doc/magic_cards_notes.md

   1 <a id="top"></a>
   2
   3 # Notes on Magic Cards, aka UID changeable
   4
   5 This document is based mostly on information posted on http://www.proxmark.org/forum/viewtopic.php?pid=35372#p35372
   6
   7 Useful docs:
   8
   9 * [AN10833 MIFARE Type Identification Procedure](https://www.nxp.com/docs/en/application-note/AN10833.pdf)
  10
  11 # Table of Contents
  12
  13 * [Low frequency](#low-frequency)
  14   * [T55xx](#t55xx)
  15   * [EM4x05](#em4x05)
  16   * [ID82xx series](#id82xx-series)
  17     * [ID8265](#id8265)
  18     * [ID8211](#id8211)
  19     * [ID-F8268](#id-f8268)
  20   * [H series](#h-series)
  21     * [H1](#h1)
  22     * [H5.5 / H7](#h55--h7)
  23     * [i57 / i57v2](#i57--i57v2)
  24 * [ISO14443A](#iso14443a)
  25   * [Identifying broken ISO14443A magic](#identifying-broken-iso14443a-magic)
  26 * [MIFARE Classic](#mifare-classic)
  27   * [MIFARE Classic block0](#mifare-classic-block0)
  28   * [MIFARE Classic Gen1A aka UID](#mifare-classic-gen1a-aka-uid)
  29   * [MIFARE Classic Gen1B](#mifare-classic-gen1b)
  30   * [Mifare Classic Direct Write OTP](#mifare-classic-direct-write-otp)
  31   * [MIFARE Classic OTP 2.0](#mifare-classic-otp-20)
  32   * [MIFARE Classic DirectWrite aka Gen2 aka CUID](#mifare-classic-directwrite-aka-gen2-aka-cuid)
  33   * [MIFARE Classic Gen3 aka APDU](#mifare-classic-gen3-aka-apdu)
  34   * [MIFARE Classic USCUID](#mifare-classic-uscuid)
  35     * [FUID](#fuid)
  36     * [UFUID](#ufuid)
  37     * [ZUID](#zuid)
  38     * [GDM](#gdm)
  39     * [GDCUID](#gdcuid)
  40   * [MIFARE Classic, other versions](#mifare-classic-other-versions)
  41   * [MIFARE Classic Super](#mifare-classic-super)
  42 * [MIFARE Ultralight](#mifare-ultralight)
  43   * [MIFARE Ultralight blocks 0..2](#mifare-ultralight-blocks-02)
  44   * [MIFARE Ultralight Gen1A](#mifare-ultralight-gen1a)
  45   * [MIFARE Ultralight DirectWrite](#mifare-ultralight-directwrite)
  46   * [MIFARE Ultralight EV1 DirectWrite](#mifare-ultralight-ev1-directwrite)
  47   * [MIFARE Ultralight C Gen1A](#mifare-ultralight-c-gen1a)
  48   * [MIFARE Ultralight C DirectWrite](#mifare-ultralight-c-directwrite)
  49   * [UL series (RU)](#ul-series-ru)
  50     * [UL-Y](#ul-y)
  51     * [ULtra](#ultra)
  52     * [UL-5](#ul-5)
  53     * [UL, other chips](#ul-other-chips)
  54   * [MIFARE Ultralight USCUID-UL](#mifare-ultralight-uscuid-ul)
  55 * [NTAG](#ntag)
  56   * [NTAG213 DirectWrite](#ntag213-directwrite)
  57   * [NTAG21x](#ntag21x)
  58 * [DESFire](#desfire)
  59   * ["DESFire" APDU, 7b UID](#desfire-apdu-7b-uid)
  60   * ["DESFire" APDU, 4b UID](#desfire-apdu-4b-uid)
  61 * [ISO14443B](#iso14443b)
  62   * [Tiananxin TCOS CPU card](#tiananxin-tcos-cpu-card)
  63 * [ISO15693](#iso15693)
  64   * [ISO15693 magic](#iso15693-magic)
  65 * [Multi](#multi)
  66   * [UMC](#umc)
  67 * [Other](#other)
  68   * [SID](#sid)
  69   * [NSCK-II](#nsck-ii)
  70
  71 # Low frequency
  72
  73 ## T55xx
  74
  75 ^[Top](#top)
  76
  77 The temic T55xx/Atmel ATA5577 is the most commonly used chip for cloning LF RFIDs.
  78
  79 A useful document can be found [here](https://github.com/RfidResearchGroup/proxmark3/blob/master/doc/T5577_Guide.md).
  80
  81 ### Characteristics
  82
  83 * 28/24 bytes of user memory (without/with password)
  84 * Universal output settings (data rate, modulation, etc)
  85 * Password protection (4 bytes), usually "19920427"
  86 * Lock bits per page
  87 * Analog frontend setup
  88 * Other names:
  89   * 5577
  90   * 5200 (CN)
  91     * Cut down version of T55xx chip (no analog frontend setup, no test mode support).
  92   * H2 (RU)
  93     * Seems to be renamed 5200 chip.
  94   * RW125T5 (RU)
  95 * Old variant "T5555" is hard to come across
  96
  97 ### Detect
  98
  99 ```
 100 [usb] pm3 --> lf search
 101 ...
 102 [+] Chipset detection: T55xx
 103 ```
 104
 105 This will **not** work if you have a downlink mode other than fixed bit length!
 106
 107 ### Commands
 108
 109 *See ATMEL ATA5577C datasheet for sending commands to chip*
 110
 111 * *Do not mix* "password read" and "regular write" commands! You risk potentially writing incorrect data.
 112 * When replying, the chip will use the modulation and data rate specified in block 0.
 113
 114 ## EM4x05
 115
 116 ^[Top](#top)
 117
 118 The EM4305 and EM4205 (and 4469/4569) chips are the 2nd most common used chips for cloning LF RFIDs.
 119 It is also used by HID Global (but with a custom chip) for HIDProx credentials.
 120
 121 ### Characteristics
 122
 123 * 36 bytes of user memory
 124 * Output settings are limited (ASK only, FSK added on HID variant)
 125 * Password protection (4 bytes), usually "84AC15E2"
 126 * Lock page used
 127 * Other names:
 128   * H3 (RU)
 129   * RW125EM (RU)
 130
 131 ### Detect
 132
 133 ```
 134 [usb] pm3 --> lf search
 135 ...
 136 [+] Chipset detection: EM4x05 / EM4x69
 137 ```
 138
 139 ### Commands
 140
 141 *See EM microelectronic EM4305 datasheet for sending commands to chip*
 142
 143 ## ID82xx series
 144
 145 ^[Top](#top)
 146
 147 These are custom Chinese chips mainly used to clone EM IDs. Often times, these are redesigned clones of Hitag chips.
 148
 149 ### ID8265
 150
 151 ^[Top](#top)
 152
 153 This is the cheapest and most common ID82xx chip available. It is usually sold as T55xx on AliExpress, with excuses to use cloners.
 154
 155 #### Characteristics
 156
 157 * Chip is likely a cut down version of Hitag μ (micro) clone
 158 * UID `00 00 00 00 00 00`
 159 * Password protection (4b), usually "00000000"(default) or "9AC4999C"(FURUI)
 160 * CON0
 161   * bit 0-1 -> data rate ’00’... 2kbit/s ’01’... 4kbit/s ’10’... 8kbit/s ’11’... 2kbit/s
 162   * bit 2 when set, fixed to MC 2kbit/s
 163   * bit 3-6 reversed? all blocks always read without password and write with password
 164   * bit 7 -> enable TTF
 165 * Currently unimplemented in proxmark3 client
 166 * Other names:
 167   * ID8210 (CN)
 168   * H-125 (CN)
 169   * H5 (RU)
 170     * The sales of "H5" have been ceased because "the chip was leaked".
 171
 172 #### Detect
 173
 174 ```
 175 [usb] pm3 --> lf cmdread -d 50 -z 116 -o 166 -e W3000 -c W00011 -s 3000
 176 [usb] pm3 --> data plot
 177 ```
 178
 179 Check the green line of the plot. It must be a straight line at the end with no big waves.
 180
 181 ### Commands
 182
 183 *Try NXP Hitag µ datasheet for sending commands to chip*
 184
 185 ```
 186 # login with pass 00000000
 187 lf cmdread -d 48 -z 112 -o 176 -e W3000 -e S240 -e E336 -s 1024 -c W0S0010100010100000000000000000000000000000000000000000000000000000000000000000000000000000000 -k
 188
 189 # write EM4100 Data (EMID 0000000000) to block0 and block1
 190 lf cmdread -d 48 -z 112 -o 176 -e W3000 -e S240 -e E336 -s 1024 -c W0S001000010100000000011111111100000000000000000000000 -k
 191 lf cmdread -d 48 -z 112 -o 176 -e W3000 -e S240 -e E336 -s 1024 -c W0S001000010101000000000000000000000000000000000000000 -k
 192
 193 # write config block 05800000(A0010000 in LSB first)
 194 lf cmdread -d 48 -z 112 -o 176 -e W3000 -e S240 -e E336 -s 1024 -c W0S001000010101111111100000101100000000000000000000000
 195 ```
 196
 197 ### ID8211
 198
 199 ^[Top](#top)
 200
 201 This is an "improved" variant of ID82xx chips, bypassing some magic detection in China.
 202
 203 #### Characteristics
 204
 205 * Chip is likely a cut down version of Hitag S2048 clone, Characteristics looks exacly same with [8268](#id-f8268) when set CON1 AUT bit
 206 * No password protection
 207 * tearoff time
 208   * The OTP bits appear to be erased to '1'. Write done time is less than 735µs
 209   * nochange 735µs-
 210   * bit flip 735-740µs
 211   * wiped 740-3250µs
 212   * bit flip 3250-3350µs
 213   * write done 3350µs+
 214 * page 1 fully changeable. default: `CA 24 00 00`
 215   * CON0 RES0 enable some extended TTFM
 216     * TTFM 01: page 4, page 5, page 6
 217     * TTFM 10: page 4, page 5, page 6, page 7, page 8
 218     * TTFM 11: page 4, page 5, page 6, page 7, page 8, page 9, page 10, page 11
 219   * CON0 RES3 enable FSK TTF mode  0=RF/10 1=RF/8
 220 * page 41 - 43 unknown data, readonly
 221   * page 41 fixed `00 00 20 00`
 222   * page 42 examples:
 223     * `D4 04 22 CA`
 224     * `E3 23 22 CA`
 225     * `C7 91 22 CA`
 226   * page 43 fixed `68 06 39 E0`
 227 * page 44 - 63 readonly to  `00 00 00 00`
 228
 229 #### Detect
 230
 231 ```
 232 [usb] pm3 --> lf hitag hts rdbl --count 0
 233 ```
 234
 235 ### Commands
 236
 237 *Try NXP Hitag S datasheet for sending commands to chip*
 238
 239 ### ID-F8268
 240
 241 ^[Top](#top)
 242
 243 This is an "improved" variant of ID82xx chips, bypassing some magic detection in China.
 244
 245 #### Characteristics
 246
 247 * Chip is likely a cut down version of Hitag S2048 clone, Characteristics looks exacly same with [8211](#id8211) when clear CON1 AUT bit
 248 * Password protection (4b), usually "BBDD3399"(default) or "AAAAAAAA"
 249 * page 1 fully changeable. default: `DA A4 00 00`
 250   * CON0 RES0 enable some extended TTFM
 251     * TTFM 01: page 4, page 5, page 6
 252     * TTFM 10: page 4, page 5, page 6, page 7, page 8
 253     * TTFM 11: page 4, page 5, page 6, page 7, page 8, page 9, page 10, page 11
 254   * CON0 RES3 enable FSK TTF mode  0=RF/10 1=RF/8
 255 * page 2 password
 256 * page 41 - 43 unknown data, readonly
 257   * page 41 fixed `00 00 20 00`
 258   * page 42 examples:
 259     * `9A EF 9A CB`
 260     * `45 04 9B CB`
 261     * `0E 31 37 CC`
 262     * `DF 02 99 CA`
 263     * `0E CE D8 CB`
 264     * `90 3C CB CB`
 265   * page 43 fixed `68 04 39 E0`
 266 * page 44 - 63 readonly to  `00 00 00 00`
 267 * auth by write password to page 64 after SELECT
 268 * Other names:
 269   * F8278 (CN)
 270   * F8310 (CN)
 271   * K8678 manufactured by Hyctec.
 272
 273 #### Detect
 274
 275 ```
 276 [usb] pm3 --> lf hitag hts rdbl --82xx --count 0
 277 ```
 278
 279 ### Commands
 280
 281 *Try NXP Hitag S datasheet for sending commands to chip*
 282
 283 ## H series
 284
 285 ^[Top](#top)
 286
 287 These are chips sold in Russia, manufactured by iKey LLC. Often times these are custom.
 288
 289 ### H1
 290
 291 ^[Top](#top)
 292
 293 Simplest EM ID cloning chip available. Officially discontinued.
 294
 295 #### Characteristics
 296
 297 * Currently almost all structure is unknown
 298 * No locking or password protection
 299   * "OTP" chip is same chip, but with EM ID of zeroes. Locked after first write
 300 * Other names:
 301   * RW64bit
 302   * RW125FL
 303
 304 ### H5.5 / H7
 305
 306 ^[Top](#top)
 307
 308 First "advanced" custom chip with H naming.
 309
 310 #### Characteristics
 311
 312 * Currently all structure is unknown
 313 * No password protection
 314 * Only supported by Russian "TMD"/"RFD" cloners
 315 * H7 is advertised to work with "Stroymaster" access control
 316 * Setting ID to "3F0096F87E" will make the chip show up like T55xx
 317
 318 ### i57 / i57v2
 319
 320 \[ Chip is discontinued, no info \]
 321
 322 # ISO14443A
 323
 324 ## Identifying broken ISO14443A magic
 325
 326 ^[Top](#top)
 327
 328 When a magic card configuration is really messed up and the card is not labeled, it may be hard to find out which type of card it is.
 329
 330 Here are some tips if the card doesn't react or gives error on a simple `hf 14a reader`:
 331
 332 Let's force a 4b UID anticollision and see what happens:
 333
 334 ```
 335 hf 14a config --atqa force --bcc ignore --cl2 skip --rats skip
 336 hf 14a reader
 337 ```
 338
 339 It it responds, we know it's a TypeA card. But maybe it's a 7b UID, so let's force a 7b UID anticollision:
 340
 341 ```
 342 hf 14a config --atqa force --bcc ignore --cl2 force --cl3 skip --rats skip
 343 hf 14a reader
 344 ```
 345
 346 At this stage, you know if it's a TypeA 4b or 7b card and you can check further on this page how to reconfigure different types of cards.
