第一节 硬件说明

一、 硬件说明 不带外壳（图1） 带外壳（图2）

1. 变色龙电源开关（特别注意： 4.0以上版本设备 操作过程中必须关闭变色龙电源开否则设备不能正常运行）

2. 变色龙切换键

3. 变色龙电源键

4. 变色龙USB口

5. PM3 停止键

图1

图2


第二节 驱动安装流程和驱动安装过程问题解决

一、WindowsXP、7、8按流程安装驱动（Windows10不需要装驱动）

1、按顺序安装

2、驱动安装过程提示错误

图例：系统找不到指定的文件 解决方法：

常见问题：

1. 系统无法的到文件或inf安装错误

（1）先安装补丁（PM3新版软件\安装驱动\\XP W7终极方案\indows7_cdc驱动依赖文件\Windows7_x64或Windows7_x86\copy）

注：鼠标移到“计算机”右键“属性”查看，按本机系统选择对应的补丁包安装

（2）再按第5步选择安装驱动PM3新版软件\安装驱动\XP W7终极方案\CDC (new serial interface) \proxmark3

2. 禁用驱动程序签名

开机时按F8键在弹出的菜单中有 禁用驱动程序签名强制选项，使用上下键选中，按回车键确认


第三节 IC卡基本操作

一、更新说明

1.增加写密cuid 写密s50

可以直接写入已经写过密码的旧卡，省略了清卡步骤，相当于清卡+写入。

二、IC卡基本操作

1、 确定设备连接正常

2、 把IC卡放在高频区上，点击读卡类型

3、 点击“一键自动解析”测试漏洞攻击是否成功。

注：获取到密码显示在密码区（0-15 A/B 密）变蓝色并打钩（UID不显示蓝色也不打钩）

数据自动读取到右边编辑区0-63块全部有数据，读取成功。（UID读取完整数据在编辑区、成功）

4、 克隆UID卡，点击写UID卡。克隆CUID卡、写CUID卡。克隆UFUID卡、先写UID卡再锁UFUID。

注：几种卡使用顺序:UID----CUID----UFUID----FUID-----M1（S50）

(复制卡如果刷卡没有反映就代表有小区有防火墙，必须按照此顺序来执行，进行换卡复制。)

注：读取的数据在编辑区后可以保存或另存为到电脑上，或选择载入已保存的文件到编辑区，再根据卡的型号克隆到卡里

。

图文流程


第四节 国产无漏洞 IC 卡解密

1、点击"一键解析”，认无漏洞 IC卡

2、点击"暴力计算”，窗口"暴力计算”用已知扇区密码、计算未知扇区密码

（密码计算正常会如果下显示。12个1代表是密码）

注：暴力计算和电脑配置有关，超半个小时无法计算完成，请改用服务器计算”

3、输入计算出的密码

4、点击"密钥扫描” (0-15 扇区 KEYA/KEYB 全部显示为蓝色，并打钩)

5、点击"读S50卡”，数据显示到右边编辑框，

注：如果有哪个扇区没有显示蓝色没打钩、继续循环计算，并扫描。一直当所有扇区全部显示蓝色为止读 S50 卡

注： 暴力计算可能会出现的错误： (代表操作错误 ，请重新操作)


第五节 变色龙设置和国产全加密卡解密

（1） 变色龙设置

1、把变色龙配置成一张普通的 IC 卡 变色龙配置成侦测模式(侦测全加密卡密码)

（2）国产全加密卡解密（解析后提示国产全加密卡）

1、使用变色龙获取到密码后、输入密码（原卡放变色龙读卡区在读头一起刷）

2、输入密码，点击“密钥扫描”

3、扫描完成后，再“一键自动解析”

