CTF RSA练习题（6）dp，dq泄露

最新推荐文章于 2024-03-22 21:10:24 发布

YanXi_Basketball

最新推荐文章于 2024-03-22 21:10:24 发布

阅读量302

点赞数 1

分类专栏： CTF之RSA 文章标签：密码学

本文链接：https://blog.csdn.net/tgmhh/article/details/132377786

版权

CTF之RSA 专栏收录该内容

4 篇文章 0 订阅

订阅专栏

一、题目（来源于BUUCTF）

题目信息：

p = 8637633767257008567099653486541091171320491509433615447539162437911244175885667806398411790524083553445158113502227745206205327690939504032994699902053229 
q = 12640674973996472769176047937170883420927050821480010581593137135372473880595613737337630629752577346147039284030082593490776630572584959954205336880228469 
dp = 6500795702216834621109042351193261530650043841056252930930949663358625016881832840728066026150264693076109354874099841380454881716097778307268116910582929 
dq = 783472263673553449019532580386470672380574033551303889137911760438881683674556098098256795673512201963002175438762767516968043599582527539160811120550041 
c = 24722305403887382073567316467649080662631552905960229399079107995602154418176056335800638887527614164073530437657085079676157350205351945222989351316076486573599576041978339872265925062764318536089007310270278526159678937431903862892400747915525118983959970607934142974736675784325993445942031372107342103852

其中dp=d mod (p-1), dq=d mod (q-1)

二、分析和解答过程

方程式： dp=d mod (p-1) (1)

dq=d mod (q-1) (2)

(d*e) mod (p-1)(q-1) =1 (3)

m= c^d mod n (4)

由(4)可得：m = c^d+ k*n = c^d + k*pq

分别模p和模q，可得 mp=m mod p= c^d mod p, mq=m mod q= c^d mod q

这里要使用欧拉定理进行化简：

缩系的定义参考一下这篇文章：剩余类、剩余系、完全剩余系和简化剩余系学习笔记 - olderciyuan - 博客园 (cnblogs.com)

d=dp+k1*(p-1)=dq+k2*(q-1)，则c^d mod p=（c^dp mod p * c^(k1*(p-1)) mod p) mod p

由欧拉定理可知， $\wp$ (p) =p-1，则c^(k1*(p-1)) mod p=1， c^d mod p= c^dp mod p

因此有mp= c^dp mod p, mq= c^dq mod q, 这样 mp,mq就可以计算出来

c^d=K*p+mp, c^d=K*q+mq, 则有K*p=mq-mp+K*q, K*p=(mq-mp) mod q K*p比q大还不能代入

K= (p' * (mq-mp)) mod q 其中p'为p的乘法逆元，此时可以代入尝试。

代入c^d=K*p+mp得 c^d=m1+[p′ (m2−m1) mod q ]∗ p

代码如下：

from gmpy2 import *
from Crypto.Util.number import *
p = 8637633767257008567099653486541091171320491509433615447539162437911244175885667806398411790524083553445158113502227745206205327690939504032994699902053229 
q = 12640674973996472769176047937170883420927050821480010581593137135372473880595613737337630629752577346147039284030082593490776630572584959954205336880228469 
dp = 6500795702216834621109042351193261530650043841056252930930949663358625016881832840728066026150264693076109354874099841380454881716097778307268116910582929 
dq = 783472263673553449019532580386470672380574033551303889137911760438881683674556098098256795673512201963002175438762767516968043599582527539160811120550041 
c = 24722305403887382073567316467649080662631552905960229399079107995602154418176056335800638887527614164073530437657085079676157350205351945222989351316076486573599576041978339872265925062764318536089007310270278526159678937431903862892400747915525118983959970607934142974736675784325993445942031372107342103852
mp=pow(c,dp,p)
mq=pow(c,dq,q)  
ni_p=invert(p,q)
m=mp+ni_p*((mq-mp)%q)*p
print(long_to_bytes(m))