记录小米手机NFC模拟加密门禁卡,以及Proxmark3的使用。+ h5 I& P( B5 I; ^6 C# u+ N
3 J: N) }! q" z0. 缘起
4 y+ Q$ ]- } C1 k* l- N# ^+ I* e: t2 c$ I8 w1 Z
之前,小区用的门禁卡为非加密的门禁卡,使用小米手机系统自带的门卡模拟功能复制即可。
- @7 m( ]" X q& U! R0 Y* X7 f后来,小区门禁系统换了一家供应商,再使用之前的方法复制门禁卡,手机提示为加密卡,无法复制。% |% o& f" q/ v: k4 S& g
) ]" s. I4 J' U( J0 |
新的门禁系统,更安全了,也支持APP远程控制开门了,直到有一天门禁卡丢了,开始使用APP开门,发现这APP写得烂透了,十次有五次点击开门按钮无反应,需要反复退出、打开APP多次才能点击开门按钮成功,还有两次直接没了开门按钮,提示到物业管理处处理……
0 s5 M% u% A. j那个时候,我又开始怀念用手机刷门禁的快感了。。
8 W. _' z+ i6 ?( t2 h
6 H) m1 @* c) ?- x0 c- B9 `2 Q5 G* C1. 基础知识
2 G6 k- f5 E6 C) K" d& J- w# |' g" w( f G" l" h
于是,我开始查阅资料,基本确定了小米手机是还是可以通过其它方式模拟加密门禁卡的。" p9 }- S4 E8 K
然后,资料查多了,记不到,又怕以后用到需要重新找,干脆水一篇博客记录下来。
! j* E3 n9 d, D如果熟悉NFC和IC卡,或者只想模拟加密门禁卡,并不关心原理,这章可以跳过,直接看下一章。; Y! K0 ]; U) [' r# X. t3 m. V
" i% L* ~- e9 s+ u, S
1.1 ID卡和IC卡
. k6 e1 _$ c) Z
( N1 ]8 x/ m7 m2 K" w" \- ]# e9 CID卡:全称身份识别卡(Identification Card),多为低频(125Khz),是一种不可写入的感应卡,含固定的编号,主要有台湾SYRIS的EM格式,美国HID、TI、MOTOROLA等各类ID卡。
\1 [9 I; ^ ^- m8 z5 u% |7 D" `7 `% ~
IC卡:全称集成电路卡(Integrated Circuit Card),又称智能卡(Smart Card)。多为高频(13.56Mhz),可读写数据、容量大、有加密功能、数据记录可靠、使用更方便,如一卡通系统、消费系统等,目前主要有PHILIPS的Mifare系列卡。& w" P; q0 X; f; U/ x3 `! T
' S' _; D8 S& d. I# ~# U9 c主要区别: \& ]; R7 _$ l
ID卡,低频,不可写入数据,其记录内容(卡号)只可由芯片生产厂一次性写入,开发商只可读出卡号加以利用,无法根据系统的实际需要制订新的号码管理制度;1 }/ C7 b r* Q
IC卡,高频,不仅可由授权用户读出大量数据,而且亦可由授权用户写入大量数据(如新的卡用户的权限、用户资料等),IC卡所记录内容可反复擦写;- O8 I- F, s& N
3 e3 U' n7 Y9 w
IC卡由于其固有的信息安全、便于携带、比较完善的标准化等优点,在身份认证、银行、电信、公共交通、车场管理等领域正得到越来越多的应用,例如二代身份证、银行的电子钱包,电信的手机SIM卡、公共交通的公交卡、地铁卡、用于收取停车费的停车卡、小区门禁卡等;/ T3 Q: Z4 S& K K, R+ f
. X7 y/ L( p: k# t
* J. Q6 {) n+ r4 s
4 g1 e9 m$ `! g6 m+ i7 H/ K3 E$ u0 }9 J. M- k) H" s
