Помогите разблокировать ID метку T5577 с поролем

[jareckib 27]

поверните кольцо и отодвиньте его от катушки. Попробуйте с паролем 00000000

[dmitry71 1]

4 минуты назад, jareckib сказал:

поверните кольцо и отодвиньте его от катушки. Попробуйте с паролем 00000000

какую команду с паролем попробовать?

[Romati 3]

1 час назад, dmitry71 сказал:

какую команду с паролем попробовать?

Есть ещё вариант, если команда if t55xx detect не выполняется, возможно дело в антенне прокса... с какой антенной у Вас Proxmark3?

[dmitry71 1]

15 минут назад, Romati сказал:

с какой антенной у Вас Proxmark3?

Штатная. Другие метки читаются.

[a64 5]

1 час назад, dmitry71 сказал:

какую команду с паролем попробовать?

Уважаемый dmitry71

 

Постараюсь вам помочь.

У вас в кольце Т5577. Этот чип Проксом обнаруживается. Предполагается, что на чипе стоит пароль. Все так?

Тогда все правильно.

Никакой работы с чипом Т5577 вы не можете начать по одной простой причине.

Прокс НИЧЕГО не знает о том, КАК общаться с этим чипом.

 

Для того, чтобы Прокс это понял, есть два пути.

Задать параметры вручную или применить команду detect

Не будем искать сложный путей, пойдем просто. Введите команду:

lf t55 detect

и... Прокс скажет что-то типа

[usb] pm3 --> lf t55 detect

[=]  Chip type......... T55x7

[=]  Modulation........ ASK

[=]  Bit rate.......... 5 - RF/64

[=]  Inverted.......... No

[=]  Offset............ 33

[=]  Seq. terminator... Yes

[=]  Block0............ 00148040 (auto detect)

[=]  Downlink mode..... default/fixed bit length

[=]  Password set...... No

либо , ЕСЛИ УСТАНОВЛЕН ПАРОЛЬ, скажет, что параметры нужно выставить вручную.

 

Но вы предполагаете, что знаете пароль?

Это отлично!

 

тогда применяем эту же команду, но говорим, что пароль нам известен

lf t55xx detect -p AABBCCDD    

 

вместо AABBCCDD введите ваш предполагаемый пароль

если это он и есть, будет выведена табличка с настройками для общения.

Только после этого можно будет изменить или снять пароль.

 

 Не торопитесь, если положительного результат не будет, зайдем немного другим путем.

Результат в ответе опишите.

 

 

[dmitry71 1]

10 часов назад, a64 сказал:

Результат в ответе опишите

[=] Couldn't identify a chipset

[usb|script] pm3 --> lf t55 detect

[!] Could not detect modulation automatically. Try setting it manually with 'lf t55xx config'

[usb|script] pm3 --> lf t55xx detect -p 51243648

[=] Chip type......... T55x7

[=] Modulation........ ASK

[=] Bit rate.......... 5 - RF/64

[=] Inverted.......... No

[=] Offset............ 33

[=] Seq. terminator... Yes

[=] Block0............ 00148050 (auto detect)

[=] Downlink mode..... leading zero reference

[=] Password set...... Yes

[=] Password.......... 51243648

 

Ко второй метке на кольце пароль не подходит

[usb|script] pm3 --> lf t55xx detect -p 5469616E

[!] Could not detect modulation automatically. Try setting it manually with 'lf t55xx config'

[jareckib 27]

пробовали ли вы записывать блоки в t5577 с паролем........возможно проблема с чтением proxmark3 из-за коллизии чипа T5577? Конечно, Proxmark не прочтет Т5577, но, возможно, ключ сработает, чтобы открыть дверь. Запись чипа работает иначе, чем его чтение.

 

Насколько я вижу в инструкции к устройству, чтение происходит только с оригинала, а запись - на кольцо.

Поэтому неудивительно, что производитель предоставляет два устройства для программирования обручального кольца. Вот почему есть два устройства. Один сохраняет с паролем для ID1, а другой — с паролем для ID2.

[a64 5]

6 часов назад, dmitry71 сказал:

[=] Couldn't identify a chipset

[usb|script] pm3 --> lf t55 detect

[!] Could not detect modulation automatically. Try setting it manually with 'lf t55xx config'

[usb|script] pm3 --> lf t55xx detect -p 51243648

[=] Chip type......... T55x7

[=] Modulation........ ASK

***************

Ко второй метке на кольце пароль не подходит

[usb|script] pm3 --> lf t55xx detect -p 5469616E

[!] Could not detect modulation automatically. Try setting it manually with 'lf t55xx config'

Отлично.

