doc/magic_cards_notes.md

   1 <a id="top"></a>
   2
   3 # Notes on Magic Cards, aka UID changeable
   4
   5 This document is based mostly on information posted on http://www.proxmark.org/forum/viewtopic.php?pid=35372#p35372
   6
   7 Useful docs:
   8
   9 * [AN10833 MIFARE Type Identification Procedure](https://www.nxp.com/docs/en/application-note/AN10833.pdf)
  10
  11 # Table of Contents
  12
  13 * [Low frequency](#low-frequency)
  14   * [T55xx](#t55xx)
  15   * [EM4x05](#em4x05)
  16   * [ID82xx series](#id82xx-series)
  17     * [ID8265](#id8265)
  18     * [ID8211](#id8211)
  19     * [ID-F8268](#id-f8268)
  20   * [H series](#h-series)
  21     * [H1](#h1)
  22     * [H5.5 / H7](#h55--h7)
  23     * [i57 / i57v2](#i57--i57v2)
  24 * [ISO14443A](#iso14443a)
  25   * [Identifying broken ISO14443A magic](#identifying-broken-iso14443a-magic)
  26 * [MIFARE Classic](#mifare-classic)
  27   * [MIFARE Classic block0](#mifare-classic-block0)
  28   * [MIFARE Classic Gen1A aka UID](#mifare-classic-gen1a-aka-uid)
  29   * [MIFARE Classic Gen1B](#mifare-classic-gen1b)
  30   * [Mifare Classic Direct Write OTP](#mifare-classic-direct-write-otp)
  31   * [MIFARE Classic OTP 2.0](#mifare-classic-otp-20)
  32   * [MIFARE Classic DirectWrite aka Gen2 aka CUID](#mifare-classic-directwrite-aka-gen2-aka-cuid)
  33   * [MIFARE Classic Gen3 aka APDU](#mifare-classic-gen3-aka-apdu)
  34   * [MIFARE Classic USCUID](#mifare-classic-uscuid)
  35     * [FUID](#fuid)
  36     * [UFUID](#ufuid)
  37     * [ZUID](#zuid)
  38     * [GDM](#gdm)
  39     * [GDCUID](#gdcuid)
  40   * [MIFARE Classic, other versions](#mifare-classic-other-versions)
  41   * [MIFARE Classic Super](#mifare-classic-super)
  42 * [MIFARE Ultralight](#mifare-ultralight)
  43   * [MIFARE Ultralight blocks 0..2](#mifare-ultralight-blocks-02)
  44   * [MIFARE Ultralight Gen1A](#mifare-ultralight-gen1a)
  45   * [MIFARE Ultralight DirectWrite](#mifare-ultralight-directwrite)
  46   * [MIFARE Ultralight EV1 DirectWrite](#mifare-ultralight-ev1-directwrite)
  47   * [MIFARE Ultralight C Gen1A](#mifare-ultralight-c-gen1a)
  48   * [MIFARE Ultralight C DirectWrite](#mifare-ultralight-c-directwrite)
  49   * [UL series (RU)](#ul-series-ru)
  50     * [UL-Y](#ul-y)
  51     * [ULtra](#ultra)
  52     * [UL-5](#ul-5)
  53     * [UL, other chips](#ul-other-chips)
  54   * [MIFARE Ultralight USCUID-UL](#mifare-ultralight-uscuid-ul)
  55 * [NTAG](#ntag)
  56   * [NTAG213 DirectWrite](#ntag213-directwrite)
  57   * [NTAG21x](#ntag21x)
  58 * [DESFire](#desfire)
  59   * ["DESFire" APDU, 7b UID](#desfire-apdu-7b-uid)
  60   * ["DESFire" APDU, 4b UID](#desfire-apdu-4b-uid)
  61 * [ISO14443B](#iso14443b)
  62   * [Tiananxin TCOS CPU card](#tiananxin-tcos-cpu-card)
  63 * [ISO15693](#iso15693)
  64   * [ISO15693 magic](#iso15693-magic)
  65 * [Multi](#multi)
  66   * [UMC](#umc)
  67 * [Other](#other)
  68   * [SID](#sid)
  69   * [NSCK-II](#nsck-ii)
  70
  71 # Low frequency
  72
  73 ## T55xx
  74
  75 ^[Top](#top)
  76
  77 The temic T55xx/Atmel ATA5577 is the most commonly used chip for cloning LF RFIDs.
  78
  79 A useful document can be found [here](https://github.com/RfidResearchGroup/proxmark3/blob/master/doc/T5577_Guide.md).
  80
  81 ### Characteristics
  82
  83 * 28/24 bytes of user memory (without/with password)
  84 * Universal output settings (data rate, modulation, etc)
  85 * Password protection (4 bytes), usually "19920427"
  86 * Lock bits per page
  87 * Analog frontend setup
  88 * Other names:
  89   * 5577
  90   * 5200 (CN)
  91     * Cut down version of T55xx chip (no analog frontend setup, no test mode support).
  92   * H2 (RU)
  93     * Seems to be renamed 5200 chip.
  94   * RW125T5 (RU)
  95 * Old variant "T5555" is hard to come across
  96
  97 ### Detect
  98
  99 ```
 100 [usb] pm3 --> lf search
 101 ...
 102 [+] Chipset detection: T55xx
 103 ```
 104
 105 This will **not** work if you have a downlink mode other than fixed bit length!
 106
 107 ### Commands
 108
 109 *See ATMEL ATA5577C datasheet for sending commands to chip*
 110
 111 * *Do not mix* "password read" and "regular write" commands! You risk potentially writing incorrect data.
 112 * When replying, the chip will use the modulation and data rate specified in block 0.
 113
 114 ## EM4x05
 115
 116 ^[Top](#top)
 117
 118 The EM4305 and EM4205 (and 4469/4569) chips are the 2nd most common used chips for cloning LF RFIDs.
 119 It is also used by HID Global (but with a custom chip) for HIDProx credentials.
 120
 121 ### Characteristics
 122
 123 * 36 bytes of user memory
 124 * Output settings are limited (ASK only, FSK added on HID variant)
 125 * Password protection (4 bytes), usually "84AC15E2"
 126 * Lock page used
 127 * Other names:
 128   * H3 (RU)
 129   * RW125EM (RU)
 130
 131 ### Detect
 132
 133 ```
 134 [usb] pm3 --> lf search
 135 ...
 136 [+] Chipset detection: EM4x05 / EM4x69
 137 ```
 138
 139 ### Commands
 140
 141 *See EM microelectronic EM4305 datasheet for sending commands to chip*
 142
 143 ## ID82xx series
 144
 145 ^[Top](#top)
 146
 147 These are custom Chinese chips mainly used to clone EM IDs. Often times, these are redesigned clones of Hitag chips.
 148
 149 ### ID8265
 150
 151 ^[Top](#top)
 152
 153 This is the cheapest and most common ID82xx chip available. It is usually sold as T55xx on AliExpress, with excuses to use cloners.
 154
 155 #### Characteristics
 156
 157 * Chip is likely a cut down version of Hitag μ (micro) clone
 158 * UID `00 00 00 00 00 00`
 159 * Password protection (4b), usually "00000000"(default) or "9AC4999C"(FURUI)
 160 * CON0
 161   * bit 0-1 -> data rate ’00’... 2kbit/s ’01’... 4kbit/s ’10’... 8kbit/s ’11’... 2kbit/s
 162   * bit 2 when set, fixed to MC 2kbit/s
 163   * bit 3-6 reversed? all blocks always read without password and write with password
 164   * bit 7 -> enable TTF
 165 * Currently unimplemented in proxmark3 client
 166 * Other names:
 167   * ID8210 (CN)
 168   * H-125 (CN)
 169   * H5 (RU)
 170     * The sales of "H5" have been ceased because "the chip was leaked".
 171
 172 #### Detect
 173
 174 ```
 175 [usb] pm3 --> lf cmdread -d 50 -z 116 -o 166 -e W3000 -c W00011 -s 3000
 176 [usb] pm3 --> data plot
 177 ```
 178
 179 Check the green line of the plot. It must be a straight line at the end with no big waves.
 180
 181 ### Commands
 182
 183 *Try NXP Hitag µ datasheet for sending commands to chip*
 184
 185 ```
 186 # login with pass 00000000
 187 lf cmdread -d 48 -z 112 -o 176 -e W3000 -e S240 -e E336 -s 1024 -c W0S0010100010100000000000000000000000000000000000000000000000000000000000000000000000000000000 -k
 188
 189 # write EM4100 Data (EMID 0000000000) to block0 and block1
 190 lf cmdread -d 48 -z 112 -o 176 -e W3000 -e S240 -e E336 -s 1024 -c W0S001000010100000000011111111100000000000000000000000 -k
 191 lf cmdread -d 48 -z 112 -o 176 -e W3000 -e S240 -e E336 -s 1024 -c W0S001000010101000000000000000000000000000000000000000 -k
 192
 193 # write config block 05800000(A0010000 in LSB first)
 194 lf cmdread -d 48 -z 112 -o 176 -e W3000 -e S240 -e E336 -s 1024 -c W0S001000010101111111100000101100000000000000000000000
 195 ```
 196
 197 ### ID8211
 198
 199 ^[Top](#top)
 200
 201 This is an "improved" variant of ID82xx chips, bypassing some magic detection in China.
 202
 203 #### Characteristics
 204
 205 * Chip is likely a cut down version of Hitag S2048 clone, Characteristics looks exacly same with [8268](#id-f8268) when set CON1 AUT bit
 206 * No password protection
 207 * tearoff time
 208   * The OTP bits appear to be erased to '1'. Write done time is less than 735µs
 209   * nochange 735µs-
 210   * bit flip 735-740µs
 211   * wiped 740-3250µs
 212   * bit flip 3250-3350µs
 213   * write done 3350µs+
 214 * page 1 fully changeable. default: `CA 24 00 00`
 215   * CON0 RES0 enable some extended TTFM
 216     * TTFM 01: page 4, page 5, page 6
 217     * TTFM 10: page 4, page 5, page 6, page 7, page 8
 218     * TTFM 11: page 4, page 5, page 6, page 7, page 8, page 9, page 10, page 11
 219   * CON0 RES3 enable FSK TTF mode  0=RF/10 1=RF/8
 220 * page 41 - 43 unknown data, readonly
 221   * page 41 fixed `00 00 20 00`
 222   * page 42 examples:
 223     * `D4 04 22 CA`
 224     * `E3 23 22 CA`
 225     * `C7 91 22 CA`
 226   * page 43 fixed `68 06 39 E0`
 227 * page 44 - 63 readonly to  `00 00 00 00`
 228
 229 #### Detect
 230
 231 ```
 232 [usb] pm3 --> lf hitag hts rdbl --count 0
 233 ```
 234
 235 ### Commands
 236
 237 *Try NXP Hitag S datasheet for sending commands to chip*
 238
 239 ### ID-F8268
 240
 241 ^[Top](#top)
 242
 243 This is an "improved" variant of ID82xx chips, bypassing some magic detection in China.
 244
 245 #### Characteristics
 246
 247 * Chip is likely a cut down version of Hitag S2048 clone, Characteristics looks exacly same with [8211](#id8211) when clear CON1 AUT bit
 248 * Password protection (4b), usually "BBDD3399"(default) or "AAAAAAAA"
 249 * page 1 fully changeable. default: `DA A4 00 00`
 250   * CON0 RES0 enable some extended TTFM
 251     * TTFM 01: page 4, page 5, page 6
 252     * TTFM 10: page 4, page 5, page 6, page 7, page 8
 253     * TTFM 11: page 4, page 5, page 6, page 7, page 8, page 9, page 10, page 11
 254   * CON0 RES3 enable FSK TTF mode  0=RF/10 1=RF/8
 255 * page 2 password
 256 * page 41 - 43 unknown data, readonly
 257   * page 41 fixed `00 00 20 00`
 258   * page 42 examples:
 259     * `9A EF 9A CB`
 260     * `45 04 9B CB`
 261     * `0E 31 37 CC`
 262     * `DF 02 99 CA`
 263     * `0E CE D8 CB`
 264     * `90 3C CB CB`
 265   * page 43 fixed `68 04 39 E0`
 266 * page 44 - 63 readonly to  `00 00 00 00`
 267 * auth by write password to page 64 after SELECT
 268 * Other names:
 269   * F8278 (CN)
 270   * F8310 (CN)
 271   * K8678 manufactured by Hyctec.
 272
 273 #### Detect
 274
 275 ```
 276 [usb] pm3 --> lf hitag hts rdbl --82xx --count 0
 277 ```
 278
 279 ### Commands
 280
 281 *Try NXP Hitag S datasheet for sending commands to chip*
 282
 283 ## H series
 284
 285 ^[Top](#top)
 286
 287 These are chips sold in Russia, manufactured by iKey LLC. Often times these are custom.
 288
 289 ### H1
 290
 291 ^[Top](#top)
 292
 293 Simplest EM ID cloning chip available. Officially discontinued.
 294
 295 #### Characteristics
 296
 297 * Currently almost all structure is unknown
 298 * No locking or password protection
 299   * "OTP" chip is same chip, but with EM ID of zeroes. Locked after first write
 300 * Other names:
 301   * RW64bit
 302   * RW125FL
 303
 304 ### H5.5 / H7
 305
 306 ^[Top](#top)
 307
 308 First "advanced" custom chip with H naming.
 309
 310 #### Characteristics
 311
 312 * Currently all structure is unknown
 313 * No password protection
 314 * Only supported by Russian "TMD"/"RFD" cloners
 315 * H7 is advertised to work with "Stroymaster" access control
 316 * Setting ID to "3F0096F87E" will make the chip show up like T55xx
 317
 318 ### i57 / i57v2
 319
 320 \[ Chip is discontinued, no info \]
 321
 322 # ISO14443A
 323
 324 ## Identifying broken ISO14443A magic
 325
 326 ^[Top](#top)
 327
 328 When a magic card configuration is really messed up and the card is not labeled, it may be hard to find out which type of card it is.
 329
 330 Here are some tips if the card doesn't react or gives error on a simple `hf 14a reader`:
 331
 332 Let's force a 4b UID anticollision and see what happens:
 333
 334 ```
 335 hf 14a config --atqa force --bcc ignore --cl2 skip --rats skip
 336 hf 14a reader
 337 ```
 338
 339 It it responds, we know it's a TypeA card. But maybe it's a 7b UID, so let's force a 7b UID anticollision:
 340
 341 ```
 342 hf 14a config --atqa force --bcc ignore --cl2 force --cl3 skip --rats skip
 343 hf 14a reader
 344 ```
 345
 346 At this stage, you know if it's a TypeA 4b or 7b card and you can check further on this page how to reconfigure different types of cards.
