M1卡说明及使用proxmark3破解方法

原文： http://www.cnblogs.com/h2zZhou/p/5250710.html

看了网上写的一些关于M1卡的文章，多数有些误导之嫌。首先谈谈M1卡的规格，M1卡的容量为1KB，好多网上写8KB，这里其实是有个误区，应该是8K位。1Byte=1B=8位。其实也就是说8k位想到于1KB的容量，也就是说一个4GB的U盘的存储空间约等于四百万张m1卡的空间。
        虽然空间比较小，但是里面其实学问很大，我们来看一下M1卡的内部结构。M1卡分为16个数据存储区，通常我们称为“扇区”，编号是“0”到“15”。每个扇区又分为4个存储单元，我们称为“块”，在M1卡中数据存储的最小单位就是“块”。每一块有16字节（16B），用来存放数据。
就像下图所示：

其中每个data为一个“块”。这样我们可以计算一下：16b* 4（块）*16（扇区）=1024B 就是1K。
第0扇区的块0（即绝对地址0块），它用于存放厂商代码，已经固化，不可更改。
在全扇区加密时，通常用前三个“块”（0，1，2号块）存放数据，用最后一个”块“（3号块）存放密码。
其中密码分为A密码和B密码：前6个字节存放A密码，中间4字节为控制字段，后6字节存放B密码。
例如：
A0 A1 A2 A3 A4 A5 FF 07 80 69 B0 B1 B2 B3 B4 B5
注意这里每个扇区的密码都是独立的，也就是说可以为16个扇区设置16个不同的密码，当然也可以使用相同的密码，但是这样会大大降低破解的难度。例如上图中的该扇区A密码为空：000000000000，B密码为：FFFFFFFFFFFF。
对于控制位这里有点门路，我找了很多网上的文章，其中发现这篇讲解得最好：http://www.duoluodeyu.com/2013/835.html
但是注意其中的 字节7是C1Y，而不要把字节6、7、8一次当成了C1Y C2Y C2Y。注意到这一点对于理解就没什么难度了。
每个M1卡都有一个唯一的序列号，我们称为“UID”，是32位的，也就是4个字节。
M1卡是典型的高频卡，工作频率为13.56MHz，一般调频（FM）收音机接收的广播频率在87MHz到108MHz之间。猜想：如果高频卡工作频率达到80MHz以上时在读卡或写卡时产生的频率应该能对该频段收音机产生电磁干扰。
通信速率：106KBPS，也就是说可以在10毫秒的时间内完成读写内容。
工作半径：100mm。大约在100mm以内的距离，可以使用读卡器对m1卡进行操作（一般写距离要小于读距离）。
在使用proxmark3对M1卡进行破解时 ，我们可以使用hf mf mifare命令去探测基于PRNG的漏洞出现的Key 。
例如：

然后使用hf mf nested 1 0 A FFFFFFFFFFFF  去探测各个扇区的密码，例如：

花费几分钟后，得到如下的key列表：

根据这个key列表，按道理使用hf mf dump就可以直接读取各扇区的数据了，但是这里遇到了点问题，hf mf dump使用默认的密码FFFFFFFFFFFF来读取各扇区数据，而这里只有0扇区密码正确，其他的均无法dump，所以我们需要使用其他办法。
[size=1em]hf mf rdsc 1 a 1866c42fe6a8
来读取第一扇区数据：

同样的用 hf mf rdsc 2 b 1866c42fe6a8
读取第二扇区数据，这里为什么用B密码是有原因的（因为控制位设置的问题 ）。
依次读取16个扇区即可。（其实在这张卡中，只有前3个扇区有数据，后面的扇区数据块均为空）
这里我们就获取了全部想要的数据，在最开始接触m1卡的时候由于知识的不足，总感觉可以控制的位置是有限的。
这也就是不要已经拥有了整个世界还觉得不完美。  
现在就可以去刷卡，然后把16个扇区的数据做一个对比了，看看哪一位变化了，如何变化了。