永不消逝的电波（三）：低功耗蓝牙（BLE）入门之如何调戏别人的小米手环
0×00 前言
蓝牙（Bluetooth），一种无线技术标准，用来让固定与移动设备，在短距离间交换数据，以形成个人局域网（PAN）。其使用短波特高频（UHF）无线电波，经由2.4至2.485 GHz的ISM频段来进行通信。1994年由电信商爱立信发展出这个技术。它最初的设计，是希望创建一个RS-232数据线的无线通讯替代版本。
蓝牙技术目前由蓝牙技术联盟（SIG）来负责维护其技术标准，这个联盟拥有超过20,000间公司成员，其成员的领域分布在电信、电脑、网络与消费性电子产品上。
蓝牙也是目前数码产品中不可或缺的模块。蓝牙技术的出现让我们在连接各种设备的时候不再被繁多的数据线所束缚，比如音响、电脑、鼠标、键盘，甚至是汽车。
0×01 蓝牙版本更新
蓝牙技术版本更新：1.1、1.2、2.0、2.1、3.0、4.0、4.1、4.2
蓝牙1.1标准：为最早期版本，传输率约在748~810kb/s，因是早期设计，容易受到同频率之产品所干扰下影响通讯质量。 蓝牙1.2标准：同样是只有 748~810kb/s 的传输率，但在加上了(改善 Software)抗干扰跳频功能。 蓝牙2.0标准：1.2 的改良提升版，传输率约在 1.8M/s~2.1M/s，开始支持双工模式——即一面作语音通讯，同时亦可以传输档案/高质素图片。 蓝牙2.1标准：2007年8月2日，蓝牙技术联盟正式批准了蓝牙2.1版规范，即“蓝牙2.1+EDR”，可供未来的设备自由使用。相对2.0版本主要是提高了待机时间2倍以上，技术标准没有根本性变化。 蓝牙3.0标准：2009年4月21日，蓝牙技术联盟颁布的新一代标准规范"Bluetooth Core Specification Version 3.0 High Speed"(蓝牙核心规范3.0版 )，核心是"Generic Alternate MAC/PHY"(AMP)一种全新的交替射频技术，允许蓝牙协议栈针对任一任务动态地选择正确射频。3.0的数据传输率提高到了大约24Mbps(即可在需要的时候调用802.11 WI-FI用于实现高速数据传输)。3.0的传输速速率是2.0的八倍。 蓝牙4.0标准：于2010年7月7日正式发布，是蓝牙3.0+HS规范的补充，新版本的最大意义在于低功耗，同时加强不同OEM厂商之间的设备兼容性，并且降低延迟，理论最高传输速度依然为24Mbps(即3MB/s)，有效覆盖范围扩大到100米(之前的版本为10米)。4.0是专门面向对成本和功耗都有较高要求的无线方案，可广泛用于卫生保健、体育健身、家庭娱乐、安全保障等诸多领域。 ....
正如上面所说，蓝牙4.0是以低功耗技术为代表优势的蓝牙核心规格版本。
0×02 低功耗蓝牙术语及概念：
蓝牙设备所用波段是无需认可的2.4 GHz ISM（工业、科研和医疗）波段。跳频收发器用于对抗干扰及信号衰减。
2.1 频率和信道：
蓝牙系统所使用的波段为2.4 GHz ISM波段。其频率范围是2400 – 2483.5 MHz
BlueTooth 有79个射频信道，按0-78排序，并于2402 MHz开始，以1 MHz分隔：
channel 00 : 2.402000000 Ghz channel 01 : 2.403000000 Ghz … channel 78 : 2.480000000 Ghz
BTLE有40个频道：
channel 37 : 2.402000000 Ghz channel 00 : 2.404000000 Ghz channel 01 : 2.406000000 Ghz channel 02 : 2.408000000 Ghz channel 03 : 2.410000000 Ghz channel 04 : 2.412000000 Ghz channel 05 : 2.414000000 Ghz channel 06 : 2.416000000 Ghz channel 07 : 2.418000000 Ghz channel 08 : 2.420000000 Ghz channel 09 : 2.422000000 Ghz channel 10 : 2.424000000 Ghz channel 38 : 2.426000000 Ghz channel 11 : 2.428000000 Ghz channel 12 : 2.430000000 Ghz channel 13 : 2.432000000 Ghz channel 14 : 2.434000000 Ghz channel 15 : 2.436000000 Ghz channel 16 : 2.438000000 Ghz channel 17 : 2.440000000 Ghz channel 18 : 2.442000000 Ghz channel 19 : 2.444000000 Ghz channel 20 : 2.446000000 Ghz channel 21 : 2.448000000 Ghz channel 22 : 2.450000000 Ghz channel 23 : 2.452000000 Ghz channel 24 : 2.454000000 Ghz channel 25 : 2.456000000 Ghz channel 26 : 2.458000000 Ghz channel 27 : 2.460000000 Ghz channel 28 : 2.462000000 Ghz channel 29 : 2.464000000 Ghz channel 30 : 2.466000000 Ghz channel 31 : 2.468000000 Ghz channel 32 : 2.470000000 Ghz channel 33 : 2.472000000 Ghz channel 34 : 2.474000000 Ghz channel 35 : 2.476000000 Ghz channel 36 : 2.478000000 Ghz channel 39 : 2.480000000 Ghz
