中华锁艺人

标题: NFC模拟加密卡 [打印本页]

作者: 天际线0907    时间: 2021-1-18 00:52
标题: NFC模拟加密卡
记录小米手机NFC模拟加密门禁卡,以及Proxmark3的使用。/ A( O1 ~+ ]' W) w( v$ T. B

& ?" p$ `: j- g" X% n, z7 ?( L) x0. 缘起
. N3 N) e  O: I2 e6 R- e
9 T2 J% A1 O5 }9 @4 K* I5 N之前,小区用的门禁卡为非加密的门禁卡,使用小米手机系统自带的门卡模拟功能复制即可。, h* F- ?" v# D% }# o$ I
后来,小区门禁系统换了一家供应商,再使用之前的方法复制门禁卡,手机提示为加密卡,无法复制。' Z& @4 R3 u, p& t, k; ]5 [( y
( U+ s& M9 ?! f. F4 r% K
新的门禁系统,更安全了,也支持APP远程控制开门了,直到有一天门禁卡丢了,开始使用APP开门,发现这APP写得烂透了,十次有五次点击开门按钮无反应,需要反复退出、打开APP多次才能点击开门按钮成功,还有两次直接没了开门按钮,提示到物业管理处处理……
. A2 C+ a6 L/ k那个时候,我又开始怀念用手机刷门禁的快感了。。
- k& e; X; t& w
/ y3 @. d2 X0 L  X) h0 f# G1. 基础知识; v! n9 A" Y5 i2 ~
' J! Q' S, V1 Q& d% @3 _/ U
于是,我开始查阅资料,基本确定了小米手机是还是可以通过其它方式模拟加密门禁卡的。
8 G2 t# c/ Q" a) P8 i然后,资料查多了,记不到,又怕以后用到需要重新找,干脆水一篇博客记录下来。# Z, W1 d- V5 X+ u- y% B
如果熟悉NFC和IC卡,或者只想模拟加密门禁卡,并不关心原理,这章可以跳过,直接看下一章。; ]* S  Q  k( }+ S3 W' J, A% {
8 A! a; q' X. x9 `
1.1 ID卡和IC卡
2 F' H. V' L( u/ V; e9 N* e: d$ ~* f6 N$ e2 I* n# ?& F
ID卡:全称身份识别卡(Identification Card),多为低频(125Khz),是一种不可写入的感应卡,含固定的编号,主要有台湾SYRIS的EM格式,美国HID、TI、MOTOROLA等各类ID卡。
( k( f$ s  `+ A+ N6 P$ ~& V# r; k
! `- U: [6 |5 {5 @4 UIC卡:全称集成电路卡(Integrated Circuit Card),又称智能卡(Smart Card)。多为高频(13.56Mhz),可读写数据、容量大、有加密功能、数据记录可靠、使用更方便,如一卡通系统、消费系统等,目前主要有PHILIPS的Mifare系列卡。) P, r) a% a  E5 O" {6 l9 x: {- F/ ^
  V2 I' Q* ~& ~  w& f+ M
主要区别:
" C1 Z: S) p) v1 ]* v+ v" HID卡,低频,不可写入数据,其记录内容(卡号)只可由芯片生产厂一次性写入,开发商只可读出卡号加以利用,无法根据系统的实际需要制订新的号码管理制度;
' j, q+ m: ]; [4 t$ SIC卡,高频,不仅可由授权用户读出大量数据,而且亦可由授权用户写入大量数据(如新的卡用户的权限、用户资料等),IC卡所记录内容可反复擦写;
# o. s/ L! O7 J6 b2 C0 t* s$ `& p7 c
; X- l9 a7 l2 m. m1 Y& fIC卡由于其固有的信息安全、便于携带、比较完善的标准化等优点,在身份认证、银行、电信、公共交通、车场管理等领域正得到越来越多的应用,例如二代身份证、银行的电子钱包,电信的手机SIM卡、公共交通的公交卡、地铁卡、用于收取停车费的停车卡、小区门禁卡等;
6 m; N6 l; T4 K& P, C9 ~
4 {" s: s5 ]) g
+ g- D* F6 e/ E5 Y- A5 Q5 \1 {- R4 g) Q. r8 G7 @) ~+ T  W
& _% J8 w$ Z* [- b) U/ n
3 ?5 Z& H! W1 @/ B
以上图片来自淘宝商家,网上找了半天相关资料,发现淘宝商家解释得最清楚。
9 n9 X* W/ ^5 Y% P7 J
4 Z8 A8 q; }& C' U& L( c) m2 Y总结:% E0 C( H5 m* l6 M. b
1.ID卡多为低频,IC多为高频;
, w2 ^+ U1 o( S1 R2 s2.IC卡整体上看比ID卡更有优势,市面上使用的大多数也是IC卡;
# E; P+ c3 u/ E: M9 }+ Q9 M3.对于矩形白卡,里面为矩形线圈、表面没有编号的多为IC卡,里面为圆形线圈、表面有编号的多为ID卡;/ h7 m$ r4 u& `- x0 x) J
4.对于异形卡,有编号的多为ID卡,最好使用带NFC的手机进行测试(目前手机NFC只能读高频13.56Mhz),IC卡会有反应;7 X  L5 }+ u. E+ c% R0 \9 |# m7 B
4 ~1 d9 G! x, s0 F' V3 J/ t6 \: Y
1.2 接触式和非接触式IC卡1 M9 J1 V$ r- C" o2 E
$ n: `& f3 `' Y1 O  k
IC卡又可以分为接触式IC卡和非接触式IC卡。
0 W! ]% W9 L7 R
$ ^* l/ G5 |7 h7 ~; w0 c, e' p4 m9 K8 a接触式IC卡:该类卡是通过IC卡读写设备的触点与IC卡的触点接触后进行数据的读写;" D7 h/ e" v0 E5 B4 K" y* F8 }2 J

