Ultimate Magic Card (Gen4)

INTRODUCTION

La carte Ultimate Magic Card est une carte d'émulation multiprotocole, capable d'émuler toutes les variantes des familles MIFARE Classic® (1K, 4K, Mini), MIFARE Ultralight® et MIFARE Ultralight®, avec des UID de 4, 7 et 10 octets.

Plus important encore, tout peut être configuré : les caractéristiques de la carte (valeurs ATQA, SAK, ATS, etc.) et même ses fonctionnalités (mode lecture seule, mode lecture/écriture, « mode shadow », etc.).

Il s'agit essentiellement d'une plateforme d'émulation entièrement configurable au format carte.

Depuis de nombreuses années, les cartes magiques ont progressivement ajouté des fonctionnalités : cette carte, la « Gen4 », est le résultat d'années de travail. Il s'agit de la carte magique ultime, indispensable pour les pentesteurs, les professionnels de la sécurité et les passionnés.

Types de cartes
configurables La carte magique ultime contient des préréglages de plusieurs types de cartes :

• MIFARE Mini
• MIFARE 1k S50 UID 4 octets
• MIFARE 1k S50 UID 7 octets
• MIFARE 1k S50 UID 10 octets
• MIFARE 4k S70 UID 4 octets
• MIFARE 4k S70 UID 7 octets
• MIFARE 4k S70 UID 10 octets
• Ultralight
• Ultralight-C
• Ultralight Ev1
• NTAG

Comme indiqué ci-dessous, toutes les valeurs ATQA/ATS/ATS sont librement configurables, ce qui permet l'émulation d'autres chipsets ou de chipsets personnalisés.

Paramètres
configurables La carte prend en charge la configuration des paramètres suivants :

• Type de carte prédéfini
• UID
• Longueur de l'UID (4 octets / 7 octets / 10 octets)
• SAK (1 octet)
• ATQA (2 octets)
• ATS (longueur personnalisée / désactivé)

Fonctionnalité
configurable La carte dispose de plusieurs modes de fonctionnement, en fonction de vos besoins

• Mode Shadow
  Le mode Shadow, ou mode « Écrire une fois puis oublier », permet de préconfigurer la carte avec des données. Lors de la prochaine mise à jour (c'est-à-dire via un lecteur de carte / lecteur de contrôle d'accès), les modifications sont temporairement conservées.
  
  Les données modifiées peuvent être lues une fois, puis la carte revient à son état préconfiguré. Le mode
  
  Shadow est spécialement conçu pour les opérations sur le terrain. Auparavant, une carte devait être écrite, utilisée, lue et réécrite manuellement ; le mode Shadow s'en charge sans matériel supplémentaire.
  
• Mode de
  récupération Si la carte est mal configurée, elle peut être remise en mode de récupération, ce qui évite tout blocage involontaire.
  
• Calcul
  automatique du BCC La carte calcule automatiquement les valeurs BCC, ce qui permet de gagner du temps et d'éviter que la carte ne devienne indétectable.
• Protection par mot de passe / Émulation d'écriture
  unique Les commandes de configuration peuvent être protégées par un mot de passe personnalisable ; la carte ne répondra pas aux commandes magiques ou aux écritures directes sur des valeurs restreintes à moins que le mot de passe correct ne soit fourni, ce qui lui permet de fonctionner comme une carte « à écriture unique ».

Compatibilité de programmation
La carte peut être programmée sur plusieurs plateformes :

• Proxmark / iCopy-XS (via le menu avec scripts LUA)
• Android / iOS via MTools
• Flipper Zero
• LibNFC (via des commandes manuelles)
• Plateformes Windows + lecteur/enregistreur LibNFC (via le logiciel GUI)

Pratique : découvrez la carte en action

En fonction de vos outils, il existe plusieurs façons de programmer cette carte :

• MTools sur Android / iOS : interface utilisateur simple avec options de configuration complètes
• Proxmark / iCopy-X : via des commandes brutes ou le script LUA (toutes les fonctionnalités ne sont pas implémentées)
• Flipper Zero : configuration simple via l'application NFC
• LibNFC : via tamashell. Commandes manuelles.