2.2 蓝牙规格：
规格名称 规格类型 分配编码 规格级别 警报类别ID org.bluetooth.characteristic.alert_category_id 0x2A43 已采纳 警报类别ID位掩码 org.bluetooth.characteristic.alert_category_id_bit_mask 0x2A42 已采纳 警报级别 org.bluetooth.characteristic.alert_level 0x2A06 已采纳 警报通知控制点 org.bluetooth.characteristic.alert_notification_control_point 0x2A44 已采纳 警报状态 org.bluetooth.characteristic.alert_status 0x2A3F 已采纳 Appearance org.bluetooth.characteristic.gap.appearance 0x2A01 Adopted 电池电量 org.bluetooth.characteristic.battery_level 0x2A19 已采纳 血压功能 org.bluetooth.characteristic.blood_pressure_feature 0x2A49 已采纳 血压测量 org.bluetooth.characteristic.blood_pressure_measurement 0x2A35 已采纳 人体传感器定位 org.bluetooth.characteristic.body_sensor_location 0x2A38 已采纳 引导键盘输入报告 org.bluetooth.characteristic.boot_keyboard_input_report 0x2A22 已采纳 引导键盘输出报告 org.bluetooth.characteristic.boot_keyboard_output_report 0x2A32 已采纳 引导鼠标输入报告 org.bluetooth.characteristic.boot_mouse_input_report 0x2A33 已采纳 CSC功能 org.bluetooth.characteristic.csc_feature 0x2A5C 已采纳 CSC测量 org.bluetooth.characteristic.csc_measurement 0x2A5B 已采纳 当前时间 org.bluetooth.characteristic.current_time 0x2A2B 已采纳 自行车功率控制点 bluetooth.characteristic.cycling_power_control_point 0x2A66 已采纳 自行车功率特征 org.bluteooth.characteristic.cycling_power_feature 0x2A65 已采纳 自行车功率测量 org.blueeooth.cycling_power_measurement 0x2A63 已采纳 自行车功率矢量 org.bluetooth.characteristic.cycling_power_vector 0x2A64 已采纳 日期时间 org.bluetooth.characteristic.date_time 0x2A08 已采纳 星期日期时间 org.bluetooth.characteristic.day_date_time 0x2A0A 已采纳 星期 org.bluetooth.characteristic.day_of_week 0x2A09 已采纳 Device Name org.bluetooth.characteristic.gap.device_name 0x2A00 Adopted 日光节约时间偏移 org.bluetooth.characteristic.dst_offset 0x2A0D 已采纳 准确时间256 org.bluetooth.characteristic.exact_time_256 0x2A0C 已采纳 固件修订字符串 org.bluetooth.characteristic.firmware_revision_string 0x2A26 已采纳 血糖功能 org.bluetooth.characteristic.glucose_feature 0x2A51 已采纳 血糖测量 org.bluetooth.characteristic.glucose_measurement 0x2A18 已采纳 血糖测量环境 org.bluetooth.characteristic.glucose_measurement_context 0x2A34 已采纳 硬件修订字符串 org.bluetooth.characteristic.hardware_revision_string 0x2A27 已采纳 心率控制点 org.bluetooth.characteristic.heart_rate_control_point 0x2A39 已采纳 心率测量 org.bluetooth.characteristic.heart_rate_measurement 0x2A37 已采纳 HID控制点 org.bluetooth.characteristic.hid_control_point 0x2A4C 已采纳 