手机NFC模拟门禁卡全攻略：从ID/IC卡识别到加密破解与安全写入

1. 项目概述：当门禁卡“住”进你的手机

手里攥着一大串门禁卡、工牌、电梯卡的日子，是不是早就过够了？每次走到小区门口或者公司闸机前，都得手忙脚乱地在包里翻找，尤其是手里提着东西的时候，更是麻烦。现在，几乎人手一台的智能手机和智能手环，其实都内置了一个叫NFC（近场通信）的小芯片，它本应是我们通向“无卡化”生活的钥匙。很多人尝试过，用手机的NFC功能去复制一张门禁卡，结果却常常弹出“此卡为加密卡，无法复制”的提示，瞬间浇灭热情。

这个项目要做的，就是攻克这个痛点：将你的实体门禁卡，无论是普通的ID卡、IC卡，还是带加密的IC卡，安全、稳定地“写入”到你的手机或智能手环中。让你实现真正的“一机（环）通行”，出门再也不用带一堆卡片。这不仅仅是图个方便，更深层的需求在于整合与备份——将你所有的物理门禁凭证数字化，集中管理，防止丢失，甚至可以为家人远程开通权限（在物业支持的前提下）。它适合所有被多张门禁卡困扰的上班族、学生、业主，以及任何喜欢折腾数码、追求生活效率的极客。

实现这个目标，核心在于理解你手中那张小小门禁卡的类型和其中的数据逻辑，并利用合适的工具和步骤，完成从读取、解密（如果需要）到模拟写入的全过程。下面，我就以一个从业多年的数码爱好者的视角，带你彻底拆解这里面的门道。

2. 门禁卡类型深度解析与工具准备

在动手之前，搞清楚你面对的是什么“敌人”至关重要。门禁卡主要分为两大类，它们的原理和复制难度天差地别。

2.1 ID卡与IC卡的根本区别

很多人分不清ID卡和IC卡，它们外观可能一样，但内核完全不同。

ID卡是识别卡。你可以把它想象成一个只印了身份证号码的卡片，这个号码是出厂时就固化在芯片里的，全球唯一且不可修改。它的工作频率是125kHz，通信时，读卡器发出能量，ID卡被激活后，就反复地、单向地向读卡器“喊”出自己的这个ID号。读卡器识别到这个号码，就放行。因为它只有这一个号码，没有存储空间，无法加密，所以复制ID卡在技术上是最简单的，本质上就是把这个ID号写到另一个设备（手机或空白卡）里去。早期的门禁系统和大部分低成本的门禁场景多用ID卡。

IC卡是智能卡。它像是带有一个微型计算器和一个小存储器的卡片，工作频率是13.56MHz。我们常见的公交卡、带芯片的银行卡、以及大多数较新的门禁卡都是IC卡。它遵循ISO14443标准，内部有存储区（通常分为多个扇区，每个扇区有多个块），可以进行读写、加密和复杂的交互。IC卡的安全性高很多，其核心在于扇区加密。

一个典型的IC卡（如Mifare Classic 1K，简称M1卡）有16个扇区，每个扇区有4个块（共64块）。每个扇区的最后一块叫做“扇区尾块”或“控制块”，这里面存放着这个扇区的两套密码（Key A和Key B）以及存取控制位。门禁系统通常只使用其中一个或几个扇区来存储数据（比如房号、有效期），并且用密码保护起来。当你用手机自带的NFC功能去碰一下加密卡，手机尝试用默认密码（如全F）去读取，发现密码不对，就会直接报错“加密卡，无法复制”。

2.2 所需工具与软件选型

工欲善其事，必先利其器。要实现复制，尤其是复制加密卡，你需要以下工具组合：

1. 一部支持完整NFC读写功能的安卓手机：这是你的主战场。注意，很多手机厂商为了安全，锁定了NFC的全功能，只允许模拟空白卡或官方合作的卡。因此，你需要一部能解锁Bootloader并获取Root权限的手机，或者使用一些厂商提供的“门卡模拟”测试功能（如小米早期开发版系统中的“门卡模拟”插件）。苹果iPhone由于NFC权限高度封闭，目前无法进行此类深度操作。

