Carta Magia Definitiva (Gen4)

INTRODUZIONE

Ultimate Magic Card è una scheda di emulazione multiprotocollo, in grado di emulare tutte le varianti delle famiglie MIFARE Classic® (1K, 4K, Mini), MIFARE Ultralight® e MIFARE Ultralight®, con UID a 4 byte, 7 byte e 10 byte.

Ancora più importante, tutto può essere configurato: caratteristiche della scheda: valori ATQA, SAK, ATS... e persino la funzionalità della scheda (modalità di sola lettura, modalità di lettura/scrittura, "modalità shadow", ecc.).

In sostanza, si tratta di una piattaforma di emulazione completamente configurabile in formato carta.

Per molti anni, le magic card hanno progressivamente aggiunto funzionalità: questa scheda, la "Gen4", è il risultato di anni di lavoro: è la magic card definitiva, indispensabile per pentester, professionisti della sicurezza e appassionati.

Tipi di schede
configurabili La scheda Magic definitiva contiene impostazioni predefinite di diversi tipi di schede:

• MIFARE Mini
• MIFARE 1k S50 UID a 4 byte
• MIFARE 1k S50 UID a 7 byte
• MIFARE 1k S50 UID a 10 byte
• MIFARE 4k S70 UID a 4 byte
• MIFARE 4k S70 UID a 7 byte
• MIFARE 4k S70 UID a 10 byte
• Ultralight
• Ultralight-C
• Ultralight Ev1
• NTAG

Come indicato di seguito, tutti i valori ATQA/ATS/ATS sono liberamente configurabili, consentendo l'emulazione di altri chipset o chipset personalizzati.

Parametri
configurabili La scheda supporta la configurazione dei seguenti parametri:

• Tipo di scheda preimpostato
• UID
• Lunghezza UID (4 byte / 7 byte / 10 byte)
• SAK (1 byte)
• ATQA (2 byte)
• ATS (lunghezza personalizzata / disabilitato)

Funzionalità
configurabile La scheda dispone di diverse modalità operative, a seconda delle esigenze.

• Modalità Shadow La
  modalità Shadow, o modalità "Scrivi una volta e dimentica", consente di preconfigurare la scheda con i dati. Al successivo aggiornamento (ad esempio tramite un lettore di schede / lettore di controllo accessi), le modifiche vengono mantenute temporaneamente.
  
  I dati modificati possono essere letti una sola volta, dopodiché la scheda ritorna allo stato preconfigurato. La modalità
  
  Shadow è stata appositamente progettata per le operazioni sul campo. In precedenza, una scheda doveva essere scritta, utilizzata, letta e riscritta manualmente; la modalità Shadow si occupa di questo senza alcun hardware aggiuntivo.
  
• Modalità di
  ripristino Se la scheda è configurata in modo errato, può essere riportata in modalità di ripristino, evitando il blocco involontario.
  
• Calcolo
  automatico del BCC La scheda calcola automaticamente i valori BCC, consentendo di risparmiare tempo ed evitando che la scheda diventi non rilevabile.
• Protezione con password / Emulazione di scrittura una
  tantum I comandi di configurazione possono essere protetti con una password personalizzabile; la scheda non risponderà ai comandi magici o alle scritture dirette su valori limitati a meno che non venga fornita la password corretta, consentendo alla scheda di funzionare come una scheda "One-Time-Write".

Compatibilità di programmazione
La scheda può essere programmata su più piattaforme:

• Proxmark / iCopy-XS (tramite il menu con script LUA)
• Android / iOS tramite MTools
• Flipper Zero
• LibNFC (tramite comandi manuali)
• Piattaforme Windows + lettore/scrittore LibNFC (tramite software GUI)

Pratica: osservare la scheda in funzione

A seconda degli strumenti a disposizione, esistono diversi modi per programmare questa scheda:

• MTools su Android / iOS: interfaccia utente semplice con opzioni di configurazione complete
• Proxmark / iCopy-X : tramite comandi raw o lo script LUA (non tutte le funzionalità sono implementate)
• Flipper Zero : configurazione intuitiva tramite l'applicazione NFC
• LibNFC : tramite tamashell. Comandi manuali.