 347
 348 To restore anticollision config of the Proxmark3:
 349
 350 ```
 351 hf 14a config --std
 352 ```
 353
 354 # MIFARE Classic
 355
 356 ^[Top](#top)
 357
 358 Referred as M1, S50 (1k), S70 (4k)
 359
 360 ## MIFARE Classic block0
 361
 362 ^[Top](#top)
 363
 364 UID 4b: (actually NUID as there are no more "unique" IDs on 4b)
 365
 366 ```
 367 11223344440804006263646566676869
 368 ^^^^^^^^                         UID
 369         ^^                       BCC
 370           ^^                     SAK(*)
 371             ^^^^                 ATQA
 372                 ^^^^^^^^^^^^^^^^ Manufacturer data
 373 (*) some cards have a different SAK in their anticollision and in block0: +0x80 in the block0 (e.g. 08->88, 18->98)
 374 ```
 375
 376
 377 Computing BCC on UID 11223344: `analyse lcr -d 11223344` = `44`
 378
 379 UID 7b:
 380
 381 ```
 382 04112233445566884400c82000000000
 383 ^^                               Manufacturer byte
 384 ^^^^^^^^^^^^^^                   UID
 385               ^^                 SAK(*)
 386                 ^^^^             ATQA
 387                     ^^^^^^^^^^^^ Manufacturer data
 388 (*) all? cards have a different SAK in their anticollision and in block0: +0x80 in the block0 (e.g. 08->88, 18->98)
 389 ```
 390
 391 ## MIFARE Classic Gen1A aka UID
 392
 393 ^[Top](#top)
 394
 395 * Other names:
 396   * ZERO (RU)
 397
 398 ### Identify
 399
 400 ^[Top](#top)
 401
 402 ```
 403 hf mf info
 404 ...
 405 [+] Magic capabilities... Gen 1a
 406 ```
 407
 408 ### Magic commands
 409
 410 ^[Top](#top)
 411
 412 * Wipe: `40(7)`, `41` (use 2000ms timeout)
 413 * Read: `40(7)`, `43`, `30xx`+crc
 414 * Write: `40(7)`, `43`, `A0xx`+crc, `xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx`+crc
 415
 416 ### Characteristics
 417
 418 ^[Top](#top)
 419
 420 * UID: Only 4b versions
 421 * ATQA:
 422   * all cards play blindly the block0 ATQA bytes, beware!
 423 * SAK:
 424   * some cards play blindly the block0 SAK byte, beware!
 425   * some cards use a fix "08" in anticollision, no matter the block0
 426   * some cards use a fix "08" in anticollision, unless SAK in block0 has most significant bit "80" set, in which case SAK="88"
 427 * BCC:
 428   * all cards play blindly the block0 BCC byte, beware!
 429 * ATS:
 430   * no card with ATS
 431
 432 #### MIFARE Classic Gen1A flavour 1
 433
 434 ^[Top](#top)
 435
 436 * SAK: play blindly the block0 SAK byte, beware!
 437 * PRNG: static 01200145
 438 * Wipe: filled with 0xFF
 439
 440 #### MIFARE Classic Gen1A flavour 2
 441
 442 ^[Top](#top)
 443
 444 * SAK: play blindly the block0 SAK byte, beware!
 445 * PRNG: static 01200145
 446 * Wipe: filled with 0x00
 447
 448 #### MIFARE Classic Gen1A flavour 3
 449
 450 ^[Top](#top)
 451
 452 * SAK: 08
 453 * PRNG: static 01200145
 454 * Wipe: filled with 0xFF
 455
 456 #### MIFARE Classic Gen1A flavour 4
 457
 458 ^[Top](#top)
 459
 460 * SAK: 08
 461 * PRNG: weak
 462 * Wipe: timeout, no wipe
 463
 464 #### MIFARE Classic Gen1A flavour 5
 465
 466 ^[Top](#top)
 467
 468 * SAK: 08
 469 * PRNG: weak
 470 * Wipe: reply ok but no wipe performed
 471
 472 #### MIFARE Classic Gen1A flavour 6
 473
 474 ^[Top](#top)
 475
 476 * SAK: 08 or 88 if block0_SAK most significant bit is set
 477 * PRNG: weak
 478 * Wipe: timeout, no wipe
 479
 480 #### MIFARE Classic Gen1A flavour 7
 481
 482 ^[Top](#top)
 483
 484 * SAK: 08 or 88 if block0_SAK most significant bit is set
 485 * PRNG: weak
 486 * Wipe: filled with 0x00
 487
 488 ### Proxmark3 commands
 489
 490 ^[Top](#top)
 491
 492 ```
 493 hf mf csetuid
 494 hf mf cwipe
 495 hf mf csetblk
 496 hf mf cgetblk
 497 hf mf cgetsc
 498 hf mf cload
 499 hf mf csave
 500 hf mf cview
 501 ```
 502
 503 When "soft-bricked" (by writing invalid data in block0), these ones may help:
 504
 505 ```
 506 # MFC Gen1A 1k:
 507 hf mf cwipe -u 11223344 -a 0004 -s 08
 508 # MFC Gen1A 4k:
 509 hf mf cwipe -u 11223344 -a 0044 -s 18
 510 ```
 511
 512 or just fixing block0:
 513
 514 ```
 515 # MFC Gen1A 1k:
 516 hf mf csetuid -u 11223344 -a 0004 -s 08
 517 # MFC Gen1A 4k:
 518 hf mf csetuid -u 11223344 -a 0044 -s 18
 519 ```
 520
 521 ```
 522 script run hf_mf_magicrevive
 523 ```
 524
 525 To execute commands manually:
 526
 527 ```
 528 hf 14a raw -a -k -b 7       40
 529 hf 14a raw    -k            43
 530 hf 14a raw    -k -c         A000
 531 hf 14a raw       -c -t 1000 11223344440804006263646566676869
 532 ```
 533
 534 wipe:
 535
 536 ```
 537 hf 14a raw -a -k -b 7       40
 538 hf 14a raw -t 1000          41
 539 ```
 540
 541 ### libnfc commands
 542
 543 ^[Top](#top)
 544
 545 ```
 546 nfc-mfsetuid
 547 nfc-mfclassic R a u mydump
 548 nfc-mfclassic W a u mydump
 549 ```
 550
 551 ## MIFARE Classic Gen1B
 552
 553 ^[Top](#top)
 554
 555 Similar to Gen1A, but supports directly read/write after command 40
 556
 557 ### Identify
 558
 559 ^[Top](#top)
 560
 561 ```
 562 hf mf info
 563 ...
 564 [+] Magic capabilities... Gen 1b
 565 ```
 566
 567 ### Magic commands
 568
 569 ^[Top](#top)
 570
 571 * Read: `40(7)`, `30xx`
 572 * Write: `40(7)`, `A0xx`+crc, `xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx`+crc
 573
 574 ## Mifare Classic Direct Write OTP
 575
 576 ^[Top](#top)
 577
 578 Chip manufactured by iKey LLC as a bypass for Gen1 filters.
 579 Support Direct Write as CUID, but block0 can be written only once.
 580
 581 The chip had an issue in the protocol implementation.
 582
 583 The reader could interrupt radiofield for 2-3 microseconds (standard pause in the bit period of ISO14443-2).
 584 After the response to first `26 (7)` command, but before the following `93 70` command. In that case original M1 card will stop the flow, but OTP will continue it.
 585
 586 That issue led to the development of the filters against that card and discontinuation of the production.
 587
 588 As a successor, [OTP 2.0](#mifare-classic-otp-20) was created.
 589
 590 ### Characteristics
 591
 592 ^[Top](#top)
 593
 594 * Initial UID is AA55C396
 595 * Android compatible
 596
 597 ### Identify
 598
 599 ^[Top](#top)
 600
 601 Only possible before personalization.
 602
 603 ```
 604 hf mf info
 605 ...
 606 [+] Magic capabilities... Write Once / FUID
 607 ```
 608
 609 ## MIFARE Classic OTP 2.0
 610
 611 ^[Top](#top)
 612
 613 Similar to Gen1A, but after first block 0 edit, tag no longer replies to 0x40 command.
 614 Were manufactured by iKey LLC as a replacement for [OTP](#mifare-classic-direct-write-otp)
 615
 616 ### Characteristics
 617
 618 * Initial UID is 00000000
 619 * BCC: unknown
 620 * SAK/ATQA: fixed
 621 * All bytes are 00 from factory wherever possible.
 622
 623 ### Identify
 624
 625 ^[Top](#top)
 626
 627 Only possible before personalization.
 628
 629 ```
 630 hf mf info
 631 ...
 632 [=] --- Magic Tag Information
 633 [+] Magic capabilities... Gen 1a
 634
 635 [=] --- PRNG Information
 636 [+] Prng................. hard
 637 ```
 638
 639 ### Magic commands
 640
 641 ^[Top](#top)
 642
 643 * Write: `40(7)`, `43`, `A0xx`+crc, `xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx`+crc
 644
 645 ## MIFARE Classic DirectWrite aka Gen2 aka CUID
 646
 647 ^[Top](#top)
 648
 649 (also referred as MCT compatible by some sellers)
 650
 651 * Other names:
 652   * MF-8 (RU)
 653   * MF-3 (RU)
 654     * What's so special about this chip in particular..?
 655
 656 ### Identify
 657
 658 ^[Top](#top)
 659
 660 ```
 661 hf mf info
 662 ...
 663 [+] Magic capabilities... Gen 2 / CUID
 664 ```
 665
 666 ### Magic commands
 667
 668 ^[Top](#top)
 669
 670 Android compatible
 671
 672 * issue regular write to block0
 673
 674 ### Characteristics
 675
 676 ^[Top](#top)
 677
 678 * UID: 4b and 7b versions
 679 * ATQA:
 680   * some cards play blindly the block0 ATQA bytes, beware!
 681   * some cards use a fix ATQA in anticollision, no matter the block0. Including all 7b.
 682 * SAK:
 683   * some cards play blindly the block0 SAK byte, beware!
 684   * some cards use a fix "08" or "18" in anticollision, no matter the block0. Including all 7b.
 685 * BCC:
 686   * some cards play blindly the block0 BCC byte, beware!
 687   * some cards compute a proper BCC in anticollision. Including all 7b computing their BCC0 and BCC1.
 688 * ATS:
 689   * some cards don't reply to RATS
 690   * some reply with an ATS
 691
 692 #### MIFARE Classic DirectWrite flavour 1
 693
 694 ^[Top](#top)
 695
 696 * UID 4b
 697 * ATQA: play blindly the block0 ATQA bytes, beware!
 698 * SAK: play blindly the block0 SAK byte, beware!
 699 * BCC: play blindly the block0 BCC byte, beware!
 700 * ATS: no
 701 * PRNG: weak
 702
 703 #### MIFARE Classic DirectWrite flavour 2
 704
 705 ^[Top](#top)
 706
 707 * UID 4b
 708 * ATQA: fixed
 709 * SAK: fixed
 710 * BCC: computed
 711 * ATS: 0978009102DABC1910F005
 712 * PRNG: weak
 713
 714 #### MIFARE Classic DirectWrite flavour 3
 715
 716 ^[Top](#top)
 717
 718 * UID 4b
 719 * ATQA: play blindly the block0 ATQA bytes, beware!
 720 * SAK: fixed
 721 * BCC: play blindly the block0 BCC byte, beware!
 722 * ATS: no
 723 * PRNG: weak
 724
 725 #### MIFARE Classic DirectWrite flavour 4
 726
 727 ^[Top](#top)
 728
 729 * UID 7b
 730 * ATQA: fixed
 731 * SAK: fixed
 732 * BCC: computed
 733 * ATS: 0978009102DABC1910F005
 734 * PRNG: static 00000000
 735
 736 #### MIFARE Classic DirectWrite flavour 5
 737
 738 ^[Top](#top)
 739
 740 * UID 4b
 741 * ATQA: fixed
 742 * SAK: play blindly the block0 SAK byte, beware!
 743 * BCC: computed
 744 * ATS: no
 745 * PRNG: weak
 746
 747 #### MIFARE Classic DirectWrite flavour 6
 748
 749 ^[Top](#top)
 750
 751 **TODO** need more info
 752
 753 * UID 7b
 754 * ATS: 0D780071028849A13020150608563D
 755
 756 ### Proxmark3 commands
 757
 758 ^[Top](#top)
 759
 760 ```
 761 hf mf wrbl --blk 0 -k FFFFFFFFFFFF -d 11223344440804006263646566676869 --force
 762
 763 hf mf wipe --gen2
 764 ```
 765
 766 When "soft-bricked" (by writing invalid data in block0), these ones may help:
 767
 768 ```
 769 hf 14a config -h
 770 ```
 771
 772 e.g. for 4b UID:
 773
 774 ```
 775 hf 14a config --atqa force --bcc ignore --cl2 skip --rats skip
 776
 777 # for 1k
 778 hf mf wrbl --blk 0 -k FFFFFFFFFFFF -d 11223344440804006263646566676869 --force
 779
 780 # for 4k
 781 hf mf wrbl --blk 0 -k FFFFFFFFFFFF -d 11223344441802006263646566676869 --force
 782
 783 hf 14a config --std
 784 hf 14a reader
 785 ```
 786
 787 e.g. for 7b UID:
 788
 789 ```
 790 hf 14a config --atqa force --bcc ignore --cl2 force --cl3 skip --rats skip
 791
 792 # for 1k
 793 hf mf wrbl --blk 0 -k FFFFFFFFFFFF -d 04112233445566084400626364656667 --force
 794
 795 # for 4k
 796 hf mf wrbl --blk 0 -k FFFFFFFFFFFF -d 04112233445566184200626364656667 --force
 797
 798 hf 14a config --std
 799 hf 14a reader
 800 ```
 801
 802 ## MIFARE Classic Gen3 aka APDU
 803
 804 ^[Top](#top)
 805
 806 ### Identify
 807
 808 ^[Top](#top)
 809
 810 ```
 811 hf mf info
 812 ...
 813 [+] Magic capabilities... Gen 3 / APDU ( possibly )
 814 ```
 815
 816 ### Magic commands
 817
 818 ^[Top](#top)
 819
 820 Android compatible
 821
 822 * issue special APDUs
 823
 824 ```
 825 cla  ins p1  p2  len
 826  90  F0  CC  CC  10 <block0>  - write block 0
 827  90  FB  CC  CC  07 <uid>     - change uid (independently of block0 data)
 828  90  FD  11  11  00           - lock permanently
 829 ```
 830
 831 It seems the length byte gets ignored anyway.
 832
 833 Note: it seems some cards only accept the "change UID" command.
 834
 835 It accepts direct read of block0 (and only block0) without prior auth.
 836
 837 Writing to block 0 has some side-effects:
 838
 839 * It changes also the UID. Changing the UID *does not* change block 0.
 840 * ATQA and SAK bytes are automatically replaced by fixed values.
 841 * On 4-byte UID cards, BCC byte is automatically corrected.
