门禁卡扇区?

目前多数新建小区都有单元和电梯,常规情况下通过单元门禁输入密码,电梯直接按下所去楼层就能实现进出,但小区为了顺利收取物业费,通过门禁、电梯卡的形式捆绑进出。家中安装了指纹锁,出门可以不带房门钥匙,但门禁、电梯卡就必须拿着,总不能每天通过楼宇对讲对讲让邻居开门,再爬回家。所以想摆脱门禁、电梯卡的束缚可以通过“移植”的方式实现,将门禁、电梯卡复制到小米手环4NFC上,这样只需每天戴着手环出门就行,不用担心出门是否忘记带门禁、电梯卡。

小米手环4NFC版虽然支持复制门禁、电梯卡,但不能复制加密版本。所以直接复制操作是行不通,不过可以依靠一个卡读写器、一部带NFC、一张空白卡来实现。

其实将门禁、电梯卡复制到小米手环4NFC版上面比较简单,(以下简称门禁、电梯卡为原卡)只需要三大步:第一步,复制原卡的出厂信息到一张空白卡;第二步,用小米手环4NFC版复制这张只带有原卡出厂信息的卡;第三步,用软件将原卡里面的信息全部复制到小米手环4NFC版上。卡读写器可以从某宝购买,我入手的是龙杰ACR122U,附送了三张空白卡。店铺有优惠,如果复制不成功的话,可以在保持产品外观无磨损的情况下退货。软件可以在手机上搜索安装mifare软件。带NFC功能手机没有特别的限制条件。下面来介绍一下具体使用步骤。

连接使用龙杰ACR122U读卡器前需要在电脑端安装驱动,需要注意自己电脑的操作系统使用32位还是64位,安装相应的驱动。通过实际测试,这款读卡器的配套软件对WIN7系统适配比较好,而WIN10系统适无法顺利完成读写。安装过程非常简单,与安装软件的方法一致,选择安装位置后,点击下一步完成安装。

完成驱动安装后,将卡读写器接电脑USB端时右上角的红灯亮起,当放上卡片时会亮起绿灯,读写器会发出”滴“的声音,表示卡读写器已经检测到放在上面的卡。这时将原卡放到卡读写器上面进行操作。

由于原卡带有加密,所以下一步需要读取卡里面的加密信息。运行破解软件查看卡里面的信息,同一个原卡,在WIN7系统下破解过程非常迅速,几乎不到一分钟就能完成。而WIN10系统则需要4,5分钟左右时间。完成后,从上图左下角的显示信息可以看出这个原卡的uid是21121bd5。

在完成上一步操作的同时会在里面生成一个dumpfile类型的文件。后续的同样操作还会产生此类文件,为了方便区分,可以对其进行重命名,也可以根据不同的生成时间加以区分。

下面运行复制软件,依次单击”连接读卡器“和”连接卡片“,在”输入Dump文件“中选择刚才生成的dumpfile文件并导入,就会呈现出卡内的全部信息。从图片能够得到以下信息:这个卡共有15个扇区,块0、1、2是卡内的其它信息,而块3是加密信息。块3内写有FFFFFFFFFFFFFF078069FFFFFFFFFFFF的代表着这层扇区没有加密。进一步分析,0扇区0块是卡的出厂信息,1扇区块0应该是门禁和电梯卡的信息,1、2扇区的块3是加密信息,而且只有1、2扇区有加密。此时需要将加密的前12个字符记下,下面会用到。

进行原卡信息复制到空白卡操作。从卡读写器上取下原卡,换上空白卡,运行UID克隆软件,也是依次单击”连接读卡器“和”连接卡片“,在”输入Dump文件“中还是选择导入那个生成的dumpfile文件,点击写卡,完成原卡里面全部信息的复制。这时这张空白卡与原卡信息完全一致。

为了检验原卡信息复制到空白卡是否成功,可以将复制好的空白卡(以下简称新卡)放到读卡器上面依次运行破解、复制软件,方法与上面讲述的一致,完成后会发现新卡与原卡里面所有的信息都一样,复制信息成功。操作时需要注意的是在运行复制软件之前需要将temp文件夹里面的文件删除,避免导入查看的还是前一次的信息。运行复制软件选择dumpfile文件要注意与第一次原卡的相区别,不要导错文件。