Proxmark / iCopy-X

Esistono due modi per programmare questa scheda:

1. Utilizzare i comandi raw indicati dagli hf 14a esempi.
2. Utilizzare i comandi dello script hf_mf_ultimatecard.lua. Questo script non è completamente compatibile con la nuova versione UMC.

Riepilogo dei comandi raw speciali:

CF  32 <00-04>                           // Configure GTU shadow mode
CF  34 <1b length><0-16b ATS>            // Configure ATS
CF  35 <2b ATQA><1b SAK>                 // Configure ATQA/SAK (swap ATQA bytes)
CF  68 <00-02>                           // Configure UID length
CF  69 <00-01>                           // (De)Activate Ultralight mode
CF  6A <00-03>                           // Select Ultralight mode
CF  6B <1b>                              // Set Ultralight and M1 maximum read/write sectors
CF  C6                                   // Dump configuration
CF  CC                                   // Version info, returns `00 00 00 [03 A0 (old) / 06 A0 (new) ]`
CF  CD <1b block number><16b block data> // Backdoor write 16b block
CF  CE <1b block number>                 // Backdoor read 16b block
CF  CF <1b param>                        // (De)Activate direct write to block 0
CF  F0 <30b configuration data>          // Configure all params in one cmd
CF  F1 <30b configuration data>          // Configure all params in one cmd and fuse the configuration permanently
CF  FE <4b new_password>                 // change password

Caratteristiche : 00000000

Caratteristiche

• UID: versioni 4b, 7b e 10b
• ATQA/SAK: modificabile
• BCC: calcolato
• ATS: modificabile, può essere disabilitato
• Tipo di scheda: modificabile
• Modalità shadow: GTU
• Modalità password backdoor

Comandi Proxmark3

# view contents of tag memory:
hf mf gview
# Read a specific block via backdoor command:
hf mf ggetblk
# Write a specific block via backdoor command:
hf mf gsetblk
# Load dump to tag:
hf mf gload
# Save dump from tag:
hf mf gsave

Modifica ATQA / SAK

hf 14a raw -s -c -t 1000 CF35<2b ATQA><1b SAK>

Esempio: ATQA 0044 SAK 28, pwd predefinito

hf 14a raw -s -c -t 1000 CF0000000035440028

OR (Si noti che lo script correggerà correttamente l'ATQA)

script run hf_mf_ultimatecard -q 004428

Modificare ATS

hf 14a raw -s -c -t 1000 CF34<1b length><0-16b ATS>

• : byte di lunghezza ATS, impostare su 00 per disabilitare ATS
• Quando il bit 6 SAK è impostato (ad esempio SAK=20 o 28), ATS deve essere attivato
• L'ATS CRC verrà aggiunto automaticamente, non configurarlo
• Lunghezza massima ATS: 16 byte (+CRC)

Esempio: ATS a 0606757781028002F0, password predefinita

hf 14a raw -s -c -t 1000 CF000000003406067577810280

Oppure

script run hf_mf_ultimatecard -z 06067577810280

Impostare la lunghezza UID (4, 7, 10)

hf 14a raw -s -c -t 1000 CF68<1b param>

• • 00: 4 byte
  • 01: 7 byte
  • 02: 10 byte

Esempio: impostare la lunghezza UID su 7 byte, password predefinita

hf 14a raw -s -c -t 1000 CF000000006801

Impostare UID 14443A

L'UID è configurato in base al blocco 0 con una scrittura backdoor.

