返回顶部

NFC模拟加密卡

  [复制链接]
天际线0907 显示全部楼层 发表于 2021-1-18 00:52:33 |阅读模式 打印 上一主题 下一主题 来自: 中国–山东–泰安肥城县 电信
记录小米手机NFC模拟加密门禁卡,以及Proxmark3的使用。
% c8 c; i2 U3 m' p3 W/ z9 {
! o4 e2 l' _/ \+ o! c) \0. 缘起3 P3 C% D5 Q! ]% ?+ ~
; N9 n% f+ i& g% k! U1 n
之前,小区用的门禁卡为非加密的门禁卡,使用小米手机系统自带的门卡模拟功能复制即可。: W: w+ r) w/ E3 U6 L4 ]  ?. E* Q
后来,小区门禁系统换了一家供应商,再使用之前的方法复制门禁卡,手机提示为加密卡,无法复制。% @. _$ z6 \2 _- B- d

6 R; C4 ^$ d2 ?) T) n$ w. @新的门禁系统,更安全了,也支持APP远程控制开门了,直到有一天门禁卡丢了,开始使用APP开门,发现这APP写得烂透了,十次有五次点击开门按钮无反应,需要反复退出、打开APP多次才能点击开门按钮成功,还有两次直接没了开门按钮,提示到物业管理处处理……0 R6 p9 j  R2 O# ^% c" G$ q; S
那个时候,我又开始怀念用手机刷门禁的快感了。。' @& W# w# t; ^+ M4 S* [; _

! E$ n% @+ p( Z/ `) x3 K2 L1. 基础知识1 Q; C$ C/ x5 ?; v( A

9 |6 s1 X3 r3 @. W2 i- Z于是,我开始查阅资料,基本确定了小米手机是还是可以通过其它方式模拟加密门禁卡的。
3 Y0 @/ Q8 W, K8 P8 R) b然后,资料查多了,记不到,又怕以后用到需要重新找,干脆水一篇博客记录下来。
, |6 [0 K; R( M/ M如果熟悉NFC和IC卡,或者只想模拟加密门禁卡,并不关心原理,这章可以跳过,直接看下一章。+ T0 Q7 w0 d3 [
0 A9 p# ^6 X0 O& Y+ z1 [
1.1 ID卡和IC卡
% R9 h8 }# D  i- f' c& O1 n9 _) M8 g, H7 @- c" [
ID卡:全称身份识别卡(Identification Card),多为低频(125Khz),是一种不可写入的感应卡,含固定的编号,主要有台湾SYRIS的EM格式,美国HID、TI、MOTOROLA等各类ID卡。; G3 T0 n& w& E4 n4 N$ `

/ Y" m4 [. K8 l7 z+ pIC卡:全称集成电路卡(Integrated Circuit Card),又称智能卡(Smart Card)。多为高频(13.56Mhz),可读写数据、容量大、有加密功能、数据记录可靠、使用更方便,如一卡通系统、消费系统等,目前主要有PHILIPS的Mifare系列卡。
- |1 W" K( |  t9 d4 w
' }3 I% q- X6 \9 Z1 g6 s主要区别:1 e2 ~+ {# {$ Y" h
ID卡,低频,不可写入数据,其记录内容(卡号)只可由芯片生产厂一次性写入,开发商只可读出卡号加以利用,无法根据系统的实际需要制订新的号码管理制度;. s. R4 V$ g# S7 M) I
IC卡,高频,不仅可由授权用户读出大量数据,而且亦可由授权用户写入大量数据(如新的卡用户的权限、用户资料等),IC卡所记录内容可反复擦写;6 K7 L+ V& ]: I5 \7 \

/ |! X8 d3 S% s: B# GIC卡由于其固有的信息安全、便于携带、比较完善的标准化等优点,在身份认证、银行、电信、公共交通、车场管理等领域正得到越来越多的应用,例如二代身份证、银行的电子钱包,电信的手机SIM卡、公共交通的公交卡、地铁卡、用于收取停车费的停车卡、小区门禁卡等;$ c% \: [, l& A" n& j7 O! [

