使用求余运算解简单流密码

使用求余运算解简单流密码

$keywords:$ DASCTF 2022 三月春季赛 flower cipher，流密码，求余运算

$Problem$

# python3

from secret import flag
import random

# flag = b'flag{%s}' % md5(something).hexdigest()
# note that md5 only have characters 'abcdef' and digits

def Flower(x, key):
    flower = random.randint(0, 4096)
    return x * (key ** 3 + flower)

flag = flag[5:-1]
rounds = len(flag)

L, R = 1, 0
for i in range(rounds):
    L, R = R + Flower(L, flag[i]), L

print(L, R)
'''
15720197268945348388429429351303006925387388927292304717594511259390194100850889852747653387197205392431053069043632340374252629529419776874410817927770922310808632581666181899 139721425176294317602347104909475448503147767726747922243703132013053043430193232376860554749633894589164137720010858254771905261753520854314908256431590570426632742469003
'''

$Analysis$

首先flag的明文空间是由小写字母以及数字构成的，因为flag内容是一个md5值，当然我们不需要hash值的原始明文，求得hash值即可；也相当于给出了flag的长度为$32$（md5值均是$32$位）

加密过程是将flag的每位字符传入一个类似流密码的加密过程中

def Flower(x, key):
    flower = random.randint(0, 4096)
    return x * (key ** 3 + flower)

L, R = 1, 0
for i in range(len(flag[5:-1])):
    L, R = R + Flower(L, flag[i]), L

加密过程中使用的Flower函数相当于Flower(L, flag[i]) = L * (flag[i] ** 3 + random)，那么括号里面的东西才是我们想要知道的，如果能知道括号里面的总值，那么我们也能通过爆破random的大小范围（random.randint(0,4096)生成的随机数大小范围是在$0$到$4096$之间，很好爆破）并且判断总值减去random的值是否能开三次方根（因为key ** 3），如果能那么开三次方根之后就等于真实的flag[i]

那么我们现在需要知道Flower函数括号里的总值，姑且将其设为$k$

查看加密过程中for循环的作用
$$\begin{gathered} L_0=1;R_0=0 \\ {L}_1=R_0+L_0\cdot k_0;R_1=L_0 \\ {L}_2=R_1+L_1\cdot k_1;R_2=L_1 \\ \cdots \\ {L}_k=R_{k-1}+L_{k-1}\cdot k_{last};R_k=L_{k-1} \end{gathered}$$
实际上这里的$R$的作用相当于保存上一次计算的$L$，所以我们可以这样来写
$$\begin{gathered} L_0=1 \\ {L}_1=L_0\cdot k_0 \\ {L}_2=L_0+L_1\cdot k_1 \\ {L}_3=L_1+L_2\cdot k_2 \\ \cdots \\ {L}_k=L_{k-2}+L_{k-1}\cdot k_{last} \end{gathered}$$
这里$k$的下标代表着flag[i]的位数i

我们可以清晰地发现每次加密需要的是$L_{i-2}$和$L_{i-1}$；在解密过程中如果我们已知一个等式的$L_i,L_{i-1},L_{i-2}$这三个数我们就可以求得$k_i$；

此时整个加密过程阶数之后我们已知的有$L_k$和$R_k$（相当于$L_{k-1}$），也就是说最后一个加密过程的等式$L_k=L_{k-2}+L_{k-1}\cdot k_{last}$里面我们呢已知$L_k,L_{k-1}$，那就想办法知道$L_{k-2}$的大小

求余运算，由于已知的只有两个值，分别在等式的两侧，如果我们计算$L_k\%L_{k-1}$，那么其结果是不是正好是$L_{k-2}$呢？这个求余的方法可以应用在该加密过程的所有已知$L_i$和$L_{i-1}$的等式中

当最后一个等式的$k$值求解出来之后，再到倒数第二个等式中正好已知的就有$L_i$和$L_{i-1}$，用同样的办法求解$L_{i-2}$即可，以此类推，就可以把所有的$k$值求出

$Solvingcode$

from Crypto.Util.number import *
import gmpy2

L_k = 15720197268945348388429429351303006925387388927292304717594511259390194100850889852747653387197205392431053069043632340374252629529419776874410817927770922310808632581666181899
R_k = 139721425176294317602347104909475448503147767726747922243703132013053043430193232376860554749633894589164137720010858254771905261753520854314908256431590570426632742469003
flag = ""
while L_k != 1:
    L_k1 = L_k % R_k
    temp = (L_k - L_k1) // R_k 
    for i in range(4096):
        if gmpy2.iroot(temp - i,3)[1]:
            flag += chr(gmpy2.iroot(temp - i,3)[0])
            break
    L_k = R_k
    R_k = L_k1
print(flag[::-1])