Esempio: preparazione dei primi due blocchi:

hf 14a raw -s -c -t 1000 CF00000000CD00000102030405060708090A0B0C0D0E0F
hf 14a raw -s -c -t 1000 CF00000000CD01101112131415161718191A1B1C1D1E1F
hf 14a reader

Modalità MFC 4b UID

⇒ UID 00010203

script run hf_mf_ultimatecard -t 4 -u 00010203

Modalità MFC 7b UID

⇒ UID 00010203040506

script run hf_mf_ultimatecard -t 5 -u 00010203040506

Modalità MFC, 10b UID

⇒ UID 00010203040506070809

script run hf_mf_ultimatecard -t 6 -u 00010203040506070809

(Dis)attivare modalità Ultralight

hf 14a raw -s -c -t 1000 CF69<1b param>

• • 00: Modalità MIFARE Classic
  • 01: modalità MIFARE Ultralight/NTAG

Esempio: attivare il protocollo Ultralight, password predefinita

hf 14a raw -s -c -t 1000 CF000000006901

Oppure

script run hf_mf_ultimatecard -n 01

In questa modalità, se SAK=00 e ATQA=0044, si comporta come una scheda Ultralight

Selezionare la modalità Ultralight

hf 14a raw -s -c -t 1000 CF6A<1b param>

• • 00: UL EV1
  • 01: NTAG
  • 02: UL-C
  • 03: UL

Esempio: impostare la modalità Ultralight su Ultralight-C, password predefinita

hf 14a raw -s -c -t 1000 CF000000006A02

Oppure

script run hf_mf_ultimatecard -m 02

Ora la scheda supporta l'autenticazione 3DES UL-C.

Impostare la modalità Shadow (GTU)

hf 14a raw -s -c -t 1000 CF32<1b param>

• • 00: pre-scrittura, i dati shadow possono essere scritti
  • 01: modalità di ripristino (ATTENZIONE: le nuove schede UMC (06a0) restituiscono dati non validi quando si utilizza 01)
  • 02: disabilitato
  • 03: disabilitato, modalità R/W ad alta velocità per Ultralight?
  • 04: modalità split, funziona con la nuova UMC. Non testata con la vecchia UMC.

Lettura e scrittura diretta di blocchi

Utilizzando il comando backdoor, è possibile leggere e scrivere in qualsiasi area senza password MFC, analogamente alla scheda MFC Gen1.

Lettura backdoor blocco 16b:

hf 14a raw -s -c -t 1000 CFCE<1b block number>

Scrittura backdoor blocco 16b:

hf 14a raw -s -c -t 1000 CFCD<1b block number><16b block data>

Le operazioni di lettura/scrittura funzionano su 16 byte, indipendentemente dalla modalità Ultralight.

Esempio: lettura blocco0, password predefinita

hf 14a raw -s -c -t 1000 CF00000000CE00

Esempio: scrittura del blocco 0 con dati di fabbrica, password predefinita

hf 14a raw -s -c -t 1000 CF00000000CD00112233441C000011778185BA18000000

(Dis)attiva scrittura diretta sul blocco 0

Questo comando abilita/disabilita la scrittura diretta sul blocco 0.

hf 14a raw -s -c -t 1000 CFCF<1b param>

• • 00: Attiva la scrittura diretta sul blocco 0 (stesso comportamento delle schede Gen2. Alcuni lettori potrebbero identificare la scheda come magic)
  • 01: Disattiva la scrittura diretta sul blocco 0 (stesso comportamento delle schede vanilla)
  • 02: Valore predefinito. (Stesso comportamento di 00 (?))

Modifica password backdoor

Tutte le operazioni backdoor sono protette da una password. Se la password viene dimenticata, non può essere recuperata. La password predefinita è 00000000.

Modifica password:

hf 14a raw -s -c -t 1000 CF  FE <4b new_password>

Esempio: modificare la password da 00000000 a AABBCCDD

hf 14a raw -s -c -t 1000 CF00000000FEAABBCCDD

Dump della configurazione

hf 14a raw -s -c -t 1000 CFC6

Configurazione predefinita:

00000000000002000978009102DABC191010111213141516040008006B024F6B
                                                            ^^^^ CRC, type unknown
                                                          ^^ cf cmd cf: block0 direct write setting
                                                        ^^ cf cmd 6b: maximum read/write sectors
                                                      ^^ cf cmd 6a: UL mode
                                                ^^^^^^ cf cmd 35: ATQA/SAK
              ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^ cf cmd 34: ATS length & content
            ^^ cf cmd 32: GTU mode
    ^^^^^^^^ cf cmd fe: password
  ^^ cf cmd 68: UID length
^^ cf cmd 69: Ultralight protocol

Configurazione rapida

hf 14a raw -s -c -t 1000 CFF0<30b configuration data>

Si prega di consultare il dump della configurazione per la descrizione dei dati di configurazione.