 347
 348 To restore anticollision config of the Proxmark3:
 349
 350 ```
 351 hf 14a config --std
 352 ```
 353
 354 # MIFARE Classic
 355
 356 ^[Top](#top)
 357
 358 Referred as M1, S50 (1k), S70 (4k)
 359
 360 ## MIFARE Classic block0
 361
 362 ^[Top](#top)
 363
 364 UID 4b: (actually NUID as there are no more "unique" IDs on 4b)
 365
 366 ```
 367 11223344440804006263646566676869
 368 ^^^^^^^^                         UID
 369         ^^                       BCC
 370           ^^                     SAK(*)
 371             ^^^^                 ATQA
 372                 ^^^^^^^^^^^^^^^^ Manufacturer data
 373 (*) some cards have a different SAK in their anticollision and in block0: +0x80 in the block0 (e.g. 08->88, 18->98)
 374 ```
 375
 376
 377 Computing BCC on UID 11223344: `analyse lrc -d 11223344` = `44`
 378
 379 UID 7b:
 380
 381 ```
 382 04112233445566884400c82000000000
 383 ^^                               Manufacturer byte
 384 ^^^^^^^^^^^^^^                   UID
 385               ^^                 SAK(*)
 386                 ^^^^             ATQA
 387                     ^^^^^^^^^^^^ Manufacturer data
 388 (*) all? cards have a different SAK in their anticollision and in block0: +0x80 in the block0 (e.g. 08->88, 18->98)
 389 ```
 390
 391 ## MIFARE Classic Gen1A aka UID
 392
 393 ^[Top](#top)
 394
 395 * Other names:
 396   * ZERO (RU)
 397
 398 ### Identify
 399
 400 ^[Top](#top)
 401
 402 ```
 403 hf mf info
 404 ...
 405 [+] Magic capabilities... Gen 1a
 406 ```
 407
 408 ### Magic commands
 409
 410 ^[Top](#top)
 411
 412 * Wipe: `40(7)`, `41` (use 2000ms timeout)
 413 * Read: `40(7)`, `43`, `30xx`+crc
 414 * Write: `40(7)`, `43`, `A0xx`+crc, `xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx`+crc
 415
 416 ### Characteristics
 417
 418 ^[Top](#top)
 419
 420 * UID: Only 4b versions
 421 * ATQA:
 422   * all cards play blindly the block0 ATQA bytes, beware!
 423 * SAK:
 424   * some cards play blindly the block0 SAK byte, beware!
 425   * some cards use a fix "08" in anticollision, no matter the block0
 426   * some cards use a fix "08" in anticollision, unless SAK in block0 has most significant bit "80" set, in which case SAK="88"
 427 * BCC:
 428   * all cards play blindly the block0 BCC byte, beware!
 429 * ATS:
 430   * no card with ATS
 431
 432 #### MIFARE Classic Gen1A flavour 1
 433
 434 ^[Top](#top)
 435
 436 * SAK: play blindly the block0 SAK byte, beware!
 437 * PRNG: static 01200145
 438 * Wipe: filled with 0xFF
 439
 440 #### MIFARE Classic Gen1A flavour 2
 441
 442 ^[Top](#top)
 443
 444 * SAK: play blindly the block0 SAK byte, beware!
 445 * PRNG: static 01200145
 446 * Wipe: filled with 0x00
 447
 448 #### MIFARE Classic Gen1A flavour 3
 449
 450 ^[Top](#top)
 451
 452 * SAK: 08
 453 * PRNG: static 01200145
 454 * Wipe: filled with 0xFF
 455
 456 #### MIFARE Classic Gen1A flavour 4
 457
 458 ^[Top](#top)
 459
 460 * SAK: 08
 461 * PRNG: weak
 462 * Wipe: timeout, no wipe
 463
 464 #### MIFARE Classic Gen1A flavour 5
 465
 466 ^[Top](#top)
 467
 468 * SAK: 08
 469 * PRNG: weak
 470 * Wipe: reply ok but no wipe performed
 471
 472 #### MIFARE Classic Gen1A flavour 6
 473
 474 ^[Top](#top)
 475
 476 * SAK: 08 or 88 if block0_SAK most significant bit is set
 477 * PRNG: weak
 478 * Wipe: timeout, no wipe
 479
 480 #### MIFARE Classic Gen1A flavour 7
 481
 482 ^[Top](#top)
 483
 484 * SAK: 08 or 88 if block0_SAK most significant bit is set
 485 * PRNG: weak
 486 * Wipe: filled with 0x00
 487
 488 ### Proxmark3 commands
 489
 490 ^[Top](#top)
 491
 492 ```
 493 hf mf csetuid
 494 hf mf cwipe
 495 hf mf csetblk
 496 hf mf cgetblk
 497 hf mf cgetsc
 498 hf mf cload
 499 hf mf csave
 500 hf mf cview
 501 ```
 502
 503 When "soft-bricked" (by writing invalid data in block0), these ones may help:
 504
 505 ```
 506 # MFC Gen1A 1k:
 507 hf mf cwipe -u 11223344 -a 0004 -s 08
 508 # MFC Gen1A 4k:
 509 hf mf cwipe -u 11223344 -a 0044 -s 18
 510 ```
 511
 512 or just fixing block0:
 513
 514 ```
 515 # MFC Gen1A 1k:
 516 hf mf csetuid -u 11223344 -a 0004 -s 08
 517 # MFC Gen1A 4k:
 518 hf mf csetuid -u 11223344 -a 0044 -s 18
 519 ```
 520
 521 ```
 522 script run hf_mf_magicrevive
 523 ```
 524
 525 To execute commands manually:
 526
 527 ```
 528 hf 14a raw -a -k -b 7       40
 529 hf 14a raw    -k            43
 530 hf 14a raw    -k -c         A000
 531 hf 14a raw       -c -t 1000 11223344440804006263646566676869
 532 ```
 533
 534 wipe:
 535
 536 ```
 537 hf 14a raw -a -k -b 7       40
 538 hf 14a raw -t 1000          41
 539 ```
 540
 541 ### libnfc commands
 542
 543 ^[Top](#top)
 544
 545 ```
 546 nfc-mfsetuid
 547 nfc-mfclassic R a u mydump
 548 nfc-mfclassic W a u mydump
 549 ```
 550
 551 ## MIFARE Classic Gen1B
 552
 553 ^[Top](#top)
 554
 555 Similar to Gen1A, but supports directly read/write after command 40
 556
 557 ### Identify
 558
 559 ^[Top](#top)
 560
 561 ```
 562 hf mf info
 563 ...
 564 [+] Magic capabilities... Gen 1b
 565 ```
 566
 567 ### Magic commands
 568
 569 ^[Top](#top)
 570
 571 * Read: `40(7)`, `30xx`
 572 * Write: `40(7)`, `A0xx`+crc, `xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx`+crc
 573
 574 ## Mifare Classic Direct Write OTP
 575
 576 ^[Top](#top)
 577
 578 Chip manufactured by iKey LLC as a bypass for Gen1 filters.
 579 Support Direct Write as CUID, but block0 can be written only once.
 580
 581 The chip had an issue in the protocol implementation.
 582
 583 The reader could interrupt radiofield for 2-3 microseconds (standard pause in the bit period of ISO14443-2).
 584 After the response to first `26 (7)` command, but before the following `93 70` command. In that case original M1 card will stop the flow, but OTP will continue it.
 585
 586 That issue led to the development of the filters against that card and discontinuation of the production.
 587
 588 As a successor, [OTP 2.0](#mifare-classic-otp-20) was created.
 589
 590 ### Characteristics
 591
 592 ^[Top](#top)
 593
 594 * Initial UID is AA55C396
 595 * Android compatible
 596
 597 ### Identify
 598
 599 ^[Top](#top)
 600
 601 Only possible before personalization.
 602
 603 ```
 604 hf mf info
 605 ...
 606 [+] Magic capabilities... Write Once / FUID
 607 ```
 608
 609 ## MIFARE Classic OTP 2.0
 610
 611 ^[Top](#top)
 612
 613 Similar to Gen1A, but after first block 0 edit, tag no longer replies to 0x40 command.
 614 Were manufactured by iKey LLC as a replacement for [OTP](#mifare-classic-direct-write-otp)
 615
 616 ### Characteristics
 617
 618 * Initial UID is 00000000
 619 * BCC: unknown
 620 * SAK/ATQA: fixed
 621 * All bytes are 00 from factory wherever possible.
 622
 623 ### Identify
 624
 625 ^[Top](#top)
 626
 627 Only possible before personalization.
 628
 629 ```
 630 hf mf info
 631 ...
 632 [=] --- Magic Tag Information
 633 [+] Magic capabilities... Gen 1a
 634
 635 [=] --- PRNG Information
 636 [+] Prng................. hard
 637 ```
 638
 639 ### Magic commands
 640
 641 ^[Top](#top)
 642
 643 * Write: `40(7)`, `43`, `A0xx`+crc, `xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx`+crc
 644
 645 ## MIFARE Classic DirectWrite aka Gen2 aka CUID
 646
 647 ^[Top](#top)
 648
 649 (also referred as MCT compatible by some sellers)
 650
 651 * Other names:
 652   * MF-8 (RU)
 653   * MF-3 (RU)
 654     * What's so special about this chip in particular..?
 655
 656 ### Identify
 657
 658 ^[Top](#top)
 659
 660 ```
 661 hf mf info
 662 ...
 663 [+] Magic capabilities... Gen 2 / CUID
 664 ```
 665
 666 ### Magic commands
 667
 668 ^[Top](#top)
 669
 670 Android compatible
 671
 672 * issue regular write to block0
 673
 674 ### Characteristics
 675
 676 ^[Top](#top)
 677
 678 * UID: 4b and 7b versions
 679 * ATQA:
 680   * some cards play blindly the block0 ATQA bytes, beware!
 681   * some cards use a fix ATQA in anticollision, no matter the block0. Including all 7b.
 682 * SAK:
 683   * some cards play blindly the block0 SAK byte, beware!
 684   * some cards use a fix "08" or "18" in anticollision, no matter the block0. Including all 7b.
 685 * BCC:
 686   * some cards play blindly the block0 BCC byte, beware!
 687   * some cards compute a proper BCC in anticollision. Including all 7b computing their BCC0 and BCC1.
 688 * ATS:
 689   * some cards don't reply to RATS
 690   * some reply with an ATS
 691
 692 #### MIFARE Classic DirectWrite flavour 1
 693
 694 ^[Top](#top)
 695
 696 * UID 4b
 697 * ATQA: play blindly the block0 ATQA bytes, beware!
 698 * SAK: play blindly the block0 SAK byte, beware!
 699 * BCC: play blindly the block0 BCC byte, beware!
 700 * ATS: no
 701 * PRNG: weak
 702
 703 #### MIFARE Classic DirectWrite flavour 2
 704
 705 ^[Top](#top)
 706
 707 * UID 4b
 708 * ATQA: fixed
 709 * SAK: fixed
 710 * BCC: computed
 711 * ATS: 0978009102DABC1910F005
 712 * PRNG: weak
 713
 714 #### MIFARE Classic DirectWrite flavour 3
 715
 716 ^[Top](#top)
 717
 718 * UID 4b
 719 * ATQA: play blindly the block0 ATQA bytes, beware!
 720 * SAK: fixed
 721 * BCC: play blindly the block0 BCC byte, beware!
 722 * ATS: no
 723 * PRNG: weak
 724
 725 #### MIFARE Classic DirectWrite flavour 4
 726
 727 ^[Top](#top)
 728
 729 * UID 7b
 730 * ATQA: fixed
 731 * SAK: fixed
 732 * BCC: computed
 733 * ATS: 0978009102DABC1910F005
 734 * PRNG: static 00000000
 735
 736 #### MIFARE Classic DirectWrite flavour 5
 737
 738 ^[Top](#top)
 739
 740 * UID 4b
 741 * ATQA: fixed
 742 * SAK: play blindly the block0 SAK byte, beware!
 743 * BCC: computed
 744 * ATS: no
 745 * PRNG: weak
 746
 747 #### MIFARE Classic DirectWrite flavour 6
 748
 749 ^[Top](#top)
 750
 751 **TODO** need more info
 752
 753 * UID 7b
 754 * ATS: 0D780071028849A13020150608563D
 755
 756 ### Proxmark3 commands
 757
 758 ^[Top](#top)
 759
 760 ```
 761 hf mf wrbl --blk 0 -k FFFFFFFFFFFF -d 11223344440804006263646566676869 --force
 762
 763 hf mf wipe --gen2
 764 ```
 765
 766 When "soft-bricked" (by writing invalid data in block0), these ones may help:
 767
 768 ```
 769 hf 14a config -h
 770 ```
 771
 772 e.g. for 4b UID:
 773
 774 ```
 775 hf 14a config --atqa force --bcc ignore --cl2 skip --rats skip
 776
 777 # for 1k
 778 hf mf wrbl --blk 0 -k FFFFFFFFFFFF -d 11223344440804006263646566676869 --force
 779
 780 # for 4k
 781 hf mf wrbl --blk 0 -k FFFFFFFFFFFF -d 11223344441802006263646566676869 --force
 782
 783 hf 14a config --std
 784 hf 14a reader
 785 ```
 786
 787 e.g. for 7b UID:
 788
 789 ```
 790 hf 14a config --atqa force --bcc ignore --cl2 force --cl3 skip --rats skip
 791
 792 # for 1k
 793 hf mf wrbl --blk 0 -k FFFFFFFFFFFF -d 04112233445566084400626364656667 --force
 794
 795 # for 4k
 796 hf mf wrbl --blk 0 -k FFFFFFFFFFFF -d 04112233445566184200626364656667 --force
 797
 798 hf 14a config --std
 799 hf 14a reader
 800 ```
 801
 802 ## MIFARE Classic Gen3 aka APDU
 803
 804 ^[Top](#top)
 805
 806 ### Identify
 807
 808 ^[Top](#top)
 809
 810 ```
 811 hf mf info
 812 ...
 813 [+] Magic capabilities... Gen 3 / APDU ( possibly )
 814 ```
 815
 816 ### Magic commands
 817
 818 ^[Top](#top)
 819
 820 Android compatible
 821
 822 * issue special APDUs
 823
 824 ```
 825 cla  ins p1  p2  len
 826  90  F0  CC  CC  10 <block0>  - write block 0
 827  90  FB  CC  CC  07 <uid>     - change uid (independently of block0 data)
 828  90  FD  11  11  00           - lock permanently
 829 ```
 830
 831 It seems the length byte gets ignored anyway.
 832
 833 Note: it seems some cards only accept the "change UID" command.
 834
 835 It accepts direct read of block0 (and only block0) without prior auth.
 836
 837 Writing to block 0 has some side-effects:
 838
 839 * It changes also the UID. Changing the UID *does not* change block 0.
 840 * ATQA and SAK bytes are automatically replaced by fixed values.
 841 * On 4-byte UID cards, BCC byte is automatically corrected.