$ x) A$ \+ o0 h% r3 v非接触式IC卡:又称射频卡、感应式IC卡,该类卡与卡设备无电路接触,而是通过非接触式的读写技术进行读写(例如RFID、NFC),其内嵌芯片除了CPU、逻辑单元、存储单元外,增加了射频收发电路。该类卡一般用在使用频繁、信息量相对较少、可靠性要求较高的场合。
& u" k# s$ c! w( g/ D! Z# s
9 T% S- {+ S2 E/ ~4 L3 J/ ^两者比较好区分,直接看卡上有无金属触点即可。
; C! b& l. y/ k3 E3 }
- f  M9 i: ~9 _4 w% _1 u
+ L/ v' |# O7 {* x1 i% \5 ?7 X1 i7 e2 `. B  H1 p- J1 }
1.3 RFID和NFC
9 s5 T7 @/ v0 Q  X" p
  ~6 |: w& c  e0 T6 n" R  F) h5 p非接触式的读写技术常见的有两种:RFID技术和NFC技术。# a: p1 T* l* r' M; h  m7 L* I
5 l, c$ V2 U4 ~1 B+ k" f& W
RFID技术:, C1 I. c4 S$ }' N
1.通常应用在生产,物流,跟踪和资产管理上;% E9 d9 i3 o+ d6 U9 q
2.根据频率划分包含低频、高频(13.56MHz)、超高频、微波等;8 z* {& T8 M3 W( q' e
3.作用距离取决于频率、读写器功率、读写器天线增益值、标签天线尺寸等,工作距离在几厘米到几十米不等;
& k% s8 _* x- u7 ]( o  }8 V4.读写器和非接触卡可以是一对多关系,也可以说一对一关系;且读写器和非接触卡是两个实体,不能切换;
! [7 l! X8 L* G4 R
2 u! K: ?, [- e- YNFC技术:
' Y( e8 j( W+ ?: L1 ^; R& t1.通常应用在门禁,公交卡,手机支付等领域;
& R; i: s# u, n+ u2.频率也是13.56MHz,且兼容大部分RFID高频相关标准(有些是不兼容);
; R2 O5 f! w! k' Z( Q1 [0 P; t/ a1 p3.NFC作用距离较短,一般都是0~10厘米;) r. B: a1 o+ d# B' d
4.读写器和标签几乎都是一对一关系;且支持读写模式和卡模式,可以作为读写器也可变为非接触卡;
% l) u5 k9 o: j; j& E
. O9 u, x6 P7 t% b& v总体来说,NFC是RFID的子集,但NFC有些新特性又是RFID所不具备的。
5 w' M0 I% u; V# n; u8 E0 `; m. ]% g. Z$ d) K8 B
1.4 ID卡类型9 T/ E$ s/ d2 I- r0 e9 }* O

