RFID實(shí)驗(yàn)指導(dǎo)書

1、RFID實(shí)驗(yàn)指導(dǎo)適用所有對(duì)無線射頻傳感器感興趣的學(xué)生XXX一、課程目的RFID無線射頻實(shí)驗(yàn)是一門實(shí)踐性很強(qiáng)的實(shí)驗(yàn)課程，為了學(xué)好這門課，每個(gè)學(xué)生須完成一定的實(shí)驗(yàn)實(shí)踐作業(yè)。通過本實(shí)驗(yàn)的實(shí)踐操作訓(xùn) 練，可以更好的了解RFID的基本功能和基本的使用方法， 為以后深入的 研究學(xué)習(xí)打下良好的基礎(chǔ)。本課程實(shí)驗(yàn)的目的是旨在使學(xué)生進(jìn)一步擴(kuò)展對(duì)無線射頻方向理論知 識(shí)的了解；培養(yǎng)學(xué)生的學(xué)習(xí)新技術(shù)的能力以及提高學(xué)生對(duì)該方向的興趣 與動(dòng)手能力。二、實(shí)驗(yàn)名稱與學(xué)時(shí)分配序號(hào)實(shí)驗(yàn) 名 稱學(xué)時(shí)數(shù)實(shí)驗(yàn)類型1環(huán)境搭建及咼低頻卡鑒別2驗(yàn)證2破解低頻門禁卡信息并作卡片復(fù)制2驗(yàn)證3破解高頻卡（多方法），讀取卡內(nèi)信息2綜合三、實(shí)驗(yàn)要求1.

2、問題分析充分地分析和理解問題本身，弄清要求做什么，包括功能要求、性 能要求、設(shè)計(jì)要求和約束。2.原理理解 在按照教程執(zhí)行過程當(dāng)中，需要弄清楚每一個(gè)步驟為什么這樣做，編寫原理是什么。3.實(shí)踐測(cè)試 按照要求執(zhí)行每一步命令，仔細(xì)觀察返回值，了解每項(xiàng)返回值表達(dá)什么意思，為什么有的卡片可以破解有的不可以。三、實(shí)驗(yàn)考核實(shí)驗(yàn)報(bào)告應(yīng)包括如下內(nèi)容：1、實(shí)驗(yàn)原理描述：簡(jiǎn)述進(jìn)行實(shí)驗(yàn)的原理是什么。2、實(shí)驗(yàn)的操作過程：包括實(shí)驗(yàn)器材、實(shí)驗(yàn)流程的描述。3、分析報(bào)告： 實(shí)驗(yàn)過程中遇到的問題以及問題是否有解決方案。 如果有，請(qǐng)寫明如何解決的；如果沒有，請(qǐng)說明已經(jīng)做過什么嘗試，依舊沒有結(jié)果導(dǎo)致失敗。最后簡(jiǎn)述產(chǎn)生問題的原因。4、實(shí)

3、驗(yàn)的體會(huì)以及可以講該功能可以如何在其他地方發(fā)揮更強(qiáng)大的功能。注：最后實(shí)驗(yàn)結(jié)果須附命令行回顯截圖四、實(shí)驗(yàn)時(shí)間總學(xué)時(shí)：6學(xué)時(shí)。實(shí)驗(yàn)?zāi)康?、 掌握如何通過讀取電壓高低來區(qū)分高低頻。實(shí)驗(yàn)要求注意事項(xiàng)：命令在實(shí)行時(shí)，如果想停止，不能用平時(shí)的Ctrl+C或者ESC等常規(guī)結(jié)束按鍵(可能會(huì)造成未知損壞)，只需要按下Promxmark3上的黑色按鈕。方形的為高頻天線(Proxmark3 HF Antenna 13.56MHZ)；圓形的為低頻天線(Proxmark3 LF Antenna 125KHz/134KHz)四、 實(shí)驗(yàn)內(nèi)容1安裝驅(qū)動(dòng)打開我的電腦右鍵-屬性設(shè)備管理器人體學(xué)輸入設(shè)備 這個(gè)“HID-compli

