门禁卡复制实战：从M1卡解密到PM3与NFC手机模拟全流程

说到NFC卡片大多数人第一反应是刷门禁、刷公交、刷饭卡。但你有没有想过这些天天揣在兜里的IC卡其实是可以被完整复制出一张来的我前后折腾过不少门禁卡从小区单元门到公司工卡绝大多数都是M1卡也叫Mifare Classic 1K。配合一台几百块的PM3读写器加上手机自带的NFC功能就能实现读卡、解密、复制甚至写进UID/CUID空白卡里。这篇文章会从原理讲到实操用最接地气的方式把复制/破解自家门禁卡的全部流程拆给你看。不管你是手上有卡想备份一张的普通用户还是想入门RFID/NFC技术的爱好者这篇都能给你一些实在的东西。1. 先把卡看明白M1卡的结构与复制原理1.1 M1卡的“户口本”扇区、区块和密钥很多人第一次接触M1卡看到dump文件里一堆十六进制数据就头皮发麻。其实把这东西看明白并不难我用“小区一楼住户”来类比你就懂了。M1卡Mifare Classic 1K内部有1KB的EEPROM存储空间这1KB被分成了16个扇区Sector编号是0到15。每个扇区又分成4个块Block每块16字节。其中每个扇区的最后一个块叫“尾部块”Trailer它专门用来存放该扇区的密钥A、密钥B和访问控制位。而扇区0的第一个块也就是整个卡片的第0块比较特殊它存的是厂商信息包括4字节的UID卡片唯一序列号、厂商代码等。我常用的一个类比是整个卡片像一栋16层的公寓楼每层4户其中每层最后一户是“物业办公室”负责保管这层楼的门禁密码。密钥A就是单元门钥匙密钥B是防火门钥匙访问控制位则告诉系统“这两把钥匙分别能开哪几扇门”。你手里的门禁卡能不能被复制核心就看你这栋楼的“物业办公室”用的是不是默认密码。1.2 为什么绝大多数门禁卡都能复制成功在RFID/NFC技术圈里M1卡的安全问题早就是公开的秘密了。它用的是CRYPTO1加密算法这套算法在2008年前后就被学术界全面破解市面上几乎所有密钥都能在几秒内被暴力枚举出来。更要命的是大量门禁系统在发卡时根本就不会去修改默认密钥。我在实际读卡过程中统计过小区门禁、老旧写字楼、甚至某些酒店的房卡有相当高比例还在用出厂默认密钥。常见的默认密钥就那么几个全FFFFFFFFFFFFF、全0000000000000、以及A0A1A2A3A4A5、AABBCCDDEEFF、4D494B...等等。有些厂家偷懒所有扇区都用一个密钥有的稍微好点A密钥用默认值B密钥也用默认值等于没设防。如果说卡片物理结构是“楼”那密钥就是“门锁”。绝大多数门禁卡片的问题不是锁太差而是压根没锁——十个扇区有八个扇区用的是出厂钥匙你说复制它难不难这也是为什么我始终强调这篇文章教的复制换卡方法仅适用于你自己名下、有使用授权的门禁卡本质上是给自己做一把备用钥匙而不是去搞什么旁门左道。2. 工具清单PM3选型、手机NFC和空白卡2.1 Proxmark3设备与冰人固件建议想做门禁卡的深度读写PM3是这个圈子绕不开的利器。Proxmark3简称PM3是一块开源的RFID研究开发板支持从低频125kHz到高频13.56MHz的几乎所有非接触式卡。编程器版本从最早的原版、到后来各种魔改版、再到现在的易碎瑞Easy版价格在一两百到上千元不等。如果你是纯为了复制自家门禁卡建议直接买最常见的“PM3 Easy”版本也就是那款蓝色或者黑色的板子配一个高频天线。到手后第一件事就是刷固件。圈内最流行的是“冰人固件”Iceman Firmware它把大量的命令行操作封装成了自动化脚本尤其是autopwn这类功能对新手极其友好。你搜“pm3 256k 冰人固件”时看到那个“256k”指的是板载Flash容量一般买256KB Flash版本的够了不用追求512KB。说实话PM3的入门门槛不在硬件而在命令行操作。刚拿到手你会发现这东西不像家电一样插上就亮。它需要依赖电脑驱动、连接客户端、选择设备类型所有操作都靠敲命令完成。但这条学习曲线是值得的因为PM3能干的事远不止复制一张M1卡低频ID卡、身份证件的信息读取、各种逻辑加密卡的研究它都能做。