1. 项目概述从玩具到协议一次硬核的蓝牙探索几年前我偶然在二手市场淘到了一个Furby Connect这个会眨眼、会说话、能通过手机App互动的电子宠物瞬间勾起了我的兴趣。但作为一个技术爱好者我很快就不满足于仅仅和它玩耍。我好奇的是手机App是如何控制它做出各种动作的它又是如何将自身的状态比如饥饿、困倦反馈给手机的答案就藏在那个小小的蓝牙芯片里。于是一个想法诞生了逆向分析Furby Connect的蓝牙通信协议彻底“破解”这个可爱玩具的“语言”。这不仅仅是一个玩具拆解项目它是一次完整的蓝牙协议逆向工程实战。通过它你将掌握从物理设备抓包、分析蓝牙低功耗BLE通信、解析自定义数据格式到最终实现自主控制的全套技能。无论你是嵌入式开发者、物联网安全研究员还是单纯对硬件通信原理充满好奇的极客这个项目都能让你深入理解BLE协议栈在实际产品中的应用以及如何与一个“黑盒”设备进行对话。整个过程就像侦探破案从零散的信号碎片中拼凑出完整的通信逻辑成就感十足。2. 核心思路与工具选型如何监听玩具的“悄悄话”逆向工程的第一步不是埋头苦干而是搭建好“监听”环境。我们的目标是捕获Furby Connect与官方App之间所有的蓝牙数据交换。这里有几个关键决策点直接决定了后续工作的效率和成功率。2.1 为什么选择BLE嗅探而非手机代理对于蓝牙通信的分析常见思路是在手机上设置代理抓取App的网络请求。但这种方法对Furby Connect无效因为其核心交互是通过本地蓝牙直接完成的不经过互联网。因此我们必须从射频层入手直接捕获空中传输的蓝牙数据包。方案对比与选型理由专业蓝牙嗅探器如Ubertooth、Frontline功能强大支持多种蓝牙模式但价格昂贵数千至上万人民币对于个人项目而言成本过高。带蓝牙监控功能的开发板如Nordic nRF52840 DKNordic的nRF52840芯片支持蓝牙嗅探模式。这是性价比极高的方案。板载的J-Link调试器可以方便地烧录嗅探固件且芯片本身性能强劲。我最终选择了这个方案。软件方案手机ROOT后使用hcidump理论上可行但受手机系统和蓝牙驱动限制大通用性差且无法捕获连接建立前的广播包等关键信息。注意确保你购买的nRF52840 DK或类似开发板明确支持“Sniffer”功能。一些精简版可能阉割了此功能。核心工具链确定硬件Nordic nRF52840 Development Kit (DK)嗅探软件Nordic官方提供的nRF Sniffer for Bluetooth LE(集成在Wireshark中)协议分析软件Wireshark—— 网络协议分析的事实标准对蓝牙协议解析支持极佳。辅助工具Python pySerial / bleak库—— 用于后期编写脚本与Furby进行自主通信测试。选择nRF52840 DK Wireshark的组合是因为它提供了从硬件射频捕获到软件层协议解析的无缝流水线社区资料丰富是进行BLE逆向的“标准装备”。2.2 环境搭建与配置要点拿到nRF52840 DK后第一步是将其变为一个专业的嗅探器。烧录嗅探固件从Nordic官网下载最新的“nRF Sniffer for Bluetooth LE”固件.hex文件。使用Nordic提供的nRF Connect for Desktop软件中的Programmer工具将固件烧录到开发板中。这个过程非常简单连接USB选择文件点击写入即可。配置Wireshark安装Wireshark时确保勾选了“Install USBPcap”选项这是捕获USB设备数据的关键。安装完成后打开Wireshark在“捕获”-“选项”中你应该能看到一个名为“nRF Sniffer for Bluetooth LE”的接口。选择它。开始捕获在Wireshark中启动捕获然后打开Furby Connect的电源它会开始广播蓝牙信号再打开手机上的官方App并尝试连接。此时Wireshark的界面上应该开始滚动出现大量的“BTLE”协议数据包。实操心得初次捕获时数据包可能非常庞杂因为环境中可能存在很多其他BLE设备如手环、智能锁。一个关键的技巧是在Wireshark的过滤栏中输入btle并回车先只查看蓝牙低功耗流量。然后观察设备的MAC地址BD_ADDRFurby的地址通常会在广播包ADV_IND中显示。找到后可以使用过滤器如btle.advertising_address aa:bb:cc:dd:ee:ff替换为Furby的实际地址来聚焦只看目标设备的通信这能极大提升分析效率。3. 协议逆向解析实战拆解数据包的语言捕获到数据只是拿到了“密文”接下来的核心工作是解读这些数据包理解其结构和语义。这个过程需要耐心和逻辑推理。3.1 连接建立过程分析首先我们过滤出连接建立阶段的数据包。你会看到类似以下序列广播包 (Advertising)Furby不断发送包含设备名称、UUID等信息的广播包。