Простой Mifare-сниффер

[RECTO]

Извините а кто ни-будь заказывал готовые файлы в китае

seregkasa, можете у меня заказать. Будет уже собранное и настроенное устройство, с L4 и T1. Думаю, это обойдётся дешевле 5-10 полуфабрикатов из Китая (или сколько они там минимально берут в заказ?)... Если интересно, пишите в ЛС, обсудим...

https://kazus.run/forums/attachment....8&d=1698927817
https://kazus.run/forums/attachment....7&d=1698927751

[Radogost]

Доброго времени суток.

Поставили новую вызывную панель к домофону. Ключи Vizit 23.0 бордового цвета. Прочитал ключ на ACR122 программой из пакета программ RECTO (большое спасибо) Метка Mifare Ultralight. Просчитались не все страницы. Как оказалось защищена паролем. При помощи снифера узнал пароль и программой RECTO Mifare Ultralight скопировал на заготовку с надписью ULTRA. Домофон на новую метку не реагирует. Подслушал снифером обмен и сравнил с оригиналом, а так же срванил сами метки. Обмен одинаковый, за исключением одной детали. Домофон после проверки пароля подаёт команду GET_VERSION 60h. В ответ на которую метка сообщает данные о производителе и себе. У оригинала и копии ответы разные: оригинал 00 34 21 01 01 00 0e 03 39 d2, копия 00 04 03 01 01 00 0e 03 45 89. Соответственно оригинал производитель Микрон, что соответствует и первому байту UID 34, и тип 21 - неизвестен
Vendor ID: 34, Mikron JSC Russia
Product type: 21, unknown
Product subtype: 01, 17 pF
Major version: 01
Minor version: 00
Size: 0E, (128 bytes)
Protocol type: 03, ISO14443-3*Compliant

А копия производитель NXP и тип MIFARE Ultralight, что не соответствует UID
Raw bytes: 00 04 03 01 01 00 0E 03
Vendor ID: 04, NXP Semiconductors Germany
Product type: 03, Ultralight
Product subtype: 01, 17 pF
Major version: 01
Minor version: 00
Size: 0E, (128 bytes)
Protocol type: 03, ISO14443-3*Compliant

При получении версии от оригинала, панелью поедаётся команда Halt 50h 00h издаётся звуковой сигнал происходит открытие двери, при считывании версии с копии обмен начинается заново.
Собственно вопрос. Фильтрация происходит по производителю или более хитрым способом, не видимым при обмене метки и панели? Сравниваются первый байт UID и производитель метки или в домофон прописывается код производителя меток, которые домофон принимает (к примеру только 34 Микрон, метки всех других производителей идут лесом, даже если UID и пароль верны)?
Заказал заготовки UL-5 посмотрю будут ли открывать.

[realid]

Заготовки Ultra фильтруются(и по ответу на GET_VERSION и по байтам OTP), можете не париться. Заготовки UL-5 должны помочь, там и ответ правильный и OTP работают верно.

[Radogost]

Заготовки UL-5 пришли. Скопировал метку на UL-5 и все заработало. И ответы какие надо и дверь открывает. Большое спасибо RECTO за программу к ACR122 для работы с Ултралайтами.

[Rackey]

Доброго времени суток.
....

Тут вопрос где вы брали Ultra. В тех, что не китайские, уже стоит нужный version. В китайских - нет, но если там конфиг-блок не залочен, это буквально 4 команды на изменение.

Вопрос в том, что более новый фильтр пытается писать в блок 3, как было сказано выше.

"Инбокс" решение - UL-5, но, по факту, имея понимание что и как - Ultra (с возможностью менять кфг-блок) блочится и работает тоже (это если вопрос цены).

Глобально все эти заготовки - UL-X/Y/Z/2, Ultra, UL-5 и то, что продается в Китае (UID-изменяемые Ultralight, UL-C, NTAG-* - это USCUID-UL (как назвали его исследователи) и он highly configurable.

Единственный момент, что пока не нашли способ сделать UL-5-like поведение (автолок после изменения айди)

[Radogost]

Ключи Ultra брал тут: https://www.wildberries.ru/catalog/1...size=311150566 решил, что один в один с https://ikey.ru/30533-mfultra/ описание одинаковое.
На ключах написано Ultra, в описание производство Китай
UL-5 брал тут: https://ikey.ru/61874-mful5/

[RECTO]

Radogost, я сейчас ради интереса проверил свои ультры, у них ответ на Get Version правильный: 00 34 21 01 01 00 0E 03 39 D2.
Брал в нашем местом "Тач мемори"...

[Radogost]

RECTO, как оказалось не все Ultra одинаково полезны.

Панель поменяли 2 месяца назад, но фильтр видно старый, так как согласно логам проверяется только версия, попыток записи на метку не увидел.

Киньте пожалуйста ссылку, где прочитать про изменение конфиг-блока. Может и мои Ultra заработают.

[RECTO]

Киньте пожалуйста ссылку, где прочитать про изменение конфиг-блока.

Radogost, вообще-то конфиг и Version - разные вещи...

[Rackey]

Киньте пожалуйста ссылку, где прочитать про изменение конфиг-блока. Может и мои Ultra заработают.

https://github.com/RfidResearchGroup...ight-uscuid-ul

Если в двух словах, то вот из известного (оно из черновиков моих, поэтому чуть хаотично):

850000A0 00000A3C 00040301 01000E03 // CHINESE ULTRA
850000A0 00000A3C 00342101 01000E03 // RUSSIAN ULTRA
850000A0 00000AC3 00342101 01000B03 // UL-2 (20)
850000A0 00000A3C 00040301 01000E03 // UL-2 (41)
850000A0 00000A5A 00342101 01000E03 // UL-2 (44)
850000A0 AA000A5A 00000000 00000000 // UL-Y

А вот две команды для переключения между "заводскими китайскими" и тем, что продаёт Айкей и ко:

hf 14a raw -sck E200850000A0; hf 14a raw -ck E20100000A3C; hf 14a raw -ck E20200342101; hf 14a raw -c E20301000E03 // RUSSIAN ULTRA
hf 14a raw -sck E200850000A0; hf 14a raw -ck E20100000A3C; hf 14a raw -ck E20200040301; hf 14a raw -c E20301000E03 // CHINESE ULTRA

А блокирование уже делается после записи, но тут надо по доке ковырять (это если у вас прям прошивка с этим фильтром). Пока оставлять не буду, ибо если не понять концепт, а просто команды по очереди вводить - можно метку закрыть, а я не хочу потом быть крайним, хех

Еще скажу, что можно безопасно оставлять 20й бэкдор (но на 40й панель проверяет)

Добавлю еще, что конфиг выдается "по умолчанию" (если не "закрыто" на заводе) через ATS команду. Если в Proxmark3 - то на `hf 14a info` вы его увидите (если открыт, опять же). Это самый простой способ