学校水卡破解

前言

今天淘宝买的pn523 终于到了，话不多说，鼓捣起来。

先下载pn523的驱动，然后配套的软件也都有界面，方便很多

放上店家赠送的白卡读取看下是否正常，一切正常

背景知识

目前使用非接触式卡有ID (Identification Card) 和IC(Integrated Circuit Card)的区别。

ID卡明文记录信息，大部分是出厂就设置好的卡号。

ID卡目前差不多都绝迹了，因为特别容易复制。把卡号读取出来在写入新卡就行了。

目前最广泛接受的是 Mifare 卡。下文称M1 卡。

M1卡分为16个扇区，每个扇区对应4块（块0-块3）,共64块，编号为0-63.第0扇区的第0块用于存放厂商代码，已经固化无法更改。其余区的第0-2块用于存放数据，块3为控制块用于存放密码A、存取控制、密码B，结构如下：

1
2
3

 A0 A1 A2 A3 A4 A5     FF 07 80 69      B0 B1 B2 B3 B4 B5

(密码A 6字节)           (存储控制 4字节)   (密码B 6字节)

并且每个扇区块3中的密码和存储控制全部都是独立的，独立控制本扇区的各种操作，每个扇区都能实现不同的功能，所以广泛用作一卡通。存储控制里面4字节的具体含义我也不是很清楚(不影响我们破解)，所以就不说出来误导大家了。

卡中每个块包含16字节，所以M1卡的容量=16扇区4块16字节=1024字节=1k (M1卡的由来)。

鼓捣过程

先是拿宿舍楼的饮水卡尝试复制一下。直接读取UID卡信息，读取完后会储存为dump文件。

用写入功能写到一张空白卡里。这里我用到一张CUID卡，这张卡甚至可以写0扇区。

有些机器会验证0扇区的信息是不是自己厂家的卡，这时候CUID就起到作用了。

不过这种卡理论上是不应该流出的。不过目前淘宝还能买到，且玩且珍惜把。

如果要尝试修改扇区信息，得破解 M1 卡的各个扇区的KEY A和KEY B。

这部分软件自动完成。大抵是穷举或者重放攻击，只有算出扇区的KEY A和KEY B才能修改。

在机器上查询到卡内余额后，尝试修改余额信息。这张水卡只有第八扇区有信息。我们只需要看这部分就行
17.77

发现卡内0和2块内信息是相同的。且N2和N3就是余额信息

因为卡内的数据都是二进制储存的，软件为了便于显示转换为16进制

DEC 1777 == HEX 06FF.
在0 区块下 我除了 N2和N3其他都不知道是什么。

0B FA F1 06 03 03 00 00 0 00 02 00 00 02 00 02

在尝试只修改N2和N3块后发现并不能通过验证。应该是有效验位。

于是我尝试读取不同余额下的第八扇区信息查看修改了什么内容。

17.74

到这里发现N4 和N10, N13 在余额变更之后它们是不变的。

N1， N5， N15都和余额的差值有关。
M1卡在记录金额时现在厂家都添加效验位，防止我这样心怀不轨的人修改余额。

但是大部分的验证都是XOR，和截断，或者取反。

再多增加几个样本看看之前的推断是否一至

17.68

找了一张别的卡。

经过一段时间的尝试，

N5 = ~(N2 + N3 + N4)

N1 = ~N5

N0 = N1 xor N2 xor N2 xor N4 xor N5

N15 = N5 - N4

这尝试的过程太心酸，别问，掉头发。

在机器上测试，也验证通过

好了，至此这张卡完全破解完成了。。

顺带说一句。目前学校里都在使用这种卡，洗澡卡，洗衣卡，水卡，还有学生卡。
因为一张卡有15个扇区可写，如果这些卡的记录数据的扇区不同是可以用一张白卡把信息写上去
然后就可以多卡合一了。