Proxmark / iCopy-X

Il existe deux façons de programmer cette carte :

1. Utilisez les commandes brutes indiquées dans les hf 14a exemples.
2. Utilisez les commandes du script hf_mf_ultimatecard.lua. Ce script n'est pas entièrement compatible avec la nouvelle version UMC.

Résumé des commandes brutes spéciales :

CF  32 <00-04>                           // Configure GTU shadow mode
CF  34 <1b length><0-16b ATS>            // Configure ATS
CF  35 <2b ATQA><1b SAK>                 // Configure ATQA/SAK (swap ATQA bytes)
CF  68 <00-02>                           // Configure UID length
CF  69 <00-01>                           // (De)Activate Ultralight mode
CF  6A <00-03>                           // Select Ultralight mode
CF  6B <1b>                              // Set Ultralight and M1 maximum read/write sectors
CF  C6                                   // Dump configuration
CF  CC                                   // Version info, returns `00 00 00 [03 A0 (old) / 06 A0 (new) ]`
CF  CD <1b block number><16b block data> // Backdoor write 16b block
CF  CE <1b block number>                 // Backdoor read 16b block
CF  CF <1b param>                        // (De)Activate direct write to block 0
CF  F0 <30b configuration data>          // Configure all params in one cmd
CF  F1 <30b configuration data>          // Configure all params in one cmd and fuse the configuration permanently
CF  FE <4b new_password>                 // change password

Par défaut : 00000000

Caractéristiques

• UID : versions 4b, 7b et 10b
• ATQA/SAK : modifiable
• BCC : calculé
• ATS : modifiable, peut être désactivé
• Type de carte : modifiable
• Mode fantôme : GTU
• Mode mot de passe backdoor

Commandes Proxmark3

# view contents of tag memory:
hf mf gview
# Read a specific block via backdoor command:
hf mf ggetblk
# Write a specific block via backdoor command:
hf mf gsetblk
# Load dump to tag:
hf mf gload
# Save dump from tag:
hf mf gsave

Modifier ATQA / SAK

hf 14a raw -s -c -t 1000 CF35<2b ATQA><1b SAK>

Exemple : ATQA 0044 SAK 28, mot de passe par défaut

hf 14a raw -s -c -t 1000 CF0000000035440028

OU (Veuillez noter que le script corrigera correctement l'ATQA)

script run hf_mf_ultimatecard -q 004428

Modifier ATS

hf 14a raw -s -c -t 1000 CF34<1b length><0-16b ATS>

• : octet de longueur ATS, réglé sur 00 pour désactiver l'ATS
• Lorsque le bit 6 SAK est défini (par exemple, SAK=20 ou 28), l'ATS doit être activé
• L'ATS CRC sera ajouté automatiquement, il n'est pas nécessaire de le configurer
• Longueur maximale de l'ATS : 16 octets (+CRC)

Exemple : ATS à 0606757781028002F0, mot de passe par défaut

hf 14a raw -s -c -t 1000 CF000000003406067577810280

Ou

script run hf_mf_ultimatecard -z 06067577810280

Définir la longueur de l'UID (4, 7, 10)

hf 14a raw -s -c -t 1000 CF68<1b param>

• • 00: 4 octets
  • 01: 7 octets
  • 02: 10 octets

Exemple : définir la longueur de l'UID à 7 octets, mot de passe par défaut

hf 14a raw -s -c -t 1000 CF000000006801

Définir l'UID 14443A

L'UID est configuré selon le bloc 0 avec une écriture de porte dérobée.

