2021江西省赛线下赛赛后总结（Crypto）
2021江西省赛线下赛
crypto1
题目：
from random import randint
from gmpy2 import *
from Crypto.Util.number import *
from flag import flag
e = 65537
def getprime(bits):
while True:
n = 1
while n.bit_length() < bits:
n *= next_prime(randint(1, 1000))
if isPrime(n - 1):
return n - 1, next_prime(n - 1)
m = bytes_to_long(flag)
p, q = getprime(512)
n = p * q
print(n)
cipher = pow(m, e, n)
print(cipher)
'''
1218619816262698783546648940878194669948979438203709672616480993515396961355395106056079918611561560475179643559119588585898564073516537184901016698826515936521556602092317546069579399703397931712467163230371193719052714305461017238967564606988838393544992753947092855374755747446894202750381311264877872839091
352354447911429303374519396490477565259821643971034839508568182565346164389287956989900378749729230944730331100775811131476843801977815021460665576439081472176097865974428184576142512412853496411268585776818066203487906030045789380455941042181582290374609632090947501064978978356385970005273609161215198427253
'''
思路：
- 直接yafu分解n
- 仔细看了看，好像可能是不是没有其它解法了？
crypto2
题目：
from Crypto.Util.number import *
from secret import flag, NBIT, MIDDLE
assert MIDDLE < 4096
def rsarsa(nbit):
while True:
p = getPrime(nbit)
middle = (2**nbit - 3) ^ p
q = middle + MIDDLE
if isPrime(q):
return p,q
p,q = rsarsa(NBIT)
e = 0x10001
n = p * q
m = bytes_to_long(flag)
c = pow(m,e,n)
print('n =', n)
print('c =', c)
'''
n = 692224041388945379000542945310902880889100544298206558809223921382304144887565486168738878540375370962131523216110266003450063038852597901973959069961409252090233088923246072020448653242413438525803983280986587695098100053523677324314279892099704680639276122605007782194993832619487191722743054531524695485466578897531910673635843617334895918839728199336965513679879931120369894252383320216068550188557341291620047417322944706390751843111508918089789408109422357563835039746241760245490926252447703597477533668752930171198897054058982716965576506579176144003183647342789557878319494827627831312013617439863026665812607443
c = 307197727308287745314426467002903248074969761558679046606456172330293223597622415661766314599586983706525802752702590834171088229466177584813058269117390420554764305566689318459776899180134066369190626054796865325243251558047293127988662783785017198221284274732844911397443405439812227924713443788235973809737857889544240278704700770780579167766105940360383012181564955578959555701526997721449721679761556310570137638766549920135248234070586743609456381815893734230223940645912347773433002389063138902856398043379520285872239709077175291162768996775352120726794354655215827681853155145863834324898022202315574453344333550
'''
思路：
还是考虑直接分解n，可以尝试利用一元二次方程分解。原理如下：
因为\(x^2+bx+c=0\)，所以如果找到一个\(b=a\sqrt{c}\)，那么就有：
\[x^2+2\sqrt{c}\ x+c=0 \\
(x+\sqrt{c})^2=0
\]
这里有个非常相似的题：Crypto CTF 2019-roXen
其它部分这里就不再赘述，原文章写的很详尽，在这里只记录我在看的时候遇到的小小阻碍：
adlit函数实际上就是等式：\(p+adlit(p)=2^l-1\)，其中\(l\)是p的二进制长度
这个推论的过程如下：
因为\(adlit(p)=(2^l-1)\oplus p\)，而其中\(2^l-1\)是二进制下\(l-1\)位的数字。所以在两边同时加上p，有：
\[\begin{equation}
\begin{aligned}
p+adlit(p)&=((2^l-1)\oplus p)+p \\
p+adlit(p)&=\neg p+p
\end{aligned}
\end{equation}
\]
而\(\neg p+p\)的结果可以参考下面的程序：
p=eval(bin(2**12-1))
q=0b110101001011
k=p^q
print(bin(2**12-1))
print(len(bin(2**12-1)))
print(bin(q))
print(len(bin(q)))
print(bin(k))
print(len(bin(k)))
print(bin(q+k))
print(len(bin(q+k)))
>>>0b111111111111
>>>14
>>>0b1010110100
>>>12
>>>0b111111111111
>>>14
所以有\(\neg p+p=2^n-1\)，其中\(n\)是p的位数加一（2的n次方有n+1位）
而在这个题中，adlit函数就是middle，功能是一样的（虽然我不理解为啥减三也可以……但是把上面那个代码改一改就会发现结果是一样的。）所以这样想的思路就明确了，有：
\[\begin{equation}
\begin{aligned}
p+middle&=2^{nbits}-3 \\
p+q&=2^{nbits}-3+MIDDLE
\end{aligned}
\end{equation}
\]
这里加上一个MIDDLE（\(MIDDLE<4096\)）也可以在一定程度上可以抵消后面那个减三，从而可以把一个推测值直接设成\(2^{nbits}\)，不过如果MIDDLE小于3，那么就可能会出现求不出来的情况~
而在这个题中我们无法完全肯定nbits的取值，所以在尽可能缩小取值之后可以进行爆破处理：
