我要评论 by fanxiushu 2024-03-14 转载或引用请注明原作者
把windows电脑模拟成蓝牙鼠标和蓝牙键盘，简单的说，就是把笨重的pc电脑当成鼠标键盘来使用。
这应该是一个挺小众的应用，但有时感觉也应该算比较好玩吧，
毕竟实现一种一般人都感觉没戏的功能，
尤其是windows平台中，并不是简单实现蓝牙服务端，还得做一个小小的破解。
windows电脑当成蓝牙鼠标键盘，这个功能有什么用呢？
可以用来控制手机啊！我最初研究把windows当成蓝牙鼠标键盘，确实是出于这个目的。
我们先来看看手机系统，android和ios，
android不知道从哪个版本开始，已经可以提供用户层api，可以直接调用对应接口，
直接在程序中进行 touch，mouse，keyboard 等控制模拟。也就是说，android系统是可以通过编程实现被远程控制的。
但ios比较特殊，至今都没看到集成这样的用户层api来进行输入控制模拟。
因此ios是没法像目前的通用远程控制软件那样，直接远程控制ios系统。当然，只是投屏的话是没问题的。
以前开发ios系统下的xdisp_virt远程控制程序，苦于找不到对应的输入模拟接口，只能把xdisp_virt当成投屏来使用。
后来发现ios系统虽然不提供对应接口，但是却支持蓝牙鼠标键盘。
于是就打起了模拟蓝牙鼠标键盘的主意。
当然，蓝牙鼠标键盘模拟，不等同于普通意义上的远程控制，因为蓝牙传输距离有限 ，也就顶多几十米。
我们也可以使用一个笨办法：
使用linux系统电脑（因为linux下的蓝牙鼠标键盘更好模拟）模拟出蓝牙鼠标键盘，然后连上ios苹果手机。
然后linux系统模拟的蓝牙鼠标键盘程序再通过普通网络把控制事件传输出去，这样就能达到普通意义上的远程控制了。
就是麻烦了些。
回到正题，如何在windows平台实现蓝牙鼠标键盘呢？
一般桌面电脑模拟设备终端，都有天然的障碍，因为当初设计就不是为了实现设备功能的。
比如要把桌面电脑模拟成 usb 设备，需要底层硬件支持，需要有udc硬件控制器。
有了udc底层硬件还不够，还得系统提供对应接口，
好在linux内核很早前就提供了udc对应系统接口，windows10以上的系统也提供了udc接口。
值得庆幸的是蓝牙设计的时候，同时提供了服务端和客户端，也就是同时提供了两端。
这也挺好理解，蓝牙本质就是无线传输，如果蓝牙传输堆栈只提供客户端或者只提供服务端，就像缺胳膊少腿一样。
蓝牙鼠标和蓝牙键盘是作为蓝牙服务端对外提供服务的。而且是作为hid标准的输入设备。
因此本文也只阐述蓝牙服务端的实现过程，至于蓝牙客户端如何实现，可以去查阅wdk下的例子代码。
具体例子代码在bluetooth或者bth目录下的bthecho目录，它同时演示了服务端和客户端，以及如何安装。
例子代码是实现自己的上层传输（echo回显），但是作为蓝牙鼠标键盘，其上层传输协议是固定和公开的。
这也是与例子不同的地方，除此之外，流程什么的都是一样的。
开发windows蓝牙服务端，需要实现以下几个部分：
1，初始化驱动，获取 bth_profile_driver_interface，
bthddi_sdp_parse_interface，bthddi_sdp_node_interface
等三个接口，里边全是接口函数，用于后面处理，其中第一个接口主要是brb分配和释放，第二，三个用于生成sdp信息
2，注册psm，因为蓝牙鼠标键盘（就是统一的hid输入设备）的psm是固定的 0x11 和 0x13， 其中0x11用于传输控制信息，
0x13传输具体的鼠标键盘事件。
但是windows系统把0x11和0x13作为保留值，也就是说，我们在自己的蓝牙驱动中，是无法注册这两个值的。
这就是windows最大的坑，而且是一开始就让你觉得没戏的坑。
因为它无法通过修改某些配置信息改变，而是被硬编码到windows系统组件中。
3，注册 l2cap server, 并且设置接收回调函数，也就是说如果有蓝牙客户端连上来，这个回调函数就会被调用，
从而建立起连接，传输数据。
4，创建并且发布带有 hid 报告描述的 sdp 。
5，从第3步骤注册的l2cap server的回调函数中，接收到蓝牙客户端的连接请求，然后回复之后，连接就建立起来了。
客户端会发起 0x11 和 0x13 共两条连接，根据 4 步骤的hid sdp配置，会在0x11控制传输中收到某些控制命令，
响应这些命令，然后就可以通过 0x13这个连接，发送固定格式的鼠标键盘事件数据。
通过已上步骤，一个蓝牙鼠标键盘就模拟成功了。
通过以上我们也能发现，这个跟socket网络编程的服务端很像：
第1步骤就像是创建socket， 第2步骤是bind绑定socket，第3,4步骤在listen，
第5步骤就是 accept了。最后就是send和recv 了。
当然，为了更好的理解和开发蓝牙鼠标键盘驱动，我们还得去网上下载 蓝牙的 hid规范文档，
因为里边规定了蓝牙hid数据传输格式，sdp协议格式等。
同时也得准备windows的wdk开发包中 tools目录下的 bluetooth ，其中 sdpverify.exe 可以帮我们查看 sdp协议格式，
而蓝牙hid 格式内容较多，光看规范文档，是很头大的，所以还不如找个现成的蓝牙鼠标，然后用sdpverify程序查看sdp格式，
再然后仿照它建立自己的hid sdp 。
首先初始化蓝牙驱动，这就按照一般的 即插即用wdm驱动开发就可以了，
需要特别主意的是，它的安装方式比较特别，
我们需要使用 应用层win32api 函数 bluetoothsetlocalserviceinfo 创建一个底层设备，然后再把我们的驱动安装上去，
只有这样我们的驱动才是蓝牙驱动，才能获取到bth_profile_driver_interface等接口。
接着在驱动的adddevice初始化函数中，获取到bth_profile_driver_interface等接口。
如果你是使用kmdf框架的（微软例子里也是kmdf框架）可以直接使用 wdffdoqueryforinterface 函数获取。
而我的驱动是基于wdm的（以下阐述的都是基于wdm实现的蓝牙驱动）。所以得自己实现，其实也不难。如下：
