这年头谁兜里还不揣着几张卡门禁卡、电梯卡、停车卡、饭卡……我那个卡包厚得能当板砖用。某天出门忘带门禁卡在单元楼下被冻了十分钟才下定决心把手里几张RFID卡全折腾进手机NFC里。这一折腾就是大半个周末踩坑踩到怀疑人生好在最后的结果是好的——现在出门基本不带实体卡手机一贴就开。这篇就把我这几天摸出来的门道、踩过的坑、总结的经验全部记下来给同样想折腾的朋友做个参考。先说清楚这篇文章能帮你解决什么教你怎么判断手里的卡属于哪一类、手机NFC能不能直接模拟、怎么把一张RFID射频卡的数据写进手机、以及模拟失败时怎么排查。全程用大白话讲不需要你有硬件基础照着操作就能走通。1. 项目概述一张卡引发的NFC折腾之旅1.1 为什么要折腾RFID卡写入手机以前觉得手机NFC就是个刷公交、碰一碰支付的功能直到有一次门禁卡落在办公室我才意识到这玩意儿真正的价值在于替代实体卡。RFID卡这个东西无处不在小区单元门的门禁卡、公司楼层的电梯卡、地下车库的停车卡、酒店的房卡、甚至有些健身房的更衣柜卡。这些卡虽然长得差不多但底层技术并不完全相同能不能被手机NFC模拟取决于卡的频率和协议。我的需求很简单把每天必用的两三张卡合并进手机出门只带手机和钥匙。如果你也受够了卡包里翻半天找不到卡的体验或者经常忘带卡被锁在门外这个折腾方向非常值得一试。1.2 RFID和NFC到底什么关系很多人搞不清RFID和NFC的区别我第一次接触也是一头雾水。用大白话说RFID是射频识别技术的统称NFC是它的一个子集工作在13.56MHz高频频段并且支持双向通信。手机里的NFC模块本质上就是一个工作在13.56MHz的RFID读写器。但射频识别的工作频率远不止这一种。常见的有三类低频125kHz主要用于ID卡、动物芯片传输距离短只能读不能写存储内容就是一个固定编号高频13.56MHzNFC、Mifare卡也就是M1卡、公交卡、银行卡都在这个频段能读能写可以存储加密数据超高频860-960MHz多用于物流仓储、ETC等远距离识别场景搞清楚这个你就明白了手机NFC能不能直接模拟你的门禁卡第一个前提就是卡的频率得在13.56MHz。如果是125kHz的低频ID卡普通手机的NFC天线根本收不到信号这时候需要另想办法。1.3 哪些人适合折腾这件事我觉得有三类人会从这篇文章里受益第一类是卡多星人门禁、电梯、停车各有各的卡天天带着一摞卡出门的。把常用卡模拟进手机每天至少省去翻包找卡的三分钟一年下来也是个不小的数字。第二类是好奇型技术爱好者对RFID、NFC底层原理感兴趣想借这个机会搞懂数据是怎么存、怎么读、怎么被模拟的。第三类是刚好有需求但不知道从哪下手的工具型用户只想要个结果不想深究原理。这类朋友可以直接跳到第3章照着我给的步骤操作就行大部分情况能走通。但我必须提前说清楚模拟门禁卡涉及权限和数据安全这篇文章只讨论模拟自己合法持有、有使用权的卡片。未经许可复制他人卡片或在物业明确禁止的情况下模拟门禁卡可能涉及违规甚至法律责任。这个边界自己心里要有杆秤。2. 前期准备先把卡和手机的底细摸清楚2.1 辨别你的卡IC卡、ID卡、CPU卡开始动手前第一件事是弄明白你手里到底是什么卡。搞错方向的话后面所有步骤都是白费功夫。最简单的方法打开手机NFC用任意一款可以读卡的App后面会介绍贴近卡片。如果App能读出卡片信息基本就是13.56MHz的IC卡如果手机毫无反应很可能是125kHz的ID卡因为手机NFC天线不工作在这个频段。