Android NFC模拟门禁卡实战：从源码修改到权限绕过

1. NFC技术基础与门禁卡原理NFC近场通信技术本质上是一种短距离无线通信技术工作频率为13.56MHz传输距离通常在10厘米以内。我第一次接触这项技术是在2013年当时为了给某智能楼宇项目开发门禁系统不得不深入研究NFC的卡模拟模式。现在回想起来很多看似复杂的技术问题其实核心原理都非常简单。门禁系统验证的关键在于UID唯一标识符你可以把它理解为每张IC卡的身份证号码。普通非加密门禁系统的工作流程是这样的读卡器读取卡片UID → 与后台数据库比对 → 验证通过后开闸。实测发现市面上80%的门禁系统都只做UID校验这就给我们用手机模拟门禁卡提供了可能性。NFC的三种工作模式中读卡器模式手机主动读取其他NFC标签点对点模式两台NFC设备互相通信卡模拟模式手机模拟成一张NFC卡要实现门禁卡功能我们需要让手机工作在卡模拟模式。但这里有个关键问题Android系统默认不允许普通应用修改NFC芯片的UID这是Google出于安全考虑设置的限制。我在小米6、华为Mate20等多款设备上测试发现系统默认生成的UID都是08开头的随机值这正是我们需要突破的技术难点。2. 源码级UID修改实战2.1 定位关键配置文件经过对AOSP源码的追踪发现NFC控制的核心配置文件位于/vendor/etc/libnfc-nxp_RF.conf。这个文件定义了NFC芯片的各种参数其中就包括UID设置。用十六进制编辑器打开后可以看到类似这样的配置段NXP_CORE_CONF{ 20, 02, 2B, 0D, 18, 01, 01, 21, 01, 00, 30, 01, 08, // UID起始字节设置 33, 04, DC, 2C, E3, 4E // 完整UID定义 }其中30,01,08决定了UID的起始字节33,04后面跟着的4个字节就是完整的UID值。但直接修改这个文件会遇到两个致命问题vendor分区默认是只读挂载即使强制修改NFC服务加载时也会校验配置合法性2.2 绕过系统限制的方案我尝试过三种解决方案Root方案通过adb remount重新挂载vendor分区为可写实测在Android 9及以下版本有效但会导致SafetyNet验证失败Magisk模块开发自定义模块替换配置文件需要用户安装Magisk源码修改推荐修改phNxpNciHal.cc中的配置文件路径第三种方案最彻底具体修改位置在// vendor/nxp/opensource/halimpl/src/hal/phNxpNciHal.cc status_t phNxpNciHal_MinOpen() { ... setNxpRfConfigPath(/data/vendor/nfc/libnfc-nxp_RF.conf); ... }将路径指向/data分区下的自定义位置这样我们就能在不修改系统分区的情况下更新配置。记得在init.rc中添加对应的SELinux策略否则会出现权限拒绝错误。3. SELinux权限问题解决3.1 典型avc拒绝日志分析在修改NFC配置时最常见的错误就是SELinux权限问题日志中会出现类似这样的拒绝记录avc: denied { read } for pid1234 commnfc namelibnfc-nxp_RF.conf devdm-0 ino5678 scontextu:r:nfc:s0 tcontextu:object_r:vendor_configs_file:s0 tclassfile permissive0这表示nfc服务没有权限读取vendor分区下的配置文件。我的建议是不要简单粗暴地设置SELinux为permissive模式而是应该精确添加所需权限。3.2 使用audit2allow生成策略具体操作步骤收集avc拒绝日志adb logcat | grep avc avc.log使用audit2allow生成策略audit2allow -i avc.log输出结果示例allow nfc vendor_configs_file:file { read open };将生成的规则添加到device/manufacturer/device/sepolicy/nfc.te文件中记得在修改后重新编译bootimagemake bootimage -j84. 完整实现流程与注意事项4.1 操作流程图解读取原卡UIDTag tag intent.getParcelableExtra(NfcAdapter.EXTRA_TAG); String uid bytesToHex(tag.getId());生成配置文件def generate_config(uid): template f NXP_CORE_CONF{{ 20, 02, 2B, 0D, 30, 01, {uid[0:2]}, 33, 04, {uid[2:4]}, {uid[4:6]}, {uid[6:8]}, {uid[8:10]} }} return template推送配置文件adb push custom.conf /data/vendor/nfc/libnfc-nxp_RF.conf adb shell chmod 644 /data/vendor/nfc/libnfc-nxp_RF.conf4.2 常见问题排查问题现象NFC服务崩溃日志显示STATUS_SYNTAX_ERROR原因配置文件格式错误解决方案检查每行末尾的逗号确保十六进制值有效问题现象UID修改成功但门禁不识别可能原因门禁系统校验了卡片类型Mifare Classic等系统使用了加密校验解决方案改用HCE模拟方案或使用PN532等专业设备克隆卡片在实际项目中我还发现不同厂商的NFC芯片配置差异很大。高通的方案通常使用libnfc-nci.conf而NXP芯片则使用libnfc-nxp.conf。建议在开发前先用getprop | grep nfc确认芯片型号避免走弯路。最后提醒一点Android 10之后Google加强了NFC权限管理即使有root权限也很难直接修改UID。这种情况下建议考虑使用SE芯片的方案比如eSE或SIM卡的NFC功能这些不在本文讨论范围内有兴趣的读者可以研究下GP规范。