下面进行新卡内部信息的修改,制作成只带有原卡出厂信息,其它信息都抹掉的新卡。运行PCSC软件,依次点击”初始化“和”连接Mifare卡“,在输出信息栏里面会显示出新卡的uid21121bd5。如果不显示就无法进行下一步操作,经过测试在WIN10系统下这里是不显示的,也就是无法再进行下一步。点击卡片读写下的“加载密钥”-“加载A类密钥”,把记录下来的12个字符输入,一共6位。输出信息栏里面会显示“加载A类密钥成功”。再点击“读取卡片”,在读取扇区栏里勾选1、2扇区,选择1、2扇区的原因是原卡里面只有1、2扇区有加密,所以选择1、2扇区,此时会把两个扇区的加密信息读出。

点击卡片读写栏里“写入卡片”,在1、2扇区的密码块位置都输入FFFFFFFFFFFFFF078069FFFFFFFFFFFF,记得不要输错。这项操作为了为了清除新卡的密钥,这样就成了只带有原卡出厂信息的新卡。

为了验证上述清除新卡密钥操作是否成功,再次重复上面的加载密钥、读取卡片操作,选择“加载A类密钥”,输入12个F。此时显示新卡里面1、2扇区都没有密钥,说明以上操作成功。

完整读取目前新卡里面都信息,重复进行上面的第一步读取信息操作,具体方法已经说明。此时的新卡除了0扇区块0出厂信息与原卡一致外,密钥和其余信息全部清除,已没有了加密得板块,这样小米手环4NFC版可以成功模拟这个新卡。

在小米运动软件里面完成门卡的绑定,首次绑定需要身份认证,上传身份证照片,再次绑定则不需要。按照软件里面得提示步骤一步步进行,将小米手环4NFC版的正面贴在上面制作完成的新卡上,手环将自动检测门卡,检测成功后开始模拟绑定,整个过程不需要太多时间。

在手机端下载安装Mifare工具软件,英文版和中文版都可以,主界面有6个板块,能够用到的就里面的读卡、写卡、编辑/增加密码文件三项。

使用前打开手机的NFC功能,先将原卡放在手机的背面NFC区域,当底部出现发现卡片时选择第一项的“读卡”,由于原卡的1、2扇区加密,所以原卡完整的信息无法全部显示,在1、2扇区显示没密钥发现(或死扇区)。

点击软件主界面的“编辑/增加密码”,选择第二项std.keys,打开密码文件进入密码编辑器,将自带的内容删除,输入前面记录下来的原卡密钥,也就是前面输入的12个字符,保存文件并命名,随意命名就行,我命名为原门禁卡。

再回到读卡选项,将刚才保存的原卡门禁文件一块勾选上,启动映射并读卡,这样原卡的全部信息包括加密的信息就完整地被读取出来了。将读取的信息保存并命名,我命名为原门禁卡全部信息。

把小米手环4NFC版放在手机背面的NFC区域,当检测出新卡时选择主界面的“写卡”,选择“写块”-“写Dump(克隆)”-打开上步保存的“原门禁卡全部信息”,选择全部扇区进行写入,再选择全部的文件进行映射和写Dump。

回到读卡选项,读取小米手环4NFC版里面的信息,把显示的三个文件都勾选上,开始映射并读卡,手环里面的信息会全部显示。

对比可以看出,除了0扇区0块的厂家信息不一样外,其余包括UID在内的所有信息均一致。手环上面0扇区0块的厂家信息D000无法修改,所以门禁要是检测这项厂家信息的话,手环的与原卡不一致,那就无法用手环开门禁了。如果门禁和电梯不检测这部分,那就可以用这个小米手环4NFC刷门禁和电梯。

小区的门禁、电梯卡大都设有有效期,一般是一年,一年后需要到物业重新激活。再次激活后门卡的uid会发生变化,这时得需要按照上面的步骤重新进行复制,在小米运动软件里面删除门卡再次绑定,方法不变,有了第一次操作熟悉后,再操作就会简单些。

作者:平安@涂鸦智能安全实验室

随着国家对网络安全的建设不断加强,类似护网形式的攻防演练行动会越来越多。而我们从线上进入目标的难度也会越来越难,这个时候线下的物理攻击将逐渐流行起来。本次介绍通过各种社工方法获取到目标的门禁卡,我们怎么做到不引起注意,进行持久化维持权限。

在我们复制拿到手的门禁卡之前,我们要了解一些关于卡的知识。

目前市面上的门禁卡主要有ID卡、IC卡、CPU卡。而IC卡是运用最广泛的。

IC卡:全称集成电路卡(Integrated Circuit Card),又称智能卡(Smart Card)。特点:可读写,容量大,有加密功能,数据记录可靠。常用:一卡通系统,消费系统。目前主要有PHILIPS的Mifare系列卡。

