先说我自己的情况小区门禁发了一张卡押金20物业说补卡要本人带身份证登记办好还要等两天。家里三个人一张卡实在不够用。于是我开始用手机NFC折腾结果发现大部分门禁卡根本没法用手机直接复制。后来入手了一把Proxmark3老玩家都叫PM3把自家门禁卡完整复制了一遍顺带搞清楚了M1、UID、CUID之间的那些门道。这篇文章不玩虚的直接讲清楚手机NFC能做什么、不能做什么PM3怎么选型、怎么装冰人固件M1卡的密钥怎么读复制卡怎么选、怎么写入以及为什么你复制完刷不开。照例先声明以下所有内容只适用于你自己拥有、或者你被明确授权管理的门禁卡和读卡设备。未经授权去复制别人的卡、刷公共区域的门禁不在讨论范围内请管住手。1. 先搞明白门禁卡“真身”M1、UID、CUID到底差在哪在动手之前建议先搞清楚门禁卡里到底存了什么。不然你复制完刷不开根本不知道是卡不对、数据不对还是门禁系统太高级。1.1 RFID和NFC以及门禁卡常见频率RFID是射频识别技术的统称常见的工作频率有125kHz、13.56MHz、915MHz等。NFC其实是基于13.56MHz高频的一套通信标准可以理解为RFID在手机、支付、门禁这些民用场景的落地形态。门禁领域最常见的是两类低频125kHz的EM4100/T5577卡以及高频13.56MHz的Mifare系列卡。老单元楼里那种“嘀”一声就开的老式门禁大概率是低频卡现在小区、写字楼里常见的则是Mifare卡其中Mifare Classic 1K芯片代号常写作S50占了绝大多数大家平时说的M1卡就是它。M1卡之所以成为门禁事实标准是因为它比低频卡多了一整套加密认证和存储机制。低频EM4100卡里基本只有一个卡号连数据都存不了M1卡则有1KB、4KB等容量版本可以在内部划分扇区存放卡号、有效期、楼层权限之类的数据。1.2 M1卡的扇区、块和密钥M1 1K卡内部是1024字节分成16个扇区每个扇区4个块每个块16字节。厂商为了保护数据把每个扇区都配了一对密钥KeyA和KeyB每个扇区都可以独立配置读写权限。默认出厂状态下整张卡的密钥通常都是FFFFFFFFFFFF或者A0A1A2A3A4A5这类固定值。这里有个非常关键的点第0扇区的第0块存放的是UID卡号、BCC校验、SAK/ATQA等厂商数据普通M1卡这块出厂后是锁死的。UID就相当于这张卡在门禁系统里的身份证号门禁读卡器刷到卡先读UID再根据UID去后台查这个卡号有没有权限。所以复制门禁卡最核心的目标就是让新卡保持和原卡一致的UID同时把原卡扇区里的数据也完整搬过去。扇区里存的东西五花八门有的门禁把有效期放在第5扇区有的梯控把楼层权限放在第12扇区还有的干脆在卡里存一份卡号副本做二次校验。如果你只复制了卡号没搬运扇区数据遇到校验严格的门禁就可能被拒。1.3 UID卡、CUID卡、普通M1卡的本质区别很多新手买卡时会被商家绕晕什么UID卡、CUID卡、UFUID卡、普通卡其实关键是看0扇区0块能不能写。普通M1空白卡0块锁死UID无法修改只能写其他扇区。价格最便宜几毛钱一张。UID卡Magic卡0块可写UID可以改成任意值所以能伪造任意卡号。不过它的0块可写特征容易被专业读卡器识别出来。CUID卡同样是Magic卡但改进了写入方式支持对任意块进行覆盖写稳定性更好很多型号还支持锁卡头把0块写保护起来让读卡器以为它是普通M1卡。一句话总结门禁只校验卡号普通M1就能复制门禁同时校验卡号和扇区数据就必须买UID或CUID遇到门禁会检查Magic卡特征UID卡很可能刷不开CUID锁卡头后还有机会。1.4 为什么手机NFC只能“看”不能“抄”刚接触NFC的人都会有个疑惑手机明明能读出卡号为什么不能复制因为手机NFC在模拟门禁卡时只能暴露一个卡号UID无法把M1卡那些加密扇区的数据和密钥一起模拟出来。手机内置安全芯片出于安全考虑不会给你提供任意写入扇区数据的开放能力。而门禁系统如果只认卡号那手机模拟确实够用但如果门禁会去读扇区数据来做二次校验手机模拟出来的空卡就露馅了。