以下仅针对定向的密钥恢复. 从最后一轮S 盒的输出选取起始.将其作为输出,在偏移表内检索偏差大的(最好BIN形式的1较少避免扩散)将结果作为输入,经过逆P盒路径传至上一级作为输出LOOP直到最上一层. 之后执行线性攻击步骤.密钥的回复情况视实际的扩散而定.