CPU卡:也称智能卡,卡内的集成电路中带有微处理器CPU、存储单元(包括随机存储器RAM、程序存储器ROM(FLASH)、用户数据存储器EEPROM)以及芯片操作系统COS。特点:外观可见芯片。

刚出厂的还未使用过的卡我们一般称为白卡,在某宝上都能买到。我们本次主要讲市面上使用最广的IC卡,ID卡由于本身的不安全性,目前使用较少。除了可以使用卡片外,还可以用是钥匙卡扣,手机贴等等。

如上图,这是IC卡内信息的一部分
1、每张IC卡都有16个扇区。从扇区0-扇区15,每个扇区都有4个区块,每个区块占16个字节。内容采用16进制记录。
2、0扇区的0区块,有着每张IC卡都有的卡号,厂商信息等。除了0扇区,其他每个扇区的0,1,2区块都可以用来存储数据。(0扇区的1,2也能存放)。
3、3区块为控制块,用来存放密码和控制权限。不能用于数据存储。从厂家采购回来的IC卡都有密码,默认密码都是FF FF FF FF FF FF(255 255 255 255 255 255)。
每个区块都有2个密码存储位,前6个字节为KeyA,后6个字节为KeyB。中间的4个字节为存储控制。默认都是FF 07 80 69。

一般的门禁卡和电梯卡判断是否有权限,都是通过nfc读取卡内区块0中的卡号和校验位。通过读取到的信息去对应的服务器上去匹配是否拥有权限。其他扇区一般记录着你使用次数等信息,如果要想拷贝一张门禁卡,其实只要复制0扇区信息出来到另一张卡上即可。

也有专门的读取器,PM系列工具。目前市面上已经是PM6了。

MifareClassic只能读取M1的卡,如果读取的卡不是M1的卡,会有相应的提示,所以不用担心如何判断是否是M1卡。
(Mifare卡俗称M1卡,是IC卡的一种,原装芯片通常被称为NXP卡或飞利浦S50卡。兼容国产芯片有复旦的M1卡,和华鸿的M1卡。是世界上使用量最大、技术最成熟、性能最稳定、内存容量最大的一种感应式智能IC卡。)

常见的门禁卡只需要用到读标签、写标签、以及编辑/分析转储文件功能。
写卡工具我还是更推荐PM设备,价格100左右。但是我们在社工获取到目标门禁卡的时候,可能不方便携带PM设备去保存数据以及写卡,所以Mif工具读取数据是最方便隐秘的。

使用时将需要读取的IC卡放于手机背面,点击Mif工具的读标签,将读到IC卡信息保存成dump文件格式。
Mif工具读取卡的时候有下面两个文件勾选,这两份文件是用于爆破IC卡每个扇区的keyA和keyB密钥的,我们想要知道卡的信息,就要知道每个扇区3区块中的密钥,才能得到里面的内容。理论上密钥keys文件足够大,就能得到所有IC卡中的信息。如果出现提示某些扇区无法读取或者死扇区,那就是keys文件没有爆破出卡的密钥。当然你也可以替换成自己的keys文件。

我们拿到目标dump文件信息即可,接下来我推荐使用PM设备进行写卡。

1、准备一张白卡(IC白卡一般有CUID和UID卡等等,CUID卡的扇区0是可以被反复复擦写的,UID实际是不能的,CUID还能绕过一般的防火墙识别,所以记得购买的是CUID卡),要将目标的门禁卡信息拷贝进白卡,我们将白卡放在读卡器上。

2、使用读取器自身的读取软件,使用一键写卡功能,之后需要格式化卡片,再导入之前保存的dump文件,最后写成普通M1卡(绕过防火墙)。至此这一张白卡就复制成了,可以代替原卡使用了。

3、当然如果想更方便,使用手机或者手环之类的设备来刷门禁,目前只支持华为的P系列、mate30和小米手环手机,只需要通过,比如小米运动中添加一张空白卡,在白卡写成M1卡步骤前读取我们导入了dump的白卡,再通过步骤2的所有步骤就能写入成功,只不过将白卡换成了手机。

社工环节中进入目标是最为关键的一部分,尽量动作要小,效果要还。在演练期间的物理权限要做到持久化个人认为很重要,当然演练结束需要擦除相应信息,切记遵守法律!

戳“阅读原文”查看更多内容

我要回帖

更多关于 加密门禁卡有某扇区读不出 的文章

 

随机推荐