3 R8 K% a4 v) D1 l/ ~) q, [
- M5 k" x" F6 n9 K* N, O
- ^( [; h- _* C5 ~8 Z* A/ r, E
7 I' e# m& y0 j6 c* N0 r. T  g* |# C4 u! c& f: [; f
以上图片来自淘宝商家,网上找了半天相关资料,发现淘宝商家解释得最清楚。* D7 i& e) A5 ~& Z
/ b7 |' a  }- Q  V4 ~
总结:2 |$ q5 Q  H$ B# Y2 P& I( U0 |5 M
1.ID卡多为低频,IC多为高频;5 B( ?. n, T8 {3 f
2.IC卡整体上看比ID卡更有优势,市面上使用的大多数也是IC卡;
( h( F& i# V/ y, U& y' g3.对于矩形白卡,里面为矩形线圈、表面没有编号的多为IC卡,里面为圆形线圈、表面有编号的多为ID卡;, K3 k+ q9 V: A- o
4.对于异形卡,有编号的多为ID卡,最好使用带NFC的手机进行测试(目前手机NFC只能读高频13.56Mhz),IC卡会有反应;
0 x6 V3 w2 ^4 v
) S+ {8 T' ?& W; h" n, j1.2 接触式和非接触式IC卡2 \; g) E. ?. l! b% k& \+ A) c3 g. E
+ k$ y+ ]7 n$ c' D8 b+ @) B
IC卡又可以分为接触式IC卡和非接触式IC卡。
5 x" {" y$ ^; n5 l6 p, i* c1 B6 z
接触式IC卡:该类卡是通过IC卡读写设备的触点与IC卡的触点接触后进行数据的读写;3 c6 n; ?) V8 m7 O0 p% {. M
5 J$ C( T  c6 E6 Q
非接触式IC卡:又称射频卡、感应式IC卡,该类卡与卡设备无电路接触,而是通过非接触式的读写技术进行读写(例如RFID、NFC),其内嵌芯片除了CPU、逻辑单元、存储单元外,增加了射频收发电路。该类卡一般用在使用频繁、信息量相对较少、可靠性要求较高的场合。
+ |; e! a! t! o+ }
9 X  D: `* @1 Y  E7 r3 @! t! Z两者比较好区分,直接看卡上有无金属触点即可。
3 D9 _& w* e' P/ c
: O- o0 k, _' V# N: m% i0 x( {) f3 i7 K0 R- V- n

7 A2 \% Y1 K1 i- Q& L  Z6 y! t1.3 RFID和NFC( D$ L0 H% @+ z

8 ^  X8 d# v/ B, E: n- r: ?非接触式的读写技术常见的有两种:RFID技术和NFC技术。8 ^1 X0 Z# V, ^/ U9 ~) A2 a
' X% z. c4 g( f" h1 W
RFID技术:. R+ O! U: A3 t5 i
1.通常应用在生产,物流,跟踪和资产管理上;
4 @" Y  S0 Z' m% u" [' L/ Q" n1 J2.根据频率划分包含低频、高频(13.56MHz)、超高频、微波等;2 m- Q* s* A+ d1 K  l
3.作用距离取决于频率、读写器功率、读写器天线增益值、标签天线尺寸等,工作距离在几厘米到几十米不等;8 N0 U0 s3 w+ |0 x9 E' t
4.读写器和非接触卡可以是一对多关系,也可以说一对一关系;且读写器和非接触卡是两个实体,不能切换;
9 B  X8 ?2 c5 ^! R/ b! u- E
* C, S* h7 D  e: b: x. uNFC技术:3 r1 m4 ^4 ~3 h  q+ O& m: C8 \
1.通常应用在门禁,公交卡,手机支付等领域;
  v' {$ y# ]8 y3 V) y( y$ C2.频率也是13.56MHz,且兼容大部分RFID高频相关标准(有些是不兼容);+ S& H/ g2 Y5 Y4 \# g8 {+ W
3.NFC作用距离较短,一般都是0~10厘米;
0 G: k7 z/ v, k  O4 |4.读写器和标签几乎都是一对一关系;且支持读写模式和卡模式,可以作为读写器也可变为非接触卡;
/ e6 X: H, d3 Q, P/ H) `' V
" Z0 d5 _( `0 g" e4 E1 }- {总体来说,NFC是RFID的子集,但NFC有些新特性又是RFID所不具备的。( W: P/ U2 k  D$ b# n# X
1 K# F+ ?# ?5 \/ u7 b6 v  f, L" V
1.4 ID卡类型
. a0 U, W" k1 w% ~1 c3 p8 Q) Q9 m9 l0 I' o% j/ s
ID卡,工作在低频(125Khz),根据卡内使用芯片的不同,有如下分类:2 M6 @9 }, ~" z% e  ?+ A& S

