2017/12 HamaSecで発表した内容です。

1. AndroidとPCのみで
スマート電球BLEハッキング
@Sh1n0g1
#HamaSec
2017/12/02
1

2. ターゲット
スマート電球
BLE
Android
2

3. 流れ
情報収集 スニフィング 解析
攻撃
（制御）
3

4. 情報収集
4

5. BLE Scanner
https://play.google.com/store/apps/details?id=com.macdom.ble.blescanner
5

6. デバイスの特定
• Proximity機能でデバイス
を特定（一番近いデバイ
ス）
• ON/OFFした際に同時に表
示/非表示になる
6

7. GATTの調査
• Generic Attribute
• 構造体のような変数群のよう
なもの
– READ / WRITE権限のようなも
のがついている
• 電球の場合、色を変更する
際、その変数を書き換える＝
WRITE処理が行われる
7

8. 調査結果
1行が1変数（厳密にはサービスと呼ぶとか）
8

9. スニフィング
9

10. BLEスニフィングの方法
• Androidの標準機能「開発者オプション」によ
るスニフィング
• その他の方法
– スニフィングデバイスの利用
• BlueFruit LE Sniffer
• (https://www.adafruit.com/product/2269)
– MITM
• BlueTooth Dongle x 2
• (https://www.adafruit.com/product/1327)
10

11. スニフィングの方法
• Androidの標準機能「開発者オプション」によ
るスニフィング
• その他の方法
– スニフィングデバイスの利用
• BlueFruit LE Sniffer
• (https://www.adafruit.com/product/2269)
– MITM
• BlueTooth Dongle x 2
• (https://www.adafruit.com/product/1327)
11
今回はこれを使った

12. [Bluetooth HCIｽﾇｰﾌﾟﾛｸﾞを有効にする]を有効にする
12

13. [Bluetooth HCIｽﾇｰﾌﾟﾛｸﾞを有効にする]を有効にする
• BlueToothのパケットをPCAP形式でSDカードに
保存してくれる！
• 取りこぼしもないし、最高！
• SDカードの抜き差しは面倒なので、ADBで抽
出（ADB＝Android Debug Bridge)
13

14. ADBで抽出
• adb shell ls -l /sdcard/
• adb pull /sdcard/btsnoop_hci.log
drwxrwx--x root sdcard_rw 2016-10-17 16:20 Alarms
drwxrwx--x root sdcard_rw 2016-10-17 16:22 Android
drwxrwx--x root sdcard_rw 2017-11-13 20:44 BLEScanner
-rw-rw---- root sdcard_rw 157 2016-07-11 14:51 CDAInfo.txt
drwxrwx--x root sdcard_rw 2017-06-04 22:52 DCIM
drwxrwx--x root sdcard_rw 2017-11-29 19:28 DeviceConfig
drwxrwx--x root sdcard_rw 2017-11-29 13:17 Download
drwxrwx--x root sdcard_rw 2016-07-11 14:51 Movies
drwxrwx--x root sdcard_rw 2016-07-11 14:51 Music
drwxrwx--x root sdcard_rw 2016-10-17 16:20 Notifications
drwxrwx--x root sdcard_rw 2017-11-29 20:27 Pictures
drwxrwx--x root sdcard_rw 2016-10-17 16:20 Podcasts
drwxrwx--x root sdcard_rw 2016-10-17 16:20 Ringtones
-rw-rw---- root sdcard_rw 98714 2017-11-29 21:43 btsnoop_hci.log
drwxrwx--x root sdcard_rw 2017-08-09 21:01 com.facebook.katana
-rw-rw---- root sdcard_rw 145 2017-11-29 19:28 customized-capability.xml
drwxrwx--x root sdcard_rw 2016-10-17 16:21 recovery
14

15. パケットをキャプチャする際のポイント
• 解析したい操作を繰り返し行う。
• 1度のキャプチャで1種類のみの操作を行う
– ON/OFF
– 色の変更
15

