CISCN-2018-Quals_MS

$keywords:$ 有限域GF(2)下的矩阵乘法

$Description$

from Crypto.Util.number import getPrime,long_to_bytes,bytes_to_long
from Crypto.Cipher import AES
import hashlib
from random import randint
def gen512num():
    order=[]
    while len(order)!=512:
        tmp=randint(1,512)
        if tmp not in order:
            order.append(tmp)
    ps=[]
    for i in range(512):
        p=getPrime(512-order[i]+10)
        pre=bin(p)[2:][0:(512-order[i])]+"1"
        ps.append(int(pre+"0"*(512-len(pre)),2))
    return ps

def run():
    choose=getPrime(512)
    ps=gen512num()
    print "gen over"
    bchoose=bin(choose)[2:]
    r=0
    bchoose = "0"*(512-len(bchoose))+bchoose
    for i in range(512):
        if bchoose[i]=='1':
            r=r^ps[i]
    flag=open("flag","r").read()

    key=long_to_bytes(int(hashlib.md5(long_to_bytes(choose)).hexdigest(),16))
    aes_obj = AES.new(key, AES.MODE_ECB)
    ef=aes_obj.encrypt(flag).encode("base64")

    open("r", "w").write(str(r))
    open("ef","w").write(ef)
    gg=""
    for p in ps:
        gg+=str(p)+"\n"
    open("ps","w").write(gg)

run()

$Analysis$

首先介绍一个性质：
$$Result=Result\oplus (A_{bin}\cdot B_i)$$
其中$A_{bin}$是一个数$A$的各个二进制位；$B_i$是一个数组的各个数值

意思就是$Result$分别异或每一个$A_{bin}$和$B_i$的乘积

那么以上等式等价于在有限域$GF(2)$上进行的矩阵乘法
$$M_A\cdot M_B=M_R$$
其中$M_A$是由数值$A$的各个二进制位构成的一维行向量；$M_B$是由数组$B$得到各个数值的各个二进制位构成的二维向量（其中需要数组中数值的个数等于二进制位个数，也就是该二维向量行列长度相同）；$M_R$即为结果$Result$的二进制位组成的一维行向量

例如假设$A=5$，$B=[5,3,6]$；那么经计算$Result=3$

等价式子：

$$\left(\begin{array}{rrc}1& 0& 1\end{array}\right)\cdot \left(\begin{array}{rrc}1& 0& 1\\ 0& 1& 1\\ 1& 1& 0\end{array}\right)=\left(\begin{array}{rrc}0& 1& 1\end{array}\right)$$

二进制转十进制$Result=3$，与之前的结果一致

---

那么本题就是运用上述性质进行求解

flag由AES_ECB加密，需要key；而key是choose，其二进制位bchoose构成了等价于上述性质的$A_{bin}$；所以我们要找到上述性质中出现的其他参数

首先生成了由$512$个数值构成的数组ps，也就是$B$

    ps=[]
    for i in range(512):
        p=getPrime(512-order[i]+10)
        pre=bin(p)[2:][0:(512-order[i])]+"1"
        ps.append(int(pre+"0"*(512-len(pre)),2))
    return ps

通过不断异或生成r

    r=0
    bchoose = "0"*(512-len(bchoose))+bchoose # 填充bchoose到512位二进制
    for i in range(512):
        if bchoose[i]=='1':
            r=r^ps[i]

r的生成过程就是等价于
$$r=r\oplus (Bchoos{e}_{bin}\cdot P{S}_i)$$
那么由之前提到的性质，以上等式等价于在有限域$GF(2)$上的矩阵乘法
$$M_r=M_{bchoose}\cdot M_{ps}$$
需要知道$M_{bchoose}$；那么直接解矩阵乘法即可
$$M_{bchoose}=M_r\cdot M_{ps}^{-1}$$
这样就能解到$bchoose$的大小，进而解出key和flag

$Solvingcode$

import base64
from Crypto.Cipher import AES
import numpy
from Crypto.Util.number import *
import hashlib

f = open("ps","r")
ps = []
for line in f.readlines():
    ps.append(int(line.strip('\n')))
# print(ps)
f.close()
f = open("r","r")
r = int(f.read())
# print(r)
f.close()
f = open("ef","r")
ef = f.read()
enc = base64.b64decode(ef)
# print(ef)
f.close()

A = []
B = []
for i in ps:
    A.append([int(x) for x in bin(i)[2:].zfill(512)])
# print(A)
B=[int(x) for x in bin(r)[2:].zfill(512)]
# print(B)
A = matrix(GF(2),A)
B = matrix(GF(2),B)

Result = A.solve_left(B) # 这个函数是专门用来解矩阵乘法的，分为左乘、右乘
key = ""
# print(numpy.matrix.tolist(Result))
for i in numpy.matrix.tolist(Result)[0]:
    key += str(i)
key = int(key,2)
key = long_to_bytes(int(hashlib.md5(long_to_bytes(key)).hexdigest(),16))
aes_obj = AES.new(key, AES.MODE_ECB)
print(bytes.decode(aes_obj.decrypt(enc)))

$Reference$

(11条消息) CISCN2018]sm(矩阵)_前方是否可导？的博客-CSDN博客