( b" c- [8 O D3 `以上图片来自淘宝商家,网上找了半天相关资料,发现淘宝商家解释得最清楚。$ `7 t* i) S% x+ a; ]+ b
1 [9 ^ C" C. u2 V" f% P总结:
e2 u: I* s) j1 Y# `7 @1.ID卡多为低频,IC多为高频;/ Q. ]3 L% {# |, u# |6 j$ Z# V' R
2.IC卡整体上看比ID卡更有优势,市面上使用的大多数也是IC卡;
* @3 s$ U1 G! {8 R" ~& }. n3.对于矩形白卡,里面为矩形线圈、表面没有编号的多为IC卡,里面为圆形线圈、表面有编号的多为ID卡;$ s' |% ^ M- R# J4 s7 F5 p
4.对于异形卡,有编号的多为ID卡,最好使用带NFC的手机进行测试(目前手机NFC只能读高频13.56Mhz),IC卡会有反应;0 g$ D% l. L6 A. b
8 c' G5 n1 B: p$ @1 G9 m) v
1.2 接触式和非接触式IC卡! w6 L1 _( j$ C+ V& J p/ C+ l
6 s# q3 I. h6 C. `" a% H$ kIC卡又可以分为接触式IC卡和非接触式IC卡。
, E# T- U6 U$ R% s, E; c" L4 x& p, z# v2 X0 B
接触式IC卡:该类卡是通过IC卡读写设备的触点与IC卡的触点接触后进行数据的读写;* L# F n: y& O2 u6 Z
* D2 [+ Y. P* {8 @0 ~- W非接触式IC卡:又称射频卡、感应式IC卡,该类卡与卡设备无电路接触,而是通过非接触式的读写技术进行读写(例如RFID、NFC),其内嵌芯片除了CPU、逻辑单元、存储单元外,增加了射频收发电路。该类卡一般用在使用频繁、信息量相对较少、可靠性要求较高的场合。
. s9 T0 X; W: @5 {, _/ j' d+ D% R& @9 O6 ]& y
两者比较好区分,直接看卡上有无金属触点即可。
* d# @: y0 k' ]8 }% g- l7 I
) P% t' i& S1 j. y* Z4 g1 ?: {9 T2 I
/ L9 `9 k4 l( P1.3 RFID和NFC
9 r, J3 ?, n. s' i+ n; h* `0 I; a; C. q! v
非接触式的读写技术常见的有两种:RFID技术和NFC技术。
: B$ m) K$ ^& W6 M9 _% P. }! g5 ]5 B" R0 R
RFID技术:! x) K+ X! L5 G, S% A
1.通常应用在生产,物流,跟踪和资产管理上;9 q, n, m- u, z! X$ w" E+ N A% H
2.根据频率划分包含低频、高频(13.56MHz)、超高频、微波等;8 Q5 ?7 E6 ~: b. v/ l, |9 O; O
3.作用距离取决于频率、读写器功率、读写器天线增益值、标签天线尺寸等,工作距离在几厘米到几十米不等;% O4 D/ |% e. y: X0 L
4.读写器和非接触卡可以是一对多关系,也可以说一对一关系;且读写器和非接触卡是两个实体,不能切换;
9 R/ u. S0 H9 x7 I2 T9 f! c
) \0 }+ ]9 K, g2 C" ] i& q# c3 R# UNFC技术: B, ^0 b1 ?+ V. S+ v* ?3 N! p% s7 d
1.通常应用在门禁,公交卡,手机支付等领域;
! z) H* r* w: Y8 S6 W7 _& W2.频率也是13.56MHz,且兼容大部分RFID高频相关标准(有些是不兼容);+ A- x6 P- O+ G1 Y1 s
3.NFC作用距离较短,一般都是0~10厘米;/ _, T ?7 _; X: i. I% g. ]% q& p
4.读写器和标签几乎都是一对一关系;且支持读写模式和卡模式,可以作为读写器也可变为非接触卡;
$ d$ ?2 R+ s8 p7 X: L' J+ M" g3 g& P& n7 z" `0 i