常见的几个类型对比如下卡类型常见频率存储能力加密能力手机能否直接模拟ID卡EM4100等125kHz仅一个ID号无加密少数手机支持多数不行Mifare Classic 1KM1卡/S5013.56MHz1024字节有扇区加密可以非加密卡无缝模拟Mifare Classic 4KS7013.56MHz4096字节有扇区加密可以模拟难度更高CPU卡13.56MHz有操作系统动态加密认证一般不支持NFC标签NTAG系列13.56MHz几十到几百字节有简单保护可以直接模拟现实中门禁系统用得最多的是M1卡和ID卡。M1卡因为有加密扇区、读写灵活性价比高绝大多数小区的门禁和电梯卡都是它。ID卡成本更低但安全性差以前很多老旧小区的单元门在用。如果你发现手机完全读不到卡别急可能是卡放在了手机NFC感应区的盲区。我刚开始折腾时把卡贴手机背面怎么都没反应后来发现NFC线圈的位置一般在上半部分靠近摄像头的位置而不是手机正中间。把卡片贴着摄像头附近慢慢移动通常能找到信号最强的位置。2.2 手机的NFC能力分层全功能NFC是最低门槛不是所有带NFC的手机都能模拟门禁卡这点很多人容易忽略。NFC功能其实分几个层级基础读写层能读NFC标签、支持NFC支付但系统层面不开放模拟实体卡的能力。这种情况多见于部分老旧机型或国外品牌手机。系统级模拟层手机厂商在系统里做了门卡模拟钥匙模拟之类的入口。比如小米的小米钱包、华为的华为钱包、三星的Samsung Pay里都有门卡功能。这是最省事的路径。全卡模拟层能读取实体卡完整数据包括UID、扇区数据并完整模拟到手机里让读卡器以为这张虚拟卡就是原卡。这个能力一般需要系统API支持第三方App很难单靠自己实现。我用的是一台支持NFC的国产安卓机钱包App里自带门卡模拟入口。如果你不确定手机是否支持直接打开钱包App搜门卡或钥匙能看到入口就说明基本够用。这里有个非常关键的点手机钱包的门卡模拟功能本质上是把卡片的数据内容读出来存进手机的SE安全模块Secure Element或eSE芯片里。数据读取阶段卡片是完全不设防的靠近就能读但如果卡片加密了而你没有密钥手机只能读到卡号UID读不到完整的扇区数据模拟出来就是一张半残的卡。2.3 用到的工具和App清单准备工具方面我的清单非常简单支持NFC的安卓手机一台苹果手机情况特殊后面单独说一张待模拟的RFID门禁卡两个读卡AppNFC TagInfo和MIFARE Classic Tool一部能上网的设备遇到问题随时查资料App这块我重点说两个。NFC TagInfo适合查看卡片的基础信息打开App、把卡贴到手机背面几秒钟就能看到卡的类型、UID、SAK、ATQA这些参数非常直观。MIFARE Classic Tool简称MCT则是折腾M1卡的神器它可以尝试读取卡片的扇区数据导出dmp文件甚至在有权限的情况下写卡。不过MCT需要手机root权限才能发挥全部功能没root也能用一部分基础功能。苹果用户的情况稍微麻烦。iPhone的NFC平时默认开放给Apple Pay和系统级功能第三方App只能读取NFC标签NDEF格式无法直接模拟门禁卡。除非门禁系统本身支持Apple Pay的快捷公交卡模式或者你所在的小区用了支持iPhone模拟的特定门禁方案否则苹果手机想模拟RFID门禁卡基本要靠外接设备或写卡到空白贴片体验差很多。这也是为什么我劝玩这个方向最好备一台安卓机。3. 实操把RFID卡的数据搬进手机3.1 手机钱包门卡模拟的完整流程以安卓手机的钱包App为例整个流程可以分成四步每一步我都写一下细节方便你对照操作。第一步进入钱包App找到门卡或钥匙入口。一般路径是首页-门卡/钥匙-添加门卡。有的手机会在这个步骤弹出权限提醒让你录入指纹或密码确认这是为了确保模拟行为是机主本人操作的。第二步选择模拟实体门卡然后把卡片贴在手机背面NFC区域。这时候手机开始读取卡片信息屏幕上一般会显示一个进度条。