- 由于n的位数（二进制下）为2063，所以可以尝试将nbits设为1030或者1024等值
- 然后可以尝试寻找一个\(\sqrt{(p+q)^2-4p*q}\)可以完全开放的nbits和MIDDLE，从步骤1中设的值开始（或者也可以先做一个循环，找到满足\(4n-(2^{nbits}-3)<4096\)情况的nbits）
from gmpy2 import iroot,invert
from Crypto.Util.number import long_to_bytes
n=692224041388945379000542945310902880889100544298206558809223921382304144887565486168738878540375370962131523216110266003450063038852597901973959069961409252090233088923246072020448653242413438525803983280986587695098100053523677324314279892099704680639276122605007782194993832619487191722743054531524695485466578897531910673635843617334895918839728199336965513679879931120369894252383320216068550188557341291620047417322944706390751843111508918089789408109422357563835039746241760245490926252447703597477533668752930171198897054058982716965576506579176144003183647342789557878319494827627831312013617439863026665812607443
c=307197727308287745314426467002903248074969761558679046606456172330293223597622415661766314599586983706525802752702590834171088229466177584813058269117390420554764305566689318459776899180134066369190626054796865325243251558047293127988662783785017198221284274732844911397443405439812227924713443788235973809737857889544240278704700770780579167766105940360383012181564955578959555701526997721449721679761556310570137638766549920135248234070586743609456381815893734230223940645912347773433002389063138902856398043379520285872239709077175291162768996775352120726794354655215827681853155145863834324898022202315574453344333550
e = 0x10001
flag=True
nbits = 1033
while flag:
data1 = (1 << nbits) - 3
print(nbits)
for MIDDLE in range(1086,4096):
print(MIDDLE)
tmp = pow(data1 + MIDDLE,2) - 4*n
#if tmp < 0:
#continue
res,check=iroot(tmp,2)
if check:
p=(res+data1+MIDDLE)//2
q=-(res-data1-MIDDLE)//2
print(p)
print(q)
d=invert(e,(p-1)*(q-1))
print(long_to_bytes(pow(c,d,n)))
flag = False
break
nbits+=1
而且毕竟已经明确了这是一个类似一元二次方程的问题，也可以通过把p和q看做式子\((x-p)(x-q)=0\)的两个解，找到：
\[\triangle=\sqrt{b^2-4ac}
\]
可以开出平方的取值
n = 692224041388945379000542945310902880889100544298206558809223921382304144887565486168738878540375370962131523216110266003450063038852597901973959069961409252090233088923246072020448653242413438525803983280986587695098100053523677324314279892099704680639276122605007782194993832619487191722743054531524695485466578897531910673635843617334895918839728199336965513679879931120369894252383320216068550188557341291620047417322944706390751843111508918089789408109422357563835039746241760245490926252447703597477533668752930171198897054058982716965576506579176144003183647342789557878319494827627831312013617439863026665812607443
c = 307197727308287745314426467002903248074969761558679046606456172330293223597622415661766314599586983706525802752702590834171088229466177584813058269117390420554764305566689318459776899180134066369190626054796865325243251558047293127988662783785017198221284274732844911397443405439812227924713443788235973809737857889544240278704700770780579167766105940360383012181564955578959555701526997721449721679761556310570137638766549920135248234070586743609456381815893734230223940645912347773433002389063138902856398043379520285872239709077175291162768996775352120726794354655215827681853155145863834324898022202315574453344333550
from Crypto.Util.number import *
import gmpy2
def solve(a, b, c):
delta = b ** 2 - 4 * a * c
if delta < 0:
return None
tmp, check = gmpy2.iroot(delta, 2)
if not check:
return None
return ((-b + tmp) // (2 * a), (-b - tmp) // (2 * a),tmp,b)
nbits = 1024
#这个只是一个大概的取值，毕竟这个nbits会在之后的循环中逐渐加一
flag=True
while flag:
data1 = (1 << nbits)
for MIDDLE in range(4096):
res = solve(1, -(data1 + MIDDLE), n)
if res is not None:
p, q, r, b = res
e = 0x10001
d = inverse(e, (p - 1) * (q - 1))
print(long_to_bytes(pow(c, d, n)))
flag=False
break
nbits += 1
不过我也明确了一个问题：工具不是万能的，不能完全依赖工具（尤其是不是自己写的工具）
