叶的离去，是风的追求还是树的不挽留？
009 2021-11-22 11:32
]]>srsenb：全协议栈的lte enodeb sdr平台；
srsepc：轻量级的lte核心网实现平台，包括hss、mme以及s/p-gw；
lib：一套模块化的通用库，包括phy、mac、rlc、nas、s1ap以及gw各层。
系统：ubuntu 16.04，使用实体机，usb3.0，千万不要用虚拟机，一些指令优化，时序。。。需要非常精准，比如双向验证鉴权的时候，差一点都不行。
软件无线电：bladerf x40，limesdr mini，usrp b200
写卡：买白卡和写卡器，不要问我，自己关键字搜吧，taobao不让卖了
安装顺序：uhd，soapysdr，soapyuhd，limesuite，bladerf，srsgui，srslte
。。。
009 2019-07-19 12:44
]]>1、衣
9月印尼和 温差不是很大，且降雨不多，总体适合出游。但当地紫外线较强，除好看的衣裙外，防晒衫、防晒霜、帽子、泳衣、沙滩鞋是必备品
2、证
*出境游护照必须。此外，还建议打印所乘航班的英文确认单（拨打对应航司客服电话即可获取） 预定酒店的英文确认单，若有包车，保留相应包车信息，提前加好客服凯发天生赢家一触即发官网的联系方式。
3、行
*机票 公司有特价机票活动，预定的是东航直飞夜晚航班，双人往返4k左右。
参考航班： - 东航 mu781 09.14 16:30~00:50
- 东航 mu782 09.19 01:35~08:40
*包车 淘宝-按照评价筛选的，中文包车/天/10小时-320元左右。可参考店铺：懒猫旅行、憨豆旅游
4、电话卡、货币
*电话卡 购于淘宝，几乎全程3g信号，微信免流量，30分钟印尼、国内通话费，插卡即用，不到30块。购买渠道：飞猪- 优行旅游专营店。
*货币：（ ）需提前至银行预约兑换，4天兑换了2100多人民币，440万印尼盾，行程结束后还有110万印尼盾左右。兑换当天需凭银行卡或现金及身份证兑换。
二、四天行程规划
本次行程较短，主要集中在巴厘岛南部活动，想体验火车、早起追海豚也可以向北部行动。
day1：
ø 住宿 ：库塔宜必思(ibis bali kuta) jl. raya kuta no. 77 tel:(62-361)228228
预定途径:马蜂窝，含税＜200元，房间较小。地理位置：距离机场较近的快捷酒店，大约3公里左右。机场出租车均不太正规，不打表随口要价，此处推荐提前预定好接机司机-淘宝/马蜂窝/美团均可！
ø 第一天包车行程 宜必思酒店-库塔海滩- -海神庙- 玛帕达酒店（又称fox）
库塔海滩适合冲浪，以上三个海滩排序：海神庙＞ ＞库塔。
库塔周边可以随意逛逛，之前做攻略，宜必思酒店对面有家港式餐厅，味道不错，但我们当天出发太早，没时间吃，有时间的朋友可以尝尝，并且逛逛库塔，还是值得一逛。海神庙门票大约30元/人，库塔、 免费。
day2：
ø 住宿 ： 玛帕达酒店(pramapada hotel jimbaran) 即（fox harris jimbaran beach）
地址：jalan yoga perkanthi no. 03, bali, indonesia
预定途径:马蜂窝，含税＜300元（不含早）
ø 第二天包车行程 酒店-神鹰广场-乌鲁瓦图情人崖-padang padang海滩- 海滩日落
神鹰广场，门票12.5万印尼盾/人，约合60块/人，此景点不推荐，就是几个带有历史背景意义的雕塑，此处推荐使用大众点评海外版，可以查看到此景点的相关评价，不推荐，可以省下钱去蓝点海滩（10万印尼盾）。
*乌鲁瓦图情人崖 此处和海神庙有些类似，总体海滩也比较美，有好多猴子，某些猴子还会调皮的抢走人的眼镜等东西，且很不好要回来。之前看攻略，可以给工作人员小费让帮忙拿回来，实际上并找不到工作人员
*padang padang海滩 总体较小，也有一些猴子，但是比较乖巧，不会来抢人东西，左侧砂砾较大，右侧砂砾较细，海浪有些大，门票大概1.5万印尼盾，记不太清了，总之很小很便宜，人很多
* 海滩 预定的 玛帕达酒店(pramapada hotel jimbaran) 距离海滩100米左右，超级近，当天日落时间18:30，看到了超美的日落。
day3
ø 继续住宿在玛帕达酒店(pramapada hotel jimbaran)
行程：一日游 超推荐，海水超蓝超清澈，一眼见底！！！
预定渠道：淘宝-懒猫旅行海外店，大家可以根据自己需要、按照好评筛选，我当时选的是三处浮潜 海底漫步，500元左右。三处浮潜的第二处浮潜特别美，在海底看到了各色的鱼、珊瑚，以及海蛇 。上午是海上娱乐及浮潜等，下午带着大家绕岛看景点：恶魔的眼泪（强推）、梦幻海滩，预定时说赠送预定红树林，但是当天并没有带大家看。
day4：
ø 继续住宿玛帕达酒店(pramapada hotel jimbaran)