总体来说,NFC是RFID的子集,但NFC有些新特性又是RFID所不具备的。
: y7 R- v1 ~9 \/ _7 i9 G4 n
9 U2 U4 e- p% z. u, L; g( e w1.4 ID卡类型
/ c" j; r9 W* |" t( O' \( \$ [- h8 t& X& j9 ^1 o
ID卡,工作在低频(125Khz),根据卡内使用芯片的不同,有如下分类:
% i, x8 B/ c& L6 d0 E- _, P# p3 `1 m4 s/ U7 h5 |
ID卡
. Y# U# y# d' \EM4XX系列,多为EM4100/EM4102卡,常用的固化ID卡,出厂固化ID,只能读不能写;常用于低成本门禁卡,小区门禁卡,停车场门禁卡;
" R/ F& H/ J. P. K- B8 V- q/ ] |
: f9 F7 F3 e! t4 M8 Q- k& CID白卡
8 Y% `: A" d0 F# vEM4305或T5577,可用来克隆ID卡,出厂为白卡,内部EEPROM可读可写,修改卡内EEPROM的内容即可修改卡片对外的ID号,达到复制普通ID卡的目的;1 T, P" k* C0 @2 }5 n
T5577写入ID号可以变身成为ID卡,写入HID号可以变身HID卡,写入Indala卡号,可以变身Indala卡
( s6 x6 h1 `4 F# h. ]5 @- ~4 h
HID卡
: ?' V# j0 U* U/ e- r全称HID ProxⅡ,美国常用的低频卡,可擦写,不与其他卡通用;) u0 U7 V! }' W
! C4 b: J1 C" Z: s: S( S0 H
1.5 IC卡类型8 \2 j+ t" `. w' j7 k& C
4 }( y5 X5 V1 J r% I* w
IC卡中最常见的是NXP Mifare系列卡,工作在高频(13.56Mhz),根据卡内使用芯片的不同,有如下分类:
L X. i" \0 q$ G5 F1 x% O# [
4 F, \3 B* ^; YM1卡
b5 V8 M! F2 [+ q, ^+ m% D3 c: S全称Mifare S50,是最常见的卡,出厂固化UID(UID即指卡号,全球唯一),可存储修改数据;常用于学生卡,饭卡,公交卡,门禁卡;
6 S7 R- A* w5 j* y- e+ I1 J: j& s. e5 \
M0卡
! _5 g& ~# i# }* |7 g' f全称Mifare UltraLight,相当于M1卡的精简版,容量更小、功能更少,但价格更低,出厂固化UID,可存储修改数据;常用于地铁卡,公交卡;
/ t9 D+ s& b9 Q! A% q u+ _+ T
$ a, z. L. f) F2 y以上两种固化了UID,为正规卡,接下来就是一些没有固化UID,即不正规的卡:1 r8 R1 b5 _) E) ?
: [# I, ^' A, d$ H+ o- X% E
UID卡1 t3 J7 U X v% _1 h
全称Mifare UID Chinese magic card,国外叫做中国魔术卡,M1卡的变异版本,使用后门指令(magic指令),可修改UID(UID在block0分区),可以用来完整克隆M1卡的数据;
# B! d# p0 n2 X/ j2 v1 k但是现在新的读卡系统通过检测卡片对后门指令的回应,可以检测出UID卡,因此可以来拒绝UID卡的访问,来达到屏蔽复制卡的功能(即UID防火墙系统);
& E" z9 M" X! q$ ^1 z; W% z: s! v r j0 h
CUID卡7 b9 d- S) B# c" Z6 h
为了避开UID防火墙系统,CUID卡应运而生,取消响应后门指令(magic指令),可修改UID,是目前市场上最常用的复制卡;7 x" i% ?5 L% D' w9 v" ?