注: 输入侦测到的密码后，密钥扫描后，没有找到任何一个扇区的扇区密码，由于是一卡一密超成的，把变色龙的卡号设置为和要解密的卡为同一卡号，重新侦测即可。


第六节 IC卡清卡

（1）IC卡清卡

1、 确定设备连接正常

2、 点击"一键自动解析”，测试漏洞攻击是否成功（请参考“IC卡读、写操作”第3步）

3、 点击"另存为”，出窗口，选择好路径和文件名

4、 点击"数据清卡”，出窗口，选择刚“另存为”的文件。弹出确认窗口“以当前密

钥清空原卡数据”确认

5、 清卡过程中会出现密码错误提示，不用理会。

6、 清卡完成后，再次点击"一键自动解析”

（2）IC卡清卡（图解）


“第七节 ID卡基本操作和M1卡结构图

（1）更新说明

1. 增加手持机和pm3 ID卡互写功能

2. 支持读取8268、8310 ID卡

（2）ID卡基本操作

1、 确定设备连接正常

2、 把ID卡放在ID线圈上，点击”ID/HID 读卡”

3、 换上ID复制专用卡(T5577) 点"ID写卡”复制成功（对应卡类型要选择对应按钮）

注：1. 无法读到卡才会显示红色提示说明

2. 给 ID 复制卡加密不是必须的，但如果复制卡拿去过刷没反应或只能刷1次回来读不到卡号，

说明门禁有防火墙，就需要加密操作来穿越防火墙。

（3）M1卡结构图


第八节 PM3在线嗅探 .

PM3在线嗅探（只有当变色龙尝试多次失败后才使用此模式）

1.点击软件上的在线嗅探按钮，进入在线嗅探界面。点击开始启动嗅探之后，A灯为亮起，PM3 高频读卡区夹在卡片和、读卡机之间，然后在pm3上刷卡。三者之间都不能贴的太近，两边不能有金属遮挡。

一般情况可以先把 PM3 贴在读卡机上很近的地方，PM3 和读卡机位置不变，然后拿卡在 PM3 上方多次刷，获得数据最稳定，但是读卡距离会很近，如果读卡机识别不到卡，可以逐渐拉开 PM3 和读卡机的距离，直至可以正常刷卡，效果是最佳。嗅探时要根据实际情况做调整。刷卡结束后按下设备右边的停止按钮，点击取出记录按钮，如下面图，电脑会返回嗅探到的数据。
注意寻找 60 或者 61 开头的数据，60 含义是使用 A 密码访问，61 是使用 B 密码。03代表读卡机访问了第3块。
开头是 RDR 的是读卡机发出的指令，TAG 则是卡片发出的指令。
提取出有效数据后点击计算密码按钮，填写对应计算数据计算出密码后，用密钥扫描方法或知一密求全密，或暴力计算方法提取卡的数据。


第二章 IC和ID卡基本知识

1、IC卡和ID卡判断

把卡放在低频区读ID/HID 或放在高频区读卡类型，哪个能读出来就是哪个型号。

注意，卡片外形和型号无关，相同的芯片可以封装成完全不同的外形：

2、IC卡介绍

（1）M1卡介绍

M1 S50 是国内最常用的卡，也就是我们俗称的 IC 卡。
由飞利浦公司旗下恩智浦（NXP）开发，国产也有兼容卡，但是卡片信息是判断不出来的，卡片信息如下：UID:后面带表是卡号。卡的 0 块是厂家出厂内置的，包含了厂家和卡片信息。不可以修改，只能读。卡详细对照表设置表见【卡片资料】文件夹和参考旧版指导手册。

（2）M1 UID 卡介绍

M1 UID 卡是国人针对 M1 S50 卡特制的变种卡，用起来和 M1 S50 完全一样，只是多了一个功能，就是 0 扇区块的数据可以随意修改。因此 UID 号也可以随意修改，厂家信息也可以随意修改，UID 卡因此得名。如图显示“YES”表示是 UID 卡。但是也有些兼容性不好的 UID 卡会显示 NO，兼容性不好的卡使用两种软件都可以写入，但是读出数据时，中文 GUI 读不出，英文GUI 可以读出确实最后一块的不完整数据。