ø 海滩躺卧一天
由于前三天比较累，行程较赶，最后一天决定在海滩卧倒一天，租赁遮阳伞、躺椅并不贵，足足躺了一天
推荐 玛帕达酒店附近的吃处：1、金悦轩粤菜海鲜餐厅，可车接车送，大众点评搜索可添加中文客服微信，可使用微信、美团。2、coco supermarket：出酒店右转-右转，直行大概1公里左右即可看到这家超市，超市旁边是一家叫做：heineken的餐馆，价格便宜，味道不错，晚餐两人不到25块人民币。
009 2018-11-16 11:33
]]>原来没打算写，网上搜索时候发现很多人深受苦恼，还是写一下吧。
背景就不解释了，此方法为下下策，能用武力解决的就尽量少哔哔。
。。。
009 2016-02-26 14:55
]]>其实有个更简单的，只要给immediate alert这个属性发送0x01或者0x02即可启动“女性娱乐模式”，不需要任何认证：
（这个属性本来是用来可穿戴设备的找回功能的）
...
009 2015-09-05 18:34
]]>使用hackrf或者rtl-sdr加变频器，那是极好的，但是我最终需要把所有东西都打包到一个小空间里面。
可参考另一个页面：, 作者不仅嗅探了类似的键盘(microsoft comfort desktop 5000), 还演示了怎么样用他的一个叫的设备和python的脚本，去让 nrf24l01 芯片嗅探 2.4ghz 的数据.
travis发现嗅探该设备存在多个难点，不仅现在需要指定频道（频率），而且还需要指定mac地址。nrf芯片只提供发送到指定mac地址的数据包。此外，nrf芯片不会发送mac地址数据，因为你已经指定了 (在rx_addr_p[0-5]6个管道中的一个)。
travis发现在指定mac长度的时候，在手册中为setup_aw，当设置为‘0’的时候被认为是非法的，
'00' - illegal
'01' - 3 bytes
'10' - 4 bytes
'11' – 5 bytes
但是实际设置mac地址为两个字节，并且把mac设置在preamble的位置(0x00aa or 0x0055, in binary 0000000010101010 or 0000000001010101), 就能欺骗设备在数据部分首先提供完整的mac地址给我们，请参考这篇碉堡了的学习具体细节。
blogjava-凯发k8网页登录
虽然现在我们可以使用goodfet，电脑加nrf24l01 来做嗅探测试，但是最终我们还是希望能够用一套便宜的嵌入式设备来实现此功能。我们可以使用travis的研究成果，使用在微控制器 嵌入式c程序来实现所有功能。
另外，我们做了一些改进。 goodfet.nrf 告诉我们怎样扫描我们想要监听的设备：
- 频率从 2400mhz开始
- 设置数据速率为 1mbps 以及mac为0x00aa，监听10秒钟
- 设置数据速率为 2mbps 以及mac为0x00aa，监听10秒钟
- 设置数据速率为 1mbps 以及mac为0x0055，监听10秒钟
- 设置数据速率为 2mbps 以及mac为0x0055，监听10秒钟
- 逐步增加频率值，直到2528mhz再返回从2400mhz开始循环 (128个频率值)
- 要找到一个潜在的键盘设备，我们需要至少四个包，以满足阈值确保是个合法的数据包，防止误报。
这意味着扫描一个完整的频率范围需要大约85分钟，(and at least several keystrokes must be pressed while we're sniffing within the correct 10 second period. ) 在仔细学习了travis的研究， 的项目，以及测试了我的键盘，我们可以做一些改进：
- 查阅 fcc，键盘只需要用到 2403 - 2480mhz的范围，直接从128个频率减少到了78个频率 (节省40%)
- 所有键盘使用2mbps，又减少一半时间。
- 在检查了很多键盘之后，我发现所有的微软键盘的mac地址都是以0xcd开始的，因此我们的preamble永远是
0xaa (10101010)， after inspecting more keyboards, i found that all microsoft keyboards begin with 0xcd as the mac, which tells us that our preamble will always be0xaa (10101010)因为0xaa后面永远跟的是1 (0xcd 二进制 11001101)以保持比特位交替，这样又加快了一倍的搜索速度。 - 因为我们知道mac地址的第一位 (0xcd), 我们也知道需要什么样的数据包, 我们只需要检查某个确认的数据包，就能知道这是一个我们要找的键盘设备。
- 我们把每个频率扫描时间降低到500毫秒，从而把整个扫描一轮的时间降低到40秒。