2. 一张或多张空白卡或UID卡：

   • 空白CUID卡：这是最重要的工具卡。CUID卡是可擦写、可重复使用的IC卡，其特点是UID（卡号）可以修改。普通M1卡的UID是锁死的，而CUID卡模拟了M1卡的大部分特性，但允许改写0扇区0块的UID。这在破解加密卡时至关重要，因为很多门禁系统只校验卡号（UID）和少数扇区的数据。购买时请认准“CUID”或“FUID”（FUID是一次性写入UID）。
   • 空白ID卡：如果需要复制的是ID卡，则需要准备125kHz频率的空白ID卡。

3. 一台PN532 NFC读写器：这是一个通过USB连接电脑的硬件设备，是读取、写入和破解卡片数据的核心工具。它比手机自带的NFC芯片更强大、更底层，可以发送各种指令与卡片交互。淘宝上几十元就能买到。

4. 关键软件：

   • Mifare Classic Tool (MCT)：安卓平台上的神器。在Root后的手机上安装，它可以利用手机NFC芯片，对M1卡进行扇区读写、密码检测、数据编辑等操作。是手机端操作的主力。
   • Proxmark3 GUI 或类似PC端软件：如果你使用PN532，通常卖家会提供配套的PC软件。或者使用开源的“NFC Tools”PC版。这些软件用于在电脑上通过PN532读写卡片。
   • 卡模拟软件：如“NFC卡模拟”等APP。在获取了卡片数据后，用这类APP将数据写入手机自带的“钱包”或“门卡”模拟功能中，完成最终替换。

重要提示：所有操作应仅针对你自己拥有合法使用权的门禁卡进行复制，用于个人便捷生活。严禁复制他人卡片或用于任何非法侵入场所的行为，这涉及法律与道德风险。

3. 实操流程全解析：从读取到成功模拟

理论准备就绪，我们进入实战环节。流程可以概括为：检测卡型 -> 读取数据 -> 解密（如需）-> 写空白卡测试 -> 模拟到手机。

3.1 第一步：检测与读取卡片数据

首先，用你的安卓手机（已安装MCT）或PN532连接电脑，打开对应软件。

1. 识别卡型：将原门禁卡贴近设备。软件会显示检测到的卡片类型。如果是“Mifare Classic 1K”或“Mifare Classic 4K”，那就是我们需要处理的IC卡。如果显示“ISO14443-3A UID: XX”，也可能是未加密或半加密的IC卡。如果显示“EM410x”之类的，则是ID卡。

2. 读取数据：

   • 对于ID卡：直接读取其卡号（通常是一个10位的十六进制数），记录下来即可。
   • 对于IC卡：在MCT中，点击“读标签”。软件会尝试用一系列默认密钥（如全F，全0等）去遍历所有扇区。如果卡片未加密，你会直接看到所有扇区的数据（十六进制显示）。如果部分扇区加密，这些扇区会显示为“密钥未知”或全是0。

3.2 第二步：破解加密扇区

这是复制加密卡最核心、最具技术含量的步骤。如果读卡时发现有扇区加密，我们就需要破解其密码。

1. 全加密卡破解：如果所有扇区都加密，MCT的“密钥测试”功能可能无效。此时需要借助“字典攻击”。原理是，很多门禁系统厂商为了图方便，使用的密码是默认密码或简单密码。MCT软件内置了一个常见的密码字典，你可以使用“字典攻击”功能，让软件自动用字典里的密码逐个尝试。这个过程可能需要几分钟到几十分钟。
2. 已知密钥：如果恰好你的门禁系统使用的是常见默认密码（如A密钥：FFFFFFFFFFFF，B密钥：FFFFFFFFFFFF），或者你从其他渠道知道了密码，可以在MCT里直接输入密钥，然后读取。
3. 利用漏洞：早期的Mifare Classic卡存在加密算法漏洞。一些高级工具（如Proxmark3硬件）可以利用这些漏洞进行“嵌套认证攻击”来破解密钥。但对于大多数个人用户，使用PN532配合字典攻击是性价比最高的方案。