ntstatus query_interface(pdevice_object device_object,
lpcguid interfacetype, pinterface interface,
ushort size, ushort version, pvoid interfacespecificdata)
{
ntstatus status = status_success;
kevent event;
pirp irp;
io_status_block iostatusblock;
pio_stack_location irpstack;
keinitializeevent(&event, notificationevent, false);
irp = iobuildsynchronousfsdrequest(irp_mj_pnp,
device_object,
null,
0,
null,
&event,
&iostatusblock);
if (irp == null) {
status = status_insufficient_resources;
return status;
}
irpstack = iogetnextirpstacklocation( irp );
irpstack->minorfunction = irp_mn_query_interface;
irpstack->parameters.queryinterface.interfacetype =
(lpguid)interfacetype;
irpstack->parameters.queryinterface.size = size;
irpstack->parameters.queryinterface.version = version;
irpstack->parameters.queryinterface.interface =
(pinterface)interface;
irpstack->parameters.queryinterface.interfacespecificdata = interfacespecificdata;
//
// initialize the status to error in case the bus driver does not
// set it correctly.
irp->iostatus.status = status_not_supported ;
status = iocalldriver( device_object, irp );
if (status == status_pending) {
status = kewaitforsingleobject( &event, executive, kernelmode, false, null);
status = iostatusblock.status;
}
return status;
}
然后如下调用
status = query_interface(fdo->lowerdeviceobject,
&guid_bthddi_sdp_parse_interface, (pinterface)&fdo->sdp_parse_interface,
sizeof(fdo->sdp_parse_interface), bthddi_sdp_parse_interface_version_for_qi, null);
就获取到了 bth_profile_driver_interface 接口，使用同样办法获取其他两个用于操作 sdp 的接口。
同usb驱动类似， 蓝牙驱动使用 brb 结构来传输数据，因此我们先实现一些通用函数，比如如下同步提交brb的函数：
///同步提交brb
ntstatus bth_sync_call_driver(pdevice_object device_object, pvoid brb )
{
ntstatus status = status_success;
kevent event;
io_status_block iostatus;
keinitializeevent(&event, notificationevent, false);
pirp irp = iobuilddeviceiocontrolrequest(ioctl_internal_bth_submit_brb,
device_object, null, 0, null,
0, true, &event, &iostatus);
///
if (!irp){
return status_insufficient_resources;
}
pio_stack_location nextstack = iogetnextirpstacklocation(irp);
nextstack->parameters.others.argument1 = brb;
status = iocalldriver(device_object, irp);
if (status == status_pending){
kewaitforsingleobject(&event, executive, kernelmode, false, null); /// wait for ever
status = iostatus.status;
}
return status;
}
然后还可以实现异步传输 ntstatus bth_async_call_driver(
pdevice_object device_object, pvoid brb,
void(*brb_complete)(brb_async_context* brb_ctx), pvoid ctx)
其中brb就是brb指针，brb_complete 是当完成这个brb请求时候的完成函数。brb_async_context是自己定义的结构体。
这里不再罗嗦列出代码了。
当初始化驱动完成，我们就需要开始注册 psm了。这些需要注册 0x11和0x13，两个都需要注册。
psm注册伪代码如下：
struct _brb_psm * brb;