近两年,智能卡系统制造公司,根据CUID卡的特性研发出CUID卡防火墙,虽然现在(2019年)还不是很普及,但是总有一天CUID卡会和UID卡一样面临着淘汰;4 o7 W1 ~# R% w% U
# m* R7 d2 |* w; R8 [FUID卡
, q6 x5 r. ?2 KFUID卡只能写一次UID,写完之后自动固化UID所在分区,就等同M1卡,目前任何防火墙系统都无法屏蔽,复制的卡几乎和原卡一模一样;5 g( E+ H* I8 E. z9 \3 [
但缺点也相对明显,价格高、写坏卡率高,写错就废卡。
. c x" Q% d$ H8 y# A. g- k
' ]% `9 x! S! pUFUID卡' u n2 |4 x8 Q. q
集UID卡和FUID卡的优点于一身,使用后门指令,可修改UID,再手动锁卡,变成M1卡。
0 P7 t; y N$ [2 h可先反复读写UID,确认数据无误,手动锁卡变成M1,解决了UID卡的UID防火墙屏蔽,也解决FUID的一次性写入容易写错的问题,且价格比FUID卡还便宜;
& h0 H# f) R$ Z. q
E& z$ i: ^0 }+ s判断是M0卡(Mifare UltraLight),还是M1卡(Mifare Classic 1k),可以通过SAK值判断。
2 \& H$ U6 u `8 ~4 R" v# D; p3 J. \: i! q; V7 m0 i
产品ATQASAKUID长度Mifare Mini00 04094 bytesMifare Classic 1k00 04084 bytesMifare Classic 4k00 02184 bytesMifare Ultraligh00 44007 bytesMifare Plus00 44207 bytes% m Z2 [8 `, |
/ y9 @2 q; u. A6 @" ^
1.6 IC卡详细分析8 F6 U* J/ F: I; m, y
, C8 [8 [# }' Q! w: r1.6.1 IC卡存储器结构' m) v: t/ ~. X
& o# N* h0 g" k4 z$ y4 A+ @; ?以M1卡为例,介绍IC卡数据结构。; r- h/ _2 Y. O* O& h
M1卡有从0到15共16个扇区,每个扇区配备了从0到3共4个数据段,每个数据段可以保存16字节的内容;2 ~1 q+ S0 z& a m- n& y
每个扇区中的段按照0~3编号,第4个段中包含KEYA(密钥A 6字节)、控制位(4字节)、KEYB(密钥B 6字节),每个扇区可以通过它包含的密钥A或者密钥B单独加密;- j: T6 S! b$ a1 k' r- n& M
! `4 S: J; k8 G3 E% M
4 Z* i: E; o3 V. \( Y7 l3 K/ R* s6 v9 @+ `+ V8 ]; a0 T
厂商段
2 P3 a Z) R4 S) n每张M1卡都有一个全球唯一的UID号,这个UID号保存在卡的第一个扇区(0 扇区)的第一段(0 编号数据段),也称为厂商段。
: @6 T8 v- o2 D$ P/ ?( n# V其中前4个字节是卡的UID,第5个字节是卡 UID 的校验位,剩下的是厂商数据。5 N8 b8 H1 V* ]) d( M
并且这个段在出厂之前就会被设置了写入保护,只能读取不能修改,前面各种能修改UID的卡,UID是没有设置保护的,也就是厂家不按规范生产的卡。; b M1 S! |& z. M! r7 F
$ n! `9 S: Y/ b) J
 Z( C) A0 ^# B9 W
6 g+ s2 T! H3 }7 n$ N数据段
3 p0 [0 |9 K) K3 K除了第0扇区外,其它每个扇区都把段0、段1、段2作为了数据段,用于保存数据。4 i& W5 A0 I3 U* u