2 e0 C! Y2 Q6 t9 U) K6 i0 M7 S" {3 cID卡7 m' W' [) L) S
EM4XX系列,多为EM4100/EM4102卡,常用的固化ID卡,出厂固化ID,只能读不能写;常用于低成本门禁卡,小区门禁卡,停车场门禁卡;
# k: S. [2 R1 K  X* X$ \7 F) f' b; \' _  B# t
ID白卡
3 o9 b7 _- G8 @6 ?0 ^& D- u& AEM4305或T5577,可用来克隆ID卡,出厂为白卡,内部EEPROM可读可写,修改卡内EEPROM的内容即可修改卡片对外的ID号,达到复制普通ID卡的目的;" M! i3 {( c& ]( h( b. S& w# \% U
T5577写入ID号可以变身成为ID卡,写入HID号可以变身HID卡,写入Indala卡号,可以变身Indala卡
! [4 a) k* W0 z$ Y: D/ G. w! |
2 y+ Y8 M+ A: |+ r7 NHID卡% V6 y$ _0 w9 f, v+ m& s  F! F
全称HID ProxⅡ,美国常用的低频卡,可擦写,不与其他卡通用;
+ z$ O4 Y) g0 F4 q. ?9 W7 {1 M: {! f) J: Q# E7 |1 o
1.5 IC卡类型- i6 o! h" i4 |& Z5 T
$ d0 Y9 Z! H0 J9 t
IC卡中最常见的是NXP Mifare系列卡,工作在高频(13.56Mhz),根据卡内使用芯片的不同,有如下分类:
" D  u& m8 i3 U& [
2 b# Z* M9 ^8 mM1卡" Y0 e6 @( F0 K3 {# k5 S( S2 ?
全称Mifare S50,是最常见的卡,出厂固化UID(UID即指卡号,全球唯一),可存储修改数据;常用于学生卡,饭卡,公交卡,门禁卡;
1 |5 {# Q$ R* U
; G/ I1 d/ P8 F0 X; WM0卡: f: b! F% s6 F
全称Mifare UltraLight,相当于M1卡的精简版,容量更小、功能更少,但价格更低,出厂固化UID,可存储修改数据;常用于地铁卡,公交卡;
  `6 T' G! j  j" s4 L" R* r: M: ^, m3 }3 K  E6 u( e
以上两种固化了UID,为正规卡,接下来就是一些没有固化UID,即不正规的卡:
9 l4 ?; T  |2 e7 r- S' R4 i6 ^- I. J+ J* c
UID卡) N. g6 O+ E/ X9 l5 }1 U
全称Mifare UID Chinese magic card,国外叫做中国魔术卡,M1卡的变异版本,使用后门指令(magic指令),可修改UID(UID在block0分区),可以用来完整克隆M1卡的数据;6 @* f7 v! E6 q6 q' x, j9 t
但是现在新的读卡系统通过检测卡片对后门指令的回应,可以检测出UID卡,因此可以来拒绝UID卡的访问,来达到屏蔽复制卡的功能(即UID防火墙系统);9 J: j* {8 T8 C4 j1 d
! q+ V) y  c1 K& f' Q9 r
CUID卡
3 g  b2 Y9 l: e8 h6 R为了避开UID防火墙系统,CUID卡应运而生,取消响应后门指令(magic指令),可修改UID,是目前市场上最常用的复制卡;
" _  {  [5 j, |8 Y近两年,智能卡系统制造公司,根据CUID卡的特性研发出CUID卡防火墙,虽然现在(2019年)还不是很普及,但是总有一天CUID卡会和UID卡一样面临着淘汰;
6 \. W* \' x) W3 T- c+ x) m* y
  Q; |4 x. U& z/ s( |7 l7 d7 Z% u2 y6 UFUID卡+ q% s; B6 ~1 d! |% ~
FUID卡只能写一次UID,写完之后自动固化UID所在分区,就等同M1卡,目前任何防火墙系统都无法屏蔽,复制的卡几乎和原卡一模一样;
4 M* n3 J4 q. c# h, k2 g4 R; m但缺点也相对明显,价格高、写坏卡率高,写错就废卡。
) ]. g/ [1 Q! \) P/ N7 w
/ u. X4 Z# l) s7 F8 p3 s& r+ mUFUID卡
! i* B( S$ t* O& D3 F  q& s, G集UID卡和FUID卡的优点于一身,使用后门指令,可修改UID,再手动锁卡,变成M1卡。* _9 S- B5 J3 ?: C& J
可先反复读写UID,确认数据无误,手动锁卡变成M1,解决了UID卡的UID防火墙屏蔽,也解决FUID的一次性写入容易写错的问题,且价格比FUID卡还便宜;
; M% }0 D# X+ w  h4 k4 k
" v! \* ^& K4 E, U判断是M0卡(Mifare UltraLight),还是M1卡(Mifare Classic 1k),可以通过SAK值判断。. i1 \3 |/ {* h  ]