  W$ U& `3 j" y% U0 z6 HID卡,工作在低频(125Khz),根据卡内使用芯片的不同,有如下分类:
' l" K; J7 c# B* I+ m8 ]! z( b1 y- n0 p# a, N4 B
ID卡0 R& ~2 U( \/ x, {& w! L! C4 f9 b0 I
EM4XX系列,多为EM4100/EM4102卡,常用的固化ID卡,出厂固化ID,只能读不能写;常用于低成本门禁卡,小区门禁卡,停车场门禁卡;+ ?5 Y) |2 i( l' E2 S1 i

# L: \2 m+ _0 Z  {; k; ^# w& o$ KID白卡
& s, m8 H! ^9 oEM4305或T5577,可用来克隆ID卡,出厂为白卡,内部EEPROM可读可写,修改卡内EEPROM的内容即可修改卡片对外的ID号,达到复制普通ID卡的目的;
: `: J3 |1 u- q) f$ AT5577写入ID号可以变身成为ID卡,写入HID号可以变身HID卡,写入Indala卡号,可以变身Indala卡. X6 I: V8 C; I% \' Q

% ~, e/ W' c4 [& Z8 T8 H: p$ }HID卡
0 o4 d8 y: t/ M6 W& H全称HID ProxⅡ,美国常用的低频卡,可擦写,不与其他卡通用;" ~" ~! _; Y! n  Z

# ^1 m; _" A- r7 g* q' }1.5 IC卡类型# h) |1 H* w+ h) R5 E! {

1 ~8 _" e0 ?, L+ EIC卡中最常见的是NXP Mifare系列卡,工作在高频(13.56Mhz),根据卡内使用芯片的不同,有如下分类:
1 n1 @3 J& ^4 \$ m, ?
- S) l* H5 @9 eM1卡
# f; {* ~, n8 x) ~- J全称Mifare S50,是最常见的卡,出厂固化UID(UID即指卡号,全球唯一),可存储修改数据;常用于学生卡,饭卡,公交卡,门禁卡;
( C; t: a3 J8 M8 Q6 h: ^8 B0 J0 n$ X" p0 U
M0卡
3 M* j) P) u1 h- q; h: y全称Mifare UltraLight,相当于M1卡的精简版,容量更小、功能更少,但价格更低,出厂固化UID,可存储修改数据;常用于地铁卡,公交卡;3 G* y- \" B. D9 r