 842
 843 ### Characteristics
 844
 845 ^[Top](#top)
 846
 847 * UID: 4b and 7b versions
 848 * ATQA/SAK: fixed
 849 * BCC: auto
 850 * ATS: none
 851
 852 ### Proxmark3 commands
 853
 854 ^[Top](#top)
 855
 856 ```
 857 # change just UID:
 858 hf mf gen3uid
 859 # write block0:
 860 hf mf gen3blk
 861 # lock (uid/block0?) forever:
 862 hf mf gen3freeze
 863 ```
 864
 865 See also
 866
 867 ```
 868 script run hf_mf_gen3_writer -h
 869 ```
 870
 871 Equivalent:
 872
 873 ```
 874 # change just UID:
 875 hf 14a raw -s -c  -t 2000  90FBCCCC07 11223344556677
 876 # read block0:
 877 hf 14a raw -s -c 3000
 878 # write block0:
 879 hf 14a raw -s -c  -t 2000  90F0CCCC10 041219c3219316984200e32000000000
 880 # lock (uid/block0?) forever:
 881 hf 14a raw -s -c 90FD111100
 882 ```
 883
 884 ## MIFARE Classic USCUID
 885
 886 ^[Top](#top)
 887
 888 TLDR: These magic cards have a 16 byte long configuration page, which usually starts with 0x85.
 889 All of the known tags are using this, except for Ultralight tags, are listed here.
 890
 891 You cannot turn a Classic tag into an Ultralight and vice-versa!
 892
 893 ### Characteristics
 894
 895 ^[Top](#top)
 896
 897 * UID: 4/7 bytes
 898 * ATQA: always read from block 0
 899 * SAK: read from backdoor or configuration
 900 * BCC: read from memory, beware!
 901 * ATS: no/unknown
 902
 903 ### Identify
 904
 905 ^[Top](#top)
 906
 907 ```
 908 hf mf info
 909 ...
 910 [+] Magic capabilities... Gen 4 GDM / USCUID ( Magic Auth/Gen1 Magic Wakeup/Alt Magic Wakeup )
 911 ```
 912
 913 Possible tag wakeup mechanisms are:
 914
 915 * Magic Auth
 916 * Gen1 Magic Wakeup
 917 * Alt Magic Wakeup
 918
 919 ### Magic commands
 920
 921 ^[Top](#top)
 922
 923 * Magic authentication: select, `8000+crc`, `[Crypto1 Auth: 000000000000]`
 924   * Backdoor read: `38xx+crc`
 925   * Backdoor write: `A8xx+crc`, `[16 bytes data]+crc`
 926   * Read configuration: `E000+crc`
 927   * Write configuration: `E100+crc`; `[16 bytes data]+crc`
 928 * Magic wakeup (A: 00): `40(7)`, `43`
 929 * Magic wakeup (B: 85): `20(7)`, `23`
 930   * Backdoor read main block: `30xx+crc`
 931   * Backdoor write main block: `A0xx+crc`, `[16 bytes data]+crc`
 932   * Read hidden block: `38xx+crc`
 933   * Write hidden block: `A8xx+crc`, `[16 bytes data]+crc`
 934   * Read configuration: `E000+crc`
 935   * Write configuration: `E100+crc`
 936
 937 * **DANGER**
 938   * Set main memory and config to 00 `F000+crc`
 939   * Set main memory and config to FF `F100+crc`
 940   * Set main memory and config to 55 (no 0A response) `F600+crc`
 941   * Set backdoor memory to 00 `F800+crc`
 942   * Set backdoor memory to FF `F900+crc`
 943   * Set backdoor memory to 55 (no 0A response) `FE00+crc`
 944
 945 ### USCUID configuration guide
 946
 947 ^[Top](#top)
 948
 949 1. Configuration
 950
 951 ```
 952 85000000000000000000000000000008
 953       ^^^^^^    ^^          ^^   >> ??? Mystery ???
 954 ^^^^                             >> Gen1a mode (works with bitflip)
 955     ^^                           >> Magic wakeup command (00 for 40-43; 85 for 20-23)
 956             ^^                   >> Block use of Key B if readable by ACL
 957               ^^                 >> CUID mode
 958                   ^^             >> MFC EV1 CL2 Perso config*
 959                     ^^           >> Shadow mode**
 960                       ^^         >> Magic Auth command
 961                         ^^       >> Static encrypted nonce mode
 962                           ^^     >> Signature sector
 963                               ^^ >> SAK***
 964
 965 To enable an option, set it to 5A.
 966 * 5A - unfused F0. C3 - F0: CL2 UID; A5 - F1: CL2 UID with anticollision shortcut; 87 - F2: CL1 Random UID; 69 - F3: CL1 non-UID. Anything else is going to be ignored, and set as 4 bytes.
 967 ** Do not change the real ACL! Backdoor commands only acknowledge FF0780. To recover, disable this byte and issue regular write to sector trailer.
 968 *** If perso byte is enabled, this SAK is ignored, and hidden SAK is used instead.
 969 ```
 970
 971 * Gen1a mode:                            Allow using custom wakeup commands, like real gen1a chip, to run backdoor commands, as well as some extras.
 972 * Magic wakeup command:                  Use different wakeup commands for entering Gen1a mode. A) 00 - 40(7), 43; B) 85 - 20(7), 23.
 973 * Block use of Key B if readable by ACL: Per the MF1ICS50 datasheet, if Key B is readable by the ACL, using it shall give a Cmd Error 04. This option controls whether it happens or not.
 974 * CUID mode:                             Allow direct write to block 0, instead of giving Cmd Error 04.
 975 * MFC EV1 CL2 Perso config:              When configured, the tag behaves like a real Mifare Classic EV1 7B UID tag, and reads UID from backdoor blocks. Otherwise, the tag acts like a 4 byte tag.
 976 * Shadow mode:                           Writes to memory persisting in tag RAM. As soon as no power is left, the contents are restored to saved data.
 977 * Magic Auth Command:                    Acknowledge command `8000` after selection, and call for Crypto1 auth with key `000000000000`.
 978 * Static encrypted nonce mode:           Use static encrypted nonces for authentication, making key recovery impossible.
 979 * Signature sector:                      Acknowledge auth commands to sector 17, which is stored in backdoor sector 1.
 980 * SAK:                                   If perso byte is not set, after UID select, send this value.
 981
 982 2. Backdoor blocks
 983
 984 ```
 985
 986 Sector 0
 987 88 04 BD E5 D4 04 6A BB 5B 80 0A 08 44 00 00 00 - Block 0: Perso F0, F1 data
 988 ^^ ^^ ^^ ^^                                     - UID0
 989             ^^                                  - BCC0
 990                ^^                               - SAK0 (0x04 to call for CL2)
 991                   ^^ ^^ ^^ ^^                   - UID1
 992                               ^^                - BCC1
 993                                  ^^             - SAK1
 994                                     ^^ ^^ ^^ ^^ - Unused
 995 04 BD E5 6A 36 08 00 00 00 00 00 00 00 00 00 00 - Block 1: Perso F3 data
 996 ^^ ^^ ^^ ^^                                     - UID0
 997             ^^                                  - BCC0
 998                ^^                               - SAK0
 999                   ^^ ^^ ^^ ^^ ^^ ^^ ^^ ^^ ^^ ^^ - Unused
1000 Block 2: unused
1001 Block 3: ignored (custom keys, acl; broken acl ignored - anticollision will still work)
1002 Sector 1
1003 [Signature sector (#17) - needs config byte 13 (from 0) enabled to allow auth]
1004 Sectors 2-15
1005 [Unused]
1006 ```
1007
1008 ### Proxmark3 commands
1009
1010 ^[Top](#top)
1011
1012 ```
1013 # Read config block from card
1014 hf mf gdmcfg
1015
1016 # Write config block to card
1017 hf mf gdmsetcfg
1018
1019 # Parse config block to card
1020 hf mf gdmparsecfg
1021
1022 # Write block to card
1023 hf mf gdmsetblk
1024 ```
1025
1026 ### libnfc commands
1027
1028 ^[Top](#top)
1029 No implemented commands today
1030
1031 ### Variations
1032
1033 ^[Top](#top)
1034 | Factory configuration | Name |
1035 | --- | --- |
1036 | 850000000000000000005A5A00000008 | GDM |
1037 | 850000000000005A00FF005A00000008 | GDCUID |
1038 | 850000000000005A0000005A5A5A0008 | UCUID |
1039 | 8500000000005A00005A005A005A0008 | "7 byte hard" |
1040 | 7AFF850102015A00005A005A005A0008 | M1-7B |
1041 | 7AFF85000000000000FF000000000008 | FUID |
1042 | 7AFF000000000000BAFA358500000008 | PFUID |
1043 | 7AFF000000000000BAFA000000000008 | UFUID |
1044 | 7AFF0000000000000000000000000008 | ZUID |
1045
1046 *Not all tags are the same!* UFUID, ZUID and PFUID* are not full implementations of USCUID - they only acknowledge the first 8 (except wakeup command) and last config byte(s).
1047
1048 *Read and write config commands are flipped
1049
1050 Well-known variations are described below.
1051
1052 ## FUID
1053
1054 ^[Top](#top)
1055
1056 Known as "write only once", which is only partially true. Please note that some newer FUIDs have had ton configration blocks locked down and are truly a write-once tag.
1057
1058 Allows direct write to block 0 only when UID is default `AA55C396`. If your tag responds to a gen4 magic wakeup, the UID could always be rewritten multiple times with backdoors commands.
1059
1060 Backdoor commands are available even after the personalization and makes that tag detectable.
1061
1062 That's a key difference from [OTP](#mifare-classic-direct-write-otp)/[OTP 2.0](#mifare-classic-otp-20) tags.
1063
1064 ### Characteristics
1065
1066 ^[Top](#top)
1067
1068 * Configuration block value: `7AFF85000000000000FF000000000008`
1069 * Initial UID: `AA55C396`
1070 * Allows direct write to the block 0 (before the personalisation), so is Android compatible
1071 * Responds to magic wakeup `20(7)`, `23` commands
1072
1073 ### Identify
1074
1075 ^[Top](#top)
1076
1077 Unlocked tag type:
1078
1079 ```
1080 hf mf info
1081 ...
1082 [+] Magic capabilities... Gen 4 GDM / USCUID ( Alt Magic Wakeup )
1083 [+] Magic capabilities... Write Once / FUID
1084
1085 ```
1086
1087 or locked down tag type:
1088
1089 ```
1090 hf mf info
1091 ...
1092 [+] Magic capabilities... Write Once / FUID
1093
1094 ```
1095
1096 ### Parsed configuration
1097
1098 ^[Top](#top)
1099
1100 ```
1101 [usb] pm3 --> hf mf gdmcfg --gdm
1102 [+] Config... 7A FF 85 00 00 00 00 00 00 FF 00 00 00 00 00 08
1103 [+]           7A FF .........................................  Magic wakeup enabled with GDM config block access
1104 [+]                 85 ......................................  Magic wakeup style GDM 20(7)/23
1105 [+]                    00 00 00 .............................  Unknown
1106 [+]                             00 ..........................  Key B use allowed when readable by ACL
1107 [+]                                00 .......................  Block 0 Direct Write Disabled (CUID)
1108 [+]                                   00 ....................  Unknown
1109 [+]                                      FF .................  MFC EV1 personalization: 4B UID from Block 0
1110 [+]                                         00 ..............  Shadow mode disabled
1111 [+]                                            00 ...........  Magic auth disabled
1112 [+]                                               00 ........  Static encrypted nonce disabled
1113 [+]                                                  00 .....  MFC EV1 signature disabled
1114 [+]                                                     00 ..  Unknown
1115 [+]                                                        08  SAK
1116 ```
1117 **Note: this is only possile on the FUID style that has not been locked down.
1118
1119 ### Commands
1120
1121 ^[Top](#top)
1122
1123 * Magic wakeup: `20(7)`, `23`
1124   * Backdoor read main block: `30xx+crc`
1125   * Backdoor write main block: `A0xx+crc`, `[16 bytes data]+crc`
1126   * Read hidden block: `38xx+crc`
1127   * Write hidden block: `A8xx+crc`, `[16 bytes data]+crc`
1128   * Read configuration: `E000+crc`
1129   * Write configuration: `E100+crc`
1130 * Example of changing block 0 after the personalization (only possible on tags that have not been locked down):
1131
1132 ```
1133 [usb] pm3 --> hf 14a raw -k -a -b 7 20
1134 [+] 0A
1135 [usb] pm3 --> hf 14a raw -k -a 23
1136 [+] 0A
1137 [usb] pm3 --> hf 14a raw -c -k -a A000
1138 [+] 0A
1139 [usb] pm3 --> hf 14a raw -c -k -a B502454EBC0804000168AA8947CE4D1D <- Writing 0 block with the backdoor command
1140 [+] 0A
1141 [usb] pm3 --> hf 14a raw -c -a 5000
1142 [usb] pm3 --> hf mf rdbl --blk 0
1143
1144 [=]   # | sector 00 / 0x00                                | ascii
1145 [=] ----+-------------------------------------------------+-----------------
1146 [=]   0 | B5 02 45 4E BC 08 04 00 01 68 AA 89 47 CE 4D 1D | ..EN.....h..G.M.
1147 ```
1148
1149 ### Proxmark3 commands
1150
1151 ^[Top](#top)
1152
1153 * `hf mf gdmcfg --gdm`
1154 * `hf mf gdmsetcfg --gdm`
1155 * `hf mf gdmsetblk --gdm`
1156
1157 ## UFUID
1158
1159 ^[Top](#top)
1160
1161 The tag is positioned as "sealable UID", so that means you could use the same commands, as you could use for UID chip in a default state. But after the sealing (changing the configuration) tag will not answer to the backdoor commands and will behave as a normal Mifare Classic tag.
1162
1163 *But at the same time there is some unidentified behavior, which doesn't fully corresponds the protocol and original Mifare Classic tags. So the tag could be filtered out with a protocol-based filters (i.e. Iron Logic OTP2 filter).*
1164
1165 ### Characteristics
1166
1167 ^[Top](#top)
1168
1169 * Configuration block value: `7AFF000000000000BAFA000000000008`
1170 * No direct write to block 0
1171 * Responds to magic wakeup `40(7)`, `43` commands before the sealing
1172 * Acknowledge only the first (except wakeup command) and last config byte(s), so doesn't have the hidden block
1173
1174 ### Identify
1175
1176 ^[Top](#top)
1177
1178 ```
1179 hf mf info
1180 ...