2.2 手机NFC与读卡App怎么选手机NFC在这里有两个角色一是当读卡器二是当模拟卡。先说读卡器。Android手机因为NFC权限开放基本都能直接当读卡器用配合App就能读取M1卡的扇区数据。iOS这边就比较尴尬系统对NFC的限制比较多虽然iOS 14以后开放了标签读取但完整的M1扇区读写、特别是写卡功能在原生iOS上几乎做不到一般要配合特定硬件或者越狱环境。Android端我常用的App有两个。第一个是Mifare Classic Tool简称MCT它轻量、专注、能把密钥字典跑一遍然后读出扇区数据直接生成dump文件。第二个是NFC Reader Tool这个App功能更全面能读能写还能模拟不少做门禁卡备份的人都用它。网上有“nfc reader tool电脑版”的说法其实那个所谓电脑版大多是Android模拟器跑同一个App真要在电脑上干活还是得靠PM3的Windows客户端来得利索手机App更适合外出时快速应急。还要提醒一点手机读卡能力受限于NFC天线位置。绝大多数手机NFC线圈在摄像头附近如果你发现App一直扫不到卡把卡贴着手机背部上半部分旋转一下位置再慢慢移动通常能找到一个信号最强的点。别刚贴上去两秒就急着挪走读M1卡是个持续通信的过程手一抖就断开了。2.3 空白卡买哪种UID/CUID/UFUID的区别工具备齐后还得准备几张可写卡。这地方特别容易买错我见过不少人买了普通M1空白卡结果发现0扇区改不了只能对着数据干瞪眼。按复制需求市面上可写卡主要分三类。第一类是UID卡也叫“可写UID卡”。它允许你修改0扇区0块的UID这是最早期的破解卡。缺点是它的UID修改通过特殊命令完成跟原厂M1卡存在一些底层行为差异有些高级门禁系统能识别出来。第二类是CUID卡这是我用得最多的一种。它同样可以修改UID但对M1标准读写的兼容性好你可以像写普通M1卡一样直接访问0扇区不需要额外命令。复制成功率比UID卡高不少价格也就贵几毛钱一张性价比极高。第三类是UFUID卡严格说它是一款带“锁”的可写卡。出厂时它是一张CUID卡可以自由读写当你用特定指令把“锁死位”处理掉之后它就变成一张无法再改动UID的普通M1卡用来模拟原厂卡的行为特性。但要注意这个锁死动作是不可逆的操作前一定要确认数据已写对。3. PM3实战快速解密和完整读卡3.1 连接PM3与卡型探测拿到PM3后的第一件事把设备插进电脑USB口装上驱动。Windows下如果设备管理器里显示的是未知设备一般需要手动装一遍Zadig的WinUSB驱动。Linux或macOS下通常直接识别但可能要给设备添加一个udev规则。装好驱动后打开客户端界面你会看到一个命令行终端。连接板子的操作是执行hw connect如果返回类似“Connected”的提示说明板子握手成功然后执行hw tune测试天线。正常情况下把卡放到天线感应区执行hw detect或hf search客户端会自动识别出卡片的型号和协议类型。这个探测步骤很重要别跳过。因为门禁卡不一定都是M1卡有的老小区用的是125kHz的低频ID卡有的是T5577卡还有的是二代身份证那种CPU卡。PM3做得好的地方就是它一张板子通吃低频和高频但你得先知道对面是什么卡才能选对操作命令。hf search跑完如果看到“MIFARE Classic 1K”这一行恭喜你这就是最经典的M1卡后面所有操作都顺畅了。3.2 自动破解autopwn的简便用法冰人固件最让人上瘾的功能就是hf mf autopwn这条命令。以前读一张加密M1卡你要先一个一个扇区试密钥还要处理嵌套认证流程繁琐得能劝退新手。而现在一条命令基本全自动搞定。执行命令前把卡放在天线感应区输入hf mf autopwn回车。随后客户端会自动进行密钥枚举、嵌套攻击、密钥解析把16个扇区中所有能拿到密钥的扇区逐个破解最后自动保存一个dump文件。整个流程快的话几秒钟慢的话十几秒取决于卡里有多少个扇区设了非默认密钥。