搜索

[18981] 2015-08-31_RFID入门：Mifare1智能洗澡卡破解分析

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2015-08-31_RFID入门：Mifare1智能洗澡卡破解分析 R F I D 入 门 ： M i f a r e 1 智 能 洗 澡 卡 破 解 分 析 苏 醒   i n n 0 t e a m   2 0 1 5 - 0 8 - 3 1 学 习 之 前 还 是 让 我 们 先 听 首 歌 ， 这 首 歌 也 是 我 最 近 非 常 喜 欢 听 的 歌 ， 也 比 较 适 合 在 工 作 学 习 的 时 候 放 松 。 对 了 在 科 普 之 前 呢 ， 说 一 下 昨 天 的 那 篇 文 章 有 人 说 有 给 z o o o m e y e 打 广 告 背 书 的 嫌 疑 ， 其 实 呢 ， 我 们 只 是 在 这 里 给 大 家 一 个 做 渗 透 的 新 的 思 路 ， 可 以 让 大 家 更 好 的 更 高 效 的 进 行 漏 洞 验 证 以 及 渗 透 测 试 ， 下 次 再 有 这 种 类 似 的 文 章 我 们 会 声 明 利 害 关 系 的 。 好 了 ， 话 不 多 说 ， 让 我 们 开 始 今 天 的 学 习 吧 。 科 普 前 置 知 识 ： M i f a r e   C l a s s i c   c a r d 提 供 1 k - 4 k 的 容 量 ， 我 们 经 常 见 到 的 是 M i f a r e   C l a s s i c   1 k ( S 5 0 ) ， 也 就 是 所 谓 的 M 1 卡 。 M 1 卡 有 从 0 到 1 5 共 1 6 个 扇 区 ， 并 且 每 个 扇 区 都 有 独 立 的 密 码 ， 每 个 扇 区 配 备 了 从 0 到 3 共 4 个 段 ， 每 个 段 可 以 保 存 1 6 字 节 的 内 容 ， 反 正 从 0 开 始 数   就 对 了 （ 和 数 组 下 标 为 0 开 始 一 样 ） 。 每 张 M 1 都 有 一 个 全 球 唯 一 的 U I D 号 ， 这 个 U I D 号 保 存 在 卡 的 0 0 扇 区 的 0 0 段 ， 也 称 为 厂 商 段 ， 其 中 前 4 个 字 节 是 卡 的 U I D ， 第 5 个 字 节 是 卡 U I D 的 校 验 位 ， 剩 下 的 是 厂 商 数 据 。 并 且 这 个 段 在 出 厂 之 前 就 会 被 设 置 了 写 入 保 护 ， 只 能 读 取 不 能 修 改 ， 当 然 也 有 例 外 ， 有 种 叫 U I D 卡 的 特 殊 卡 ， U I D 是 没 有 设 置 保 护 的 ， 其 实 就 是 厂 家 不 按 规 范 生 产 的 卡 （ 我 们 在 网 上 买 的 空 白 卡 片 一 般 都 是 这 种 可 以 修 改 U I D 号 的 卡 ） 。 今 天 我 们 以 破 解 一 张 洗 澡 卡 为 例 ： 用 到 的 工 具 读 卡 设 备 ： A C C R 1 2 2 U 一 个 空 白 M 1 卡 片 两 张 正 常 使 用 洗 澡 卡 一 张 上 图 ：
平 台 ： w i n d o w s 7 软 件 ： N F C G U I - P R O . e x e M 1 卡 服 务 程 序 破 解 思 路 ： 在 M 1 卡 的 1 6 个 扇 区 内 的 某 一 个 扇 区 内 的 字 段 中 存 储 着 洗 澡 卡 内 的 信 息 ， 例 如 使 用 时 间 、 使 用 次 数 、 水 卡 金 额 等 信 息 ， 想 要 修 改 卡 内 的 信 息 就 要 将 卡 片 内 的 记 录 数 据 导 出 ， 每 个 扇 区 第 一 个 字 段 的 1 6 个 字 节 是 扇 区 的 秘 钥 对 ， 我 们 要 是 想 要 导 出 数 据 就 要 通 过 穷 举 的 方 法 测 试 出 秘 钥 对 ， 只 有 知 道 秘 钥 对 后 才 可 以 导 出 卡 片 内 文 件 （ 具 体 原 因 请 百 度 M 1 卡 工 作 原 理 或 查 看 ： h t t p : / / w w w . h u f u b o . c o m / ? p = 2 0 2 ） ， 