返回顶部

NFC模拟加密卡

  [复制链接]
天际线0907 显示全部楼层 发表于 2021-1-18 00:52:33 |阅读模式 打印 上一主题 下一主题 来自: 中国–山东–泰安肥城县 电信
记录小米手机NFC模拟加密门禁卡,以及Proxmark3的使用。
# O2 a0 U0 ^' `" ]! P. Z6 q2 n; w6 {* [) c+ M
0. 缘起
9 v; _4 E( M5 j5 U5 P) |4 X% ]! Q- n6 v) a7 b
之前,小区用的门禁卡为非加密的门禁卡,使用小米手机系统自带的门卡模拟功能复制即可。9 M  y/ |6 W  W. S8 [2 z
后来,小区门禁系统换了一家供应商,再使用之前的方法复制门禁卡,手机提示为加密卡,无法复制。
" _, i0 K+ W' h2 S3 v
% {3 ]5 a! ?' u! ~9 B, n新的门禁系统,更安全了,也支持APP远程控制开门了,直到有一天门禁卡丢了,开始使用APP开门,发现这APP写得烂透了,十次有五次点击开门按钮无反应,需要反复退出、打开APP多次才能点击开门按钮成功,还有两次直接没了开门按钮,提示到物业管理处处理……5 J1 d9 x/ X1 N
那个时候,我又开始怀念用手机刷门禁的快感了。。( z. Q& Y: d$ U& V6 o2 R! f

- K# l$ Y% y" I2 ?' T; g' w1. 基础知识; Y, E; {8 f6 T  H- ~& D/ r
2 P0 y  _, G) l) q% }
于是,我开始查阅资料,基本确定了小米手机是还是可以通过其它方式模拟加密门禁卡的。
1 }: O+ a$ O: E7 A7 d然后,资料查多了,记不到,又怕以后用到需要重新找,干脆水一篇博客记录下来。
( G2 E: F( v$ v; L如果熟悉NFC和IC卡,或者只想模拟加密门禁卡,并不关心原理,这章可以跳过,直接看下一章。
9 _! C1 X. F4 r1 z7 u  |% L' j6 t$ k2 W7 U) s8 X4 c
1.1 ID卡和IC卡. B; w% G4 v# Z0 I& G; M

  F' {' l# f/ Y# yID卡:全称身份识别卡(Identification Card),多为低频(125Khz),是一种不可写入的感应卡,含固定的编号,主要有台湾SYRIS的EM格式,美国HID、TI、MOTOROLA等各类ID卡。
. `8 v- L* H. c* L5 r
; D$ V: E1 ?8 u. e& f5 r4 BIC卡:全称集成电路卡(Integrated Circuit Card),又称智能卡(Smart Card)。多为高频(13.56Mhz),可读写数据、容量大、有加密功能、数据记录可靠、使用更方便,如一卡通系统、消费系统等,目前主要有PHILIPS的Mifare系列卡。( E8 E1 y2 v2 x0 ?
; ~- v  _% Y" L2 o- h) T' O( L  I' j
主要区别:6 I" \+ W3 w, e6 \
ID卡,低频,不可写入数据,其记录内容(卡号)只可由芯片生产厂一次性写入,开发商只可读出卡号加以利用,无法根据系统的实际需要制订新的号码管理制度;
( S$ ^' ^# X  I2 \- cIC卡,高频,不仅可由授权用户读出大量数据,而且亦可由授权用户写入大量数据(如新的卡用户的权限、用户资料等),IC卡所记录内容可反复擦写;
5 G) e1 T/ l# J0 D
) ^) G1 w& l: P/ F' KIC卡由于其固有的信息安全、便于携带、比较完善的标准化等优点,在身份认证、银行、电信、公共交通、车场管理等领域正得到越来越多的应用,例如二代身份证、银行的电子钱包,电信的手机SIM卡、公共交通的公交卡、地铁卡、用于收取停车费的停车卡、小区门禁卡等;
; E& \: ?$ Y' p4 I3 r9 G
! v( R, C- B! F- n/ n  G' ]
! s( c: _. \( X/ c3 L# X: h  c& m* `7 D9 f) F5 {9 l1 E4 P9 A