 优点是：UID的卡可以完美复制 M1 S50 卡，做到 UID 号也完全一样。读卡机如果有验证 UID 号就没有问题了。
UID 卡修改 0 扇区 0 块数据是靠指令进入工厂模式，可以直接对全卡任何数据编辑，不需要密码即可读写卡，写过的卡不用清除也可以直接重复写，同时不怕写坏卡，即使写错 0 块，写坏扇区控制字，也可以随时修复回来，丝毫不影响后续使用，所以应用广泛，深得人心。
缺点是，现在新的读卡系统，通过检测卡片对特殊指令的回应，可以检测出UID 卡，因此可以来拒绝 UID 卡的访问，来达到屏蔽复制卡的功能。哪就需要换卡了。

（2）M1 FUID、CUID、UFUID 、M1/S50卡介绍

1、FUID卡也是一款支持UID号擦写使用的UID卡，但FUID卡一旦写入备份的dump文件便固化了，丧失了UID卡的特点，起防屏蔽作用，专门对付物业升级的防复卡和防复读头，是物业升级后UID卡不能使用的解决卡。

2、CUID卡是一款支持重复擦写使用的UID卡，重新写入需要清卡！一般都可以替代普通防屏蔽卡（FUID）。无需锁卡自动起防屏蔽作用，可重复擦写使用无废卡，不会像FUID锁死后才起到防屏蔽作用，更不会因为锁卡而变成一次性卡，。UFUID卡用UID按钮写卡后当UID卡用，也可以锁卡后替换FUID卡使用。

3、M1/S50卡就是普通的IC 卡0块不可改动的，也可以分析数据后直接用m1卡来复制这样任何防火墙都无法检测屏蔽。

注：几种卡使用顺序:UID----CUID----UFUID----FUID-----M1(复制卡如果刷卡没有反映就代表有小区有防火墙，必须按照此顺序来执行，进行换卡复制。)

3、CPU模拟卡

（1）CPU模拟卡组成

由CPU部分7K以及M1部分1K组成，常见的有复旦FM1208(7K+1K)其中7K为CPU部分容量大小，1K为M1部分容量大小，通过在PM3软件上读卡类型可进行查看，下图为读取模拟卡的原始返回,在带有NFC功能的手机上，可以通过MCT软件进行读卡，其返回值件下图。Cpu模拟卡可以用新版软件直接解密复制。

（2）判断方法

在PM3 GUI内点击读卡类型返回值为

SAK:28

ATQA:0004

TYPE:JCOP31 or JCOP41 v2.3.1

在MCT客户端内，当MCT感应到卡片时，会出现RF技术ISO/IEC 1443,Type AATQA:0004

SAK: 28

以上即为CPU模拟卡的简单判断方法。

二、滚动码技术

（1）滚动码技术是如何出现

最开始各大公司的卡片内数据都是以明码存放，例如楼层，户号，车位号，手机号，电梯到期时间等，由于卡内的到期时间是明码，用户直接可以修改，后来厂家发现这种漏洞以后，将卡内的这些信息加密处理，但在大神的面前，加密方法也被破解了，再此以后厂家发明了滚动码技术，判断是否为滚动码梯控其实很简单，某些大厂家的梯控都有自己的特征，直接就能看出来，如KD，HY，YH等，不知名的小厂梯控系统通过对比同一张卡两次刷卡的记录，也可以判断出来。

（2）常见的滚动方式

常见的滚动方式有校验从小数到大数，每次刷卡加一，或者从大数到小数每次减少，这种滚动方式常在次数卡上使用，还有公式滚动法，读取卡内的数据与校验，经过读头单片机计算以后，写入新的数据与校验，不同厂家的公式算法不一样。有些厂家的滚动还会以刷卡时间和公式进行滚动，但大同小异。