brb = (struct _brb_psm*)brb_alloc(fdo, bregister ? brb_register_psm : brb_unregister_psm );
brb->psm = psm; // 这里应该是 0x11和0x13，两个都需要分别注册，
status = bth_sync_call_driver(fdo->lowerdeviceobject, brb);
brb_free(fdo, brb);
是的，注册psm就这么简单，上面代码把注册和注销放到一起了。
但是注册0x11和0x13，肯定不会成功，既然这个都不会成功，那么接下来注册l2cap等步骤也没有了意义。
这是因为在psm注册过程中，windows系统组件会对psm值做判断，如果是系统保留的，自然就会失败。
因此，为了保证注册成功，我们就得想办法让这个判断失效，
这等于是在做破解，不过破解的不是应用层的dll，
而是驱动sys文件，具体完成这个注册的系统组件是 bthport.sys ，bthport.sys如同应用层的dll一样，
是个扩展库，主要是帮忙实现蓝牙驱动的核心功能，比如注册，传输等各类都是在bthport.sys中完成。
所以可以对bthport.sys做逆向，比如使用 ida工具软件进行分析，然后就会发现 里边有个未公开的函数
bthissystempsm ，就是判断是否是系统保留的psm,我们只要让这个函数失效，自然就能成功注册0x11和0x13了。
下面的连接（就有阐述如何破解bthissystempsm函数）
windows kernel | nadav's blog
至于关于这方面的更多的内容，以后的章节会详细阐述。
接着，我们需要注册l2cap server，注册这个不会有什么系统保留限制，只要不出其他问题，都会成功
如下伪代码，注册l2cap server:
struct _brb_l2ca_register_server *brb;
brb = (struct _brb_l2ca_register_server*)brb_alloc(fdo, brb_l2ca_register_server);
brb->btaddress = bth_addr_null;
brb->psm = 0; //we have already registered the psm
brb->indicationcallback = &srvindicationcallback;
brb->indicationcallbackcontext = userctx;
brb->indicationflags = 0;
brb->referenceobject = fdo->deviceobject;
status = bth_sync_call_driver(fdo->lowerdeviceobject, brb ); //调用同步提交brb函数，
fdo->l2capserverhandle = brb->serverhandle; /// save ptr，保持此句柄，再注销的时候会使用到
brb_free(fdo, brb);
static void srvindicationcallback(
__in pvoid context,
__in indication_code indication,
__in pindication_parameters parameters
{
bth_hid_user_t* user = (bth_hid_user_t*)context;
switch (indication)
{
case indicationremoteconnect: 有客户端连接上来，
{
dpt("@@@@@@ ctrl connect --- psm=0x%x; addr=%p\n",
parameters->parameters.connect.request.psm,
parameters->btaddress );
bth_connect_remote(user, parameters); 调用我们的函数，初始化有新客户端连上的各种结构，并且回复客户端
break;
}
}
}
以上就是注册l2cap server的过程，接下来就是如何创建 hid sdp 和发布sdp了。
hid sdp 的内容有点多，创建起来有点麻烦，以下是我的hid sdp内容：
包括的内容基本如上图所描述的那样，其中红色框中的 hid descriptor list 包含的就是hid report desc
这个就是 hid report desc 则是标准的hid报告描述符，关于这个细节可以去查阅hid的规范文档。
至于如何生成 sdp报告， 则是全程使用 bthddi_sdp_node_interface 来构建各种node，
最终合并到 psdp_tree_root_node 根 root tree 中，代码调用细节可以去查阅 微软的bthecho例子代码。
然后调用 bthddi_sdp_parse_interface 接口中的 sdpconverttreetostream 函数把root tree序列化为 stream，
假设序列化为stream， 大小为streamsize，再通过 ioctl_bth_sdp_submit_record 把这个sdp publish出去，
让蓝牙客户端能够看到我们的蓝牙hid设备，伪代码如下：
kevent event;
io_status_block iostatus;
keinitializeevent(&event, notificationevent, false);
handle_sdp handle = handle_sdp_null;
pirp irp = iobuilddeviceiocontrolrequest(ioctl_bth_sdp_submit_record, / 发布sdp的 ioctl
fdo->lowerdeviceobject, stream, streamsize, &handle,
sizeof(handle_sdp), false, &event, &iostatus);