4、ant device”就是我們的proxmark3設(shè)備，選擇“USB人體學(xué)輸入設(shè)備” 一般是最下面那個(gè)，注意：不是“HID-compliant device”，更新驅(qū)動(dòng)程序。然后選擇：Proxmark-Driver-2012-01-15proxmark_driverProxMark-3_RFID_Instrument.inf下一步繼續(xù)安裝完成。安裝完成之后在設(shè)備管理器里面可以看到實(shí)驗(yàn)高低頻卡鑒別1、掌握RFID驅(qū)動(dòng)等環(huán)境安裝設(shè)置。1、認(rèn)真閱讀和掌握本實(shí)驗(yàn)的程序。2、實(shí)際操作命令程序。3、保存回顯結(jié)果，并結(jié)合原理進(jìn)行分析。4、按照原理最后得出結(jié)果。proxmark3的新驅(qū)動(dòng)。2軟件使用所需要的軟

5、件已經(jīng)打包好，直接在命令行中運(yùn)行D: pm3-bin-r486Win32proxmark3.exe這樣就算成功安裝好各種環(huán)境，并可以在該命令窗口中執(zhí)行命令了。3高低頻卡的判別本部分介紹利用高頻天線判別卡片的高低頻，可自行利用低頻天線測(cè)試，原理類似。命令：hw tune，這個(gè)命令大概需要幾秒鐘等待回顯。當(dāng)你輸入完hw tune之后，窗口所顯示的HF antenna后面的數(shù)值就是現(xiàn)在非工作狀態(tài)下的電壓，當(dāng)你把相關(guān)的卡放在高頻天線上面/下面的時(shí)候，電壓就會(huì)所變化了（依然是非工作狀態(tài)下） 。從圖中我們可以看到， 當(dāng)卡沒有放到天線的情況下電壓為9.22v，而卡放在天線之后電壓將為3.9v，現(xiàn)在的電壓依然

6、是為非工作電壓， 但是 從這個(gè)現(xiàn)象當(dāng)中我們會(huì)得到很多非常有意義的數(shù)據(jù)。變化出來了！第三張hw tune的結(jié)果為8.57v，是因?yàn)槲野岩粡?25kHZ的門禁卡放在了高頻天線上面， 所以其電壓的降幅很低， 但是如果 我把一張13.56MHz的卡放在上面就好像第二張圖片那樣子，電壓會(huì)降低 會(huì)很多，有時(shí)候會(huì)是10v左右。從這個(gè)變化當(dāng)中我們就可以初步識(shí)別出高 頻與低頻卡的區(qū)別了。所以前面測(cè)試的那張卡是一張高頻卡。實(shí)驗(yàn)二 破解低頻門禁卡實(shí)驗(yàn)?zāi)康? 掌握利用低頻天線破解門禁卡。實(shí)驗(yàn)要求三、注意事項(xiàng)命令在實(shí)行時(shí)，如果想停止，不能用平時(shí)的Ctrl+C或者ESC等常規(guī) 結(jié)束按鍵(可能會(huì)造成未知損壞)，只需要按下P

7、 romxmark3上的黑色按鈕。方形的為高頻天線(Proxmark3 HF Antenna 13.56MHZ)；圓形的為低頻天線(Proxmark3LF Antenna 125KHz/134KHz) 安裝驅(qū)動(dòng)等環(huán)境搭建步驟已由 實(shí)驗(yàn)一 詳細(xì)闡述，此處略過。四、實(shí)驗(yàn)內(nèi)容1、簡(jiǎn)單了解卡片門禁卡一般為T55x7標(biāo)簽？也叫？TK4100(EM4100卡.?是屬于？ID?卡。T55X7?標(biāo)簽成本.?一般市場(chǎng)價(jià)格？2?元-3?元不等.?(如果批發(fā)，還能更便 宜.)?所以很多地方都用T55X7?標(biāo)簽。般判別標(biāo)簽卡的類型,?不可通過卡的外觀?大小?形狀來判斷。T55X7 ?的參數(shù)及應(yīng)用范圍:EM?4100/

8、4102?感應(yīng)式？ID?標(biāo)準(zhǔn)卡芯片：?EM?瑞士微電？EM4102Water工作頻率：125KHZ?感應(yīng)距離：2-20cm1認(rèn)真閱讀和掌握本實(shí)驗(yàn)的程序。2上機(jī)執(zhí)行教程命令。3保存運(yùn)行結(jié)果，并對(duì)其原理進(jìn)行分析理解。尺寸：？ISO?標(biāo)準(zhǔn)卡/厚卡/多種異形卡封裝材料：PVC、ABS?-2、破解卡片由于本次測(cè)試卡為低頻卡，所以連接的是低頻天線（LF）。命令 ：lf？em4x？em410 xwatch？這個(gè)命令來獲取門禁的Tags。執(zhí)行完命令以后，則需耐心等待，讀取速度不確定，一般30分鐘之內(nèi)都算正常時(shí)間。過程截圖如下所示：這條命令會(huì)讀取EM410X標(biāo)簽，2000?次取樣獲取ID。大部分門禁都將Tags