实操心得：在开始破解前，不妨先用“默认密钥”尝试读取。很多小区物业为了省事，根本没有改过默认密码。如果默认密钥能读出来，那就省去了大量时间。破解成功后，务必在MCT中完整保存整个卡片的数据镜像文件（.mfd或.dump格式），这是你的原始数据备份。

3.3 第三步：写入空白CUID卡进行测试

千万不要直接拿手机做实验！门禁系统可能因为模拟不当而锁卡或引发其他问题。先用空白CUID卡做测试，这是安全稳妥的关键。

1. 连接PN532，打开PC端读写软件，将空白CUID卡放在读卡器上。

2. 写入数据：在软件中选择“写入”或“克隆”功能，加载你之前保存的.dump数据文件。注意，写入时一定要确保勾选“写入UID”选项。因为普通M1卡UID不可改，但CUID卡可以。只有将原卡的UID也写入CUID卡，才能通过大多数门禁系统的第一道校验。

3. 验证：写入完成后，用读卡软件再次读取这张CUID卡，对比数据是否与原卡完全一致（重点是UID和关键扇区数据）。

4. 实地测试：拿着这张复制好的CUID卡，去门禁读卡器上测试。如果“嘀”一声绿灯亮，恭喜你，成功了。如果不行，可能有以下原因：

   • 防火墙检测：一些高级门禁系统（尤其是电梯卡）会检测卡片是否为“幽灵卡”（即UID可写的卡）。它们会向0扇区0块（存放UID的地方）写入数据，然后回读。对于真正的M1卡，写入会失败；但对于CUID卡，写入会成功，系统从而判断这是复制卡并拒绝。这时可能需要使用FUID卡（UID只能写入一次）或UFUID卡来绕过。
   • 滚动码：极少数高级系统使用滚动码技术，每次验证后卡内密码会变化。这种卡普通方法无法复制，需要更专业的设备和方法，已超出一般个人用户范畴。

3.4 第四步：将数据模拟到手机或手环

测试卡成功后，就可以向手机迁移了。

1. 手机端准备：打开手机自带的“钱包”或“门卡”类APP（如小米钱包、华为钱包等），选择“模拟门禁卡”或“添加门卡”。
2. 选择“模拟实体门禁卡”：当手机提示你贴卡时，不要贴原卡，而是贴你刚刚复制成功的那张CUID卡。让手机从这张测试卡上读取数据。这个过程相当于手机把CUID卡上的信息（包括UID和加密数据）学习过去。
3. 完成与命名：模拟成功后，给你的手机虚拟门卡起个名字，比如“小区大门”。此时，你的手机就具备了和原卡一样的门禁功能。

对于智能手环/手表：过程类似，通常在手环配套的APP（如小米运动、华为运动健康）中找到“门禁卡”功能，然后同样用复制好的CUID卡进行模拟。

注意事项：不同品牌手机对NFC模拟的支持策略不同。有些品牌（如小米、华为）对自家生态内支持较好，但模拟加密卡的成功率也因机型、系统版本而异。如果手机自带的模拟功能始终失败，可以尝试在Root后使用第三方的“NFC卡模拟”APP，直接加载.dump文件进行模拟，但这需要手机内核支持，且稳定性不一。

