P1:
RSA的解密过程。p,q,e全部已知,先求出(n),然后求出e模
(n)的逆元d。得到私钥d后解密即可,代码如下:
from Crypto.Util.number import *
p = 10554915510546378513140074459658086644656654144905337809416976066414771647836950941616441505897207397834928781511863699153349798682451297889979721668885951
q = 8246403321715011123191410826902524505032643184038566851264109473851746507405534573077909160292816825514872584170252311902322051822644609979417178306809223
e = 65537
c = 40005881669517895877352756665523238535105922590962714344556374248977905431683140065629966778249773228248201807844489945346731806741025157651474530811920115794270396320935022110691338083709019538562205165553541077855422953438117902279834449006455379382431883650004540282758907332683496655914597029545677184720
n = p*q
phi = (p-1)*(q-1)
d = inverse(e,phi)
m = pow(c,d,n)
print(long_to_bytes(m))
运行得flag:NSSCTF{now!you_know_rsa}
P2:
这题直接给出了n,但是n是由两个256位的素数乘积得来的,不算太大(至少factordb能分解),放到factordb直接分解即可:
之后的过程同P1:
from Crypto.Util.number import *
n = 7382582015733895208810490097582153009797420348201515356767397357174775587237553842395468027650317457503579404097373070312978350435795210286224491315941881
e = 65537
c = 6511001389892474870028836129813814173158254564777610289284056550272120510686249909340499673868720839756059423749304765055919251717618117507007046973023557
p = 70538125404512947763739093348083497980212021962975762144416432920656660487657
q = 104660876276442216612517835199819767034152013287345576481899196023866133215633
phi = (p-1)*(q-1)
d = inverse(e,phi)
m = pow(c,d,n)
print(long_to_bytes(m))
运行得flag:NSSCTF{factordb_is_useful}
P3
和P2差不多,只不过n更小,用yafu就可以分解,代码如下:
from Crypto.Util.number import *
n = 53690629441472827148854210396580805205350972614395425306316047967905824330731
e = 65537
c = 22130296334673852790451396673112575082637108306697684532954477845025885087040
p = 193584665240506752994134779660255197091
q = 277349599849597463956171076348973750041
phi = (p-1)*(q-1)
d = inverse(e,phi)
m = pow(c,d,n)
print(long_to_bytes(m))
运行得flag:NSSCTF{yafu!yafu!yafu!}
P4
这里的n是由两个相邻的素数组成的,所以根号n往后的第一个素数即为n的一个素因子。这里可以用gmpy库的iroot函数来开根,iroot函数返回两个值,第一个值是开根后的取整,第二个表示开根是否精确。代码如下:
from Crypto.Util.number import *
from gmpy2 import *
n = 115637000420176820831322601039129424406844427046456738651883381559357542765613732363445112111006849040385859313572091386802534464534403117787314180179562651607533039692795522388596550968316951090748054495960090527479954143448774136390568881020918710834542819900918984139672802889774720153267841255456602500057
e = 65537
c = 98161406745910866780822530171878255235776133393411573803496865047700715941955255328757920065032397556905095591171977170479344602512244671081108703687450560269408412671849929423399172588599903975793985819498354819305128607934552101433664794909855378636055525016664559476808490723554481335856183927702549281730
q = next_prime(iroot(n,2)[0])
p = n // q
phi = (p-1)*(q-1)
d = inverse(e,phi)
m = pow(c,d,n)
print(long_to_bytes(m))
运行得flag:NSSCTF{so_closed}
P5
本题两个素因子比较接近,可以使用费马分解法来分解n。
由于p,q均为奇数且p>q,则一定可以找到两个正整数a,b,使得:
则
则
然后将从
开始往上遍历,判断
是否是完全平方数,如果是则遍历终止,此时可以求出
,最后就可以成功分解出p,q:
from Crypto.Util.number import *
from gmpy2 import next_prime, iroot
n = 148841588941490812589697505975986386226158446072049530534135525236572105309550985274214825612079495930267744452266230141871521931612761645600600201983605957650711248808703757693378777706453580124982526368706977258199152469200838211055230241296139605912607613807871432800586045262879581100319519318390454452117
e = 65537
c = 69038543593219231496623016705860610154255535760819426453485115089535439537440188692852514795648297200067103841434646958466720891016026061658602312900242658759575613625726750416539176437174502082858413122020981274672260498423684555063381678387696096811975800995242962853092582362805345713900308205654744774932
a = iroot(n,2)[0]
a += 1
i = 0
while (True):
if iroot(a*a-n,2)[1]:
break
a += 1
i += 1
b = iroot(a*a-n,2)[0]
p = a + b
q = a - b
d = inverse(e,(p-1)*(q-1))
m = pow(c,d,n)
print(long_to_bytes(m))
运行得flag:NSSCTF{fermat_factor}
P6
这题给了两个模数n1,n2。并且他们有一个共同的素因子,因此可以用GCD(n1,n2)(欧几里得算法)求出这个最大公因数q,然后就可以按常规RSA解密。(ps:此题还给出了同一明文用相同的e不同的n加密所得的两个密文c1,c2,那么c1-c2就能被q整除,所以用GCD(c1-c2,n1)也可以求出q):
from Crypto.Util.number import *
from gmpy2 import *
n1 = 143348646254804947818644803938588739009782265465565896704788366218178523508874903492905378927641178487821742289009401873633609987818871281146199303052141439575438691652893995423962176259643151111739185844059243400387734688275416379337335777994990138009973618431459431410429980866760075387393812720247541406893
n2 = 138110854441015362783564250048191029327770295545362614687087481715680856350219966472039006526758450117969049316234863489558254565946242898336924686721846675826468588471046162610143748100096038583426519355288325214365299329095841907207926280081868726568947436076663762493891291276498567791697978693639037765169
