智能卡破解实战之pm3初探

也算是考古了，根据网上搜索到的资料来看智能卡破解这类技术的热度高峰在2015-2020年。不过之后似乎也没什么更新，CPU卡的破解依然是个难题。

pm3简介

全称Proxmark3

功能强大的专业智能卡破解工具，简称pm3，基于FPGA和ARM处理器共同运行的设计，包括初版、easy、rdv2、rdv4、EVO等版本，还有基于pm3的ICOPY-X手持机。easy版是rdv2的阉割版，功能有所受限，国内大多是easy或rdv2改版,最常见的是龙达的512版(easy改版)。

功能：密码嗅探；读写125/134KHz的ID卡和13.56MHz的IC卡，国内的龙达终极版还支持250K、375K、500K频率的ID卡。

购买建议：对于初学者，闲鱼上买国内改版(如龙达)，价格在150左右；对于想深入研究或有实际业务需求的人，购买rdv4，官网售价300欧元左右。国内的pm3 + 变色龙一体机不建议购买。想玩变色龙的话在闲鱼单买也可以买到，价格在100以内。

pm3固件分类

官方固件、RRG/Iceman固件、ProxBrute固件、PM3 Easy固件

各个固件的github仓库地址在Reference

GUI软件

Proxmark3_EASY_GUI，提取码6812

PM3 Universal GUI，官方github仓库的Release只有一个exe，还需要自己配置client，比较麻烦。笔者有配置好的版本 -> 传送门，提取码9413，仅支持原始命令

Proxmark Tool，仅支持原始命令

Proxmark3GUI(此工具的注意事项:1.路径不能有中文;2.龙达512Pm3只能用Release中的Vx.x.x-win64-official-vx.x.x.7z版本，其它的rrg_other需要刷冰人固件)

TIPS：固件和Client不匹配可能导致某些功能异常，比如hw tune检查天线功能时出现非正常数字

功能示意图(龙达512版)

基础配置

安装驱动

驱动下载，文件名为proxmark3.inf

驱动是通用的，所有GUI软件装一次即可

安装驱动文件前需要禁用驱动安装强制签名，方法–>传送门

设备管理器 -> 端口(COM和LPT) -> 右键PM3接口对应的COM口，此时只显示USB串行设备 -> 更新驱动程序 -> 选择浏览我的电脑以查找驱动程序

选择让我从计算机上的可用驱动程序列表中选取

选择从磁盘安装，选中之前下载的驱动文件

驱动安装成功后显示为Proxmark3

连接设备

连接PM3的USB接口和电脑的USB接口，注意是PM3上方的接口，不是侧边的。

打开GUI软件进行操作

破解实战

1
2
3

硬件:Pm3龙达512版
软件:Proxmark3_EASY_GUI
目标:某小区门禁卡1、某小区门禁卡2、某校园一卡通

GUI界面如图，有很多基于原生指令进行封装后功能按钮，输入help可以查看原生指令

某小区门禁卡1(ID卡)

lf search检测卡片类型为EM410x，卡号为28007A8A1C

proxmark3> lf search
#db# LF Sampling config:                 
...   
Checking for known tags:
          
EM410x pattern found:           

EM TAG ID      : 28007a8a1c          
Unique TAG ID  : 14005e5138          
...      
Valid EM410x ID Found!

放上空白T5577卡，写入卡号

1	`proxmark3> lf em4x em410xwrite 28007A8A1C 1 64`

再次lf search确认卡号已改变

某小区门禁卡2(M1卡)

某校园一卡通(CPU卡)

SAK=20的CPU卡，目前没有公开的破解手段

proxmark3> hf 14a reader
ATQA : 00 08          
 UID : 59 b9 75 3f           
 SAK : 20 [1]          
TYPE : NXP MIFARE DESFire 4k | DESFire EV1 2k/4k/8k | Plus 2k/4k SL3 | JCOP 31/41          
 ATS : 0e 77 33 a0 02 86 88 47 48 f2 59 b9 75 3f d3 08           
       -  TL : length is 14 bytes          
       -  T0 : TA1 is present, TB1 is present, TC1 is present, FSCI is 7 (FSC = 128)          
       - TA1 : different divisors are supported, DR: [2, 4], DS: [2, 4]          
       - TB1 : SFGI = 0 (SFGT = (not needed) 0/fc), FWI = 10 (FWT = 4194304/fc)          
       - TC1 : NAD is NOT supported, CID is supported          
       -  HB : 86 88 47 48 f2 59 b9 75 3f           
Answers to chinese magic backdoor commands: NO