Расширяемый фреймворк для тестирования Bluetooth на уязвимости для BR/EDR и BLE.

Документация • Установка • Использование • Эксплойты • Оборудование • TODO • Автомобильная оценка • Ресурсы по Bluetooth • Лицензия

BlueToolkit — это модульный, «чёрный ящик» фреймворк для тестирования безопасности Bluetooth для Bluetooth Classic (BR/EDR) и Bluetooth Low Energy (BLE). Он поддерживает полуавтоматическое тестирование и имеет три основных модуля:

• Recon: собирает возможности Bluetooth и конфигурацию безопасности.
• Exploit: выполняет тесты для (на данный момент) 43 публичных эксплойтов (MitM, RCE, DoS и т.д.). Шаблоны уязвимостей находятся в папке exploits. Поддержка дополнительных эксплойтов может быть добавлена через TODO.
• Report: генерирует структурированные, машино- и человекочитаемые JSON-отчёты.

Мы оценили BlueToolkit на 22 автомобилях от разных производителей (Audi, BMW, Chevrolet, Honda, Hyundai, Mercedes-Benz, Mini, Opel, Polestar, Renault, Skoda, Toyota, VW, Tesla) и обнаружили 128 уязвимостей.

Кроме того, мы показываем, как перехватить онлайн-аккаунты через MAP для уже установленных соединений или из позиции MitM.

Эта работа привела к исследовательской статье, принятой на WOOT 25': добавить недостающую ссылку, когда она будет

Установка

BlueToolkit может быть установлен на чистые системы Ubuntu/Debian (рекомендуется) или с использованием виртуальной машины. В обоих случаях установщик предложит установить специфические модули для Braktooth и BluetoothAssistant, для которых требуется наличие и подключение определённых аппаратных устройств. Установка отдельных модулей также может быть выполнена отдельно путём повторного запуска установщика.

Обычная установка

Установка:

git clone https://github.com/sgxgsx/BlueToolkit
chmod +x ./BlueToolkit/install.sh
sudo ./BlueToolkit/install.sh [-dev]

Установка через ВМ

Предварительные требования:
* Virtualbox https://www.virtualbox.org * vagrant https://developer.hashicorp.com/vagrant/install?product_intent=vagrant

git clone https://github.com/sgxgsx/BlueToolkit --recurse-submodules
cd BlueToolkit/vagrant
vagrant up

После установки: * Вам нужно разрешить виртуальной машине доступ к модулю Bluetooth или дополнительному оборудованию через USB, для чего необходимо выполнить следующее: * Поддержка USB уже включена, поэтому откройте VirtualBox * Найдите запущенную виртуальную машину и нажмите «Показать» * Нажмите «Устройства» -> «USB» * Вам будет представлен список устройств, которые можно включить для виртуальной машины * Отметьте любое нужное вам устройство (модуль Bluetooth, оборудование, телефон) или отметьте все устройства для надёжности.

Использование

Запустите bluekit -h для отображения информации об использовании BlueToolkit:

usage: bluekit [-h] [-t TARGET] [-l] [-c] [-ct] [-ch] [-v VERBOSITY] [-ex EXCLUDEEXPLOITS [EXCLUDEEXPLOITS ...]] [-e EXPLOITS [EXPLOITS ...]] [-r] [-re] [-rej] [-hh HARDWARE [HARDWARE ...]] ...

positional arguments:
  rest

options:
  -h, --help            show this help message and exit
  -t TARGET, --target TARGET
                        target MAC address
  -l, --listexploits    List exploits or not
  -c, --checksetup      Check whether Braktooth is available and setup
  -ct, --checktarget    Check connectivity and availability of the target
  -ch, --checkpoint     Start from a checkpoint
  -v VERBOSITY, --verbosity VERBOSITY
                        Verbosity level
  -ex EXCLUDEEXPLOITS [EXCLUDEEXPLOITS ...], --excludeexploits EXCLUDEEXPLOITS [EXCLUDEEXPLOITS ...]
                        Exclude exploits, example --exclude exploit1, exploit2
  -e EXPLOITS [EXPLOITS ...], --exploits EXPLOITS [EXPLOITS ...]
                        Scan only for provided --exploits exploit1, exploit2; --exclude is not taken into account
  -r, --recon           Run a recon script
  -re, --report         Create a report for a target device
  -rej, --reportjson    Create a report for a target device
  -hh HARDWARE [HARDWARE ...], --hardware HARDWARE [HARDWARE ...]
                        Scan only for provided exploits based on hardware --hardware hardware1 hardware2; --exclude and --exploit are not taken into account

Примеры использования: - Вывести список всех доступных эксплойтов (не требует root-привилегий):

bluekit -l - Запустить разведку (Recon):

sudo bluekit -t AA:BB:CC:DD:EE:FF -r - Проверить связность:

sudo bluekit -t AA:BB:CC:DD:EE:FF -ct - Проверить один или несколько эксплойтов (через пробел):

sudo bluekit -t AA:BB:CC:DD:EE:FF -e invalid_max_slot au_rand_flooding internalblue_knob

Более подробная документация доступна в нашей wiki

Оборудование

Для некоторых атак требуется специальное оборудование:

• ESP-WROVER-KIT-VE для уязвимостей Braktooth
• Телефон Nexus5 для Internalblue. Может быть заменён на CYW20735, но два эксплойта не будут работать, и потребуется новый профиль оборудования.
• CYW920819M2EVB-01 для атак BIAS, BLUR и BLUFFS.