1181 [+] Magic capabilities... Gen 1a
1182 [+] Magic capabilities... Gen 4 GDM / USCUID ( Gen1 Magic Wakeup )
1183
1184 ```
1185
1186 Currently Proxmark3 doesn't identify it as a separate tag.
1187 Before the sealing could be detected from the config block value.
1188
1189 ### Parsed configuration
1190
1191 ^[Top](#top)
1192
1193 ```
1194 [usb] pm3 --> hf mf gdmcfg --gen1a
1195 [+] Config... 7A FF 00 00 00 00 00 00 BA FA 00 00 00 00 00 08
1196 [+]           7A FF .........................................  Magic wakeup enabled with GDM config block access
1197 [+]                 00 ......................................  Magic wakeup style Gen1a 40(7)/43
1198 [+]                    00 00 00 .............................  Unknown
1199 [+]                             00 ..........................  Key B use allowed when readable by ACL
1200 [+]                                00 .......................  Block 0 Direct Write Disabled (CUID)
1201 [+]                                   BA ....................  Unknown
1202 [+]                                      FA .................  MFC EV1 personalization: 4B UID from Block 0
1203 [+]                                         00 ..............  Shadow mode disabled
1204 [+]                                            00 ...........  Magic auth disabled
1205 [+]                                               00 ........  Static encrypted nonce disabled
1206 [+]                                                  00 .....  MFC EV1 signature disabled
1207 [+]                                                     00 ..  Unknown
1208 [+]                                                        08  SAK
1209 ```
1210
1211 ### Commands
1212
1213 ^[Top](#top)
1214
1215 All commands are available before sealing. After the sealing acts as a Mifare Classic 1K tag.
1216
1217 * Magic wakeup: `40(7)`, `43`
1218   * Backdoor read main block: `30xx+crc`
1219   * Backdoor write main block: `A0xx+crc`, `[16 bytes data]+crc`
1220   * Read configuration: `E000+crc`
1221   * Write configuration: `E100+crc`
1222 * Example of the sealing, performed by Chinese copiers in raw commands:
1223
1224 ```
1225 hf 14a raw -a -k -b 7 40
1226 hf 14a raw    -k      43
1227 hf 14a raw    -k -c   e100
1228 hf 14a raw       -c   85000000000000000000000000000008
1229 ```
1230
1231 ### Proxmark3 commands
1232
1233 ^[Top](#top)
1234
1235 All commands are available before sealing.
1236
1237 * `hf mf gdmcfg --gen1a`
1238 * `hf mf gdmsetcfg --gen1a`
1239 * `hf mf gdmsetblk --gen1a`
1240 * `hf mf csetuid`
1241 * `hf mf cwipe`
1242 * `hf mf csetblk`
1243 * `hf mf cgetblk`
1244 * `hf mf cgetsc`
1245 * `hf mf cload`
1246 * `hf mf csave`
1247 * `hf mf cview`
1248
1249 ## ZUID
1250
1251 ^[Top](#top)
1252
1253 That tag is a UID tag, built on USCUID chip. It doesn't sold separately, but could be found on marketplaces under the guise of a UID tag.
1254
1255 ### Characteristics
1256
1257 ^[Top](#top)
1258
1259 * Configuration block value: `7AFF0000000000000000000000000008`
1260 * No direct write to block 0
1261 * Responds to magic wakeup `40(7)`, `43` commands
1262 * Acknowledge only the first (except wakeup command) and last config byte(s), so doesn't have the hidden block
1263
1264 ### Identify
1265
1266 ^[Top](#top)
1267
1268 ```
1269 hf mf info
1270 ...
1271 [+] Magic capabilities... Gen 1a
1272 [+] Magic capabilities... Gen 4 GDM / USCUID ( Gen1 Magic Wakeup )
1273
1274 ```
1275
1276 Currently Proxmark3 doesn't identify it as a separate tag.
1277 Could be detected from the config block value.
1278
1279 ### Parsed configuration
1280
1281 ^[Top](#top)
1282
1283 ```
1284 [usb] pm3 --> hf mf gdmcfg --gen1a
1285 [+] Config... 7A FF 00 00 00 00 00 00 00 00 00 00 00 00 00 08
1286 [+]           7A FF .........................................  Magic wakeup enabled with GDM config block access
1287 [+]                 00 ......................................  Magic wakeup style Gen1a 40(7)/43
1288 [+]                    00 00 00 .............................  Unknown
1289 [+]                             00 ..........................  Key B use allowed when readable by ACL
1290 [+]                                00 .......................  Block 0 Direct Write Disabled (CUID)
1291 [+]                                   00 ....................  Unknown
1292 [+]                                      00 .................  MFC EV1 personalization: 4B UID from Block 0
1293 [+]                                         00 ..............  Shadow mode disabled
1294 [+]                                            00 ...........  Magic auth disabled
1295 [+]                                               00 ........  Static encrypted nonce disabled
1296 [+]                                                  00 .....  MFC EV1 signature disabled
1297 [+]                                                     00 ..  Unknown
1298 [+]                                                        08  SAK
1299 ```
1300
1301 ### Commands
1302
1303 ^[Top](#top)
1304
1305 * Magic wakeup: `40(7)`, `43`
1306   * Backdoor read main block: `30xx+crc`
1307   * Backdoor write main block: `A0xx+crc`, `[16 bytes data]+crc`
1308   * Read hidden block: `38xx+crc`
1309   * Write hidden block: `A8xx+crc`, `[16 bytes data]+crc`
1310   * Read configuration: `E000+crc`
1311   * Write configuration: `E100+crc`
1312
1313 ### Proxmark3 commands
1314
1315 ^[Top](#top)
1316
1317 * `hf mf gdmcfg --gen1a`
1318 * `hf mf gdmsetcfg --gen1a`
1319 * `hf mf gdmsetblk --gen1a`
1320 * `hf mf csetuid`
1321 * `hf mf cwipe`
1322 * `hf mf csetblk`
1323 * `hf mf cgetblk`
1324 * `hf mf cgetsc`
1325 * `hf mf cload`
1326 * `hf mf csave`
1327 * `hf mf cview`
1328
1329 ## GDM
1330
1331 ^[Top](#top)
1332
1333 The tag has a shadow mode, which means that every change to normal MFC memory would be restored back from the persistent memory after being off RFID field.
1334
1335 * Other names:
1336   * GDMIC
1337
1338 ### Characteristics
1339
1340 ^[Top](#top)
1341
1342 * Configuration block value: `850000000000000000005A5A00000008`
1343 * No direct write to block 0
1344 * Responds to magic authentication: select, `8000+crc`, `[Crypto1 Auth: 000000000000]`
1345
1346 ### Identify
1347
1348 ^[Top](#top)
1349
1350 ```
1351 hf mf info
1352 ...
1353 [+] Magic capabilities... Gen 4 GDM / USCUID ( Magic Auth )
1354
1355 ```
1356
1357 Could be manually validated with the configuration block value.
1358
1359 ### Parsed configuration
1360
1361 ^[Top](#top)
1362
1363 ```
1364 [usb] pm3 --> hf mf gdmcfg
1365 [+] Config... 85 00 00 00 00 00 00 00 00 00 5A 5A 00 00 00 08
1366 [+]           85 00 .........................................  Magic wakeup disabled
1367 [+]                 00 ......................................  Magic wakeup style Gen1a 40(7)/43
1368 [+]                    00 00 00 .............................  Unknown
1369 [+]                             00 ..........................  Key B use allowed when readable by ACL
1370 [+]                                00 .......................  Block 0 Direct Write Disabled (CUID)
1371 [+]                                   00 ....................  Unknown
1372 [+]                                      00 .................  MFC EV1 personalization: 4B UID from Block 0
1373 [+]                                         5A ..............  Shadow mode enabled
1374 [+]                                            5A ...........  Magic auth enabled
1375 [+]                                               00 ........  Static encrypted nonce disabled
1376 [+]                                                  00 .....  MFC EV1 signature disabled
1377 [+]                                                     00 ..  Unknown
1378 [+]                                                        08  SAK
1379 ```
1380
1381 ### Commands
1382
1383 ^[Top](#top)
1384
1385 * Magic authentication: select, `8000+crc`, `[Crypto1 Auth: 000000000000]`
1386   * Backdoor read: `38xx+crc`
1387   * Backdoor write: `A8xx+crc`, `[16 bytes data]+crc`
1388   * Read configuration: `E000+crc`
1389   * Write configuration: `E100+crc`; `[16 bytes data]+crc`
1390
1391 ### Proxmark3 commands
1392
1393 ^[Top](#top)
1394
1395 * Backdoor write: `gdmsetcfg`
1396 * Read configuration: `gdmcfg`
1397 * Write configuration: `gdmsetcfg`
1398
1399 ## GDCUID
1400
1401 ^[Top](#top)
1402
1403 That tag is a CUID tag, built on USCUID chip. It doesn't sold separately, but could be found on marketplaces under the guise of a CUID tag.
1404
1405 ### Characteristics
1406
1407 ^[Top](#top)
1408
1409 * Configuration block value: `850000000000005A00FF005A00000008`
1410 * Allows direct write to the block 0, so is Android compatible
1411 * Responds to magic authentication: select, `8000+crc`, `[Crypto1 Auth: 000000000000]`
1412
1413 ### Identify
1414
1415 ^[Top](#top)
1416
1417 ```
1418 hf mf info
1419 ...
1420 [+] Magic capabilities... Gen 2 / CUID
1421 [+] Magic capabilities... Gen 4 GDM / USCUID ( Magic Auth )
1422
1423 ```
1424
1425 Currently Proxmark3 doesn't identify it as a separate tag.
1426 Could be manually validated with the configuration block value.
1427
1428 ### Parsed configuration
1429
1430 ^[Top](#top)
1431
1432 ```
1433 [usb] pm3 --> hf mf gdmcfg
1434 [+] Config... 85 00 00 00 00 00 00 5A 00 FF 00 5A 00 00 00 08
1435 [+]           85 00 .........................................  Magic wakeup disabled
1436 [+]                 00 ......................................  Magic wakeup style Gen1a 40(7)/43
1437 [+]                    00 00 00 .............................  Unknown
1438 [+]                             00 ..........................  Key B use allowed when readable by ACL
1439 [+]                                5A .......................  Block 0 Direct Write Enabled (CUID)
1440 [+]                                   00 ....................  Unknown
1441 [+]                                      FF .................  MFC EV1 personalization: 4B UID from Block 0
1442 [+]                                         00 ..............  Shadow mode disabled
1443 [+]                                            5A ...........  Magic auth enabled
1444 [+]                                               00 ........  Static encrypted nonce disabled
1445 [+]                                                  00 .....  MFC EV1 signature disabled
1446 [+]                                                     00 ..  Unknown
1447 [+]                                                        08  SAK
1448 ```
1449
1450 ### Commands
1451
1452 ^[Top](#top)
1453
1454 * Magic authentication: select, `8000+crc`, `[Crypto1 Auth: 000000000000]`
1455   * Backdoor read: `38xx+crc`
1456   * Backdoor write: `A8xx+crc`, `[16 bytes data]+crc`
1457   * Read configuration: `E000+crc`
1458   * Write configuration: `E100+crc`; `[16 bytes data]+crc`
1459
1460 ### Proxmark3 commands
1461
1462 ^[Top](#top)
1463
1464 * Backdoor write: `gdmsetcfg`
1465 * Read configuration: `gdmcfg`
1466 * Write configuration: `gdmsetcfg`
1467
1468 ## MIFARE Classic, other versions
1469
1470 ^[Top](#top)
1471
1472 **TODO**
1473
1474 * ZXUID, EUID, ICUID, KUID?
1475
1476 ## MIFARE Classic Super
1477
1478 ^[Top](#top)
1479
1480 It behaves like regular Mifare Classic but records reader auth attempts.
1481
1482 ### MIFARE Classic Super Gen1
1483
1484 ^[Top](#top)
1485
1486 Old type of cards, hard to obtain. They are DirectWrite, UID can be changed via 0 block or backdoor commands.
1487
1488 * UID: 4b version
1489 * ATQA/SAK: fixed
1490 * BCC: auto
1491 * ATS: fixed, 0978009102DABC1910F005
1492
1493 ATQA/SAK matches 1k card, but works as 4k card.
1494
1495 Backdoor commands provided over APDU. Format:
1496
1497 ```
1498 00 A6 A0 00 05 FF FF FF FF 00
1499 ^^ ^^                         Backdoor command header
1500       ^^                      Backdoor command (A0 - set UID/B0 - get trace/C0 - reset card)
1501          ^^                   Type of answer (used in key recovery to select trace number)
1502             ^^                Length of user provided data
1503                ^^ ^^ ^^ ^^ ^^ User data
1504 ```
1505
1506 👉 You can't change UID with backdoor command if incorrect data is written to the 0 sector trailer!
1507
1508 ### MIFARE Classic Super Gen1B
1509
1510 DirectWrite card, ATS unknown. Probably same as Gen1, except backdoor commands.
1511 Implementation: https://github.com/netscylla/super-card/blob/master/libnfc-1.7.1/utils/nfc-super.c
1512
1513 ### MIFARE Classic Super Gen2
1514
1515 ^[Top](#top)
1516
1517 New generation of cards, based on limited Gen4 chip. Emulates Gen1 backdoor protocol, but can store up to 7 different traces.
1518
1519 Card always answers `ff  ff  ff  ff` as `at`, so reading/writing it via Mifare protocol is impossible.
1520
1521 UID is changeable via UMC backdoor write to 0 block.
1522
1523 * UID: 4b and 7b versions
1524 * ATQA/SAK: fixed
1525 * BCC: auto
1526 * ATS: changeable, default as Gen1
1527
1528 Gen4 commands available:
1529
1530 ```
1531 CF <passwd> 34 <1b length><0-16b ATS>            // Configure ATS
1532 CF <passwd> CC                                   // Version information, returns 00 00 00 02 AA
1533 CF <passwd> CD <1b block number><16b block data> // Backdoor write 16b block
1534 CF <passwd> CE <1b block number>                 // Backdoor read 16b block
1535 CF <passwd> FE <4b new_password>                 // Change password
1536 ```
1537
1538 ### MIFARE Classic Super Furui
1539
1540 ^[Top](#top)
1541
1542 #### Characteristics
1543
1544 ^[Top](#top)
1545
1546 * SAK/ATQA: play blindly the block0 bytes, beware!
1547 * BCC: play blindly the block0 BCC bytes, beware!
1548 * PRNG: hard
1549
1550 **!!!WARNING!!!** This tag can die for no reason (no reply to WUPA/REQA). We don't know why this happens.
1551
1552 #### Identify
1553
1554 ^[Top](#top)
1555
1556 ```
1557 [usb] pm3 --> hf 14a raw -sct 250 AAA500000000000000000000000000000000
1558 [+] 90 00
1559 ```
1560
1561 #### Magic commands
1562
1563 ^[Top](#top)
1564
1565 * Configure: `AAA5[16 byte config]`+crc
1566 * Write block 0: `AAA4[4b UID][1b BCC][1b SAK][2b ATQA reversed]0000000000000000`+crc
1567 * Recover trace: `AAA8[00/01][00-08]`+crc
1568
1569 Caution: tag does not append CRC to magic responses!
1570
1571 Please use config as 00 bytes.
1572
1573 Parsing traces:
1574
1575 ```
1576 44 33 22 11 03 61 08 68 7A C7 4B 62 43 A6 11 6F 64 F3
1577 ^^ ^^ ^^ ^^                                           -- UID
1578             ^^ ^^                                     -- auth command, reversed
1579                   ^^ ^^ ^^ ^^                         -- Auth (nt)
1580                               ^^ ^^ ^^ ^^             -- Auth (nr)
1581                                           ^^ ^^ ^^ ^^ -- Auth (ar)
1582 ```
1583
1584 ### Identify
1585
1586 ^[Top](#top)
1587
1588 Only Gen1/Gen2 at this moment (Gen1B is unsupported):
1589
1590 ```
1591 hf mf info
1592 ...