数据段的数据类型可以被区尾的控制位(Access Bits)配置为读/写段(用于譬如无线访问控制)或者值段(用于譬如电子钱包)。
/ {9 y& w6 t# b* L值段有固定的存储格式,只能在值段格式的写操作时产生,值段可以进行错误检测和纠正并备份管理,其有效命令包括读、写、加、减、传送、恢复,值段格式如下:
4 I7 R2 ^) ^2 T4 R9 K
9 l4 J" t+ U9 N+ K+ }, s- P' b- o- D; g/ { P& e
% u8 c( s7 ^' ^6 |; G: ^
Value表示一个带符号4字节值,为了保证数据的正确性和保密性,值被保存了3次,两次直接保存,一次取反保存。该值先保存在0字节-3字节中,然后将取反的字节保存在4字节-7字节中,还保存了一次在8字节-11字节中。) R7 h/ S, g0 I; D3 t5 P" I0 v
Adr表示一个字节的地址,当执行备份管理时用于保存存储段的地址。地址字节保存了4次,取反和不取反各保存了2次。在执行加值、减值、恢复和传送等操作时,地址保持不变,它只能通过写命令改变。
{3 T W: |: w+ P% l* L9 Q# v6 ]" S& x: s" }, T- J
控制段. h2 K6 ?5 N, J0 x1 l
每个扇区都有一个区尾控制段,它包括密钥A和密钥B(可选),以及本扇区四个段的访问控制位 (Access bits);访问控制位也可用于指出数据段的类型(为读/写段还是值段);控制段的存储格式如下:
8 i9 R3 n, E8 `' p6 F# j) D$ ~! U/ m2 Z# X: @9 P! t

% n% b+ I! C1 h% l$ ^5 ]/ {% D5 V p9 m, V+ B
如果不需要密钥B,那么区尾的最后6个字节可以作为数据字节,用户数据可以存储在区尾的第9个字节,这个字节具有和字节6、7、8一样的访问权限。
7 p$ Q. H" b+ r! h2 ~5 E p- G' g; b$ s0 {
1.6.2 IC卡访问存储器# R1 x( ~4 A0 k7 q$ |$ k. i
. b5 F2 q7 ?& N8 ]5 _. H6 c数据段支持的操作
H1 V g# k! i4 T5 W) r根据使用的密钥和相应区尾访问条件的不同,数据段所支持的存储器操作也不同,存储器的操作类型如下:
5 X# X# ~0 k# ^/ l6 b/ }. K5 U8 w0 S* N) `) K
" N" u% z9 _+ R
5 W- z. Q: v3 M/ A+ f- B. q6 @可以看到只有作为值段时,才能加、减、传送、恢复。
: V! ~. |. m0 `* t* S" m0 B0 }5 u. {% l1 b H/ {
各区的访问位定义 S" e! S! b9 [. e- ]# p
每个数据段和区尾的访问条件由3个位来定义,它们以取反和不取反的形式保存在区尾指定字节中。
?: I; _! w( p7 q+ t2 H( Y访问位控制了使用密钥A和B操作存储器的权限,当知道相关的密钥和当前的访问控制条件时,可以修改访问条件,各区的访问位定义如下:' v7 m6 \+ D% V6 ^- V
6 C# O0 z" A( Z' s4 h
5 y8 t7 @' q- y: B7 z
' r! ] \& h6 A& B m访问位在区尾的存储形式6 ~/ r9 C, {- k# l, \! R9 R4 \
9 {1 O; j' A* \& J4 f' `' [! r

/ a7 D6 I8 _ |9 H3 L
: ~) y$ A7 A% z# {- R区尾的访问条件5 o- {* Y1 `) _" o* e: h! {
根据区尾(段 3)访问位的不同,访问条件可分为 “从不”、“密钥A”、“密钥B” 或“密钥A|B”(密钥A或密钥B),区尾的访问条件如下:
7 [. e% I( X. w6 o# }) k: o* u
: Y" h! R% `8 Z. n0 |5 j u! n
% \6 g1 V, V0 n6 p
- ? s; k% v3 c8 a1 W/ t' X用灰色标明的行是密钥B可被读的访问条件,此时密钥B可以存放数据。( M* [. W y0 M6 o% [* |' T' e7 A
例如:当段3的访问条件C13C23C33=100时,表示:密钥 不可读(隐藏),验证密钥B正确后,可写(或更改);访问控制位在验证密钥A或密钥B正确后,可读不可写(写保护);密钥B不可读,在验证密钥 B 正确后可写;* u3 l' q* T7 W- k
又如:当段3的访问条件C13C23C33=110或者111时,除访问控制位需要在验证密钥A或密钥B正确后可读外,其他如访问控制位的改写,密钥 A,密钥 B 的读写权限均被锁死而无法访问;
. j7 c" ]! x4 [; D( m$ \/ v! E6 A# |" ?! N
数据段的访问条件5 b) @! ~4 S2 V" g9 s8 Z& t
根据数据段(段 0-2 访问位的不同,访问条件可分为 “从不”、“密钥A ”、“密钥B ” 或“密钥A|B”(密钥A或密钥B)。" W7 C: u# \" t3 B# x: ^& g. V
相关访问位的设置定义了该段的应用(或者说数据段类型)以及所支持的应用命令,不同的数据段类型可以进行不同的访问操作。 读/写段可以进行读操作和写操作。值段可以进行加、减、传送和恢复的值操作。( F# {8 m) P# j: }0 ~. }
其中一种情况中(001)只能对不可再充电的卡进行读操作和减操作,另一种情况中(110)使用密钥B可以再充电。 厂商段无论设置任何的访问位都只是只读的, 数据段的访问条件如下:
7 \' [# x2 b* M6 y; M y! J# ?7 G4 R% Y+ ]
/ X+ I) s& ~# x! X5 l4 ?
( a9 p5 M" d7 T# h如果密钥B可以在相应的区尾被读出,它就不能用于确认(在前面所有表中的灰色行)。如果读卡器要用这些(带灰色标记的)访问条件的密钥B确认任何段,卡会在确认后拒绝任何存储器访问操作。5 l0 R' x- X. V3 ~5 D
% v; @# y! ?/ [8 s/ O1.6.3 举例说明
% x- e5 P, G/ N
. e; P% y. L8 g& i: r$ Y2 ~Mifare S50出厂时,访问控制字节(字节6-字节9)被初始化为“FF 07 80 69”,KEY A和KEY B的默认值为“FF FF FF FF FF FF” ;
2 Z3 ]7 o4 B9 {, b4 k2 w7 n字节6为FF,二进制为1111111;字节7为07,二进制为00000111;字节8为80,二进制为10000000,如下:
" N# j; Y5 {9 U6 d4 z" i' G; J+ w4 k& I0 U) l
0 ^; T) I7 a! v! i w
/ Y$ E/ Y- g# _" o3 X
对照前面的访问位在区尾的存储形式图,可得知访问控制位为:
9 C( {4 F9 G+ kC10C20C30=000;C11C21C31=000;C12C22C32=000;C13C23C33=001。
8 Q e% k* U, {& d; J5 p) \, O
" L( w# }0 S! ` s2 r* I/ iC10C20C30、C11C21C31、C12C22C32对应数据段0、1、2,参考数据段的访问条件图即可得知该段三个数据区的访问权限;/ ?2 d1 g+ ~8 a; x! R7 N( x
C13C23C33对应区尾(段 3),参考区尾的访问条件图即可得知该段的访问权限;