9 h' E3 y# D! ~1 a; ]4 g
  J1 a( C  |2 O) `2 s% T& y9 _以上图片来自淘宝商家,网上找了半天相关资料,发现淘宝商家解释得最清楚。
+ Q2 S! Y1 j, t, j0 e
- o2 j: D0 A/ B5 @+ Z总结:! K' `3 m; u& S
1.ID卡多为低频,IC多为高频;
0 V9 D, B  Q0 p; j2.IC卡整体上看比ID卡更有优势,市面上使用的大多数也是IC卡;
: V0 V; E7 ~; r+ [: a$ l4 [3.对于矩形白卡,里面为矩形线圈、表面没有编号的多为IC卡,里面为圆形线圈、表面有编号的多为ID卡;5 e" j. f2 s& z4 A3 v; e6 t3 B( s
4.对于异形卡,有编号的多为ID卡,最好使用带NFC的手机进行测试(目前手机NFC只能读高频13.56Mhz),IC卡会有反应;
5 p% p0 m$ \+ r! F# }0 S. M2 m# z/ A- q2 }, D9 [5 ?
1.2 接触式和非接触式IC卡/ o1 z) M% v- H6 s( w" j

: Q! P% R3 t( H2 f; e* sIC卡又可以分为接触式IC卡和非接触式IC卡。
. y$ x! }* ~4 J5 g' M' \
+ k9 v8 U- x+ K! K6 i& a9 X/ `接触式IC卡:该类卡是通过IC卡读写设备的触点与IC卡的触点接触后进行数据的读写;
2 K! I, p( W% `; l& w3 D, o
. ^0 ]* w( P' x2 E: }6 Y1 l非接触式IC卡:又称射频卡、感应式IC卡,该类卡与卡设备无电路接触,而是通过非接触式的读写技术进行读写(例如RFID、NFC),其内嵌芯片除了CPU、逻辑单元、存储单元外,增加了射频收发电路。该类卡一般用在使用频繁、信息量相对较少、可靠性要求较高的场合。
( S+ R* c" i+ Y
/ y2 n! c. T0 H: d: `2 I. a. v5 l两者比较好区分,直接看卡上有无金属触点即可。
8 j2 w4 ^6 x9 s# q
7 c1 @% q' A/ y; Y5 ^8 M# Y& G& t8 O+ Z. n& C

- O! x' F" |3 R3 n* O" H1.3 RFID和NFC
! N" d7 h4 S: w9 V! T
3 S4 U3 l1 K0 ^$ x非接触式的读写技术常见的有两种:RFID技术和NFC技术。
: @7 X# V( Q5 Z. i  G$ L( ^  f2 H  M2 s' W% C
RFID技术:/ z/ b, S5 X) C8 }/ n
1.通常应用在生产,物流,跟踪和资产管理上;
* I$ o8 C! j; Q. s1 q2.根据频率划分包含低频、高频(13.56MHz)、超高频、微波等;6 d; v2 ^# i0 [
3.作用距离取决于频率、读写器功率、读写器天线增益值、标签天线尺寸等,工作距离在几厘米到几十米不等;
/ r9 F) `. f+ v0 ?% x2 Y4.读写器和非接触卡可以是一对多关系,也可以说一对一关系;且读写器和非接触卡是两个实体,不能切换;+ m) V  f3 v0 m* h! O# F) c0 w+ N
9 ?0 \* `" P5 A5 o! k( z% Z0 Q& j
NFC技术:
2 ]! t4 [' J7 I2 g! a6 P; Y1.通常应用在门禁,公交卡,手机支付等领域;
2 h9 \/ s& h, m! h# ?$ s# m2.频率也是13.56MHz,且兼容大部分RFID高频相关标准(有些是不兼容);, O/ [1 i* X" R; i; [, ?8 o) ]
3.NFC作用距离较短,一般都是0~10厘米;
& q7 o8 k* ~2 z* {2 Q2 f4.读写器和标签几乎都是一对一关系;且支持读写模式和卡模式,可以作为读写器也可变为非接触卡;
5 z3 e5 |% V8 S  f9 r+ b; N0 q( W  X: m
总体来说,NFC是RFID的子集,但NFC有些新特性又是RFID所不具备的。# f  J1 Y- f) C' o: L9 a