Сначала разберемся с тем чипом, к которому подошел пароль.

Для начала надо его отключить.

Как это сделать? Обнулить соответствующий бит.

Не установить пароль в нули (нули - это тоже пароль), а именно выключить бит.

Процедура следующая в вашем случае.

Делаете detect с паролем, как ранее (чтобы Прокс понял как работать)

lf t55xx detect -p 51243648

Прокс отвечет прочитанной конфигурацией.

А далее переписываем блок 0

lf t55xx write -b 0 -d 00148040 -p 51243648

Прокс ответит, что переписал

Снова вводим команду  на обнаружение , но уже БЕЗ пароля

lf t55xx detect

Если в синтаксисе команд все было без ошибок, то конфигурация будет прочитана без пароля

Далее читаем дамп

lf t55xx dump

Смотрим все содержимое этого чипа.

 

Вопрос: что вы хотели на него записать?

Если у вас два таких чипа в изделии, то можно в каждый чип записать дополнительную информацию, которая не будет мешать ,

но позволит Проксом различать чип,  с которым именно в этот момент вы работаете.

 

Пробуйте, результаты в студию.

Вторым чипом займемся после того, как добьем первый.

Я пока подготовлю вам ссылки на где все это почитать подробнее и популярнее.

[dmitry71 1]

3 часа назад, a64 сказал:

Пробуйте, результаты в студию.

[usb|script] pm3 --> lf t55xx detect -p 51243648

[=] Chip type......... T55x7

[=] Modulation........ ASK

[=] Bit rate.......... 5 - RF/64

[=] Inverted.......... No

[=] Offset............ 33

[=] Seq. terminator... Yes

[=] Block0............ 00148050 (auto detect)

[=] Downlink mode..... leading zero reference

[=] Password set...... Yes

[=] Password.......... 51243648

 

[usb|script] pm3 --> lf t55xx write -b 0 -d 00148040 -p 51243648

[=] Writing page 0 block: 00 data: 0x00148040 pwd: 0x51243648

[usb|script] pm3 --> lf t55xx detect

[=] Chip type......... T55x7

[=] Modulation........ ASK

[=] Bit rate.......... 5 - RF/64

[=] Inverted.......... No

[=] Offset............ 33

[=] Seq. terminator... Yes

[=] Block0............ 00148040 (auto detect)

[=] Downlink mode..... leading zero reference

[=] Password set...... No

 

[usb|script] pm3 --> lf t55xx dump

 

[=] ------------------------- T55xx tag memory -----------------------------

 

[+] Page 0

[+] blk | hex data | binary | ascii

[+] ----+----------+----------------------------------+-------

[+] 00 | 00148040 | 00000000000101001000000001000000 | ...@

[+] 01 | FFA76000 | 11111111101001110110000000000000 | ..`.

[+] 02 | 28FDDE34 | 00101000111111011101111000110100 | (..4

[+] 03 | 55555555 | 01010101010101010101010101010101 | UUUU

[+] 04 | 00000000 | 00000000000000000000000000000000 | ....

[+] 05 | 00000000 | 00000000000000000000000000000000 | ....

[+] 06 | 00000000 | 00000000000000000000000000000000 | ....

[+] 07 | 51243648 | 01010001001001000011011001001000 | Q$6H

 

[+] Page 1

[+] blk | hex data | binary | ascii

[+] ----+----------+----------------------------------+-------

[+] 00 | 00148040 | 00000000000101001000000001000000 | ...@

[+] 01 | E0150A20 | 11100000000101010000101000100000 | ...

[+] 02 | C9EA8876 | 11001001111010101000100001110110 | ...v

[+] 03 | 60000800 | 01100000000000000000100000000000 | `...

[+] Saved 48 bytes to binary file `D:\Hard\proxmark3\rrg_other-20240427-2bc7c5030234e43a1436d98bb7f5fec34802f29c\client\/lf-t55xx-FFA76000-28FDDE34-55555555-dump.bin`

[+] Saved to json file `D:\Hard\proxmark3\rrg_other-20240427-2bc7c5030234e43a1436d98bb7f5fec34802f29c\client\/lf-t55xx-FFA76000-28FDDE34-55555555-dump.json`

[dmitry71 1]

3 часа назад, a64 сказал:

Вопрос: что вы хотели на него записать?

Хотел чтобы на него в принципе можно было записывать (клонировать), и в частности вот эту метку lf viking clone --cn 07838AC8.

Вы отлично и последовательно всё объясняете. Браво!!!

