低頻非接觸卡主要用于門(mén)禁丶考勤等等在日常生活中使用非常的廣泛，但他也具有比較大的安全隱患，他沒(méi)有一些密鑰安全認(rèn)證這類(lèi)安全機(jī)制，所有我們只要對(duì)低頻卡有所研究就可以對(duì)這些卡進(jìn)行破解和復(fù)制。

基礎(chǔ)介紹

RFID: 射頻識(shí)別技術(shù)，它主要是通過(guò)無(wú)線電訊號(hào)識(shí)別特定目標(biāo)，并可讀寫(xiě)數(shù)據(jù)(單向的讀取)。  

RFID 系統(tǒng)的頻率分低頻、高頻、超高頻和微波幾種，其各自的工作頻率如下：

低頻（LF）     125~134kHz；

高頻（HF）     13.56MHz；

超高頻（UHF）   860~960MHz；

微波（MW）     2.45GHz和5.8GHz。

RFID 無(wú)源卡按載波頻率分為：低頻、中頻和高頻射頻卡。

低頻射頻卡：頻率主要包括 125kHz 和 134kHz 兩種，主要用于短距離、低成本的應(yīng)用中，如多數(shù)的門(mén)禁控制、校園卡、貨物跟蹤等。

中頻射頻卡：頻率主要為 13.56MHz，主要用于門(mén)禁控制和需傳送大量數(shù)據(jù)的應(yīng)用系統(tǒng)。

高頻射頻卡：頻率主要包括 433MHz、915MHz、2.45GHz、5.8GHz 等，可應(yīng)用于需要較長(zhǎng)的讀寫(xiě)距離和高讀寫(xiě)速度的場(chǎng)合，在火車(chē)監(jiān)控、高速公路收費(fèi)等系統(tǒng)中有廣泛應(yīng)用。

IC 和 ID 的區(qū)別

IC 卡是將微電子芯片嵌入卡基中構(gòu)成的，它是一種具有信息儲(chǔ)存、修改、管理、加密功能的卡。常用于身份認(rèn)證、銀行系統(tǒng)、公共交通、校園一卡通等領(lǐng)域。

ID 卡是一種不可寫(xiě)入的感應(yīng)卡，擁有固定的編號(hào)。

ID 卡的編號(hào)是制造時(shí)就由芯片廠寫(xiě)入的，卡號(hào)是公開(kāi)的，無(wú)加密功能。常用于門(mén)禁卡和停車(chē)場(chǎng)身份識(shí)別系統(tǒng)。

1  ：低頻卡簡(jiǎn)介

低頻卡是指頻段在 30kHz 到 300kHz 的無(wú)線電波，一般的卡的頻率在 125/134kHz，主要原因是在這個(gè)頻率下不存在任何功能性，也就是說(shuō)不會(huì)存在 ID 識(shí)別丶讀取和寫(xiě)入等。他具有操作簡(jiǎn)單丶快捷丶可靠丶?jí)勖L(zhǎng)丶不怕卡面污染等優(yōu)點(diǎn)，一般常見(jiàn)的低頻卡有：HID 丶T55xx 丶 EM410x 等這些型號(hào)的低頻卡。

2：低頻 ID 卡的編碼原理

125kHzID 卡通常都是使用徹斯特編碼（Manchester Encoding），也叫做相位編碼 (PE)，是一個(gè)同步時(shí)鐘編碼技術(shù)，被物理層使用來(lái)編碼一個(gè)同步位流的時(shí)鐘和數(shù)據(jù)。曼徹斯特編碼被用在以太網(wǎng)媒介系統(tǒng)中。曼徹斯特編碼提供一個(gè)簡(jiǎn)單的方式給編碼簡(jiǎn)單的二進(jìn)制序列而沒(méi)有長(zhǎng)的周期沒(méi)有轉(zhuǎn)換級(jí)別，因而防止時(shí)鐘同步的丟失，或來(lái)自低頻率位移在貧乏補(bǔ)償?shù)哪M鏈接位錯(cuò)誤。在這個(gè)技術(shù)下，實(shí)際上的二進(jìn)制數(shù)據(jù)被傳輸通過(guò)這個(gè)電纜，不是作為一個(gè)序列的邏輯 1 或 0 來(lái)發(fā)送的（技術(shù)上叫做反向不歸零制 (NRZ)）。相反地，這些位被轉(zhuǎn)換為一個(gè)稍微不同的格式，它通過(guò)使用直接的二進(jìn)制編碼有很多的優(yōu)點(diǎn)。

而 ID 卡的在工作狀態(tài)下，只要射頻電路不斷點(diǎn)，非接觸的 ID 卡就會(huì)不斷的循環(huán)發(fā)送 64 位數(shù)據(jù)。

3 ：ID卡號(hào)格式

由于廠家的 ID 卡號(hào)讀卡器的譯碼格式不一樣，在輸出是讀取的二進(jìn)制或者十六進(jìn)制的結(jié)果因該是一樣的結(jié)果也是唯一的。

實(shí)驗(yàn)環(huán)境準(zhǔn)備：

一部已安裝 Chroot Linux 的安卓手機(jī)(支持 OTG) （也可以使用樹(shù)莓派 電腦）

一根 OTG 數(shù)據(jù)線

一根 Micro USB 數(shù)據(jù)線

Proxmark III（pm3）

0x01 更新軟件源并安裝相關(guān)依賴

apt update && apt install p7zip git build-essential libreadline5 libreadline-dev libusb-0.1-4 libusb-dev libqt4-dev perl pkg-config wget libncurses5-dev gcc-arm-none-eabi

