Sniffle核心功能详解：如何高效过滤、捕获和分析BLE广告包
【免费下载链接】SniffleA sniffer for Bluetooth 5 and 4.x LE项目地址: https://gitcode.com/gh_mirrors/sn/Sniffle
想要掌握蓝牙低功耗(BLE)设备的通信分析吗？Sniffle作为一款专业的蓝牙5和4.x LE嗅探工具，提供了强大的广告包过滤、捕获和分析功能。无论你是物联网开发者、安全研究员还是蓝牙技术爱好者，Sniffle都能帮助你深入理解BLE通信的细节。😊
Sniffle是什么？快速了解这款强大的蓝牙嗅探工具
Sniffle是一款基于TI CC1352/CC26x2硬件的蓝牙5和4.x LE嗅探器，支持多种高级功能，包括BT5/4.2扩展长度广告和数据包、所有BT5 PHY模式（1M、2M和编码模式）、广告过滤、MAC地址过滤、RSSI过滤等。它的最大优势在于能够同时在三个主要广告频道上捕获目标MAC的广告，使连接检测的可靠性比其他只嗅探一个广告频道的嗅探器提高了近3倍！
🔍 核心功能一：智能广告包过滤系统
Sniffle提供了多种灵活的过滤机制，帮助你精准捕获目标设备的通信数据：
MAC地址过滤（-m参数）
通过MAC地址过滤可以精确锁定特定设备。使用-m参数指定目标设备的MAC地址，Sniffle会自动过滤掉其他设备的广告包。需要注意的是，许多BLE设备使用随机化MAC地址进行广告，而不是固定的"真实"MAC地址。
RSSI信号强度过滤（-r参数）
RSSI过滤通过信号强度筛选数据包，在繁忙的RF环境中特别有用。设置-r -40可以在设备非常接近嗅探器时获得最佳效果。RSSI过滤仅在捕获广告时激活，因为跟随连接时你总是希望捕获数据信道流量。
IRK身份解析密钥过滤（-i参数）
对于使用可解析私有地址(RPA)的设备，Sniffle支持通过IRK进行自动RPA解析。提供IRK后，Sniffle可以像使用MAC过滤器一样与广告商进行信道跳频，无需在RPA更改时不断更新MAC过滤器。
字符串内容过滤（-S参数）
这是一个便利功能，可以自动识别广告或扫描响应中包含指定字符串的广告商的MAC地址。例如，要查找广告中包含"hello"字符串的设备，只需指定-S "hello"。
📡 核心功能二：多频道广告捕获技术
三频道同步捕获
Sniffle的独特之处在于能够同时在三个主要广告频道（37、38、39）上捕获目标MAC的广告。这一功能通过python_cli/sniff_receiver.py中的-c参数实现，大大提高了连接检测的可靠性。
扩展广告支持（-e参数）
支持蓝牙5扩展（辅助）广告捕获。启用-e选项可以跟随辅助指针，即使在扩展广告模式下也能保持高性能和可靠性。
长距离PHY支持（-l参数）
通过-l参数支持在主要广告频道上嗅探长距离PHY。所有长距离广告都使用BT5扩展机制，三个主要频道上的辅助指针指向相同的辅助数据包。
🔧 核心功能三：连接跟踪与参数管理
连接参数更新检测
对于加密连接，Sniffle支持检测连接参数更新，即使加密密钥未知。通过python_cli/sniff_receiver.py中的-Q参数，可以预加载预期的加密连接参数更改，提高性能/可靠性。
PHY模式变化处理
使用-n选项可以忽略加密的PHY模式更改PDU或不更改PHY的加密LE功率控制PDU。
安静模式（-q参数）
启用-q标志后，在跟随连接时不显示空数据包，使实时观察有意义的通信更加容易。
🛠️ 核心功能四：Wireshark集成与PCAP导出
Wireshark插件集成
Sniffle包含一个Wireshark插件，可以通过在Wireshark GUI中选择"Sniffle"捕获接口来自动启动Sniffle。安装简单，只需将插件链接到Wireshark的个人Extcap目录即可。
PCAP格式兼容性
Sniffle的PCAP导出与Ubertooth兼容，方便使用标准网络分析工具进行进一步分析。输出文件通过-o参数指定。
