WooYun.org

以下针对 ADEL A90 Mifare 门禁系统
ADEL 出售的门卡是向复旦微电子定制的 FM11RF08，等同于 Mifare Classic S50
特别之处在于 SAK == 0x19，导致 libnfc 将卡片大小识别为 320 字节，mfoc 不受影响
门锁会识别 SAK，所以自己制卡的话需要使用 UID 卡，先写入一次 SAK=4 可以使 libnfc 正常工作
默认配置下酒店使用第 1、15 扇区
第 1 扇区使用 A0A1A2A3A4A5 / B0B1B2B3B4B5 默认密钥
第 15 扇区使用 UID 构造出的密钥，KeyA、KeyB 相同
第 15 扇区密钥的构造方法默认为 { uid[0]^uid[1], uid[0], uid[1], uid[2], uid[3], uid[2]^uid[3] }
对互联网上流传的 A90 系统进行逆向得知
卡 0x3DD 处为 0x3C0 至 0x3DC 内容的 checksum，算法见测试代码
0x3C0 至 0x3DC 的内容经过编码，解码算法见测试代码
解码后的内容依次为
3 字节 卡号，第一个nibble为9代表客人卡/备用卡/电梯卡
2 字节 系统号，各酒店不同
2 字节 门锁号
1 字节 床号
8 字节 时间区间
6+2 字节 不解释了
5 字节 0xFF padding
门锁号一般在软件中批量生成，与酒店房间号的对应关系可以直接看出来
时间区间由起止时间各 4 字节构成，算法见测试代码
至此，已经可以从一份房卡样本中获得 2 字节的系统号，并生成新的客房卡打开其他房间的门锁
PS：
系统号保存在数据库的 XTCS 表中，所以不排除其他方式得到系统号
如果能够访问 MY 表，可以构造出总控卡任意开门，不需要针对每个客房构造客房卡
动态调试的思路是虚拟出两个串口对接，A90 使用其中一端，自己的脚本跑在另一端模拟读卡器
来一张调试过程截图