" ^$ Q0 L, W: f1.4 ID卡类型6 z, U! [9 F. B3 I- X
  s8 ]8 E* o7 ~9 F  H* [6 d+ {
ID卡,工作在低频(125Khz),根据卡内使用芯片的不同,有如下分类:
+ S+ C+ e8 z+ t( z+ o! ~+ E" r3 V$ F$ r' r! Q
ID卡8 c4 K: F7 Y% Q
EM4XX系列,多为EM4100/EM4102卡,常用的固化ID卡,出厂固化ID,只能读不能写;常用于低成本门禁卡,小区门禁卡,停车场门禁卡;
( `8 l& r9 L7 H7 b: K/ \$ L# ?
( a# `) D, S( V/ J* [9 oID白卡% _7 s( W# u9 R+ E* R2 Y' _# G
EM4305或T5577,可用来克隆ID卡,出厂为白卡,内部EEPROM可读可写,修改卡内EEPROM的内容即可修改卡片对外的ID号,达到复制普通ID卡的目的;
7 e' E0 b2 J  l* jT5577写入ID号可以变身成为ID卡,写入HID号可以变身HID卡,写入Indala卡号,可以变身Indala卡) _0 R3 d* ?1 K- y1 U( F1 _2 ?7 I
) J# |: ~0 [7 L* ~5 z) E& y! O
HID卡
; k3 H* p( K4 f3 H" |9 i全称HID ProxⅡ,美国常用的低频卡,可擦写,不与其他卡通用;
! f) [/ M. M: ]: E; U* ]6 v9 c9 K( ^/ m5 w! m2 \' M" D
1.5 IC卡类型0 N) A0 _) v" p/ q7 I

; e' u9 L  w% o# o+ _. c/ c  ZIC卡中最常见的是NXP Mifare系列卡,工作在高频(13.56Mhz),根据卡内使用芯片的不同,有如下分类:
4 h; t, \- `; |  V
) t" _4 a( g. i' Q- J+ W3 w7 BM1卡
* y/ N9 X& b. k0 t! F" w全称Mifare S50,是最常见的卡,出厂固化UID(UID即指卡号,全球唯一),可存储修改数据;常用于学生卡,饭卡,公交卡,门禁卡;2 M1 D& R, P/ @6 @

, H& \8 O# a6 J1 q+ VM0卡$ d' T0 S+ d5 F& k; G2 I
全称Mifare UltraLight,相当于M1卡的精简版,容量更小、功能更少,但价格更低,出厂固化UID,可存储修改数据;常用于地铁卡,公交卡;) C' t% G" @# s' \; e& B$ M: g

0 c- N+ t: |. t8 K# m以上两种固化了UID,为正规卡,接下来就是一些没有固化UID,即不正规的卡:# Y( S3 Y2 ~% G/ L7 J) F& v
3 z7 a# F8 f  T  g
UID卡
! h' I% u- I1 m: T全称Mifare UID Chinese magic card,国外叫做中国魔术卡,M1卡的变异版本,使用后门指令(magic指令),可修改UID(UID在block0分区),可以用来完整克隆M1卡的数据;
+ o: y. c' J/ |但是现在新的读卡系统通过检测卡片对后门指令的回应,可以检测出UID卡,因此可以来拒绝UID卡的访问,来达到屏蔽复制卡的功能(即UID防火墙系统);& p( w6 q) V. N) m4 ^+ W2 H. `

5 }9 Q6 u. e9 t1 _& ^2 G/ cCUID卡  F5 H. H' b: j
为了避开UID防火墙系统,CUID卡应运而生,取消响应后门指令(magic指令),可修改UID,是目前市场上最常用的复制卡;
7 w1 h; z8 K3 a5 S2 H近两年,智能卡系统制造公司,根据CUID卡的特性研发出CUID卡防火墙,虽然现在(2019年)还不是很普及,但是总有一天CUID卡会和UID卡一样面临着淘汰;7 b# j, G0 J- c- N3 ~, ]
4 b4 u$ F! t+ [* @/ |: M
FUID卡& O* W! h6 g" ]3 r: B3 W* [
FUID卡只能写一次UID,写完之后自动固化UID所在分区,就等同M1卡,目前任何防火墙系统都无法屏蔽,复制的卡几乎和原卡一模一样;7 u: _$ n; e& Q$ u1 u; ^
但缺点也相对明显,价格高、写坏卡率高,写错就废卡。% E! V2 s  F- D& J: r, ~
7 I: s* @5 f6 Z
UFUID卡
% G9 Q( ]0 {. S: O. G集UID卡和FUID卡的优点于一身,使用后门指令,可修改UID,再手动锁卡,变成M1卡。
' B" K: F2 p) g- h3 B# e' W7 T可先反复读写UID,确认数据无误,手动锁卡变成M1,解决了UID卡的UID防火墙屏蔽,也解决FUID的一次性写入容易写错的问题,且价格比FUID卡还便宜;
3 F6 w7 F7 W! l$ M- a4 E* ]+ T2 d+ m4 G/ {* c: }9 _% s( f
判断是M0卡(Mifare UltraLight),还是M1卡(Mifare Classic 1k),可以通过SAK值判断。% H: w! E9 B* ^