我实测过一张小区门禁卡默认密钥覆盖了12个扇区剩下4个扇区用的密钥也很快被嵌套攻击挖了出来。autopwn跑完后终端会打印出每个扇区的密钥情况以及一个保存的dump文件路径。你可以用hf mf dump这条命令更规范地把全卡数据以dump格式保存下来生成的文件名一般类似hf-mf-BD123456-dump.bin其中BD123456就是这张卡的UID。很多资料会教你手动执行“破解密钥-读数据-保存转储”三步教学但既然固件提供了自动功能我建议新手先把这条命令用顺再去研究背后的嵌套攻击原理。3.3 密钥库与密钥字典keys文件起什么作用autopwn之所以能高效破解M1卡除了算法本身有漏洞还因为圈内积累了庞大的密钥字典。冰人固件里通常附带一份keys字典文件保存在客户端目录下的hf-mf-...keys文件里。它本质是一个文本文件每一行放一个16进制密钥比如FFFFFFFFFFFF、A0A1A2A3A4A5等。每次autopwn发起攻击时会先拿这份字典里的密钥尝试认证所有扇区命中了就不需要再做暴力破解。所以你可以手动往keys文件里添加自己收集到的密钥扩充字典。有些门禁系统特别喜欢用卡号反推出来的密钥或者用一些厂商默认密钥这些靠人工枚举很难想到但字典里往往早就收录了。你如果经常帮朋友处理不同小区的卡把自己见过的每个密钥都追加到keys文件里后续再遇到类似的卡破解速度会快得离谱。我在网上也见过有人分享体积特别大的keys库几千甚至几万条密钥都有。但说实话M1卡每个扇区通常就两个密钥对于一个标准门禁应用默认密钥加上几个常见厂家的密钥基本就够了没必要追求几百MB的字典纯属浪费CPU时间。关键是理解密钥库的逻辑它是用来减少暴力破解范围的不是看数字大。3.4 备份dump数据完整保存的重要性读卡操作完成后你手里有了一份完整的dump文件。这里面不仅包含门禁系统的扇区数据还可能记录了卡号、楼层权限、有效期等关键信息。我建议你立刻把这份dump文件多做几个备份分别存在电脑和云盘里。原因很简单空白卡有概率损坏写卡操作可能失败一旦卡搞废了你还能靠这份备份再写一张新卡不用再把原卡掏出来重新读。打开dump文件你看到的是4KB的纯hex数据没有规律但这不代表它没意义。以我部门某张门禁卡为例数据区块里有个扇区存的就是进门权限码另一个扇区存的是部门编号和姓名编码。某些系统只校验UID那就是最简单的场景有些系统连扇区里的业务数据一并校验那就必须保证写入的数据和原卡一致差一个字节都不行。所以对于dump文件原则就是完整保留不要自作聪明修改任何数据。如果你感兴趣可以用MCT这类App把dump文件导到手机里随时在小区楼下读取原卡比对一下看有没有变化。有些系统会在后台定期改写卡里某个字段这个字段一变你的复制卡可能就失效了。4. 手机NFC实战读卡与一键模拟4.1 用手机直接读M1卡MCT快速上手不是所有场景都需要掏PM3。当你只是想把一张M1卡数据读出来看看或者临时确认某个卡片的扇区结构手机App就够了。Android上装好MCT把卡贴到手机背面App会自动识别到卡片并弹出“是否读取标签”的提示。点击读取后MCT会先用它内置的密钥字典尝试逐个扇区解密解密成功的扇区会显示为绿色失败的显示为红色。这里有个技巧MCT默认只带了几组常见密钥如果你发现某些扇区是红色别以为卡就加密得很厉害。你可以在设置里导入一份更大的密钥字典或者用“暴力破解”模式配合卡上已知的某个扇区密钥继续做嵌套攻击。很多人在手机上折腾很久破解不了的卡其实密钥也是简单得很只是字典里没有而已。MCT读取成功后点击保存它会生成一个.mct格式的转储文件。这个文件本质上就是dump数据PM3或其它工具都能识别。所以如果你在外面出差手头没带PM3完全可以靠一部Android手机先把卡数据读出来回家再导入PM3里写卡。4.2 用PM3把存档写入UID/CUID卡读取数据是为了写卡。当你手里有一份完整dump文件和一张CUID空白卡后写卡操作就很简单了。