 842
 843 ### Characteristics
 844
 845 ^[Top](#top)
 846
 847 * UID: 4b and 7b versions
 848 * ATQA/SAK: fixed
 849 * BCC: auto
 850 * ATS: none
 851
 852 ### Proxmark3 commands
 853
 854 ^[Top](#top)
 855
 856 ```
 857 # change just UID:
 858 hf mf gen3uid
 859 # write block0:
 860 hf mf gen3blk
 861 # lock (uid/block0?) forever:
 862 hf mf gen3freeze
 863 ```
 864
 865 See also
 866
 867 ```
 868 script run hf_mf_gen3_writer -h
 869 ```
 870
 871 Equivalent:
 872
 873 ```
 874 # change just UID:
 875 hf 14a raw -s -c  -t 2000  90FBCCCC07 11223344556677
 876 # read block0:
 877 hf 14a raw -s -c 3000
 878 # write block0:
 879 hf 14a raw -s -c  -t 2000  90F0CCCC10 041219c3219316984200e32000000000
 880 # lock (uid/block0?) forever:
 881 hf 14a raw -s -c 90FD111100
 882 ```
 883
 884 ## MIFARE Classic USCUID
 885
 886 ^[Top](#top)
 887
 888 TLDR: These magic cards have a 16 byte long configuration page, which usually starts with 0x85.
 889 All of the known tags are using this, except for Ultralight tags, are listed here.
 890
 891 You cannot turn a Classic tag into an Ultralight and vice-versa!
 892
 893 ### Characteristics
 894
 895 ^[Top](#top)
 896
 897 * UID: 4/7 bytes
 898 * ATQA: always read from block 0
 899 * SAK: read from backdoor or configuration
 900 * BCC: read from memory, beware!
 901 * ATS: no/unknown
 902
 903 ### Identify
 904
 905 ^[Top](#top)
 906
 907 ```
 908 hf mf info
 909 ...
 910 [+] Magic capabilities... Gen 4 GDM / USCUID ( Magic Auth/Gen1 Magic Wakeup/Alt Magic Wakeup )
 911 ```
 912
 913 Possible tag wakeup mechanisms are:
 914
 915 * Magic Auth
 916 * Gen1 Magic Wakeup
 917 * Alt Magic Wakeup
 918
 919 ### Magic commands
 920
 921 ^[Top](#top)
 922
 923 * Magic authentication: select, `8000+crc`, `[Crypto1 Auth: 000000000000]`
 924   * Backdoor read: `38xx+crc`
 925   * Backdoor write: `A8xx+crc`, `[16 bytes data]+crc`
 926   * Read configuration: `E000+crc`
 927   * Write configuration: `E100+crc`; `[16 bytes data]+crc`
 928 * Magic wakeup (A: 00): `40(7)`, `43`
 929 * Magic wakeup (B: 85): `20(7)`, `23`
 930   * Backdoor read main block: `30xx+crc`
 931   * Backdoor write main block: `A0xx+crc`, `[16 bytes data]+crc`
 932   * Read hidden block: `38xx+crc`
 933   * Write hidden block: `A8xx+crc`, `[16 bytes data]+crc`
 934   * Read configuration: `E000+crc`
 935   * Write configuration: `E100+crc`
 936
 937 * **DANGER**
 938   * Set main memory and config to 00 `F000+crc`
 939   * Set main memory and config to FF `F100+crc`
 940   * Set main memory and config to 55 (no 0A response) `F600+crc`
 941   * Set backdoor memory to 00 `F800+crc`
 942   * Set backdoor memory to FF `F900+crc`
 943   * Set backdoor memory to 55 (no 0A response) `FE00+crc`
 944
 945 ### USCUID configuration guide
 946
 947 ^[Top](#top)
 948
 949 1. Configuration
 950
 951 ```
 952 85000000000000000000000000000008
 953       ^^^^^^    ^^          ^^   >> ??? Mystery ???
 954 ^^^^                             >> Gen1a mode (works with bitflip)
 955     ^^                           >> Magic wakeup command (00 for 40-43; 85 for 20-23)
 956             ^^                   >> Block use of Key B if readable by ACL
 957               ^^                 >> CUID mode
 958                   ^^             >> MFC EV1 CL2 Perso config*
 959                     ^^           >> Shadow mode**
 960                       ^^         >> Magic Auth command
 961                         ^^       >> Static encrypted nonce mode
 962                           ^^     >> Signature sector
 963                               ^^ >> SAK***
 964
 965 To enable an option, set it to 5A.
 966 * 5A - unfused F0. C3 - F0: CL2 UID; A5 - F1: CL2 UID with anticollision shortcut; 87 - F2: CL1 Random UID; 69 - F3: CL1 non-UID. Anything else is going to be ignored, and set as 4 bytes.
 967 ** Do not change the real ACL! Backdoor commands only acknowledge FF0780. To recover, disable this byte and issue regular write to sector trailer.
 968 *** If perso byte is enabled, this SAK is ignored, and hidden SAK is used instead.
 969 ```
 970
 971 * Gen1a mode:                            Allow using custom wakeup commands, like real gen1a chip, to run backdoor commands, as well as some extras.
 972 * Magic wakeup command:                  Use different wakeup commands for entering Gen1a mode. A) 00 - 40(7), 43; B) 85 - 20(7), 23.
 973 * Block use of Key B if readable by ACL: Per the MF1ICS50 datasheet, if Key B is readable by the ACL, using it shall give a Cmd Error 04. This option controls whether it happens or not.
 974 * CUID mode:                             Allow direct write to block 0, instead of giving Cmd Error 04.
 975 * MFC EV1 CL2 Perso config:              When configured, the tag behaves like a real Mifare Classic EV1 7B UID tag, and reads UID from backdoor blocks. Otherwise, the tag acts like a 4 byte tag.
 976 * Shadow mode:                           Writes to memory persisting in tag RAM. As soon as no power is left, the contents are restored to saved data.
 977 * Magic Auth Command:                    Acknowledge command `8000` after selection, and call for Crypto1 auth with key `000000000000`.
 978 * Static encrypted nonce mode:           Use static encrypted nonces for authentication, making key recovery impossible.
 979 * Signature sector:                      Acknowledge auth commands to sector 17, which is stored in backdoor sector 1.
 980 * SAK:                                   If perso byte is not set, after UID select, send this value.
 981
 982 2. Backdoor blocks
 983
 984 ```
 985
 986 Sector 0
 987 88 04 BD E5 D4 04 6A BB 5B 80 0A 08 44 00 00 00 - Block 0: Perso F0, F1 data
 988 ^^ ^^ ^^ ^^                                     - UID0
 989             ^^                                  - BCC0
 990                ^^                               - SAK0 (0x04 to call for CL2)
 991                   ^^ ^^ ^^ ^^                   - UID1
 992                               ^^                - BCC1
 993                                  ^^             - SAK1
 994                                     ^^ ^^ ^^ ^^ - Unused
 995 04 BD E5 6A 36 08 00 00 00 00 00 00 00 00 00 00 - Block 1: Perso F3 data
 996 ^^ ^^ ^^ ^^                                     - UID0
 997             ^^                                  - BCC0
 998                ^^                               - SAK0
 999                   ^^ ^^ ^^ ^^ ^^ ^^ ^^ ^^ ^^ ^^ - Unused
1000 Block 2: unused
1001 Block 3: ignored (custom keys, acl; broken acl ignored - anticollision will still work)
1002 Sector 1
1003 [Signature sector (#17) - needs config byte 13 (from 0) enabled to allow auth]
1004 Sectors 2-15
1005 [Unused]
1006 ```
1007
1008 ### Proxmark3 commands
1009
1010 ^[Top](#top)
1011
1012 ```
1013 # Read config block from card
1014 hf mf gdmcfg
1015
1016 # Write config block to card
1017 hf mf gdmsetcfg
1018
1019 # Parse config block to card
1020 hf mf gdmparsecfg
1021
1022 # Write block to card
1023 hf mf gdmsetblk
1024 ```
1025
1026 ### libnfc commands
1027
1028 ^[Top](#top)
1029 No implemented commands today
1030
1031 ### Variations
1032
1033 ^[Top](#top)
1034 | Factory configuration | Name |
1035 | --- | --- |
1036 | 850000000000000000005A5A00000008 | GDM |
1037 | 850000000000005A00FF005A00000008 | GDCUID |
1038 | 850000000000005A0000005A5A5A0008 | UCUID |
1039 | 8500000000005A00005A005A005A0008 | "7 byte hard" |
1040 | 7AFF850102015A00005A005A005A0008 | M1-7B |
1041 | 7AFF85000000000000FF000000000008 | FUID |
1042 | 7AFF000000000000BAFA358500000008 | PFUID |
1043 | 7AFF000000000000BAFA000000000008 | UFUID |
1044 | 7AFF0000000000000000000000000008 | ZUID |
1045
1046 *Not all tags are the same!* UFUID, ZUID and PFUID* are not full implementations of Magic85 - they only acknowledge the first 8 (except wakeup command) and last config byte(s).
1047
1048 *Read and write config commands are flipped
1049
1050 Well-known variations are described below.
1051
1052 ## FUID
1053
1054 ^[Top](#top)
1055
1056 Known as "write only once", which is only partially true.
1057
1058 Allows direct write to block 0 only when UID is default `AA55C396`. But always could be rewritten multiple times with backdoors commands.
1059
1060 Backdoor commands are available even after the personalization and makes that tag detectable.
1061
1062 That's a key difference from [OTP](#mifare-classic-direct-write-otp)/[OTP 2.0](#mifare-classic-otp-20) tags.
1063
1064 ### Characteristics
1065
1066 ^[Top](#top)
1067
1068 * Configuration block value: `7AFF85000000000000FF000000000008`
1069 * Initial UID: `AA55C396`
1070 * Allows direct write to the block 0 (before the personalisation), so is Android compatible
1071 * Responds to magic wakeup `20(7)`, `23` commands
1072
1073 ### Identify
1074
1075 ^[Top](#top)
1076
1077 ```
1078 hf mf info
1079 ...
1080 [+] Magic capabilities... Gen 4 GDM / USCUID ( Alt Magic Wakeup )
1081 [+] Magic capabilities... Write Once / FUID
1082
1083 ```
1084
1085 ### Parsed configuration
1086
1087 ^[Top](#top)
1088
1089 ```
1090 [usb] pm3 --> hf mf gdmcfg --gdm
1091 [+] Config... 7A FF 85 00 00 00 00 00 00 FF 00 00 00 00 00 08
1092 [+]           7A FF .......................................... Magic wakeup enabled with GDM config block access
1093 [+]                 85 ....................................... Magic wakeup style GDM 20(7)/23
1094 [+]                    00 00 00 .............................. Unknown
1095 [+]                             00 ........................... Key B use allowed when readable by ACL
1096 [+]                                00 ........................ Block 0 Direct Write Disabled (CUID)
1097 [+]                                   00 ..................... Unknown
1098 [+]                                      FF .................. MFC EV1 personalization: 4B UID from Block 0
1099 [+]                                         00 ............... Shadow mode disabled
1100 [+]                                           00 ............. Magic auth disabled
1101 [+]                                             00 ........... Static encrypted nonce disabled
1102 [+]                                               00 ......... MFC EV1 signature disabled
1103 [+]                                                  00 ...... Unknown
1104 [+]                                                     08 ... SAK
1105 ```
1106
1107 ### Commands
1108
1109 ^[Top](#top)
1110
1111 * Magic wakeup: `20(7)`, `23`
1112   * Backdoor read main block: `30xx+crc`
1113   * Backdoor write main block: `A0xx+crc`, `[16 bytes data]+crc`
1114   * Read hidden block: `38xx+crc`
1115   * Write hidden block: `A8xx+crc`, `[16 bytes data]+crc`
1116   * Read configuration: `E000+crc`
1117   * Write configuration: `E100+crc`
1118 * Example of changing block 0 after the personalization:
1119
1120 ```
1121 [usb] pm3 --> hf 14a raw -k -a -b 7 20
1122 [+] 0A
1123 [usb] pm3 --> hf 14a raw -k -a 23
1124 [+] 0A
1125 [usb] pm3 --> hf 14a raw -c -k -a A000
1126 [+] 0A
1127 [usb] pm3 --> hf 14a raw -c -k -a B502454EBC0804000168AA8947CE4D1D <- Writing 0 block with the backdoor command
1128 [+] 0A
1129 [usb] pm3 --> hf 14a raw -c -a 5000
1130 [usb] pm3 --> hf mf rdbl --blk 0
1131
1132 [=]   # | sector 00 / 0x00                                | ascii
1133 [=] ----+-------------------------------------------------+-----------------
1134 [=]   0 | B5 02 45 4E BC 08 04 00 01 68 AA 89 47 CE 4D 1D | ..EN.....h..G.M.
1135 ```
1136
1137 ### Proxmark3 commands
1138
1139 ^[Top](#top)
1140
1141 * `hf mf gdmcfg --gdm`
1142 * `hf mf gdmsetcfg --gdm`
1143 * `hf mf gdmsetblk --gdm`
1144
1145 ## UFUID
1146
1147 ^[Top](#top)
1148
1149 The tag is positioned as "sealable UID", so that means you could use the same commands, as you could use for UID chip in a default state. But after the sealing (changing the configuration) tag will not answer to the backdoor commands and will behave as a normal Mifare Classic tag.
1150
1151 *But at the same time there is some unidentified behavior, which doesn't fully corresponds the protocol and original Mifare Classic tags. So the tag could be filtered out with a protocol-based filters (i.e. Iron Logic OTP2 filter).*
1152
1153 ### Characteristics
1154
1155 ^[Top](#top)
1156
1157 * Configuration block value: `7AFF000000000000BAFA000000000008`
1158 * No direct write to block 0
1159 * Responds to magic wakeup `40(7)`, `43` commands before the sealing
1160 * Acknowledge only the first (except wakeup command) and last config byte(s), so doesn't have the hidden block
1161
1162 ### Identify
1163
1164 ^[Top](#top)
1165
1166 ```
1167 hf mf info
1168 ...