幸 运 的 是 国 内 大 部 分 的 M 1 卡 都 是 使 用 的 默 认 密 码 或 者 弱 密 码 （ 例 如   F F F F F F F F F F F F F F F F ） ， 我 们 可 以 使 用 比 较 傻 瓜 式 的 软 件 M 1 卡 服 务 程 序 穷 举 秘 钥 对 并 导 出 卡 内 的 d u m p 文 件 （ 通 过 破 解 软 件 导 出 的 数 据 文 件 都 为 x x . d u m p 格 式 文 件 ） ， 然 后 通 过 一 张 卡 多 次 消 费 并 导 出 d u m p 文 件 来 对 比 不 同 金 额 情 况 下 扇 区 内 的 信 息 来 核 算 出 具 体 的 金 额 控 制 位 ， 然 后 通 过 N F C G U I - P R O . e x e 程 序 将 修 改 好 的 d u m p 文 件 写 入 到 空 白 的 M 1 卡 内 。 具 体 实 施 ： 声 明 ： 在 实 施 过 程 中 有 可 能 我 的 步 骤 不 是 最 简 便 和 最 有 效 的 办 法 ， 但 是 作 为 科 普 入 门 级 的 文 章 ， 只 希 望 更 多 的 人 能 理 解 实 施 的 过 程 ， 以 更 好 的 去 防 护 这 种 方 法 。 先 去 洗 澡 卡 终 端 查 看 卡 内 的 余 额 ：
卡 内 余 额 为 2 6 . 9 1 元 ， 然 后 将 A C R 1 2 2 u 插 在 机 器 上 ， 使 用 M 1 卡 服 务 程 序 破 解 得 出 卡 内 的 D U M P 文 件 使 用 M 1 卡 服 务 器 程 序 破 解 ：
破 解 成 功 ： 由 于 这 种 M 1 卡 秘 钥 对 为 弱 密 码 所 以 大 约 几 十 秒 的 时 间 就 会 破 解 成 功 ， d u m p 文 件 会 生 成 在 文 件 目 录 下 ：
d u m p f i l e   4 d a 2 e 8 0 e ( 2 0 1 5 - 0 8 - 2 5 2 3 _ 4 ) . d u m p 文 件 就 是 生 成 的 破 解 文 件   可 以 看 到 生 成 的 d u m p 文 件 为 1 K B 大 小 ， 但 是 具 体 写 入 M 1 卡 的 时 候 是 需 要 写 入 4 K B 大 小 的 d u m p 文 件 的 P S ： 这 些 软 件 本 来 是 基 于 l i n u x 开 发 的 ， 移 植 到 w i n 平 台 上 只 能 生 成 1 K B 的 d u m p 文 件 ， 我 们 可 以 使 用 修 复 工 具 ： f i x d u m p 将 1 K B 文 件 修 复 为 4 K B ， 也 可 以 使 用 N F C G U I - P R O . e x e 这 个 软 件 自 带 的 修 复 功 能 修 复 为 4 K B 文 件 ， 我 是 使 用 的 N F C G U I - P R O . e x e 修 复 ， 如 图 ： 打 开 这 个 软 件 点 击 选 择 文 件 - 选 择 刚 才 生 成 的 1 K B 文 件 - 就 会 提 示 “ 是 否 保 存 为 4 K 文 件 格 式 ” — 选 择 “ 是 ” - 就 是 自 带 修 复 成 功 然 后 关 闭 软 件 ， 刚 才 的 1 k b 的 D U M P 文 件 就 会 自 带 修 复 为 4 K B 文 件 了 。 通 过 上 面 的 方 法 得 出 三 个 不 同 金 额 的 d u m p 文 件 。 2 ） 通 过 十 六 进 制 编 辑 器 进 行 d u m p 文 件 的 对 比 ， 找 出 金 额 控 制 位 ， 我 使 用 w i n h e x 进 行 编 辑 d u m p 文 件 ：