HID信息 org.bluetooth.characteristic.hid_information 0x2A4A 已采纳 IEEE 11073-20601监管认证数据表 org.bluetooth.characteristic.ieee_11073-20601_regulatory_certification_data_list 0x2A2A 已采纳 中间体套囊压力 org.bluetooth.characteristic.intermediate_blood_pressure 0x2A36 已采纳 中间体温度 org.bluetooth.characteristic.intermediate_temperature 0x2A1E 已采纳 LN控制点 org.bluetooth.ln_control_point 0x2A6B 已采纳 LN功能 org.bluetooth.characteristic.ln_feature 0x2A6A 已采纳 当地时间信息 org.bluetooth.characteristic.local_time_information 0x2A0F 已采纳 定位和速度 org.bluetooth.location_and_speed 0x2A67 已采纳 制造商名称字符串 org.bluetooth.characteristic.manufacturer_name_string 0x2A29 已采纳 测量间隔 org.bluetooth.characteristic.measurement_interval 0x2A21 已采纳 型号字符串 org.bluetooth.characteristic.model_number_string 0x2A24 已采纳 导航 org.bluetooth.characteristic.navigation 0x2A68 已采纳 新警报 org.bluetooth.characteristic.new_alert 0x2A46 已采纳 Peripheral Preferred Connection Parameters org.bluetooth.characteristic.gap.peripheral_preferred_connection_parameters 0x2A04 Adopted Peripheral Privacy Flag org.bluetooth.characteristic.gap.peripheral_privacy_flag 0x2A02 Adopted PnP ID org.bluetooth.characteristic.pnp_id 0x2A50 已采纳 定位质量 org.bluetooth.position_quality 0x2A69 已采纳 协议模式 org.bluetooth.characteristic.protocol_mode 0x2A4E 已采纳 Reconnection Address org.bluetooth.characteristic.gap.reconnection_address 0x2A03 Adopted 记录存取控制点 org.bluetooth.characteristic.record_access_control_point 0x2A52 已采纳 参考时间信息 org.bluetooth.characteristic.reference_time_information 0x2A14 已采纳 报告 org.bluetooth.characteristic.report 0x2A4D 已采纳 报告地图 org.bluetooth.characteristic.report_map 0x2A4B 已采纳 振铃器控制点 org.bluetooth.characteristic.ringer_control_point 0x2A40 已采纳 振铃器设定 org.bluetooth.characteristic.ringer_setting 0x2A41 已采纳 RSC功能 org.bluetooth.characteristic.rsc_feature 0x2A54 已采纳 RSC测量 org.bluetooth.characteristic.rsc_measurement 0x2A53 已采纳 SC控制点 org.bluetooth.characteristic.sc_control_point 0x2A55 已采纳 扫描间隔窗口 org.bluetooth.characteristic.scan_interval_window 0x2A4F 已采纳 扫描刷新 org.bluetooth.characteristic.scan_refresh 0x2A31 已采纳 传感器定位 org.bluetooth.characteristic.sensor_location 0x2A5D 已采纳 序列号字符串 org.bluetooth.characteristic.serial_number_string 0x2A25 已采纳 Service Changed org.bluetooth.characteristic.gatt.service_changed 0x2A05 Adopted 软件修订字符串 org.bluetooth.characteristic.software_revision_string 0x2A28 已采纳 获支持的新警报类别 org.bluetooth.characteristic.supported_new_alert_category 0x2A47 已采纳 获支持的未读警报类别 org.bluetooth.characteristic.supported_unread_alert_category 