这里的关键是GATT Service UUID。Furby Connect通常会暴露一个或多个自定义的128位UUID服务这是官方App识别并连接它的关键。记下这些UUID。扫描请求/响应 (Scan Request/Response)手机作为中心设备发送扫描请求Furby外设回复更详细的信息。连接请求 (CONNECT_REQ)手机发起正式连接。此后通信进入连接状态使用特定的连接间隔进行数据交换。第一个重要发现在广播包或扫描响应包中你可能会发现一个名为“设备名称”的字段可能就是“Furby Connect”。同时会有一个“服务UUID列表”里面包含像0000xxxx-0000-1000-8000-00805f9b34fb这样的16位蓝牙标准UUID如电池服务和更长串的自定义UUID。自定义UUID就是我们的主攻目标。3.2 GATT交互与特征值解析连接建立后所有通信都基于GATT通用属性协议。App客户端通过读写Furby服务器上的特征值Characteristic来控制它和获取状态。在Wireshark中你需要重点关注以下几种类型的包ATT Read Request/Response读取特征值。例如App读取电池电量。ATT Write Request/Command/Response写入特征值。这是控制Furby动作如说话、跳舞的主要方式。ATT Handle Value Notification/IndicationFurby主动向App通知状态变化如被触摸、心情改变。这是实现交互反馈的关键。逆向解析步骤枚举服务与特征在Wireshark中查找“ATT Find Information Request/Response”数据包。这个交换过程会列出Furby上所有可用的特征值及其句柄Handle、UUID和属性读、写、通知等。将这个列表整理成表格这是你的“地图”。句柄 (Handle)UUID (自定义部分)属性推测功能0x0015FEA1读、通知可能为传感器数据流0x0018FEA2写无响应可能为发送动作命令0x001BFEA3写、读可能为配置参数关联操作与数据进行一个具体的操作。例如在App上点击“让Furby唱歌”。同时在Wireshark中实时捕获。你会很快发现一个或多个ATT Write Request数据包其目标句柄和写入的数据在包详情中展开“Attribute Value”字段会发生变化。记录下这个句柄和对应的数据一串十六进制数字。数据模式归纳重复步骤2进行多种操作跳舞、眨眼、喂食等并记录每次写入的数据。对比这些数据寻找模式。通常命令数据会有一个固定的“头部”或“指令码”Opcode后面跟着参数。例如你可能会发现发送0x01 0x05总是让Furby唱歌而0x01 0x06是跳舞。0x01可能代表“执行动作”指令0x05和0x06是具体的动作ID。解析通知数据同样当你摇晃、抚摸Furby时观察Wireshark中来自特定句柄的ATT Handle Value Notification数据包。解析其中的数据尝试将其与触发事件关联起来。例如通知数据0x02 0x01可能代表“触摸传感器1被触发”。这个过程需要大量的记录、对比和假设验证。建议使用Excel或文本文件系统性地记录你的发现。3.3 自定义数据格式破译Furby Connect使用的很可能是一种简单的自定义二进制协议。逆向它的格式就像解谜。常见结构推测帧头Header可能包含起始标志如固定的0xAA、0x55或数据长度。指令码Command ID1-2字节区分不同的功能如0x10状态查询0x20动作控制。参数Parameters可变长度具体含义取决于指令码。例如控制动作时参数可能是动作编号、速度、持续时间。校验和Checksum可能包含简单的累加和或CRC用于确保数据完整性。破译技巧对比法将相似操作如不同歌曲的数据包并列对比不同的字节很可能就是歌曲ID。极值法尝试在App中寻找可以设置数值的功能如音量然后将其调到最小和最大捕获对应的数据包观察哪个字节在规律变化。主动测试在初步猜测后可以编写简单的Python脚本通过bleak库连接到Furby并向猜测的特征值写入你推测的数据观察Furby的反应。这是验证猜想的最直接方式。4. 自主控制实现用Python与Furby对话当我们对协议有了初步理解后就可以抛开官方App用自己的代码来控制Furby了。这里使用Python的bleak库它是一个跨平台的BLE客户端库。