thorsten schröder 和 max moser 设计了一个碉堡了的东东 , 能够监听微软键盘，完全逆向了解密的过程并且做了个设备能够完全实现这些。然而，他们的设备需要两个无线电和一个高端微处理器，来捕获和解析以2mbps通信的键盘设备产生的数据。travis的项目虽然牛逼，但是需要一台电脑主机，而且对于我们秘密执行任务，这套设备还是太大了，因此我们改进了设计，现在只需要一个廉价无线电和一个微处理器，功耗低而且体积小，不再需要电脑和其他无线电设备。
thorsten 和 max 发现这个击键只是使用简单的和mac地址异或加密 , 我们可以使用travis的方法利用nrf24l01 来嗅探和获取mac地址，这种加密方法相当于只是把扑克牌切了一次。
经过进一步调查发现，我们现在知道所有微软键盘的mac地址都是以0xcd开始的，实际按键（下图橙色部分）恰好与mac地址第一个字节对齐，这就是说即使我们不知道完整的mac地址，我们依然能够解密按键消息，因为这个对齐是不会变的，mac地址开头一个字节0xcd也是不变的。
由于数据包加密部分的长度是11个字节，而mac地址占5个字节，crc校验是每个字节做，异或（加密前），你会发现一些有意思的事情，由于mac地址被异或了两次，我们能够在不需要知道完整mac地址的情况下计算校验值，这是因为mac被异或两次，就相当于什么都没做，而第11个字节又是mac地址的第一个字节，我们知道是0xcd。根据这个特性我们可以进行一些其他的攻击，比如更改按键和crc校验，同样不需要知道mac地址，这将会在我以后的项目做相关演示。
keykeriki 项目中的一页演示了解密过程：
- device type 0x0a = keyboard, 0x08 = mouse
- packet type 0x78 = keystroke, 0x38 = idle (key is held down)
- model type 0x06 = keyboard? this is the same hid code for a keyboard
- hid code 0x05 = letter 'b' (described in section 7 )
keysweeper的解密部分代码:
// decrypt those keyboard packets!
void decrypt(uint8_t* pkt)
{
// our encryption key is the 5-byte mac address and
// starts 4 bytes in (4-byte header is unencrypted)
for (int i = 4; i < 15; i )
pkt[i] ^= mac >> (((i - 4) % 5) * 8) & 0xff;
}
009 2015-05-08 14:12
]]>extending the work of thorsten schröder and max moser
of the project.
similar to bluetooth, the protocols of the nordic vlsi chip are designed such that the mac address of a network participant doubles as a sync field, making promiscuous sniffing difficult both by configuration and by hardware. in this short article, i present a nifty technique for promiscuously sniffing such radios by (1) limiting the mac address to 2 bytes, (2) disabling checksums, (3) setting the mac to be the same as the preamble, and (4) sorting received noise for valid mac addresses which may later be sniffed explicitly. this method results in a rather high false-positive rate for packet reception as well as a terribly high drop rate, but once a few packets of the same address have been captured, that address can be sniffed directly with normal error rates.
