查看: 1035|回复: 5
收起左侧

2.4G无线遥控通讯协议破解—美嘉欣/nRF24L01+/BK2423

[复制链接]
     

1

主题

1

帖子

8

积分

实习生

 楼主| 发表于 2017-4-14 11:24 | 显示全部楼层 |返回版面||阅读模式
本帖最后由 anchangnice 于 2017-4-14 11:23 编辑

2.4G无线遥控通讯协议破解—美嘉欣
      
准备做平衡车,缺个遥控器,又不想用手机App。刚好手中有个之前买的遥控直升机,配套的2.4G遥控器看着还行,就打算拿来用在平衡车上。于是就开始了破解。先看图吧!
     
经拆解发现(遥控器端2.4G模块是COB封装的看不出,只能在接收端看芯片型号)为BK2423(和nRF24L01兼容)。于是就可以nRF24L01为接收机接收遥控器数据。当然反过来,也可以用nRF24L01来遥控直升机。
              
查数据手册:(这里用nRF24L01数据手册BK2423多了一个BANK寄存器但是只有初始化时使用、其余通用)(BK2423的数据手册做的不好,毫无美感,看地眼痛心累)
1.     数据格式
2.     兼容模式(如何配置接收端)
3.     SPI时序(看懂时序图)
4.     指令(根据3看4、5)
5.     寄存器(部分)
  
  
抓数据通过遥控器的2.4G模块SPI接口获取配置信息,通讯协议跳频列表。
       工具: Saleae Logic 16 Clone(逻辑分析仪)、
                      Saleae Logic 1.2.10(官方软件)、
                  SigrokPulseView(开源软件)。
(逻辑分析仪这个不是必须的,例:Arduino SPI 来捕获数据,就是在确定引脚的时候会有点麻烦,因为发送端模块的引脚定义不明,但是可以通过单片机新唐N79E814AT20的SPI引脚来查,遥控器的主控用的这个单片机)

下面是硬件和软件的截图:
开整:
1.     连线:(做了个接头直接卡在模块的引脚上,共9个引脚)
2.     连接逻辑分析仪、打开软件开始捕获、打开遥控器电源、开始配对、配对成功、操控摇杆一段时间、终止。以25MHz的采样率采集15s,九个引脚对应九个通道。(把开机配置、对频、工作跳频的整个过程都采集下来进行后续的分析
3.     根据SPI时序图找出MOSI、MISO、CS、CLK。

4.     用SPI协议进行分析
5.     查找关键数据:
         形式:指令:写指令(0x20) +寄存器地址(0xXX)
         数据:D7D6D5D4D3D2D1D0
       指令:
                 W_TX_PAYLOAD:                                 =    0xA0
               CRC                      0x20+ 0x00        =    0x20
               AutoAck:                 0x20+ 0x01       =    0x21
               地址宽度 :                0x20 + 0x03       =    0x23
               频道                      0x20 + 0x05       =    0x25
               数据速率               0x20+ 0x06        =    0x26
               数据位宽度            没有查到,可通过0xA0查找W_TX_PAYLOAD查看入数据的字节数
               发送地址               0x20+ 0x10        =    0x30
       数据:
CRC0x0E : 0000 1110
                1.    开启CRC
                2.    2 Bytes
                3.    PWR_UP
AutoAck: 0x00 : 0000 0000
                1.     关闭所有
地址宽度0x03: 0000 0011
                1.    5 Bytes
数据速率0x05 : 0000 0101
                1.     1Mbps
发送地址0x6D 0x6A 0x73 0x73 0x73 : “mjsss
                     
              注:右下角的Decoded Protocol 列表中配置命令有多个,如有两个则
                     下一个是BK2423独有的寄存器配置。多个有部分为数据。
频道:经检查发现有两个跳频列表
1.    配对未完成时:(至今也没搞明白这个是干什么的,猜测是对频的部分,但是不清楚对频的方式)
2.    配对成功后:
Cycle列表每个频道发送两次,循环管往复。
发送数据位宽度由W_TX_PAYLOAD:0xA0 发现:16 Bytes
所有必须的信息已经知道了:接下来开始接收数据进行验证!
Arduino 程序 RF24 Lib
[size=18.6667px]权限不够不能分享URL(慢慢的恶意啊^.^)
[size=18.6667px]这里有两个工程:Arduino & VS2013, 自行下载,篇幅超出范围不能贴出来了
[size=18.6667px]pan.baidu.com/s/1jIBOXJC#list/path=%2F
由于不清楚对频过程所以可以不进行对频(漏洞:在对频过程中只要摇动任意摇杆就会打断对频直接进入工作状态)
连接硬件:
VCC     —>3.3V
GND    —>GND
CE       —>Pin 7
CSN    —>Pin 8
IRQ    —>Pin 2



开始接收数据!
自左向右依次:0:油门、1:左右转、2:前后飞、3:左右飞、4:左右转微调、5:前后飞微调、6:左右飞微调、14:操作模式/灵敏度、15:校验和。(其余数据含义未知)

至此全部工作已经完成。
总的做下来难道并不高,但是锻炼了自己。把它写下来一方面是总结一下自己所做的工作、步骤,另一方面希望能够对大家有所帮助。


附录:我在上文中提到了sigrok这个开源软件,但是并未提及(因为发现越写思路越清晰,就用不到了),这里作为补充。
Sigrok是一个开源跨平台信号分析软件、支持大量设备。它不仅能够提供通讯协议分析、更可以具体到具体的芯片,比如这里用到的nRF24L01+,它以SPI作为通讯接口,那么就可以应用SPI分析数据内容,进而解析其含义。
这里以一个数据传输过程为例:
sigrok支持大量的通讯协议和芯片解码,有需要的可以了解一下。
注:暂不支持本文中的设备,折腾了很久,从win7到Ubuntu都试过了就是不行。我是通过官方软件导出为Raw Binary的形式再导入sigrok进行分析的,这个是最快捷的方法。 it依次为0~7Channel,在导入时选择的通道数n是指导入0~(n-1)。另外要填写采样率,单位为Hz。

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?注册

x

评分

参与人数 1威望 +5 收起 理由
lfjwfm + 5 赞一个!

3

主题

156

帖子

468

积分

资深技术员

发表于 2017-4-14 14:39 | 显示全部楼层 |返回版面
量产了?
      

170

主题

8573

帖子

3万

积分

技术总监

asdf

发表于 2017-4-18 13:58 | 显示全部楼层 |返回版面
之前开发这个2.4G产品的时候在产品软件里集成了BK242X(nRF24L01)的分析工具,逻辑分析仪抓取数据后,直接解成SPI码流,进而解析成C源码,一步到位
试一下能否设置签名档
     

0

主题

31

帖子

93

积分

初级技术员

发表于 2017-4-19 10:54 | 显示全部楼层 |返回版面
好厉害呀。
锦锐单片机(触摸按键,LCD驱动)
Q:1050054175 张工
     

4

主题

15

帖子

45

积分

实习生

发表于 2017-5-16 10:08 | 显示全部楼层 |返回版面
好厉害呀。
     

0

主题

1

帖子

10

积分

实习生

发表于 2017-7-7 15:14 | 显示全部楼层 |返回版面
厉害,学习。。。
您需要登录后才可以回帖 登录 | 注册

本版积分规则

关闭

热门推荐上一条 /3 下一条

分享 快速回复 返回顶部 返回列表