16. はまったこと
• BlueTooth HCIスヌープログを有効にしてから、
スニフィングが始まるタイミングがわからない。
• 成功する手順
– BlueTooth HCIｽﾇｰﾌﾟﾛｸﾞを有効にする
– BlueToothをOFFにする
– Androidを再起動
– BlueToothをONにする
– 対象アプリで操作する
– BlueTooth HCIｽﾇｰﾌﾟﾛｸﾞを無効にする
16

17. 今回実施したこと
下の段を左から
順番にタップ
17
• 色の変更
• 黄色、白、シアン、赤、緑、青

18. 解析
18

19. WireSharkで解析
19

20. Source/Destinationでフィルター
• MACアドレスでフィルター
• bluetooth.addr==aa:bb:cc:dd:ee:ff
20

21. Opcodeでフィルター
• スマホからの操作＝Write Requestの可能性
が高い
• btatt.opcode == 0x12
21

22. Write-Requestのみ
22

23. 書き込み先と値を整理
Service UUID Count Values
0xffd0 0xffd4 20x0001
0xffd5 0xffd9 10
24:2a:2b:42
10:14:11:0b:1e:13:27:1d:04:00:01
56:00:ff:5f:00:f0:aa
56:00:ff:6c:00:f0:aa
56:00:00:00:ff:0f:aa
56:ff:ff:ff:00:f0:aa
56:02:fe:ff:00:f0:aa
56:ff:00:00:00:f0:aa
56:00:ff:00:00:f0:aa
56:00:00:ff:00:f0:aa
23

24. 書き込み先と値を整理
Service UUID Count Values
0xffd0 0xffd4 20x0001
0xffd5 0xffd9 10
24:2a:2b:42
10:14:11:0b:1e:13:27:1d:04:00:01
56:00:ff:5f:00:f0:aa
56:00:ff:6c:00:f0:aa
56:00:00:00:ff:0f:aa
56:ff:ff:ff:00:f0:aa
56:02:fe:ff:00:f0:aa
56:ff:00:00:00:f0:aa
56:00:ff:00:00:f0:aa
56:00:00:ff:00:f0:aa
24
お分かりいただける
だろうか

25. 書き込み先と値を整理
Service UUID Count Values
0xffd0 0xffd4 20x0001
0xffd5 0xffd9 10
24:2a:2b:42
10:14:11:0b:1e:13:27:1d:04:00:01
56:00:ff:5f:00:f0:aa
56:00:ff:6c:00:f0:aa
56:00:00:00:ff:0f:aa
56:ff:ff:ff:00:f0:aa
56:02:fe:ff:00:f0:aa
56:ff:00:00:00:f0:aa
56:00:ff:00:00:f0:aa
56:00:00:ff:00:f0:aaAha!
25
R G B

26. その他の値に着目
10:14:11:0b:1e:13:27:1d:04:00:01
↓10進数↓
16:20:17:11:30:19:39:29:04:00:01
10:yy:yy:mm:dd:hh:mm:ss:04:00:01
タイマーでON/OFFができるため、現時刻を教え
ていると思われる 26
Service UUID Count Values
0xffd0 0xffd4 20x0001
0xffd5 0xffd9
24:2a:2b:42
10:14:11:0b:1e:13:27:1d:04:00:01

27. 攻撃（制御）
27

28. BLE ScannerでWrite
• UUID「FFD9」を探す
• [W]をタップ
28

29. BLE ScannerでWrite
• Byte Arrayを選択して、書
き込みたい値を入力する
• [OK]をタップ
29

30. 他のデバイスもテスト
30

31. 商品名
(Amazon)
(キュミオ) QeMIO スマートLED電球 E27 Smart LED
Light Bulb Bluetooth Controlled Smart Bulb 4.5W
RGBW Lamp Rhythm Flash Screw Light
デバイス名 LEDBLE-786078EE
アプリ名 Magic Blue
MACアドレス F8:1D:78:60:78:EE (Zengee)
商品名
(Amazon)
(カワユー) KAWAYOU LED電球 携帯アプリ操作/
APP操作Bluetooth接続 調光調色E26口金 6W
RGB /暖色LED電球6W
デバイス名 Triones-55AC3BDB
アプリ名 Happy Lighting
MACアドレス 88:C2:55:AC:3B:DB (Texas Instruments)
商品名
(Amazon)
スマートLED電球- Matchdor LED音楽電球 8W (白
熱電球80W形相当) 26mm口金直径 ワイヤレスス
ピーカー内蔵 RGB調色・調光
デバイス名 ilink app
アプリ名 ilink
MACアドレス C9:CF:3F:91:DA:8F (No Vendor)
31

