP 特性扫描 -m lmp

探测经典蓝牙设备的 LMP 特性，可以让我们判断目标设备底层的安全特性：

GATT 服务扫描 -m gatt

低功耗蓝牙设备通过 GATT 告诉外界自己开放的服务。通过 GATT 扫描，我们可以拿到指定低功耗蓝牙设备的 GATT 数据。之后可以尝试读写这些 GATT 数据，做进一步的安全测试：

漏洞扫描 -m vul (demo)

漏洞扫描还处于 demo 阶段，目前仅支持 CVE-2017-0785：

$ sudo bluescan -m vuln --addr-type=br ??:??:??:??:??:??
......
CVE-2017-0785

项目地址

GitHub DasSecurity-Labs/bluescan

https://github.com/DasSecurity-Labs/bluescan