$ w7 {5 T7 w  K: s) v- w9 Z/ G产品ATQASAKUID长度Mifare Mini00 04094 bytesMifare Classic 1k00 04084 bytesMifare Classic 4k00 02184 bytesMifare Ultraligh00 44007 bytesMifare Plus00 44207 bytes
3 g/ X& h: q5 k7 x0 q& Q# J  r# ?5 V0 a/ G4 J
1.6 IC卡详细分析/ P% |! _+ |+ _& S( E9 f
8 l2 X" C7 V4 v; Q  a3 A
1.6.1 IC卡存储器结构
$ \9 V1 o6 k; [0 L4 ~6 @! a
3 W! v! z* H  K  x' A! }# E' a以M1卡为例,介绍IC卡数据结构。
% J% h  _( p  k  n3 p* |# WM1卡有从0到15共16个扇区,每个扇区配备了从0到3共4个数据段,每个数据段可以保存16字节的内容;
" |8 {+ h9 F2 h4 u5 E; X每个扇区中的段按照0~3编号,第4个段中包含KEYA(密钥A 6字节)、控制位(4字节)、KEYB(密钥B 6字节),每个扇区可以通过它包含的密钥A或者密钥B单独加密;) H: l9 N6 c; [( b
6 o/ d& D- V* B7 D/ x  q( f
9 {6 u9 N' S- r- C5 M
1 m- v. P* |! c" G% Y  r' o+ e
厂商段: Y% k6 k6 T+ ^$ c+ L' I# M0 _# W5 S
每张M1卡都有一个全球唯一的UID号,这个UID号保存在卡的第一个扇区(0 扇区)的第一段(0 编号数据段),也称为厂商段。& O5 H8 z$ J; ]' ~) N2 t4 p
其中前4个字节是卡的UID,第5个字节是卡 UID 的校验位,剩下的是厂商数据。, q0 Y+ M; I; e& f
并且这个段在出厂之前就会被设置了写入保护,只能读取不能修改,前面各种能修改UID的卡,UID是没有设置保护的,也就是厂家不按规范生产的卡。; ~2 G1 G1 o. i, v1 A6 g( Y% V
/ r  ~$ L, F( U1 f3 L: L$ n4 F

9 k7 [0 R3 B' @! D% M' {
- V- U+ ^" n) t4 K2 m# I数据段
5 i( F) ~! k$ s8 a. t2 v除了第0扇区外,其它每个扇区都把段0、段1、段2作为了数据段,用于保存数据。. @" I) E% U& q3 f$ u$ i$ j* u& p
数据段的数据类型可以被区尾的控制位(Access Bits)配置为读/写段(用于譬如无线访问控制)或者值段(用于譬如电子钱包)。
# K* \+ p8 W7 m) g值段有固定的存储格式,只能在值段格式的写操作时产生,值段可以进行错误检测和纠正并备份管理,其有效命令包括读、写、加、减、传送、恢复,值段格式如下:
1 E/ V# U9 K  b1 n7 _3 E& q, d! ^6 {! M: z) c

- t. F1 N7 f  b# o5 a7 _. v+ r0 t6 ]8 U
Value表示一个带符号4字节值,为了保证数据的正确性和保密性,值被保存了3次,两次直接保存,一次取反保存。该值先保存在0字节-3字节中,然后将取反的字节保存在4字节-7字节中,还保存了一次在8字节-11字节中。
- c( A7 c* h' LAdr表示一个字节的地址,当执行备份管理时用于保存存储段的地址。地址字节保存了4次,取反和不取反各保存了2次。在执行加值、减值、恢复和传送等操作时,地址保持不变,它只能通过写命令改变。$ ^+ K! D+ }+ H
" \6 t* C& R( P' y& Z9 d
控制段
8 {. @4 c+ G: U) ~每个扇区都有一个区尾控制段,它包括密钥A和密钥B(可选),以及本扇区四个段的访问控制位 (Access bits);访问控制位也可用于指出数据段的类型(为读/写段还是值段);控制段的存储格式如下:# k1 x/ Q; e5 I; f5 w# W+ m