Exemple : préparation des deux premiers blocs :

hf 14a raw -s -c -t 1000 CF00000000CD00000102030405060708090A0B0C0D0E0F
hf 14a raw -s -c -t 1000 CF00000000CD01101112131415161718191A1B1C1D1E1F
hf 14a reader

Mode MFC 4b UID

⇒ UID 00010203

script run hf_mf_ultimatecard -t 4 -u 00010203

Mode MFC 7b UID

⇒ UID 00010203040506

script run hf_mf_ultimatecard -t 5 -u 00010203040506

Mode MFC, 10b UID

⇒ UID 00010203040506070809

script run hf_mf_ultimatecard -t 6 -u 00010203040506070809

Activer/désactiver le mode Ultralight

hf 14a raw -s -c -t 1000 CF69<1b param>

• • 00: Mode MIFARE Classic
  • 01: Mode MIFARE Ultralight/NTAG

Exemple : activer le protocole Ultralight, mot de passe par défaut

hf 14a raw -s -c -t 1000 CF000000006901

Ou

script run hf_mf_ultimatecard -n 01

Dans ce mode, si SAK=00 et ATQA=0044, il agit comme une carte Ultralight

Sélectionnez le mode Ultralight

hf 14a raw -s -c -t 1000 CF6A<1b param>

• • 00: UL EV1
  • 01: NTAG
  • 02: UL-C
  • 03: UL

Exemple : régler le mode Ultralight sur Ultralight-C, mot de passe par défaut

hf 14a raw -s -c -t 1000 CF000000006A02

Ou

script run hf_mf_ultimatecard -m 02

La carte prend désormais en charge l'authentification 3DES UL-C.

Définir le mode Shadow (GTU)

hf 14a raw -s -c -t 1000 CF32<1b param>

• • 00: pré-écriture, les données shadow peuvent être écrites
  • 01: mode de restauration (AVERTISSEMENT : les nouvelles cartes UMC (06a0) renvoient des données erronées lors de l'utilisation de 01)
  • 02: désactivé
  • 03: désactivé, mode R/W haute vitesse pour Ultralight ?
  • 04: mode fractionné, fonctionne avec le nouveau UMC. Non testé avec l'ancien UMC.

Lecture et écriture directes par blocs

À l'aide de la commande backdoor, il est possible de lire et d'écrire dans n'importe quelle zone sans mot de passe MFC, de manière similaire à la carte MFC Gen1.

Lecture de bloc 16b par porte dérobée :

hf 14a raw -s -c -t 1000 CFCE<1b block number>

Écriture de bloc 16b par porte dérobée :

hf 14a raw -s -c -t 1000 CFCD<1b block number><16b block data>

Les opérations de lecture/écriture fonctionnent sur 16 octets, quel que soit le mode Ultralight.

Exemple : lecture du bloc 0, mot de passe par défaut

hf 14a raw -s -c -t 1000 CF00000000CE00

Exemple : écriture du bloc 0 avec les données d'usine, mot de passe par défaut

hf 14a raw -s -c -t 1000 CF00000000CD00112233441C000011778185BA18000000

Activer/désactiver l'écriture directe dans le bloc 0

Cette commande active/désactive l'écriture directe dans le bloc 0.

hf 14a raw -s -c -t 1000 CFCF<1b param>

• • 00: Activer l'écriture directe dans le bloc 0 (même comportement que les cartes Gen2. Certains lecteurs peuvent identifier la carte comme magique)
  • 01: désactiver l'écriture directe dans le bloc 0 (même comportement que les cartes classiques)
  • 02: Valeur par défaut. (Même comportement que 00 (?))

Modifier le mot de passe de la porte dérobée

Toutes les opérations de porte dérobée sont protégées par un mot de passe. Si vous oubliez le mot de passe, il ne peut pas être récupéré. Le mot de passe par défaut est 00000000.

Modifier le mot de passe :

hf 14a raw -s -c -t 1000 CF  FE <4b new_password>

Exemple : changer le mot de passe de 00000000 à AABBCCDD

hf 14a raw -s -c -t 1000 CF00000000FEAABBCCDD

Vider la configuration

hf 14a raw -s -c -t 1000 CFC6

Configuration par défaut :

00000000000002000978009102DABC191010111213141516040008006B024F6B
                                                            ^^^^ CRC, type unknown
                                                          ^^ cf cmd cf: block0 direct write setting
                                                        ^^ cf cmd 6b: maximum read/write sectors
                                                      ^^ cf cmd 6a: UL mode
                                                ^^^^^^ cf cmd 35: ATQA/SAK
              ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^ cf cmd 34: ATS length & content
            ^^ cf cmd 32: GTU mode
    ^^^^^^^^ cf cmd fe: password
  ^^ cf cmd 68: UID length
^^ cf cmd 69: Ultralight protocol

Configuration rapide

hf 14a raw -s -c -t 1000 CFF0<30b configuration data>

Veuillez consulter la section « Configuration de sauvegarde » pour obtenir une description des données de configuration.

