用途：面向 IoT 设备流量与空口交互的协议逆向，覆盖 MQTT、CoAP、BLE（含链路层）、Zigbee（802.15.4）以及 NFC/智能卡（ISO14443、APDU、MIFARE）。适用于拿到 pcap 或实时抓包后解析语义、分析 BLE 广播与 GATT、Zigbee 抓包与 ZCL 命令、理解设备上报与下发控制语义并联动固件。通用自定义协议、普通网络抓包、无密钥的加密流量不属本技能范围。
主要能力：用 tshark 做协议分层统计与字段提取（如 mqtt.topic、coap.uri_path、btatt.value、zbee_zcl.cmd），按 topic 分桶定位控制语义；用 mosquitto_sub/mosquitto_pub、coap-client 做授权内主动订阅与发布验证；BLE 侧用 btmon、Android btsnoop、ubertooth 抓包，解析广播 AD 结构与 GATT 读写；Zigbee 侧用 sniffer 硬件加 Wireshark zbee 解析，填 Network Key/Link Key 解密，KillerBee 做抓取与重放；NFC 侧用 proxmark3 类读写器判型（SAK/ATQA）后进入对应卡族流程。
使用方式：先安装并验证工具（tshark --version、tshark -G fields 查字段名、mosquitto_pub -h、coap-client -h、btmon --help、ubertooth-btle -s、kb --version），再按协议识别、解析、主动验证、密钥获取、固件联动的顺序推进，每步产物存档。加密流量需密钥：TLS 用 SSLKEYLOGFILE，DTLS PSK 在 Wireshark 偏好填十六进制，Zigbee 需 network key 与 TC link key，BLE 解密需 LTK。
限制：空口嗅探对加密连接只能看时序与包长；绑定后重连不重新交换 LTK；Crypto-1 密钥恢复需卡响应任意读写器认证；抓包与写卡均需授权，动态场景默认沙箱或隔离网络。资料未提供具体价格、平台支持范围与效果数据。