RSA1(p1-p10)

AxuAxuA123

已于 2024-08-05 15:34:53 修改

阅读量1.7k

点赞数 45

文章标签：密码学网络安全安全 python 抽象代数

于 2024-07-07 11:21:19 首次发布

本文链接：https://blog.csdn.net/AxuAxuA123/article/details/140229055

版权

P1:

RSA的解密过程。p，q，e全部已知，先求出 $\phi$ (n)，然后求出e模 $\phi$ (n)的逆元d。得到私钥d后解密即可，代码如下：

from Crypto.Util.number import *
p = 10554915510546378513140074459658086644656654144905337809416976066414771647836950941616441505897207397834928781511863699153349798682451297889979721668885951
q = 8246403321715011123191410826902524505032643184038566851264109473851746507405534573077909160292816825514872584170252311902322051822644609979417178306809223
e = 65537
c = 40005881669517895877352756665523238535105922590962714344556374248977905431683140065629966778249773228248201807844489945346731806741025157651474530811920115794270396320935022110691338083709019538562205165553541077855422953438117902279834449006455379382431883650004540282758907332683496655914597029545677184720
n = p*q
phi = (p-1)*(q-1)
d = inverse(e,phi)
m = pow(c,d,n)
print(long_to_bytes(m))

运行得flag：NSSCTF{now!you_know_rsa}

P2：

这题直接给出了n，但是n是由两个256位的素数乘积得来的，不算太大(至少factordb能分解)，放到factordb直接分解即可：

之后的过程同P1：

from Crypto.Util.number import *
n = 7382582015733895208810490097582153009797420348201515356767397357174775587237553842395468027650317457503579404097373070312978350435795210286224491315941881
e = 65537
c = 6511001389892474870028836129813814173158254564777610289284056550272120510686249909340499673868720839756059423749304765055919251717618117507007046973023557
p = 70538125404512947763739093348083497980212021962975762144416432920656660487657
q = 104660876276442216612517835199819767034152013287345576481899196023866133215633
phi = (p-1)*(q-1)
d = inverse(e,phi)
m = pow(c,d,n)
print(long_to_bytes(m))

运行得flag：NSSCTF{factordb_is_useful}

和P2差不多，只不过n更小，用yafu就可以分解，代码如下：

from Crypto.Util.number import *
n = 53690629441472827148854210396580805205350972614395425306316047967905824330731
e = 65537
c = 22130296334673852790451396673112575082637108306697684532954477845025885087040
p = 193584665240506752994134779660255197091
q = 277349599849597463956171076348973750041
phi = (p-1)*(q-1)
d = inverse(e,phi)
m = pow(c,d,n)
print(long_to_bytes(m))

运行得flag：NSSCTF{yafu!yafu!yafu!}

这里的n是由两个相邻的素数组成的，所以根号n往后的第一个素数即为n的一个素因子。这里可以用gmpy库的iroot函数来开根，iroot函数返回两个值，第一个值是开根后的取整，第二个表示开根是否精确。代码如下：

from Crypto.Util.number import *
from gmpy2 import *
n = 115637000420176820831322601039129424406844427046456738651883381559357542765613732363445112111006849040385859313572091386802534464534403117787314180179562651607533039692795522388596550968316951090748054495960090527479954143448774136390568881020918710834542819900918984139672802889774720153267841255456602500057
e = 65537
c = 98161406745910866780822530171878255235776133393411573803496865047700715941955255328757920065032397556905095591171977170479344602512244671081108703687450560269408412671849929423399172588599903975793985819498354819305128607934552101433664794909855378636055525016664559476808490723554481335856183927702549281730
q = next_prime(iroot(n,2)[0])
p = n // q
phi = (p-1)*(q-1)
d = inverse(e,phi)
m = pow(c,d,n)
print(long_to_bytes(m))

