Crypto_[NPUCTF2020]认清形势建立信心

[NPUCTF2020]认清形势，建立信心

题目描述：

from Crypto.Util.number import *
from gmpy2 import *
from secret import flag

p = getPrime(25)
e = # Hidden
q = getPrime(25)
n = p * q
m = bytes_to_long(flag.strip(b"npuctf{").strip(b"}"))

c = pow(m, e, n)
print(c)
print(pow(2, e, n))
print(pow(4, e, n))
print(pow(8, e, n))

'''
169169912654178
128509160179202
518818742414340
358553002064450
'''

代码已知

$x_1\equiv 2^e(modn)$

$x_2\equiv 2^{2e}(modn)$

$x_3\equiv 2^{3e}(modn)$

所以：

$x_1^2-x_2=k\ast n$

$x_1\ast x_2-x_3=k^{\prime }\ast n$

求解两者之间的最大公因数（注意求得的最大公因数可能为依然为$k^{\prime \prime }\ast n$，但是$k^{\prime \prime }$一般很小）即为$n$

分解$n$再除以显然不是$p,q$的数

得到真正的$n$

再求$e$；相当于离散对数问题，当然也可以直接爆破

使用封装函数sympy.discrete_log()

然后正常的RSA求解

代码实现：

import gmpy2
from Crypto.Util.number import *
import sympy

c = 169169912654178
x1 = 128509160179202
x2 = 518818742414340
x3 = 358553002064450

n = gmpy2.gcd(x1**2-x2,x1*x2-x3) // 2
p = 28977097
q = 18195301
e = sympy.discrete_log(n,x1,2)
fai_n = (p-1)*(q-1)
d = gmpy2.invert(e,fai_n)
m = pow(c,d,n)
print(long_to_bytes(m))