蓝牙前置知识

当然，从头开始捋顺的话蓝牙知识还是特别多的，尤其整个结构的含量不亚于高等数学（，会用就足够了，这里简单介绍一些基础知识就可以了。

这里我参考借鉴了该文章，我认为他的对于广播方式和连接方式讲解的还是通俗易懂的:深入浅出低功耗蓝牙(BLE)协议栈 – iini – 博客园 (cnblogs.com)

我们只需要理解一件事情，通常蓝牙设备在连接之前都会开启广播，那么我们的蓝牙数据分别会在37/38/39这三个信道兼来回窜梭，具体在哪我也不知道，但是这三个信道是可以被我们的蓝牙设备所发现的，也就是我们俗称的发现设备

那么，当设备进行连接后，会进入入网状态，此时也就进入了一对一的连接状态，关闭广播模式，与连接者进行单对单的数据传输

那么熟悉了上述流程就可以开始我们的正题了。

windows正确抓包姿势

前置条件：wireshark安装USBpcap的拓展插件支持

对于windows来说，是最适合做快速调试与分析的设备了，对于蓝牙协议的抓包，可能很多人陷入一个误区，那就是认为wireshark在捕获的时候应该选择蓝牙网络连接

然而实际上这是错误的，这是假的，是特技，如果你尝试连接好了你的蓝牙设备，你会发现什么也抓不到

而真正重点在于USBpcap的拓展选项中（一定要先安装拓展，否则没有这个选项），他会捕获一切外接设备，例如鼠标，键盘，蓝牙耳机，等一系列的数据包

可能会些许乱，但是无伤大雅，可以善用过滤来获得我们要想的数据。

虚拟机下linux进行蓝牙抓包正确姿势

该说不说，这确实是一个最大的坑点，全网也没个文章来正确的指正这个事情，甚至vmware官方也自认为自己的办法是好用的，这里我要进行一个diss。

如果你的linux是装在你系统上的，那么直接装wireshark就行了，与windows相差无几，后面有个内容需要注意就是。

虚假的姿势

如果你在网络上搜索“虚拟机开启蓝牙”你大概率会搜到这样的结果

让你去打开

与虚拟机共享蓝牙设备，这是错误的，这会发生什么?我们来看一看

我们按照常规的流程，首先进入虚拟机，

sudo service bluetooth start

已打开我们的蓝牙设备，这个时候你会发现可视化页面你是怎么也搜不到附近的蓝牙设备的

并且，当你想使用bluetoothctl 进行scan on的时候，也是一样搜不到

当你破防了，想使用hcitool scan时，他甚至直接什么也没有

这就是害人不浅.jpg

真正的姿势

这个时候就需要重新思考一下了。总所周知，vmware是万物皆可usb设备，你的摄像头，你的鼠标，甚至你笔记本的指纹都能被当成usb设备插到虚拟机上，

那么这个时候我要说什么就不言而喻了。

第一件事，关闭虚拟机，打开设置，把这个给我取消了

那么第二件事，重新打开虚拟机，你就可以在右下角看到蓝牙图标

将其连接至虚拟机，重新启动蓝牙，service bluetooth start

这下可以看到，不论是常规蓝牙设备，还是一些无名的空气广播设备都可以被我们的设备kali所捕获到，当然连接也是没问题的

这个时候我们可以启动一下wireshark看看，与windows不同，linux下的wireshark捕获实在单独的bluetooth中，这点是比较好的，不会出现大量的usb流量来干扰正常捕获

简单进行一个捕获，也是没问题的。

高阶玩法

通过nrf mesh对其他蓝牙流量进行捕获

直接对全部空气中的蓝牙信道广播进行捕获，针对单一信道进行跟踪，当然后续的加密包是加密的，需要对mesh进行解密才可以。

后续的一些内容单独写篇文章，这里不再赘述。（答案是我自己也没玩明白.jpg）

小结

工具是好的，但是用错了方式可能会绕更多的弯路，网上教程多半不准，仍需自己摸索。