手把手教你用手机NFC和PM3读写器破解复制自家门禁卡（从M1卡到滚动码实战）
手机NFC与PM3读写器实战：门禁卡安全分析与复制技术解析
1. 认识门禁卡的技术体系
现代门禁系统广泛采用射频识别技术，主要分为低频（125kHz）和高频（13.56MHz）两大阵营。低频卡以EM4100为代表的ID卡为主，特点是成本低廉但安全性较弱；高频卡则以MIFARE Classic系列（俗称M1卡）最为普及，采用相对复杂的加密机制。
常见卡片类型特征对比：
| 类型 | 工作频率 | 典型芯片 | 存储容量 | 加密特性 |
|---|---|---|---|---|
| ID卡 | 125kHz | EM4100 | 64bit | 无加密 |
| M1卡 | 13.56MHz | S50 | 1KB | 扇区加密 |
| CPU卡 | 13.56MHz | 多种 | 8-32KB | 高强度加密 |
提示：使用手机NFC功能可以快速区分卡片类型——能读取到数据的基本为高频卡，无反应的可能是低频ID卡。
2. 实战工具准备与配置
2.1 移动端解决方案
安卓手机配合专业APP已成为最便捷的读卡工具，推荐组合：
- NFC Tools Pro：基础读卡与数据分析
- Mifare Classic Tool：M1卡深度操作
- Proxmark3客户端：连接PM3设备的移动控制端
关键配置步骤：
- 在开发者选项中启用"NFC全协议支持"
- 为各应用授予NFC权限和后台运行权限
- 在Mifare Classic Tool中导入常用密钥字典
2.2 专业硬件方案
PM3（Proxmark3）作为射频安全研究的标杆设备，其优势在于：
- 支持低频/高频全频段操作
- 可进行嗅探、模拟、暴力破解等高级操作
- 开源社区提供持续固件更新
基础环境搭建：
# 安装驱动与工具链 sudo apt install pcscd pcsc-tools libpcsclite-dev git clone https://github.com/RfidResearchGroup/proxmark3 cd proxmark3 && make clean && make all3. 卡片安全评估实战
3.1 快速识别卡片类型
使用PM3执行基础检测：
# 低频卡检测 lf search # 高频卡检测 hf search典型输出解析：
[+] Found ISO14443a card [+] ATQA : 00 04 [+] UID : 08 6A D5 5B [+] SAK : 08 [+] Possible types: MIFARE Classic 1K3.2 密钥破解技术
针对M1卡的三种破解策略：
字典攻击：
# Mifare Classic Tool字典示例 FFFFFFFFFFFF A0A1A2A3A4A5 4D3A99C351DD嵌套认证漏洞利用：
hf mf nested 1 0 A FFFFFFFFFFFF d硬件嗅探攻击：
- 需要变色龙设备辅助
- 捕获合法读卡器与卡片通信数据
注意：全加密卡需要结合多种技术手段，部分新型卡片可能无法破解
4. 复制技术进阶与防御机制
4.1 特殊卡片复制方案
滚动码应对策略：
- 使用GTU卡锁定数据状态
- 采用离线模拟器动态同步
- 逆向分析通信协议
CPU卡部分功能模拟：
- 仅能复制UID部分信息
- 需配合原卡进行中继攻击
- 无法复制金融等安全功能
4.2 企业级防御措施
现代门禁系统已采用多重防护：
- 动态密钥协商机制
- 双向身份认证
- 物理不可克隆功能(PUF)
- 行为特征分析
5. 法律与伦理边界
技术研究应当遵循原则：
- 仅对自有卡片进行操作
- 不破解关键基础设施门禁
- 不传播商业系统漏洞细节
- 关注安全防御而非攻击利用
实际操作中建议：
- 与物业协商正规复制
- 使用官方提供的移动凭证
- 关注智能卡安全公告
- 参与负责任的漏洞披露
在完成小区门禁卡备份项目时，发现新版系统已采用CPU卡与动态加密结合方案，传统复制方法完全失效。这促使我们转向研究NFC手机与门禁系统的安全对接方案，最终通过物业提供的官方API实现了手机开门功能。