4.1 连接与服务发现import asyncio from bleak import BleakClient # 替换为你的Furby Connect的蓝牙地址 FURBY_ADDRESS AA:BB:CC:DD:EE:FF async def main(): async with BleakClient(FURBY_ADDRESS) as client: print(f已连接: {client.is_connected}) # 获取所有服务 services await client.get_services() for service in services: print(f[服务] UUID: {service.uuid}) for char in service.characteristics: print(f [特征] UUID: {char.uuid}, 句柄: {char.handle}, 属性: {char.properties}) asyncio.run(main())运行这段代码它会列出Furby上所有的服务和特征与你之前在Wireshark中整理的表格进行核对确认关键特征值的UUID。4.2 实现命令发送与状态监听假设我们已经破译了写入UUIDFEA2可以发送动作命令格式为0x01 [动作ID]。特征值FEA1支持通知用于接收传感器数据。import asyncio from bleak import BleakClient, BleakScanner from bleak.backends.characteristic import BleakGATTCharacteristic FURBY_ADDRESS AA:BB:CC:DD:EE:FF CMD_CHAR_UUID 0000fea2-0000-1000-8000-00805f9b34fb # 命令特征 NOTIFY_CHAR_UUID 0000fea1-0000-1000-8000-00805f9b34fb # 通知特征 # 通知回调函数 def notification_handler(characteristic: BleakGATTCharacteristic, data: bytearray): print(f[通知 来自 {characteristic.uuid}]: {data.hex()}) async def control_furby(): async with BleakClient(FURBY_ADDRESS) as client: # 启用通知 await client.start_notify(NOTIFY_CHAR_UUID, notification_handler) print(通知已启用。) # 示例发送“唱歌”命令 (假设动作ID是0x05) sing_command bytes([0x01, 0x05]) await client.write_gatt_char(CMD_CHAR_UUID, sing_command, responseFalse) # 通常命令写入无需响应 print(已发送唱歌命令。) await asyncio.sleep(2) # 等待动作执行 # 示例发送“跳舞”命令 (假设动作ID是0x06) dance_command bytes([0x01, 0x06]) await client.write_gatt_char(CMD_CHAR_UUID, dance_command, responseFalse) print(已发送跳舞命令。) await asyncio.sleep(5) # 停止通知 await client.stop_notify(NOTIFY_CHAR_UUID) asyncio.run(control_furby())这个脚本实现了最基本的连接、启用通知、发送预定义命令的功能。你可以根据逆向出的协议字典扩展更多的命令。4.3 构建简易控制台为了让测试更方便可以构建一个简单的交互式控制台import asyncio from bleak import BleakClient # ... (地址和UUID定义同上) # 假设我们逆向出的命令字典 COMMAND_DICT { 1: {name: 唱歌, data: bytes([0x01, 0x05])}, 2: {name: 跳舞, data: bytes([0x01, 0x06])}, 3: {name: 眨眼, data: bytes([0x01, 0x02])}, 4: {name: 睡觉, data: bytes([0x01, 0x0A])}, } async def interactive_control(): async with BleakClient(FURBY_ADDRESS) as client: print(Furby控制器已连接。