运行得flag：NSSCTF{so_closed}

本题两个素因子比较接近，可以使用费马分解法来分解n。

由于p，q均为奇数且p>q，则一定可以找到两个正整数a，b，使得：

$p = a+b$

$q = a - b$

则 $n=pq=a^{2}-b^{2}<a^{2}$

则 $a>\left \lfloor \sqrt{n} \right \rfloor$

然后将 $a$ 从 $\left \lfloor \sqrt{n} \right \rfloor$ 开始往上遍历，判断 $n^{2}-a$ 是否是完全平方数，如果是则遍历终止，此时可以求出 $b=\sqrt{n^{2}-a}$ ，最后就可以成功分解出p，q：


from Crypto.Util.number import *
from gmpy2 import next_prime, iroot
n = 148841588941490812589697505975986386226158446072049530534135525236572105309550985274214825612079495930267744452266230141871521931612761645600600201983605957650711248808703757693378777706453580124982526368706977258199152469200838211055230241296139605912607613807871432800586045262879581100319519318390454452117
e = 65537
c = 69038543593219231496623016705860610154255535760819426453485115089535439537440188692852514795648297200067103841434646958466720891016026061658602312900242658759575613625726750416539176437174502082858413122020981274672260498423684555063381678387696096811975800995242962853092582362805345713900308205654744774932
a = iroot(n,2)[0]
a += 1
i = 0
while (True):
    if iroot(a*a-n,2)[1]:
        break
    a += 1
    i += 1
b = iroot(a*a-n,2)[0]
p = a + b
q = a - b
d = inverse(e,(p-1)*(q-1))
m = pow(c,d,n)
print(long_to_bytes(m))

运行得flag：NSSCTF{fermat_factor}

这题给了两个模数n1，n2。并且他们有一个共同的素因子，因此可以用GCD（n1，n2）（欧几里得算法）求出这个最大公因数q，然后就可以按常规RSA解密。（ps：此题还给出了同一明文用相同的e不同的n加密所得的两个密文c1，c2，那么c1-c2就能被q整除，所以用GCD（c1-c2，n1）也可以求出q）：

from Crypto.Util.number import *
from gmpy2 import *
n1 = 143348646254804947818644803938588739009782265465565896704788366218178523508874903492905378927641178487821742289009401873633609987818871281146199303052141439575438691652893995423962176259643151111739185844059243400387734688275416379337335777994990138009973618431459431410429980866760075387393812720247541406893
n2 = 138110854441015362783564250048191029327770295545362614687087481715680856350219966472039006526758450117969049316234863489558254565946242898336924686721846675826468588471046162610143748100096038583426519355288325214365299329095841907207926280081868726568947436076663762493891291276498567791697978693639037765169
e = 65537
c1 = 54957154834913405861345262613986460384513988240935244315981524013378872930144117440787175357956479768211180412158274730449811947349624843965933828130932856052315165316154486515277625404352272475136003785605985702495858150662789554694910771308456687676791434476722168247882078861234982509648037033827107552029
c2 = 122221335585005390437769701090707585780333874638519916373585594040154234166935881089609641995190534396533473702495240511296379249872039728112248708182969185010334637138777948970821974238214641235158623707766980447918480715835847907220219601467702961667091318910582445444058108454023108157805147341928089334736
q = GCD(n1,n2)
p = n1 // q
phi = (p-1)*(q-1)
d = inverse(e,phi)
m = pow(c1, d, n1)
print(long_to_bytes(m))

运行得flag：NSSCTF{no_share_number}

这题是多素数的RSA解密，由于素因子已全部给出，所以直接按RSA的原理解密即可：

from Crypto.Util.number import *
from gmpy2 import *
p = 10666139331774428325755287635566473140804481321882464031499529816800186578792308674238646794969384836340484775213796013129603472328582005363876462361316357
q = 8419311673449738061914489023962717718536471719688567807316495262754711350004888752049108347226115000749280146228195893953964759818878155006622123533942989
r = 12875078327453384158245832541544758526474680184252540739652077682353277702054275525591573258723948221345537075374635382175740236093131628077747126356403959
e = 65537
c = 424552463648937499189041230155623101311087334789253159440707211761796081289342164253743235182597460622581134089949035117444838205449163269030784233435435681797627188717450074808905561404960693227573181548281296514743775615606388692910356320667720308219275107443303501165027740512539959960217657836317351146520079753390346207659007421416917274795119021374032194294225350901136669304225010974617136606299060486198480556729770211945777266366417547752798441211059402
n = p*q*r
phi_n = (p-1)*(q-1)*(r-1)
d = inverse(e,phi_n)
m = pow(c,d,n)
print(long_to_bytes(m))