0x2A48 已采纳 系统ID org.bluetooth.characteristic.system_id 0x2A23 已采纳 温度测量 org.bluetooth.characteristic.temperature_measurement 0x2A1C 已采纳 温度类型 org.bluetooth.characteristic.temperature_type 0x2A1D 已采纳 时间准确度 org.bluetooth.characteristic.time_accuracy 0x2A12 已采纳 时间源 org.bluetooth.characteristic.time_source 0x2A13 已采纳 时间更新控制点 org.bluetooth.characteristic.time_update_control_point 0x2A16 已采纳 时间更新状态 org.bluetooth.characteristic.time_update_state 0x2A17 已采纳 日光节约时间的时间 org.bluetooth.characteristic.time_with_dst 0x2A11 已采纳 时区 org.bluetooth.characteristic.time_zone 0x2A0E 已采纳 射频功率 org.bluetooth.characteristic.tx_power_level 0x2A07 已采纳 未读警报状态 org.bluetooth.characteristic.unread_alert_status 0x2A45 已采纳 记忆码 UUID规格 UUID 参考规格 «设备名称» uuid16 0x2A00 蓝牙核心规格第3卷C部分第12.1节 «外观» uuid16 0x2A01 蓝牙核心规格第3卷C部分第12.2节 «外置设备隐私标志» uuid16 0x2A02 蓝牙核心规格第3卷C部分第12.3节 «重新连接地址» uuid16 0x2A03 蓝牙核心规格第3卷C部分第12.4节 «外置设备首选连接参数» uuid16 0x2A04 蓝牙核心规格第3卷C部分第12.5节 «服务更改» uuid16 0x2A05 蓝牙核心规格第3卷G部分第7.1节
2.3 蓝牙UUID
UUID是“Universally Unique Identifier”的简称，通用唯一识别码的意思。对于蓝牙设备，每个服务都有通用、独立、唯一的UUID与之对应。
例举：
#蓝牙串口服务 SerialPortServiceClass_UUID = '{00001101-0000-1000-8000-00805F9B34FB}' LANAccessUsingPPPServiceClass_UUID = '{00001102-0000-1000-8000-00805F9B34FB}' #拨号网络服务 DialupNetworkingServiceClass_UUID = '{00001103-0000-1000-8000-00805F9B34FB}' #信息同步服务 IrMCSyncServiceClass_UUID = '{00001104-0000-1000-8000-00805F9B34FB}' SDP_OBEXObjectPushServiceClass_UUID = '{00001105-0000-1000-8000-00805F9B34FB}' #文件传输服务 OBEXFileTransferServiceClass_UUID = '{00001106-0000-1000-8000-00805F9B34FB}'
分享几个蓝牙相关的文章、扫描器和App:
基于HACKRF的低功耗蓝牙（BTLE）packet sniffer/scanner
项目地址：https://github.com/JiaoXianjun/BTLE
博客：http://sdr-x.github.io/BTLE-SNIFFER/
手机App（iphone）
BLE Scanner
LightBlue
0×03 调戏小米手环
小米手环的主要功能包括查看运动量，监测睡眠质量，智能闹钟唤醒等。可以通过手机应用实时查看运动量，监测走路和跑步的效果，还可以通过云端识别更多的运动项目。
小米手环配备了低功耗蓝牙芯片及加速传感器，待机可达30天。（→_→ 这里真的不是广告，虽然，看起来很像… 顺便吐槽一下渣米手环，蓝牙信号不稳定经常断线…）
今年360HackPwn大会上，有小米手环破解的演示和讲解（木有去现场只能自己动手玩了）。下面用到刚刚推荐的LightBlue这个App，打开App可以看到附件的蓝牙设备信号：
连接上小米手环，我们可以看到这些参数：
UUID：FEE0
0xFF01 0xFF02 ...... 0xFF0F
UUID:FEE1
0xFEDD 0xFEDE ...... 0xFFD2 0xFFd3
UUID:FEE7
0xFEC7 0xFEC8 0xFEC9
immediate Alert
Alert Level
在Alert Level中“Write new value”（写入新值）1和2都行（震动级别：0不震动、1轻微&小幅震动、2强烈震动）可控制小米手环的震动。通过这种方法，可控制一定范围内任何人的小米手环，使其不停震动…(听起来，总感觉怪怪的→_→ )
0×04 演示视频：
0×05 参考：
百科、文库
http://developer.bluetooth.cn/libs/Cn/Overview/CoreArc/2013/1231/4.html
Exploring Bluetooth & iBeacons – from software to radio signals and back