32. ■電源ON
0xffe5/0xffe9 cc:23:33
■電源OFF
0xffe5/0xffe9 cc:24:33
■色の変更
0xffe5/0xffe9 56:■:■:■:00:f0:aa
32

33. LEDBLEのパケット（色の変更）
33
Service UUID CountValues
0xffe5 0xffe9 11
56:ff:07:00:00:f0:aa
56:00:ff:02:00:f0:aa
56:02:00:ff:00:f0:aa
56:ff:ff:00:00:f0:aa
56:ff:ff:ff:00:f0:aa
56:ff:07:00:00:f0:aa
56:00:ff:02:00:f0:aa
56:02:00:ff:00:f0:aa
56:ff:07:00:00:f0:aa
56:00:ff:02:00:f0:aa
56:02:00:ff:00:f0:aa
R G B

34. LEDBLEのパケット（ON/OFF）
34
Service UUID CountValues
0xffe5 0xffe9 10
cc2433
cc2333
cc2433
cc2333
cc2433
cc2333
cc2433
OFF
ON
OFF
ON
OFF
ON
OFF

35. ■電源ON
0xffe5/0xffe9 cc:23:33
■電源OFF
0xffe5/0xffe9 cc:24:33
■色の変更
0xffe5/0xffe9 56:■:■:■:00:f0:aa
■電源ON
0xffe5/0xffe9 cc:23:33
■電源OFF
0xffe5/0xffe9 cc:24:33
■色の変更
0xffe5/0xffe9 56:■:■:■:00:f0:aa
35
同
じ

36. ilink appのパケット（色の変更）
36
Service UUID Count Values
0xa032 0xa042 1Descriptor:0x2902 Value:0x0001
0xa032 0xa040 20
55:aa:01:0b:01:06:ed
55:aa:01:08:16:06:db
55:aa:01:08:15:06:dc
55:aa:03:05:01:0b:10:29:b3
55:aa:01:05:23:06:d1
55:aa:01:05:22:06:d2
55:aa:01:05:04:06:f0
55:aa:01:05:08:06:ec
55:aa:01:05:0c:06:e8
55:aa:01:04:04:06:f1
55:aa:01:04:14:06:e1
55:aa:03:08:02:ff:00:00:f4
55:aa:03:08:02:00:ff:00:f4
55:aa:03:08:02:00:00:ff:f4
55:aa:03:08:02:ff:ff:00:f5
55:aa:03:08:02:00:ff:ff:f5
55:aa:03:08:02:ff:00:ff:f5
55:aa:03:08:02:ff:00:00:f4
55:aa:03:08:02:00:ff:00:f4
55:aa:03:08:02:00:00:ff:f4

37. ilink appのパケット（色の変更）
37
Service UUID Count Values
0xa032 0xa042 1Descriptor:0x2902 Value:0x0001
0xa032 0xa040 20
55:aa:01:0b:01:06:ed
55:aa:01:08:16:06:db
55:aa:01:08:15:06:dc
55:aa:03:05:01:0b:10:29:b3
55:aa:01:05:23:06:d1
55:aa:01:05:22:06:d2
55:aa:01:05:04:06:f0
55:aa:01:05:08:06:ec
55:aa:01:05:0c:06:e8
55:aa:01:04:04:06:f1
55:aa:01:04:14:06:e1
55:aa:03:08:02:ff:00:00:f4
55:aa:03:08:02:00:ff:00:f4
55:aa:03:08:02:00:00:ff:f4
55:aa:03:08:02:ff:ff:00:f5
55:aa:03:08:02:00:ff:ff:f5
55:aa:03:08:02:ff:00:ff:f5
55:aa:03:08:02:ff:00:00:f4
55:aa:03:08:02:00:ff:00:f4
55:aa:03:08:02:00:00:ff:f4
R G B
L
e
n
g
t
h
?