这也是为什么后面必须用PM3这种专业读写器先把原卡数据完整读出来再写入一张可写的M1兼容卡里。读到这里应该清楚复制门禁卡的本质是“读取搬运”不是玄学。搞清楚卡里装了什么后面每一步都有依据。2. 手机NFC不是没用它先把卡“验明正身”上PM3之前我非常建议先用手机NFC把卡“初检”一遍。这步成本最低能帮你判断值不值得继续折腾。2.1 用NFC Tools给门禁卡做初检Android手机上装NFC Tools这类App把卡贴到NFC区域能直接看到UID、技术类型NfcA、MifareClassic、IsoDep等、ATQA、SAK这些参数。通过ATQA/SAK可以初步判断卡是不是Mifare Classic常见M1 S501KATQA0x0004SAK0x08Mifare Classic 4KS70SAK0x18如果识别成IsoDep、NfcA但型号不明可能是Mifare Plus或者CPU卡这类卡复制难度会高很多。iOS端的NFC读卡能力比Android受限用系统快捷指令或第三方NFC工具也能读取一些基础信息但要判断卡型还是Android方便。如果App提示“包含加密扇区”或者读取时部分数据报错基本可以确定是加密M1卡。注意NFC Tools只是一把“放大镜”它读到的是卡愿意公开的部分不是全部数据。想看完整扇区还得靠读写器。2.2 手机钱包模拟门禁卡的真相手机钱包App里那个“模拟门禁卡”功能流程是这样的读卡器模块读取实体卡的UID然后在手机安全芯片里生成一张“只有卡号相同、扇区数据为空”的虚拟卡。所以门禁只校验UID模拟完就能刷开门禁会读取扇区校验手机模拟大概率没戏有些手机更是直接检测到加密卡就拒绝模拟提示你无法添加。我自己试过的情况是公司写字楼闸机只认UID手机模拟后刷得很顺小区门禁要读扇区手机模拟后显示成功但门纹丝不动。当然每个门禁方案不一样能不能模拟只有实测才知道。这里多说一句手机钱包在模拟门禁卡时通常会要求验证门禁卡密码如果是加密卡很多机型会在这一步直接拦截。2.3 什么时候手机够用什么时候直接上PM3如果手机钱包能模拟成功你的复制需求其实已经解决了不需要买任何设备。如果手机提示加密卡无法模拟、或者模拟后刷不开就需要更进一步的工具。初级需求只复制卡号UID手机NFC钱包模拟大概率够用中级需求想完整复制M1卡的扇区数据几十块的PN532/ACR122U配合电脑软件可以试试但全加密卡很吃力进阶需求跑密钥、做嵌套攻击、写CUID卡、反复调试直接上PM3。网上经常有人提到“NFC Reader Tool电脑版”这类软件配ACR122U读卡器也能读一些M1数据但遇到全加密卡基本就卡住了。我的建议是如果你已经确定要复制加密卡少走弯路直接考虑PM3。3. PM3设备选择与固件环境为什么老玩家都说它才是主角PM3在RFID玩家圈子里几乎是标配全称Proxmark3最早是国外安全研究人员做的开源硬件用来研究和测试13.56MHz、125kHz等多种频段的RFID/NFC设备。它的优势不是单纯“读写”而是能干很多软件读卡器干不了的事比如对M1卡做密钥枚举、嵌套攻击、硬嵌套攻击这些是复制加密门禁卡的核心能力。3.1 为什么ACR122U/PN532替代不了PM3ACR122U、PN532这类读卡器本身并不差它们遵循ISO 14443协议可以正常读写M1的非加密扇区也能在已知密钥的情况下读写加密扇区。但问题在于面对全加密的M1卡它们缺少“在没有密钥的情况下把密钥找出来”的能力或者只能依赖电脑端的第三方插件做极其缓慢的枚举。PM3则把nested、hardnested这类攻击算法直接做到固件层面配合较大内存可以现场离线跑字典、在线跑嵌套攻击速度完全不是一个量级。简单说ACR122U适合“已知密码后读写”PM3适合“未知密码时想办法得到密码”。另外PM3的天线设计比普通读卡器更灵活既能读实体卡也能配一个外接天线去刷一些特殊场景。虽然我平时只用它读卡写卡但偶尔需要调试低频EM4100卡时PM3也能一把梭不必再买第二台设备。3.2 版本怎么选128K、256K、冰人固件市面上PM3硬件版本很多新手最容易踩坑的是EEPROM容量。