9、作為識(shí)別合法用戶的認(rèn)證標(biāo)簽， 所以如果可以獲取該Tags標(biāo)簽，則可以復(fù)制該門禁卡。（除非個(gè)別地方將Tags與UID綁定）最后一行“EM410 x Tag ID:xxxxxxxx”，這個(gè)則是獲取的該卡Tags。注意：讀取Tags?的時(shí)候，門禁卡要放在低頻天線上方，且需要電壓穩(wěn)定，不是每一次都可以成功獲取的，需要多嘗試幾次。3、復(fù)制門禁卡獲取到Tags以后，我們就可以拿一張同樣類型的空白卡進(jìn)行復(fù)制。步驟 ：先將白卡放在低頻天線上，然后執(zhí)行命令。命令：l?e?em410Xwrite? TagID?1 ?注：TagID為上一步獲取的Tags序號(hào)；命令最后的1?表示t55X7?標(biāo)簽；前面的l?是lf?低

10、頻卡命令的縮寫；第2?個(gè)e?是參數(shù)em4x?勺縮寫。寫完后,我們?cè)儆?命令：lf?em4x?em410 xwatch?來查看,我們是否寫進(jìn) 去了。在對(duì)新復(fù)制好的卡執(zhí)行完命令后，如果最后獲取到的Tags值與先前的一樣，或者將新卡拿到門禁系統(tǒng)上可以測(cè)試通過，則說明門禁卡復(fù)制成功，否則需要重新執(zhí)行復(fù)制的步驟。T55x7實(shí)驗(yàn)三 破解高頻卡（多方法）一、實(shí)驗(yàn)?zāi)康恼莆绽酶哳l天線破解MIFARE Classic高頻卡的方法與過程。了解MIFARE Classic卡的漏洞與不安全性。二、實(shí)驗(yàn)要求三、注意事項(xiàng)命令在實(shí)行時(shí)，如果想停止，不能用平時(shí)的Ctrl+C或者ESC等常規(guī)結(jié)束按鍵（可能會(huì)造成未知損壞） ，只

11、需要按下Promxmark3上的 黑色按鈕。方形的為高頻天線（Proxmark3 HF Antenna 13.56MHZ）；圓形的為低頻天線(Proxmark3 LF Antenna 125KHz/134KHz)安裝驅(qū)動(dòng)等環(huán)境搭建步驟已由 實(shí)驗(yàn)一 詳細(xì)闡述，此處略過。三、實(shí)驗(yàn)內(nèi)容1、基于key的卡片破解通過簡(jiǎn)單的電壓測(cè)試（如實(shí)驗(yàn)一） ，可以得出我們要測(cè)試的MIFAREClassic卡是高頻卡。放卡前：放卡后：當(dāng)確定需要測(cè)試的卡為13.56MHz卡之后，就開始需要深入的了解這 卡的信息了。我們可以從hf命令集當(dāng)中找到相關(guān)的命令（見附錄）命令：hf 14a reader1認(rèn)真閱讀和掌握本實(shí)驗(yàn)的算法

12、。2按照教程執(zhí)行命令，盡可能實(shí)現(xiàn)效果。3保存運(yùn)行結(jié)果，并結(jié)合原理進(jìn)行分析。這樣我們就可以獲取到該卡的UID。RATS是Request for answer to select（選擇應(yīng)答請(qǐng)求），原因是有時(shí)候Proxmark3在讀取部分MIFAREClassic卡UID的信息時(shí)，因?yàn)闊o法得到RATS的返回信息，會(huì)判斷為非ISO14443a標(biāo)準(zhǔn)的卡.國(guó)內(nèi)有太多MIFARE Classic類的卡，并不是NXP出產(chǎn)的，所以Proxmark3就會(huì)出現(xiàn)了這樣子的提示!從圖中的信息我們可以看到的是現(xiàn)在讀取的卡ATQA為04 00。通常ATQA為04 00數(shù)值的卡，大部分都是MIFARE Classic或者是C