Esempio: scrivere la configurazione di fabbrica, utilizzando la password predefinita

hf 14a raw -s -c -t 1000 CF00000000F000000000000002000978009102DABC191010111213141516040008004F6B

Impostazioni predefinite

Di seguito sono riportate alcune impostazioni predefinite disponibili in FuseTool (ma con tutti gli ATS disabilitati)

MIFARE Mini S20 UID a 4 byte

hf 14a raw -s -c -t 1000 CF00000000F000000000000002000978009102DABC19101011121314151604000900

MIFARE Mini S20 UID a 7 byte

hf 14a raw -s -c -t 1000 CF00000000F000010000000002000978009102DABC19101011121314151644000900

MIFARE 1k S50 UID a 4 byte (questa è l'impostazione di fabbrica)

hf 14a raw -s -c -t 1000 CF00000000F000000000000002000978009102DABC19101011121314151604000800

MIFARE 1k S50 UID a 7 byte

hf 14a raw -s -c -t 1000 CF00000000F000010000000002000978009102DABC19101011121314151644000800

MIFARE 4k S70 UID a 4 byte

hf 14a raw -s -c -t 1000 CF00000000F000000000000002000978009102DABC19101011121314151602001800

MIFARE 4k S70 UID a 7 byte

hf 14a raw -s -c -t 1000 CF00000000F000010000000002000978009102DABC19101011121314151642001800

Ultralight

hf 14a raw -s -c -t 1000 CF00000000F001010000000003000978009102DABC19101011121314151644000003FB

Ultralight-C

hf 14a raw -s -c -t 1000 CF00000000F001010000000003000978009102DABC19101011121314151644000002FB

Ultralight EV1

hf 14a raw -s -c -t 1000 CF00000000F001010000000003000978009102DABC19101011121314151644000000FB

NTAG21x

hf 14a raw -s -c -t 1000 CF00000000F001010000000003000978009102DABC19101011121314151644000001FB

Dimostrazione dal vivo - Comandi Proxmark Raw

Dimostrazione dal vivo - Comandi integrati Proxmark

Comandi LibNFC / Tamashell per schede Gen4

LibNFC e Tamashell offrono un metodo alternativo per interagire con le carte Ultimate Magic (Gen4/GTU) utilizzando comandi raw tramite lettori basati su PN53x come il DL533N.

Formato dei comandi

I comandi LibNFC/Tamashell richiedono un preambolo specifico prima di ogni comando Gen4:

$ pn53x-tamashell
4a 01 00          # Initialize communication
42  # Execute Gen4 command

Avvio di Tamashell

pn53x-tamashell

Questo aprirà una sessione interattiva con il lettore NFC basato su PN53x.

Scarica configurazione

Legge la configurazione corrente della scheda Gen4 (password predefinita 00000000):

> 4a 01 00
> 42 CF 00 00 00 00 C6

Restituisce 32 byte di dati di configurazione.

Ottenere informazioni sulla versione

Verifica la versione della scheda Gen4:

> 4a 01 00
> 42 CF 00 00 00 00 CC

Restituisce le informazioni sulla versione:

• Vecchio UMC: 00 00 00 03 A0
• Nuovo UMC: 00 00 00 06 A0

Blocco di lettura backdoor

Leggi un blocco di 16 byte tramite backdoor (esempio: blocco 0):

> 4a 01 00
> 42 CF 00 00 00 00 CE 00

Sostituire 00 alla fine con il numero di blocco desiderato.

