libnfc

Mifare Classic card提供1k-4k的容量，我们经常见到的是Mifare Classic 1k(S50)，也就是所谓的M1卡。M1卡有从0到15共16个扇区，并且每个扇区都有独立的密码，每个扇区配备了从0到3共4个段，每个段可以保存16字节的内容，反正从0开始数 就对了（和数组下标为0开始一样）。

每个扇区的第4段呢是用来保存KeyA，KeyB和控制位的，每张卡还有一个唯一标识的UID号，具体的卡结构大家可以百度一下看看。

我们本文的研究对象就是这玩意儿，谷歌告诉我们，这种卡类的攻击方式大概分为这么几种：

1）暴力破解

爆破对于M1卡的破解来说比较有效，因为M1卡是被动卡，需要读卡器来供能，切断供能后卡的临时数据就丢失了，也就是说不会存在输入过多错误密码后造成的锁死之类的情况
FFFFFFFFFFFF、A0B0C0D0E0F0等等都是M1白卡的默认密码，所以当我们使用mfoc这样的工具来爆破的时候基本上都是用这些默认密码来填充剩余扇区的密码。

2）重放攻击

刚刚我们说了M1卡是被动卡，当它被供能的时候会产生随机数列，切断供能后数据不会保存，再次供能又会产生一模一样的数列，然后就可以控制切断，再次供能的时间计算出这个数列，进行重放攻击来达到修改数据的目的。

3）克隆卡片（卡复制）

M1卡的扇区可以保存数据，所以大部分的卡片会选择加密扇区后保存数据，我们可以用 uid卡来进行复制，每张M1卡在0扇区第1段都有一个唯一标识，而且是保护无法修改的，uid 卡就是没有设定0扇区保护的卡，所以你可以随意的修改你想要的uid，这样我们就可以克隆出一张连uid都相同的卡片了。（但是要注意不要把00扇区弄 坏，之前测试的时候就未知原因写坏了00扇区无法读入了）。

4）嗅探攻击

这里要用到PM3这个神器，在卡和机器数据交换的时候嗅探数据，进行攻击，利用XOR算key工具就可以把扇区的密钥计算出来（穷逼表示根本买不起）。

0x01 细节

---

科普结束，接下来以一个实例来讲解以下破解M1卡的姿势（笔者才开始入坑，如有不对，请大牛斧正）。

关于暴力破解，我们此处用到这么几个东西，ACR122u，mfoc，libnfc。

其中ACR122u作为硬件供能，读写的作用，mfoc用来爆破，libnfc用来写入数据。