5 Z6 o3 x5 e! N% X+ w以上两种固化了UID,为正规卡,接下来就是一些没有固化UID,即不正规的卡:
; l5 w4 \7 z* y2 t& A1 K0 O
, d" F& c8 R  C' p4 Z& X. L! S, _  m3 AUID卡
8 E; r( b# u+ j& y  V全称Mifare UID Chinese magic card,国外叫做中国魔术卡,M1卡的变异版本,使用后门指令(magic指令),可修改UID(UID在block0分区),可以用来完整克隆M1卡的数据;2 }  I5 l" j* D' c4 ]3 C; F
但是现在新的读卡系统通过检测卡片对后门指令的回应,可以检测出UID卡,因此可以来拒绝UID卡的访问,来达到屏蔽复制卡的功能(即UID防火墙系统);
0 }; k5 w* X/ j6 [3 g
) J+ i1 r) s2 n; K- B2 y9 H: v  mCUID卡
; {9 X9 K2 r7 X" L  M为了避开UID防火墙系统,CUID卡应运而生,取消响应后门指令(magic指令),可修改UID,是目前市场上最常用的复制卡;8 H  |& U* [/ C/ b
近两年,智能卡系统制造公司,根据CUID卡的特性研发出CUID卡防火墙,虽然现在(2019年)还不是很普及,但是总有一天CUID卡会和UID卡一样面临着淘汰;
3 D2 P4 I, p7 s- `8 E
9 H) c) q3 i/ w. sFUID卡
4 s4 z: Q& u- H2 @) uFUID卡只能写一次UID,写完之后自动固化UID所在分区,就等同M1卡,目前任何防火墙系统都无法屏蔽,复制的卡几乎和原卡一模一样;0 c- c: a3 g: w8 X! X; Z0 S
但缺点也相对明显,价格高、写坏卡率高,写错就废卡。
+ Q' I* g& M( Y: \: W, k4 Z9 {7 O8 }/ P5 x8 U( J  ~
UFUID卡
. H' N& O: Z) k; Z- Y集UID卡和FUID卡的优点于一身,使用后门指令,可修改UID,再手动锁卡,变成M1卡。
# Y9 d' R) T4 }  u" y可先反复读写UID,确认数据无误,手动锁卡变成M1,解决了UID卡的UID防火墙屏蔽,也解决FUID的一次性写入容易写错的问题,且价格比FUID卡还便宜;
( r' w- D) `  Y9 i
. }1 V3 h6 t; U* i1 U. e1 I判断是M0卡(Mifare UltraLight),还是M1卡(Mifare Classic 1k),可以通过SAK值判断。
, I' D/ j" Y# O& y; L. m3 D5 t& Q+ D6 L1 U
产品ATQASAKUID长度Mifare Mini00 04094 bytesMifare Classic 1k00 04084 bytesMifare Classic 4k00 02184 bytesMifare Ultraligh00 44007 bytesMifare Plus00 44207 bytes
5 |5 i; H  B% o5 V
! b1 E& o" @+ w4 g# L1.6 IC卡详细分析
1 o" D  I$ O! o
! H$ c# g0 b% h' n1.6.1 IC卡存储器结构  Z. W$ k% |+ {$ ]3 p. v
% ?/ P# U9 Z/ y, R, W" z
以M1卡为例,介绍IC卡数据结构。6 }, N8 u2 n- H
M1卡有从0到15共16个扇区,每个扇区配备了从0到3共4个数据段,每个数据段可以保存16字节的内容;
1 p6 b9 ?- V- n每个扇区中的段按照0~3编号,第4个段中包含KEYA(密钥A 6字节)、控制位(4字节)、KEYB(密钥B 6字节),每个扇区可以通过它包含的密钥A或者密钥B单独加密;/ V6 I/ @* A* @+ u
( j, Y% _3 e' u  a) k

& l( b1 R% Z- [/ P
0 k1 E5 K- ^' L  k* w厂商段
" d, s9 U) |3 a" P  [2 x+ y每张M1卡都有一个全球唯一的UID号,这个UID号保存在卡的第一个扇区(0 扇区)的第一段(0 编号数据段),也称为厂商段。
  X7 R$ o% j! [: C0 G& F* M其中前4个字节是卡的UID,第5个字节是卡 UID 的校验位,剩下的是厂商数据。
5 w& W( y. K. ^- @并且这个段在出厂之前就会被设置了写入保护,只能读取不能修改,前面各种能修改UID的卡,UID是没有设置保护的,也就是厂家不按规范生产的卡。
6 S  O$ J, [1 e: q) g. J7 \# x' K9 r5 ^
! C/ h3 z1 }- b8 h
) F# D* d1 J. I+ t; j& L: `5 n8 I
数据段6 A1 ?) S. F5 O4 `# |
除了第0扇区外,其它每个扇区都把段0、段1、段2作为了数据段,用于保存数据。
- W% i: _7 y$ D/ X& e  \% F数据段的数据类型可以被区尾的控制位(Access Bits)配置为读/写段(用于譬如无线访问控制)或者值段(用于譬如电子钱包)。
% e6 h* C( x$ M: P) n" c5 e6 z. @值段有固定的存储格式,只能在值段格式的写操作时产生,值段可以进行错误检测和纠正并备份管理,其有效命令包括读、写、加、减、传送、恢复,值段格式如下:
5 p7 S0 S3 e; p  U* B3 Q0 e- u" a- ^9 b/ {  S. q# z$ S& Q