Доступные уязвимости и атаки Bluetooth

BlueToolkit автоматически загружает все шаблоны уязвимостей и оборудования. Репозиторий шаблонов BlueToolkit предоставляет полный список готовых к использованию шаблонов. Кроме того, вы можете писать собственные шаблоны и проверки, а также добавлять новое оборудование, следуя руководству по шаблонам BlueToolkit Синтаксис справочника YAML доступен здесь

Мы собирали и классифицировали уязвимости Bluetooth в стиле "Awesome Bluetooth Security". Мы использовали следующие источники - ACM, IEEE SP, Blackhat, DEFCON, Car Hacking Village, NDSS и Google Scholars. Искали следующие ключевые слова в поисковых системах, таких как Google, Baidu, Yandex, Bing - Bluetooth security toolkit, Bluetooth exploits github, Bluetooth security framework, bluetooth pentesting toolkit. Мы также парсили все репозитории Github по следующим параметрам - topic:bluetooth topic:exploit, topic:bluetooth topic:security.

На данный момент BlueToolkit проверяет следующие уязвимости и атаки:

Для ручных атак обратитесь к документации.

Новейшие атаки

Эти атаки являются новыми/инновационными и тестируются фреймворком

Уязвимости, которые скоро будут добавлены

Список задач

• [ ] Добавить поддержку BLE (Bluetooth Low Energy)
• Реализовать функционал BLE для расширения возможностей подключения проекта.
• [ ] Непрерывно (пере-)разрабатывать доказательства концепции (PoC)
• Разрабатывать новые PoC для исследования дополнительных вариантов использования или функций.

Уязвимости и атаки Bluetooth

Кроме того, нами были обнаружены следующие уязвимости Bluetooth Classic и Bluetooth Low Energy (BLE). Таблица содержит следующую информацию об атаках и уязвимостях: название, тип (либо специфичный для реализации, специфичный для протокола, либо затрагивающий профиль BT), тип Bluetooth (BLE, BT, BT + BLE), затронутые версии BT, количество эксплойтов, год публикации, CVE (если доступно), CVSS (если доступно), необходимое оборудование (если требуется), доказательство концепции (если доступно) и дополнительная информация в разделе комментариев с дополнительными ссылками или пояснениями.