根据已有资料，我发现了一种针对微软无线键盘（）或者类似的2.4ghz无线键盘的混杂嗅探方式，这个问题在cansecwest会议上thorsten schröder 和 max moser有相关文档介绍，以及利用该漏洞的 项目。而我这里使用了一个无线电和一个低端微处理器，不同于该项目的两个无线电和一个高端微处理器，我的硬件是一个为设计制作的会议徽章， 使用的 固件。
part 1: or, why sniffing is hard.
无线电数据包一般都始于preamble, 然后是同步（sync）字段。在 协议中，同步字段是0xd391，因此无线数据包开头应该是 {0xaa,0xd3,0xd91} 或者 {0x55,0xd3,0x91}。 0xaa 或者 0x55 是preamble，在数据包开头是由0和1交替出现的，表明数据来了，然后是同步字段，确保接下来的数据对齐。
在nordic无线电中，没有同步字段，取而代之的是mac地址。所以 数据报将以 {0x55, 0x01, 0x02, 0x03, 0x02, 0x01} 开始，而 的数据包将以 {0x55, 0x12, 0x34, 0x56}开始。如果sync/mac的第一bit是0，preamble将是0x55，反之如果是1，preamble则是0xaa。duang... 问题来了，芯片本身不允许mac地址小于3个字节，因此人们一直认为必须要知道这么多字节的mac地址才能用该芯片接收到数据。
moser 和 schröder 使用 a7125 芯片解决了这个问题，这是一个低端的2fsk收发器，能够dump出原始数据给arm处理器，arm有足够时间采样2mbps的无线电信号，寻找preamble，找到后把剩下的bit位的信息填入寄存器，然后通过usb把他们dump到主机。通过这样的操作，每一个潜在的mac地址都将被找到。一旦地址是已知的，keykeriki把这个地址用第二个无线电（nrf24l ）开始监听和注入数据。
michael ossmann的项目 （监听蓝牙）有个类似的凯发天生赢家一触即发官网的解决方案。查阅该项目的文档和 ossmann's shmoocon 2011年的视频，你就知道为什么嗅探一个不知道sync的设备是如此困难。
part 2: or, sniffing on the cheap.
关于混杂监听的一些诀窍，涉及到寄存器的不合法设定以及背景噪音的“期待”，可以查看 客户端的类autotuner()的代码。
首先，要嗅探的地址长度必须短到最短，手册上说0x03地址的寄存器最低两bit是负责地址宽度（长度）的，有效的长度值是3字节（01b），4字节（10b）和5字节（11b）。把这个地址设成00b是指2字节宽度，但是当禁用了校验，结果大量包中出现背景噪音。(setting this value to 00b gives a 2 byte match, but when checksums are disabled, this results in a deluge of false-positive packets that appear out of background noise.)
其次，有必要在sync字段出现之前开始接收，因为nordic芯片丢弃接收数据包中的地址，只留下payload。通过地址是其最短长度的时候查看返回的噪音，很显然，背景噪声包括大量为0x00和0xff的数据包以及和0xaa和将0x55的数据包，类似内部时钟的反馈。那么如果地址是0x00aa或0x0055将发生什么？
噪音将略先启动无线电，然后同步到真正的preamble，留下sync字段作为payload的开始部分！preamble和sync不需要直接相邻，相反，sync能够迟于preamble好几个字节，就是为了在嘈杂的无线环境中使用较长的preamble。
举个实际的例子，一个openbeacon数据包看起来像下图那样，其中sync字段是0x0102030201，因此在数据包的这个点之后都会被截断，0xbeef是会被返回给应用的所有数据，在那之前都会被切掉。
通过把地址设置成0x0055，禁止校验，相同的数据包将按图中下面部分解释， preamble会被误认为是sync，导致真正的sync值被返回作为是payload的开始。这样一来我就不需要通过其他方法或者暴力方式获得了sync/mac字段的内容。
这取决于preamble前的0x00，一般在背景噪音中而不是攻击者的广播。后面tmd没看懂，this does depend upon the preamble being preceded by 0x00, which occurs often in background noise but is not broadcast by the attacker. so the odds of receiving a packet, while significantly worse than we'd like, are much better than the 1/2^16 you might assume. in experiments, one in twenty or so real packets arrive while a significant number of false positives also sneak in.