关键点来了手机在读取时会往卡片发一系列指令如果卡片是非加密的几秒钟就能读完如果卡片加密手机会尝试用默认密钥解密扇区能解开就继续解不开就会提示检测到加密卡可能无法模拟。第三步读取完成后App会要求你给这张虚拟卡起个名字比如单元门公司电梯。这个过程还会让你设置一个默认卡片或快捷唤起方式方便刷卡时快速调出。第四步回到钱包首页确认虚拟卡状态是已添加。这时候你把手机屏幕点亮靠近门禁读卡器看能不能触发开门动作。我用自己那张非加密的M1门禁卡走了一遍整个过程不到两分钟。第一次在单元门实测时手机贴上去滴一声门开了那种满足感相当强烈。这里插一个重要提醒有的手机钱包在添加门卡时会提示将卡片与手机底部贴合或请勿移动卡片之类的话。它要求的贴合位置不是手机屏幕正中而是NFC线圈的实际位置。我的手机NFC感应区在摄像头附近偏上的位置一开始贴错了半天都没反应。3.2 用读卡工具解析卡片数据从UID到扇区手机自带钱包黑盒式地帮你完成了模拟但如果你想知道背后发生了什么建议用NFC TagInfo和MCT手动读一次卡片数据。这个过程对排查问题特别有帮助。用NFC TagInfo读我那张M1卡可以清晰看到这些参数UIDUnique Identifier4字节的唯一标识门禁系统识别你是谁的第一依据。我的卡UID是D2 6A 1B 4E每个卡都不同SAKSelect Acknowledge表明卡的类型字节值对应不同卡型ATQAAnswer To Request模拟器识别卡片的应答帧存储容量M1 S50卡是1024字节分16个扇区每扇区4个块我用MCT进一步读取扇区数据发现前几个扇区可以正常读取内容大多是十六进制数据后半部分显示Access Denied——说明这些扇区被密钥保护了。非加密卡的所有扇区都可以直接用默认密钥通常是FF FF FF FF FF FF读取而门禁卡为了保护数据会把A密钥、B密钥改成自定义的十六进制值这样即使卡拿到手里没有密钥也读不出完整内容。这个分析过程对判断手机模拟为什么失败很有帮助如果卡完全读取不到大概率卡不是13.56MHz频率或者手机NFC没启用。先去系统设置把NFC开关打开再检查卡片是否是Mifare类高频卡。如果能读到UID但扇区数据都是无法访问说明卡有加密钱包App可能模拟出一个只含UID的空壳卡这种卡在门禁系统里常常被判定为数据不完整刷不开门。3.3 加密卡怎么办怎么判断、怎么合规处理加密卡是很多折腾者最头疼的坎。M1卡的16个扇区里第0扇区包含厂商数据和UID默认是可读的其余扇区需要密钥才能读写。门禁系统往往用自定义密钥保护关键数据比如楼层权限、有效期限都藏在这些加密扇区里。手机钱包在模拟加密卡时有三种情况第一种卡片虽然加密但用的还是默认密钥。这种情况手机可以完整读取并模拟你几乎不会感觉到加密的存在。第二种卡片自定义了密钥但手机钱包内置的密钥字典恰好包含这个密钥。部分厂商为了提升模拟成功率会内置一批常见门禁厂商使用的密钥命中后就能读全数据。实测下来主流小区的门禁卡命中率不低。第三种密钥完全未知。手机钱包只能读到UID和数据头无法模拟完整卡片。这种情况网上常说的破解卡密就是在穷举密钥或使用嗅探手段获取密钥。不论从技术学习角度还是伦理角度我都建议走正规渠道联系物业或行政管理员申请授权他们有专门的发卡器能帮你写入权限。测试卡和研究卡可以用自己的卡反复折腾但不要对非授权卡做任何破解尝试。我在折腾加密电梯卡时老老实实去找物业开通了手机刷梯权限整个过程走正规流程比破解半天密钥省事得多。如果确实需要在手机上模拟加密卡还有一个思路是买一张支持UID写入的空白UID卡。先想办法搞到卡的完整数据需要合法授权再用PM3或PN532这类读卡器把数据写到UID卡上最后用手机模拟这张UID卡。