1169 [+] Magic capabilities... Gen 1a
1170 [+] Magic capabilities... Gen 4 GDM / USCUID ( Gen1 Magic Wakeup )
1171
1172 ```
1173
1174 Currently Proxmark3 doesn't identify it as a separate tag.
1175 Before the sealing could be detected from the config block value.
1176
1177 ### Parsed configuration
1178
1179 ^[Top](#top)
1180
1181 ```
1182 [usb] pm3 --> hf mf gdmcfg --gen1a
1183 [+] Config... 7A FF 00 00 00 00 00 00 BA FA 00 00 00 00 00 08
1184 [+]           7A FF .......................................... Magic wakeup enabled with GDM config block access
1185 [+]                 00 ....................................... Magic wakeup style Gen1a 40(7)/43
1186 [+]                    00 00 00 .............................. Unknown
1187 [+]                             00 ........................... Key B use allowed when readable by ACL
1188 [+]                                00 ........................ Block 0 Direct Write Disabled (CUID)
1189 [+]                                   BA ..................... Unknown
1190 [+]                                      FA .................. MFC EV1 personalization: 4B UID from Block 0
1191 [+]                                         00 ............... Shadow mode disabled
1192 [+]                                           00 ............. Magic auth disabled
1193 [+]                                             00 ........... Static encrypted nonce disabled
1194 [+]                                               00 ......... MFC EV1 signature disabled
1195 [+]                                                  00 ...... Unknown
1196 [+]                                                     08 ... SAK
1197 ```
1198
1199 ### Commands
1200
1201 ^[Top](#top)
1202
1203 All commands are available before sealing. After the sealing acts as a Mifare Classic 1K tag.
1204
1205 * Magic wakeup: `40(7)`, `43`
1206   * Backdoor read main block: `30xx+crc`
1207   * Backdoor write main block: `A0xx+crc`, `[16 bytes data]+crc`
1208   * Read configuration: `E000+crc`
1209   * Write configuration: `E100+crc`
1210 * Example of the sealing, performed by Chinese copiers in raw commands:
1211
1212 ```
1213 hf 14a raw -a -k -b 7 40
1214 hf 14a raw    -k      43
1215 hf 14a raw    -k -c   e100
1216 hf 14a raw       -c   85000000000000000000000000000008
1217 ```
1218
1219 ### Proxmark3 commands
1220
1221 ^[Top](#top)
1222
1223 All commands are available before sealing.
1224
1225 * `hf mf gdmcfg --gen1a`
1226 * `hf mf gdmsetcfg --gen1a`
1227 * `hf mf gdmsetblk --gen1a`
1228 * `hf mf csetuid`
1229 * `hf mf cwipe`
1230 * `hf mf csetblk`
1231 * `hf mf cgetblk`
1232 * `hf mf cgetsc`
1233 * `hf mf cload`
1234 * `hf mf csave`
1235 * `hf mf cview`
1236
1237 ## ZUID
1238
1239 ^[Top](#top)
1240
1241 That tag is a UID tag, built on USCUID chip. It doesn't sold separately, but could be found on marketplaces under the guise of a UID tag.
1242
1243 ### Characteristics
1244
1245 ^[Top](#top)
1246
1247 * Configuration block value: `7AFF0000000000000000000000000008`
1248 * No direct write to block 0
1249 * Responds to magic wakeup `40(7)`, `43` commands
1250 * Acknowledge only the first (except wakeup command) and last config byte(s), so doesn't have the hidden block
1251
1252 ### Identify
1253
1254 ^[Top](#top)
1255
1256 ```
1257 hf mf info
1258 ...
1259 [+] Magic capabilities... Gen 1a
1260 [+] Magic capabilities... Gen 4 GDM / USCUID ( Gen1 Magic Wakeup )
1261
1262 ```
1263
1264 Currently Proxmark3 doesn't identify it as a separate tag.
1265 Could be detected from the config block value.
1266
1267 ### Parsed configuration
1268
1269 ^[Top](#top)
1270
1271 ```
1272 [usb] pm3 --> hf mf gdmcfg --gen1a
1273 [+] Config... 7A FF 00 00 00 00 00 00 00 00 00 00 00 00 00 08
1274 [+]           7A FF .......................................... Magic wakeup enabled with GDM config block access
1275 [+]                 00 ....................................... Magic wakeup style Gen1a 40(7)/43
1276 [+]                    00 00 00 .............................. Unknown
1277 [+]                             00 ........................... Key B use allowed when readable by ACL
1278 [+]                                00 ........................ Block 0 Direct Write Disabled (CUID)
1279 [+]                                   00 ..................... Unknown
1280 [+]                                      00 .................. MFC EV1 personalization: 4B UID from Block 0
1281 [+]                                         00 ............... Shadow mode disabled
1282 [+]                                           00 ............. Magic auth disabled
1283 [+]                                             00 ........... Static encrypted nonce disabled
1284 [+]                                               00 ......... MFC EV1 signature disabled
1285 [+]                                                  00 ...... Unknown
1286 [+]                                                     08 ... SAK
1287 ```
1288
1289 ### Commands
1290
1291 ^[Top](#top)
1292
1293 * Magic wakeup: `40(7)`, `43`
1294   * Backdoor read main block: `30xx+crc`
1295   * Backdoor write main block: `A0xx+crc`, `[16 bytes data]+crc`
1296   * Read hidden block: `38xx+crc`
1297   * Write hidden block: `A8xx+crc`, `[16 bytes data]+crc`
1298   * Read configuration: `E000+crc`
1299   * Write configuration: `E100+crc`
1300
1301 ### Proxmark3 commands
1302
1303 ^[Top](#top)
1304
1305 * `hf mf gdmcfg --gen1a`
1306 * `hf mf gdmsetcfg --gen1a`
1307 * `hf mf gdmsetblk --gen1a`
1308 * `hf mf csetuid`
1309 * `hf mf cwipe`
1310 * `hf mf csetblk`
1311 * `hf mf cgetblk`
1312 * `hf mf cgetsc`
1313 * `hf mf cload`
1314 * `hf mf csave`
1315 * `hf mf cview`
1316
1317 ## GDM
1318
1319 ^[Top](#top)
1320
1321 The tag has a shadow mode, which means that every change to normal MFC memory would be restored back from the persistent memory after being off RFID field.
1322
1323 * Other names:
1324   * GDMIC
1325
1326 ### Characteristics
1327
1328 ^[Top](#top)
1329
1330 * Configuration block value: `850000000000000000005A5A00000008`
1331 * No direct write to block 0
1332 * Responds to magic authentication: select, `8000+crc`, `[Crypto1 Auth: 000000000000]`
1333
1334 ### Identify
1335
1336 ^[Top](#top)
1337
1338 ```
1339 hf mf info
1340 ...
1341 [+] Magic capabilities... Gen 4 GDM / USCUID ( Magic Auth )
1342
1343 ```
1344
1345 Could be manually validated with the configuration block value.
1346
1347 ### Parsed configuration
1348
1349 ^[Top](#top)
1350
1351 ```
1352 [usb] pm3 --> hf mf gdmcfg
1353 [+] Config... 85 00 00 00 00 00 00 00 00 00 5A 5A 00 00 00 08
1354 [+]           85 00 .......................................... Magic wakeup disabled
1355 [+]                 00 ....................................... Magic wakeup style Gen1a 40(7)/43
1356 [+]                    00 00 00 .............................. Unknown
1357 [+]                             00 ........................... Key B use allowed when readable by ACL
1358 [+]                                00 ........................ Block 0 Direct Write Disabled (CUID)
1359 [+]                                   00 ..................... Unknown
1360 [+]                                      00 .................. MFC EV1 personalization: 4B UID from Block 0
1361 [+]                                         5A ............... Shadow mode enabled
1362 [+]                                           5A ............. Magic auth enabled
1363 [+]                                             00 ........... Static encrypted nonce disabled
1364 [+]                                               00 ......... MFC EV1 signature disabled
1365 [+]                                                  00 ...... Unknown
1366 [+]                                                     08 ... SAK
1367 ```
1368
1369 ### Commands
1370
1371 ^[Top](#top)
1372
1373 * Magic authentication: select, `8000+crc`, `[Crypto1 Auth: 000000000000]`
1374   * Backdoor read: `38xx+crc`
1375   * Backdoor write: `A8xx+crc`, `[16 bytes data]+crc`
1376   * Read configuration: `E000+crc`
1377   * Write configuration: `E100+crc`; `[16 bytes data]+crc`
1378
1379 ### Proxmark3 commands
1380
1381 ^[Top](#top)
1382
1383 * Backdoor write: `gdmsetcfg`
1384 * Read configuration: `gdmcfg`
1385 * Write configuration: `gdmsetcfg`
1386
1387 ## GDCUID
1388
1389 ^[Top](#top)
1390
1391 That tag is a CUID tag, built on USCUID chip. It doesn't sold separately, but could be found on marketplaces under the guise of a CUID tag.
1392
1393 ### Characteristics
1394
1395 ^[Top](#top)
1396
1397 * Configuration block value: `850000000000005A00FF005A00000008`
1398 * Allows direct write to the block 0, so is Android compatible
1399 * Responds to magic authentication: select, `8000+crc`, `[Crypto1 Auth: 000000000000]`
1400
1401 ### Identify
1402
1403 ^[Top](#top)
1404
1405 ```
1406 hf mf info
1407 ...
1408 [+] Magic capabilities... Gen 2 / CUID
1409 [+] Magic capabilities... Gen 4 GDM / USCUID ( Magic Auth )
1410
1411 ```
1412
1413 Currently Proxmark3 doesn't identify it as a separate tag.
1414 Could be manually validated with the configuration block value.
1415
1416 ### Parsed configuration
1417
1418 ^[Top](#top)
1419
1420 ```
1421 [usb] pm3 --> hf mf gdmcfg
1422 [+] Config... 85 00 00 00 00 00 00 5A 00 FF 00 5A 00 00 00 08
1423 [+]           85 00 .......................................... Magic wakeup disabled
1424 [+]                 00 ....................................... Magic wakeup style Gen1a 40(7)/43
1425 [+]                    00 00 00 .............................. Unknown
1426 [+]                             00 ........................... Key B use allowed when readable by ACL
1427 [+]                                5A ........................ Block 0 Direct Write Enabled (CUID)
1428 [+]                                   00 ..................... Unknown
1429 [+]                                      FF .................. MFC EV1 personalization: 4B UID from Block 0
1430 [+]                                         00 ............... Shadow mode disabled
1431 [+]                                           5A ............. Magic auth enabled
1432 [+]                                             00 ........... Static encrypted nonce disabled
1433 [+]                                               00 ......... MFC EV1 signature disabled
1434 [+]                                                  00 ...... Unknown
1435 [+]                                                     08 ... SAK
1436 ```
1437
1438 ### Commands
1439
1440 ^[Top](#top)
1441
1442 * Magic authentication: select, `8000+crc`, `[Crypto1 Auth: 000000000000]`
1443   * Backdoor read: `38xx+crc`
1444   * Backdoor write: `A8xx+crc`, `[16 bytes data]+crc`
1445   * Read configuration: `E000+crc`
1446   * Write configuration: `E100+crc`; `[16 bytes data]+crc`
1447
1448 ### Proxmark3 commands
1449
1450 ^[Top](#top)
1451
1452 * Backdoor write: `gdmsetcfg`
1453 * Read configuration: `gdmcfg`
1454 * Write configuration: `gdmsetcfg`
1455
1456 ## MIFARE Classic, other versions
1457
1458 ^[Top](#top)
1459
1460 **TODO**
1461
1462 * ZXUID, EUID, ICUID, KUID?
1463
1464 ## MIFARE Classic Super
1465
1466 ^[Top](#top)
1467
1468 It behaves like regular Mifare Classic but records reader auth attempts.
1469
1470 ### MIFARE Classic Super Gen1
1471
1472 ^[Top](#top)
1473
1474 Old type of cards, hard to obtain. They are DirectWrite, UID can be changed via 0 block or backdoor commands.
1475
1476 * UID: 4b version
1477 * ATQA/SAK: fixed
1478 * BCC: auto
1479 * ATS: fixed, 0978009102DABC1910F005
1480
1481 ATQA/SAK matches 1k card, but works as 4k card.
1482
1483 Backdoor commands provided over APDU. Format:
1484
1485 ```
1486 00 A6 A0 00 05 FF FF FF FF 00
1487 ^^ ^^                         Backdoor command header
1488       ^^                      Backdoor command (A0 - set UID/B0 - get trace/C0 - reset card)
1489          ^^                   Type of answer (used in key recovery to select trace number)
1490             ^^                Length of user provided data
1491                ^^ ^^ ^^ ^^ ^^ User data
1492 ```
1493
1494 👉 You can't change UID with backdoor command if incorrect data is written to the 0 sector trailer!
1495
1496 ### MIFARE Classic Super Gen1B
1497
1498 DirectWrite card, ATS unknown. Probably same as Gen1, except backdoor commands.
1499 Implementation: https://github.com/netscylla/super-card/blob/master/libnfc-1.7.1/utils/nfc-super.c
1500
1501 ### MIFARE Classic Super Gen2
1502
1503 ^[Top](#top)
1504
1505 New generation of cards, based on limited Gen4 chip. Emulates Gen1 backdoor protocol, but can store up to 7 different traces.
1506
1507 Card always answers `ff  ff  ff  ff` as `at`, so reading/writing it via Mifare protocol is impossible.
1508
1509 UID is changeable via UMC backdoor write to 0 block.
1510
1511 * UID: 4b and 7b versions
1512 * ATQA/SAK: fixed
1513 * BCC: auto
1514 * ATS: changeable, default as Gen1
1515
1516 Gen4 commands available:
1517
1518 ```
1519 CF <passwd> 34 <1b length><0-16b ATS>            // Configure ATS
1520 CF <passwd> CC                                   // Version information, returns 00 00 00 02 AA
1521 CF <passwd> CD <1b block number><16b block data> // Backdoor write 16b block
1522 CF <passwd> CE <1b block number>                 // Backdoor read 16b block
1523 CF <passwd> FE <4b new_password>                 // Change password
1524 ```
1525
1526 ### MIFARE Classic Super Furui
1527
1528 ^[Top](#top)
1529
1530 #### Characteristics
1531
1532 ^[Top](#top)
1533
1534 * SAK/ATQA: play blindly the block0 bytes, beware!
1535 * BCC: play blindly the block0 BCC bytes, beware!
1536 * PRNG: hard
1537
1538 **!!!WARNING!!!** This tag can die for no reason (no reply to WUPA/REQA). We don't know why this happens.
1539
1540 #### Identify
1541
1542 ^[Top](#top)
1543
1544 ```
1545 [usb] pm3 --> hf 14a raw -sct 250 AAA500000000000000000000000000000000
1546 [+] 90 00
1547 ```
1548
1549 #### Magic commands
1550
1551 ^[Top](#top)
1552
1553 * Configure: `AAA5[16 byte config]`+crc
1554 * Write block 0: `AAA4[4b UID][1b BCC][1b SAK][2b ATQA reversed]0000000000000000`+crc
1555 * Recover trace: `AAA8[00/01][00-08]`+crc
1556
1557 Caution: tag does not append CRC to magic responses!
1558
1559 Please use config as 00 bytes.
1560
1561 Parsing traces:
1562
1563 ```
1564 44 33 22 11 03 61 08 68 7A C7 4B 62 43 A6 11 6F 64 F3
1565 ^^ ^^ ^^ ^^                                           -- UID
1566             ^^ ^^                                     -- auth command, reversed
1567                   ^^ ^^ ^^ ^^                         -- Auth (nt)
1568                               ^^ ^^ ^^ ^^             -- Auth (nr)
1569                                           ^^ ^^ ^^ ^^ -- Auth (ar)
1570 ```
1571
1572 ### Identify
1573
1574 ^[Top](#top)
1575
1576 Only Gen1/Gen2 at this moment (Gen1B is unsupported):
1577
1578 ```
1579 hf mf info
1580 ...