: Y* n* I9 Z$ m( E8 {; ~, Y
# E5 T7 N6 o' x( K3 x2 X) f% {. Z& mValue表示一个带符号4字节值,为了保证数据的正确性和保密性,值被保存了3次,两次直接保存,一次取反保存。该值先保存在0字节-3字节中,然后将取反的字节保存在4字节-7字节中,还保存了一次在8字节-11字节中。  Y: q# R) V* j
Adr表示一个字节的地址,当执行备份管理时用于保存存储段的地址。地址字节保存了4次,取反和不取反各保存了2次。在执行加值、减值、恢复和传送等操作时,地址保持不变,它只能通过写命令改变。
' O% t1 W' |9 J8 }4 [" r: k; n  T: m- C7 c; \8 h2 F
控制段3 t; J  B2 N7 w6 {+ |
每个扇区都有一个区尾控制段,它包括密钥A和密钥B(可选),以及本扇区四个段的访问控制位 (Access bits);访问控制位也可用于指出数据段的类型(为读/写段还是值段);控制段的存储格式如下:. V+ Y7 U) ?  w
, V  J5 v3 i( z1 @2 W9 @* \

8 R3 a' b+ Z; N$ h1 W" h7 l% z3 J- F. [) }8 r3 G
如果不需要密钥B,那么区尾的最后6个字节可以作为数据字节,用户数据可以存储在区尾的第9个字节,这个字节具有和字节6、7、8一样的访问权限。
% ?# o9 X3 {9 t! d/ ^. s1 t+ T
. r2 Q" ~  W% v4 F: `- D1.6.2 IC卡访问存储器% T4 \1 P7 C- {+ w: L5 x

- h4 Q: j  S5 d2 n) F: S# U7 Q8 y数据段支持的操作+ V3 a( n: E  ?* Y) R0 @( f# x
根据使用的密钥和相应区尾访问条件的不同,数据段所支持的存储器操作也不同,存储器的操作类型如下:$ N4 q  u6 t9 j8 P: n

/ ^; m3 ^" K  a6 P2 R" ]. r3 Q0 |  y( O% d( e
$ F0 `# }- ]5 C
可以看到只有作为值段时,才能加、减、传送、恢复。
/ J. T8 l- f3 ^. h3 w- Q2 W* |2 C! }9 D9 H4 j' m
各区的访问位定义
) e2 U6 G0 ~, E, b0 @每个数据段和区尾的访问条件由3个位来定义,它们以取反和不取反的形式保存在区尾指定字节中。
- J3 w6 t  C6 v$ u/ u* g0 N访问位控制了使用密钥A和B操作存储器的权限,当知道相关的密钥和当前的访问控制条件时,可以修改访问条件,各区的访问位定义如下:
- e- p6 ?. R" S! P8 X$ P4 K$ U' S. `3 c5 b& R) `& i) U8 t
  \2 K1 r9 K5 |6 G5 I8 D
) A/ R3 s7 S) M" {, f2 r- m: l
访问位在区尾的存储形式6 p% D0 j! H( c2 F7 @; ^2 v
' i: u+ }( h, J, |
  D; k1 T" J" R" f7 ]  x" z5 U
- A/ a6 F! b2 N8 G2 [; ^
区尾的访问条件
7 S1 A0 N' f% U- j根据区尾(段 3)访问位的不同,访问条件可分为 “从不”、“密钥A”、“密钥B” 或“密钥A|B”(密钥A或密钥B),区尾的访问条件如下:
7 i" V5 `2 A9 _
! B; w- T: _0 h" u- R/ W* r" S( U7 I+ c, J