（3）滚动码的破解方法

1.完整的破解了电梯的整套发卡梯控，找到算法，这种可以完美的对电梯卡进行延期等操作，只针对早期算法比较简单的滚动码，仅有软件计算，没有单片机计算的系统，目前新系统的算法不仅仅是软件计算还有发卡器内的单片机计算。

2.漏洞改法，通过更改控制位或者修改卡内某些地方的数据来压制卡内数据的滚动，这是利用了早期某些厂家的读头不会校验计算后的数据是否写入成功的漏洞。

3.初始码数据还原法，这种方法也属于漏洞改法的一种，利用了有些梯控厂家控制检测系统当识别到从未滚动过的卡（就是物业刚办的新卡）数据不会校验上次的逻辑漏洞，让卡内数据每次都是初始数据来对电梯读头进行欺骗，这时候的梯控读头已经修复检验写卡是否成功的漏洞，所以我们要让梯控读头完成一次完整的交互过程，完成以后我们在将卡内数据改回去即可，（本群工程机可以实现还原法）

4.发卡器发卡，对于一些贼牛逼的厂家的算法无法破解，同时又采用由软件计算和发卡器内单片机双重计算的方式，针对这样的情况，我们使用同厂家同型号同版本的发卡器，通过修改发卡器发卡规则使得规则与物业的发卡规则相同来发卡，但是破解发卡规则是一个很大的工程，同时梯控厂家也不会向个人单独销售配套发卡器，所以这种方法只掌握在少数人的手中。

三、防火墙

（1）ID类防火墙

复制卡有4303，5577，6009，8265如果复制成功还是不能使用就换为8268就行了

（2）IC类防火墙低级防火墙

复制卡UID复制成功但不能使用或有的能有的不能开，说明有防火墙，换CUID卡测试

IC类防火墙高级防火墙用m1写卡

注：1、低级防火墙的原理可以阻挡UID卡，无法阻挡CUID或FUID复制卡。

2、高级防火墙可以识别出所有卡号是否复制。但它是不会验证卡号，只要数据和密码对才能过。可以阻挡任何复制卡,只要识别出卡号是复制的就会被屏蔽掉，只有一种卡可以穿透这种防火强但是不能用于 低级防火墙。

四、复制卡类型

（1）ID卡类型

只记录卡号，不可写入数据

常用复制卡4303、5577

（2）IC卡类型

1.IC卡当ID卡用。只有０扇区０块卡号信息（前4字节（8位））其它扇区没有数据常用复制卡UID

2.复制卡UID复制成功但不能使用或有的能有的不能开，说明有防火墙。常用复制卡CUID、FUID、UFUID

3.复制卡CUID复制成功能使用一次或是不能使用，请做数据对比，是否有反复制，对复制卡数据改动，这种可以复制卡进行锁卡操作。 UFUID不锁卡类似UID卡使用，常用复制卡FUID、UFUID（固化后能当m1卡使用）不关联卡号可以用M1卡

五、嗅探方法

（1）变色龙侦测卡嗅探 简单快捷，(方法参考变色龙教程)

（2）用pm3在线嗅探进行嗅探。(必须抱着电脑和设备去刷卡的地方操作)

（3）使用变色龙侦测嗅探，
(PM3v4.0设备集成了变色龙侦测卡可以正接使用请看下面的教程)
(套装或单独立变色客龙客户请参考群文件变色龙教程)
4.0设备把数据线插到右边变色龙USB口，安装变色龙驱动（参考目录里的教程）

（4）变色龙使用注意事项:

1.为什么上传了数据，读头却不识别，刷卡没反应？
A.各别读头瞬间验证两个以上的扇区，速度过快，变色龙反应不过来，会造成识别不到。
B.读头猝发读卡时间比较短，尝试按住电源按钮供电来刷卡（此为重点）
C.原卡可能是含有特别指令的防复制IC卡，变色龙本身是可以穿防火墙的， 反UID，反CUID的系统都可以识别。
2.为什么设置了侦测卡之后，刷卡回来，获取不到秘钥？
 A.一般情况点【快速解】，如果没有结果或者不正确不完整尝试【可靠解】
B.读头有存储和验证合法UID号，需要把UID号设置成原卡一样才可以
C.需要多刷几次，一般情况两次以上的交互即可解算。
D.读头可能快速验证了多个扇区，这种情况只能获取到首个扇区秘钥。
E.读头并未发出密码访问，仅仅读了UID号
F.读头猝发读卡时间比较短，尝试按住电源按钮供电来刷卡（此为重点）
 G.最新防嗅探读头要拿卡和设备一起刷，必须保证是新换的电池（此为重点）

六：常见问题：（ 下面注意事项为重点，请认真阅读。）

（1）设备无法读到卡、或是写卡多次错误

一般是由于安全软件，或杀毒软件限制了软件某些功能超成的，请退出杀毒软件或安全软件，或者直接换台电脑使用。此情况一般是由于电脑电源接地不良干扰超成的。如果是笔记本拔了电源使用电池即可，如果是台式机器，拔下设备断电放置5分钟，重启电脑后，再使用，或换电脑。

特别注意，设备不可放在金属上或静电桌子，可以把卡拿在手里悬空读写摆放不同位置。

（2）IC卡复制后无反映,或是刷几次失效

按照上面的处理方法对比数据，然后换卡CUID –-UFUID- FUID -M1卡。

（3）IC卡复制后刷了几次后，复制卡有效原卡无效。

这种情况一般是滚动码，需要多次读取数据对比分析找出规律，写入到复制卡即可。把失效的原卡，拿到物业激活后，不要使用，直接保存原始数据，再复制卡，然后原卡失效了，只要把原卡数据写回原卡即可正常使用，或按群公告的工程机写卡流程、写进GUID卡就可以了。

（4）关于修改时间，改一进一出，改通卡等数据修改。

设备把数据解密出来，设备的任务已经结束了，具体如何修改数据哪是自己的事情和设备无关。任何商家也不会提供这方便的技术支持。这个没有捷径需要自己长时间积累经验，才能成功的，如果有基础1-2天就阅读群里全部资料，就可以随意修改了。无基础的人正常进群1个月，都可以独立修改数据。修改数据最快的方法，就是对比大法，找不同时间的卡对比找出时间 ，即可修改，通卡也是一样，找不同楼层的卡，对比找到不同的地方修改即可。

打个比方商家只是卖鱼杆的，能否钓到鱼，和鱼杆无关和自身经验有关，不论是设备还是鱼杆只是一个工具而且，具体要看使用他的人自己掌握了多少知识。 技术本来就是一层窗户纸会了，就什么都可以玩了。
设备是RFID开发利器，可以操作市面上所有非接触式卡。本教程只能带你入门，软件只是作了对IC和ID的支持，其他卡请自行查官方社区。使用指令操作。深入的东西，自行查阅资料学习。
 声明:本设备只能用来科学研究，严禁用来做违法的事情!如有法律问题，本店概不负责

七．注意事项：

（1）硬件事项：
PM3 由于是国外黑客爱好者开发功能非常强大，但在易用性和人性化上并没有考虑太多，所以会经常死机，有些指令没有明确的成功失败回复，还有一些细节处理的也不好。因此在设备运行攻击指令时，如果卡片不支持或者不放卡，会直接死机，死机后需要随时重新拔插设备来迫使电脑的串口连接正常。在解密运行过程中，要以设备上的ABCD 四个 LED 作为运行依据，如果 LED 在闪动，说明正在进行中，如果完全熄灭或者常亮代表攻击失败，等待全部熄灭表示已经停止运行了，直接重新拔插设备即可。