把空白卡放到PM3天线区先执行hf mf restore命令它会提示你输入dump文件路径。回车后PM3会自动把dump里的所有扇区数据写入空白卡。这个过程包括写入UID、数据和密钥一步到位。如果你用的是CUID卡可能会遇到写入0扇区失败的情况。不用慌这是正常现象——0扇区0块中包含UID普通M1写命令是不允许修改UID的。CUID卡额外支持一条命令叫hf mf csetuid用法是先指定一个4字节UID再带上对应的dump数据文件。执行后CUID卡会被设置成新的UID然后你再执行hf mf restore把它余下的扇区数据写完。整个过程如果提示全部扇区写入成功这张复制卡就算是做成了。还有一种是hf mf cwipe用于清空CUID卡把卡恢复成出厂状态。建议每张新卡到手后先做一次cwipe再写数据避免卡里残留一些莫名其妙的数据干扰写入。4.3 把门禁卡模拟进手机HCE与软卡方案既然手机有NFC功能很多人就会问能不能干脆别带卡了直接刷手机答案是可以但附带条件。Android上最常见的方案是用NFC Card Emulator这类App加载你的dump文件把手机模拟成一张M1卡。它使用的是HCEHost-based Card Emulation主机卡模拟机制。你打开App选择对应的dump文件开启模拟然后把手机NFC区域贴近门禁读卡器门禁就有概率成功开锁。但这里有个残酷的真相门禁读卡器和手机NFC之间的通信本质上走的还是ISO 14443协议但HCE模式在射频层面的响应时序和硬件卡有差异尤其是M1卡这种带加密认证的卡手机HCE的表现并不稳定。我实测过几台不同品牌手机有的手机能顺利模拟有的手机响应延迟太高门禁一直提示“认证失败”。如果你的手机是旗舰阵营里NFC做得好的那几款并且门禁系统不挑时序这个方案可以当备用。但我不建议彻底扔掉物理卡。更靠谱的折中方案是买一个NFC卡贴把CUID卡的数据写进卡贴贴在手机壳里既有了手机的便携性又保留了实体卡的射频性能。还有个小众方向叫“中继攻击”就是拿一个设备在门口读取卡片另一个设备随身携带模拟响应实现远距离开门。这个技术方向上有人做研究但对普通门禁备份场景来说完全没用而且容易踩到合规红线咱们知道有这么个概念就行别真去搞。5. UID卡、CUID卡、UFUID卡到底怎么选5.1 三种卡的核心差异对比说实话这个选择问题几乎每周都有人在群里问。我直接放一张对照表你们看得更明白。卡片类型是否可改UID与M1标准指令兼容性是否可锁死适合场景UID卡是一般部分功能依赖特殊命令否低成本复制、研究测试CUID卡是好几乎完全兼容否日常备份、门禁复制主力UFUID卡是可锁死好是需要模拟原厂卡行为的场景这张表背后藏着的逻辑是UID卡虽然便宜但很多门禁读卡器在识别UID卡时会有怪异行为比如读卡慢、响应异常。原因在于UID卡修改UID的方式是“绕过”标准协议的它在内部状态机上跟真正的M1卡不太一样。而CUID卡在芯片层面做了兼容处理直接响应标准读写指令所以门禁读卡器根本分辨不出它和原卡的区别。UFUID则更像是CUID的“升级款”多了一个一次性熔断的锁死功能。5.2 实战选卡建议不同门禁场景怎么选我个人的经验是预算不是问题直接上CUID卡。一张卡也就一两块钱多买几张备用完全没压力。如果你要复制的门禁系统比较老旧对卡片兼容性要求不高那用UID卡也能跑但如果你生活在新建小区门禁读卡器是最近两年装的我强烈建议用CUID省得写好了卡到门口刷不开还要回来重新折腾。举个我踩过的坑我最初为了省钱买了一板UID卡写好后在小区单元门刷十次有八次没反应偶尔一两次能开但明显感觉读卡器要“想”很久。后来换了CUID卡同样的数据写进去刷一下门就开了那叫一个利索。自此之后我再也没买过纯UID卡。UFUID卡适合那些“担心系统查复制卡”的场景。比如某些单位用的门禁系统会轮询卡片的话看你手里的卡是不是原厂卡。UFUID锁死后呈现的行为和原厂M1卡几乎没有差异能有效降低被系统标记的风险。