常见旧版Proxmark3是128K存储后期很多增强版做到256K。256K版本可以装更大的字典和更完整的固件功能这就是大家搜索“PM3 256K冰人固件”的原因。Iceman固件iceman fork是目前社区最活跃的固件分支持续更新命令更友好M1攻击、低频卡支持、命令行交互都比官方固件好用购买时直接看硬件标注优先选支持256K的Easy版或RDV4版如果手里是128K老设备也能刷Iceman的兼容固件只是部分高档功能可能因存储受限。我个人的建议如果预算允许别买最便宜的裸板选带塑料外壳、天线线圈做工好一点的版本不然接线松动、天线信号差会很影响读卡速度。3.3 装驱动、刷固件、连接客户端PM3在Windows下使用一般流程用USB连上设备安装驱动把设备识别为Proxmark3而不是未知设备下载Iceman客户端和固件包Windows预编译版可以直接运行proxmark3.exe如果固件不是Iceman版本用fwupdate或proxmark3.exe --flash刷入新的bootrom和fullimage固件打开客户端进入pm3交互模式执行hw version确认版本信息看到类似“Iceman”的关键字就成功了。补充一句刷固件前一定先备份原固件虽然多数情况下刷不坏但万一断电中断会多花时间处理变砖。驱动安装时尽量别开着杀毒软件有些安全工具会拦截PM3驱动。3.4 你必须先会的几个命令在PM3里最常用的是这样一组命令hw version查看固件版本hf search对高频卡做自动探测识别卡型hf 14a info读取ISO 14443A卡的UID、ATQA、SAKhf mf chk用内置字典批量检测M1各扇区密钥hf mf autopwn一条命令完成默认密钥枚举、嵌套攻击和dump导出hf mf dump保存当前读到的M1数据为dump文件hf mf restore把dump数据恢复到目标卡。新手拿到PM3不要急着去刷门禁。先拿一张空白M1卡练手熟悉上述命令的输入输出再考虑实战。PM3读卡时要把卡放在天线中央避免周围有金属物体否则经常出现超时或读取失败。4. 实战把自己门禁卡完整读出来下面进入正题以一张常见的M1加密门禁卡为例走一遍完整读取流程。再次提醒以下操作请只用于你自己的卡。4.1 第一步永远是确认卡型而不是直接开跑把卡放到PM3天线上执行hf search如果返回结果是“Mifare Classic 1K”或类似信息说明是M1卡可以继续如果显示“Mifare Plus”、“IsoDep”或“CPU card”后面那套M1攻击命令就不适用了。此时可以再用hf 14a info看一下UID和SAK确认卡在门禁系统里的身份。很多新手一上来就执行hf mf autopwn如果卡不是M1命令会一直超时还以为设备坏了。所以先花十秒钟确认卡型能省下大量排查时间。4.2 用密钥字典跑一遍M1加密门就打开一半确认是M1后先跑字典hf mf chkIceman固件内置了大量默认密钥也就是大家常说的“m1卡常用密钥”。常见的默认密钥包括FFFFFFFFFFFF000000000000A0A1A2A3A4A5D3F7D3F7D3F7AABBCCDDEEFF112233445566如果门禁厂商没有刻意改密钥或者只改了一部分扇区这一条命令就能把所有扇区的KeyA/KeyB找出来。跑完会列出哪些扇区用了什么密钥。这时执行hf mf dump可以把能用已知密钥读出来的扇区数据全部保存下来。有些卡会故意留几个默认密钥扇区把关键扇区改成自定义密钥门禁系统只读自定义密钥扇区。遇到这种情况默认密钥能读出没用的一堆扇区但关键扇区依然读不到。4.3 全加密卡autopwn/nested/hardnested一套带走如果默认密钥只命中了一两个扇区剩下的全是未知密钥就要用到嵌套攻击。原理一句话M1卡的加密认证是可预测的攻击者利用已知密钥的一个扇区建立通信可以反推出其他扇区的密钥。