1593 [+] Magic capabilities... Super card ( Gen ? )
1594 ```
1595
1596 ### Proxmark3 commands
1597
1598 ```
1599 [usb] pm3 --> hf mf supercard
1600 ...
1601
1602 [usb] pm3 --> hf mf supercard --furui
1603 ...
1604 ```
1605
1606 # MIFARE Ultralight
1607
1608 ^[Top](#top)
1609
1610 ## MIFARE Ultralight blocks 0..2
1611
1612 ^[Top](#top)
1613
1614 ```
1615 SN0  SN1  SN2  BCC0
1616 SN3  SN4  SN5  SN6
1617 BCC1 Int  LCK0 LCK1
1618 ```
1619
1620 UID is made of SN0..SN6 bytes
1621
1622 Computing BCC0 on UID 04112233445566: `analyse lrc -d 88041122` = `bf`
1623
1624 Computing BCC1 on UID 04112233445566: `analyse lrc -d 33445566` = `44`
1625
1626 Int is internal, typically 0x48
1627
1628 Anticol shortcut (CL1/3000) is supported for UL, ULC, NTAG except NTAG I2C
1629
1630 Some cards have a password: `B6AA558D`. Usually "copykey" chips.
1631
1632 ## MIFARE Ultralight Gen1A
1633
1634 ^[Top](#top)
1635
1636 ### Identify
1637
1638 **TODO**
1639
1640 ### Characteristics
1641
1642 #### Magic commands
1643
1644 **TODO**
1645
1646 #### UID
1647
1648 Only 7b versions
1649
1650 #### SAK, ATQA, BCC, ATS
1651
1652 **TODO** need more tests
1653
1654 ### Proxmark3 commands
1655
1656 ^[Top](#top)
1657
1658 ```
1659 script run hf_mfu_setuid -h
1660 ```
1661
1662 When "soft-bricked" (by writing invalid data in block0), these ones may help:
1663
1664 ```
1665 hf 14a config -h
1666 script run hf_mf_magicrevive -u
1667 ```
1668
1669 ## MIFARE Ultralight DirectWrite
1670
1671 ^[Top](#top)
1672
1673 ### Identify
1674
1675 ^[Top](#top)
1676
1677 ```
1678 hf 14a info
1679 ...
1680 [+] Magic capabilities : Gen 2 / CUID
1681 ```
1682
1683 It seems so far that all MFUL DW have an ATS response in factory configuration.
1684
1685 ### Magic commands
1686
1687 ^[Top](#top)
1688
1689 Issue three regular MFU write commands in a row to write first three blocks.
1690
1691 ### Characteristics
1692
1693 ^[Top](#top)
1694
1695 * UID: Only 7b versions
1696 * ATQA:
1697   * all cards play fix ATQA
1698 * SAK:
1699   * all cards play fix SAK
1700 * BCC:
1701   * some cards play blindly the block0 BCC0 and block2 BCC1 bytes, beware!
1702   * some cards compute proper BCC0 and BCC1 in anticollision
1703 * ATS:
1704   * all cards reply with an ATS
1705
1706 #### MIFARE Ultralight DirectWrite flavour 1
1707
1708 ^[Top](#top)
1709
1710 * BCC: computed
1711 * ATS: 0A78008102DBA0C119402AB5
1712 * Anticol shortcut (CL1/3000): fails
1713
1714 ### Proxmark3 commands
1715
1716 ^[Top](#top)
1717
1718 ```
1719 hf mfu setuid -h
1720 ```
1721
1722 Equivalent: don't use `hf mfu wrbl` as you need to write three blocks in a row, but do, with proper BCCx:
1723
1724 ```
1725 hf 14a raw -s -c -k a2 00 041122bf
1726 hf 14a raw    -c -k a2 01 33445566
1727 hf 14a raw    -c    a2 02 44480000
1728 ```
1729
1730 When "soft-bricked" (by writing invalid data in block0), these ones may help:
1731
1732 ```
1733 hf 14a config -h
1734 ```
1735
1736 E.g.:
1737
1738 ```
1739 hf 14a config --atqa force --bcc ignore --cl2 force --cl3 skip --rats skip
1740 hf mfu setuid --uid 04112233445566
1741 hf 14a config --std
1742 hf 14a reader
1743 ```
1744
1745 ### libnfc commands
1746
1747 ^[Top](#top)
1748
1749 ```
1750 nfc-mfultralight -h
1751 ```
1752
1753 See `--uid` and `--full`
1754
1755 ### Android
1756
1757 ^[Top](#top)
1758
1759 * MIFARE++ Ultralight
1760
1761 ## MIFARE Ultralight EV1 DirectWrite
1762
1763 ^[Top](#top)
1764
1765 Similar to MFUL DirectWrite
1766
1767 ### Identify
1768
1769 ^[Top](#top)
1770
1771 ```
1772 hf 14a info
1773 ...
1774 [+] Magic capabilities : Gen 2 / CUID
1775 ```
1776
1777 ### Characteristics
1778
1779 ^[Top](#top)
1780
1781 * UID: Only 7b versions
1782 * ATQA:
1783   * all cards play fix ATQA
1784 * SAK:
1785   * all cards play fix SAK
1786 * BCC:
1787   * cards play blindly the block0 BCC0 and block2 BCC1 bytes, beware!
1788 * ATS:
1789   * all cards reply with an ATS
1790
1791 #### MIFARE Ultralight EV1 DirectWrite flavour 1
1792
1793 ^[Top](#top)
1794
1795 * BCC: play blindly the block0 BCC0 and block2 BCC1 bytes, beware!
1796 * ATS: 850000A000000AC30004030101000B0341DF
1797
1798 #### MIFARE Ultralight EV1 DirectWrite flavour 2
1799
1800 ^[Top](#top)
1801
1802 * BCC: play blindly the block0 BCC0 and block2 BCC1 bytes, beware!
1803 * ATS: 850000A00A000AC30004030101000B0316D7
1804
1805 #### MIFARE Ultralight EV1 DirectWrite flavour 3
1806
1807 ^[Top](#top)
1808
1809 * BCC: play blindly the block0 BCC0 and block2 BCC1 bytes, beware!
1810 * ATS: 850000A000000A3C0004030101000E03
1811
1812 ## MIFARE Ultralight C Gen1A
1813
1814 ^[Top](#top)
1815
1816 Similar to MFUL Gen1A
1817
1818 ## MIFARE Ultralight C DirectWrite
1819
1820 ^[Top](#top)
1821
1822 Similar to MFUL DirectWrite
1823
1824 ### Identify
1825
1826 ^[Top](#top)
1827
1828 ```
1829 hf 14a info
1830 ...
1831 [+] Magic capabilities : Gen 2 / CUID
1832 ```
1833
1834 ### Characteristics
1835
1836 ^[Top](#top)
1837
1838 * UID: Only 7b versions
1839 * ATQA:
1840   * all cards play fix ATQA
1841 * SAK:
1842   * all cards play fix SAK
1843 * BCC:
1844   * cards compute proper BCC0 and BCC1 in anticollision
1845 * ATS:
1846   * all cards reply with an ATS
1847
1848 #### MIFARE Ultralight C DirectWrite flavour 1
1849
1850 ^[Top](#top)
1851
1852 * BCC: computed
1853 * ATS: 0A78008102DBA0C119402AB5
1854 * Anticol shortcut (CL1/3000): fails
1855
1856 # NTAG
1857
1858 ^[Top](#top)
1859
1860 ## NTAG213 DirectWrite
1861
1862 ^[Top](#top)
1863
1864 Similar to MFUL DirectWrite
1865
1866 ### Identify
1867
1868 ^[Top](#top)
1869
1870 ```
1871 hf 14a info
1872 ...
1873 [+] Magic capabilities : Gen 2 / CUID
1874 ```
1875
1876 ### Characteristics
1877
1878 ^[Top](#top)
1879
1880 * UID: Only 7b versions
1881 * ATQA:
1882   * all cards play fix ATQA
1883 * SAK:
1884   * all cards play fix SAK
1885 * BCC:
1886   * cards play blindly the block0 BCC0 and block2 BCC1 bytes, beware!
1887 * ATS:
1888   * all cards reply with an ATS
1889
1890 #### NTAG213 DirectWrite flavour 1
1891
1892 ^[Top](#top)
1893
1894 * BCC: play blindly the block0 BCC0 and block2 BCC1 bytes, beware!
1895 * ATS: 0A78008102DBA0C119402AB5
1896 * Anticol shortcut (CL1/3000): succeeds
1897
1898 ## NTAG21x
1899
1900 ^[Top](#top)
1901
1902 ### Identify
1903
1904 ^[Top](#top)
1905
1906 ```
1907 hf 14a info
1908 ...
1909 [+] Magic capabilities : NTAG21x
1910 ```
1911
1912 ### Characteristics
1913
1914 ^[Top](#top)
1915
1916 Emulates fully NTAG213, 213F, 215, 216, 216F
1917
1918 Emulates partially  UL EV1 48k/128k, NTAG210, NTAG212, NTAGI2C 1K/2K, NTAGI2C 1K/2K PLUS
1919
1920 Anticol shortcut (CL1/3000): fails
1921
1922 ### Proxmark3 commands
1923
1924 ^[Top](#top)
1925
1926 ```
1927 script run hf_mfu_magicwrite -h
1928 ```
1929
1930 ## UL series (RU)
1931
1932 ^[Top](#top)
1933
1934 Custom chips, manufactured by iKey LLC for cloning Ultralight tags used in Visit intercoms. That leads to the non-standard for Ultralight chips tag version.
1935
1936 ### UL-Y
1937
1938 ^[Top](#top)
1939
1940 Ultralight magic, 16 pages. Recommended for Vizit RF3.1 with markings "3.1" or "4.1".
1941 Behavior: allows writes to page 0-2.
1942
1943 #### Identify
1944
1945 ^[Top](#top)
1946
1947 ```
1948 hf mfu rdbl --force -b 16
1949 hf 14a raw -sct 250 60
1950 ```
1951
1952 If tag replies with
1953 `Cmd Error: 00`
1954 `00 00 00 00 00 00 00 00`
1955 then it is UL-Y.
1956
1957 ### ULtra
1958
1959 ^[Top](#top)
1960
1961 Ultralight EV1 magic; 41 page. Recommended for Vizit RF3.1 with 41 page.
1962 Behavior: allows writes to page 0-2.
1963
1964 #### Identify
1965
1966 ^[Top](#top)
1967
1968 ```
1969 hf mfu info
1970 ...
1971 [=] TAG IC Signature: 0000000000000000000000000000000000000000000000000000000000000000
1972 [=] --- Tag Version
1973 [=]        Raw bytes: 00 34 21 01 01 00 0E 03
1974 [=]        Vendor ID: 34, Mikron JSC Russia
1975 [=]     Product type: 21, unknown
1976 ```
1977
1978 #### ULtra flavour 1
1979
1980 ^[Top](#top)
1981
1982 Could be identified by indirect evidence before writing
1983
1984 * Initial UID: `34 D7 08 11 AD D7 D0`
1985 * `hf mfu dump --ns`
1986
1987   ```
1988   [=]   3/0x03 | CF 39 A1 C8 | 1 | .9..
1989   [=]   4/0x04 | B6 69 26 0D | 1 | .i&.
1990   [=]   5/0x05 | EC A1 73 C4 | 1 | ..s.
1991   [=]   6/0x06 | 81 3D 29 B8 | 1 | .=).
1992   [=]  16/0x10 | 6A F0 2D FF | 0 | j.-.
1993   [=]  20/0x14 | 6A F0 2D FF | 0 | j.-.
1994   [=]  24/0x18 | 6A F0 2D FF | 0 | j.-.
1995   [=]  38/0x26 | 00 E2 00 00 | 0 | .... <- E2, Virtual Card Type Identifier is not default
1996
1997   ```
1998
1999 #### ULtra flavour 2
2000
2001 ^[Top](#top)
2002
2003 Could be identified by indirect evidence before writing
2004
2005 * Initial UID: `04 15 4A 23 36 2F 81`
2006 * Values in pages `3, 4, 5, 6, 16, 20, 24, 38` are default for that tag flavour
2007
2008 ### UL-5
2009
2010 ^[Top](#top)
2011
2012 Ultralight EV1 magic; 41 page. Recommended for Vizit RF3.1 with 41 page.
2013 Created as a response to filters that try to overwrite page 0 (as a detection for [ULtra](#mifare-ultra) tags).
2014
2015 Behavior: similar to Ultra, but after editing page 0 become locked and tag becomes the original Mifare Ultralight EV1 (except the tag version, which remains specific).
2016
2017 **WARNING!** When using UL-5 to clone, write UID pages in inverse (from 2 to 0) and do NOT make mistakes! This tag does not allow reversing one-way actions (OTP page, lock bits).
2018
2019 #### Identify
2020
2021 ^[Top](#top)
2022
2023 ```
2024 hf mfu info
2025 ...
2026 TAG IC Signature: 0000000000000000000000000000000000000000000000000000000000000000
2027 [=] --- Tag Version
2028 [=]        Raw bytes: 00 34 21 01 01 00 0E 03
2029 [=]        Vendor ID: 34, Mikron JSC Russia
2030 ```
2031
2032 After personalization it is not possible to identify UL-5.
2033
2034 The manufacturer confirmed unpersonalized tags could be identified by first 3 bytes of UID:
2035
2036 * `AA 55 39...`
2037 * `AA 55 C3...`
2038
2039 ### UL, other chips
2040
2041 **TODO**
2042
2043 UL-X, UL-Z - ?
2044
2045 ## MIFARE Ultralight USCUID-UL
2046
2047 ^[Top](#top)
2048
2049 TLDR: These magic cards, like the MFC USCUIDs have a 16 byte long configuration page, comprised of 4 blocks of 4 bytes each. This usually starts with 0x85. All of the known tags use the same format config page.
2050
2051 The cards will respond to a RATS with the config page in the factory configuration.
2052
2053 As with the MFC USCUIDs, one cannot turn a Classic tag into an Ultralight and vice-versa!
2054
2055 ### Characteristics
2056
2057 ^[Top](#top)
2058
2059 * UID: 7 bytes
2060 * ATQA: always read from hidden block `F6`
2061 * SAK: always read from hidden block `F6`
2062 * BCC: read from blocks 0-1 per Ultralight specification
2063 * ATS: These respond to an ATS request with the config page in factory mode.
2064
2065 ### Identify
2066
2067 ^[Top](#top)
2068
2069 In factory config state:
2070
2071 ```
2072 hf 14a info
2073 ...