[a64 5]

Отлично

Теперь пароль есть (51243648), но он не активен.

 

Будем пока отличать этот чип по паролю, который записан в блоке 7 стр 0.

 

Теперь попробуем постучаться во второй чип.

Видимо, нужно как-то перепозиционировать изделие, чтобы Прокс обращался именно ко второму чипу.

Могу только предположить, что требуется поворот изделия на 90 градусов по отношению к антенне, чтобы исключить индуктивную связь с этим чипом.

 

Вернемся к команде chk

1. Перепозиционируйте изделие

2. Попробуйте прочитать конфигурацию

lf t55xx detect

Если чип № 2 закрыт паролем, то команда ничего не даст

Если выдаст конфигурацию - сделайте дамп и посмотрите, не к чипу № 1 ли вы обратились снова (ну кто знает?). 

3. Если конфигурации не выдано, то запускаем команду

lf t55 chk

и смотрим, что она выдаст.

Если пароль есть в словаре паролей, команда его найдет.

И предоставит.

 

Далее, с этим паролем нужно запросить конфигурацию.

Если конфигурационный блок такой же, как в чипе № 1 был,

[=] Block0............ 00148050 (auto detect)

то дальше поступаем в точности, как с чипом № 1.

Т.е. исправляем его командой записи с паролем на 00148040.

 

Если конфигурационный блок другой (с восьмерками),  то исправим на другой блок.

 

Пробуйте.

 

 

 

 

[dmitry71 1]

7 часов назад, a64 сказал:

Пробуйте.

Раза с тридцатого поймал местоположение кольца относительно прокса, прогнал chk и нашелся пароль

[+] found valid password: [ 90000000 ]

 

[+] time in check pwd 20 seconds

 

[usb|script] pm3 --> lf t55xx detect -p 90000000

[=] Chip type......... T55x7

[=] Modulation........ DIRECT/NRZ

[=] Bit rate.......... 2 - RF/32

[=] Inverted.......... Yes

[=] Offset............ 62

[=] Seq. terminator... No

[=] Block0............ 00080000 (auto detect)

[=] Downlink mode..... leading zero reference

[=] Password set...... Yes

[=] Password.......... 90000000

[dmitry71 1]

Радость была преждевременной(, при неподвижном кольце относительно прокса, lf t55xx dump выдает разные дампы, похоже прокс частично ловит первую метку кольца. Перепробовал очень много позиций и в том числе с куском металла со стороны противоположной второй метки, но никак......

[dmitry71 1]

Может надо поиграться с настройкой прокса, частотой, модуляцией (если такое есть в настройках), чтобы прокс увидел второй чип на кольце?

Потому что буквально два дня назад прокс его видел, у меня сохранились дампы снятые с него..... 

[a64 5]

59 минут назад, dmitry71 сказал:

у меня сохранились дампы снятые с него..... 

а что изменилось с того времени?

Какие действия с кольцом проводились?

Кольцо было одноразово перезаписано каким-то устройством?

Если да, то попробуйте взять простую метку, без бантиков, с чипом Т5577 внутри

Запишите что-нибудь на метке на том-же устройстве

Точно так-же попробуйте атаковать его Проксом командой chk

Какой пароль на нем будет?

Этот ли?

 

Сам факт записи на чип №2 никак не должен был повлиять на его читабельность.

 

А, вот еще впомнил!

Введите команду

lf tune

Прокс перейдет в режим измерения напряжения на антенне. Будут показываться цифирки в районе 20 с чем-то вольт.

Возьмите кольцо и поманипулируйте им рядом с антенной.

По мере приближения метки с настройкой на 125 кГц антенна начнет с этой меткой взаимодействовать.

Т.е, передавать метке энергию.

И значение напряжения упадет.

Это нормально.

Так и должно быть.

Более того, если индуктивная связь антенны Прокса с меткой будет слишком уж сильной, метка будет напрасно поглощать энергию,

а антенне не хватит "золотого запаса" для общения.

Где-то читал, что падение напряжения должно быть порядка 2 вольт.

Больше для уверенного общения и не нужно.

 

Пробуйте.

Думаю, этим методом вы должны четко определить ориентацию антенн обоих чипов Т55.

 

Кстати! Какая-то информация о кольце есть? Можно ли оттуда поднять инфу об ориентации антенн?

 

[dmitry71 1]

3 часа назад, a64 сказал:

Кстати! Какая-то информация о кольце есть? Можно ли оттуда поднять инфу об ориентации антенн?

только сайт с рекламными буклетами http://www.jakcom.com/R5_en.html

3 часа назад, a64 сказал:

а что изменилось с того времени?