5 G. @) g+ O! {) t( M产品ATQASAKUID长度Mifare Mini00 04094 bytesMifare Classic 1k00 04084 bytesMifare Classic 4k00 02184 bytesMifare Ultraligh00 44007 bytesMifare Plus00 44207 bytes
; k9 B0 A( C) W5 Z: A' L( z. _. F8 y
/ ?: r8 K3 B2 J1.6 IC卡详细分析1 w$ @6 U) I( q' M
/ y) |4 m8 Y: U) U$ p
1.6.1 IC卡存储器结构1 I( w8 G9 Q0 Q2 |. x
  o! M$ X& o" }/ Z
以M1卡为例,介绍IC卡数据结构。- e3 p, W7 X5 n* Q' Z
M1卡有从0到15共16个扇区,每个扇区配备了从0到3共4个数据段,每个数据段可以保存16字节的内容;! s8 L* r( o5 v# ?& a
每个扇区中的段按照0~3编号,第4个段中包含KEYA(密钥A 6字节)、控制位(4字节)、KEYB(密钥B 6字节),每个扇区可以通过它包含的密钥A或者密钥B单独加密;
( ?7 o6 B0 v2 F( [7 c1 O$ `" g6 \& J# T
( l; m* N/ b) p$ V5 T6 @' o' [7 i8 Q1 P5 h, x$ h1 d
& e) p4 r) B) ?) @- ~5 Y& L
厂商段
  T+ \4 b! V! ]% ^- q: _每张M1卡都有一个全球唯一的UID号,这个UID号保存在卡的第一个扇区(0 扇区)的第一段(0 编号数据段),也称为厂商段。1 z9 ^' `5 ?+ S: g( G
其中前4个字节是卡的UID,第5个字节是卡 UID 的校验位,剩下的是厂商数据。# `, _  y3 y- G' `4 K# U
并且这个段在出厂之前就会被设置了写入保护,只能读取不能修改,前面各种能修改UID的卡,UID是没有设置保护的,也就是厂家不按规范生产的卡。9 p$ ]. l' o$ w/ b5 E/ [5 V
6 w6 C; I- J7 O4 J, n$ P9 r1 v
! J3 `% y8 H1 ]9 y8 g+ R7 N9 O

6 c  A0 [- j: a) ?数据段8 `" x2 I% I# F, R' k
除了第0扇区外,其它每个扇区都把段0、段1、段2作为了数据段,用于保存数据。2 t6 w) o4 ], s4 j4 P2 }9 s
数据段的数据类型可以被区尾的控制位(Access Bits)配置为读/写段(用于譬如无线访问控制)或者值段(用于譬如电子钱包)。5 a$ H1 D8 n/ g* j3 |
值段有固定的存储格式,只能在值段格式的写操作时产生,值段可以进行错误检测和纠正并备份管理,其有效命令包括读、写、加、减、传送、恢复,值段格式如下:
4 f# x# S& }* o; t9 _2 d7 ~7 L- e1 z) p- i
$ l; P+ @. d+ ?/ E7 r8 A$ t
: X+ r; q6 {! o! E7 d  j
Value表示一个带符号4字节值,为了保证数据的正确性和保密性,值被保存了3次,两次直接保存,一次取反保存。该值先保存在0字节-3字节中,然后将取反的字节保存在4字节-7字节中,还保存了一次在8字节-11字节中。
$ W3 h; b( @3 v; l3 U& VAdr表示一个字节的地址,当执行备份管理时用于保存存储段的地址。地址字节保存了4次,取反和不取反各保存了2次。在执行加值、减值、恢复和传送等操作时,地址保持不变,它只能通过写命令改变。( ?$ v6 n9 V4 M# ]$ l, W

