433M 遥控信号协议逆向：从示波器波形到 0x55AAFF 数据解析

433MHz遥控信号逆向工程实战：从示波器波形到数据帧解析

1. 认识433MHz无线通信系统

在智能家居和物联网设备中，433MHz频段因其穿透性强、传输距离远的特点成为遥控系统的首选。不同于2.4GHz频段的复杂协议栈，433MHz通信通常采用简单的ASK/OOK调制方式，通过高低电平的持续时间来编码数据。

典型的433MHz遥控系统由发射器和接收器组成：

• 发射端：按键输入 → 编码芯片(如EV1527) → 射频发射电路
• 接收端：射频接收模块 → 解码电路 → 执行机构

关键参数对比表：

2. 硬件准备与信号捕获

2.1 所需设备清单

• 数字示波器：带宽≥100MHz，采样率≥1GS/s（如Rigol DS1104Z）
• 逻辑分析仪：24MHz带宽足够（Saleae Logic Pro 8）
• 433MHz接收模块：超外差式（如XY-MK-5V）
• 待测遥控器：拆解后引出DATA测试点
• 衰减器/天线：防止信号过载

2.2 连接方案

遥控器DATA引脚 → 示波器CH1 接收模块OUT引脚 → 示波器CH2 逻辑分析仪通道0 → 同步触发信号

提示：确保所有设备共地，使用10:1探头防止电路负载效应

2.3 波形捕获技巧

1. 设置示波器触发模式为下降沿触发
2. 时间基准调整到1ms/div
3. 开启单次触发模式
4. 按下遥控器按键捕获完整信号帧

典型波形特征：

______|¯¯|____|¯¯¯|___|¯|____ (高低电平交替) SYNC BIT0 BIT1 ... BITN

3. 协议逆向分析方法论

3.1 同步头识别

通过测量首个低电平持续时间识别同步信号：

# 伪代码示例：同步头检测 def is_sync_pulse(width): return 9000 <= width <= 14000 # 单位微秒

常见同步模式：

• 长低电平（9-14ms）
• 脉冲串（如1ms高+4ms低）
• 曼彻斯特编码前导码

3.2 逻辑电平判定

建立时间阈值字典解析数据位：

// 时间阈值定义（单位us） #define THRESHOLD_0_MIN 750 #define THRESHOLD_0_MAX 1500 #define THRESHOLD_1_MIN 0 #define THRESHOLD_1_MAX 500

3.3 数据帧结构解析

典型帧结构示例：

[同步头][24位地址][4位按键数据][校验位]

位解析算法：

1. 测量每个低电平脉冲宽度
2. 根据阈值判断逻辑值
3. 按MSB或LSB顺序组合数据位

4. 实战：解码0x55AAFF信号

4.1 波形测量数据

4.2 数据重组过程

01010101 10101010 11111111 → 0x55 0xAA 0xFF

位时序分析表：

4.3 校验机制验证

常见校验方式：

• 奇偶校验：统计1的个数
• CRC8：多项式校验
• 反码校验：如0x55与0xAA互为反码

5. 单片机解码实现

5.1 STM32硬件配置

// GPIO初始化（接收模块连接PB8） GPIO_InitTypeDef GPIO_InitStruct = {0}; GPIO_InitStruct.Pin = GPIO_PIN_8; GPIO_InitStruct.Mode = GPIO_MODE_INPUT; GPIO_InitStruct.Pull = GPIO_PULLDOWN; HAL_GPIO_Init(GPIOB, &GPIO_InitStruct); // 定时器配置（1us分辨率） TIM_HandleTypeDef htim3; htim3.Instance = TIM3; htim3.Init.Prescaler = 72-1; // 72MHz/72 = 1MHz htim3.Init.CounterMode = TIM_COUNTERMODE_UP; htim3.Init.Period = 0xFFFF; HAL_TIM_Base_Start(&htim3);

5.2 中断服务程序

void HAL_GPIO_EXTI_Callback(uint16_t GPIO_Pin) { static uint32_t last_fall = 0; if(GPIO_Pin == GPIO_PIN_8) { if(HAL_GPIO_ReadPin(GPIOB, GPIO_PIN_8) == GPIO_PIN_RESET) { // 下降沿捕获 last_fall = TIM3->CNT; } else { // 上升沿计算脉宽 uint32_t width = TIM3->CNT - last_fall; decode_pulse(width); } } }

5.3 解码状态机

stateDiagram [*] --> IDLE IDLE --> SYNC_DETECT: 长低电平 SYNC_DETECT --> DATA_READ: 同步确认 DATA_READ --> DATA_READ: 接收数据位 DATA_READ --> FRAME_END: 收满24位 FRAME_END --> IDLE: 重置状态

6. 进阶技巧与异常处理

6.1 抗干扰措施

• 软件滤波：连续3次采样一致才确认
• 动态阈值：根据信号强度自动调整
• 白名单机制：只响应已知地址码

6.2 协议模拟发射

# 使用RPi.GPIO模拟发射（示例） import RPi.GPIO as GPIO import time TX_PIN = 17 def send_pulse(width_us, state): GPIO.output(TX_PIN, state) time.sleep(width_us / 1e6) def send_433(data): GPIO.setup(TX_PIN, GPIO.OUT) # 发送同步头 send_pulse(10000, GPIO.LOW) # 发送数据位 for bit in format(data, '024b'): if bit == '1': send_pulse(400, GPIO.LOW) else: send_pulse(1000, GPIO.LOW) send_pulse(500, GPIO.HIGH) # 高电平间隔

6.3 常见问题排查

• 无信号：检查电源电压、天线连接
• 解码错误：调整时间阈值、检查时钟精度
• 距离短：更换电池、优化PCB天线设计

7. 安全与合规要点

1. 频段合规：确保工作在433.92±0.2%MHz范围内
2. 发射限值：功率不超过10mW（中国标准）
3. 数据加密：建议增加滚动码等安全机制
4. 干扰避免：采用随机延时重传策略

在智能车库门改造项目中，通过这种逆向方法成功将旧遥控器协议移植到ESP32-C3，实现了手机APP控制。关键发现是原厂使用0x55AAFF作为固定地址码，存在安全隐患，改进后采用AES-128动态加密。