Exemple : écrire la configuration d'usine à l'aide du mot de passe par défaut

hf 14a raw -s -c -t 1000 CF00000000F000000000000002000978009102DABC191010111213141516040008004F6B

Préréglages

Voici quelques préréglages disponibles dans FuseTool (mais avec tous les ATS désactivés)

MIFARE Mini S20 UID 4 octets

hf 14a raw -s -c -t 1000 CF00000000F000000000000002000978009102DABC19101011121314151604000900

MIFARE Mini S20 UID 7 octets

hf 14a raw -s -c -t 1000 CF00000000F000010000000002000978009102DABC19101011121314151644000900

MIFARE 1k S50 UID 4 octets (il s'agit du réglage d'usine)

hf 14a raw -s -c -t 1000 CF00000000F000000000000002000978009102DABC19101011121314151604000800

MIFARE 1k S50 UID 7 octets

hf 14a raw -s -c -t 1000 CF00000000F000010000000002000978009102DABC19101011121314151644000800

MIFARE 4k S70 UID 4 octets

hf 14a raw -s -c -t 1000 CF00000000F000000000000002000978009102DABC19101011121314151602001800

MIFARE 4k S70 UID 7 octets

hf 14a raw -s -c -t 1000 CF00000000F000010000000002000978009102DABC19101011121314151642001800

Ultralight

hf 14a raw -s -c -t 1000 CF00000000F001010000000003000978009102DABC19101011121314151644000003FB

Ultralight-C

hf 14a raw -s -c -t 1000 CF00000000F001010000000003000978009102DABC19101011121314151644000002FB

Ultralight EV1

hf 14a raw -s -c -t 1000 CF00000000F001010000000003000978009102DABC19101011121314151644000000FB

NTAG21x

hf 14a raw -s -c -t 1000 CF00000000F001010000000003000978009102DABC19101011121314151644000001FB

Démonstration en direct - Commandes brutes Proxmark

Démonstration en direct - Commandes intégrées Proxmark

Commandes LibNFC / Tamashell pour les cartes Gen4

LibNFC et Tamashell offrent une méthode alternative pour interagir avec les cartes Ultimate Magic (Gen4/GTU) à l'aide de commandes brutes via des lecteurs basés sur PN53x tels que le DL533N.

Format de commande

Les commandes LibNFC/Tamashell nécessitent un préambule spécifique avant chaque commande Gen4 :

$ pn53x-tamashell
4a 01 00          # Initialize communication
42  # Execute Gen4 command

Démarrage de Tamashell

pn53x-tamashell

Cela ouvrira une session interactive avec votre lecteur NFC basé sur PN53x.

Vider la configuration

Lecture de la configuration actuelle de la carte Gen4 (mot de passe par défaut 00000000) :

> 4a 01 00
> 42 CF 00 00 00 00 C6

Renvoie 32 octets de données de configuration.

Obtenir les informations de version

Vérifier la version de la carte Gen4 :

> 4a 01 00
> 42 CF 00 00 00 00 CC

Renvoie les informations de version :

• Ancien UMC : 00 00 00 03 A0
• Nouvelle UMC : 00 00 00 06 A0

Bloc de lecture de la porte dérobée

Lisez un bloc de 16 octets via la porte dérobée (exemple : bloc 0) :

> 4a 01 00
> 42 CF 00 00 00 00 CE 00

Remplacer 00 à la fin par le numéro de bloc souhaité.

