2021江西省赛线下赛赛后总结（Crypto）

2021江西省赛线下赛

crypto1

题目：

from random import randint
from gmpy2 import *
from Crypto.Util.number import *
from flag import flag

e = 65537


def getprime(bits):
    while True:
        n = 1
        while n.bit_length() < bits:
            n *= next_prime(randint(1, 1000))
        if isPrime(n - 1):
            return n - 1, next_prime(n - 1)


m = bytes_to_long(flag)

p, q = getprime(512)
n = p * q
print(n)
cipher = pow(m, e, n)
print(cipher)


'''
1218619816262698783546648940878194669948979438203709672616480993515396961355395106056079918611561560475179643559119588585898564073516537184901016698826515936521556602092317546069579399703397931712467163230371193719052714305461017238967564606988838393544992753947092855374755747446894202750381311264877872839091
352354447911429303374519396490477565259821643971034839508568182565346164389287956989900378749729230944730331100775811131476843801977815021460665576439081472176097865974428184576142512412853496411268585776818066203487906030045789380455941042181582290374609632090947501064978978356385970005273609161215198427253
'''

思路：

1. 直接yafu分解n
2. 仔细看了看，好像可能是不是没有其它解法了？

crypto2

题目：

from Crypto.Util.number import *
from secret import flag, NBIT, MIDDLE
assert MIDDLE < 4096

def rsarsa(nbit):
    while True:
        p = getPrime(nbit)
        middle = (2**nbit - 3) ^ p
        q = middle + MIDDLE
        if isPrime(q):
            return p,q

p,q = rsarsa(NBIT)
e = 0x10001
n = p * q 
m = bytes_to_long(flag)
c = pow(m,e,n)

print('n =', n)
print('c =', c)


'''
n = 692224041388945379000542945310902880889100544298206558809223921382304144887565486168738878540375370962131523216110266003450063038852597901973959069961409252090233088923246072020448653242413438525803983280986587695098100053523677324314279892099704680639276122605007782194993832619487191722743054531524695485466578897531910673635843617334895918839728199336965513679879931120369894252383320216068550188557341291620047417322944706390751843111508918089789408109422357563835039746241760245490926252447703597477533668752930171198897054058982716965576506579176144003183647342789557878319494827627831312013617439863026665812607443
c = 307197727308287745314426467002903248074969761558679046606456172330293223597622415661766314599586983706525802752702590834171088229466177584813058269117390420554764305566689318459776899180134066369190626054796865325243251558047293127988662783785017198221284274732844911397443405439812227924713443788235973809737857889544240278704700770780579167766105940360383012181564955578959555701526997721449721679761556310570137638766549920135248234070586743609456381815893734230223940645912347773433002389063138902856398043379520285872239709077175291162768996775352120726794354655215827681853155145863834324898022202315574453344333550
'''

思路：

还是考虑直接分解n，可以尝试利用一元二次方程分解。原理如下：

因为\(x^2+bx+c=0\)，所以如果找到一个\(b=a\sqrt{c}\)，那么就有：

\[x^2+2\sqrt{c}\ x+c=0 \\ (x+\sqrt{c})^2=0 \]

这里有个非常相似的题：Crypto CTF 2019-roXen
其它部分这里就不再赘述，原文章写的很详尽，在这里只记录我在看的时候遇到的小小阻碍：
adlit函数实际上就是等式：\(p+adlit(p)=2^l-1\)，其中\(l\)是p的二进制长度
这个推论的过程如下：
因为\(adlit(p)=(2^l-1)\oplus p\)，而其中\(2^l-1\)是二进制下\(l-1\)位的数字。所以在两边同时加上p，有：

\[\begin{equation} \begin{aligned} p+adlit(p)&=((2^l-1)\oplus p)+p \\ p+adlit(p)&=\neg p+p \end{aligned} \end{equation} \]

而\(\neg p+p\)的结果可以参考下面的程序：

p=eval(bin(2**12-1))
q=0b110101001011
k=p^q
print(bin(2**12-1))
print(len(bin(2**12-1)))
print(bin(q))
print(len(bin(q)))
print(bin(k))
print(len(bin(k)))
print(bin(q+k))
print(len(bin(q+k)))
>>>0b111111111111
>>>14
>>>0b1010110100
>>>12
>>>0b111111111111
>>>14

所以有\(\neg p+p=2^n-1\)，其中\(n\)是p的位数加一（2的n次方有n+1位）
而在这个题中，adlit函数就是middle，功能是一样的（虽然我不理解为啥减三也可以……但是把上面那个代码改一改就会发现结果是一样的。）所以这样想的思路就明确了，有：

\[\begin{equation} \begin{aligned} p+middle&=2^{nbits}-3 \\ p+q&=2^{nbits}-3+MIDDLE \end{aligned} \end{equation} \]