注意UID卡本身是不太适合长期使用的成本高、兼容性参差不齐而且这种方式同样需要你有合法权限否则没有任何意义。3.4 手机模拟不了的ID卡还有哪些招前面说了125kHz的ID卡因为频率不匹配普通手机NFC直接看不见它。我手里有张老小区的ID门禁卡就属于这种情况。手机贴近毫无反应钱包App也提示未检测到卡片。不过这并不代表完全没救。少数国产手机在内置NFC芯片之外额外集成了125kHz低频发射模块专门用来模拟老式ID卡。比如某些小米手机的钱包App里可以手动选择模拟ID卡然后把ID卡贴在手机背面的低频感应区系统会读取卡片ID号并模拟。我特意查了一下我的手机是否支持结果型号太老不支持只能另想办法。替代方案有几个按推荐程度排序购买一个低频ID卡贴片把卡号写入贴片再贴在手机壳背面。本质上是换了一张卡不算真正模拟但效果一样用支持ID模拟的外接设备比如一些NFC手环或门禁模拟器把ID卡信息写进去如果只是不想带卡直接找物业换一张IC卡很多小区的老ID系统其实已经升级成IC系统了只是发卡时没有普及我最后选择的是跟物业确认把单元门系统数据同步到了新建的IC卡上然后正常模拟进手机。多跑了一趟物业但一劳永逸比折腾贴片体验好太多。4. 排坑实录我在折腾中踩过的坑4.1 手机明明有NFC却读不到任何卡片这是我遇到的第一个坑一度怀疑手机坏了。排查步骤值得记一下先检查系统设置里NFC是否打开有些手机在省电模式下会自动关闭NFC功能。其次确认卡片贴着手机的位置正确NFC线圈位置因机型而异通常在后盖中上部用卡片慢慢扫一遍找信号。最后用另一台手机或手环做交叉测试排除是卡的问题还是手机的天线或芯片故障。如果以上都排除了还是读不到卡怀疑是系统层的NFC服务异常关掉NFC重启手机后重新打开成功率很高。我在一次系统更新后就遇到过NFC服务假死重启解决。还有一个容易忽略的情况有的手机保护壳是金属材质会直接屏蔽射频信号。我的手机壳是全包的硅胶壳不影响NFC但如果你用的是金属边框壳贴卡时最好把手机壳摘下来试一次。4.2 模拟成功了但门禁却不认这是我折腾过程中最崩溃的一个坑。钱包App显示卡片模拟成功但到了单元门读卡器前手机贴上去完全没有反应或者响一声又弹回失败状态。排查后发现主要有三种原因读卡器识别的是UID和扇区数据的组合校验。门禁系统在发卡时会把UID和加密扇区的内容做绑定手机模拟的卡即使UID一样扇区数据对不上系统照样不认。模拟卡切成默认卡了没有。很多钱包App支持添加多张卡但NFC默认只响应你设置为默认的那一张。我在钱包里同时添加了门禁卡和电梯卡结果单元门识别的是电梯卡的数据自然刷不开。门禁读卡器离卡太远或角度不对。手机NFC天线面积比实体卡大但个别老旧的读卡器功率低需要手机贴着读卡器保持两三秒才来得及完成认证。针对这些原因我的解决办法确认默认卡设置正确贴卡时保持手机解锁点亮屏幕给读卡器一点反应时间不要一贴就走如果还是不认回到第3.2节的方法用读卡工具把原卡数据完整跑一遍确认手机模拟的卡数据是否与原卡一致。4.3 模拟后原卡还能不能用会冲突吗只要门禁系统不是独卡单用的限制模式原卡和手机模拟卡可以同时共存互不冲突。我实测过手机模拟成功后原实体卡继续使用正常没有出现模拟后原卡失效的情况。但有一个例外部分门禁系统设计成一卡一设备发卡时把卡号和设备绑定死系统只认最后一次激活的设备。如果先刷了手机系统可能把卡的状态标记为已激活到新设备再刷原卡反而失效。这种情况需要联系物业重新同步。另外提醒一句不要在公共平台晒卡面照片或用App随意分享卡片数据你的UID和数据一旦被有心人截取有可能被写入另一张空白卡用来冒用。作为折腾者管好自己的数据也是基本素养。