0 _3 T5 E4 z" S9 g/ E控制段
) `3 c+ a1 o/ F* H每个扇区都有一个区尾控制段,它包括密钥A和密钥B(可选),以及本扇区四个段的访问控制位 (Access bits);访问控制位也可用于指出数据段的类型(为读/写段还是值段);控制段的存储格式如下:
) [) ^* p* r6 A$ |# Y1 m& E4 d6 j2 @
6 f* }5 n! h+ p/ `
) w9 C% G3 o0 ?+ N$ k9 ^% W
如果不需要密钥B,那么区尾的最后6个字节可以作为数据字节,用户数据可以存储在区尾的第9个字节,这个字节具有和字节6、7、8一样的访问权限。" B) {& I+ x5 R% {0 R, K8 c: s$ _

0 S# N3 G2 H; K% o0 u) ]. c1.6.2 IC卡访问存储器
/ l# ~. i% V; O; g$ f% a6 M/ t) J" v
数据段支持的操作. W$ R/ T# P5 J6 ?
根据使用的密钥和相应区尾访问条件的不同,数据段所支持的存储器操作也不同,存储器的操作类型如下:6 e' F* T) j0 y/ V1 B' T
: _1 L5 k3 h5 |9 x" P/ n
7 o7 K# s; {. P

7 K. t8 |% U% L4 Z可以看到只有作为值段时,才能加、减、传送、恢复。
8 ~6 p/ h' L( R" ^
& |' d  l  o2 r# N- c; `% t& V各区的访问位定义
) C& E: ^+ S* q5 V) m每个数据段和区尾的访问条件由3个位来定义,它们以取反和不取反的形式保存在区尾指定字节中。
* U- P0 K; ?( V3 _6 q/ F& H1 a' y访问位控制了使用密钥A和B操作存储器的权限,当知道相关的密钥和当前的访问控制条件时,可以修改访问条件,各区的访问位定义如下:
) R0 j2 {8 G9 d1 Y
9 ]: n+ \& K$ e6 J0 K# O; c+ w$ G* |, O4 h9 h0 x

) ^2 g: |# L, N8 @- G访问位在区尾的存储形式
8 `- [4 O0 B/ @8 D1 g7 \5 e$ g" W; \% x6 V/ o

8 p: c: T! }2 N5 V- \: U+ {+ ^5 Z, L( ]6 t6 _
区尾的访问条件
) ^; `0 K* ]4 p# H  i$ I: S9 j! W根据区尾(段 3)访问位的不同,访问条件可分为 “从不”、“密钥A”、“密钥B” 或“密钥A|B”(密钥A或密钥B),区尾的访问条件如下:
- f1 r  G2 K  ~% h
* g# E* l! t% I
% r; S) g( h3 B% F
' D5 W+ ]' X$ {* i) d. _用灰色标明的行是密钥B可被读的访问条件,此时密钥B可以存放数据。5 ^6 q% U7 v1 }2 f1 h* }9 z
例如:当段3的访问条件C13C23C33=100时,表示:密钥 不可读(隐藏),验证密钥B正确后,可写(或更改);访问控制位在验证密钥A或密钥B正确后,可读不可写(写保护);密钥B不可读,在验证密钥 B 正确后可写;
! D: P* o* N  i) Q% R- ^又如:当段3的访问条件C13C23C33=110或者111时,除访问控制位需要在验证密钥A或密钥B正确后可读外,其他如访问控制位的改写,密钥 A,密钥 B 的读写权限均被锁死而无法访问;- j2 O, q# w' H; ]
+ f1 M: Z! U' B' G
数据段的访问条件
2 F: ^0 T8 |, ?0 d根据数据段(段 0-2 访问位的不同,访问条件可分为 “从不”、“密钥A ”、“密钥B ” 或“密钥A|B”(密钥A或密钥B)。
3 F6 }8 v9 n/ f- m6 `相关访问位的设置定义了该段的应用(或者说数据段类型)以及所支持的应用命令,不同的数据段类型可以进行不同的访问操作。 读/写段可以进行读操作和写操作。值段可以进行加、减、传送和恢复的值操作。
) p* G2 @) c* s. Z其中一种情况中(001)只能对不可再充电的卡进行读操作和减操作,另一种情况中(110)使用密钥B可以再充电。 厂商段无论设置任何的访问位都只是只读的, 数据段的访问条件如下:5 n5 @8 i5 k2 H0 G