e = 65537
c1 = 54957154834913405861345262613986460384513988240935244315981524013378872930144117440787175357956479768211180412158274730449811947349624843965933828130932856052315165316154486515277625404352272475136003785605985702495858150662789554694910771308456687676791434476722168247882078861234982509648037033827107552029
c2 = 122221335585005390437769701090707585780333874638519916373585594040154234166935881089609641995190534396533473702495240511296379249872039728112248708182969185010334637138777948970821974238214641235158623707766980447918480715835847907220219601467702961667091318910582445444058108454023108157805147341928089334736
q = GCD(n1,n2)
p = n1 // q
phi = (p-1)*(q-1)
d = inverse(e,phi)
m = pow(c1, d, n1)
print(long_to_bytes(m))
运行得flag:NSSCTF{no_share_number}
P7
这题是多素数的RSA解密,由于素因子已全部给出,所以直接按RSA的原理解密即可:
from Crypto.Util.number import *
from gmpy2 import *
p = 10666139331774428325755287635566473140804481321882464031499529816800186578792308674238646794969384836340484775213796013129603472328582005363876462361316357
q = 8419311673449738061914489023962717718536471719688567807316495262754711350004888752049108347226115000749280146228195893953964759818878155006622123533942989
r = 12875078327453384158245832541544758526474680184252540739652077682353277702054275525591573258723948221345537075374635382175740236093131628077747126356403959
e = 65537
c = 424552463648937499189041230155623101311087334789253159440707211761796081289342164253743235182597460622581134089949035117444838205449163269030784233435435681797627188717450074808905561404960693227573181548281296514743775615606388692910356320667720308219275107443303501165027740512539959960217657836317351146520079753390346207659007421416917274795119021374032194294225350901136669304225010974617136606299060486198480556729770211945777266366417547752798441211059402
n = p*q*r
phi_n = (p-1)*(q-1)*(r-1)
d = inverse(e,phi_n)
m = pow(c,d,n)
print(long_to_bytes(m))
运行得flag:NSSCTF{3th_number!}
P8
这题素因子均已给出,故解法同P7,不过这里的计算公式如下:
from Crypto.Util.number import *
from gmpy2 import *
p = 80505091208742938705306670241621545375764148093711243653439069254008824979403
q = 67599990875658931406915486208971556223245451500927259766683936131876689508521
e = 65537
c = 7958690969908064264211283192959937430539613460471121984649054121171267262097603091410178042319139582772142226087020110084551158367679146616732446561228522673699836019156243452069036383047309578614662564794584927846163157472211089368697387945469398750955336949678910159585015004994620777231073804301249774041
n = (p**3) * q
phi_n = p*p*(p-1)*(q-1)
d = inverse(e,phi_n)
m = pow(c,d,n)
print(long_to_bytes(m))
运行得flag:NSSCTF{more_exp}
P9
这题中n有3个素因子p,q,r。并且与e并不互素,故不能求出e模
的逆元,但是我们有:
故我们令d为e模的逆元,可得:
这样我们可以求出在模pq意义下的m,所以只有当m<pq时,求出来的才是精确的m,而本题m<pq,故可以求出m:
from Crypto.Util.number import *
from gmpy2 import *
p = 7478755670255767435237487693415479182290330775502792675052667363676831056436638619069277770540533350723045234676443621124912287506103439704868369839725279
q = 9232828888049557325429111621080998490274442347556398052322580869768941301413255711626092627273543579067597113958627672298942570149816938335701615759283713
r = 102909133680612532601801231903654039
e = 65537
c = 142893174944324070830219394465469685943669308818639857030565389839224452373848570577201378981080333784852764502832587008270072323948511579823852437852643609820245476634896477031076952735298279618952398460203032125853063235638358942643559551563899381032067185778629120272032518475352761100115057449043142848203976076694124978394099839339406197
pq = p*q
phi_pq = (p-1)*(q-1)
d = inverse(e,phi_pq)
m = pow(c,d,pq)
print(long_to_bytes(m))
运行得到flag:NSSCTF{no_inverse!but_decrypt}
P10
这题的zip文件打不开,用010看一下发现是rar文件,用winrar打开后发现e的素因子里有一个2,所以e与不互素,但是我们可以做如下操作:
这样把当作一个整体,那么65537就是就是新的公钥了,于是便可以解出在模n意义下的
,这里由于
比较小(至少比n要少),所以对所求出来的
可以直接开根求出m:
from Crypto.Util.number import *
from gmpy2 import *
p = 9927950299160071928293508814174740578824022211226572614475267385787727188317224760986347883270504573953862618573051241506246884352854313099453586586022059
q = 9606476151905841036013578452822151891782938033700390347379468858357928877640534612459734825681004415976431665670102068256547092636766287603818164456689343
e = 131074
c = 68145285629092005589126591120307889109483909395989426479108244531402455690717006058397784318664114589567149811644664654952286387794458474073250495807456996723468838094551501146672038892183058042546944692051403972876692350946611736455784779361761930869993818138259781995078436790236277196516800834433299672560
new_e = e // 2
n = p*q
phi = (p-1)*(q-1)
d = inverse(new_e,phi)
sq_m = pow(c,d,n)
m = iroot(sq_m,2)[0]
print(long_to_bytes(m))
运行得到flag:NSSCTF{inverse_and_root}