  I( V- ~) |1 ~; L8 H; ~用灰色标明的行是密钥B可被读的访问条件,此时密钥B可以存放数据。# S1 _; Q( U! }+ j$ u$ ^3 ^
例如:当段3的访问条件C13C23C33=100时,表示:密钥 不可读(隐藏),验证密钥B正确后,可写(或更改);访问控制位在验证密钥A或密钥B正确后,可读不可写(写保护);密钥B不可读,在验证密钥 B 正确后可写;2 M  W( q$ q6 Q6 I
又如:当段3的访问条件C13C23C33=110或者111时,除访问控制位需要在验证密钥A或密钥B正确后可读外,其他如访问控制位的改写,密钥 A,密钥 B 的读写权限均被锁死而无法访问;
/ W# @8 `: e# m7 R
$ ]4 S7 L% g, Z5 J; l1 m数据段的访问条件
- |& r, A$ p: {$ f) s& ~) U根据数据段(段 0-2 访问位的不同,访问条件可分为 “从不”、“密钥A ”、“密钥B ” 或“密钥A|B”(密钥A或密钥B)。
/ n9 [5 I$ I) J! a* F; H+ c相关访问位的设置定义了该段的应用(或者说数据段类型)以及所支持的应用命令,不同的数据段类型可以进行不同的访问操作。 读/写段可以进行读操作和写操作。值段可以进行加、减、传送和恢复的值操作。
& w& s4 v9 m0 F/ j' o其中一种情况中(001)只能对不可再充电的卡进行读操作和减操作,另一种情况中(110)使用密钥B可以再充电。 厂商段无论设置任何的访问位都只是只读的, 数据段的访问条件如下:* P, ^9 X4 _) r5 d' }1 ?" g, v! K* w

+ _% G2 W" k) C
) X8 O) K6 S  H7 P& O
5 j1 F* ]0 X6 i* m如果密钥B可以在相应的区尾被读出,它就不能用于确认(在前面所有表中的灰色行)。如果读卡器要用这些(带灰色标记的)访问条件的密钥B确认任何段,卡会在确认后拒绝任何存储器访问操作。0 Y7 t2 ?6 J# L
# J% U, s7 L& q
1.6.3 举例说明  C. X  U# r& [  a1 I

1 m  t2 ]. P2 L5 q& |9 eMifare S50出厂时,访问控制字节(字节6-字节9)被初始化为“FF 07 80 69”,KEY A和KEY B的默认值为“FF FF FF FF FF FF” ;, f; S9 Q3 l/ p( f. O- n4 z
字节6为FF,二进制为1111111;字节7为07,二进制为00000111;字节8为80,二进制为10000000,如下:* s: c/ l5 {) N0 Y6 J

2 u9 K6 Y6 a; `( J+ k" a
. m- J8 r) }7 R4 L# I: }* W: U% b! y) a1 k. ]- Q* v. F. s" z
对照前面的访问位在区尾的存储形式图,可得知访问控制位为:
7 D/ u; K; y0 L' A9 {. rC10C20C30=000;C11C21C31=000;C12C22C32=000;C13C23C33=001。5 v4 X3 |2 R$ ?$ X5 Q% ]) B

4 L5 _/ I( |) QC10C20C30、C11C21C31、C12C22C32对应数据段0、1、2,参考数据段的访问条件图即可得知该段三个数据区的访问权限;/ G, l2 s. R7 B3 x: w+ R" Y) b
C13C23C33对应区尾(段 3),参考区尾的访问条件图即可得知该段的访问权限;9 w/ h" r( z  C$ G# i' ]

3 I0 ^& k5 x8 d, |/ O! P6 L9 H9 y块0控制位为:0 0 0 权限为:通过A或者B密码认证后可读,可写,可进行加值和减值操作;; y  }6 m' b& _( L* q
块1控制位为:0 0 0 权限为:通过A或者B密码认证后可读,可写,可进行加值和减值操作;6 _, d$ [# W) l( K1 D  j2 |, q
块2控制位为:0 0 0 权限为:通过A或者B密码认证后可读,可写,可进行加值和减值操作;% {4 v# A( o7 B& F* x
块3控制位为:0 0 1 权限为:A密码不可读,验证A或者B密码后可改写A密码;验证A或者B密码后,可读可改写存取控制;验证A密码或者B密码后,可读可改写B密码;
: e+ W" X( O5 @( v9 G6 c9 {- V6 a+ t$ p7 F. A
这样每次换算还是有点麻烦,可以使用M1 S50卡控制字节生成工具快速换算:
) s3 R. `5 `$ S; c( k3 p% q# m8 p0 J- J  o. ]$ I+ u! k8 W( K
/ l. V( Y  @+ q, _+ }; W" w$ ^