13、PU兼容模式下的MIFARE Classic。當(dāng)我們可以確定卡類型之后就可以針對(duì)其特性進(jìn)行相關(guān)的安全測(cè)試了，通常當(dāng)我們拿到相關(guān)的卡的時(shí)候，我們應(yīng)該先用chk命令去檢測(cè)一下測(cè)試卡是否存在出廠時(shí)遺留的默認(rèn)Key，默認(rèn)的Key A/Key B是使得MIFAREClassic系列安全問題雪上加霜的主要成因，因?yàn)槭褂媚J(rèn)的Key導(dǎo)致惡意用戶可以使用其進(jìn)行卡的信息讀取以及修改。（常用默認(rèn) keykey 見附錄）命令：hf mf chk 0 A a0a1a2a3a4a5含義：檢查0區(qū)key A是否為a0a1a2a3a4a5當(dāng)回顯為isOk:01 valid key:a0a1a2a3a4a5key，我們就可以

14、利用這個(gè)默認(rèn)Key進(jìn)行區(qū)塊的讀取以及更進(jìn)一步的操作了。如果嘗試多種默認(rèn)key均不存在的話，可以用如下方法。命令：hf mf mifare當(dāng)輸入命令以后，窗口會(huì)顯示類似進(jìn)度狀態(tài)的“.”，這個(gè)過程有就說明存在這個(gè)默認(rèn)時(shí)候快有時(shí)候慢，需要耐心等待。這樣便可獲得其中一個(gè)Nt的值為524bb6a2。命令：hf mf mifare 524bb6a2當(dāng)輸入命令后，窗口將再一次進(jìn)入進(jìn)度狀態(tài)，須耐心等待，如果想停 止，請(qǐng)按黑色按鈕。因?yàn)榛赑RNG勺漏洞進(jìn)行的破解，所以有時(shí)候會(huì)出現(xiàn)多次Nt的循環(huán),這是很正常的結(jié)果，我們需要不斷的利用Nt去進(jìn)行真正Key的破解。整個(gè)過程是漫長(zhǎng)而乏味的，所以我們才需要借用默認(rèn)Key

15、的檢測(cè)來減少安全測(cè)試的耗時(shí)。（關(guān)于PRNOi洞的介紹請(qǐng)自行上網(wǎng)查詢）最后結(jié)果為Found valid key后面的值。這樣我們就對(duì)這張卡PRNG破解成功，獲取到了key以后就可以對(duì)整張卡進(jìn)行破解測(cè)試了。這個(gè)操作的過程比較短暫，而且前提條件是必須存在一個(gè)正確的進(jìn)行操作，否者就無法繼續(xù)進(jìn)行?；旧螹IFARE Classic的安全測(cè)試就（Cryto-1算法）的卡，我們還可以使用嗅探的測(cè)試去進(jìn)行測(cè)試。前提是要記住嗅探模式是需要在正常交互摸式下進(jìn)行的。2、基于交互模式下的卡片破解1、正常連接Proxmark3到電腦，進(jìn)入Proxmark3交互終端。2、在終端輸入命令命令：hf 14a snoop3、然

16、后將卡片放在天線上，多次讀取。Key已經(jīng)完成了，而基于一些全加密或者CPU兼容模式MIFARE Classic4、當(dāng)讀取完成后等待大約5秒，按下板子上的黑色按鈕。（短按，按一下OK了。此時(shí)板子上的LED燈都滅掉。5、回到命令終端輸入命令。命令：hf mf list如果讀取成功，則可以看見如下圖顯示然后 再利用第 三方軟件即 可算出key值來。（演示 軟件為crapto1gui1.01)如果讀取失敗，則輸入命令以后無數(shù)據(jù)附錄1常見默認(rèn)key：00000ffe24880000000000000297927c0f77b0b1b2b3b4b5ee0042f888404d3a99c351dd722bfc

17、c5375f1a982c7e459af1d83f964314aabbccddeeff4AF9D7ADEBE4714c5c886e972BA9621E0A36587ee5f9350ffc00018778f7a0478cc3909100000ffe2488533cb6c723f60297927c0f778fd0a4f256e9ee0042f88840a64598a7747800000000000126940b21ff5da0a1a2a3a4a5fc00018778f7b127c6f4143600000ffe248812f2ee3478c15c598c9c58b534d1df9934c5e4d277