, n7 P3 q& m/ l9 s7 M0 M9 I3 B3 _+ K

& h7 e3 }$ H5 J如果不需要密钥B,那么区尾的最后6个字节可以作为数据字节,用户数据可以存储在区尾的第9个字节,这个字节具有和字节6、7、8一样的访问权限。) X1 o! |! E5 o

3 f9 P+ n: {  Q, S+ F$ ~* |$ e9 z1.6.2 IC卡访问存储器1 {, I2 Q, q( J4 u6 X6 J

; ?! ^) p3 ], N( x% @  b数据段支持的操作
! ]* m9 ?/ I3 X- t% p- s  a根据使用的密钥和相应区尾访问条件的不同,数据段所支持的存储器操作也不同,存储器的操作类型如下:
8 D' z8 D; b$ ^0 q' z: A6 m9 B2 n" Q2 E! b) j% R; k2 v
9 N5 B; P( p. X" H
  c& Q, C0 _! G3 D2 ^2 ]
可以看到只有作为值段时,才能加、减、传送、恢复。
" Z2 N& K3 f3 u* [2 @$ `9 q6 D* j/ g! Q6 s6 l/ c9 |  u9 s9 r
各区的访问位定义# M4 b$ h6 v* Y- w6 o: L5 _9 b- ?
每个数据段和区尾的访问条件由3个位来定义,它们以取反和不取反的形式保存在区尾指定字节中。8 n3 \5 _5 b& \
访问位控制了使用密钥A和B操作存储器的权限,当知道相关的密钥和当前的访问控制条件时,可以修改访问条件,各区的访问位定义如下:+ V! o( h( E+ B: a
) K1 N. f/ V* v( r

4 p6 H* @+ K4 M1 O+ T3 p; |" i/ Q' n+ Z
访问位在区尾的存储形式  F  i+ e, t. H$ O& Q

' @' I! a5 E* u
5 D3 ]# H7 q; Z' c- \* d& @( [+ L
/ ?# [1 ^" t0 o0 m% a区尾的访问条件
- G6 A, I' w" Y" L# a$ M根据区尾(段 3)访问位的不同,访问条件可分为 “从不”、“密钥A”、“密钥B” 或“密钥A|B”(密钥A或密钥B),区尾的访问条件如下:
+ J6 ]2 [( ~% a, W0 v: u6 Z
6 G4 o) w7 V$ r/ g" F
# a9 u, D/ W0 Z5 o* S& n; Y# ^& M6 `& s* Z9 K
用灰色标明的行是密钥B可被读的访问条件,此时密钥B可以存放数据。# F/ C, Q9 u7 Y, {
例如:当段3的访问条件C13C23C33=100时,表示:密钥 不可读(隐藏),验证密钥B正确后,可写(或更改);访问控制位在验证密钥A或密钥B正确后,可读不可写(写保护);密钥B不可读,在验证密钥 B 正确后可写;) R! w% r5 B. d; ~6 y8 i2 H' m
又如:当段3的访问条件C13C23C33=110或者111时,除访问控制位需要在验证密钥A或密钥B正确后可读外,其他如访问控制位的改写,密钥 A,密钥 B 的读写权限均被锁死而无法访问;
0 a1 U  ^+ t5 D/ k1 f3 [1 ~  i
5 T/ [. f& w& }* k数据段的访问条件
, E- v0 ]9 |8 Y4 d根据数据段(段 0-2 访问位的不同,访问条件可分为 “从不”、“密钥A ”、“密钥B ” 或“密钥A|B”(密钥A或密钥B)。9 K4 U$ m0 O! H7 A) n' b, ~7 b
相关访问位的设置定义了该段的应用(或者说数据段类型)以及所支持的应用命令,不同的数据段类型可以进行不同的访问操作。 读/写段可以进行读操作和写操作。值段可以进行加、减、传送和恢复的值操作。
3 [7 M) N& y" t0 `% n3 J5 b$ r其中一种情况中(001)只能对不可再充电的卡进行读操作和减操作,另一种情况中(110)使用密钥B可以再充电。 厂商段无论设置任何的访问位都只是只读的, 数据段的访问条件如下:
( k2 j  q0 q2 x$ G% V
1 p$ J2 Y# F/ `; C5 I: I. e. m5 H( K. i