1581 [+] Magic capabilities... Super card ( Gen ? )
1582 ```
1583
1584 ### Proxmark3 commands
1585
1586 ```
1587 [usb] pm3 --> hf mf supercard
1588 ...
1589
1590 [usb] pm3 --> hf mf supercard --furui
1591 ...
1592 ```
1593
1594 # MIFARE Ultralight
1595
1596 ^[Top](#top)
1597
1598 ## MIFARE Ultralight blocks 0..2
1599
1600 ^[Top](#top)
1601
1602 ```
1603 SN0  SN1  SN2  BCC0
1604 SN3  SN4  SN5  SN6
1605 BCC1 Int  LCK0 LCK1
1606 ```
1607
1608 UID is made of SN0..SN6 bytes
1609
1610 Computing BCC0 on UID 04112233445566: `analyse lcr -d 88041122` = `bf`
1611
1612 Computing BCC1 on UID 04112233445566: `analyse lcr -d 33445566` = `44`
1613
1614 Int is internal, typically 0x48
1615
1616 Anticol shortcut (CL1/3000) is supported for UL, ULC, NTAG except NTAG I2C
1617
1618 Some cards have a password: `B6AA558D`. Usually "copykey" chips.
1619
1620 ## MIFARE Ultralight Gen1A
1621
1622 ^[Top](#top)
1623
1624 ### Identify
1625
1626 **TODO**
1627
1628 ### Characteristics
1629
1630 #### Magic commands
1631
1632 **TODO**
1633
1634 #### UID
1635
1636 Only 7b versions
1637
1638 #### SAK, ATQA, BCC, ATS
1639
1640 **TODO** need more tests
1641
1642 ### Proxmark3 commands
1643
1644 ^[Top](#top)
1645
1646 ```
1647 script run hf_mfu_setuid -h
1648 ```
1649
1650 When "soft-bricked" (by writing invalid data in block0), these ones may help:
1651
1652 ```
1653 hf 14a config -h
1654 script run hf_mf_magicrevive -u
1655 ```
1656
1657 ## MIFARE Ultralight DirectWrite
1658
1659 ^[Top](#top)
1660
1661 ### Identify
1662
1663 ^[Top](#top)
1664
1665 ```
1666 hf 14a info
1667 ...
1668 [+] Magic capabilities : Gen 2 / CUID
1669 ```
1670
1671 It seems so far that all MFUL DW have an ATS response in factory configuration.
1672
1673 ### Magic commands
1674
1675 ^[Top](#top)
1676
1677 Issue three regular MFU write commands in a row to write first three blocks.
1678
1679 ### Characteristics
1680
1681 ^[Top](#top)
1682
1683 * UID: Only 7b versions
1684 * ATQA:
1685   * all cards play fix ATQA
1686 * SAK:
1687   * all cards play fix SAK
1688 * BCC:
1689   * some cards play blindly the block0 BCC0 and block2 BCC1 bytes, beware!
1690   * some cards compute proper BCC0 and BCC1 in anticollision
1691 * ATS:
1692   * all cards reply with an ATS
1693
1694 #### MIFARE Ultralight DirectWrite flavour 1
1695
1696 ^[Top](#top)
1697
1698 * BCC: computed
1699 * ATS: 0A78008102DBA0C119402AB5
1700 * Anticol shortcut (CL1/3000): fails
1701
1702 ### Proxmark3 commands
1703
1704 ^[Top](#top)
1705
1706 ```
1707 hf mfu setuid -h
1708 ```
1709
1710 Equivalent: don't use `hf mfu wrbl` as you need to write three blocks in a row, but do, with proper BCCx:
1711
1712 ```
1713 hf 14a raw -s -c -k a2 00 041122bf
1714 hf 14a raw    -c -k a2 01 33445566
1715 hf 14a raw    -c    a2 02 44480000
1716 ```
1717
1718 When "soft-bricked" (by writing invalid data in block0), these ones may help:
1719
1720 ```
1721 hf 14a config -h
1722 ```
1723
1724 E.g.:
1725
1726 ```
1727 hf 14a config --atqa force --bcc ignore --cl2 force --cl3 skip --rats skip
1728 hf mfu setuid --uid 04112233445566
1729 hf 14a config --std
1730 hf 14a reader
1731 ```
1732
1733 ### libnfc commands
1734
1735 ^[Top](#top)
1736
1737 ```
1738 nfc-mfultralight -h
1739 ```
1740
1741 See `--uid` and `--full`
1742
1743 ### Android
1744
1745 ^[Top](#top)
1746
1747 * MIFARE++ Ultralight
1748
1749 ## MIFARE Ultralight EV1 DirectWrite
1750
1751 ^[Top](#top)
1752
1753 Similar to MFUL DirectWrite
1754
1755 ### Identify
1756
1757 ^[Top](#top)
1758
1759 ```
1760 hf 14a info
1761 ...
1762 [+] Magic capabilities : Gen 2 / CUID
1763 ```
1764
1765 ### Characteristics
1766
1767 ^[Top](#top)
1768
1769 * UID: Only 7b versions
1770 * ATQA:
1771   * all cards play fix ATQA
1772 * SAK:
1773   * all cards play fix SAK
1774 * BCC:
1775   * cards play blindly the block0 BCC0 and block2 BCC1 bytes, beware!
1776 * ATS:
1777   * all cards reply with an ATS
1778
1779 #### MIFARE Ultralight EV1 DirectWrite flavour 1
1780
1781 ^[Top](#top)
1782
1783 * BCC: play blindly the block0 BCC0 and block2 BCC1 bytes, beware!
1784 * ATS: 850000A000000AC30004030101000B0341DF
1785
1786 #### MIFARE Ultralight EV1 DirectWrite flavour 2
1787
1788 ^[Top](#top)
1789
1790 * BCC: play blindly the block0 BCC0 and block2 BCC1 bytes, beware!
1791 * ATS: 850000A00A000AC30004030101000B0316D7
1792
1793 #### MIFARE Ultralight EV1 DirectWrite flavour 3
1794
1795 ^[Top](#top)
1796
1797 * BCC: play blindly the block0 BCC0 and block2 BCC1 bytes, beware!
1798 * ATS: 850000A000000A3C0004030101000E03
1799
1800 ## MIFARE Ultralight C Gen1A
1801
1802 ^[Top](#top)
1803
1804 Similar to MFUL Gen1A
1805
1806 ## MIFARE Ultralight C DirectWrite
1807
1808 ^[Top](#top)
1809
1810 Similar to MFUL DirectWrite
1811
1812 ### Identify
1813
1814 ^[Top](#top)
1815
1816 ```
1817 hf 14a info
1818 ...
1819 [+] Magic capabilities : Gen 2 / CUID
1820 ```
1821
1822 ### Characteristics
1823
1824 ^[Top](#top)
1825
1826 * UID: Only 7b versions
1827 * ATQA:
1828   * all cards play fix ATQA
1829 * SAK:
1830   * all cards play fix SAK
1831 * BCC:
1832   * cards compute proper BCC0 and BCC1 in anticollision
1833 * ATS:
1834   * all cards reply with an ATS
1835
1836 #### MIFARE Ultralight C DirectWrite flavour 1
1837
1838 ^[Top](#top)
1839
1840 * BCC: computed
1841 * ATS: 0A78008102DBA0C119402AB5
1842 * Anticol shortcut (CL1/3000): fails
1843
1844 # NTAG
1845
1846 ^[Top](#top)
1847
1848 ## NTAG213 DirectWrite
1849
1850 ^[Top](#top)
1851
1852 Similar to MFUL DirectWrite
1853
1854 ### Identify
1855
1856 ^[Top](#top)
1857
1858 ```
1859 hf 14a info
1860 ...
1861 [+] Magic capabilities : Gen 2 / CUID
1862 ```
1863
1864 ### Characteristics
1865
1866 ^[Top](#top)
1867
1868 * UID: Only 7b versions
1869 * ATQA:
1870   * all cards play fix ATQA
1871 * SAK:
1872   * all cards play fix SAK
1873 * BCC:
1874   * cards play blindly the block0 BCC0 and block2 BCC1 bytes, beware!
1875 * ATS:
1876   * all cards reply with an ATS
1877
1878 #### NTAG213 DirectWrite flavour 1
1879
1880 ^[Top](#top)
1881
1882 * BCC: play blindly the block0 BCC0 and block2 BCC1 bytes, beware!
1883 * ATS: 0A78008102DBA0C119402AB5
1884 * Anticol shortcut (CL1/3000): succeeds
1885
1886 ## NTAG21x
1887
1888 ^[Top](#top)
1889
1890 ### Identify
1891
1892 ^[Top](#top)
1893
1894 ```
1895 hf 14a info
1896 ...
1897 [+] Magic capabilities : NTAG21x
1898 ```
1899
1900 ### Characteristics
1901
1902 ^[Top](#top)
1903
1904 Emulates fully NTAG213, 213F, 215, 216, 216F
1905
1906 Emulates partially  UL EV1 48k/128k, NTAG210, NTAG212, NTAGI2C 1K/2K, NTAGI2C 1K/2K PLUS
1907
1908 Anticol shortcut (CL1/3000): fails
1909
1910 ### Proxmark3 commands
1911
1912 ^[Top](#top)
1913
1914 ```
1915 script run hf_mfu_magicwrite -h
1916 ```
1917
1918 ## UL series (RU)
1919
1920 ^[Top](#top)
1921
1922 Custom chips, manufactured by iKey LLC for cloning Ultralight tags used in Visit intercoms. That leads to the non-standard for Ultralight chips tag version.
1923
1924 ### UL-Y
1925
1926 ^[Top](#top)
1927
1928 Ultralight magic, 16 pages. Recommended for Vizit RF3.1 with markings "3.1" or "4.1".
1929 Behavior: allows writes to page 0-2.
1930
1931 #### Identify
1932
1933 ^[Top](#top)
1934
1935 ```
1936 hf mfu rdbl --force -b 16
1937 hf 14a raw -sct 250 60
1938 ```
1939
1940 If tag replies with
1941 `Cmd Error: 00`
1942 `00 00 00 00 00 00 00 00`
1943 then it is UL-Y.
1944
1945 ### ULtra
1946
1947 ^[Top](#top)
1948
1949 Ultralight EV1 magic; 41 page. Recommended for Vizit RF3.1 with 41 page.
1950 Behavior: allows writes to page 0-2.
1951
1952 #### Identify
1953
1954 ^[Top](#top)
1955
1956 ```
1957 hf mfu info
1958 ...
1959 [=] TAG IC Signature: 0000000000000000000000000000000000000000000000000000000000000000
1960 [=] --- Tag Version
1961 [=]        Raw bytes: 00 34 21 01 01 00 0E 03
1962 [=]        Vendor ID: 34, Mikron JSC Russia
1963 [=]     Product type: 21, unknown
1964 ```
1965
1966 #### ULtra flavour 1
1967
1968 ^[Top](#top)
1969
1970 Could be identified by indirect evidence before writing
1971
1972 * Initial UID: `34 D7 08 11 AD D7 D0`
1973 * `hf mfu dump --ns`
1974
1975   ```
1976   [=]   3/0x03 | CF 39 A1 C8 | 1 | .9..
1977   [=]   4/0x04 | B6 69 26 0D | 1 | .i&.
1978   [=]   5/0x05 | EC A1 73 C4 | 1 | ..s.
1979   [=]   6/0x06 | 81 3D 29 B8 | 1 | .=).
1980   [=]  16/0x10 | 6A F0 2D FF | 0 | j.-.
1981   [=]  20/0x14 | 6A F0 2D FF | 0 | j.-.
1982   [=]  24/0x18 | 6A F0 2D FF | 0 | j.-.
1983   [=]  38/0x26 | 00 E2 00 00 | 0 | .... <- E2, Virtual Card Type Identifier is not default
1984
1985   ```
1986
1987 #### ULtra flavour 2
1988
1989 ^[Top](#top)
1990
1991 Could be identified by indirect evidence before writing
1992
1993 * Initial UID: `04 15 4A 23 36 2F 81`
1994 * Values in pages `3, 4, 5, 6, 16, 20, 24, 38` are default for that tag flavour
1995
1996 ### UL-5
1997
1998 ^[Top](#top)
1999
2000 Ultralight EV1 magic; 41 page. Recommended for Vizit RF3.1 with 41 page.
2001 Created as a response to filters that try to overwrite page 0 (as a detection for [ULtra](#mifare-ultra) tags).
2002
2003 Behavior: similar to Ultra, but after editing page 0 become locked and tag becomes the original Mifare Ultralight EV1 (except the tag version, which remains specific).
2004
2005 **WARNING!** When using UL-5 to clone, write UID pages in inverse (from 2 to 0) and do NOT make mistakes! This tag does not allow reversing one-way actions (OTP page, lock bits).
2006
2007 #### Identify
2008
2009 ^[Top](#top)
2010
2011 ```
2012 hf mfu info
2013 ...
2014 TAG IC Signature: 0000000000000000000000000000000000000000000000000000000000000000
2015 [=] --- Tag Version
2016 [=]        Raw bytes: 00 34 21 01 01 00 0E 03
2017 [=]        Vendor ID: 34, Mikron JSC Russia
2018 ```
2019
2020 After personalization it is not possible to identify UL-5.
2021
2022 The manufacturer confirmed unpersonalized tags could be identified by first 3 bytes of UID:
2023
2024 * `AA 55 39...`
2025 * `AA 55 C3...`
2026
2027 ### UL, other chips
2028
2029 **TODO**
2030
2031 UL-X, UL-Z - ?
2032
2033 ## MIFARE Ultralight USCUID-UL
2034
2035 ^[Top](#top)
2036
2037 TLDR: These magic cards, like the MFC USCUIDs have a 16 byte long configuration page, comprised of 4 blocks of 4 bytes each. This usually starts with 0x85. All of the known tags use the same format config page.
2038
2039 The cards will respond to a RATS with the config page in the factory configuration.
2040
2041 As with the MFC USCUIDs, one cannot turn a Classic tag into an Ultralight and vice-versa!
2042
2043 ### Characteristics
2044
2045 ^[Top](#top)
2046
2047 * UID: 7 bytes
2048 * ATQA: always read from hidden block `F6`
2049 * SAK: always read from hidden block `F6`
2050 * BCC: read from blocks 0-1 per Ultralight specification
2051 * ATS: These respond to an ATS request with the config page in factory mode.
2052
2053 ### Identify
2054
2055 ^[Top](#top)
2056
2057 In factory config state:
2058
2059 ```
2060 hf 14a info
2061 ...