Какие действия с кольцом проводились?

по скольку я в области rfit человек новый, я мог что-то натыкать изучая прокс и теперь уже не вспомнить и я не сразу обратил внимание на не читаемость второй метки.

3 часа назад, a64 сказал:

Кольцо было одноразово перезаписано каким-то устройством?

И это пробовал, маленьким фирменным дубликатором jakcom из комплекта к кольцу.

3 часа назад, a64 сказал:

Если да, то попробуйте взять простую метку, без бантиков, с чипом Т5577 внутри

Запишите что-нибудь на метке на том-же устройстве

Точно так-же попробуйте атаковать его Проксом командой chk

Какой пароль на нем будет?

Этот ли?

[usb|script] pm3 --> lf t55xx chk

[=] Press <Enter> to exit

 

[+] Loaded 123 keys from dictionary file `D:\Hard\proxmark3\rrg_other-20240427-2bc7c5030234e43a1436d98bb7f5fec34802f29c\client\dictionaries/t55xx_default_pwds.dic`

[=] Press <Enter> to exit

[=] testing 00000000

[=] testing 51243648

[=] Chip type......... T55x7

[=] Modulation........ ASK

[=] Bit rate.......... 5 - RF/64

[=] Inverted.......... No

[=] Offset............ 33

[=] Seq. terminator... Yes

[=] Block0............ 00148050 (auto detect)

[=] Downlink mode..... default/fixed bit length

[=] Password set...... Yes

[=] Password.......... 51243648

 

[+] found valid password: [ 51243648 ]

 

Да, пароль тот же

 

 

[dmitry71 1]

1 час назад, a64 сказал:

Введите команду

lf tune

Прокс перейдет в режим измерения напряжения на антенне. Будут показываться цифирки в районе 20 с чем-то вольт.

Возьмите кольцо и поманипулируйте им рядом с антенной.

По мере приближения метки с настройкой на 125 кГц антенна начнет с этой меткой взаимодействовать.

Т.е, передавать метке энергию.

И значение напряжения упадет.

Это нормально.

Так и должно быть.

Более того, если индуктивная связь антенны Прокса с меткой будет слишком уж сильной, метка будет напрасно поглощать энергию,

а антенне не хватит "золотого запаса" для общения.

Где-то читал, что падение напряжения должно быть порядка 2 вольт.

Больше для уверенного общения и не нужно.

Без метки 21.9, с первой меткой 20.6, со второй меткой 19.7

[jareckib 27]

 

 

 

Подумайте, почему существует два устройства для программирования кольца — чтение с оригинала и запись на кольцо.

 

 

Я видел что-то подобное на одном из форумов:

Цитата

So I purchased the reader from Aliexpress since I have yet to find a way to write to the R5 with the Flipper or a PM3. The Jakcom CDS Replicator is garbage and doesn't work either, that is unless you only want to clone only one HID card.

The replicator comes with two different reader / writer devices. Device 1 connects to your PC, uses software downloaded from the manufacturer, and can read RFID card including HID, and can write to only the ID1 chip.

Device 2 is stand-alone, it doesn't connect to a PC other than to use it as a power source. It has a read button and a write button, it's a simple cloner, and can only clone to the ID2 chip in the ring, but it can NOT read HID cards.

The Jackcom R5 ring and replicator is all garbage as far as I'm concerned. I've reached out to them and the sellers and they all say the same thing, "cloning an HID card to ID2 chip is not supported, it will only clone EM"

 

[a64 5]

Посмотрел сайт по колечку.

И некоторые вещи меня очень смущают.

Обратим внимание на ориентацию кольца для работы с чипами Т55

[a64 5]

Получается, сторона определяет (селектирует) чип.

Вопрос: как это сделать?

Проложить между обмотками некую прокладку, которая ослабляет поле для катушки, стоящей за ней?

 

Я бы еще еще понял, если бы чип выбирался кнопкой, как на китайских брелках.

Какую кнопку нажал, тот чип и будет выбран для работы.

Чисто механическая коммутация.

А тут? Нет ясности.

 

Судя по рисунку - прикладывать надо согнутую фалангу пальца, чтобы кольцо было правильно ориентировано к считывателю.

 

И еще.

 

Обратил внимание на коробочку с прилагаемым к кольцу записывающим устройством.

 

 

Судя по рисунку (я сразу оговорюсь, это только предположение. Я не могу знать, что имели в виду производители),

есть либо переключатель для второго чипа Т55, либо другая рабочая поверхность для работы со вторым чипом).

