万能模拟器：MI 小米 小米手环3 NFC功能探索

本文作者：我是雷神托尔

购买理由

因为每次过小区门，地库门，单元门，楼梯门，都要掏出一串钥匙，刷挂在上面的门禁卡，感觉非常不爽。所以决定买一个可以模拟门禁卡的小米手环3 NFC版。我写这篇文章的目的也主要是为了需要这样功能的朋友，一块探索模拟门卡的过程。也为了那些已买的朋友解答，为什么有的非加密门卡显示成功也不可以刷，有的门禁能行，有的门禁没反应。

此处插入购买链接 。京东一般周一会放点货出来，199的发售价格，感觉能再便宜些就好了。

小米（MI）小米手环3代NFC版（黑色） 智能运动|心率监测 NFC公交地铁移动支付| 来电|微信提醒|防水计步器199元

NFC门禁工作原理

NFC卡，你可以简单理解为，里面是个无线小U盘，存储了门禁识别需要的数据。门禁就相当于一个读卡器，读取NFC卡内的数据，并和已经登记的数据比对。如果和数据库里的一样，就把门锁打开。绝大部门禁，只要复制出来的卡和之前的卡信息完全一样，就能正常使用。

小米手环能复制出完全一样的信息么？让我慢慢讲来。

实验准备：门禁卡一张，带NFC功能安卓手机一部，在手机上安装MIFARE。

实验步骤：（一）打开NFC功能，并安装MIFARE APP。MIFARE 是一款好用的NFC卡读写工具，也就是说我们可以用这个APP来读取门禁卡的卡片类型，和数据信息。避免你们下错了，我把图标扔上来。

（二）打开手机的NFC功能，打开APP，将门禁卡贴近手机的NFC天线区域。注意一定要打开NFC功能！！

（三）听到咚的一声后，你的手机发现了一个NFC卡，请不要移动卡片，操作的时候叠在手机下面好了。

发现新标签

（四）点击 工具 —> 显示标签信息，可以查看门卡符合的标准。我的卡符合ISO/IEC14443,TypeA标准。

卡片属性

（五）退到主界面，选择读标签。

我们看一个拿读取的数据卡，数据是这个样子的。总共有0~15个扇区。

NFC卡数据结构

扇区0第一行存放的是卡片UID号。我们可以理解为卡片的身份证号。

扇区1~扇区15，存放的是门禁厂商自己定义的数据。（1）可以是空扇区，数据全是0，密钥A和密钥B均为FFFFFFFFFFFF或000000000000，此时为非加密扇区。（2）还可以是有数据，无加密扇区。（3）还可以是有数据，加密扇区。

使用MIFARE 不但可以读取门禁卡，可以读取手环模拟的卡。我把自己的门禁卡和复制后的门禁卡，使用差异工具做了下对比。原卡为nfc1，手环模拟卡为nfc2，我们看一下扇区0的第一行，对比后发现后16个字符和原卡不一样。这16个字符代表厂商信息。

原卡与手环模拟卡对比

扇区0第一行UID号=序号+厂商编码 。

由于小米手环把厂商编码锁住了，所以厂商信息无法复制进手环。这就导致了，所有带有检测厂商编码的门禁，是无法使用的。如果你的门禁不检测厂商信息，那是可以刷成功的，反正则无法刷成功。

下一节的复制方法，是建立在你的门禁不去识别厂商信息的基础上的，不然结果肯定不行

Q：小米运动APP最适合模拟哪种卡片

A：适合模拟情况（1）的门禁卡，另外门禁仅检测扇区0的UID的前16个字符是否正确，其它数据和扇区一律不管。另外你可以利用空白扇区存点资料，譬如磁力下载链接，门禁假装看不见

Q：为什么我的门禁卡密钥区，显示的是 没发现密钥（或者死扇区）

A: 你的APP里没有门禁卡的密钥，所以读不出来。我的演示图片，通过MIFARE —>编辑增加密钥文件，把我获得的密钥输入进去了，这样我的软件，就可以读取全部信息了。