0x02 git clone 源碼

git clone https://github.com/iceman1001/proxmark3.git

這里我已經(jīng)提前下載好了

0x03 開(kāi)始編譯

cd proxmark3 && make clean && make all

接下來(lái)就是等待編譯完成了

如圖所示就已經(jīng)編譯完成了

0x04 燒錄固件

首先把你的 PM3 和手機(jī)連接上，lsusb 查看是否已經(jīng)識(shí)別

如圖所示已經(jīng)成功識(shí)別 PM3 設(shè)備

接下來(lái)編譯客戶端并升級(jí) CDC 設(shè)備，先拔掉 PM3

cd client && make

然后按住 PM3 上的按鈕不放，再次將PM3連接至手機(jī)，執(zhí)行下列命令

./flasher /dev/ttyACM0 -b ../bootrom/obj/bootrom.elf

如圖所示我們已經(jīng)升級(jí)成功，接下來(lái)我們燒錄固件。切記燒錄固件時(shí)千萬(wàn)不要斷開(kāi)連接，否則會(huì)導(dǎo)致 PM3 變磚的！?。。?/span>

./flasher /dev/ttyACM0 ../armsrc/obj/fullimage.elf

如圖所示我們的冰人固件已經(jīng)升級(jí)成功！

接下來(lái)我們用客戶端訪問(wèn) PM3 看看

./proxmark3 /dev/ttyACM0

(為了方便起見(jiàn)，可以把 pm3 客戶端復(fù)制進(jìn) /usr/bin 目錄，以后直接 pm3 /dev/ttyACM0就行了)

可以看到已經(jīng)成功連接

hw tune

接下來(lái)可以測(cè)測(cè)天線電壓看看(此步驟可以忽略)

目測(cè)沒(méi)有什么問(wèn)題，接下來(lái)就可以進(jìn)入實(shí)戰(zhàn)篇了

0x05 實(shí)戰(zhàn)篇

首先聲明一點(diǎn)，我這里是拿我的飯卡做測(cè)試，但是并沒(méi)有對(duì)飯卡的數(shù)據(jù)進(jìn)行過(guò)任何的修改?。?！任何涉及修改數(shù)據(jù)達(dá)到修改余額的目的都是違法的?。?！這點(diǎn)請(qǐng)你們牢記！??！

首先我們通過(guò)客戶端連接 pm3(一般這里要等 5-10 秒鐘)

pm3 /dev/ttyACM0

然后把飯卡放到 PM3 上

接著我們查看一下卡的基本信息

hf 14a read

可以看到卡的 UID，記下這個(gè) UID，留著備用( UID 是用戶身份證明 (User Identification) 的縮寫(xiě))

然后測(cè)試卡的默認(rèn)密碼

hf mf darkside

如圖已經(jīng)發(fā)現(xiàn)了這張卡的一個(gè)默認(rèn)密碼，接下來(lái)可以根據(jù)這個(gè)密碼求算出整張卡的所有密碼

hf mf nested 1 0 A 3279026bb994 d

執(zhí)行這條命令將會(huì)把這張卡的所有密碼 dump 出來(lái)一個(gè) key.bin 文件

接下來(lái)就可以 dump 整張卡的數(shù)據(jù)了

hf mf dump

這條命令將會(huì)把整張卡的數(shù)據(jù) dump 出為一個(gè) data.bin 文件

如圖所示已經(jīng)成功的將這張卡的數(shù)據(jù) dump 出來(lái)了

接下來(lái)我們可以將 dump 出來(lái)的數(shù)據(jù)恢復(fù)到另一張 UID 卡上

hf mf csetuid 3C6123AB

接下來(lái)我們把另外一張 UID 卡放到 PM3 上，首先修改 UID (就是之前記下的那個(gè) UID 碼)

設(shè)置 UID 成功

hf mf restore

接下來(lái)就可以把數(shù)據(jù)恢復(fù)到這張卡里了

如圖所示已經(jīng)成功的把數(shù)據(jù)恢復(fù)到新的 UID 卡上了，為了驗(yàn)證是否成功，我們可以讀取一下扇區(qū)數(shù)據(jù)看看

hf mf rdsc 0 A 3279026bb994

可以看到已成功讀取扇區(qū)數(shù)據(jù)，至此，我們已經(jīng)成功的復(fù)制了一張卡！

相關(guān)鏈接

http://www./news/100925.html

https://www./live/view.html?id=111079

https://github.com/Proxmark/proxmark3/wiki/Kali-Linux

https://github.com/iceman1001/proxmark3/blob/master/README.md

總結(jié) :

安全不單單局限與網(wǎng)絡(luò)，為什么在一些重要的地方要物理隔離像人事丶財(cái)務(wù)這些都是物理隔離的重點(diǎn)對(duì)象，因?yàn)楹诳筒灰欢ㄖ粫?huì)通過(guò)網(wǎng)絡(luò)進(jìn)行入侵和破壞他們也可以到現(xiàn)場(chǎng)進(jìn)行入侵，而往往一些門(mén)禁系統(tǒng)確實(shí)是一些公司的最后一道防線，而門(mén)禁系統(tǒng)安全性能卻是一些公司的疏忽的地方。安全是一個(gè)大工作需要個(gè)個(gè)部門(mén)的相互配合才能發(fā)揮出最好的防御狀態(tài)。寫(xiě)出這篇文章希望大家不單單局限與“網(wǎng)絡(luò)安全”，也希望大家能重視身邊的一些安全設(shè)備，因?yàn)闀r(shí)代在變，攻擊手法也在變，所謂道高一尺魔高一丈。