2074 [=] -------------------------- ATS --------------------------
2075 [!] ATS may be corrupted. Length of ATS (18 bytes incl. 2 Bytes CRC) doesn't match TL
2076 [+] ATS: 85 00 85 A0 00 00 0A A5 00 04 04 02 01 00 0F 03 [ 07 00 ]
2077 ```
2078
2079 If config has been modified to not display config block as ATS response:
2080
2081 ```
2082 hf 14a raw -akb 7 40; hf 14a raw -k 43
2083
2084 OR (depending on the magic wakeup method set)
2085
2086 hf 14a raw -akb 7 20; hf 14a raw -k 23
2087
2088 THEN
2089
2090 hf 14a raw -c e100
2091 [+] 85 00 85 A0 00 00 0A A5 00 04 04 02 01 00 0F 03 [ 07 00 ]
2092 ```
2093
2094 Possible tag wakeup mechanisms are:
2095
2096 * Gen1 Magic Wakeup
2097 * Alt Magic Wakeup
2098
2099 ### Magic commands
2100
2101 ^[Top](#top)
2102
2103 * Magic wakeup (A: 00): `40(7)`, `43`
2104 * Magic wakeup (B: 85): `20(7)`, `23`
2105   * Backdoor read main and hidden block: `30xx+crc`
2106   * Backdoor write main and hidden block: `A2xx[4 bytes data]+crc`
2107   * Read configuration: `E050+crc`
2108   * Write configuration: `E2[offset*4, 1b][data, 4b]+crc`
2109
2110 * **DANGER**
2111   * Set memory and config to 00 `F000+crc`
2112   * Set memory and config to FF `F100+crc`
2113   * Set memory and config to 55 (no 0A response) `F600+crc`
2114
2115 ### USCUID-UL configuration guide
2116
2117 ^[Top](#top)
2118
2119 1. Configuration
2120
2121 ```
2122 0        1        2        3
2123 850000A0 00000AC3 00040301 01000B03
2124            ^^                       >> ??? Mystery ???
2125 ^^^^                                >> Gen1a mode (works with bitflip)
2126     ^^                              >> Magic wakeup command (00 for 40-43; 85 for 20-23)
2127       ^^                            >> Config available using regular mode (ON: A0)
2128          ^^                         >> Auth type (00 = PWD mode, 0A = 2TDEA mode for UL-C)
2129              ^^                     >> CUID mode, allows writing to blocks 0-3 (ON: 0A)
2130                ^^                   >> Maximum memory configuration, please see below *
2131                   ^^^^^^^^ ^^^^^^^^ >> Version info
2132
2133 * This isn't a customizable value - it's a preset. So far:
2134 C3 = UL11
2135 3C = UL21
2136 00 = UL-C
2137 A5 = NTAG 213
2138 5A = NTAG 215
2139 AA = NTAG 216
2140 55 = Unknown IC w/ 238 pgs.
2141 ```
2142
2143 * Gen1a mode:                            Allow using custom wakeup commands, like real gen1a chip, to run backdoor commands, as well as some extras.
2144 * Magic wakeup command:                  Use different wakeup commands for entering Gen1a mode. A) 00 - 40(7), 43; B) 85 - 20(7), 23.
2145 * Config available using regular mode:   If this option is turned on via A0, the tag will reply to RATS with the config block and the config block can be modified without doing a magic wakeup.
2146
2147 To write config:
2148
2149 You must send config info in E2 packets of 4 bytes each (format: `E2[offset*4, 1b][data, 4b]`), eg for a UL-11 tag:
2150
2151 ```
2152 hf 14a raw -sck E200850000A0; hf 14a raw -ck E20100000AC3; hf 14a raw -ck E20200040301; hf 14a raw -c E20301000B03
2153 ```
2154
2155 2. Hidden blocks
2156
2157 ```
2158 F0: 00000000
2159     ^^^^^^^^                        >> Unknown, usually always 00
2160
2161 F1: 00000000
2162     ^^^^^^^^       >> Unknown, usually always 00
2163
2164 F2: 000000BD
2165     ^^^^^^         >> Counter 0
2166           ^^       >> Tearing 0
2167
2168 F3: 000000BD
2169     ^^^^^^         >> Counter 1
2170           ^^       >> Tearing 1
2171
2172 F4: 000000BD
2173     ^^^^^^         >> Counter 2
2174           ^^       >> Tearing 2
2175
2176 F5: 00000000
2177     ^^^^^^^^       >> Unknown, usually always 00
2178
2179 F6: 44000400
2180     ^^^^           >> ATQA in byte reverse order. 4400 = ATQA of 0044
2181         ^^         >> SAK1, usually set to 04 to call for CL2
2182           ^^       >> SAK2, card uses this as SAK
2183
2184 F7: 88AF0000
2185     ^^             >> First byte of UID BCC calculation, for Ultralight family is always 88 per the datasheet
2186       ^^           >> Unknown, usually always AF.
2187         ^^^^       >> Unknown, usually always 00
2188
2189 F8 - FF: xxxxxxxx  >> signature
2190 ```
2191
2192 To read / write hidden blocks:
2193
2194 A config block beginning with `7AFF` must be set to enable a `40:43` / `20:23` magic wakeup. From limited testing, the `20:23` magic wakeup is not guaranteed to work, however the `40:43` wakeup works 100% of the time.
2195
2196 You must send config info in A2 packets of 4 bytes each (format: `A2[offset*4, 1b][data, 4b]`), eg for a UL-11 tag:
2197
2198 ```
2199 hf 14a raw -akb 7 40; hf 14a raw -k 43; hf 14a raw -ck A2F2000000BD; hf 14a raw -ck A2F3000000BD; hf 14a raw -ck A2F4000000BD; hf 14a raw -ck A2F644000400; hf 14a raw -c A2F888AF0000
2200 ```
2201
2202 ### Proxmark3 commands
2203
2204 ^[Top](#top)
2205
2206 No implemented commands at time of writing
2207
2208 ### libnfc commands
2209
2210 ^[Top](#top)
2211
2212 No implemented commands at time of writing
2213
2214 ### Variations
2215 ^[Top](#top)
2216 | Factory configuration | Name |
2217 | --- | --- |
2218 | 850000A0 00000AC3 00040301 01000B03 | UL-11 |
2219 | 850000A0 00000A3C 00040301 01000E03 | UL-21 |
2220 | 850000A0 0A000A00 00000000 00000000 | UL-C |
2221 | 850085A0 00000AA5 00040402 01000F03 | NTAG213 |
2222 | 850000A0 00000A5A 00040402 01001103 | NTAG215 |
2223 | 850000A0 00000AAA 00040402 01001303 | NTAG216 |
2224
2225 # DESFire
2226
2227 ^[Top](#top)
2228
2229 ## "DESFire" APDU, 7b UID
2230
2231 ### Identify
2232
2233 **TODO**
2234
2235 ### Magic commands
2236
2237 Android compatible
2238
2239 * issue special APDUs
2240
2241 ### Characteristics
2242
2243 ^[Top](#top)
2244
2245 * ATQA: 0344
2246 * SAK: 20
2247 * ATS: 0675338102005110 or 06757781028002F0
2248
2249 Only mimics DESFire anticollision (but wrong ATS), no further DESFire support
2250
2251 ### Proxmark commands
2252
2253 ^[Top](#top)
2254
2255 UID 04112233445566
2256
2257 ```
2258 hf 14a raw -s -c 0200ab00000704112233445566
2259 ```
2260
2261 or equivalently
2262
2263 ```
2264 hf 14a apdu -s 00ab00000704112233445566
2265 ```
2266
2267 ### libnfc commands
2268
2269 ^[Top](#top)
2270
2271 ```
2272 pn53x-tamashell
2273 4a0100
2274 420200ab00000704112233445566
2275 ```
2276
2277 ## "DESFire" APDU, 4b UID
2278
2279 ^[Top](#top)
2280
2281 ### Magic commands
2282
2283 ^[Top](#top)
2284
2285 Android compatible
2286
2287 * issue special APDUs
2288
2289 ### Characteristics
2290
2291 ^[Top](#top)
2292
2293 * ATQA: 0008
2294   * This is FM1208-9, NOT DESFire!
2295 * SAK: 20
2296 * ATS: 0675338102005110 or 06757781028002F0
2297
2298 Only mimics DESFire anticollision (but wrong ATS), no further DESFire support
2299
2300 ### Proxmark commands
2301
2302 ^[Top](#top)
2303
2304 UID 04112233445566
2305
2306 ```
2307 hf 14a raw -s -c 0200ab00000411223344
2308 ```
2309
2310 or equivalently
2311
2312 ```
2313 hf 14a apdu -s 00ab00000411223344
2314 ```
2315
2316 It accepts longer UID but that doesn't affect BCC/ATQA/SAK
2317
2318 ### pn53x-tamashell commands
2319
2320 ^[Top](#top)
2321
2322 ```
2323 4a0100
2324 420200ab00000411223344
2325 ```
2326
2327 ### Remarks
2328
2329 ^[Top](#top)
2330
2331 The same effect (with better ATQA!) can be obtained with a MFC Gen1A that uses SAK defined in block0:
2332
2333 ```
2334 hf mf csetblk --blk 0 -d 1122334444204403A1A2A3A4A5A6A7A8
2335 hf 14a info
2336 [+]  UID: 11 22 33 44
2337 [+] ATQA: 03 44
2338 [+]  SAK: 20 [1]
2339 [+] Possible types:
2340 [+]    MIFARE DESFire MF3ICD40
2341 ```
2342
2343 # ISO14443B
2344
2345 ^[Top](#top)
2346
2347 ## Tiananxin TCOS CPU card
2348
2349 ^[Top](#top)
2350
2351 This is a card sold on Taobao for testing readers.
2352 ISO14443-4 compliant.
2353
2354 ### Identify
2355
2356 ```
2357 hf 14a apdu -s 90B2900000 // Get Card OS version
2358 >>> 90 B2 90 00 00
2359 <<< 54 43 4F 53 20 56 31 2E 34 2E 30 90 00 | TCOS V1.4.0..
2360 ```
2361
2362 ### Magic commands
2363
2364 All commands in APDU.
2365
2366 ```
2367 CL IN P1 P2 Lc Data
2368 90 F4 CC CC 01 [..1 ] // Change protocol used              (1: ISO14443 [AA - type A, BB - type B])
2369 90 F6 CC CC 01 [TA1 ] // Change TA1 value (transfer speed)
2370 90 F8 CC CC 01 [..1 ] // Use random UID/PUPI value         (1: FF: static, AB: random)
2371 90 F8 DD DD 01 [..1 ] // Set UID length                    (1: bytes in UID (04, 07, 0A for 4, 7, 10 bytes accordingly))
2372 90 F8 EE EE 0B [... ] // Set UID/PUPI value                (FF+enter UID value here). To clear, use Lc=01; data=00.
2373 90 FA CC CC 01 [FSCI] // Set FSCI                          (1: value 0-8)
2374 90 FC CC CC 01 [SFGI] // Set SFGI (DO NOT SET TOO HIGH!)   (1: value 0-E)
2375 90 FE CC CC 01 [FWI ] // Set FWI (DO NOT SET BELOW 4!!!)   (value 0-E)
2376 ```
2377
2378 More commands to follow. Be careful with some.
2379
2380 # ISO15693
2381
2382 ^[Top](#top)
2383
2384 ## ISO15693 magic
2385
2386 ^[Top](#top)
2387
2388 ### Identify
2389
2390 **TODO**
2391
2392 ### Proxmark3 commands
2393
2394 ^[Top](#top)
2395
2396 Always set a UID starting with `E0`.
2397
2398 ```
2399 hf 15 csetuid E011223344556677
2400 ```
2401
2402 or (ignore errors):
2403
2404 ```
2405 script run hf_15_magic -u E004013344556677
2406 ```
2407
2408 <a id="g4top"></a>
2409
2410 # Multi
2411
2412 ^[Top](#top)
2413
2414 ## UMC
2415
2416 ^[Top](#top)
2417
2418 A.k.a ultimate magic card,  most promenent feature is shadow mode (GTU) and optional password protected backdoor commands.
2419
2420 Can emulate MIFARE Classic, Ultralight/NTAG families, 14b UID & App Data
2421
2422 * [Identify](#identify-16)
2423 * [Magic commands](#magic-commands-9)
2424 * [Characteristics](#characteristics-12)
2425 * [Proxmark3 commands](#proxmark3-commands-9)
2426 * [Change ATQA / SAK](#change-atqa--sak)
2427 * [Change ATS](#change-ats)
2428 * [Set UID length (4, 7, 10)](#set-uid-length-4-7-10)
2429 * [Set 14443A UID](#set-14443a-uid)
2430 * [Set 14443B UID and ATQB](#set-14443b-uid-and-atqb)
2431 * [(De)Activate Ultralight mode](#deactivate-ultralight-mode)
2432 * [Select Ultralight mode](#select-ultralight-mode)
2433 * [Set shadow mode (GTU)](#set-shadow-mode-gtu)
2434 * [Direct block read and write](#direct-block-read-and-write)
2435 * [(De)Activate direct write to block 0](#deactivate-direct-write-to-block-0)
2436 * [Change backdoor password](#change-backdoor-password)
2437 * [Dump configuration](#dump-configuration)
2438 * [Fast configuration](#fast-configuration)
2439 * [Presets](#presets)
2440 * [Version and Signature](#version-and-signature)
2441
2442
2443 ### Identify
2444
2445 ^[Top](#top) ^^[Gen4](#g4top)
2446
2447 👉 **TODO** If the password is not default, Tag doesn't get identified correctly by latest Proxmark3 client (it might get mislabeled as MFC Gen2/CUID, Gen3/APDU or NTAG21x Modifiable, depending on configured UID/ATQA/SAK/ATS)
2448
2449 👉 **TODO** Using C6 command can change config due to a bug in some cards. CC should be used instead.
2450
2451 ```
2452 hf 14a info
2453 [+] Magic capabilities : Gen 4 GTU
2454 ```
2455
2456 The card will be identified only if the password is the default one. One can identify manually such card if the password is still the default one, with the command to get the current configuration:
2457
2458 ```
2459 hf 14a raw -s -c -t 1000 CF00000000C6
2460 ```
2461
2462 If the card is an Ultimate Magic Card, it returns 30 or 32 bytes.
2463
2464 ### Magic commands
2465
2466 ^[Top](#top) ^^[Gen4](#g4top)
2467
2468 There are two ways to program this card.
2469
2470    1.  Use the raw commands designated by the `hf 14a` examples.
2471
2472    ***OR***
2473
2474    2.  Use the hf_mf_ultimatecard.lua script commands designated but the `script run hf_mf_ultimatecard` examples. This script is nof fully compartible with new version UMC.