输入数字发送命令输入q退出。) for key, cmd in COMMAND_DICT.items(): print(f [{key}] {cmd[name]}) while True: choice input(\n请选择命令: ).strip() if choice.lower() q: break if choice in COMMAND_DICT: command COMMAND_DICT[choice] await client.write_gatt_char(CMD_CHAR_UUID, command[data], responseFalse) print(f已执行: {command[name]}) else: print(无效选择。) asyncio.run(interactive_control())5. 深度逆向与高级技巧当完成基本控制后你可能想探索更底层的功能。5.1 固件提取与分析一些更高级的玩具其核心逻辑可能存在于主控MCU的固件中。如果Furby的主控芯片有暴露的调试接口如SWD/JTAG理论上可以尝试读取固件。但这需要硬件拆解、焊接测试线并使用像J-Link、ST-Link这样的调试器配合OpenOCD等软件。警告此操作有物理损坏设备的风险且可能违反用户协议。仅作为学术探讨对于Furby Connect这类消费级玩具从蓝牙协议层面逆向通常已能实现大部分有趣的控制。5.2 加密与认证破解如果发现发送的命令无效或者连接后很快被断开可能需要考虑通信是否被加密或存在简单的认证过程。配对绑定分析观察首次连接时Wireshark中是否有“配对请求”、“安全请求”等相关数据包SM协议。如果存在说明通信可能使用了LE Security Mode 1的加密。静态密钥查找有时密钥可能硬编码在官方App的二进制文件中。你可以尝试反编译App对于Android APK可使用JADX-GUI等工具搜索与蓝牙UUID、特征值相关的字符串和常量有时密钥会以明文或简单编码形式存在。中间人攻击测试在已配对的手机和Furby之间插入一个自己编写的、同时扮演中心设备和外设角色的“代理”设备。这个代理可以转发并记录所有加密后的通信。虽然无法直接解密但可以积累密文数据如果加密方式较弱如固定密钥可能通过模式分析找到突破口。这属于高级安全研究范畴。5.3 协议模拟与重放一旦掌握了完整的协议你可以创建一个完全虚拟的“Furby Connect”蓝牙外设。使用树莓派、ESP32或者另一块nRF52840开发板模拟Furby的广播、服务和特征值。当官方App连接上来时你可以完全控制返回的数据从而深入研究App的逻辑或者制作一些有趣的“恶作剧”。这需要你精确实现逆向出的GATT表和数据协议。6. 常见问题、排查与避坑指南在实际操作中你肯定会遇到各种问题。以下是我踩过的一些坑和解决方案。问题现象可能原因排查步骤与解决方案Wireshark捕获不到任何数据包1. 嗅探器固件未正确烧录。2. Wireshark未选择正确的捕获接口。3. 系统驱动问题。1. 使用nRF Programmer重新烧录嗅探固件。2. 以管理员身份运行Wireshark确保在捕获选项里能看到“nRF Sniffer”接口。3. 检查设备管理器中USB设备是否正常尝试更换USB口或重启。能捕获包但看不到目标Furby的地址1. 捕获时间不对Furby未开机或未进入广播模式。2. 环境干扰太多。3. 过滤器设置错误。1. 先启动Wireshark捕获再打开Furby电源。确保Furby处于待连接状态通常眼睛会亮。2. 将Furby靠近嗅探器远离其他蓝牙设备。3. 清除所有过滤器只使用btle过滤然后慢慢滚动查找。Python脚本能连接但无法写入特征值1. 特征值UUID错误。2. 写入属性不正确需要write-without-response却用了write。3. 数据格式错误。1. 用get_services()再次确认特征值UUID和属性。2. 在write_gatt_char方法中根据协议尝试设置responseFalse。3. 检查发送的数据是否为正确的字节序列对比Wireshark抓到的成功包。发送命令后Furby无反应1. 命令数据解析错误。2. 需要先发送“唤醒”或“初始化”命令。3. Furby处于错误状态如低电量休眠。1. 回查Wireshark记录确保命令字节一个不差。2. 分析连接建立后App发送的第一条写命令那可能就是初始化指令需要在你的控制命令前发送。3. 给Furby充电或尝试用官方App将其恢复到正常状态。无法启用通知start_notify失败1. 特征值不支持通知。2. 需要先向“客户端特征配置描述符”CCCD写入0x0100来启用通知。1. 检查特征值属性是否包含notify。2.bleak库的start_notify方法通常会自动处理CCCD写入。如果失败可以尝试手动查找该特征值的CCCD句柄通常是特征值句柄1并写入0x0100。最重要的心得保持耐心细致记录。逆向工程是一个不断假设、验证、修正的过程。每一个数据包、每一次测试反应都是拼图的一块。建立一个清晰的实验日志记录每一次操作和对应的数据包变化这是最终成功的关键。当你第一次用自己的代码让Furby跳出非官方的舞蹈时那种纯粹的快乐就是对这个项目最好的回报。