Bloc d'écriture par porte dérobée

Écrire un bloc de 16 octets via la porte dérobée (exemple : modifier l'UID en AA BB CC DD) :

> 4a 01 00
> 42 CF 00 00 00 00 CD 00 AA BB CC DD 1C 00 00 11 77 81 85 BA 18 00 00 00

Format : CD <16 bytes data>

Modifier ATQA/SAK

Définissez les valeurs ATQA et SAK (exemple : ATQA 0044, SAK 18 pour une carte 4K) :

> 4a 01 00
> 42 CF 00 00 00 00 35 44 00 18

Configurer ATS

Définissez les données ATS (Answer To Select) :

> 4a 01 00
> 42 CF 00 00 00 00 34 06 06 75 77 81 02 80

Format : 34

• Définissez la longueur sur 00 pour désactiver l'ATS
• Le CRC ATS est ajouté automatiquement
• Longueur maximale ATS : 16 octets (+CRC)

Définir la longueur de l'UID

Configurer la longueur de l'UID (4, 7 ou 10 octets) :

UID de 4 octets :

> 4a 01 00
> 42 CF 00 00 00 00 68 00

UID de 7 octets :

> 4a 01 00
> 42 CF 00 00 00 00 68 01

UID de 10 octets :

> 4a 01 00
> 42 CF 00 00 00 00 68 02

Écrire un UID de 7 octets

Après avoir défini la longueur de l'UID sur 7 octets, veuillez écrire l'UID dans le bloc 0 :

> 4a 01 00
> 42 CF 00 00 00 00 CD 00 04 AA BB CC DD EE FF 08 44 00 18 00 00 00 00 00 00

L'UID commence par 04 (balise en cascade) suivi des 6 octets de l'UID.

Définir le mode GTU Shadow

Configurer le fonctionnement du mode shadow :

Mode pré-écriture :

> 4a 01 00
> 42 CF 00 00 00 00 32 00

Désactivé :

> 4a 01 00
> 42 CF 00 00 00 00 32 02

Mode fractionné (nouveau UMC) :

> 4a 01 00
> 42 CF 00 00 00 00 32 04

(Dés)activer l'écriture directe dans le bloc 0

Désactiver (comportement standard de la carte) :

> 4a 01 00
> 42 CF 00 00 00 00 CF 01

Activer (comportement de type Gen2) :

> 4a 01 00
> 42 CF 00 00 00 00 CF 00

Passer en mode Ultralight

Activer le protocole Ultralight :

> 4a 01 00
> 42 CF 00 00 00 00 69 01

Revenir au mode MIFARE Classic :

> 4a 01 00
> 42 CF 00 00 00 00 69 00

Sélectionner le mode Ultralight

Après avoir activé le protocole Ultralight, veuillez sélectionner le mode spécifique :

Ultralight EV1 :

> 4a 01 00
> 42 CF 00 00 00 00 6A 00

NTAG :

> 4a 01 00
> 42 CF 00 00 00 00 6A 01

Ultralight-C :

> 4a 01 00
> 42 CF 00 00 00 00 6A 02

Ultralight :

> 4a 01 00
> 42 CF 00 00 00 00 6A 03

Configuration rapide

Définissez tous les paramètres en une seule fois (exemple : MIFARE 1K 4 octets UID par défaut) :

> 4a 01 00
> 42 CF 00 00 00 00 F0 00 00 00 00 00 00 02 00 09 78 00 91 02 DA BC 19 10 10 11 12 13 14 15 16 04 00 08 00

Modification du mot de passe de la porte dérobée

Modifiez le mot de passe de la porte dérobée par défaut (00000000) et attribuez-lui une nouvelle valeur :

> 4a 01 00
> 42 CF 00 00 00 00 FE AA BB CC DD

Utilisation du nouveau mot de passe

Après avoir modifié le mot de passe, veuillez utiliser le nouveau mot de passe dans toutes les commandes :

> 4a 01 00
> 42 CF AA BB CC DD C6

Remplacez 00 00 00 00 par votre nouveau mot de passe AA BB CC DD dans toutes les commandes.

