1、BLE抓包概述：什么是BLE抓包、抓包的应用场景、常见的抓包工具介绍

1.1 什么是BLE抓包

BLE抓包，说白了就是把蓝牙设备之间传输的无线信号给“截获”下来，然后解析成我们能看懂的数据包。

我经常跟团队里的新人说：抓包就是蓝牙开发者的“听诊器”。你想想看，两个设备在通信，你看不见摸不着，出了问题怎么办？抓包能让你“看到”空中的每一帧数据。

BLE的通信过程，本质上是一系列数据包的交换。从广播包到连接请求，从数据通道的LL层PDU到上层的ATT协议，每一层都有特定的格式。抓包工具做的就是：

• 监听指定频道的无线信号
• 捕获符合BLE规范的包
• 按协议栈层次解析并展示

嗯，这里要注意一点：抓包不是“破解”或“入侵”。它只是被动监听，不会主动干扰通信。当然，有些高级工具可以注入数据包，但那属于另一回事了。

1.2 抓包的应用场景

我做了这么多年蓝牙开发，可以说抓包是排查问题的第一利器。具体来说，有这几个典型场景：

1.2.1 协议栈开发与调试

如果你在写BLE协议栈，或者移植某个开源栈，抓包是必须的。我记得有一次调试一个连接参数更新失败的问题，代码看了三遍没找到原因，一抓包就发现是Host层发的参数范围超出了Controller的能力——这种问题不看空中的包根本想不到。

1.2.2 连接失败与断连问题排查

设备连不上、连上就断、断连原因不明……这些是日常开发中最头疼的。抓包能告诉你：

• 广播包有没有发出来？
• 扫描请求有没有被响应？
• 连接请求的参数是否合理？
• 断连的HCI事件是什么原因码？

1.2.3 功耗分析与优化

BLE的优势是低功耗，但低功耗的前提是“该睡的时候要睡”。抓包可以帮你确认：

• 连接间隔是否合理？
• 设备有没有在空口发送不必要的包？
• 从设备的延迟参数是否被正确使用？

1.2.4 互操作性测试

你的设备跟不同品牌的手机、不同版本的芯片能不能正常通信？抓包是验证互操作性的标准手段。我习惯在每次发布新固件前，至少用3种不同平台的手机做抓包验证。

1.2.5 安全审计

检查配对过程是否安全、密钥分发是否正确、加密是否生效。这些靠看代码不一定靠谱，抓包一看便知。

应用场景	典型问题	抓包能发现什么
协议栈开发	LL层状态机异常	非法PDU、时序错乱
连接失败	设备无法配对	广播/扫描参数不匹配
功耗优化	电池续航短	空口发包频率过高
互操作性	特定手机连不上	Host层特性协商失败
安全审计	配对过程异常	密钥交换是否加密

1.3 常见的抓包工具介绍

市面上的抓包工具不少，我按自己的使用经验给大家梳理一下。

1.3.1 硬件抓包器

这类工具自带蓝牙射频前端，能直接监听空中的信号，精度高、可靠性好。

• Ellisys BLE Explorer：专业级工具，支持同时捕获多个频道，解析能力极强。我当年在芯片公司时，协议栈团队人手一个。价格嘛……确实不便宜。
• Teledyne LeCroy Frontline：另一个工业级选择，支持BLE和经典蓝牙同时抓。适合做双模设备的调试。
• nRF52840 DK + Wireshark：性价比之选。用Nordic的开发板刷上抓包固件，就能当抓包器用。我个人最推荐这个组合，几百块钱搞定。

1.3.2 软件抓包方案

不需要额外硬件，但需要目标设备支持HCI日志输出。

• Android HCI Snoop Log：Android开发者选项里有个“启用蓝牙HCI信息收集日志”，打开后能抓取手机内部蓝牙协议栈的HCI包。适合调试手机端应用。
• iOS PacketLogger：苹果Xcode自带的工具，能捕获iOS设备的蓝牙日志。不过需要Mac和开发者账号。
• Wireshark：开源神器。配合硬件抓包器或HCI日志文件，能解析几乎所有BLE协议层。

1.3.3 工具对比

工具	类型	价格	适用场景	我的评价
Ellisys BLE Explorer	硬件	高	专业开发、协议栈调试	功能最强，但贵
nRF52840 DK + Wireshark	硬件+软件	低	日常开发、学习	性价比之王
Android HCI Snoop	软件	免费	Android端调试	方便，但只能看Host层
iOS PacketLogger	软件	免费	iOS端调试	需要Mac环境
Wireshark	软件	免费	数据分析、协议学习	解析能力强，学习曲线陡

1.4 BLE抓包的核心流程

不管用什么工具，抓包的流程都差不多。我画了一张图，帮你快速理解：

这个流程看起来简单，但实际做起来有不少坑。比如频道选择——BLE有40个频道，抓包器需要跟着跳频序列走，否则会丢包。我刚开始学抓包时，就犯过“只监听一个频道”的错误，结果只能看到广播包，连接后的数据包全丢了。

1.5 我的建议

如果你是刚接触BLE抓包，我建议从nRF52840 DK + Wireshark这个组合入手。原因很简单：

• 成本低，几百块就能搞定
• 社区活跃，遇到问题容易找到答案
• Wireshark的解析能力足够覆盖大部分场景

等你把基础抓包玩熟了，再考虑升级到Ellisys这类专业工具。说实话，我到现在日常调试还是用nRF DK居多，只有遇到特别棘手的时序问题才上Ellisys。