💡 实用技巧与最佳实践
设备识别策略
- 使用RSSI过滤进行初步扫描：在没有MAC过滤器的情况下运行嗅探器，将嗅探器靠近目标设备，识别目标设备的MAC地址。
- 结合MAC和RSSI过滤：不建议在MAC过滤激活时使用RSSI过滤器，因为当信号强度太低时可能会丢失感兴趣MAC地址的广告。
- 利用字符串搜索功能：对于IRK未知但广告包含足够独特静态字符串的设备，使用
-S参数进行自动识别。
性能优化建议
- 扩展广告与跳频结合：不确定连接是否通过传统或扩展广告建立时，可以同时启用
-e和-H标志。 - 预加载连接参数：如果知道加密连接参数更新的预期连接间隔和Instant delta，使用
-Q参数提高性能。 - 选择合适的广告频道：根据目标设备的广告模式选择合适的广告频道（37、38或39）。
🚀 快速开始指南
安装步骤
- 克隆仓库：
git clone https://gitcode.com/gh_mirrors/sn/Sniffle - 安装依赖：根据README中的说明安装GCC和TI SDK
- 构建固件：运行
make命令编译固件 - 安装固件到硬件设备
基本使用命令
# 基本嗅探 python3 sniff_receiver.py -s /dev/ttyACM0 # 带MAC过滤的嗅探 python3 sniff_receiver.py -s /dev/ttyACM0 -m AA:BB:CC:DD:EE:FF # 带RSSI过滤的嗅探 python3 sniff_receiver.py -s /dev/ttyACM0 -r -40 # 输出到PCAP文件 python3 sniff_receiver.py -s /dev/ttyACM0 -o capture.pcap📊 高级功能探索
中继链路层流量
Sniffle支持中继链路层流量功能，允许在多个嗅探器之间同步数据捕获。相关实现位于固件代码的relay_master.py和relay_slave.py模块中。
主动扫描模式
除了被动嗅探，Sniffle还支持主动扫描模式（-A参数），不跟随连接，专注于广告包捕获。
扩展解码功能
Sniffle的广告数据解码器位于sniffle/advdata/decoder.py，支持解析各种BLE广告数据类型，包括制造商特定数据、服务UUID等。
🔍 故障排除与常见问题
串口连接问题
XDS110调试器在Launchpad板上创建两个串口。在Linux上，它们通常命名为ttyACM0和ttyACM1。Sniffle使用两个串口中的第一个进行通信。
固件锁定处理
如果嗅探器固件锁定并拒绝捕获任何流量（即使过滤器已禁用），应重置MCU。在Launchpad板上，复位按钮位于micro USB端口旁边。
性能调优
- 调整UART延迟设置以优化数据传输
- 根据环境噪声调整RSSI阈值
- 使用适当的预加载参数减少连接跟踪延迟
🎯 总结
Sniffle作为一款功能强大的蓝牙嗅探工具，通过其智能过滤系统、多频道捕获技术和丰富的功能集，为BLE通信分析提供了完整的解决方案。无论你是进行设备调试、安全审计还是协议研究，Sniffle都能提供专业级的支持。通过合理利用其过滤功能和性能优化选项，你可以高效地捕获和分析目标BLE设备的通信数据。
记住，掌握Sniffle的核心功能后，你将能够：
- ✅ 精准过滤目标设备的广告包
- ✅ 高效捕获三频道BLE通信
- ✅ 深入分析连接参数和PHY变化
- ✅ 集成Wireshark进行专业级分析
- ✅ 应对各种BLE安全和分析挑战
开始你的BLE嗅探之旅吧！Sniffle的强大功能将帮助你在蓝牙技术领域获得更深入的见解。🚀
【免费下载链接】SniffleA sniffer for Bluetooth 5 and 4.x LE项目地址: https://gitcode.com/gh_mirrors/sn/Sniffle
创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