运行得flag：NSSCTF{3th_number!}

这题素因子均已给出，故解法同P7，不过这里的 $\phi(n)$ 计算公式如下：

$\phi(n)=\phi(p^{3}q)=\phi(p^{3})\phi(q)=p^{2}(p-1)(q-1)$

from Crypto.Util.number import *
from gmpy2 import *
p = 80505091208742938705306670241621545375764148093711243653439069254008824979403
q = 67599990875658931406915486208971556223245451500927259766683936131876689508521
e = 65537
c = 7958690969908064264211283192959937430539613460471121984649054121171267262097603091410178042319139582772142226087020110084551158367679146616732446561228522673699836019156243452069036383047309578614662564794584927846163157472211089368697387945469398750955336949678910159585015004994620777231073804301249774041
n = (p**3) * q
phi_n = p*p*(p-1)*(q-1)
d = inverse(e,phi_n)
m = pow(c,d,n)
print(long_to_bytes(m))

运行得flag：NSSCTF{more_exp}

这题中n有3个素因子p，q，r。并且 $\phi(n)$ 与e并不互素，故不能求出e模 $\phi(n)$ 的逆元，但是我们有：

$m^{e}\equiv c$ $(mod$ $pqr)$

$\Rightarrow$ $m^{e}\equiv c$ $(mod$ $pq)$

故我们令d为e模 $\phi(pq)$ 的逆元，可得：

$c^{d}\equiv m^{ed} \equiv m^{1+k\phi(pq)} \equiv m\cdot m^{k\phi(pq)} \equiv m$ $(mod$ $pq)$

这样我们可以求出在模pq意义下的m，所以只有当m<pq时，求出来的才是精确的m，而本题m<pq，故可以求出m：

from Crypto.Util.number import *
from gmpy2 import *
p = 7478755670255767435237487693415479182290330775502792675052667363676831056436638619069277770540533350723045234676443621124912287506103439704868369839725279
q = 9232828888049557325429111621080998490274442347556398052322580869768941301413255711626092627273543579067597113958627672298942570149816938335701615759283713
r = 102909133680612532601801231903654039
e = 65537
c = 142893174944324070830219394465469685943669308818639857030565389839224452373848570577201378981080333784852764502832587008270072323948511579823852437852643609820245476634896477031076952735298279618952398460203032125853063235638358942643559551563899381032067185778629120272032518475352761100115057449043142848203976076694124978394099839339406197
pq = p*q
phi_pq = (p-1)*(q-1)
d = inverse(e,phi_pq)
m = pow(c,d,pq)
print(long_to_bytes(m))

运行得到flag：NSSCTF{no_inverse!but_decrypt}

P10

这题的zip文件打不开，用010看一下发现是rar文件，用winrar打开后发现e的素因子里有一个2，所以e与 $\phi(n)$ 不互素，但是我们可以做如下操作：

$m^{e}=(m^{2})^{65537}$

这样把 $m^{2}$ 当作一个整体，那么65537就是就是新的公钥了，于是便可以解出在模n意义下的 $m^{2}$ ，这里由于 $m^{2}$ 比较小（至少比n要少），所以对所求出来的 $m^{2}$ 可以直接开根求出m：

from Crypto.Util.number import *
from gmpy2 import *
p = 9927950299160071928293508814174740578824022211226572614475267385787727188317224760986347883270504573953862618573051241506246884352854313099453586586022059
q = 9606476151905841036013578452822151891782938033700390347379468858357928877640534612459734825681004415976431665670102068256547092636766287603818164456689343
e = 131074
c = 68145285629092005589126591120307889109483909395989426479108244531402455690717006058397784318664114589567149811644664654952286387794458474073250495807456996723468838094551501146672038892183058042546944692051403972876692350946611736455784779361761930869993818138259781995078436790236277196516800834433299672560
new_e = e // 2
n = p*q
phi = (p-1)*(q-1)
d = inverse(new_e,phi)
sq_m = pow(c,d,n)
m = iroot(sq_m,2)[0]
print(long_to_bytes(m))

运行得到flag：NSSCTF{inverse_and_root}

AxuAxuA123

关注

45
点赞
踩
54

收藏

觉得还不错? 一键收藏
0
评论
RSA1(p1-p10)

并且他们有一个共同的素因子，因此可以用GCD（n1，n2）（欧几里得算法）求出这个最大公因数q，然后就可以按常规RSA解密。这里的n是由两个相邻的素数组成的，所以根号n往后的第一个素数即为n的一个素因子。这题直接给出了n，但是n是由两个256位的素数乘积得来的，不算太大(至少factordb能分解)，放到。运行得flag：NSSCTF{factordb_is_useful}运行得到flag：NSSCTF{inverse_and_root}运行得flag：NSSCTF{no_share_number}
复制链接

扫一扫