2475
2476
2477 script run hf_mf_ultimatecard.lua -h
2478
2479 ```
2480 This script enables easy programming of an Ultimate Mifare Magic card
2481 Usage
2482 script run hf_mf_ultimatecard -h -k <passwd> -c -w <type> -u <uid> -t <type> -p <passwd> -a <pack> -s <signature> -o <otp> -v <version> -q <atqa/sak> -g <gtu> -z <ats> -m <ul-mode> -n <ul-protocol>
2483
2484 Arguments
2485     -h      this help
2486     -c      read magic configuration
2487     -u      UID (8-20 hexsymbols), set UID on tag
2488     -t      tag type to impersonate
2489                  1 = Mifare Mini S20 4-byte
2490                  2 = Mifare Mini S20 7-byte 15 = NTAG 210
2491                  3 = Mifare Mini S20 10-byte 16 = NTAG 212
2492                  4 = Mifare 1k S50 4-byte   17 = NTAG 213
2493                  5 = Mifare 1k S50 7-byte   18 = NTAG 215
2494                  6 = Mifare 1k S50 10-byte  19 = NTAG 216
2495                  7 = Mifare 4k S70 4-byte   20 = NTAG I2C 1K
2496                  8 = Mifare 4k S70 7-byte   21 = NTAG I2C 2K
2497                  9 = Mifare 4k S70 10-byte  22 = NTAG I2C 1K PLUS
2498             ***  10 = UL -   NOT WORKING FULLY   23 = NTAG I2C 2K PLUS
2499             ***  11 = UL-C - NOT WORKING FULLY   24 = NTAG 213F
2500                  12 = UL EV1 48b                25 = NTAG 216F
2501                  13 = UL EV1 128b
2502             ***  14 = UL Plus - NOT WORKING YET
2503
2504     -p      NTAG password (8 hexsymbols),  set NTAG password on tag.
2505     -a      NTAG pack ( 4 hexsymbols), set NTAG pack on tag.
2506     -s      Signature data (64 hexsymbols), set signature data on tag.
2507     -o      OTP data (8 hexsymbols), set `One-Time Programmable` data on tag.
2508     -v      Version data (16 hexsymbols), set version data on tag.
2509     -q      ATQA/SAK (<2b ATQA><1b SAK> hexsymbols), set ATQA/SAK on tag.
2510     -g      GTU Mode (1 hexsymbol), set GTU shadow mode.
2511     -z      ATS (<1b length><0-16 ATS> hexsymbols), Configure ATS. Length set to 00 will disable ATS.
2512     -w      Wipe tag. 0 for Mifare or 1 for UL. Fills tag with zeros and put default values for type selected.
2513     -m      Ultralight mode (00 UL EV1, 01 NTAG, 02 UL-C, 03 UL) Set type of UL.
2514     -n      Ultralight protocol (00 MFC, 01 UL), switches between UL and MFC mode
2515     -k      Ultimate Magic Card Key (IF DIFFERENT THAN DEFAULT 00000000)
2516
2517 Example usage
2518     -- read magic tag configuration
2519     script run hf_mf_ultimatecard -c
2520     -- set uid
2521     script run hf_mf_ultimatecard -u 04112233445566
2522     -- set NTAG pwd / pack
2523     script run hf_mf_ultimatecard -p 11223344 -a 8080
2524     -- set version to NTAG213
2525     script run hf_mf_ultimatecard -v 0004040201000f03
2526     -- set ATQA/SAK to [00 44] [08]
2527     script run hf_mf_ultimatecard -q 004408
2528     -- wipe tag with a NTAG213 or Mifare 1k S50 4 byte
2529     script run hf_mf_ultimatecard -w 1
2530     -- use a non default UMC key. Only use this if the default key for the MAGIC CARD was changed.
2531     script run hf_mf_ultimatecard -k ffffffff -w 1
2532     -- Wipe tag, turn into NTAG215, set sig, version, NTAG pwd/pak, and OTP.
2533     script run hf_mf_ultimatecard -w 1 -t 18 -u 04112233445566 -s 112233445566778899001122334455667788990011223344556677 -p FFFFFFFF -a 8080 -o 11111111
2534 ```
2535
2536 Special raw commands summary:
2537
2538 ```
2539 CF <passwd> 32 <00-04>                           // Configure GTU shadow mode
2540 CF <passwd> 34 <1b length><0-16b ATS>            // Configure ATS
2541 CF <passwd> 35 <2b ATQA><1b SAK>                 // Configure ATQA/SAK (swap ATQA bytes)
2542 CF <passwd> 68 <00-02>                           // Configure UID length
2543 CF <passwd> 69 <00-01>                           // (De)Activate Ultralight mode
2544 CF <passwd> 6A <00-03>                           // Select Ultralight mode
2545 CF <passwd> 6B <1b>                              // Set Ultralight and M1 maximum read/write sectors
2546 CF <passwd> C6                                   // Dump configuration
2547 CF <passwd> CC                                   // Version info, returns `00 00 00 [03 A0 (old) / 06 A0 (new) ]`
2548 CF <passwd> CD <1b block number><16b block data> // Backdoor write 16b block
2549 CF <passwd> CE <1b block number>                 // Backdoor read 16b block
2550 CF <passwd> CF <1b param>                        // (De)Activate direct write to block 0
2551 CF <passwd> F0 <30b configuration data>          // Configure all params in one cmd
2552 CF <passwd> F1 <30b configuration data>          // Configure all params in one cmd and fuse the configuration permanently
2553 CF <passwd> FE <4b new_password>                 // change password
2554 ```
2555
2556 Default `<passwd>`: `00000000`
2557
2558 ### Characteristics
2559
2560 ^[Top](#top) ^^[Gen4](#g4top)
2561
2562 * UID: 4b, 7b and 10b versions
2563 * ATQA/SAK: changeable
2564 * BCC: computed
2565 * ATS: changeable, can be disabled
2566 * Card Type: changeable
2567 * Shadow mode: GTU
2568 * Backdoor password mode
2569
2570 ### Proxmark3 commands
2571
2572 ^[Top](#top) ^^[Gen4](#g4top)
2573
2574 ```
2575 # view contents of tag memory:
2576 hf mf gview
2577 # Read a specific block via backdoor command:
2578 hf mf ggetblk
2579 # Write a specific block via backdoor command:
2580 hf mf gsetblk
2581 # Load dump to tag:
2582 hf mf gload
2583 # Save dump from tag:
2584 hf mf gsave
2585 ```
2586
2587 👉 **TODO** `hf mf gview` is currently missing Ultralight memory maps
2588
2589 Equivalent:
2590
2591 ```
2592 hf 14a raw -s -c -t 1000 CF00000000CE00
2593 hf 14a raw -s -c -t 1000 CF00000000CE01
2594 hf 14a raw -s -c -t 1000 CF00000000CE02
2595 ...
2596 ```
2597
2598 👉 **TODO** In Mifare Ultralight / NTAG mode, the special writes (`hf mfu restore` option `-s`, `-e`, `-r`) do not apply. Use `script run hf_mf_ultimatecard` for UID and signature, and `hf mfu wrbl` for PWD and PACK.
2599
2600 ### Change ATQA / SAK
2601
2602 ^[Top](#top) ^^[Gen4](#g4top)
2603
2604 ```
2605 hf 14a raw -s -c -t 1000 CF<passwd>35<2b ATQA><1b SAK>
2606 ```
2607
2608 * ⚠ ATQA bytes are swapped in the command
2609 * ⚠ ATQA bytes that result in `iso14443a card select failed` (I.E.  ATQA=0040 in raw form) can be corrected with `hf 14a config --atqa force`
2610 * ⚠ when SAK bit 6 is set (e.g. SAK=20 or 28), ATS must be turned on, otherwise the card may not be recognized by some readers!
2611 * ⚠ never set SAK bit 3 (e.g. SAK=04), it indicates an extra cascade level is required (see `hf 14a config --cl2 skip` or `hf 14a config --cl3 skip` to recover a misconfigured card)
2612
2613 Example: ATQA 0044 SAK 28, default pwd
2614
2615 ```
2616 hf 14a raw -s -c -t 1000 CF0000000035440028
2617 ```
2618
2619 OR (Note the script will correct the ATQA correctly)
2620
2621 ```
2622 script run hf_mf_ultimatecard -q 004428
2623 ```
2624
2625 ### Change ATS
2626
2627 ^[Top](#top) ^^[Gen4](#g4top)
2628
2629 ```
2630 hf 14a raw -s -c -t 1000 CF<passwd>34<1b length><0-16b ATS>
2631 ```
2632
2633 * `<length>`: ATS length byte, set to `00` to disable ATS
2634 * ⚠ when SAK bit 6 is set (e.g. SAK=20 or 28), ATS must be turned on, otherwise the card may not be recognized by some readers!
2635 * ATS CRC will be added automatically, don't configure it
2636 * Max ATS length: 16 bytes (+CRC)
2637
2638 Example: ATS to 0606757781028002F0, default pwd
2639
2640 ```
2641 hf 14a raw -s -c -t 1000 CF000000003406067577810280
2642 ```
2643
2644 Or
2645
2646 ```
2647 script run hf_mf_ultimatecard -z 06067577810280`
2648 ```
2649
2650 ### Set UID length (4, 7, 10)
2651
2652 ^[Top](#top) ^^[Gen4](#g4top)
2653
2654 ```
2655 hf 14a raw -s -c -t 1000 CF<passwd>68<1b param>
2656 ```
2657
2658 * `<param>`
2659   * `00`: 4 bytes
2660   * `01`: 7 bytes
2661   * `02`: 10 bytes
2662
2663 Example: set UID length to 7 bytes, default pwd
2664
2665 ```
2666 hf 14a raw -s -c -t 1000 CF000000006801
2667 ```
2668
2669 ### Set 14443A UID
2670
2671 ^[Top](#top) ^^[Gen4](#g4top)
2672
2673 UID is configured according to block0 with a backdoor write.  (Script commands are below the UID length examples)
2674
2675 Example: preparing first two blocks: (Note the UMC has to be in MFC mode and the correct UID byte length set)
2676
2677 ```
2678 hf 14a raw -s -c -t 1000 CF00000000CD00000102030405060708090A0B0C0D0E0F
2679 hf 14a raw -s -c -t 1000 CF00000000CD01101112131415161718191A1B1C1D1E1F
2680 hf 14a reader
2681 ```
2682
2683 MFC mode 4b UID
2684
2685 => UID `00010203`
2686
2687 `script run hf_mf_ultimatecard -t 4 -u 00010203`
2688
2689 MFC mode 7b UID
2690
2691 => UID `00010203040506`
2692
2693 `script run hf_mf_ultimatecard -t 5 -u 00010203040506`
2694
2695 MFC mode, 10b UID
2696
2697 => UID `00010203040506070809`
2698
2699 `script run hf_mf_ultimatecard -t 6 -u 00010203040506070809`
2700
2701 Ultralight mode, 4b UID
2702
2703 => UID `00010203`
2704
2705 Ultralight mode, 7b UID
2706
2707 => UID `00010210111213`
2708
2709 👉 the UID is composed of first two blocks as in regular Ultralights
2710
2711 * Examples
2712   * UL-EV1 48b = `script run hf_mf_ultimatecard -t 12 -u 00010203040506`
2713   * UL EV1 128b = `script run hf_mf_ultimatecard -t 13 -u 00010203040506`
2714   * NTAG 215 = `script run hf_mf_ultimatecard -t 18 -u 00010203040506`
2715
2716 Ultralight mode, 10b UID
2717 => UID `00010203040506070809`
2718 👉 the UID is composed only from block0
2719
2720 ### Set 14443B UID and ATQB
2721
2722 ^[Top](#top) ^^[Gen4](#g4top)
2723
2724 * UID and ATQB are configured according to block0 with a (14a) backdoor write.
2725 * UID size is always 4 bytes.
2726 * 14B will show up only on new cards. (Need more tests on new card. Example not work)
2727
2728 Example:
2729
2730 ```
2731 hf 14a raw -s -c -t 1000 CF00000000CD00000102030405060708090A0B0C0D0E0F
2732 hf 14b reader
2733 ```
2734
2735 => UID 00010203
2736 => ATQB 0405060708090A
2737
2738 ### (De)Activate Ultralight mode
2739
2740 ^[Top](#top) ^^[Gen4](#g4top)
2741
2742 ```
2743 hf 14a raw -s -c -t 1000 CF<passwd>69<1b param>
2744 ```
2745
2746 * `<param>`
2747   * `00`: MIFARE Classic mode
2748   * `01`: MIFARE Ultralight/NTAG mode
2749
2750 Example: activate Ultralight protocol, default pwd
2751
2752 ```
2753 hf 14a raw -s -c -t 1000 CF000000006901
2754 ```
2755
2756 Or
2757
2758 ```
2759 script run hf_mf_ultimatecard -n 01
2760 ```
2761
2762 In this mode, if SAK=`00` and ATQA=`0044`, it acts as an Ultralight card
2763
2764 ⚠ only the first four bytes of each block will be mapped in the Ultralight memory map (so the Ultralight block numbers follow backdoor R/W block numbers).
2765
2766 ### Select Ultralight mode
2767
2768 ^[Top](#top) ^^[Gen4](#g4top)
2769
2770 ```
2771 hf 14a raw -s -c -t 1000 CF<passwd>6A<1b param>
2772 ```
2773
2774 * `<param>`
2775   * `00`: UL EV1
2776   * `01`: NTAG
2777   * `02`: UL-C
2778   * `03`: UL
2779
2780 ⚠ it supposes Ultralight mode was activated (cf command `69`)
2781
2782 Example: set Ultralight mode to Ultralight-C, default pwd
2783
2784 ```
2785 hf 14a raw -s -c -t 1000 CF000000006A02
2786 ```
2787
2788 Or
2789
2790 ```
2791 script run hf_mf_ultimatecard -m 02
2792 ```
2793
2794 Now the card supports the 3DES UL-C authentication.
2795
2796 ### Set Ultralight and M1 maximum read/write sectors
2797
2798 ^[Top](#top) ^^[Gen4](#g4top)
2799
2800 ```
2801 hf 14a raw -s -c -t 1000 CF<passwd>6B<1b blocks>
2802 ```
2803
2804 Hexadecimal, maximum sector data, default 0xFF, range 0x00-0xFF
2805
2806 Example: set maximum 63 blocks read/write for Mifare Classic 1K
2807
2808 ```
2809 hf 14a raw -s -c -t 1000 CF000000006B3F
2810 ```
2811
2812 ### Set shadow mode (GTU)
2813
2814 ^[Top](#top) ^^[Gen4](#g4top)
2815
2816 This description of shadow modes wroted by seller at marketpalces:
2817
2818 >This mode is divided into four states: off (pre-write), on (on restore), don’t care, and high-speed read and write. If you use it, please enter the pre-write mode first. At this time, write the full card data. After writing, set it to on. At this time, after writing the data, the first time you read the data just written, the next time you read It is the pre-written data. All modes support this operation. It should be noted that using any block to read and write in this mode may give wrong results.