18、0a89be55f5a5dd38c9434f4d4d4f41f1a97341a9fc434f4d4d4f4233f974b4276947524f55504114d446e3336347524f555042c934fe34d934fc00018778f7附錄2部分常用命令與注解:HelP主幫助命令hel P顯示幫助data圖形窗口/緩沖區(qū)數(shù)據(jù)操作等等exit退出Proxmark3的終端環(huán)境hf高頻相關(guān)命令hw硬件檢測(cè)相關(guān)命令I(lǐng)f低頻相關(guān)命令quit退出Proxmark3的終端環(huán)境等同exithw硬件相關(guān)檢測(cè)命令hel p顯示幫助detectreaderT/h-檢測(cè)外部讀卡器頻率區(qū)域（選項(xiàng)“1”或

19、“h”限制到低頻LF或高頻HF）fpgaoff設(shè)置FPGA為關(guān)閉lcd -發(fā)送命令/數(shù)據(jù)到LCDlcdreset重置LCDreadmem從芯片中讀取10進(jìn)制地址的存貯器reset重置Proxmark3setlfdivisor-在12Mhz/（基數(shù)+1）驅(qū)動(dòng)LF天線setmux-設(shè)置ADC多路復(fù)用器為一個(gè)特定的值tune測(cè)量天線的調(diào)諧If低頻相關(guān)命令hel p顯示幫助cmdread h-在讀取之前發(fā)送命令來調(diào)整LF讀卡器周期（以微妙為單位）（h選項(xiàng)為134）em4xEM4X卡類相關(guān)命令flexdemod解調(diào)Flex Pass樣本hidHID卡類相關(guān)命令in dalademod224-解調(diào)Inda

20、la樣本的64位UID（選項(xiàng)224是224位）in dalacI oneUID l-克隆Indala到T55x7卡（標(biāo)簽必須在天線上）（UID為16進(jìn)制）（選項(xiàng)T表示224位UID）readh-讀取125/134 kHz的低頻ID標(biāo)簽（選項(xiàng)h是134）simGAP-從可選GAP的緩沖區(qū)模擬低頻標(biāo)簽（以微秒為單位）simbidir模擬低頻標(biāo)簽（在讀卡器和標(biāo)簽之間雙向傳輸數(shù)據(jù)）simma n GAP模擬任意曼徹斯特低頻標(biāo)簽tiTI卡類相關(guān)命令hitagHitag標(biāo)簽與應(yīng)答相關(guān)vchdemodclone-解調(diào)VeriChip公司樣本t55xxT55xx卡類相關(guān)命令P CF7931P CF7931卡類

21、相關(guān)命令versi on顯示Proxmark3的固件版本信息Lf em4x（EM4X類卡相關(guān)命令）hel p顯示幫助em410 xread時(shí)鐘速率-提取EM410X標(biāo)簽的IDem410 xsim -模擬EM410X標(biāo)簽em410 xwatch讀取EM410X標(biāo)簽，2000次取樣獲取IDem410 xwrite v0 T5555 -把EM410 x UID寫入T5555(Q5)或T55x7標(biāo)簽em4x50read從EM4X50標(biāo)簽中讀取數(shù)據(jù)readword-讀取EM4xxx字符數(shù)據(jù)readword PWD Password-在密碼模式下讀取EM4xxx字符數(shù)據(jù)writeword-寫入EM4xxx

22、字符數(shù)據(jù)writeword PWD Password-在密碼模式下寫入EM4xxx字符數(shù)據(jù)Hf高頻相關(guān)命令hel P顯示幫助14aISO14443A卡的相關(guān)命令14bISO14443B卡的相關(guān)命令15ISO15693卡的相關(guān)命令epa德國(guó)身份證的相關(guān)命令legicLEGIC卡的相關(guān)命令iclassICLASS卡的相關(guān)命令mfMIFARE卡的相關(guān)命令Hf 14a相關(guān)命令hel p顯示幫助list列出竊聽到的ISO14443A類卡與讀卡器的通信歷史記錄reader讀取ISO14443A類卡的UID等數(shù)據(jù)cuids收集指定數(shù)目的隨機(jī)UID，顯示幵始和結(jié)束時(shí)間sim -模擬ISO14443A類標(biāo)簽snoop竊聽I(yíng)SO14443A類卡與讀卡器的通信數(shù)據(jù)raw使用RAV格式命令發(fā)送指令到標(biāo)簽Hf mf（MIFARE卡的相關(guān)命令）hel P顯示幫助dbg設(shè)置默認(rèn)調(diào)試模式rdbl讀取MIFARE classic卡的區(qū)塊數(shù)據(jù)rdsc讀取MIFARE classic卡的扇區(qū)數(shù)據(jù)du