) P- X. f) b, `7 i% x5 t如果密钥B可以在相应的区尾被读出,它就不能用于确认(在前面所有表中的灰色行)。如果读卡器要用这些(带灰色标记的)访问条件的密钥B确认任何段,卡会在确认后拒绝任何存储器访问操作。$ k1 F4 r" [2 m1 E4 U

3 J2 X" b2 D% u' _! M0 ~1.6.3 举例说明' w& C# ~4 Q- x/ Y! G
" D$ S# N, D) _) G" o  A  T
Mifare S50出厂时,访问控制字节(字节6-字节9)被初始化为“FF 07 80 69”,KEY A和KEY B的默认值为“FF FF FF FF FF FF” ;+ Y! K. l$ X+ x% a5 z
字节6为FF,二进制为1111111;字节7为07,二进制为00000111;字节8为80,二进制为10000000,如下:
" P* {& W0 b  {! U6 l
/ ^' C+ X0 O2 Q/ B8 z
2 F$ p2 f3 x* m  r- N* z9 J
* n' R9 t2 U1 V; o2 O对照前面的访问位在区尾的存储形式图,可得知访问控制位为:3 J0 D* m4 B, w2 [5 j% n
C10C20C30=000;C11C21C31=000;C12C22C32=000;C13C23C33=001。; P) g+ P: k  k9 j6 \! i- S) v. H1 [

. S- f. P1 y! X" QC10C20C30、C11C21C31、C12C22C32对应数据段0、1、2,参考数据段的访问条件图即可得知该段三个数据区的访问权限;; `, G; w2 ?( F7 G
C13C23C33对应区尾(段 3),参考区尾的访问条件图即可得知该段的访问权限;$ P4 K8 s# c2 _
. @' a0 D+ o1 T1 o7 f
块0控制位为:0 0 0 权限为:通过A或者B密码认证后可读,可写,可进行加值和减值操作;
, ?# a% L9 b7 j# b3 l块1控制位为:0 0 0 权限为:通过A或者B密码认证后可读,可写,可进行加值和减值操作;
7 N+ P- w% V8 j块2控制位为:0 0 0 权限为:通过A或者B密码认证后可读,可写,可进行加值和减值操作;' k& [  U1 L) B$ X: P+ b
块3控制位为:0 0 1 权限为:A密码不可读,验证A或者B密码后可改写A密码;验证A或者B密码后,可读可改写存取控制;验证A密码或者B密码后,可读可改写B密码;
" L- Z" R1 a: |3 p# w
4 b+ H9 ?% u6 F2 Q2 z$ Q7 u这样每次换算还是有点麻烦,可以使用M1 S50卡控制字节生成工具快速换算:
+ d/ J, h& m. G* [
, I9 q( v, X( Z5 a/ A
" l' g9 p& ~0 w1 N- \0 o9 ?& j# j
; k8 a0 H( o- n, t! }' D5 ^8 Q6 C最下面一行可以输入想解释的控制字,也可以根据上面的设置生成控制字;
1 H$ W7 c+ u: |0 s5 p1 [* ]( m最上面一行,左边是数据段0、1、2的访问控制位,右边是对应权限所需要的秘钥;( c" t$ W. ?0 B7 q2 W
中间的一行,左边是区尾的访问控制位,右边是对应权限所需要的秘钥;
* e5 a; S2 @6 L( d. E. o; x1 x  K7 a1 g4 q& h8 \
1.7 非加密IC卡和加密IC卡
7 a7 [3 R4 G+ _9 D* r5 y& o& W: @5 n/ m+ A1 t
非加密IC卡和加密IC卡的区别就是,非加密IC卡中所有扇区的KEYA和KEYB数值都是默认值FFFFFFFFFFFF;3 R/ K' ^" T6 g8 B  \: i
而加密IC卡中,其中有扇区的KEYA和KEYB不等于FFFFFFFFFFFF,部分扇区加密的卡称半加密IC卡,所有扇区都加密的卡称全加密IC卡。
# |" o9 M  p+ R! t4 V# b3 m' y: b' u$ B& g2 A9 w8 }( [
一般的读卡器,像手机的NFC,是读不到IC卡的加密数据的,需要用专门的工具,比如Proxmark3读取。
* H9 H& I+ f* y* O& U6 ~- W" r" w! Q4 L0 G! k) E
对于IC卡,除了对卡上数据加密,还有滚动码加密、服务器数据验证等技术。3 j2 v! v. F* \& Y% w* ]  u
因此,对IC卡的解密,更多的是门禁卡、签到卡、车库卡等的讨论,像公交卡、饭卡等涉及到资金问题的,基本都有服务器定期校验,得先搞定服务器再说,难度高还违法。0 n: q; g/ S) Q