2062 [=] -------------------------- ATS --------------------------
2063 [!] ATS may be corrupted. Length of ATS (18 bytes incl. 2 Bytes CRC) doesn't match TL
2064 [+] ATS: 85 00 85 A0 00 00 0A A5 00 04 04 02 01 00 0F 03 [ 07 00 ]
2065 ```
2066
2067 If config has been modified to not display config block as ATS response:
2068
2069 ```
2070 hf 14a raw -akb 7 40; hf 14a raw -k 43
2071
2072 OR (depending on the magic wakeup method set)
2073
2074 hf 14a raw -akb 7 20; hf 14a raw -k 23
2075
2076 THEN
2077
2078 hf 14a raw -c e100
2079 [+] 85 00 85 A0 00 00 0A A5 00 04 04 02 01 00 0F 03 [ 07 00 ]
2080 ```
2081
2082 Possible tag wakeup mechanisms are:
2083
2084 * Gen1 Magic Wakeup
2085 * Alt Magic Wakeup
2086
2087 ### Magic commands
2088
2089 ^[Top](#top)
2090
2091 * Magic wakeup (A: 00): `40(7)`, `43`
2092 * Magic wakeup (B: 85): `20(7)`, `23`
2093   * Backdoor read main and hidden block: `30xx+crc`
2094   * Backdoor write main and hidden block: `A2xx[4 bytes data]+crc`
2095   * Read configuration: `E050+crc`
2096   * Write configuration: `E2[offset*4, 1b][data, 4b]+crc`
2097
2098 * **DANGER**
2099   * Set memory and config to 00 `F000+crc`
2100   * Set memory and config to FF `F100+crc`
2101   * Set memory and config to 55 (no 0A response) `F600+crc`
2102
2103 ### USCUID-UL configuration guide
2104
2105 ^[Top](#top)
2106
2107 1. Configuration
2108
2109 ```
2110 0        1        2        3
2111 850000A0 00000AC3 00040301 01000B03
2112            ^^                       >> ??? Mystery ???
2113 ^^^^                                >> Gen1a mode (works with bitflip)
2114     ^^                              >> Magic wakeup command (00 for 40-43; 85 for 20-23)
2115       ^^                            >> Config available using regular mode (ON: A0)
2116          ^^                         >> Do not reply to 1B, making auth impossible
2117              ^^                     >> Do not enforce OTP properties (ON: A0)
2118                ^^                   >> Maximum memory configuration*
2119                   ^^^^^^^^ ^^^^^^^^ >> Version info
2120
2121 * This isn't a customizable value - it's a preset. So far:
2122 C3 = UL11
2123 3C = UL21
2124 00 = UL-C
2125 A5 = NTAG 213
2126 5A = NTAG 215
2127 AA = NTAG 216
2128 55 = Unknown IC w/ 238 pgs.
2129 ```
2130
2131 * Gen1a mode:                            Allow using custom wakeup commands, like real gen1a chip, to run backdoor commands, as well as some extras.
2132 * Magic wakeup command:                  Use different wakeup commands for entering Gen1a mode. A) 00 - 40(7), 43; B) 85 - 20(7), 23.
2133 * Config available using regular mode:   If this option is turned on via A0, the tag will reply to RATS with the config block and the config block can be modified without doing a magic wakeup.
2134
2135 To write config:
2136
2137 You must send config info in E2 packets of 4 bytes each (format: `E2[offset*4, 1b][data, 4b]`), eg for a UL-11 tag:
2138
2139 ```
2140 hf 14a raw -sck E200850000A0; hf 14a raw -ck E20100000AC3; hf 14a raw -ck E20200040301; hf 14a raw -c E20301000B03
2141 ```
2142
2143 2. Hidden blocks
2144
2145 ```
2146 F0: 00000000
2147     ^^^^^^^^                        >> Unknown, usually always 00
2148
2149 F1: 00000000
2150     ^^^^^^^^       >> Unknown, usually always 00
2151
2152 F2: 000000BD
2153     ^^^^^^         >> Unknown, usually always 00
2154           ^^       >> Unknown, usually always BD, possible tearing counter value?
2155
2156 F3: 000000BD
2157     ^^^^^^         >> Unknown, usually always 00
2158           ^^       >> Unknown, usually always BD, possible tearing counter value?
2159
2160 F4: 000000BD
2161     ^^^^^^         >> Unknown, usually always 00
2162           ^^       >> Unknown, usually always BD, possible tearing counter value?
2163
2164 F5: 00000000
2165     ^^^^^^^^       >> Unknown, usually always 00
2166
2167 F6: 44000400
2168     ^^^^           >> ATQA in byte reverse order. 4400 = ATQA of 0044
2169         ^^         >> Unknown, usually always set to 04. Changing this value also has something to do with the SAK value in the next byte
2170           ^^       >> SAK, if previous byte set to 04
2171
2172 F7: 88AF0000
2173     ^^             >> First byte of UID BCC calculation, for Ultralight family is always 88 per the datasheet
2174       ^^           >> Unknown, usually always AF.
2175         ^^^^       >> Unknown, usually always 00
2176
2177 F8 - FF: xxxxxxxx  >> signature
2178 ```
2179
2180 To read / write hidden blocks:
2181
2182 A config block beginning with `7AFF` must be set to enable a `40:43` / `20:23` magic wakeup. From limited testing, the `20:23` magic wakeup is not guaranteed to work, however the `40:43` wakeup works 100% of the time.
2183
2184 You must send config info in A2 packets of 4 bytes each (format: `A2[offset*4, 1b][data, 4b]`), eg for a UL-11 tag:
2185
2186 ```
2187 hf 14a raw -akb 7 40; hf 14a raw -k 43; hf 14a raw -ck A2F2000000BD; hf 14a raw -ck A2F3000000BD; hf 14a raw -ck A2F4000000BD; hf 14a raw -ck A2F644000400; hf 14a raw -c A2F888AF0000
2188 ```
2189
2190 ### Proxmark3 commands
2191
2192 ^[Top](#top)
2193
2194 No implemented commands at time of writing
2195
2196 ### libnfc commands
2197
2198 ^[Top](#top)
2199
2200 No implemented commands at time of writing
2201
2202 ### Variations
2203 ^[Top](#top)
2204 | Factory configuration | Name |
2205 | --- | --- |
2206 | 850000A0 00000AC3 00040301 01000B03 | UL-11 |
2207 | 850000A0 00000A3C 00040301 01000E03 | UL-21 |
2208 | 850000A0 0A000A00 00000000 00000000 | UL-C |
2209 | 850085A0 00000AA5 00040402 01000F03 | NTAG213 |
2210 | 850000A0 00000A5A 00040402 01001103 | NTAG215 |
2211 | 850000A0 00000AAA 00040402 01001303 | NTAG216 |
2212
2213 # DESFire
2214
2215 ^[Top](#top)
2216
2217 ## "DESFire" APDU, 7b UID
2218
2219 ### Identify
2220
2221 **TODO**
2222
2223 ### Magic commands
2224
2225 Android compatible
2226
2227 * issue special APDUs
2228
2229 ### Characteristics
2230
2231 ^[Top](#top)
2232
2233 * ATQA: 0344
2234 * SAK: 20
2235 * ATS: 0675338102005110 or 06757781028002F0
2236
2237 Only mimics DESFire anticollision (but wrong ATS), no further DESFire support
2238
2239 ### Proxmark commands
2240
2241 ^[Top](#top)
2242
2243 UID 04112233445566
2244
2245 ```
2246 hf 14a raw -s -c 0200ab00000704112233445566
2247 ```
2248
2249 or equivalently
2250
2251 ```
2252 hf 14a apdu -s 00ab00000704112233445566
2253 ```
2254
2255 ### libnfc commands
2256
2257 ^[Top](#top)
2258
2259 ```
2260 pn53x-tamashell
2261 4a0100
2262 420200ab00000704112233445566
2263 ```
2264
2265 ## "DESFire" APDU, 4b UID
2266
2267 ^[Top](#top)
2268
2269 ### Magic commands
2270
2271 ^[Top](#top)
2272
2273 Android compatible
2274
2275 * issue special APDUs
2276
2277 ### Characteristics
2278
2279 ^[Top](#top)
2280
2281 * ATQA: 0008
2282   * This is FM1208-9, NOT DESFire!
2283 * SAK: 20
2284 * ATS: 0675338102005110 or 06757781028002F0
2285
2286 Only mimics DESFire anticollision (but wrong ATS), no further DESFire support
2287
2288 ### Proxmark commands
2289
2290 ^[Top](#top)
2291
2292 UID 04112233445566
2293
2294 ```
2295 hf 14a raw -s -c 0200ab00000411223344
2296 ```
2297
2298 or equivalently
2299
2300 ```
2301 hf 14a apdu -s 00ab00000411223344
2302 ```
2303
2304 It accepts longer UID but that doesn't affect BCC/ATQA/SAK
2305
2306 ### pn53x-tamashell commands
2307
2308 ^[Top](#top)
2309
2310 ```
2311 4a0100
2312 420200ab00000411223344
2313 ```
2314
2315 ### Remarks
2316
2317 ^[Top](#top)
2318
2319 The same effect (with better ATQA!) can be obtained with a MFC Gen1A that uses SAK defined in block0:
2320
2321 ```
2322 hf mf csetblk --blk 0 -d 1122334444204403A1A2A3A4A5A6A7A8
2323 hf 14a info
2324 [+]  UID: 11 22 33 44
2325 [+] ATQA: 03 44
2326 [+]  SAK: 20 [1]
2327 [+] Possible types:
2328 [+]    MIFARE DESFire MF3ICD40
2329 ```
2330
2331 # ISO14443B
2332
2333 ^[Top](#top)
2334
2335 ## Tiananxin TCOS CPU card
2336
2337 ^[Top](#top)
2338
2339 This is a card sold on Taobao for testing readers.
2340 ISO14443-4 compliant.
2341
2342 ### Identify
2343
2344 ```
2345 hf 14a apdu -s 90B2900000 // Get Card OS version
2346 >>> 90 B2 90 00 00
2347 <<< 54 43 4F 53 20 56 31 2E 34 2E 30 90 00 | TCOS V1.4.0..
2348 ```
2349
2350 ### Magic commands
2351
2352 All commands in APDU.
2353
2354 ```
2355 CL IN P1 P2 Lc Data
2356 90 F4 CC CC 01 [..1 ] // Change protocol used              (1: ISO14443 [AA - type A, BB - type B])
2357 90 F6 CC CC 01 [TA1 ] // Change TA1 value (transfer speed)
2358 90 F8 CC CC 01 [..1 ] // Use random UID/PUPI value         (1: FF: static, AB: random)
2359 90 F8 DD DD 01 [..1 ] // Set UID length                    (1: bytes in UID (04, 07, 0A for 4, 7, 10 bytes accordingly))
2360 90 F8 EE EE 0B [... ] // Set UID/PUPI value                (FF+enter UID value here). To clear, use Lc=01; data=00.
2361 90 FA CC CC 01 [FSCI] // Set FSCI                          (1: value 0-8)
2362 90 FC CC CC 01 [SFGI] // Set SFGI (DO NOT SET TOO HIGH!)   (1: value 0-E)
2363 90 FE CC CC 01 [FWI ] // Set FWI (DO NOT SET BELOW 4!!!)   (value 0-E)
2364 ```
2365
2366 More commands to follow. Be careful with some.
2367
2368 # ISO15693
2369
2370 ^[Top](#top)
2371
2372 ## ISO15693 magic
2373
2374 ^[Top](#top)
2375
2376 ### Identify
2377
2378 **TODO**
2379
2380 ### Proxmark3 commands
2381
2382 ^[Top](#top)
2383
2384 Always set a UID starting with `E0`.
2385
2386 ```
2387 hf 15 csetuid E011223344556677
2388 ```
2389
2390 or (ignore errors):
2391
2392 ```
2393 script run hf_15_magic -u E004013344556677
2394 ```
2395
2396 <a id="g4top"></a>
2397
2398 # Multi
2399
2400 ^[Top](#top)
2401
2402 ## UMC
2403
2404 ^[Top](#top)
2405
2406 A.k.a ultimate magic card,  most promenent feature is shadow mode (GTU) and optional password protected backdoor commands.
2407
2408 Can emulate MIFARE Classic, Ultralight/NTAG families, 14b UID & App Data
2409
2410 * [Identify](#identify-16)
2411 * [Magic commands](#magic-commands-9)
2412 * [Characteristics](#characteristics-12)
2413 * [Proxmark3 commands](#proxmark3-commands-9)
2414 * [Change ATQA / SAK](#change-atqa--sak)
2415 * [Change ATS](#change-ats)
2416 * [Set UID length (4, 7, 10)](#set-uid-length-4-7-10)
2417 * [Set 14443A UID](#set-14443a-uid)
2418 * [Set 14443B UID and ATQB](#set-14443b-uid-and-atqb)
2419 * [(De)Activate Ultralight mode](#deactivate-ultralight-mode)
2420 * [Select Ultralight mode](#select-ultralight-mode)
2421 * [Set shadow mode (GTU)](#set-shadow-mode-gtu)
2422 * [Direct block read and write](#direct-block-read-and-write)
2423 * [(De)Activate direct write to block 0](#deactivate-direct-write-to-block-0)
2424 * [Change backdoor password](#change-backdoor-password)
2425 * [Dump configuration](#dump-configuration)
2426 * [Fast configuration](#fast-configuration)
2427 * [Presets](#presets)
2428 * [Version and Signature](#version-and-signature)
2429
2430
2431 ### Identify
2432
2433 ^[Top](#top) ^^[Gen4](#g4top)
2434
2435 👉 **TODO** If the password is not default, Tag doesn't get identified correctly by latest Proxmark3 client (it might get mislabeled as MFC Gen2/CUID, Gen3/APDU or NTAG21x Modifiable, depending on configured UID/ATQA/SAK/ATS)
2436
2437 👉 **TODO** Using C6 command can change config due to a bug in some cards. CC should be used instead.
2438
2439 ```
2440 hf 14a info
2441 [+] Magic capabilities : Gen 4 GTU
2442 ```
2443
2444 The card will be identified only if the password is the default one. One can identify manually such card if the password is still the default one, with the command to get the current configuration:
2445
2446 ```
2447 hf 14a raw -s -c -t 1000 CF00000000C6
2448 ```
2449
2450 If the card is an Ultimate Magic Card, it returns 30 or 32 bytes.
2451
2452 ### Magic commands
2453
2454 ^[Top](#top) ^^[Gen4](#g4top)
2455
2456 There are two ways to program this card.
2457
2458    1.  Use the raw commands designated by the `hf 14a` examples.
2459
2460    ***OR***
2461
2462    2.  Use the hf_mf_ultimatecard.lua script commands designated but the `script run hf_mf_ultimatecard` examples. This script is nof fully compartible with new version UMC.