( r1 ^- b# ?' g% V+ n2 q3 J; R0 l0 x) _5 V

6 C7 u" I4 ~6 ^2 [# |. H如果密钥B可以在相应的区尾被读出,它就不能用于确认(在前面所有表中的灰色行)。如果读卡器要用这些(带灰色标记的)访问条件的密钥B确认任何段,卡会在确认后拒绝任何存储器访问操作。
0 ?) d! [- r6 H+ ?& y
' d# A7 f: n4 T1 }1.6.3 举例说明
) Q1 K( S0 {% d+ T; o# h8 ~; y8 V! n/ `
Mifare S50出厂时,访问控制字节(字节6-字节9)被初始化为“FF 07 80 69”,KEY A和KEY B的默认值为“FF FF FF FF FF FF” ;  U" C3 x' O, v4 |& ]' R
字节6为FF,二进制为1111111;字节7为07,二进制为00000111;字节8为80,二进制为10000000,如下:- _5 ^4 P* N2 l. `$ l
8 _- c. I! N% q: M

) C0 s# L" N3 U0 _+ l- u, A. H: _6 P' Z4 r7 V( E
对照前面的访问位在区尾的存储形式图,可得知访问控制位为:
2 W2 j/ _# r0 b- YC10C20C30=000;C11C21C31=000;C12C22C32=000;C13C23C33=001。5 a4 H' H, Y3 o9 I0 S3 Y
/ G: d$ _% i0 o
C10C20C30、C11C21C31、C12C22C32对应数据段0、1、2,参考数据段的访问条件图即可得知该段三个数据区的访问权限;2 t- l, T, H$ B$ l& d# N" a
C13C23C33对应区尾(段 3),参考区尾的访问条件图即可得知该段的访问权限;
) a6 r1 c8 Q; l1 _9 U3 n3 N! V2 J7 d5 J- E
块0控制位为:0 0 0 权限为:通过A或者B密码认证后可读,可写,可进行加值和减值操作;+ W9 K2 x9 r; h0 Q2 J9 Z, {
块1控制位为:0 0 0 权限为:通过A或者B密码认证后可读,可写,可进行加值和减值操作;
. `! R: v4 N- i4 U块2控制位为:0 0 0 权限为:通过A或者B密码认证后可读,可写,可进行加值和减值操作;9 n  n. ?2 r4 p9 h, v, I1 u
块3控制位为:0 0 1 权限为:A密码不可读,验证A或者B密码后可改写A密码;验证A或者B密码后,可读可改写存取控制;验证A密码或者B密码后,可读可改写B密码;  f8 c1 Q- U3 g' r' H; A0 N

, r. S, c+ G: F4 P' _这样每次换算还是有点麻烦,可以使用M1 S50卡控制字节生成工具快速换算:
. K$ _: y# p: `. m$ |8 I! a7 s4 s. y
2 |8 m: A' Q' z1 g5 z

; {1 d% T+ `9 Z8 F* {. D+ ?/ u最下面一行可以输入想解释的控制字,也可以根据上面的设置生成控制字;
6 G2 p+ ^/ f# g最上面一行,左边是数据段0、1、2的访问控制位,右边是对应权限所需要的秘钥;
; [5 k1 E' y$ y0 l0 E- W0 j& o) W中间的一行,左边是区尾的访问控制位,右边是对应权限所需要的秘钥;" @- e) d0 |0 s- Z