hf mf nested经典嵌套攻击适合已知某个扇区密钥逐个恢复其他扇区hf mf hardnested硬嵌套攻击速度更快但CPU占用高同样需要一个已知密钥扇区做起点hf mf autopwn自动化流程会自动尝试默认密钥、嵌套攻击、硬嵌套最后直接导出dump适合新手。我用hf mf autopwn跑过不少卡一小部分全加密卡可能耗时几分钟大部分在几十秒内就能出结果。注意执行过程中卡不能移动保持稳定贴在天线上。输出日志里看到一个个扇区密钥被“recover”出来的时候那种感觉确实很爽但请记住你只是在处理自己的卡。4.4 读完一定要保存dump不然后面白读读取完成后执行hf mf dump它会把当前数据保存成一个文件通常是 .dump 或 .json 格式文件名带卡号和日期。再用hf mf d查看dump内容确认关键扇区有没有读到乱码。建议把原卡的dump文件和之前跑出来的密钥文件放到同一个目录下命名成“品牌-位置-日期”这种格式。之后无论写坏多少张复制卡随时可以从原卡dump恢复不再需要重新读原卡。5. 写卡与验证UID、CUID、普通卡怎么选读卡只是把数据搬出来写卡才是真正的复制。这一步的决策决定你买什么卡、用什么命令。5.1 先判断门禁系统校验的是卡号还是数据在写卡前先观察读到的dump如果整张卡的扇区数据大多为空或者只有卡号相关的数据门禁大概率只校验UID如果某个扇区存有有效期、楼层号、卡号副本之类的明文门禁很可能会在刷卡时校验这些扇区数据如果刷卡前后同一张卡的数据会变化那就是滚动/动态加密这类卡下面单独讲复制意义不大。判断原则很简单门禁读卡器在读卡时它到底需要校验多少信息决定了你要复制到多完整。只校验UID你甚至可以不用PM3校验扇区就必须完整dump加UID一致。5.2 普通M1、UID、CUID怎么选整理了一张选卡表门禁校验逻辑推荐卡型原因只校验卡号普通M1空白卡不需要改UID成本最低校验卡号数据不检测Magic卡UID卡0块可写能改UID校验卡号数据且会检测Magic卡CUID卡支持覆盖写必要时锁卡头滚动数据/动态认证不推荐复制复制卡基本失效没必要折腾需要特别提醒UID卡虽然便宜但很多现代门禁读卡器会检测“0扇区0块是否可写”一旦发现可写特征直接拒绝刷卡。CUID卡就是为了解决这个问题出现的它用特殊指令支持覆盖写平时读起来像普通M1。实际使用中还可能遇到“UID卡被拒、换CUID卡通过”或者反过来“CUID锁卡头后被当成普通卡”的情况所以别把某一种卡神化多备两种型号实测才是硬道理。5.3 写卡命令和0扇区0块的处理写卡分两种情况使用普通M1卡只写非0块数据hf mf restore --dump your.dump使用UID/CUID卡需要把原UID也改过去先改UID再写数据。Iceman固件常用的命令类似hf mf csetuid --uid 原卡UID不同固件版本命令可能有差异先执行hf mf --help确认改完UID后再执行hf mf restore --dump your.dump。重点提示0扇区0块是整张卡的“命根子”。UID写错、校验位算错卡可能变成一块废塑料而且有些卡一旦写错无法恢复。所以写之前务必用hf 14a info确认目标卡UID不是原卡UID——别把原卡当目标卡写坏了。操作时尽量只放一张卡在天线上避免PM3同时识别多张卡导致命令作用到错误的卡上。5.4 验证三连读回、比对、实测写完不要直接收工验证三连跑一遍读回把新卡放到天线上执行hf 14a info确认UID和原卡一致比对执行hf mf dump导出新卡数据用文本对比工具或者diff命令和原卡dump比对确认所有扇区数据一致实测拿新卡去自家门禁读头刷一下确认能正常开门。如果第2步发现某些扇区写入失败通常是密钥不对或者卡的类型不支持覆盖写。此时把卡片拿去和原卡数据对比重新选择写入方式别硬刷同一个失败命令。6. 复制完刷不开多半是这些坑重头戏来了。几乎每个复制门禁卡的人都会遇到“明明数据一样就是刷不开”的情况我也一样。整理几个典型坑以及我的排查思路。