但说实话普通家庭门禁根本没有这层防护UFUID有点多余。它更多是给喜欢折腾硬件的玩家准备的。6. 实战中的坑常见问题与排查6.1 手机读不出卡片数据怎么办这个问题排在求助榜第一位。我的排查顺序是先确认卡的协议类型。如果这张卡是M1卡手机读不到大概率是NFC天线位置没对好或者系统NFC开关没开。打开系统设置确认NFC功能已开启然后把卡贴着手机背面缓慢移动找到信号最强的位置。如果还不行换一个App试试比如NFC Reader Tool和MCT轮着来有的App对某些厂商RF芯片适配确实差一些。另一种情况是卡确实不是M1而是CPU卡或NFC Type B卡普通手机读卡器根本读不了。这时候只能靠PM3进一步确认卡型然后对症下药。顺带提一下“nfc圆形天线设计工具”这个词。这其实是给设计PCB天线或NFC线圈的工程师用的东西网上有些App或网页小工具能帮你快速计算圆形天线的电感值和匹配电容。跟普通用户复制门禁卡一点关系没有如果你在教程里看到这个词大概率是对方在讲硬件开发不用管它。6.2 PM3连不上电脑或读卡失败PM3连不上电脑多半是驱动问题。Windows下用Zadig重新装一遍WinUSB驱动基本能解决。Linux下如果插上没反应先执行dmesg | tail看有没有设备挂载日志没有的话换根数据线试试——PM3的USB口是Mini USB线材质量差会导致供电不足进而设备反复掉线。读卡失败则要分情况。如果hf search没有任何输出检查天线是否插牢、卡片是否在感应区。有些PM3 Easy版配的天线感应范围很小卡片必须放在线圈正中央偏一点都可能读不到。另外就是别把卡放在金属桌面上测试金属会吸收射频能量导致信号强度不够。6.3 写卡成功但门禁不识别这问题是所有复制门禁卡的人最崩溃的时刻数据明明全写进去了门禁就是没反应。我总结经验90%的情况是UID没写对。很多人用hf mf restore写完发现0扇区是错的然后又去修改数据结果改坏了。正确做法是用CUID卡配合hf mf csetuid先把UID设定好再补写其它扇区。还有一种常见原因是数据不完整。有些门禁卡的核心数据藏在扇区15里如果autopwn过程中有扇区破解失败dump文件里就会留空白或错误数据写出来的卡自然不好使。这种情况只能回到PM3针对那几个失败的扇区做嵌套攻击直到把所有扇区密钥全部拿到再重新dump一次。6.4 门禁系统升级后卡被“锁”住了怎么办有些新建小区门禁系统会定期升级升级后你会发现之前好用的复制卡突然刷不开了但原卡还是好的。不必紧张这不一定是系统识别了你用复制卡更可能是它在后台改写了卡内某个数据字段。你带上原卡重新读一次对比之前的dump找出变化的位置把新数据写到复制卡里一般就能恢复。如果连原卡都被系统禁用那大概率是物业管理端主动拉黑了这张卡这种情况外部的复制技术解决不了只能拿有效证件去找物业登记补卡。所以我也一直强调复制门禁卡是为了备份自用不要用它去挑战物业规则更不要拿去复制别人的门禁卡。7. 我总结的几条实操心得折腾NFC门禁卡几年下来有几个心得想分享给后来人。第一PM3和手机App不是二选一的关系。手机NFC方便快捷适合读卡和简单的卡模拟PM3功能全面适合深度破解和高精度写卡。两样都备着互通有无才是最佳组合。第二CUID卡永远是省心的代名词。虽然它比UID卡贵几毛钱但省下来的调试时间和心理损耗远远超过这点差价。以后有人问我买什么卡我的答案永远是CUID优先。第三把数据备份当成习惯。每一张你成功读出来的卡都在电脑里存一份带日期的dump文件。别看现在卡用得好好的哪天原卡丢了你翻出备份就能立刻补一张那种从从容容的感觉比什么都踏实。最后要说的是分寸。NFC和RFID技术本身没有好坏PM3、M1、CUID这些工具和卡片都是中性的。这篇文章的核心是让你能用技术手段管理好自己名下的门禁凭证做一张备用卡省去忘带卡的烦恼。但如果你想靠这套东西去复制别人的卡、逃费进门或者做别的没边的事那我劝你趁早收手。技术是把工具拿它来方便自己可以拿它去钻空子迟早是要还的。