因 为 这 两 个 文 件 都 是 同 一 张 卡 片 不 同 金 额 的 d u m p 文 件 ， 所 以 假 定 有 金 额 的 数 据 不 同 ， 有 刷 卡 次 数 记 录 的 数 据 不 同 ， 刷 卡 时 间 的 记 录 不 同 ， （ 假 定 会 有 这 些 不 同 之 处 ， 也 许 只 有 记 录 金 额 的 变 化 ） ， 通 过 对 比 两 张 卡 片 ， 发 现 在 0 0 0 0 0 1 7 6   和 0 0 0 0 0 1 9 2 处 有 不 同 的 数 据 块 如 图 ； 余 额 为 2 6 . 9 1 ： 余 额 为 2 6 . 8 8 ： 发 现 这 两 张 卡 内 的 不 同 之 处 在 于 ： 通 过 十 六 进 制 转 换 测 试 ： H e x （ 8 0   0 A ） = 3 2 7 7 8 H E X （ 7 F   F 5 ） = 3 2 7 5 7 测 试 发 现 并 不 是 这 么 简 单 的 直 接 转 换 ， 于 是 将   8 0 0 A   进 行 翻 转 为   0 A 8 0 H E X （ 0 A 8 0 ） = 2 6 8 8   2 6 8 8 符 合 卡 内 余 额 为 2 6 . 8 8 的 实 际 情 况 。 H E X （ 0 A 8 3 ） =   2 6 9 1   2 6 9 1 符 合 卡 内 月 为 2 6 . 9 1 的 实 际 情 况 。 可 以 总 结 得 出 金 额 位 的 加 密 方 法 为   金 额 转 换 十 六 进 制 后 进 行 翻 转 存 储 。
接 下 来 分 析   7 F   F 5 代 表 的 含 义 根 据 M 1 卡 了 解   金 额 位 置 后 面 会 有 校 验 位 数 据 ， 通 俗 讲 就 是 当 前 面 金 额 数 据 变 了 之 后 ， 校 验 位 会 根 据 另 外 的 算 法 去 改 变 值 。 一 般 最 简 单 的 算 法 都 是 二 进 制 取 余 后 转 换 为 1 6 进 制 再 加 上 金 额 位 的 加 密 方 法 计 算 方 法 如 下 ： 校 验 位 7 F   F 5 - 翻 转 为 F 5   7 F 转 换 二 进 制 为 1 1 1 1 0 1 0 1 0 1 1 1 1 1 1 1   二 进 制 取 余 为 0 0 0 0 1 0 1 0 1 0 0 0 0 0 0 0   转 换 为 十 进 制 为 ： H e x （ 0 0 0 0 1 0 1 0 1 0 0 0 0 0 0 0 ） = 2 6 8 8 可 以 得 出 金 额 校 验 位 的 加 密 方 式 为 将 金 额 转 换 为 二 进 制 后 取 余 ， 取 余 后 的 二 进 制 转 换 为 1 6 进 制 ， 将 1 6 进 制 翻 转 后 得 到 的 结 果 就 是 金 额 校 验 位 的 信 息 例 如 金 额 为 2 6 . 8 8 — 2 6 8 8 – 0 0 0 0 1 0 1 0 1 0 0 0 0 0 0 0 — 1 1 1 1 0 1 0 1 0 1 1 1 1 1 1 1 – F 5   7 F – 7 F   F 5 计 算 出 金 额 校 验 位 应 填 7 F   F 5 计 算 出 金 额 位 和 金 额 校 验 位 的 加 密 方 式 后 可 以 进 行 金 额 的 修 改 修 改 金 额 为 6 0 0 元 则 计 算 金 额 位 ： 6 0 0 — 6 0 0 0 0 — E A 6 0 — 6 0 E A 金 额 校 验 位 ： 6 0 0 — 6 0 0 0 0 — 1 1 1 0 1 0 1 0 0 1 1 0 0 0 0 0 — 0 0 0 1 0 1 0 1 1 0 0 1 1 1 1 1 — 1 5 9 F — 9 F 1 5 则 金 额 位 填 ： 6 0 E A 金 额 校 验 位 填 ： 9 F 1 5 直 接 在 w i n h e x 内 修 改 d u m p 文 件 ： 直 接 保 存 文 件 为 6 0 0 . d u m p ， d u m p 金 额 就 修 改 成 功 了 3 ） 将 文 件 写 入 到 空 白 卡 片 中 通 过 N F C G U I - P R O . e x e 软 件 进 行 d u m p 文 件 写 入 ： 如 图 :
打 开 N F C G U I - P R O . e x e 软 件 后 D U M P 和 K e y 文 件 选 择 加 载 文 件 6 0 0 . d u m p 将 A C R 1 2 2 U 插 入 到 电 脑 后 将 空 白 卡 片 放 到 读 卡 器 上 后 选 择 写 入 文 件 写 入 成 功 ： 4 ） 测 试 ：


回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理