2463
2464
2465 script run hf_mf_ultimatecard.lua -h
2466
2467 ```
2468 This script enables easy programming of an Ultimate Mifare Magic card
2469 Usage
2470 script run hf_mf_ultimatecard -h -k <passwd> -c -w <type> -u <uid> -t <type> -p <passwd> -a <pack> -s <signature> -o <otp> -v <version> -q <atqa/sak> -g <gtu> -z <ats> -m <ul-mode> -n <ul-protocol>
2471
2472 Arguments
2473     -h      this help
2474     -c      read magic configuration
2475     -u      UID (8-20 hexsymbols), set UID on tag
2476     -t      tag type to impersonate
2477                  1 = Mifare Mini S20 4-byte
2478                  2 = Mifare Mini S20 7-byte 15 = NTAG 210
2479                  3 = Mifare Mini S20 10-byte 16 = NTAG 212
2480                  4 = Mifare 1k S50 4-byte   17 = NTAG 213
2481                  5 = Mifare 1k S50 7-byte   18 = NTAG 215
2482                  6 = Mifare 1k S50 10-byte  19 = NTAG 216
2483                  7 = Mifare 4k S70 4-byte   20 = NTAG I2C 1K
2484                  8 = Mifare 4k S70 7-byte   21 = NTAG I2C 2K
2485                  9 = Mifare 4k S70 10-byte  22 = NTAG I2C 1K PLUS
2486             ***  10 = UL -   NOT WORKING FULLY   23 = NTAG I2C 2K PLUS
2487             ***  11 = UL-C - NOT WORKING FULLY   24 = NTAG 213F
2488                  12 = UL EV1 48b                25 = NTAG 216F
2489                  13 = UL EV1 128b
2490             ***  14 = UL Plus - NOT WORKING YET
2491
2492     -p      NTAG password (8 hexsymbols),  set NTAG password on tag.
2493     -a      NTAG pack ( 4 hexsymbols), set NTAG pack on tag.
2494     -s      Signature data (64 hexsymbols), set signature data on tag.
2495     -o      OTP data (8 hexsymbols), set `One-Time Programmable` data on tag.
2496     -v      Version data (16 hexsymbols), set version data on tag.
2497     -q      ATQA/SAK (<2b ATQA><1b SAK> hexsymbols), set ATQA/SAK on tag.
2498     -g      GTU Mode (1 hexsymbol), set GTU shadow mode.
2499     -z      ATS (<1b length><0-16 ATS> hexsymbols), Configure ATS. Length set to 00 will disable ATS.
2500     -w      Wipe tag. 0 for Mifare or 1 for UL. Fills tag with zeros and put default values for type selected.
2501     -m      Ultralight mode (00 UL EV1, 01 NTAG, 02 UL-C, 03 UL) Set type of UL.
2502     -n      Ultralight protocol (00 MFC, 01 UL), switches between UL and MFC mode
2503     -k      Ultimate Magic Card Key (IF DIFFERENT THAN DEFAULT 00000000)
2504
2505 Example usage
2506     -- read magic tag configuration
2507     script run hf_mf_ultimatecard -c
2508     -- set uid
2509     script run hf_mf_ultimatecard -u 04112233445566
2510     -- set NTAG pwd / pack
2511     script run hf_mf_ultimatecard -p 11223344 -a 8080
2512     -- set version to NTAG213
2513     script run hf_mf_ultimatecard -v 0004040201000f03
2514     -- set ATQA/SAK to [00 44] [08]
2515     script run hf_mf_ultimatecard -q 004408
2516     -- wipe tag with a NTAG213 or Mifare 1k S50 4 byte
2517     script run hf_mf_ultimatecard -w 1
2518     -- use a non default UMC key. Only use this if the default key for the MAGIC CARD was changed.
2519     script run hf_mf_ultimatecard -k ffffffff -w 1
2520     -- Wipe tag, turn into NTAG215, set sig, version, NTAG pwd/pak, and OTP.
2521     script run hf_mf_ultimatecard -w 1 -t 18 -u 04112233445566 -s 112233445566778899001122334455667788990011223344556677 -p FFFFFFFF -a 8080 -o 11111111
2522 ```
2523
2524 Special raw commands summary:
2525
2526 ```
2527 CF <passwd> 32 <00-04>                           // Configure GTU shadow mode
2528 CF <passwd> 34 <1b length><0-16b ATS>            // Configure ATS
2529 CF <passwd> 35 <2b ATQA><1b SAK>                 // Configure ATQA/SAK (swap ATQA bytes)
2530 CF <passwd> 68 <00-02>                           // Configure UID length
2531 CF <passwd> 69 <00-01>                           // (De)Activate Ultralight mode
2532 CF <passwd> 6A <00-03>                           // Select Ultralight mode
2533 CF <passwd> 6B <1b>                              // Set Ultralight and M1 maximum read/write sectors
2534 CF <passwd> C6                                   // Dump configuration
2535 CF <passwd> CC                                   // Version info, returns `00 00 00 [03 A0 (old) / 06 A0 (new) ]`
2536 CF <passwd> CD <1b block number><16b block data> // Backdoor write 16b block
2537 CF <passwd> CE <1b block number>                 // Backdoor read 16b block
2538 CF <passwd> CF <1b param>                        // (De)Activate direct write to block 0
2539 CF <passwd> F0 <30b configuration data>          // Configure all params in one cmd
2540 CF <passwd> F1 <30b configuration data>          // Configure all params in one cmd and fuse the configuration permanently
2541 CF <passwd> FE <4b new_password>                 // change password
2542 ```
2543
2544 Default `<passwd>`: `00000000`
2545
2546 ### Characteristics
2547
2548 ^[Top](#top) ^^[Gen4](#g4top)
2549
2550 * UID: 4b, 7b and 10b versions
2551 * ATQA/SAK: changeable
2552 * BCC: computed
2553 * ATS: changeable, can be disabled
2554 * Card Type: changeable
2555 * Shadow mode: GTU
2556 * Backdoor password mode
2557
2558 ### Proxmark3 commands
2559
2560 ^[Top](#top) ^^[Gen4](#g4top)
2561
2562 ```
2563 # view contents of tag memory:
2564 hf mf gview
2565 # Read a specific block via backdoor command:
2566 hf mf ggetblk
2567 # Write a specific block via backdoor command:
2568 hf mf gsetblk
2569 # Load dump to tag:
2570 hf mf gload
2571 # Save dump from tag:
2572 hf mf gsave
2573 ```
2574
2575 👉 **TODO** `hf mf gview` is currently missing Ultralight memory maps
2576
2577 Equivalent:
2578
2579 ```
2580 hf 14a raw -s -c -t 1000 CF00000000CE00
2581 hf 14a raw -s -c -t 1000 CF00000000CE01
2582 hf 14a raw -s -c -t 1000 CF00000000CE02
2583 ...
2584 ```
2585
2586 👉 **TODO** In Mifare Ultralight / NTAG mode, the special writes (`hf mfu restore` option `-s`, `-e`, `-r`) do not apply. Use `script run hf_mf_ultimatecard` for UID and signature, and `hf mfu wrbl` for PWD and PACK.
2587
2588 ### Change ATQA / SAK
2589
2590 ^[Top](#top) ^^[Gen4](#g4top)
2591
2592 ```
2593 hf 14a raw -s -c -t 1000 CF<passwd>35<2b ATQA><1b SAK>
2594 ```
2595
2596 * ⚠ ATQA bytes are swapped in the command
2597 * ⚠ ATQA bytes that result in `iso14443a card select failed` (I.E.  ATQA=0040 in raw form) can be corrected with `hf 14a config --atqa force`
2598 * ⚠ when SAK bit 6 is set (e.g. SAK=20 or 28), ATS must be turned on, otherwise the card may not be recognized by some readers!
2599 * ⚠ never set SAK bit 3 (e.g. SAK=04), it indicates an extra cascade level is required (see `hf 14a config --cl2 skip` or `hf 14a config --cl3 skip` to recover a misconfigured card)
2600
2601 Example: ATQA 0044 SAK 28, default pwd
2602
2603 ```
2604 hf 14a raw -s -c -t 1000 CF0000000035440028
2605 ```
2606
2607 OR (Note the script will correct the ATQA correctly)
2608
2609 ```
2610 script run hf_mf_ultimatecard -q 004428
2611 ```
2612
2613 ### Change ATS
2614
2615 ^[Top](#top) ^^[Gen4](#g4top)
2616
2617 ```
2618 hf 14a raw -s -c -t 1000 CF<passwd>34<1b length><0-16b ATS>
2619 ```
2620
2621 * `<length>`: ATS length byte, set to `00` to disable ATS
2622 * ⚠ when SAK bit 6 is set (e.g. SAK=20 or 28), ATS must be turned on, otherwise the card may not be recognized by some readers!
2623 * ATS CRC will be added automatically, don't configure it
2624 * Max ATS length: 16 bytes (+CRC)
2625
2626 Example: ATS to 0606757781028002F0, default pwd
2627
2628 ```
2629 hf 14a raw -s -c -t 1000 CF000000003406067577810280
2630 ```
2631
2632 Or
2633
2634 ```
2635 script run hf_mf_ultimatecard -z 06067577810280`
2636 ```
2637
2638 ### Set UID length (4, 7, 10)
2639
2640 ^[Top](#top) ^^[Gen4](#g4top)
2641
2642 ```
2643 hf 14a raw -s -c -t 1000 CF<passwd>68<1b param>
2644 ```
2645
2646 * `<param>`
2647   * `00`: 4 bytes
2648   * `01`: 7 bytes
2649   * `02`: 10 bytes
2650
2651 Example: set UID length to 7 bytes, default pwd
2652
2653 ```
2654 hf 14a raw -s -c -t 1000 CF000000006801
2655 ```
2656
2657 ### Set 14443A UID
2658
2659 ^[Top](#top) ^^[Gen4](#g4top)
2660
2661 UID is configured according to block0 with a backdoor write.  (Script commands are below the UID length examples)
2662
2663 Example: preparing first two blocks: (Note the UMC has to be in MFC mode and the correct UID byte length set)
2664
2665 ```
2666 hf 14a raw -s -c -t 1000 CF00000000CD00000102030405060708090A0B0C0D0E0F
2667 hf 14a raw -s -c -t 1000 CF00000000CD01101112131415161718191A1B1C1D1E1F
2668 hf 14a reader
2669 ```
2670
2671 MFC mode 4b UID
2672
2673 => UID `00010203`
2674
2675 `script run hf_mf_ultimatecard -t 4 -u 00010203`
2676
2677 MFC mode 7b UID
2678
2679 => UID `00010203040506`
2680
2681 `script run hf_mf_ultimatecard -t 5 -u 00010203040506`
2682
2683 MFC mode, 10b UID
2684
2685 => UID `00010203040506070809`
2686
2687 `script run hf_mf_ultimatecard -t 6 -u 00010203040506070809`
2688
2689 Ultralight mode, 4b UID
2690
2691 => UID `00010203`
2692
2693 Ultralight mode, 7b UID
2694
2695 => UID `00010210111213`
2696
2697 👉 the UID is composed of first two blocks as in regular Ultralights
2698
2699 * Examples
2700   * UL-EV1 48b = `script run hf_mf_ultimatecard -t 12 -u 00010203040506`
2701   * UL EV1 128b = `script run hf_mf_ultimatecard -t 13 -u 00010203040506`
2702   * NTAG 215 = `script run hf_mf_ultimatecard -t 18 -u 00010203040506`
2703
2704 Ultralight mode, 10b UID
2705 => UID `00010203040506070809`
2706 👉 the UID is composed only from block0
2707
2708 ### Set 14443B UID and ATQB
2709
2710 ^[Top](#top) ^^[Gen4](#g4top)
2711
2712 * UID and ATQB are configured according to block0 with a (14a) backdoor write.
2713 * UID size is always 4 bytes.
2714 * 14B will show up only on new cards. (Need more tests on new card. Example not work)
2715
2716 Example:
2717
2718 ```
2719 hf 14a raw -s -c -t 1000 CF00000000CD00000102030405060708090A0B0C0D0E0F
2720 hf 14b reader
2721 ```
2722
2723 => UID 00010203
2724 => ATQB 0405060708090A
2725
2726 ### (De)Activate Ultralight mode
2727
2728 ^[Top](#top) ^^[Gen4](#g4top)
2729
2730 ```
2731 hf 14a raw -s -c -t 1000 CF<passwd>69<1b param>
2732 ```
2733
2734 * `<param>`
2735   * `00`: MIFARE Classic mode
2736   * `01`: MIFARE Ultralight/NTAG mode
2737
2738 Example: activate Ultralight protocol, default pwd
2739
2740 ```
2741 hf 14a raw -s -c -t 1000 CF000000006901
2742 ```
2743
2744 Or
2745
2746 ```
2747 script run hf_mf_ultimatecard -n 01
2748 ```
2749
2750 In this mode, if SAK=`00` and ATQA=`0044`, it acts as an Ultralight card
2751
2752 ⚠ only the first four bytes of each block will be mapped in the Ultralight memory map (so the Ultralight block numbers follow backdoor R/W block numbers).
2753
2754 ### Select Ultralight mode
2755
2756 ^[Top](#top) ^^[Gen4](#g4top)
2757
2758 ```
2759 hf 14a raw -s -c -t 1000 CF<passwd>6A<1b param>
2760 ```
2761
2762 * `<param>`
2763   * `00`: UL EV1
2764   * `01`: NTAG
2765   * `02`: UL-C
2766   * `03`: UL
2767
2768 ⚠ it supposes Ultralight mode was activated (cf command `69`)
2769
2770 Example: set Ultralight mode to Ultralight-C, default pwd
2771
2772 ```
2773 hf 14a raw -s -c -t 1000 CF000000006A02
2774 ```
2775
2776 Or
2777
2778 ```
2779 script run hf_mf_ultimatecard -m 02
2780 ```
2781
2782 Now the card supports the 3DES UL-C authentication.
2783
2784 ### Set Ultralight and M1 maximum read/write sectors
2785
2786 ^[Top](#top) ^^[Gen4](#g4top)
2787
2788 ```
2789 hf 14a raw -s -c -t 1000 CF<passwd>6B<1b blocks>
2790 ```
2791
2792 Hexadecimal, maximum sector data, default 0xFF, range 0x00-0xFF
2793
2794 Example: set maximum 63 blocks read/write for Mifare Classic 1K
2795
2796 ```
2797 hf 14a raw -s -c -t 1000 CF000000006B3F
2798 ```
2799
2800 ### Set shadow mode (GTU)
2801
2802 ^[Top](#top) ^^[Gen4](#g4top)
2803
2804 This description of shadow modes wroted by seller at marketpalces:
2805
2806 >This mode is divided into four states: off (pre-write), on (on restore), don’t care, and high-speed read and write. If you use it, please enter the pre-write mode first. At this time, write the full card data. After writing, set it to on. At this time, after writing the data, the first time you read the data just written, the next time you read It is the pre-written data. All modes support this operation. It should be noted that using any block to read and write in this mode may give wrong results.