; [( G- ]: F1 G/ q最下面一行可以输入想解释的控制字,也可以根据上面的设置生成控制字;
- R# G) b& s3 I/ ?6 }- Q, n- q最上面一行,左边是数据段0、1、2的访问控制位,右边是对应权限所需要的秘钥;
0 K) Q6 i, L# g2 f# C6 l3 ]% g中间的一行,左边是区尾的访问控制位,右边是对应权限所需要的秘钥;: _7 I/ o# n! w; W1 q( P/ q9 z( O3 p0 p

4 N' V- k* r0 `0 r) ^/ ?1.7 非加密IC卡和加密IC卡) X1 L' L# x1 a$ @9 I) y
) [  J( O& E, d/ d- D6 D7 Q# G1 F
非加密IC卡和加密IC卡的区别就是,非加密IC卡中所有扇区的KEYA和KEYB数值都是默认值FFFFFFFFFFFF;/ V" E, V" a) e# n
而加密IC卡中,其中有扇区的KEYA和KEYB不等于FFFFFFFFFFFF,部分扇区加密的卡称半加密IC卡,所有扇区都加密的卡称全加密IC卡。+ x4 C& |- V  K* b+ o& D2 Z5 a

: D5 O1 D" f2 G) T一般的读卡器,像手机的NFC,是读不到IC卡的加密数据的,需要用专门的工具,比如Proxmark3读取。
( A9 E, v( U! ]+ V; e" _4 L9 @; N& }# h0 G: @" k
对于IC卡,除了对卡上数据加密,还有滚动码加密、服务器数据验证等技术。
- o6 H6 Q( @  w因此,对IC卡的解密,更多的是门禁卡、签到卡、车库卡等的讨论,像公交卡、饭卡等涉及到资金问题的,基本都有服务器定期校验,得先搞定服务器再说,难度高还违法。% J; f6 d- ?( K

2 L4 S& {; \0 v" `. C% L- n1 a! h" E参考资料:
5 h/ }# E8 e: f码农生活 篇二:IC卡门卡模拟探秘) o0 J# H# q4 g) l- M( H
IC卡简介【M1/S50,UID,CUID,FUID,UFUID复制卡介绍】
! E( u6 I4 P, n7 @8 h! E" q1 E谈谈 Mifare Classic 破解$ |% ]% f5 r  s" [3 `
rfid-practice
) R6 ~# k9 _, w, FType A 卡存储结构与通信4 |& _0 v7 B! f
Proxmark3 Easy破解门禁卡学习过程
. e/ n. Y0 }2 [- G" h# A
& b9 h! p. B9 F# m* `) Z" Q2. 手机NFC模拟加密门禁卡  o4 ~  Q% Z' t3 Y: t9 `7 q9 N

. u3 {' N. O) P& g8 y" V有了前面的知识,再来看现在我的加密门禁卡情况,手机能识别为加密卡,肯定是IC卡。' H1 `, y6 t/ G) g' O

- Z/ a% W4 @/ u) {1 F( P首先,加密卡在目前这个情况下是无法解密的,如果按照下面的操作失败,请参考下一章。
3 q3 U2 ?" l" n3 m0 l+ |+ u部分门禁系统只认证IC卡的UID,利用这一情况,可以试试复制门禁卡的UID,看运气能否打开门。8 t+ u5 f& a  V/ P2 c& o  e4 w8 n

- V4 m8 b; o. g" ?在已root的情况下,直接使用APP NFC卡模拟 便可读取加密卡的UID和非加密数据、并写UID到手机NFC里。, p; ]" N' }+ Q2 p9 z) Z$ s
在未root的情况下,使用小米系统自带的门卡模拟功能,出于安全考虑,是不能对加密卡进行任何操作。手机的NFC,理论上可以读加密IC卡的UID,因此可以使用第三方软件MifareClassicTool读取UID,因为没有root,不能写手机NFC,但可以写IC卡,因此还需要一张CUID卡(不能使用UID卡),某宝上一块多一张,思路就是先读取加密卡的UID,再读取CUID卡的数据,然后将CUID卡的UID改为加密卡一样的UID,再将修改后的数据写回到CUID卡,最后用小米系统自带的门卡模拟功能,复制未加密的CUID卡即可。
" P% R  T( A1 S3 Y2 T; w* G8 b! O' n% l: ~  a# o- P
1.读取加密卡的UID
% c( t, g4 Y, `. \, ^打开软件Mifare Classic Tool,将加密门禁卡放到手机的NFC感应区域,识别到IC卡后,点击“工具”->“显示标签信息”,可以看到加密门禁卡的8个数字,4字节的UID。
1 O, V% D) }% e4 G8 ]注意,在16进制里,每个数字为4位(2^4=16),8位(bits)为一字节(bytes),即两个数字组成一字节,这里8个数字,即为4字节(Bytes)。
0 d3 I) z2 }# p4 P! \前8个数字,每个数字代表4位,8位为一字节,8个数字就是32位,即4字节& O8 d' n% \: _5 I: ?
接着打开“工具”->“BCC计算器”,输入UID,得到1位BBC(两个数字)校验数据。- s3 b4 f* z8 g% D9 D