5 q7 D/ ]# H2 ^: e: S* w参考资料:
7 @$ f# e& `( O/ i) U码农生活 篇二:IC卡门卡模拟探秘: S8 |3 `6 d7 \! \
IC卡简介【M1/S50,UID,CUID,FUID,UFUID复制卡介绍】
( }+ F6 C4 G5 u$ O$ b9 u+ v+ |谈谈 Mifare Classic 破解& i% i% }. o1 g! \5 o" @0 J
rfid-practice
( j  p4 Q+ S7 @- P$ D' M8 r" KType A 卡存储结构与通信, G& N* @! B: q$ j8 M3 ]; B# u, z9 N
Proxmark3 Easy破解门禁卡学习过程
4 f% }9 @2 }. P: o: e
  ]3 G# d  N0 ~6 B2. 手机NFC模拟加密门禁卡; x% d2 N6 B6 y" x: [& N2 K, R/ n
; k9 K  Y# u  R- @) q
有了前面的知识,再来看现在我的加密门禁卡情况,手机能识别为加密卡,肯定是IC卡。% n& `$ Z, E1 a2 R% C

4 ~7 Q+ G" T3 I, l首先,加密卡在目前这个情况下是无法解密的,如果按照下面的操作失败,请参考下一章。' C% y' G- @- f- m6 I
部分门禁系统只认证IC卡的UID,利用这一情况,可以试试复制门禁卡的UID,看运气能否打开门。
8 i3 T7 N5 l' Z, W) K
. B, _2 ]& s" Z4 m, d2 F在已root的情况下,直接使用APP NFC卡模拟 便可读取加密卡的UID和非加密数据、并写UID到手机NFC里。; E' A+ B: u' D3 N$ I
在未root的情况下,使用小米系统自带的门卡模拟功能,出于安全考虑,是不能对加密卡进行任何操作。手机的NFC,理论上可以读加密IC卡的UID,因此可以使用第三方软件MifareClassicTool读取UID,因为没有root,不能写手机NFC,但可以写IC卡,因此还需要一张CUID卡(不能使用UID卡),某宝上一块多一张,思路就是先读取加密卡的UID,再读取CUID卡的数据,然后将CUID卡的UID改为加密卡一样的UID,再将修改后的数据写回到CUID卡,最后用小米系统自带的门卡模拟功能,复制未加密的CUID卡即可。
, [2 k* V  b, I0 J! f* W! B+ ^* @6 p) w+ y" {, _: z
1.读取加密卡的UID0 o- R1 F$ Q  |) W
打开软件Mifare Classic Tool,将加密门禁卡放到手机的NFC感应区域,识别到IC卡后,点击“工具”->“显示标签信息”,可以看到加密门禁卡的8个数字,4字节的UID。* r& m+ c, a: D$ T, |5 x, w/ m
注意,在16进制里,每个数字为4位(2^4=16),8位(bits)为一字节(bytes),即两个数字组成一字节,这里8个数字,即为4字节(Bytes)。
+ M! o) h! D' a1 _前8个数字,每个数字代表4位,8位为一字节,8个数字就是32位,即4字节
! ]3 m% p7 C: n* @接着打开“工具”->“BCC计算器”,输入UID,得到1位BBC(两个数字)校验数据。! ]' Y& I3 @/ u9 X8 j' z- k
# c; q8 ?0 i+ [: M3 e# `  w
1 M/ h& f+ z$ S3 ]( H

5 ?% }: x+ M1 J! Z/ j/ O& [% F8 C2.读取CUID卡数据
" j6 ~& w8 O1 ?3 v( Y将CUID卡放到手机的NFC感应区域,识别到IC卡后,点击“读标签”->“启动映射并读取标签”,即可得到CUID白卡的所有信息。
  @$ i# S7 |/ V接着修改第一行的前10个数字,改为加密门禁卡的UID(8个数字)和BCC(2个数字),一共10个数字,并点右上角保存图标保存。* n# T2 ]5 L% e. {( Q6 b
; ]+ s9 K$ P  V  I; u