0 S0 ?% g/ P4 b7 j/ y. s9 ~+ E1.7 非加密IC卡和加密IC卡
6 ?& s; F4 M2 y2 T" N! g: z1 z: k( L; b
非加密IC卡和加密IC卡的区别就是,非加密IC卡中所有扇区的KEYA和KEYB数值都是默认值FFFFFFFFFFFF;
. |4 `& `  W% K2 s  W( \而加密IC卡中,其中有扇区的KEYA和KEYB不等于FFFFFFFFFFFF,部分扇区加密的卡称半加密IC卡,所有扇区都加密的卡称全加密IC卡。
& T( l/ T5 H1 d0 Q7 Z1 D6 _' l* `+ \& f* K( F0 H7 `! n& Q
一般的读卡器,像手机的NFC,是读不到IC卡的加密数据的,需要用专门的工具,比如Proxmark3读取。( i0 Q$ t% G2 }! u
0 G2 D6 o! D9 H/ H, e; ^
对于IC卡,除了对卡上数据加密,还有滚动码加密、服务器数据验证等技术。8 e$ I+ Y2 }- b. p& l7 f
因此,对IC卡的解密,更多的是门禁卡、签到卡、车库卡等的讨论,像公交卡、饭卡等涉及到资金问题的,基本都有服务器定期校验,得先搞定服务器再说,难度高还违法。
3 ?! J2 i! B) e6 X/ _
& R# W' h* F0 w2 y% h参考资料:$ N/ V+ x* C) {. k7 g
码农生活 篇二:IC卡门卡模拟探秘  @" _6 x; D5 M- c- p1 V4 N6 @  l, n
IC卡简介【M1/S50,UID,CUID,FUID,UFUID复制卡介绍】
: b4 f( O$ A% g" c7 p谈谈 Mifare Classic 破解
$ ]- I9 r3 M( _7 V" yrfid-practice
5 f! E  q0 t- s- ^. ~+ [Type A 卡存储结构与通信. b/ u! ]. n0 E- T2 V$ @. R# L
Proxmark3 Easy破解门禁卡学习过程4 R, Q( t- F- r
) [: ~3 [) m8 S4 x0 \
2. 手机NFC模拟加密门禁卡
0 ~- G+ C) @" u, _) O
' L4 R3 R% V* U& f, r+ a有了前面的知识,再来看现在我的加密门禁卡情况,手机能识别为加密卡,肯定是IC卡。
) D2 X+ W3 R6 Q& l; e4 ]3 T2 Y
+ p5 l5 k) u/ m. a2 ?9 }& E首先,加密卡在目前这个情况下是无法解密的,如果按照下面的操作失败,请参考下一章。
* `( j. T1 O2 t; g! W! g8 U部分门禁系统只认证IC卡的UID,利用这一情况,可以试试复制门禁卡的UID,看运气能否打开门。
, V- s# L& ^/ y. n% k& k* _/ t  ~  l% t+ `* ]6 \; \
在已root的情况下,直接使用APP NFC卡模拟 便可读取加密卡的UID和非加密数据、并写UID到手机NFC里。
& c9 o! Q' H" I在未root的情况下,使用小米系统自带的门卡模拟功能,出于安全考虑,是不能对加密卡进行任何操作。手机的NFC,理论上可以读加密IC卡的UID,因此可以使用第三方软件MifareClassicTool读取UID,因为没有root,不能写手机NFC,但可以写IC卡,因此还需要一张CUID卡(不能使用UID卡),某宝上一块多一张,思路就是先读取加密卡的UID,再读取CUID卡的数据,然后将CUID卡的UID改为加密卡一样的UID,再将修改后的数据写回到CUID卡,最后用小米系统自带的门卡模拟功能,复制未加密的CUID卡即可。9 b* c. A: @: c2 r6 `- Y
& `" I3 A$ a/ [, Z0 \6 m
1.读取加密卡的UID' a4 `4 |$ x, [$ F
打开软件Mifare Classic Tool,将加密门禁卡放到手机的NFC感应区域,识别到IC卡后,点击“工具”->“显示标签信息”,可以看到加密门禁卡的8个数字,4字节的UID。
5 `( z8 l: a4 K. |7 n7 B& e0 Z注意,在16进制里,每个数字为4位(2^4=16),8位(bits)为一字节(bytes),即两个数字组成一字节,这里8个数字,即为4字节(Bytes)。
# ?& O& e- y9 Q! s: d: |前8个数字,每个数字代表4位,8位为一字节,8个数字就是32位,即4字节
2 s8 E$ \& Z5 e接着打开“工具”->“BCC计算器”,输入UID,得到1位BBC(两个数字)校验数据。4 M8 a. T6 B' s3 o; x4 H
0 d2 t  u: S3 k& v& x7 f, h# o
# y! ~$ e( ~3 N6 Q& J
) a& h! L1 _$ h( u6 _' M* L
2.读取CUID卡数据
! T, X) B: I, ?将CUID卡放到手机的NFC感应区域,识别到IC卡后,点击“读标签”->“启动映射并读取标签”,即可得到CUID白卡的所有信息。
* R4 P* l, T3 q) z& L8 D接着修改第一行的前10个数字,改为加密门禁卡的UID(8个数字)和BCC(2个数字),一共10个数字,并点右上角保存图标保存。
* {, L  A5 `# J2 Z4 X/ m
8 U9 s" N6 d& R' L# L
8 p2 a2 C# i# p! U. A/ `
* ]* v, J+ S+ g* e- X3.写数据到CUID卡
. u& x/ B9 N9 ]6 x1 v再将CUID卡放到手机的NFC感应区域,识别到IC卡后,点击“写标签”,勾选“写转储(克隆)”->“显示选项”->“高级:使能厂商块写入”。1 {0 O# E5 I9 N" g* K9 q! E
再点击“选择转储”,选择刚才保存的数据,点击“选择转储”。% E) V& ?% ?4 \) ]# C
- N& r4 N% k. S. |% m1 Z& D, R