9 p9 P0 m4 l9 n6 s: ` m+ s8 c" v$ q5 D& H
块0控制位为:0 0 0 权限为:通过A或者B密码认证后可读,可写,可进行加值和减值操作;+ H7 J7 O5 B) }; ^6 {' ^ T0 F
块1控制位为:0 0 0 权限为:通过A或者B密码认证后可读,可写,可进行加值和减值操作;
) b( M% \" m$ g8 _2 N: U块2控制位为:0 0 0 权限为:通过A或者B密码认证后可读,可写,可进行加值和减值操作;7 p" ^. c6 q ^# S
块3控制位为:0 0 1 权限为:A密码不可读,验证A或者B密码后可改写A密码;验证A或者B密码后,可读可改写存取控制;验证A密码或者B密码后,可读可改写B密码;7 @; v/ {1 c6 p2 ^- N
- R3 A; j1 t7 a这样每次换算还是有点麻烦,可以使用M1 S50卡控制字节生成工具快速换算:3 c# R7 b! u: u$ }" _9 x/ P& o
) E# j# b; W/ T9 h& X/ n
 R. V; L. d# a" F% K1 @
& V8 {9 S6 q+ b9 b6 ~
最下面一行可以输入想解释的控制字,也可以根据上面的设置生成控制字;
0 J& s9 Q) Q* k+ X% t) w$ Q最上面一行,左边是数据段0、1、2的访问控制位,右边是对应权限所需要的秘钥; ^7 u+ L9 H6 o$ M4 v
中间的一行,左边是区尾的访问控制位,右边是对应权限所需要的秘钥;
: @& ?# S4 c# V9 t0 a. I6 g" c
1.7 非加密IC卡和加密IC卡" w% L% C+ Z5 g( d$ a0 W1 V
9 N4 X1 l0 Z' W; v4 [
非加密IC卡和加密IC卡的区别就是,非加密IC卡中所有扇区的KEYA和KEYB数值都是默认值FFFFFFFFFFFF;
" o' G# |* q) s% e1 @而加密IC卡中,其中有扇区的KEYA和KEYB不等于FFFFFFFFFFFF,部分扇区加密的卡称半加密IC卡,所有扇区都加密的卡称全加密IC卡。
4 D D& n+ [ z
0 f: [+ G2 b9 N' t一般的读卡器,像手机的NFC,是读不到IC卡的加密数据的,需要用专门的工具,比如Proxmark3读取。
1 k+ ~' C6 [% x5 Y6 H4 Q
. ~3 g$ k6 M% ^5 p9 L' `对于IC卡,除了对卡上数据加密,还有滚动码加密、服务器数据验证等技术。
7 [4 q: g) Y, k$ f% l; v8 N& q& N因此,对IC卡的解密,更多的是门禁卡、签到卡、车库卡等的讨论,像公交卡、饭卡等涉及到资金问题的,基本都有服务器定期校验,得先搞定服务器再说,难度高还违法。0 a1 R" Z7 q2 I& ]0 `+ T
2 ]. i! J+ Z7 V1 n参考资料:
2 s- d: M+ A( x2 V* B6 ~8 [! f码农生活 篇二:IC卡门卡模拟探秘* Q+ @7 J3 Y8 A) z; N
IC卡简介【M1/S50,UID,CUID,FUID,UFUID复制卡介绍】
% u. o- g1 D2 c/ _3 \1 H+ f谈谈 Mifare Classic 破解
* H# ^0 u) k& Z% rrfid-practice
/ b3 s2 T4 D1 v( i9 P* _- F; xType A 卡存储结构与通信- C5 d1 T. d$ k9 J
Proxmark3 Easy破解门禁卡学习过程
: e& n5 B, ^& q/ B7 v" [; n" Q4 w7 O! Y& u+ @& y# s1 b5 n) }
2. 手机NFC模拟加密门禁卡( }2 |* ^) ?: p# ?