Préréglages

Configurations courantes des cartes à l'aide de la commande de configuration rapide :

MIFARE Mini S20 UID 4 octets :

> 4a 01 00
> 42 CF 00 00 00 00 F0 00 00 00 00 00 00 02 00 09 78 00 91 02 DA BC 19 10 10 11 12 13 14 15 16 04 00 09 00

MIFARE 1K S50 UID 4 octets (réglage d'usine par défaut) :

> 4a 01 00
> 42 CF 00 00 00 00 F0 00 00 00 00 00 00 02 00 09 78 00 91 02 DA BC 19 10 10 11 12 13 14 15 16 04 00 08 00

MIFARE 1K S50 UID 7 octets :

> 4a 01 00
> 42 CF 00 00 00 00 F0 00 01 00 00 00 00 02 00 09 78 00 91 02 DA BC 19 10 10 11 12 13 14 15 16 44 00 08 00

MIFARE 4K S70 UID 4 octets :

> 4a 01 00
> 42 CF 00 00 00 00 F0 00 00 00 00 00 00 02 00 09 78 00 91 02 DA BC 19 10 10 11 12 13 14 15 16 02 00 18 00

MIFARE 4K S70 UID 7 octets :

> 4a 01 00
> 42 CF 00 00 00 00 F0 00 01 00 00 00 00 02 00 09 78 00 91 02 DA BC 19 10 10 11 12 13 14 15 16 42 00 18 00

Ultralight :

> 4a 01 00
> 42 CF 00 00 00 00 F0 01 01 00 00 00 00 03 00 09 78 00 91 02 DA BC 19 10 10 11 12 13 14 15 16 44 00 00 03 FB

Ultralight-C :

> 4a 01 00
> 42 CF 00 00 00 00 F0 01 01 00 00 00 00 03 00 09 78 00 91 02 DA BC 19 10 10 11 12 13 14 15 16 44 00 00 02 FB

Ultralight EV1 :

> 4a 01 00
> 42 CF 00 00 00 00 F0 01 01 00 00 00 00 03 00 09 78 00 91 02 DA BC 19 10 10 11 12 13 14 15 16 44 00 00 00 FB

NTAG21x :

> 4a 01 00
> 42 CF 00 00 00 00 F0 01 01 00 00 00 00 03 00 09 78 00 91 02 DA BC 19 10 10 11 12 13 14 15 16 44 00 00 01 FB

Quitter Tamashell

> exit

Remarques

• Toutes les commandes nécessitent l'initialisation 4a 01 00 initialisation avant la 42 commande
• Le mot de passe par défaut est 00 00 00 00
• Les commandes ne sont pas sensibles à la casse pour les valeurs hexadécimales
• Les espaces entre les octets hexadécimaux sont obligatoires
• LibNFC/Tamashell fonctionne avec les lecteurs basés sur PN53x (ACR122U, PN532, etc.)

Démonstration en direct - Commandes LibNFC / Tamashell

Débrickage

Le « soft-bricking » fait référence à une situation où une carte magique a été configurée de manière à empêcher sa détection. Les méthodes de soft-bricking des balises comprennent :

• BCC incorrect
• SAK incorrect
• ATQA incorrect
• ATS incorrect
• Valeurs ACL (contrôle d'accès) incorrectes

Certaines situations de « soft-brick » peuvent être résolues à l'aide de commandes spéciales. Si votre MIFARE Mini® Compatible 4-byte UID Modifiable est en « soft-brick », vous pouvez tenter de le récupérer à l'aide des méthodes suivantes :

Avec Proxmark / iCopy-X

hf 14a raw -s -c -t 1000 CF00000000F000000000000002000978009102DABC19101011121314151604000800

Via un lecteur/enregistreur externe et MTOOLS

Sélectionnez la fonction « UID Changer » dans MTools, sélectionnez « bricked » et exécutez la tâche

Via LibNFC & tamashell

> 4a 01 00
> 42 CF 00 00 00 00 F0 00 00 00 00 00 00 02 00 09 78 00 91 02 DA BC 19 10 10 11 12 13 14 15 16 04 00 08 00

IMPORTANT :

Lab401 ne peut en aucun cas rembourser les cartes qui ont été « bricked » en raison de configurations incorrectes.

Ressources techniques

• Documentation sur les commandes Ultimate Magic Card
• Documentation sur le script LUA Proxmark / iCopy-XS
• Outil de programmation (Windows)