2819
2820 And these conclusions were made after a number of tests with UMC (new version, configured as MFC for example):
2821
2822 | Mode | Buffer | Standart command (rdbl, wrbl e.t.c)     | Backdoor command (gsetblk, ggetblk, gload e.t.c.) |
2823 |------|--------|-----------------------------------------|---------------------------------------------------|
2824 | 2,3  |  buf23 | read/write from/to buf23                | read/write from/to buf23                          |
2825 |  0   |  buf0  | read from buf0, write to buf0 and buf23 | read/write from/to buf23                          |
2826 |  4   |   -    | read from buf0, write to buf23          | read/write from/to buf23                          |
2827
2828 Mode 1: For new card this mode looks like a bug. Reading/writing first two block use *buf23*. Reading other blocks use invalid region of memory and all returned data looks like pseudo-random. All acl looks like invalid. All data is readable by the keys and acl wich was written in *buf0*. Any writing operations in this mode use copy of *buf0* and only it. It`s not affected any other buffers. So if you change keys or/and acl you will must use new keys to read data.
2829
2830 Example (not work with new UMC):
2831 `script run hf_mf_ultimatecard -w 1 -g 00 -t 18 -u 04112233445566 -s 112233445566778899001122334455667788990011223344556677 -p FFFFFFFF -a 8080 -o 11111111 -g 01`
2832
2833 * -w 1 = wipe the card in Ultralight Mode
2834 * -g 00 = turn on pre-write mode
2835 * -t 18 = change the type of card to NTAG 215
2836 * -u = set the uid
2837 * -s = set the signature
2838 * -p = set the NTAG password
2839 * -a = set the PACK
2840 * -o = set the OTP
2841 * -g 01 = turn on restore mode
2842
2843 At this point the card is set to a unwritten NTAG 215. Now any data written to the card will only last for 1 read.  Write a popular game toy to it, read it, now it is back to the unwritten NTAG 215.
2844
2845 👉 Remember to disable GTU mode to get the card back to a normal state.
2846
2847 `script run hf_mf_ultimatecard -g 03`
2848
2849 ```
2850 hf 14a raw -s -c -t 1000 CF<passwd>32<1b param>
2851 ```
2852
2853 * `<param>`
2854   * `00`: pre-write, shadow data can be written
2855   * `01`: restore mode
2856     * WARNING: new UMC (06a0) cards return garbage data when using 01
2857   * `02`: disabled
2858   * `03`: disabled, high speed R/W mode for Ultralight?
2859   * `04`: split mode, work with new UMC. With old UMC is untested.
2860
2861 ### Direct block read and write
2862
2863 ^[Top](#top) ^^[Gen4](#g4top)
2864
2865 Using the backdoor command, one can read and write any area without MFC password, similarly to MFC Gen1 card. It should be noted that this command must be used to modify UID.
2866
2867 Backdoor read 16b block:
2868
2869 ```
2870 hf 14a raw -s -c -t 1000 CF<passwd>CE<1b block number>
2871 ```
2872
2873 Backdoor write 16b block:
2874
2875 ```
2876 hf 14a raw -s -c -t 1000 CF<passwd>CD<1b block number><16b block data>
2877 ```
2878
2879 Read/Write operations work on 16 bytes, no matter the Ultralight mode.
2880
2881 Note that only the first four bytes of each block will be mapped in the Ultralight memory map.
2882
2883 Example: read block0, default pwd
2884
2885 ```
2886 hf 14a raw -s -c -t 1000 CF00000000CE00
2887 ```
2888
2889 Example: write block0 with factory data, default pwd
2890
2891 ```
2892 hf 14a raw -s -c -t 1000 CF00000000CD00112233441C000011778185BA18000000
2893 ```
2894
2895 ### (De)Activate direct write to block 0
2896
2897 ^[Top](#top) ^^[Gen4](#g4top)
2898
2899 This command enables/disables direct writes to block 0.
2900
2901 ```
2902 hf 14a raw -s -c -t 1000 CF<passwd>CF<1b param>
2903 ```
2904
2905 * `<param>`
2906   * `00`: Activate direct write to block 0 (Same behaviour of Gen2 cards. Some readers may identify the card as magic)
2907   * `01`: Deactivate direct write to block 0 (Same behaviour of vanilla cards)
2908   * `02`: Default value. (Same behaviour as `00` (?))
2909
2910 Example: enable direct writes to block 0, default pwd
2911
2912 ```
2913 hf 14a raw -s -c -t 1000 CF00000000CF00
2914 ```
2915
2916 Example: disable direct writes to block 0, default pwd
2917
2918 ```
2919 hf 14a raw -s -c -t 1000 CF00000000CF01
2920 ```
2921
2922 ### Change backdoor password
2923
2924 ^[Top](#top) ^^[Gen4](#g4top)
2925
2926 All backdoor operations are protected by a password. If password is forgotten, it can't be recovered. Default password is `00000000`.
2927
2928 WARNING: new UMC (06A0) returns 6300 when issuing password change command. Please write the password using F0 and entering the full configuration, but with the new password.
2929
2930 Change password:
2931
2932 ```
2933 hf 14a raw -s -c -t 1000 CF <passwd> FE <4b new_password>
2934 ```
2935
2936 Example: change password from 00000000 to AABBCCDD
2937
2938 ```
2939 hf 14a raw -s -c -t 1000 CF00000000FEAABBCCDD
2940 ```
2941
2942 Example: change password from AABBCCDD back to 00000000
2943
2944 ```
2945 hf 14a raw -s -c -t 1000 CFAABBCCDDFE00000000
2946 ```
2947
2948 ### Dump configuration
2949
2950 ^[Top](#top) ^^[Gen4](#g4top)
2951
2952 ```
2953 hf 14a raw -s -c -t 1000 CF<passwd>C6
2954 ```
2955
2956 Default configuration:
2957
2958 ```
2959 00000000000002000978009102DABC191010111213141516040008006B024F6B
2960                                                             ^^^^ CRC, type unknown
2961                                                           ^^ cf cmd cf: block0 direct write setting, factory value 0x02
2962                                                         ^^ cf cmd 6b: maximum read/write sectors, factory value 0x6b
2963                                                       ^^ cf cmd 6a: UL mode
2964                                                 ^^^^^^ cf cmd 35: ATQA/SAK
2965               ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^ cf cmd 34: ATS length & content
2966             ^^ cf cmd 32: GTU mode
2967     ^^^^^^^^ cf cmd fe: password
2968   ^^ cf cmd 68: UID length
2969 ^^ cf cmd 69: Ultralight protocol
2970 ```
2971
2972 ### Fast configuration
2973
2974 ^[Top](#top) ^^[Gen4](#g4top)
2975
2976 ```
2977 hf 14a raw -s -c -t 1000 CF<passwd>F0<30b configuration data>
2978 ```
2979
2980 cf **Dump configuration** for configuration data description.
2981
2982 Example: Write factory configuration, using default password
2983
2984 ```
2985 hf 14a raw -s -c -t 1000 CF00000000F000000000000002000978009102DABC191010111213141516040008004F6B
2986 ```
2987
2988 ⚠ Variant with command `F1` instead of `F0` will set and fuse permanently the configuration. Backdoor R/W will still work.
2989
2990 ### Presets
2991
2992 ^[Top](#top) ^^[Gen4](#g4top)
2993
2994 Here are some presets available in the FuseTool (but with all ATS disabled)
2995
2996 **MIFARE Mini S20 4-byte UID**
2997
2998 ```
2999 hf 14a raw -s -c -t 1000 CF00000000F000000000000002000978009102DABC19101011121314151604000900
3000 ```
3001
3002 **MIFARE Mini S20 7-byte UID**
3003
3004 ```
3005 hf 14a raw -s -c -t 1000 CF00000000F000010000000002000978009102DABC19101011121314151644000900
3006 ```
3007
3008 **MIFARE 1k S50 4-byte UID** (this is the factory setting)
3009
3010 ```
3011 hf 14a raw -s -c -t 1000 CF00000000F000000000000002000978009102DABC19101011121314151604000800
3012 ```
3013
3014 **MIFARE 1k S50 7-byte UID**
3015
3016 ```
3017 hf 14a raw -s -c -t 1000 CF00000000F000010000000002000978009102DABC19101011121314151644000800
3018 ```
3019
3020 **MIFARE 4k S70 4-byte UID**
3021
3022 ```
3023 hf 14a raw -s -c -t 1000 CF00000000F000000000000002000978009102DABC19101011121314151602001800
3024 ```
3025
3026 **MIFARE 4k S70 7 byte UID**
3027
3028 ```
3029 hf 14a raw -s -c -t 1000 CF00000000F000010000000002000978009102DABC19101011121314151642001800
3030 ```
3031
3032 **Ultralight**
3033
3034 ```
3035 hf 14a raw -s -c -t 1000 CF00000000F001010000000003000978009102DABC19101011121314151644000003FB
3036 ```
3037
3038 **Ultralight-C**
3039
3040 ```
3041 hf 14a raw -s -c -t 1000 CF00000000F001010000000003000978009102DABC19101011121314151644000002FB
3042 ```
3043
3044 **Ultralight EV1**
3045
3046 ```
3047 hf 14a raw -s -c -t 1000 CF00000000F001010000000003000978009102DABC19101011121314151644000000FB
3048 ```
3049
3050 **NTAG21x**
3051
3052 ```
3053 hf 14a raw -s -c -t 1000 CF00000000F001010000000003000978009102DABC19101011121314151644000001FB
3054 ```
3055
3056 ### Version and Signature
3057
3058 ^[Top](#top) ^^[Gen4](#g4top)
3059
3060 Don't forget configure maximum read/write blocks. It's can be adjusted directly in config (see *Dump configuration*) or by command 6B:
3061
3062 ```
3063 hf 14a raw -s -c -t 1000 CF000000006BFB
3064 ```
3065
3066 Note: 0xFB = 251
3067
3068 Ultralight EV1 and NTAG Version info and Signature are stored respectively in blocks 250-251 and 242-249.
3069
3070 Example for an Ultralight EV1 128b with the signature sample from tools/recover_pk.py
3071
3072 ```
3073 hf 14a raw -s -c -t 1000 CF00000000F001010000000003000978009102DABC19101011121314151644000000FB
3074 hf mfu wrbl -b 0 -d 04C12865
3075 hf mfu wrbl -b 1 -d 5A373080
3076 hf mfu wrbl -b 242 -d CEA2EB0B --force
3077 hf mfu wrbl -b 243 -d 3C95D084 --force
3078 hf mfu wrbl -b 244 -d 4A95B824 --force
3079 hf mfu wrbl -b 245 -d A7553703 --force
3080 hf mfu wrbl -b 246 -d B3702378 --force
3081 hf mfu wrbl -b 247 -d 033BF098 --force
3082 hf mfu wrbl -b 248 -d 7899DB70 --force
3083 hf mfu wrbl -b 249 -d 151A19E7 --force
3084 hf mfu wrbl -b 250 -d 00040301 --force
3085 hf mfu wrbl -b 251 -d 01000E03 --force
3086 hf mfu info
3087 ```
3088
3089 Example for an NTAG216 with the signature sample from tools/recover_pk.py
3090
3091 ```
3092 hf 14a raw -s -c -t 1000 CF00000000F001010000000003000978009102DABC19101011121314151644000001FB
3093 hf mfu wrbl -b 0 -d 04E10C61
3094 hf mfu wrbl -b 1 -d DA993C80
3095 hf mfu wrbl -b 242 -d 8B76052E --force
3096 hf mfu wrbl -b 243 -d E42F5567 --force
3097 hf mfu wrbl -b 244 -d BEB53238 --force
3098 hf mfu wrbl -b 245 -d B3E3F995 --force
3099 hf mfu wrbl -b 246 -d 0707C0DC --force
3100 hf mfu wrbl -b 247 -d C956B5C5 --force
3101 hf mfu wrbl -b 248 -d EFCFDB70 --force
3102 hf mfu wrbl -b 249 -d 9B2D82B3 --force
3103 hf mfu wrbl -b 250 -d 00040402 --force
3104 hf mfu wrbl -b 251 -d 01001303 --force
3105 hf mfu info
3106 ```
3107
3108 # Other
3109
3110 ^[Top](#top)
3111
3112 These are chips to clone other ICs. Usually the originals are only sold in China.
3113
3114 ## SID
3115
3116 ^[Top](#top)
3117
3118 * Magic tag for Fudan FM1208-9 chips
3119
3120 ### Characteristics
3121
3122 ^[Top](#top)
3123
3124 * ISO14443-A tag
3125 * ATQA-SAK: `0008`-`20`
3126 * ATS: `10 78 80 A0 02 00 9D 46 16 40 00 A3 [UID]`
3127 * Compared to real FM1208 chip:
3128   * CLA byte is ignored
3129   * Command parsing is irregular (some replies are wrong)
3130
3131 ### Magic commands
3132
3133 ^[Top](#top)
3134
3135 **WARNING!!!** Risk of bricking tag - cause is unknown
3136
3137 * Below you can find a list of all INS bytes not present on real FM1208 chip, and what their output is when executed (P1, P2, Lc = 00)
3138   * Results may vary between chips:
3139
3140 ```
3141 INS | RES
3142 0A  | 44454641554C540000002018112840000000000000000000000000000000000000000000000000000000400000000000
3143 3B  | 00000000001C0EF90000000000000000000000000000000000000000000000002000000000C09040009002840000000000000000000000000000000000006C0FC08700EB1A9F1BA01801010019000000000000000000000000000090000000000000094B066600000000007D000000000000000000000000000000003B000000107880A002009D46164000A3CA81E15000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000
3144 3C* | 0000
3145 3D  | 6700
3146 7D  | Tag does not reply (if 0<Lc<=15, RES=6700)
3147 CD  | 6A82
3148 D5  | 9000
3149 DD  | 6700
3150 DE  | 6700
3151 DF  | 9000
3152 EE  | 6700
3153 F0  | 6A82
3154 FB  | 6A82
3155
3156 * - DO NOT EXECUTE THIS INSTRUCTION!!! After 2nd execution tag will brick (No reply to REQA/WUPA). Very likely you need to add extra data which we do not know
3157 ```
3158
3159 ## NSCK-II
3160
3161 ^[Top](#top)
3162
3163 * Magic tag for "NSC/BS-CPU"
3164
3165 ### Characteristics
3166
3167 ^[Top](#top)
3168
3169 * Programming is done via ISO14443-A (but not sure how to modulate). Original tag is working somewhere hidden from proxmark.
3170 * ATQA-SAK: `0044`-`20`
3171 * ATS: `05 72 F7 60 02`
3172 * Communications encrypted(?)
3173   * When writing with copykey, after RATS, this communication takes place (NSC ID programmed: `5800000000`, tag UID: `1D94CE25840000`):
3174
3175      ```
3176      >>> 54 03 8A BC DF C1 [CRC]
3177      <<< A2 [CRC]
3178      >>> 54 04 57 AA 84 DD [CRC]
3179      <<< A2 [CRC]
3180      ```
3181
3182 ### Magic commands
3183
3184 ^[Top](#top)
3185
3186 * Write NSC UID: `54 [part 1b] [data 4b enc] [CRC]`
3187   * Tag replies: `A2 [CRC]`