status = iocalldriver(fdo->lowerdeviceobject, irp);
if (status == status_pending) {
kewaitforsingleobject(&event, executive, kernelmode, false, null); /// wait for ever
status = iostatus.status;
}
至此之后，我们就可以安心等待蓝牙客户端连上来。
当有蓝牙客户端连上来之后，上面注册l2cap server时候设置的srvindicationcallback回调函数就会被调用。
我们响应 indicationremoteconnect 请求，在这个请求中，我们需要构建 _brb_l2ca_open_channel 的 brb，
然后回答给客户端，只有这样才能真正建立起一条新的连接。
大致伪代码如下：
ntstatus bth_connect_remote(bth_hid_user_t* user, pindication_parameters parameters)
{
。。其他初始化代码
_brb_l2ca_open_channel* brb
brb = (_brb_l2ca_open_channel*)brb_alloc(user->fdo, brb_l2ca_open_channel_response);
///init brb
brb->hdr.clientcontext[0] = client; /client是我们新建的结构体，代表一个蓝牙连接
brb->btaddress = parameters->btaddress;
brb->psm = parameters->parameters.connect.request.psm;
brb->channelhandle = parameters->connectionhandle;
brb->response = connect_rsp_result_success;
brb->channelflags = cf_role_either;
brb->configout.flags = 0;
brb->configin.flags = 0;
brb->configout.flags |= cfg_mtu;
brb->configout.mtu.max = l2cap_default_mtu;
brb->configout.mtu.min = l2cap_min_mtu;
brb->configout.mtu.preferred = l2cap_default_mtu;
brb->configin.flags = cfg_mtu;
brb->configin.mtu.max = brb->configout.mtu.max;
brb->configin.mtu.min = brb->configout.mtu.min;
brb->configin.mtu.preferred = brb->configout.mtu.max;
//
// get notifications about disconnect
//设置对方断开连接的时候的回调函数
brb->callbackflags = callback_disconnect;
brb->callback = &bthsvrconnectionindicationcallback;
brb->callbackcontext = client;
brb->referenceobject = user->fdo->deviceobject;
/// 采用异步方式调用brb，以免阻塞系统的回调函数，
status = bth_async_call_driver(user->fdo->lowerdeviceobject, brb, open_channel_response_complete, client);
。。。。
}
static void
bthsvrconnectionindicationcallback(
__in pvoid context,
__in indication_code indication,
__in pindication_parameters parameters
)
{
。。。。
switch(indication)
{
case indicationremotedisconnect: / 客户端已经关闭了此连接，我们也需要关闭以及释放相关结构
。。。。
break;
}
}
static void open_channel_response_complete( brb_async_context* brbctx)
{
ntstatus status = brbctx->irp->iostatus.status;
。。。。 回答客户端已经完成，通过判断 status 来确定是否已经成功建立了连接。
if (nt_success(status)) { /// response success..
client->handle = brb->channelhandle; 需要使用此handle 来接收和发送蓝牙数据包
client->address = brb->btaddress; 远端蓝牙地址
client->outmtu = brb->outresults.params.mtu;
client->inmtu = brb->inresults.params.mtu;
。。。。其他处理。。。。
}
}
至此，客户端发起的一个连接就建立了起来，我们可以通过这个连接收和发送蓝牙数据。‘
未完待续，
下一章会接着阐述接收和发送部分，以及如何patch 系统组件 bthport.sys ，
从而顺利注册 0x11和0x13 这两个psm值 。。
以下视频演示的windows模拟鼠标键盘的蓝牙驱动，成功把windows电脑模拟成蓝牙鼠标和蓝牙键盘。
电脑通过蓝牙驱动同时控制了两个远端设备，一个是iphone手机，一个是win11电脑系统。
当然因为录制的视频是在同一台电脑屏幕同时显示另外两个远端设备屏幕，所以看起来比较热闹，
不过认真点看，还是能看得明白的
蓝牙模拟hid设备（windows蓝牙模拟鼠标键盘）
发表评论