 

Но как бы то ни было: физика не знает жалости и ее не обойти.

Одновременно с двумя чипами, которые находятся в одном же поле действия считывателя работать никак не получится.

Их каким-то образом следует разделить (один из чипов убрать из работы).

Т.к. на кольце нет кнопок, можно предположить экранирование одной из катушек. Это первое, что приходит в голову.

Но этот же экран будет также в какой-то мере ослаблять поле  и для фронтальной катушки.

 

Можно пока (пока нет версии, как правильно это делать) поиграться ориентацией кольца по отношению к Проксу.

Ближе-дальше, наклон ...

Пока не будет установлена устойчивая связь с о вторым чипом.

 

И таки да! наверное, начать все таки стоит с первого чипа.

Запишите на него (клонируйте) то, что хотели и закройте его паролем.

Но каким-то своим.

Не из словаря Прокса.

Для чего? а чтобы при попытке замучить до изнеможения второй чип, не оказать нежелательного влияния на первый.

Будет на нем стоять пароль и ничего на него не запишешь.

Как поставить пароль и как снять - вы уже знаете.

 

 

[jareckib 27]

Это просто. В кольце не может быть двух тегов одного типа. HID и HID или EM и EM. Единственная работающая конфигурация — HID и EM. Один T5577 следует сохранить как HID, а другой как EM, используя пароли производителя, если пароль не был изменен.

Тогда Proxmark3 правильно прочитает правильный чип — EM или HID, потому что второй чип не отреагирует на команду.

[dmitry71 1]

4 часа назад, a64 сказал:

Можно пока (пока нет версии, как правильно это делать) поиграться ориентацией кольца по отношению к Проксу.

Ближе-дальше, наклон ...

Пока не будет установлена устойчивая связь с о вторым чипом.

Перепробовал за сотню положение, подкладывал листы бумаги между проксом и кольцом чтобы плавно увеличивать расстояние и на палец одевал по разному и ничего.

 

4 часа назад, a64 сказал:

И таки да! наверное, начать все таки стоит с первого чипа.

Запишите на него (клонируйте) то, что хотели и закройте его паролем.

Но каким-то своим.

Не из словаря Прокса.

Я записал lf viking clone --cn 07838AC8 но в командах lf viking нет закрывание паролем. Как это сделать?

[a64 5]

9 минут назад, jareckib сказал:

Это просто. В кольце не может быть двух тегов одного типа. HID и HID или EM и EM. Единственная работающая конфигурация — HID и EM.

Смотрите, как получается.

В описании кольца написано так

Вроде ЕМ тип обозначен.

 

Но я так понял топикстартера, что оба чипа определены, как Т5577?

Если исходить их этого предположения, то получается следующее:

1. вот у вас есть считыватель. Он ничего не знает про то, сколько и каких карт будет помещено в электромагнитное поле частоты 125 кГц, которое он создает.

2. вот два чипа, каждый со своей антенной. Они тоже друг про друга ничего не знают.

3. Вот оба этих чипа попали в э/м поле достаточной эффективности, их конденсаторы зарядились и они в соответствии с программой чипа "выстрелили" свои ID коды. Один пусть будет ЕМ, другой ХИД.

4. Считыватель вместо одной внятной последовательности получил "кашу" и ничего не разобрал.

5. Результат никого не устраивает.

 

Мало того, что их считать нельзя, так их и прошить нельзя.

 

Нет... тут чипы как-то должны выборочно быть доступны. И дело тут явно не в разновидности ID кода, который они выдают.

 

 

 

 

[dmitry71 1]

20 минут назад, jareckib сказал:

используя пароли производителя, если пароль не был изменен

Вот тут я сам мог изменить пароль когда игрался со вторым чипом. Ведь раньше он нормально читался проксом и не надо было подлавливать его местоположение относительно прокса.

[a64 5]

4 минуты назад, dmitry71 сказал:

Я записал lf viking clone --cn 07838AC8 но в командах lf viking нет закрывание паролем. Как это сделать?

А вы и не с викингом работаете. Вы по прежнему общаетесь с чипом Т5577!

 

Сделайте дамп текущего состояния чипа, на который сделали клонирование. (№1 ?)

Обратите внимание на 5 справа бит в блоке 0 стр 0. 

Он нулевой?

Пароль находится в блоке 7 стр 0

Вы его можете переписать на любой, какой вам лично хочется.

Командой lf t55 write (как уже делали)

 

Для активации пароля необходимо 5 справа бит в блоке 0 стр 0. перевести в состояние 1.

Но, в принципе, должна сработать команда 

lf t55 protect