这里加上一个MIDDLE（\(MIDDLE<4096\)）也可以在一定程度上可以抵消后面那个减三，从而可以把一个推测值直接设成\(2^{nbits}\)，不过如果MIDDLE小于3，那么就可能会出现求不出来的情况~
而在这个题中我们无法完全肯定nbits的取值，所以在尽可能缩小取值之后可以进行爆破处理：

1. 由于n的位数（二进制下）为2063，所以可以尝试将nbits设为1030或者1024等值
2. 然后可以尝试寻找一个\(\sqrt{(p+q)^2-4p*q}\)可以完全开放的nbits和MIDDLE，从步骤1中设的值开始（或者也可以先做一个循环，找到满足\(4n-(2^{nbits}-3)<4096\)情况的nbits）

from gmpy2 import iroot,invert
from Crypto.Util.number import long_to_bytes
n=692224041388945379000542945310902880889100544298206558809223921382304144887565486168738878540375370962131523216110266003450063038852597901973959069961409252090233088923246072020448653242413438525803983280986587695098100053523677324314279892099704680639276122605007782194993832619487191722743054531524695485466578897531910673635843617334895918839728199336965513679879931120369894252383320216068550188557341291620047417322944706390751843111508918089789408109422357563835039746241760245490926252447703597477533668752930171198897054058982716965576506579176144003183647342789557878319494827627831312013617439863026665812607443
c=307197727308287745314426467002903248074969761558679046606456172330293223597622415661766314599586983706525802752702590834171088229466177584813058269117390420554764305566689318459776899180134066369190626054796865325243251558047293127988662783785017198221284274732844911397443405439812227924713443788235973809737857889544240278704700770780579167766105940360383012181564955578959555701526997721449721679761556310570137638766549920135248234070586743609456381815893734230223940645912347773433002389063138902856398043379520285872239709077175291162768996775352120726794354655215827681853155145863834324898022202315574453344333550
e = 0x10001
flag=True
nbits = 1033
while flag:
    data1 = (1 << nbits) - 3
    print(nbits)
    for MIDDLE in range(1086,4096):
        print(MIDDLE)
        tmp = pow(data1 + MIDDLE,2) - 4*n
        #if tmp < 0:
            #continue
        res,check=iroot(tmp,2)
        if check:
            p=(res+data1+MIDDLE)//2
            q=-(res-data1-MIDDLE)//2
            print(p)
            print(q)
            d=invert(e,(p-1)*(q-1))
            print(long_to_bytes(pow(c,d,n)))
            flag = False
            break
    nbits+=1

而且毕竟已经明确了这是一个类似一元二次方程的问题，也可以通过把p和q看做式子\((x-p)(x-q)=0\)的两个解，找到：

\[\triangle=\sqrt{b^2-4ac} \]

可以开出平方的取值

n = 692224041388945379000542945310902880889100544298206558809223921382304144887565486168738878540375370962131523216110266003450063038852597901973959069961409252090233088923246072020448653242413438525803983280986587695098100053523677324314279892099704680639276122605007782194993832619487191722743054531524695485466578897531910673635843617334895918839728199336965513679879931120369894252383320216068550188557341291620047417322944706390751843111508918089789408109422357563835039746241760245490926252447703597477533668752930171198897054058982716965576506579176144003183647342789557878319494827627831312013617439863026665812607443
c = 307197727308287745314426467002903248074969761558679046606456172330293223597622415661766314599586983706525802752702590834171088229466177584813058269117390420554764305566689318459776899180134066369190626054796865325243251558047293127988662783785017198221284274732844911397443405439812227924713443788235973809737857889544240278704700770780579167766105940360383012181564955578959555701526997721449721679761556310570137638766549920135248234070586743609456381815893734230223940645912347773433002389063138902856398043379520285872239709077175291162768996775352120726794354655215827681853155145863834324898022202315574453344333550

from Crypto.Util.number import *
import gmpy2


def solve(a, b, c):
    delta = b ** 2 - 4 * a * c
    if delta < 0:
        return None
    
    tmp, check = gmpy2.iroot(delta, 2)
    if not check:
        return None
    
    return ((-b + tmp) // (2 * a), (-b - tmp) // (2 * a),tmp,b)

nbits = 1024
#这个只是一个大概的取值，毕竟这个nbits会在之后的循环中逐渐加一

flag=True

while flag:
    
    data1 = (1 << nbits)
    
    for MIDDLE in range(4096):
        res = solve(1, -(data1 + MIDDLE), n)
        if res is not None:
            p, q, r, b = res
            e = 0x10001
            d = inverse(e, (p - 1) * (q - 1))
            print(long_to_bytes(pow(c, d, n))) 
            flag=False
            break
    nbits += 1

不过我也明确了一个问题：工具不是万能的，不能完全依赖工具（尤其是不是自己写的工具）