Q：为什么我的门禁卡是无加密卡，手环模拟后发现楼梯可以刷，单元门禁打不开

A:因为原厂的手环APP，仅复制了扇区0的内容。楼梯的门禁只检测你扇区0是否有权限，门禁读取了整张卡片的内容，但是小米运动APP并没有给你复制上。

Q：以后有没有可能更新固件，扇区0完全复制，实现完全模拟？

A：个人感觉官方是不会出固件了，毕竟那样的话，没人去花钱开公交卡了。

门禁卡复制

如果你小区的门禁，不去识别厂商信息，请继续研读下面的门禁卡复制攻略解析。

那么，复制门禁卡到手环，总共分几步。

第一大步 判断自己的门禁卡符合要求么。（是否为符合14443标准的NFC卡）

第二大步 复制信息到手环。（手环APP复制->手机软件复制->解密后再复制，难度由低到高）

另外感觉这个图片上传后，文字清晰度下降，这咋回事

《如来神掌-NFC-小米手环番外篇》

（1）对于仅0扇区有数据的门卡，小米运动APP，可以复制0扇区的内容进手环。不要额外操作，完美，赶紧下楼试试。

（2）对于除了0扇区，其它扇区也有数据，但是没有加密的门卡。使用小米运动APP，复制。复制0扇区的内容进手环。使用MIFARE读取原门卡数据，保存到手机。使用MIFARE将保存的数据，写入到手环中。由于没有加密，所以手机可以轻松读写除扇区0以外的扇区。

（3）对加密卡。请使用专用设备读出密码，记录下来，比如我的14扇区有密码。把密码修改成FFFFFFFFFFFF，写到一张空白的NFC卡去（一般买设备会送几张这样的卡）。然后这就生成一张脱密卡了。此卡和原卡扇区0相同。先用小米运动APP，模拟此脱密卡。

修改为FFFFFFFFFFFF，脱密

把上一步密钥保存到MIFARE的密钥文件中，使用MIFARE读取原卡，在手机上获得完整的原卡信息。用MIFARE把完整的原卡信息，写入到手环中。

MIFARE上增加解出的密钥

Q:密钥的位置？

A:每第四行的前12个字符，后12个字符，MIFARE保存多个密钥匙，每密钥占一行

Q：所有加密卡都可以解密么

A: 绝大部分可以，一部分高级权限的卡难以解密，还有的门禁卡使用两种芯片加密，NFC全解密是不够的。

Q：模拟成功，仅第一次可以开门，或者根本没反应

A：部分门禁有读写功能，本身配发的是只读卡，门禁会读写你的复制卡，改变数据，如果改变成功说明你拿的是可读写的卡，就不理你了 。

Q：复制多个手环，仅有一个手环能用。

A：物业配备的是带滚动码的门禁，为了更好的爱你（收费办卡）

Q：我发现用小米运动APP，即可以轻松模拟加密卡，不需要这么复杂步骤或者按本文无法操作

A:这篇写在8012年的文章，估计过时了，哈哈哈。你不知道哪天，他们升级固件，会改些什么。

Q：解密设备是什么样？

A:我用的是这个，见下图，应该是120吧，还有更便宜的，名字就不说了。大家各取所需。本小区物业一张卡卖40， 一想到卡片成本低于2元人民币 ，买一个自己复制卡还是划得来，毕竟卡片老是掉啊掉

NFC卡片读写器

外观展示

简单展示下小米手环3。箱子

这就是最外层的箱子

天气预报

使用感受

佩戴了一个星期，感觉对于，我这种不经常配带手表的人来说，还可以。手腕细的朋友可能贴合的不是很好。另外，小米手环模拟门卡，需要上传身份证，这个大家自己把握。谁也不想突然出现一个负资产的公司，法人是自己

久坐提醒，经常忘记自己坐了好久了。。。。码农和司机有种职业病，对男性朋友不友好，有时候很难想到已经坐了好久了。。。。心率监测， 经常8点25心率狂飙到130，百米冲刺向单位。。。睡眠监测，一熬夜抢券睡眠质量就下降。。。这几个是我发现的比较好玩的功能。

另外我想到一些好的功能，比如到编个APP，到点抢券提醒。手机直接通知手环，这样不会错过抢券时间，这样张大妈APP和手环直接交互，会比较有意思。不过要弄懂手环的蓝牙协议，不知道值友们有研究的么。

最后，我们小区的楼梯识别的是UID信息，单元门识别的是UID加其他扇区的内容，这两处门禁可以用。地库门和小区门识别UID加厂商信息，不能用手环刷卡。

其它

篇幅限制，部分细节没有一 一详尽展示，比如怎么写MIFARE的读写和增加密码文件的步骤，大家自己摸索下就可以了。实在不行就度娘一下，软件的使用，很简单的。。实在不行叔叔手把手教你（仅限萌妹）

技术总结

目前最重要的不是你的门卡有没有加密，而是你们小区的门禁检不检测扇区0厂商信息那段数据，如果不，那就几乎可以模拟成功了。其实没啥很高深的内容，技术总结完毕 （年轻的朋友啊，请戳文章下面的打赏，这是你迈上人生巅峰的第一步 。。。。）

等等，你想问“我还没有买手环，我怎么知道小区门禁要不要检测厂商信息”，我的建议是，找人复制一张门禁卡，但是第一行的信息后16个字符，改为D200000100000000。小区附近，或者淘宝上，或者热心值友，帮你复制下，很简单。

妹子说：快打赏！！