Blocco di scrittura backdoor

Scrivere un blocco di 16 byte tramite backdoor (esempio: modificare UID in AA BB CC DD):

> 4a 01 00
> 42 CF 00 00 00 00 CD 00 AA BB CC DD 1C 00 00 11 77 81 85 BA 18 00 00 00

Formato: CD <16 bytes data>

Modificare ATQA/SAK

Impostare i valori ATQA e SAK (esempio: ATQA 0044, SAK 18 per scheda da 4K):

> 4a 01 00
> 42 CF 00 00 00 00 35 44 00 18

Configurare ATS

Impostare i dati ATS (Answer To Select):

> 4a 01 00
> 42 CF 00 00 00 00 34 06 06 75 77 81 02 80

Formato: 34

• Impostare la lunghezza su 00 per disabilitare ATS
• L'ATS CRC viene aggiunto automaticamente
• Lunghezza massima ATS: 16 byte (+CRC)

Impostare la lunghezza UID

Configurare la lunghezza UID (4, 7 o 10 byte):

UID a 4 byte:

> 4a 01 00
> 42 CF 00 00 00 00 68 00

UID a 7 byte:

> 4a 01 00
> 42 CF 00 00 00 00 68 01

UID a 10 byte:

> 4a 01 00
> 42 CF 00 00 00 00 68 02

Scrivere UID a 7 byte

Dopo aver impostato la lunghezza dell'UID su 7 byte, scrivere l'UID nel blocco 0:

> 4a 01 00
> 42 CF 00 00 00 00 CD 00 04 AA BB CC DD EE FF 08 44 00 18 00 00 00 00 00 00

L'UID inizia con 04 (tag a cascata) seguito dai 6 byte dell'UID.

Impostare la modalità shadow GTU

Configurare il funzionamento della modalità shadow:

Modalità pre-scrittura:

> 4a 01 00
> 42 CF 00 00 00 00 32 00

Disabilitata:

> 4a 01 00
> 42 CF 00 00 00 00 32 02

Modalità divisa (nuovo UMC):

> 4a 01 00
> 42 CF 00 00 00 00 32 04

(Dis)attivare la scrittura diretta nel blocco 0

Disattivare (comportamento della scheda vanilla):

> 4a 01 00
> 42 CF 00 00 00 00 CF 01

Attiva (comportamento simile a Gen2):

> 4a 01 00
> 42 CF 00 00 00 00 CF 00

Passare alla modalità Ultralight

Attivare il protocollo Ultralight:

> 4a 01 00
> 42 CF 00 00 00 00 69 01

Ritorno a MIFARE Classic:

> 4a 01 00
> 42 CF 00 00 00 00 69 00

Selezionare la modalità Ultralight

Dopo aver attivato il protocollo Ultralight, selezionare la modalità specifica:

Ultralight EV1:

> 4a 01 00
> 42 CF 00 00 00 00 6A 00

NTAG:

> 4a 01 00
> 42 CF 00 00 00 00 6A 01

Ultralight-C:

> 4a 01 00
> 42 CF 00 00 00 00 6A 02

Ultralight:

> 4a 01 00
> 42 CF 00 00 00 00 6A 03

Configurazione rapida

Impostare tutti i parametri contemporaneamente (esempio: MIFARE 1K 4 byte UID impostazione predefinita di fabbrica):

> 4a 01 00
> 42 CF 00 00 00 00 F0 00 00 00 00 00 00 02 00 09 78 00 91 02 DA BC 19 10 10 11 12 13 14 15 16 04 00 08 00

Modifica della password backdoor

Modificare la password backdoor da quella predefinita (00000000) a un nuovo valore:

> 4a 01 00
> 42 CF 00 00 00 00 FE AA BB CC DD

Utilizzo della nuova password

Dopo aver modificato la password, utilizzare la nuova password in tutti i comandi:

> 4a 01 00
> 42 CF AA BB CC DD C6

Sostituire 00 00 00 00 con la nuova password AA BB CC DD in tutti i comandi.