8 F( t8 N7 G/ C" [$ D6 l
. v+ n" x) k2 q% O; B* W/ J2 ~/ q1 Z6 e; B7 L0 r
2.读取CUID卡数据
2 Y- f4 j4 F" Z, \! p5 j; G将CUID卡放到手机的NFC感应区域,识别到IC卡后,点击“读标签”->“启动映射并读取标签”,即可得到CUID白卡的所有信息。- n) Z0 i6 x* i8 i+ t
接着修改第一行的前10个数字,改为加密门禁卡的UID(8个数字)和BCC(2个数字),一共10个数字,并点右上角保存图标保存。
0 c' z& \8 W# H) T: q/ ~3 |9 X. P* `/ T0 \6 k, K) b+ H, m
% Y6 s& Q3 y) O8 E! w
6 j' `4 j$ E, o' |
3.写数据到CUID卡' _+ j+ }( X$ D1 q8 t2 Q/ `' t
再将CUID卡放到手机的NFC感应区域,识别到IC卡后,点击“写标签”,勾选“写转储(克隆)”->“显示选项”->“高级:使能厂商块写入”。
9 B. L  [* c/ O1 ?/ e4 `! m4 e7 X+ R/ L再点击“选择转储”,选择刚才保存的数据,点击“选择转储”。1 `, |# j2 D. L) _8 H

& i' E% @5 c2 e1 i4 W  D
3 V$ W" |3 k( e, [9 r2 @# H+ C4 W  R1 u2 G* f
在弹出的选择写扇区界面,默认即可,点击“好的”,最后点击“启动映射并写转储数据”。
, A7 i$ J5 r! ]6 e# u7 F
8 \0 g' A. M' S0 h6 R, \' c5 M3 e! s
, A. |  S' u( [, |) B& D
4.NFC手机复制CUID卡
( e! a* M7 C. R, x: b, M+ \8 @最后,使用小米手机系统自带的门卡模拟功能,复制刚才写入新UID的CUID卡即可。
* r$ r! n" R! K
8 A7 a: {* z2 _0 L接着,就看运气吧,我小区的门禁系统就只认UID,搞定。2 l: a$ c+ f4 n- b
5 O7 _- e+ j+ L1 M

4 @4 b" k1 S8 {+ N' a5 G3 O
作者: BI3NRS    时间: 2021-1-18 13:25
学习一下,感谢分享
作者: 15314375698    时间: 2021-1-19 07:46
学习了师傅厉害
作者: 彩虹之约    时间: 2021-1-19 15:42
谢谢师傅,好详细的文章。
作者: 畅游天下    时间: 2021-4-8 13:45
5 T' Q3 b7 Z1 H2 b4 \; ~$ h
谢谢师傅,好详细的文章。现在多用于UID和CUID以及IC
作者: 灵活的胖子    时间: 2021-5-16 08:00
每天学习一点点,每天进步一点点
作者: 苍蓝    时间: 2022-7-1 09:21
学习一下,谢谢分享。
作者: A锁作锁为,为你    时间: 2022-7-1 21:08
谢谢师傅,好详细的文章
作者: 向世伟    时间: 2022-7-14 06:41
不错不错不错不错,谢谢分享!辛苦了




欢迎光临 中华锁艺人 (https://suoyiren.com/) Powered by Discuz! X3.5