Sourcell Xu@海特实验室

bluescan 是一个由安恒信息 海特实验室安全研究员维护的一个开源项目

先前的蓝牙扫描工具都是零零散散，而且年久失修对吗？于是我们有了这个基于现代 Python 3 开发的强大蓝牙扫描器 —— bluescan。

在测试新的蓝牙目标时，该扫描器可以帮助我们做好情报收集工作，比如：

BR 设备扫描

LE 设备扫描

SDP 服务扫描

LMP 特性扫描

GATT 服务扫描

漏洞扫描 (demo)

依赖

bluescan 在底层基于 Linux 官方的 BlueZ 蓝牙协议栈。如下依赖的包需要被安装：

sudo apt install libglib2.0-dev libbluetooth-dev

当在 Linux 虚拟机中使用该工具时，建议让虚拟机独占一个搭载博通或 CSR 芯片的 USB 蓝牙适配器，比如

如果你想尝试下漏洞扫描 (demo)，请参考

的 README.md 来解决依赖问题。

安装

最新的 bluescan 会被上传到 PyPI 上，因此执行如下命令即可安装 bluescan：

sudo pip3 install bluescan

功能和使用方法

$ bluescan -h

bluescan v0.1.1

A powerful Bluetooth scanner.

Author:SourcellXufrom DBAPP SecurityHatLab.

License: GPL-3.0

Usage:

bluescan (-h |--help)

bluescan (-v |--version)

bluescan [-i ]-m br [--inquiry-len=]

bluescan [-i ]-m lmp BD_ADDR

bluescan [-i ]-m sdp BD_ADDR

bluescan [-i ]-m le [--timeout=][--le-scan-type=][--sort=]

bluescan [-i ]-m gatt [--include-descriptor]--addr-type= BD_ADDR

bluescan [-i ]-m vuln --addr-type=br BD_ADDR

Arguments:

BD_ADDR TargetBluetooth device address

Options:

-h,--help Displaythis help

-v,--version Show the version

-i HCI device for scan [default: hci0]

-m Scan mode, support BR, LE, LMP, SDP, GATT and vuln

--inquiry-len=Inquiry_Length parameter of HCI_Inquiry command [default:8]

--timeout=Duration of LE scan [default:10]

--le-scan-type=Activeor passive scan for LE scan [default: active]

--sort=Sort the discovered devices by key, only support RSSI now [default: rssi]

--include-descriptor Fetch descriptor information

--addr-type=Public, random or BR

BR 设备扫描 -m br

经典蓝牙设备可能使用三种技术：BR (Basic Rate)、EDR (Enhanced Data Rate) 以及 AMP (Alternate MAC/PHY)。由于它们都属于 Basic Rate system，因此在扫描这些设备时统称为 BR 设备扫描：

如上图，通过 BR 设备扫描，我们可以拿到周围经典蓝牙设备的地址、名称、类型以及 RSSI。

LE 设备扫描 -m le

蓝牙除了 Basic Rate system 就是 Low Energy (LE) system 了。当扫描周围的低功耗蓝牙设备时，称为 LE 设备扫描：

如上图，通过 LE 扫描，我们可以拿到周围低功耗蓝牙设备的地址、地址类型、连接状态、RSSI 以及 GAP 数据。

SDP 服务扫描 -m sdp

经典蓝牙设备通过 SDP 告诉外界自己开放的服务。通过 SDP 扫描，我们可以拿到指定经典蓝牙设备的 service record：

之后可以尝试连接这些 service，做进一步的安全测试。

LMP 特性扫描 -m lmp

探测经典蓝牙设备的 LMP 特性，可以让我们判断目标设备底层的安全特性：

GATT 服务扫描 -m gatt

低功耗蓝牙设备通过 GATT 告诉外界自己开放的服务。通过 GATT 扫描，我们可以拿到指定低功耗蓝牙设备的 GATT 数据。之后可以尝试读写这些 GATT 数据，做进一步的安全测试：

漏洞扫描 -m vul (demo)

漏洞扫描还处于 demo 阶段，目前仅支持 CVE-2017-0785：

$ sudo bluescan -m vuln --addr-type=br ??:??:??:??:??:??

......

CVE-2017-0785