. o; n' s- K2 H+ a2 y4 G% X  J5 E) w  ?
在弹出的选择写扇区界面,默认即可,点击“好的”,最后点击“启动映射并写转储数据”。
8 b$ W7 \- T. Y4 s/ P) }. A2 o9 A* o: Y
, r6 Y7 E1 [$ j6 A

, y# D- `! I  V# N3 _" ^9 {; g4.NFC手机复制CUID卡- i" L5 f; [; R" K; z/ ~) A9 j
最后,使用小米手机系统自带的门卡模拟功能,复制刚才写入新UID的CUID卡即可。
6 i0 h! B$ l3 ]; _, k$ o3 e1 |  S( K
接着,就看运气吧,我小区的门禁系统就只认UID,搞定。8 @4 x6 i) Q- q6 l+ h: G! }7 ~
$ u* N; I6 \4 ~- p4 h" e
! Q) G( B' \# T+ O2 E

精彩评论8

BI3NRS 来自手机 显示全部楼层 发表于 2021-1-18 13:25:25 来自: 中国–河北–唐山 联通
学习一下,感谢分享
回复 支持 反对

使用道具 举报

15314375698 来自手机 显示全部楼层 发表于 2021-1-19 07:46:45 来自: 中国–山东–滨州–无棣县 联通
学习了师傅厉害
回复 支持 反对

使用道具 举报

彩虹之约 来自手机 显示全部楼层 发表于 2021-1-19 15:42:33 来自: 中国–云南–文山壮族苗族自治州 移动
谢谢师傅,好详细的文章。
回复 支持 反对

使用道具 举报

畅游天下 显示全部楼层 发表于 2021-4-8 13:45:17 来自: 中国–陕西–铜川 电信
4 x0 q1 d; L: {1 w
谢谢师傅,好详细的文章。现在多用于UID和CUID以及IC
回复 支持 反对

使用道具 举报

灵活的胖子 来自手机 显示全部楼层 发表于 2021-5-16 08:00:48 来自: 中国–江西–南昌 电信
每天学习一点点,每天进步一点点
回复 支持 反对

使用道具 举报

苍蓝 来自手机 显示全部楼层 发表于 2022-7-1 09:21:24 来自: 中国–北京–北京 移动/数据上网公共出口
学习一下,谢谢分享。
回复 支持 反对

使用道具 举报

A锁作锁为,为你 来自手机 显示全部楼层 发表于 2022-7-1 21:08:08 来自: 中国–云南 电信/数据上网公共出口
谢谢师傅,好详细的文章
回复 支持 反对

使用道具 举报

向世伟 来自手机 显示全部楼层 发表于 2022-7-14 06:41:54 来自: 中国–重庆–重庆–铜梁区 电信
不错不错不错不错,谢谢分享!辛苦了
回复 支持 反对

使用道具 举报

您需要登录后才可以回帖 登录 | 注册成为锁艺人

本版积分规则

中国锁艺人,这里是一个锁的世界,锁匠行业交流门户网站,聚集了锁具爱好者、锁具开发者、锁匠、锁匠协会、锁匠俱乐部、锁具企业等会员在这里交流互动。锁艺互动,技艺飞跃,洞悉锁艺奥秘。
  • 官方手机版

  • 微信公众号

  • 商务合作

  • Copyright © 2008-2022, Lockartist  | All Rights Reserved. 锁艺人 | 锁匠 | 开锁 | 开锁学校 | 西安开锁 | 西安汽车钥匙
  • 西安锁艺人安防设备有限公司 版权所有 陕ICP备12005758号-11 | 电子营业执照 | 经营许可证编号 陕B2-20200181