Preimpostazioni

Configurazioni comuni delle schede utilizzando il comando di configurazione rapida:

MIFARE Mini S20 UID a 4 byte:

> 4a 01 00
> 42 CF 00 00 00 00 F0 00 00 00 00 00 00 02 00 09 78 00 91 02 DA BC 19 10 10 11 12 13 14 15 16 04 00 09 00

MIFARE 1K S50 UID a 4 byte (impostazione predefinita di fabbrica):

> 4a 01 00
> 42 CF 00 00 00 00 F0 00 00 00 00 00 00 02 00 09 78 00 91 02 DA BC 19 10 10 11 12 13 14 15 16 04 00 08 00

MIFARE 1K S50 UID a 7 byte:

> 4a 01 00
> 42 CF 00 00 00 00 F0 00 01 00 00 00 00 02 00 09 78 00 91 02 DA BC 19 10 10 11 12 13 14 15 16 44 00 08 00

MIFARE 4K S70 UID a 4 byte:

> 4a 01 00
> 42 CF 00 00 00 00 F0 00 00 00 00 00 00 02 00 09 78 00 91 02 DA BC 19 10 10 11 12 13 14 15 16 02 00 18 00

MIFARE 4K S70 UID a 7 byte:

> 4a 01 00
> 42 CF 00 00 00 00 F0 00 01 00 00 00 00 02 00 09 78 00 91 02 DA BC 19 10 10 11 12 13 14 15 16 42 00 18 00

Ultralight:

> 4a 01 00
> 42 CF 00 00 00 00 F0 01 01 00 00 00 00 03 00 09 78 00 91 02 DA BC 19 10 10 11 12 13 14 15 16 44 00 00 03 FB

Ultralight-C:

> 4a 01 00
> 42 CF 00 00 00 00 F0 01 01 00 00 00 00 03 00 09 78 00 91 02 DA BC 19 10 10 11 12 13 14 15 16 44 00 00 02 FB

Ultralight EV1:

> 4a 01 00
> 42 CF 00 00 00 00 F0 01 01 00 00 00 00 03 00 09 78 00 91 02 DA BC 19 10 10 11 12 13 14 15 16 44 00 00 00 FB

NTAG21x:

> 4a 01 00
> 42 CF 00 00 00 00 F0 01 01 00 00 00 00 03 00 09 78 00 91 02 DA BC 19 10 10 11 12 13 14 15 16 44 00 00 01 FB

Esci Tamashell

> exit

Note

• Tutti i comandi richiedono l' 4a 01 00 inizializzazione prima del 42 comando
• La password predefinita è 00 00 00 00
• I comandi non distinguono tra maiuscole e minuscole per i valori esadecimali
• Sono richiesti spazi tra i byte esadecimali
• LibNFC/Tamashell è compatibile con i lettori basati su PN53x (ACR122U, PN532, ecc.)

Dimostrazione dal vivo - Comandi LibNFC / Tamashell

Sblocco

Il termine "soft-bricking" si riferisce a quando una magic card è stata configurata in modo tale da impedirne il rilevamento. I modi per eseguire il soft-bricking dei tag includono:

• BCC errato
• SAK errato
• ATQA non corretto
• ATS non corretto
• Valori ACL (controllo di accesso) non corretti

Alcune situazioni di "soft-brick" possono essere risolte con comandi speciali. Se il tuo MIFARE Mini® Compatible 4-byte UID Modifiable è "soft-bricked", puoi provare a ripristinarlo con i seguenti metodi:

Con Proxmark / iCopy-X

hf 14a raw -s -c -t 1000 CF00000000F000000000000002000978009102DABC19101011121314151604000800

Tramite lettore/scrittore esterno e MTOOLS

Selezionare la funzione "UID Changer" in MTools, selezionare "bricked" ed eseguire l'operazione

Tramite LibNFC e tamashell

> 4a 01 00
> 42 CF 00 00 00 00 F0 00 00 00 00 00 00 02 00 09 78 00 91 02 DA BC 19 10 10 11 12 13 14 15 16 04 00 08 00

IMPORTANTE:

Lab401 non può in nessun caso rimborsare le carte che sono state "bloccate" a causa di configurazioni errate.

Risorse tecniche

• Documentazione sui comandi della Ultimate Magic Card
• Documentazione dello script LUA Proxmark / iCopy-XS
• Strumento di programmazione (Windows)