2 ]! g* R3 S) A7 j2 c3 C+ y. s$ ~) x( o4 D# o2 x. b; `, V
3.写数据到CUID卡- L  t( Q, C: j/ S, Y3 k
再将CUID卡放到手机的NFC感应区域,识别到IC卡后,点击“写标签”,勾选“写转储(克隆)”->“显示选项”->“高级:使能厂商块写入”。7 n" f& G2 z; I: w$ W4 ~& B
再点击“选择转储”,选择刚才保存的数据,点击“选择转储”。. m" O+ d7 p/ w! g% C! c6 F1 |! [
$ ^- z; E( }. ?6 ]0 V1 l4 y
- e* q; m" b* b3 Y! m2 ]2 |2 {
; M( Q; d# f* n9 B
在弹出的选择写扇区界面,默认即可,点击“好的”,最后点击“启动映射并写转储数据”。
9 \6 X- [' Q. r0 ?& k" t& C6 x# s" ]: |& Z: O& A: N$ s
' d5 [& R5 ]( ]* v7 j: T, M' d0 K8 H- f

: o# g4 _( v0 ^/ e4.NFC手机复制CUID卡
' N( o4 ?$ P  p: G最后,使用小米手机系统自带的门卡模拟功能,复制刚才写入新UID的CUID卡即可。5 `% e; n  {/ A+ m9 r* I

% V7 J$ w( G; w4 w7 C2 N3 l接着,就看运气吧,我小区的门禁系统就只认UID,搞定。& V- t- `) D$ z0 N2 v; ]
7 D1 e, E$ X- D
& @2 V6 i) J! [- L% s! Q" x

精彩评论8

BI3NRS 来自手机 显示全部楼层 发表于 2021-1-18 13:25:25 来自: 中国–河北–唐山 联通
学习一下,感谢分享
回复 支持 反对

使用道具 举报

15314375698 来自手机 显示全部楼层 发表于 2021-1-19 07:46:45 来自: 中国–山东–滨州–无棣县 联通
学习了师傅厉害
回复 支持 反对

使用道具 举报

彩虹之约 来自手机 显示全部楼层 发表于 2021-1-19 15:42:33 来自: 中国–云南–文山壮族苗族自治州 移动
谢谢师傅,好详细的文章。
回复 支持 反对

使用道具 举报

畅游天下 显示全部楼层 发表于 2021-4-8 13:45:17 来自: 中国–陕西–铜川 电信
, i, |; l; X( _. l
谢谢师傅,好详细的文章。现在多用于UID和CUID以及IC
回复 支持 反对

使用道具 举报

灵活的胖子 来自手机 显示全部楼层 发表于 2021-5-16 08:00:48 来自: 中国–江西–南昌 电信
每天学习一点点,每天进步一点点
回复 支持 反对

使用道具 举报

苍蓝 来自手机 显示全部楼层 发表于 2022-7-1 09:21:24 来自: 中国–北京–北京 移动/数据上网公共出口
学习一下,谢谢分享。
回复 支持 反对

使用道具 举报

A锁作锁为,为你 来自手机 显示全部楼层 发表于 2022-7-1 21:08:08 来自: 中国–云南 电信/数据上网公共出口
谢谢师傅,好详细的文章
回复 支持 反对

使用道具 举报

向世伟 来自手机 显示全部楼层 发表于 2022-7-14 06:41:54 来自: 中国–重庆–重庆–铜梁区 电信
不错不错不错不错,谢谢分享!辛苦了
回复 支持 反对

使用道具 举报

您需要登录后才可以回帖 登录 | 注册成为锁艺人

本版积分规则

中国锁艺人,这里是一个锁的世界,锁匠行业交流门户网站,聚集了锁具爱好者、锁具开发者、锁匠、锁匠协会、锁匠俱乐部、锁具企业等会员在这里交流互动。锁艺互动,技艺飞跃,洞悉锁艺奥秘。
  • 官方手机版

  • 微信公众号

  • 商务合作

  • Copyright © 2008-2022, Lockartist  | All Rights Reserved. 锁艺人 | 锁匠 | 开锁 | 开锁学校 | 西安开锁 | 西安汽车钥匙
  • 西安锁艺人安防设备有限公司 版权所有 陕ICP备12005758号-11 | 电子营业执照 | 经营许可证编号 陕B2-20200181