4. 常见问题、疑难排查与高阶技巧

在实际操作中，你肯定会遇到各种各样的问题。这里我总结了一份常见问题排查表，并分享几个高阶技巧。

4.1 常见问题速查表

4.2 高阶技巧与深度解析

1. UID、CUID、FUID、UFUID卡的区别与选用：

   • UID卡：普通可改写UID的卡，但容易被“防火墙”检测，因为其UID可反复擦写。
   • CUID卡：兼容UID卡，但通过特殊指令使UID在本次上电周期内可写，下次上电恢复，防检测能力稍强，但非绝对。
   • FUID卡：UID只能写入一次，写入后即永久锁死，与原生M1卡特性一致，能有效绕过绝大多数防火墙检测。个人最推荐使用FUID卡做最终复制。
   • UFUID卡：UID可写，但写入后可以通过特殊指令永久锁死，兼具灵活性和最终安全性。选用策略：测试阶段用便宜的CUID卡。确认数据正确且门禁无防火墙后，为求稳定，换用FUID卡制作最终版本。

2. 扇区数据解析与修改：有时我们不仅想复制，还想修改。例如，电梯卡可能在某一个扇区的某个块里存储了楼层信息。用MCT读取数据后，你可以尝试分析其规律。比如，连续刷几个不同楼层的卡，对比数据差异，找到代表楼层的那几个字节。修改前务必备份原数据！然后使用MCT的编辑功能，修改相应字节，再写回FUID卡测试。这是一个需要耐心和一点逻辑分析能力的过程。

3. 手机Root与系统选择：如果你想用手机直接完成读、破解、写全流程（不依赖PN532），那么一部已Root的安卓手机是必须的。并且，最好选择类原生的系统（如LineageOS）或厂商官方提供解锁Bootloader支持的机型。因为很多国产定制系统在深度NFC权限上限制很死。Root后，MCT才能获得最高权限与NFC芯片交互，执行字典攻击等操作。

4. 关于ID卡的复制：ID卡的复制简单得多。用PN532或支持125kHz的读卡器读取ID卡号，然后写入一张空白ID卡即可。部分手机的NFC模拟功能也支持模拟ID卡（模拟为一个ID号），但成功率取决于手机硬件是否支持125kHz频段（大多数手机NFC只支持13.56MHz的IC卡频段）。所以ID卡通常更建议直接复制到实体空白ID卡上。

5. 安全、法律与伦理边界探讨

技术是一把双刃剑。在享受技术带来的便利时，我们必须清晰地认识到其边界。

1. 权限边界：你只应对你合法拥有、授权使用的门禁卡进行复制。例如你自己小区的门禁卡、公司的工牌（在不违反公司规定的前提下）、自家小区的电梯卡。绝对禁止复制他人的卡片，或试图复制酒店房卡、其他私人或敏感区域的通行证。

2. 系统安全：此方法主要针对安全性较弱的Mifare Classic卡。它的普及恰恰说明了早期门禁系统在安全设计上的不足。作为物业或系统管理员，应当升级使用更安全的CPU卡或采用蓝牙、二维码等动态验证方式。作为用户，了解这些漏洞也能更好地意识到物理安防的局限性。

3. 数据备份意义：本项目最大的正当用途之一是备份。将重要的门禁卡数据读取出来保存好，当原卡丢失或损坏时，你可以迅速写一张新的，避免补办的麻烦和费用。这类似于为你的数字资产做备份。

4. 变通与替代方案：如果你觉得上述过程太复杂，或者手机不支持，还有一些“曲线救国”的方案：

   • 使用带NFC的智能戒指或智能贴纸：将复制的数据写入这些可穿戴设备或贴纸上，贴在手机壳里。
   • 求助物业：越来越多的物业公司开始支持与手机厂商合作，直接在线开通数字门禁。这无疑是最合法、最稳定的方式。
   • 使用NFC读写器APP配合标签：有些APP可以不Root，通过手机NFC读取一些简单数据（如未加密的卡号），并写入到NFC标签中，实现有限功能的复制。

折腾的过程本身就是一种乐趣和学习。通过这个项目，你不仅能解决生活中的一个小麻烦，更能深入理解射频识别（RFID）技术、对称加密、以及硬件与软件交互的基本原理。从识别卡型到破解加密，从写卡测试到最终模拟，每一步都充满了极客的成就感。最后记住，技术服务于人，务必在法律与道德的框架内合理使用它。当你成功用手机“嘀”开家门的那一刻，所有的折腾都值了。