6.1 头号杀手滚动数据卡复制完第二天就失灵现象复制完当天能刷第二天失效把原卡再同步一次数据复制卡又能用一次再刷又失效。原因门禁系统使用了滚动数据机制刷卡时读卡器和卡之间会更新某个扇区的数据相当于每次刷卡都换一个新的“凭证”。复制卡没有和门禁后台同步状态刷过一次后数据就和原卡岔开了。排查方法连续两次读取同一张卡把扇区数据对比如果每次都有变化基本就是滚动数据。遇到这种卡普通复制没有意义要么让物业授权要么乖乖用原卡。这里不推荐任何试图绕开滚动机制的手段既不稳定也有风险。6.2 门禁如何识别出UID卡Magic卡检测是怎么发生的现象用UID卡写完数据拿到读卡器上刷指示灯闪一下但门不开甚至直接提示“无效卡”。原因读卡器不仅能读UID还能通过特殊指令探测0扇区0块是否可写。UID卡因为0块可写在这个探测下直接暴露。门禁判断这是一张“魔法卡”拒绝放行。排查先换一张CUID卡试试很多门禁对CUID的识别率低于老式UID卡如果CUID依然被拒再尝试给CUID卡锁卡头。注意锁卡头操作不可逆锁之前一定要确认数据和UID均已写入正确。6.3 一次把原卡写坏的“人祸”以及怎么避免我自己犯过一个低级错误想把原卡和复制卡的数据对比两张卡同时放在PM3天线附近结果执行hf mf restore时PM3把离天线更近的原卡当成了目标卡直接把原卡数据覆盖成了复制卡数据原卡当场作废。那次之后我养成了两个习惯任何写操作之前用hf 14a info确认当前天线上的卡就是我期望的目标卡核对UID永远只放一张卡在天线上原卡收进屏蔽袋或者放得很远。这种错误新手特别容易犯因为PM3不限制“目标卡”它只会响应天线上的第一张可用卡。多放一张卡就像拿枪打靶时靶子上同时站了两个人打中谁全看运气。6.4 刷不开时我按这个顺序排查问题如果你复制卡刷不开按这个顺序一步步来比到处瞎问快得多读卡头hf 14a info看UID是否和原卡一致数据对比把复制卡dump导出来和原卡逐扇区diff确认没有漏掉扇区卡型兼容换一张CUID或者普通M1试试排查Magic检测问题滚动数据连续读两次原卡看数据是否有变化门禁方案确认门禁是不是Mifare Plus、CPU卡这类已经不是M1复制能解决的范围。按这个链路排查大多数问题都能定位到具体环节而不是在门口来回刷卡干瞪眼。7. 最后说点实在的边界、备份与心态技术本身是中性的但用在哪儿、怎么用就是另一回事了。写这篇东西的出发点是帮那些手里只有一张门禁卡、又确实需要备用卡的人少走弯路顺带把M1卡的安全机制讲明白。7.1 这套技术只该用在哪可以做的复制你自己合法持有的门禁卡备份数据在你自己买的测试卡上练习读写帮家人复制他们自己名下的门禁卡且得到了门禁管理方的许可。不该做的未经授权复制公司、学校、他人卡片破解公共区域门禁或小区公共设备用读写器去干扰、探测、攻击别人的门禁系统。尤其那种“顺手复制一张邻居/同事的门卡”的想法想都别想。另外像“中继攻击”这类针对公共门禁的攻击手段也不在本文讨论范围内它已经超出了普通备份和便利的范畴。7.2 备份dump和密钥库到目前为止我保存的最有价值的东西不是某一张复制卡而是原卡的dump文件和跑出来的密钥集合。卡片会磨损、消磁、丢失但只要电脑里存着dump换一张新卡几十秒就能恢复。需要注意的是dump文件相当于门禁卡的“钥匙副本”别把它发到网盘、聊天记录里自己的电脑加密存储就好。7.3 新手进阶路线如果你刚接触NFC/RFID我的建议是按这个顺序练先用手机NFC把家里所有卡都“初检”一遍弄懂卡型拿PM3读一张非加密的空白卡熟悉基础命令再读你自己的一张M1加密卡跑一遍chk、dump、restore真正理解扇区和密钥后再决定要不要买UID/CUID卡去写。个人体会放在最后折腾这件事最大的收获不是成功复制了几张卡而是终于搞懂了从手机NFC到PM3背后那一整套RFID协议的原理。复制自家门禁卡本身不复杂难的是判断你的门禁到底校验了什么。很多教程一上来就让你买PM3但如果你只是复制一张只认卡号的门卡手机钱包十分钟就能解决反过来如果你的门禁是滚动码PM3也白搭。先搞清楚需求再决定工具永远是最省钱的路线。