| | Взлом PIN-кода Bluetooth | Брутфорс | BT | | 1 | 2005 | | | | Теория | https://www.usenix.org/legacy/event/mobisys05/tech/full_papers/shaked/shaked.pdf | 6 | | | Извлечение ключа | | BT | 1.0B | 1 | 2001 | | | | | https://link.springer.com/chapter/10.1007/3-540-45353-9_14 | Старая атака на очень старую версию 1.0B | | | BadBluetooth | Прот | BT + adj | | 1 | 2019 | | | | Теория | https://staff.ie.cuhk.edu.hk/~khzhang/my-papers/2019-ndss-bluetooth.pdf | Слишком высокие предположения (установлено вредоносное приложение + скомпрометированное устройство) | | BlueMirror | BlueMirror BT Mesh profile brute | Прот | BT Profile | 2.1-5.2 | 1 | 2021 | CVE-2020-26556 | 7.5 | | | | Брутфорс-атака на недостаточно случайный AuthValue в BT Mesh 1.0 и 1.0.1 для завершения аутентификации | | BlueMirror | BlueMirror BT Mesh profile brute 2 | Прот | BT Profile | 2.1-5.2 | 1 | 2021 | CVE-2020-26557 | 7.5 | | | | Определение Authvalue в BT Mesh 1.0 и 1.0.1 путем брутфорс-атаки | | BlueMirror | BlueMirror BT Mesh profile no brute | Прот | BT Profile | 2.1-5.2 | 1 | 2021 | CVE-2020-26559 | 8.8 | | | | Обход аутентификации в профиле Mesh 1.0, 1.0.1, позволяет определить authvalue и другие данные без брутфорса | | BlueMirror | BlueMirror BT Mesh profile | Прот | BT Profile | 1.0B-5.2 | 1 | 2020 | CVE-2020-26560 | 8.1 | | | https://kb.cert.org/vuls/id/799380 | CVE-2020-26560 - Обход аутентификации в профиле Mesh 1.0, 1.0.1 https://ieeexplore.ieee.org/stamp/stamp.jsp?tp=&arnumber=9474325 | | BlueMirror | BlueMirror Legacy pairing | Прот | BT/BLE | 2.1-5.2 | 1 | 2021 | CVE-2020-26555 | 5.4 | | | https://kb.cert.org/vuls/id/799380 | Завершение сопряжения без знания PIN-кода https://ieeexplore.ieee.org/stamp/stamp.jsp?tp=&arnumber=9474325     https://www.ieee-security.org/TC/SP2021/SPW2021/WOOT21/files/woot21-claverie-slides.pdf | | BlueMirror | Утечка ключа доступа BlueMirror | Прот | BT/BLE | 2.1-5.2 | 1 | 2021 | CVE-2020-26558 | 4.2 | | | | MITM-атакующий может определить значение ключа доступа путем отражения публичного ключа (может утекать значение ключа доступа по 1 биту за раз) | | Antonioli | BLURTooth | Прот | BT/BLE | 4.2, 5.0, 5.1, 5.2 | 4 | 2020 | CVE-2020-15802 | 5.9 | | https://github.com/francozappa/blur | https://hexhive.epfl.ch/BLURtooth/ | CVE-2020-15802 | | | Атака фиксированной координаты | Реал | BT/BLE | 2.1-5.2 | 1 | 2019 | CVE-2018-5383 | | Nexus 5 (internalblue) или CY5677 | Примеры internalblue для Nexus 5 | https://biham.cs.technion.ac.il/BT/ | MITM, эксплуатирующий криптографию (атака на реализацию/протокол) CVE-2018-5383 | | Antonioli | KNOB | Прот | BT/BLE | <=5.0 | 1 | 2019 | CVE-2019-9506 | 8.1 | Nexus 5 (internalblue) | https://github.com/francozappa/knob | https://knobattack.com/ | CVE-2019-9506 | | | Атака Ghost | Прот | BT/BLE? | | 2 | 2023 | | | | | https://www.ndss-symposium.org/wp-content/uploads/2023/02/ndss2023_s119_paper.pdf | Атака Ghost и групповая атака перебором | | | Qualcomm 9206 | Реал | BT/BLE? | | 1 | 2022 | CVE-2022-40503 | 8.2 | | | https://www.cvedetails.com/cve/CVE-2022-40503/?q=CVE-2022-40503 | Чрезмерное чтение из буфера в профиле A2DP | | | Qualcomm APQ8009 | Реал | BT/BLE? | | 1 | 2022 | CVE-2022-40537 | 7.3 | | | https://www.cvedetails.com/cve/CVE-2022-40537/?q=CVE-2022-40537 | Повреждение памяти при обработке AVRCP-ответа AVRC_PDU_GET_PLAYER_APP_VALUE_TEXT | | | Qualcomm WSA8815 | Реал | BT/BLE? | | 1 | 2022 | CVE-2022-33280 | 7.3 | | | https://www.cvedetails.com/cve/CVE-2022-33280/?q=CVE-2022-33280 | Повреждение памяти при обработке пакета AVRCP | | | Qualcomm WSA8835 | Влияние | BT/BLE? | | 1 | 2022 | CVE-2022-33255 | 8.2 | | | https://www.cvedetails.com/cve/CVE-2022-33255/?q=CVE-2022-33255 | Чтение beyond границ буфера Bluetooth HOST при обработке GetFolderItems, GetItemAttributes | | | Qualcomm WSA8835 | Влияние | BT/BLE? | | 1 | 2022 | CVE-2022-22088 | 9.8 | | | https://www.cvedetails.com/cve/CVE-2022-22088/?q=CVE-2022-22088 | Переполнение буфера Bluetooth Host при обработке ответа от удалённого устройства | | | SnapDragon Auto | Влияние | BT/BLE? | | 1 | 2021 | CVE-2021-35068 | 9.8 | | | https://www.cvedetails.com/cve/CVE-2021-35068/?q=CVE-2021-35068 | Обращение к нулевому указателю при освобождении профиля HFP | | | Method Confusion | Протокол | BT/BLE? | 2.1-5.2 | 1 | 2020 | CVE-2020-10134 | 6.3 | огромный выбор с разными возможностями. | https://github.com/maxdos64/BThack | https://www.sec.in.tum.de/i20/publications/method-confusion-attack-on-bluetooth-pairing/@@download/file/conference-proceeding.pdf | Атака MITM между 2 устройствами BLE или BR/EDR. Требуется специальное оборудование, CVE-2020-10134 | | | BlueSnarf revisited | Влияние | OBEX | | 1 | 2011 | | | | | https://inria.hal.science/hal-01587858/document | Обход путей OBEX (FTP) |

Справочная документация по синтаксису YAML DSL доступна здесь.

Лицензия

Щит:

BlueToolkit лицензирован на условиях Лицензии Creative Commons «Атрибуция — Некоммерческое использование — На тех же условиях» 4.0 Всемирная.

По вопросам обращайтесь по адресу https://linktr.ee/schwytz