7 N; B8 v* p& w* a9 Q7 H有了前面的知识,再来看现在我的加密门禁卡情况,手机能识别为加密卡,肯定是IC卡。
' Q7 z6 C$ s( p; S# H+ \4 v7 k# Z2 r8 ^/ }; o
首先,加密卡在目前这个情况下是无法解密的,如果按照下面的操作失败,请参考下一章。2 `0 A/ t+ }4 `8 ]* C9 i; Y* H! @
部分门禁系统只认证IC卡的UID,利用这一情况,可以试试复制门禁卡的UID,看运气能否打开门。; k) B4 m. h- U" X, f: }+ [
: T' t/ H4 M: l3 F7 T
在已root的情况下,直接使用APP NFC卡模拟 便可读取加密卡的UID和非加密数据、并写UID到手机NFC里。6 X' j& A* {' V8 g
在未root的情况下,使用小米系统自带的门卡模拟功能,出于安全考虑,是不能对加密卡进行任何操作。手机的NFC,理论上可以读加密IC卡的UID,因此可以使用第三方软件MifareClassicTool读取UID,因为没有root,不能写手机NFC,但可以写IC卡,因此还需要一张CUID卡(不能使用UID卡),某宝上一块多一张,思路就是先读取加密卡的UID,再读取CUID卡的数据,然后将CUID卡的UID改为加密卡一样的UID,再将修改后的数据写回到CUID卡,最后用小米系统自带的门卡模拟功能,复制未加密的CUID卡即可。7 c2 s9 ^' }0 ^% \# m
+ }4 L! b: j/ p% C+ k P5 v1 R
1.读取加密卡的UID, q6 H4 I6 }# p' O3 }
打开软件Mifare Classic Tool,将加密门禁卡放到手机的NFC感应区域,识别到IC卡后,点击“工具”->“显示标签信息”,可以看到加密门禁卡的8个数字,4字节的UID。
0 i, x8 f$ k$ Q% q: s0 C" t注意,在16进制里,每个数字为4位(2^4=16),8位(bits)为一字节(bytes),即两个数字组成一字节,这里8个数字,即为4字节(Bytes)。
$ J, |/ i# h+ ]" C前8个数字,每个数字代表4位,8位为一字节,8个数字就是32位,即4字节7 n# J3 x- ?6 H7 [5 M
接着打开“工具”->“BCC计算器”,输入UID,得到1位BBC(两个数字)校验数据。
& \5 q& \! M. E/ M) n5 X
- m% S- f0 R# {# D. A2 k- H; x8 H" D) H7 X: g" s
3 P; `$ T6 E0 ]7 w
2.读取CUID卡数据4 P) S8 b1 U7 ?% g1 h1 B, V
将CUID卡放到手机的NFC感应区域,识别到IC卡后,点击“读标签”->“启动映射并读取标签”,即可得到CUID白卡的所有信息。0 ?% E+ i9 |, \$ \9 u8 L+ t
接着修改第一行的前10个数字,改为加密门禁卡的UID(8个数字)和BCC(2个数字),一共10个数字,并点右上角保存图标保存。, O( y9 ~0 @4 }" C
/ g3 O7 B6 b o( I" A* Y# u4 F
* c; F$ L7 L5 ~5 a5 I( p
9 F& V Z- V. G# u4 Y G
3.写数据到CUID卡& ?* B+ r2 h T+ k, f
再将CUID卡放到手机的NFC感应区域,识别到IC卡后,点击“写标签”,勾选“写转储(克隆)”->“显示选项”->“高级:使能厂商块写入”。
5 g. j9 s5 o1 p! \3 ~2 f再点击“选择转储”,选择刚才保存的数据,点击“选择转储”。
/ U, h; n/ q3 B& ` _3 g) j7 G
: j8 M$ |1 }, ^1 [0 C/ i0 A' B" C
! T* a6 {) G* \! Y在弹出的选择写扇区界面,默认即可,点击“好的”,最后点击“启动映射并写转储数据”。
! ~% P7 p( t2 @ e3 _' X3 u9 }4 w) G" z' \: A
0 |8 V ]' R* u; a7 o
1 F) S% ^4 p/ Q; V% c4.NFC手机复制CUID卡: V, o4 w0 K! n; k0 L2 p+ L2 L/ |- R
最后,使用小米手机系统自带的门卡模拟功能,复制刚才写入新UID的CUID卡即可。
! C+ k' s$ y: y: k; e9 A% C
% m/ A+ r; c1 k$ X$ M; ~! L+ N+ u7 H接着,就看运气吧,我小区的门禁系统就只认UID,搞定。( t' `; |5 Y1 a% r, E
+ H4 M( d1 Q3 f: D7 d" `4 k9 H1 E# [9 `# v4 u% K1 `
|