mac地址3-5个字节，无线电噪音是相当明显的，可以通过手动校验的方法轻松把噪音跟真正的数据包分离，确定是对的数据包或者简单地统计一下每个地址，取出现最多的那个地址。这里是一个演示的记录：。我们会发现，其中0x0102030201是出现最多的mac地址，这只是openbeacon标记测试的地址。
不是依赖数据包的转储和排序，这个自动调谐的脚本标识网络参与者以及打印出mac地址。只要简单地运行 'goodfet.nrf autotune | tee autotune.txt' 然后喝杯咖啡休息一会，等你回来的时候，你会发现如下记录，标记了一个离 openbeacon 不远的无线设备。
这段也tmd不知所云。as low data-rate devices require significantly more time than high-rate devices to identify, such devices will either require undue amounts of patience or a real . in the case of a nike foot pod, i'm resorting to using loud hip hop music to trigger the sensor, which is left inside a pair of headphones. my labmates are not amused, but it is a great way to reveal the radio settings when aren't convenient.
part 3: or, sniffing a keyboard effectively.
确定信道和mac地址是最大的问题，但是依然还有别的问题。首先数据包时加密的，并且加密必须被破解。
不用害怕！我们不需要做任何花哨的数学公式来破解加密，因为密钥在包中至少被包含了一次（这因果关系我tmd也不知道作者啥意思）。moser 和 schröder的幻灯片解释了数据包头是明文的，payload部分是mac地址的xor加密。
没看懂applying an xor to the proper region yields decrypted packets such as the following. because these contain usb hid events, key-up hid events quite often include long strings of 0x00 bytes. when xor'ed with the key, those zeroes produce the key, so some packets contain the xor key not just once, but twice!
finally, the usb hid events need to be deciphered to get key positions. mapping a few of these yields meaningful text, with bytes duplicated in the case of retransmissions and omitted in the case of lost packets. 禁用校验将允许丢弃的数据包转换成字节错误的数量更小（你看我该咋翻译？），而跟踪序列号将防止重发的键被显示两次。不管怎样，结果还是相当鼓舞人心的，%￥&46@%#%……89&^%$看图吧，鸟语。disabling checksums will allow the dropped packets to be converted to a smaller number of byte errors, while tracking sequence numbers will prevent retransmitted keys from being displayed twice. regardless, the results are quite neighborly, as you can make out the sentence typed below in its packet capture.
part 4; or, reproducing these results.
all of the code for this article is available in the repository, as part of goodfetnrf.py and its client script. the hardware used was an , although an nhbadge12b or a goodfet with the sparkfun will work just as well.
to identify a nearby nordic transmitter, run 'goodfet.nrf autotune'. keyboards can be identified and sniffed with 'goodfet.nrf sniffmskb', while a known keyboard can be sniffed and decoded by providing its address as an argument, 'goodfet.nrf sniffmskb aa,c10ac074cd,17,09'. the channel--0x17 in this case--will change for collision avoidance, but channel hopping is slow and resets to the same starting channel. identification of the broadcast channel is faster when the receiver is not plugged in, as that causes the keyboard to continuously rebroadcast a keypress for a few seconds.
all code presently in the repository will be refactored and rewritten, so revert to revision 885 or check the documentation for any changes.
conclusions
contrary to prior belief, the nrf24l01 can be used to promiscuously sniff compatible radios, allowing for keyboard sniffing without special hardware. it's also handy for figuring out the lower levels of the otherwise-documented ant protocol, and for reverse engineering vendor-proprietary protocols such as nike .