2807
2808 And these conclusions were made after a number of tests with UMC (new version, configured as MFC for example):
2809
2810 | Mode | Buffer | Standart command (rdbl, wrbl e.t.c)     | Backdoor command (gsetblk, ggetblk, gload e.t.c.) |
2811 |------|--------|-----------------------------------------|---------------------------------------------------|
2812 | 2,3  |  buf23 | read/write from/to buf23                | read/write from/to buf23                          |
2813 |  0   |  buf0  | read from buf0, write to buf0 and buf23 | read/write from/to buf23                          |
2814 |  4   |   -    | read from buf0, write to buf23          | read/write from/to buf23                          |
2815
2816 Mode 1: For new card this mode looks like a bug. Reading/writing first two block use *buf23*. Reading other blocks use invalid region of memory and all returned data looks like pseudo-random. All acl looks like invalid. All data is readable by the keys and acl wich was written in *buf0*. Any writing operations in this mode use copy of *buf0* and only it. It`s not affected any other buffers. So if you change keys or/and acl you will must use new keys to read data.
2817
2818 Example (not work with new UMC):
2819 `script run hf_mf_ultimatecard -w 1 -g 00 -t 18 -u 04112233445566 -s 112233445566778899001122334455667788990011223344556677 -p FFFFFFFF -a 8080 -o 11111111 -g 01`
2820
2821 * -w 1 = wipe the card in Ultralight Mode
2822 * -g 00 = turn on pre-write mode
2823 * -t 18 = change the type of card to NTAG 215
2824 * -u = set the uid
2825 * -s = set the signature
2826 * -p = set the NTAG password
2827 * -a = set the PACK
2828 * -o = set the OTP
2829 * -g 01 = turn on restore mode
2830
2831 At this point the card is set to a unwritten NTAG 215. Now any data written to the card will only last for 1 read.  Write a popular game toy to it, read it, now it is back to the unwritten NTAG 215.
2832
2833 👉 Remember to disable GTU mode to get the card back to a normal state.
2834
2835 `script run hf_mf_ultimatecard -g 03`
2836
2837 ```
2838 hf 14a raw -s -c -t 1000 CF<passwd>32<1b param>
2839 ```
2840
2841 * `<param>`
2842   * `00`: pre-write, shadow data can be written
2843   * `01`: restore mode
2844     * WARNING: new UMC (06a0) cards return garbage data when using 01
2845   * `02`: disabled
2846   * `03`: disabled, high speed R/W mode for Ultralight?
2847   * `04`: split mode, work with new UMC. With old UMC is untested.
2848
2849 ### Direct block read and write
2850
2851 ^[Top](#top) ^^[Gen4](#g4top)
2852
2853 Using the backdoor command, one can read and write any area without MFC password, similarly to MFC Gen1 card. It should be noted that this command must be used to modify UID.
2854
2855 Backdoor read 16b block:
2856
2857 ```
2858 hf 14a raw -s -c -t 1000 CF<passwd>CE<1b block number>
2859 ```
2860
2861 Backdoor write 16b block:
2862
2863 ```
2864 hf 14a raw -s -c -t 1000 CF<passwd>CD<1b block number><16b block data>
2865 ```
2866
2867 Read/Write operations work on 16 bytes, no matter the Ultralight mode.
2868
2869 Note that only the first four bytes of each block will be mapped in the Ultralight memory map.
2870
2871 Example: read block0, default pwd
2872
2873 ```
2874 hf 14a raw -s -c -t 1000 CF00000000CE00
2875 ```
2876
2877 Example: write block0 with factory data, default pwd
2878
2879 ```
2880 hf 14a raw -s -c -t 1000 CF00000000CD00112233441C000011778185BA18000000
2881 ```
2882
2883 ### (De)Activate direct write to block 0
2884
2885 ^[Top](#top) ^^[Gen4](#g4top)
2886
2887 This command enables/disables direct writes to block 0.
2888
2889 ```
2890 hf 14a raw -s -c -t 1000 CF<passwd>CF<1b param>
2891 ```
2892
2893 * `<param>`
2894   * `00`: Activate direct write to block 0 (Same behaviour of Gen2 cards. Some readers may identify the card as magic)
2895   * `01`: Deactivate direct write to block 0 (Same behaviour of vanilla cards)
2896   * `02`: Default value. (Same behaviour as `00` (?))
2897
2898 Example: enable direct writes to block 0, default pwd
2899
2900 ```
2901 hf 14a raw -s -c -t 1000 CF00000000CF00
2902 ```
2903
2904 Example: disable direct writes to block 0, default pwd
2905
2906 ```
2907 hf 14a raw -s -c -t 1000 CF00000000CF01
2908 ```
2909
2910 ### Change backdoor password
2911
2912 ^[Top](#top) ^^[Gen4](#g4top)
2913
2914 All backdoor operations are protected by a password. If password is forgotten, it can't be recovered. Default password is `00000000`.
2915
2916 WARNING: new UMC (06A0) returns 6300 when issuing password change command. Please write the password using F0 and entering the full configuration, but with the new password.
2917
2918 Change password:
2919
2920 ```
2921 hf 14a raw -s -c -t 1000 CF <passwd> FE <4b new_password>
2922 ```
2923
2924 Example: change password from 00000000 to AABBCCDD
2925
2926 ```
2927 hf 14a raw -s -c -t 1000 CF00000000FEAABBCCDD
2928 ```
2929
2930 Example: change password from AABBCCDD back to 00000000
2931
2932 ```
2933 hf 14a raw -s -c -t 1000 CFAABBCCDDFE00000000
2934 ```
2935
2936 ### Dump configuration
2937
2938 ^[Top](#top) ^^[Gen4](#g4top)
2939
2940 ```
2941 hf 14a raw -s -c -t 1000 CF<passwd>C6
2942 ```
2943
2944 Default configuration:
2945
2946 ```
2947 00000000000002000978009102DABC191010111213141516040008006B024F6B
2948                                                             ^^^^ CRC, type unknown
2949                                                           ^^ cf cmd cf: block0 direct write setting, factory value 0x02
2950                                                         ^^ cf cmd 6b: maximum read/write sectors, factory value 0x6b
2951                                                       ^^ cf cmd 6a: UL mode
2952                                                 ^^^^^^ cf cmd 35: ATQA/SAK
2953               ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^ cf cmd 34: ATS length & content
2954             ^^ cf cmd 32: GTU mode
2955     ^^^^^^^^ cf cmd fe: password
2956   ^^ cf cmd 68: UID length
2957 ^^ cf cmd 69: Ultralight protocol
2958 ```
2959
2960 ### Fast configuration
2961
2962 ^[Top](#top) ^^[Gen4](#g4top)
2963
2964 ```
2965 hf 14a raw -s -c -t 1000 CF<passwd>F0<30b configuration data>
2966 ```
2967
2968 cf **Dump configuration** for configuration data description.
2969
2970 Example: Write factory configuration, using default password
2971
2972 ```
2973 hf 14a raw -s -c -t 1000 CF00000000F000000000000002000978009102DABC191010111213141516040008004F6B
2974 ```
2975
2976 ⚠ Variant with command `F1` instead of `F0` will set and fuse permanently the configuration. Backdoor R/W will still work.
2977
2978 ### Presets
2979
2980 ^[Top](#top) ^^[Gen4](#g4top)
2981
2982 Here are some presets available in the FuseTool (but with all ATS disabled)
2983
2984 **MIFARE Mini S20 4-byte UID**
2985
2986 ```
2987 hf 14a raw -s -c -t 1000 CF00000000F000000000000002000978009102DABC19101011121314151604000900
2988 ```
2989
2990 **MIFARE Mini S20 7-byte UID**
2991
2992 ```
2993 hf 14a raw -s -c -t 1000 CF00000000F000010000000002000978009102DABC19101011121314151644000900
2994 ```
2995
2996 **MIFARE 1k S50 4-byte UID** (this is the factory setting)
2997
2998 ```
2999 hf 14a raw -s -c -t 1000 CF00000000F000000000000002000978009102DABC19101011121314151604000800
3000 ```
3001
3002 **MIFARE 1k S50 7-byte UID**
3003
3004 ```
3005 hf 14a raw -s -c -t 1000 CF00000000F000010000000002000978009102DABC19101011121314151644000800
3006 ```
3007
3008 **MIFARE 4k S70 4-byte UID**
3009
3010 ```
3011 hf 14a raw -s -c -t 1000 CF00000000F000000000000002000978009102DABC19101011121314151602001800
3012 ```
3013
3014 **MIFARE 4k S70 7 byte UID**
3015
3016 ```
3017 hf 14a raw -s -c -t 1000 CF00000000F000010000000002000978009102DABC19101011121314151642001800
3018 ```
3019
3020 **Ultralight**
3021
3022 ```
3023 hf 14a raw -s -c -t 1000 CF00000000F001010000000003000978009102DABC19101011121314151644000003FB
3024 ```
3025
3026 **Ultralight-C**
3027
3028 ```
3029 hf 14a raw -s -c -t 1000 CF00000000F001010000000003000978009102DABC19101011121314151644000002FB
3030 ```
3031
3032 **Ultralight EV1**
3033
3034 ```
3035 hf 14a raw -s -c -t 1000 CF00000000F001010000000003000978009102DABC19101011121314151644000000FB
3036 ```
3037
3038 **NTAG21x**
3039
3040 ```
3041 hf 14a raw -s -c -t 1000 CF00000000F001010000000003000978009102DABC19101011121314151644000001FB
3042 ```
3043
3044 ### Version and Signature
3045
3046 ^[Top](#top) ^^[Gen4](#g4top)
3047
3048 Don't forget configure maximum read/write blocks. It's can be adjusted directly in config (see *Dump configuration*) or by command 6B:
3049
3050 ```
3051 hf 14a raw -s -c -t 1000 CF000000006BFB
3052 ```
3053
3054 Note: 0xFB = 251
3055
3056 Ultralight EV1 and NTAG Version info and Signature are stored respectively in blocks 250-251 and 242-249.
3057
3058 Example for an Ultralight EV1 128b with the signature sample from tools/recover_pk.py
3059
3060 ```
3061 hf 14a raw -s -c -t 1000 CF00000000F001010000000003000978009102DABC19101011121314151644000000FB
3062 hf mfu wrbl -b 0 -d 04C12865
3063 hf mfu wrbl -b 1 -d 5A373080
3064 hf mfu wrbl -b 242 -d CEA2EB0B --force
3065 hf mfu wrbl -b 243 -d 3C95D084 --force
3066 hf mfu wrbl -b 244 -d 4A95B824 --force
3067 hf mfu wrbl -b 245 -d A7553703 --force
3068 hf mfu wrbl -b 246 -d B3702378 --force
3069 hf mfu wrbl -b 247 -d 033BF098 --force
3070 hf mfu wrbl -b 248 -d 7899DB70 --force
3071 hf mfu wrbl -b 249 -d 151A19E7 --force
3072 hf mfu wrbl -b 250 -d 00040301 --force
3073 hf mfu wrbl -b 251 -d 01000E03 --force
3074 hf mfu info
3075 ```
3076
3077 Example for an NTAG216 with the signature sample from tools/recover_pk.py
3078
3079 ```
3080 hf 14a raw -s -c -t 1000 CF00000000F001010000000003000978009102DABC19101011121314151644000001FB
3081 hf mfu wrbl -b 0 -d 04E10C61
3082 hf mfu wrbl -b 1 -d DA993C80
3083 hf mfu wrbl -b 242 -d 8B76052E --force
3084 hf mfu wrbl -b 243 -d E42F5567 --force
3085 hf mfu wrbl -b 244 -d BEB53238 --force
3086 hf mfu wrbl -b 245 -d B3E3F995 --force
3087 hf mfu wrbl -b 246 -d 0707C0DC --force
3088 hf mfu wrbl -b 247 -d C956B5C5 --force
3089 hf mfu wrbl -b 248 -d EFCFDB70 --force
3090 hf mfu wrbl -b 249 -d 9B2D82B3 --force
3091 hf mfu wrbl -b 250 -d 00040402 --force
3092 hf mfu wrbl -b 251 -d 01001303 --force
3093 hf mfu info
3094 ```
3095
3096 # Other
3097
3098 ^[Top](#top)
3099
3100 These are chips to clone other ICs. Usually the originals are only sold in China.
3101
3102 ## SID
3103
3104 ^[Top](#top)
3105
3106 * Magic tag for Fudan FM1208-9 chips
3107
3108 ### Characteristics
3109
3110 ^[Top](#top)
3111
3112 * ISO14443-A tag
3113 * ATQA-SAK: `0008`-`20`
3114 * ATS: `10 78 80 A0 02 00 9D 46 16 40 00 A3 [UID]`
3115 * Compared to real FM1208 chip:
3116   * CLA byte is ignored
3117   * Command parsing is irregular (some replies are wrong)
3118
3119 ### Magic commands
3120
3121 ^[Top](#top)
3122
3123 **WARNING!!!** Risk of bricking tag - cause is unknown
3124
3125 * Below you can find a list of all INS bytes not present on real FM1208 chip, and what their output is when executed (P1, P2, Lc = 00)
3126   * Results may vary between chips:
3127
3128 ```
3129 INS | RES
3130 0A  | 44454641554C540000002018112840000000000000000000000000000000000000000000000000000000400000000000
3131 3B  | 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
3132 3C* | 0000
3133 3D  | 6700
3134 7D  | Tag does not reply (if 0<Lc<=15, RES=6700)
3135 CD  | 6A82
3136 D5  | 9000
3137 DD  | 6700
3138 DE  | 6700
3139 DF  | 9000
3140 EE  | 6700
3141 F0  | 6A82
3142 FB  | 6A82
3143
3144 * - DO NOT EXECUTE THIS INSTRUCTION!!! After 2nd execution tag will brick (No reply to REQA/WUPA). Very likely you need to add extra data which we do not know
3145 ```
3146
3147 ## NSCK-II
3148
3149 ^[Top](#top)
3150
3151 * Magic tag for "NSC/BS-CPU"
3152
3153 ### Characteristics
3154
3155 ^[Top](#top)
3156
3157 * Programming is done via ISO14443-A (but not sure how to modulate). Original tag is working somewhere hidden from proxmark.
3158 * ATQA-SAK: `0044`-`20`
3159 * ATS: `05 72 F7 60 02`
3160 * Communications encrypted(?)
3161   * When writing with copykey, after RATS, this communication takes place (NSC ID programmed: `5800000000`, tag UID: `1D94CE25840000`):
3162
3163      ```
3164      >>> 54 03 8A BC DF C1 [CRC]
3165      <<< A2 [CRC]
3166      >>> 54 04 57 AA 84 DD [CRC]
3167      <<< A2 [CRC]
3168      ```
3169
3170 ### Magic commands
3171
3172 ^[Top](#top)
3173
3174 * Write NSC UID: `54 [part 1b] [data 4b enc] [CRC]`
3175   * Tag replies: `A2 [CRC]`