4.4 不同门禁场景下的实测情况我把自己的卡在不同场景下做了个实测记录给各位一个参考场景卡类型手机钱包模拟实测结果小区单元门M1非加密成功一次通过公司电梯M1加密成功密钥命中刷梯正常健身房储物柜M1加密密钥未知模拟成功但数据不全刷不开走物业授权老小区单元门ID卡125kHz不支持换IC卡后解决停车场道闸M1非加密成功道闸正常这些结果说明一件事模拟成功率高度依赖于卡是否加密、密钥是否可知、门禁系统是否校验完整数据。别指望一张卡从头通到尾不同卡可能需要不同的方案。5. 安全与边界会写卡更要懂规矩5.1 复制卡到底有多容易又有多危险我折腾完这一圈最大感受是NFC复制门槛确实低但这恰恰是把双刃剑。一台带NFC的手机加几款开源App就能读出一张M1卡的UID和扇区数据再花几十块买张空白UID卡理论上就能复制出一张数据相同的卡。危险就藏在理论上三个字里。门禁系统这些年也在迭代很多物业已经把卡片数据的加密强度提高CPU卡和动态密钥的使用越来越普遍。所谓看到卡就能破解的时代其实已经没那么容易了。而且复制一张自己没权限的卡并试图进入特定场所轻则违反物业管理条例重则涉及治安管理问题。我见过社区群里有人炫耀破解了公司门禁卡第二天就被行政约谈的案例。所以我把这条单列出来技术本身是中性的但使用技术的场景有边界。自己家的卡、自己负责的设备上做实验学习这是完全正当的技术爱好未经授权模拟他人或单位的卡就是另一回事了。一个工程师的技术尊严应该建立在对规则的理解和尊重上而不是建立在我能破解你看不懂的东西上。5.2 NFC中继攻击也要知道它的存在网上常提到的中继攻击简单说就是攻击者用两个设备一个放在门禁读卡器旁边另一个靠近持卡人把读卡器验证信号和卡片的应答信号实时转发让门禁误以为真卡就在现场。这种攻击针对的是无钥匙进入场景一些老式门禁确实中了招。了解这个不是为了让你去复现而是为了解释一个现象为什么很多小区开始标配动态加密卡、双向认证卡甚至要求手机App配合蓝牙使用。因为这些更新本质上就是在对抗中继和伪造。你如果在折腾中遇到物业强烈不建议你自己模拟门禁卡背后也有这层安全考量——他们不希望卡片的射频指纹在外界被随意采集和转发。个人能做的防护动作很简单别把卡随手放在包外侧、别在公开场合把卡正反面拍照晒图、尽量使用带屏蔽层的卡包或卡套。尤其是那些已经模拟进手机的卡实体卡如果丢失记得第一时间去物业挂失重新发卡。5.3 屏蔽卡套和日常防误读建议最后聊一下防误读。很多人以为只要手机有NFC就会被读卡器隔空读取其实NFC通信距离非常短一般不超过10厘米正常使用场景里被隔空盗刷的概率极低。真正需要防的是卡片放在包里被旁边有心人用读卡器靠近读取数据。如果你在意隐私防护买卡套时认准RFID屏蔽标识。常见做法是在卡套内层加入一层铝箔或铜箔材料利用金属屏蔽层阻断射频信号。不想花钱也行我试过直接用锡纸把卡包起来效果一样只是丑了点。日常使用有个小技巧模拟进手机的虚拟卡不用时把钱包App的NFC后台读取权限关掉或者设置成每次刷卡都需要验证指纹/人脸。这样即便手机丢了捡到手机的人也没法直接刷开门禁。我给虚拟卡加了每日限额和验证锁后用起来踏实很多。写在最后的一点体会折腾RFID卡写入手机NFC这几天最大的收获不只是出门少带两张卡而是把一个平时看不见摸不着的通信协议摸了个大概。从读卡、看数据、分辨加密到最后成功模拟每一步都是在跟一个会思考的射频芯片打交道这种探索感本身就很有乐趣。如果你也想折腾我的建议是从自己最有使用需求的那张卡开始按文章的步骤一步步来。遇到模拟不了的情况也别死磕物业授权、换IC卡、加贴片都有更省力的解法。最后再强调一次玩归玩权限边界和合规底线一定要守住技术应该是让生活更便利的助手而不是给自己找麻烦的工具。