additionally, it should be emphasized that the security of the microsoft keyboards in this family is irreparably broken, and has been since moser and schröder published the vulnerability at cansecwest. (it's a shame, because the keyboards are quite nicer than most bluetooth ones, both in pairing delay and in battery life.) do not purchase these things unless you want to broadcast every keystroke.
while i have not yet written code for injecting new keystrokes, such code does exist in the keykeriki repository and would not be difficult to port. perhaps it would be fun to build stand-alone firmware for the next hope badge that sniffs for keyboards, broadcasting rick astley lyrics into any that it finds?
please, for the love of the gods, use proper cryptography and double-check the security your designs. then triple-check them. there is no excuse for such vulnerable garbage as these keyboards to be sold with neither decent security nor a word of warning.
原文：
009 2015-04-30 18:29
]]>
009 2015-04-10 16:50
]]>
009 2014-10-07 09:46
]]>
009 2014-06-23 19:14
]]>
009 2014-05-12 16:43
]]>
009 2014-03-31 17:52
]]>
009 2014-03-12 11:16
]]>- samsung galaxy s3 gt-i9300
- samsung galaxy nexus gt-i9250 (has to be rooted!)
- samsung galaxy s2 gt-i9100
- samsung galaxy note 2 gt-n7100
。。。。。。
009 2014-03-11 19:02
]]>但都不说最终能干啥，滚屏完了就没了，大牛都太低调了，最近有朋友也在搞这个，了解了一下，以下描述都是我最近查阅的大量鸟文资料及少量中文资料之后的理解，如有误望指出。
osmocombb是国外一个开源项目，是gsm协议栈(protocols stack)的开源实现，全称是open source mobile communication baseband.目的是要实现手机端从物理层(layer1)到layer3的三层实现。
这里记录一下过程，以便备忘和其它有需要的童鞋少走弯路。
........
009 2013-11-13 16:27
]]>
009 2013-11-10 14:16
]]>
009 2013-09-11 17:23
]]>使用分区工具重新划分了一块空间，格式化ext4，使用 ls -l /dev/disk/by-uuid 命令查看uuid，添加到/etc/fstab文件，挂载到/data 重启。
sudo /etc/init.d/mysql stop
sudo mv /var/lib/mysql /data
可能会有权限问题
sudo chown -r mysql:mysql /data
修改/etc/mysql/my.cnf中的datadir参数
修改/etc/apparmor.d/usr.sbin.mysqld中，添加或者替换/var/lib/mysql字符串为mysql要迁移的目录
最后重建mysql库文件
mysql_install_db --basedir=/dir --datadir=/data/mysql --user=mysql
但是这样以后，账号密码之类的就被重设了，
后来看到使用 sudo /etc/init.d/apparmor reload 这条命令应该也可以，不需要重建mysql库，未测试。
009 2013-06-14 12:31
]]>
009 2013-05-03 10:17
]]>
这小子，始终菊花跟脸同时对着我，算你狠。。。
。。。
009 2013-04-07 17:19
]]>有消息称，虽然raspberry pi看起来非常的迷你——只有一张信用卡大小，但是它能够运行像《雷神之锤三：竞技场》这样的游戏和进行1080p视频的播放。但是以这次接tft屏试用结果看，我觉得至少spi是纯属扯j8蛋，可能hdmi速度快点，但是就以那编译内核的速度来看，并不乐观。
... ...
009 2012-12-18 15:21
]]>
。。。。。。
009 2012-11-26 17:54
]]>n900上有个tvb-gone的程序，但是程序的红外编码往往都是对应的国外的电视，好多国产电视都不支持，
有时候需要遥控空调或者投影之类的，只能自己录入了，大概看了一下，编码比较简单（比硬件那个简单多了，毕竟不需要考虑程序空间的问题）
（上次录过一次，这次又重搞一遍，还是记录一下，以备后用。）
。。。
009 2012-10-23 17:38
]]>
009 2012-08-10 16:21
]]>
009 2012-07-13 16:22
]]>