用途：在获得明确书面授权的安全评估、渗透测试、CTF 与教学场景中，检测和分析蓝牙低功耗（BLE）攻击，包括嗅探、重放攻击、GATT 枚举滥用与中间人攻击。禁止在未授权或禁止无线监控的环境中使用。
主要能力：扫描 BLE 设备与广播数据；枚举 GATT 服务、特征与描述符，识别无认证写入、暴露配置或凭据的可读特征、缺少 CCCD 保护的通知特征；抓取并离线分析 BLE 流量；用 crackle 分析 Legacy Pairing 加密强度；测试设备是否接受重放命令；通过地址伪造、连接参数异常、可疑配对请求等指标检测中间人；支持持续监控与告警。
使用方式：需 Ubertooth One 或带 nRF Sniffer 固件的 Nordic nRF52840 USB Dongle、Python 3.10+ 与 pip、bleak（pip install bleak）、Wireshark 及 BLE 解析插件、crackle（源码构建）、ubertooth-btle（Linux 可 apt install ubertooth）、主机蓝牙 4.0+ 适配器，推荐 Linux。典型命令：ubertooth-btle -p -r capture.pcapng 被动嗅探；ubertooth-btle -f -t AA:BB:CC:DD:EE:FF -r connection.pcapng 跟踪连接；crackle -i capture_ppi.pcap -o decrypted.pcap 解密；tshark 按 btle 等字段过滤分析。
适用场景：IoT、医疗设备、智能锁等 BLE 设备的授权安全评估，无线环境威胁监控，BLE 入侵检测能力建设。
限制：Ubertooth 一次只能跟踪一个连接，多连接时需用 -t 指定地址；旧固件可能无法捕获 BLE 5.0 扩展广播；bleak 扫描行为因操作系统而异，Linux 需 root 或相应权限，macOS 地址为随机 UUID；crackle 仅适用于 Legacy Pairing，无法破解 LE Secure Connections；随机可解析私有地址会增加跟踪难度；crackle 需 PPI 头 PCAP 格式，PcapNG 仅供 Wireshark 分析。具体收费、价格与平台支持资料暂未提供。