38. ilink appのパケット（チェックサム）
38
Service UUID Count Values
0xa032 0xa042 1Descriptor:0x2902 Value:0x0001
0xa032 0xa040 20
55:aa:01:0b:01:06:ed
55:aa:01:08:16:06:db
55:aa:01:08:15:06:dc
55:aa:03:05:01:0b:10:29:b3
55:aa:01:05:23:06:d1
55:aa:01:05:22:06:d2
55:aa:01:05:04:06:f0
55:aa:01:05:08:06:ec
55:aa:01:05:0c:06:e8
55:aa:01:04:04:06:f1
55:aa:01:04:14:06:e1
55:aa:03:08:02:ff:00:00:f4
55:aa:03:08:02:00:ff:00:f4
55:aa:03:08:02:00:00:ff:f4
55:aa:03:08:02:ff:ff:00:f5
55:aa:03:08:02:00:ff:ff:f5
55:aa:03:08:02:ff:00:ff:f5
55:aa:03:08:02:ff:00:00:f4
55:aa:03:08:02:00:ff:00:f4
55:aa:03:08:02:00:00:ff:f4
最後のバイトが
毎回異なるため、
チェックサムと
判断
ffの位置に関係なく、
同じ値になっているた
め、バイトの合計に基
づいているシンプルな
ものと判断

39. チェックサム
39
https://ja.wikipedia.org/wiki/%E3%83%81%E3%82%A7%E3%83%83%E3%82%AF%E3%82%B5%E3%83%A0

40. チェックサムを求めるプログラム
40
def checksum(values):
return hex(~ sum(map(lambda x: int(x,16),values.split(":"))) +1 & 0xff)

41. ilink appのパケット（電源ON/OFF）
Service UUID Count Values
0xa032 0xa040 20
55:aa:01:08:05:01:f1
55:aa:01:08:05:00:f2
55:aa:01:08:05:01:f1
55:aa:01:08:05:00:f2
OFF
ON
OFF
ON

42. ■電源ON
0xffe5/0xffe9 cc:23:33
■電源OFF
0xffe5/0xffe9 cc:24:33
■色の変更
0xffe5/0xffe9 56:■:■:■:00:f0:aa
■電源ON
0xffe5/0xffe9 cc:23:33
■電源OFF
0xffe5/0xffe9 cc:24:33
■色の変更
0xffe5/0xffe9 56:■:■:■:00:f0:aa
■電源ON
0xa032/0xa040 55:aa:01:08:05:01:f1
■電源OFF
0xa032/0xa040 55:aa:01:08:05:00:f2
■色の変更
0xa032/0xa040 55:aa:03:08:02:■:■:■:CS
42

43. 結果
43

44. 脆弱性(?)
• 入手したすべての電球において、以下の脆弱
性？が見られた
• 他人のスマート電球を勝手にON/OFF、色変
更ができる
• 影響は…軽微…かな?
44

45. あえて、CVSSを計算
45
https://www.first.org/cvss/calculator/3.0
※CVSSは脆弱性のスコアリングをするためのフレームワークで最も危険な脆弱性は10.0と
いう値を取る
間違っていたらご指摘ください

46. 結論
46

47. 結論
• BLEも手順さえわかれば簡単に制御はできる
• 安いIoTであればあるほど、認証、暗号化は
やっていないのでHackableである
• ぜひ、皆さんもBLE IoTを入手して通信の中を
のぞいてみましょう
他人のデバイスを勝手に制御することは違法
性あるし、迷惑がかかるのでやめましょうね
47

48. 今後の予定
• Web BlueToothを用いてBlueTooth IoTを制御
する
• https://developers.google.com/web/updates/
2015/07/interact-with-ble-devices-on-the-
web
• 攻撃例）Webサイトから電球の色が変わる
– BlueToothの範囲の壁を超える！
48