[RoarCTF2019]RSA1的wp

题目

A=(((y%x)**5)%(x%y))**2019+y**316+(y+1)/x
p=next_prime(z*x*y)
q=next_prime(z)
A =  2683349182678714524247469512793476009861014781004924905484127480308161377768192868061561886577048646432382128960881487463427414176114486885830693959404989743229103516924432512724195654425703453612710310587164417035878308390676612592848750287387318129424195208623440294647817367740878211949147526287091298307480502897462279102572556822231669438279317474828479089719046386411971105448723910594710418093977044179949800373224354729179833393219827789389078869290217569511230868967647963089430594258815146362187250855166897553056073744582946148472068334167445499314471518357535261186318756327890016183228412253724
n =  117930806043507374325982291823027285148807239117987369609583515353889814856088099671454394340816761242974462268435911765045576377767711593100416932019831889059333166946263184861287975722954992219766493089630810876984781113645362450398009234556085330943125568377741065242183073882558834603430862598066786475299918395341014877416901185392905676043795425126968745185649565106322336954427505104906770493155723995382318346714944184577894150229037758434597242564815299174950147754426950251419204917376517360505024549691723683358170823416757973059354784142601436519500811159036795034676360028928301979780528294114933347127
c =  41971850275428383625653350824107291609587853887037624239544762751558838294718672159979929266922528917912189124713273673948051464226519605803745171340724343705832198554680196798623263806617998072496026019940476324971696928551159371970207365741517064295956376809297272541800647747885170905737868568000101029143923792003486793278197051326716680212726111099439262589341050943913401067673851885114314709706016622157285023272496793595281054074260451116213815934843317894898883215362289599366101018081513215120728297131352439066930452281829446586562062242527329672575620261776042653626411730955819001674118193293313612128

看到A的值有点大，选择爆破一下，这里用到的gmpy2库

root@1ad9c6992813:~# vim test.py 
import gmpy2 
 
B = gmpy2.mpz(2683349182678714524247469512793476009861014781004924905484127480308161377768192868061561886577048646432382128960881487463427414176114486885830693959404989743229103516924432512724195654425703453612710310587164417035878308390676612592848750287387318129424195208623440294647817367740878211949147526287091298307480502897462279102572556822231669438279317474828479089719046386411971105448723910594710418093977044179949800373224354729179833393219827789389078869290217569511230868967647963089430594258815146362187250855166897553056073744582946148472068334167445499314471518357535261186318756327890016183228412253724) 
ZERO = gmpy2.mpz(0) 
 
for x in range(2, 1000): 
    for y in range(2, 1000): 
        if (gmpy2.powmod(x, 1, y) != ZERO) and (gmpy2.powmod(y, 1, x) != ZERO): 
            A = ((gmpy2.powmod(y, 1, x) ** 5) % gmpy2.powmod(x, 1, y)) ** 2019 + y ** 316 + (y + 1) // x 
            if A == B: 
                print(x) 
                print(y)

得到x、y的结果

root@1ad9c6992813:~# python test.py 
2
83

这里没有给出z，就是说爆破出x、y并没有什么用，因为下面还要爆破出p和q，也是一个艰巨的工程。

由题目可知
p > z * x * y
q > z
n = p * q
n > z ** 2 * x * y
z ** 2 < n / (x * y)

a > b
c > d
a * c > b * c
b * c > b * d
∴  a * c > b * d

求一下z的值

root@1ad9c6992813:~# python
Python 3.10.1 (main, Dec 21 2021, 09:01:08) [GCC 10.2.1 20210110] on linux
Type "help", "copyright", "credits" or "license" for more information.
>>> import
  File "<stdin>", line 1
    import
          ^
SyntaxError: invalid syntax
>>> import gmpy2
>>> x = gmpy2.mpz(2)
>>> y = gmpy2.mpz(83)
>>> n = gmpy2.mpz(117930806043507374325982291823027285148807239117987369609583515353889814856088099671454394340816761242974462268435911765045576377767711593100416932019831889059333166946263184861287975722954992219766493089630810876984781113645362450398009234556085330943125568377741065242183073882558834603430862598066786475299918395341014877416901185392905676043795425126968745185649565106322336954427505104906770493155723995382318346714944184577894150229037758434597242564815299174950147754426950251419204917376517360505024549691723683358170823416757973059354784142601436519500811159036795034676360028928301979780528294114933347127)
>>> z = gmpy2.iroot((n // (x * y)), 2)
>>> z
(mpz(842868045681390934539739959201847552284980179958879667933078453950968566151662147267006293571765463137270594151138695778986165111380428806545593588078365331313084230014618714412959584843421586674162688321942889369912392031882620994944241987153078156389470370195514285850736541078623854327959382156753458023), False)
>>> 
># 这里并不是求的z的值，而是z的取值范围，z是小于这个范围的，就是说z的最大值就是这个数减去1
z < 842868045681390934539739959201847552284980179958879667933078453950968566151662147267006293571765463137270594151138695778986165111380428806545593588078365331313084230014618714412959584843421586674162688321942889369912392031882620994944241987153078156389470370195514285850736541078623854327959382156753458023

求p、q的值

# 这里的z是指比z大1的值
# 因为netx_prime(z)是指的比z大的值
# 这里括号里的z其实就是z + 1
# 结果在用next_prime函数取素数的时候发现此时的P就等于z
# 所以我才能得到p的值
# 其实题目是用的q
# 不过在ɸ(n)中p和q的位置是可以交换的
>>> z = gmpy2.mpz(842868045681390934539739959201847552284980179958879667933078453950968566151662147267006293571765463137270594151138695778986165111380428806545593588078365331313084230014618714412959584843421586674162688321942889369912392031882620994944241987153078156389470370195514285850736541078623854327959382156753458023)
>>> p = gmpy2.next_prime(z)
>>> p
mpz(842868045681390934539739959201847552284980179958879667933078453950968566151662147267006293571765463137270594151138695778986165111380428806545593588078365331313084230014618714412959584843421586674162688321942889369912392031882620994944241987153078156389470370195514285850736541078623854327959382156753458569)
>>> q = n // p
>>> q
mpz(139916095583110895133596833227506693679306709873174024876891023355860781981175916446323044732913066880786918629089023499311703408489151181886568535621008644997971982182426706592551291084007983387911006261442519635405457077292515085160744169867410973960652081452455371451222265819051559818441257438021073941183)

这里没有提供e，盲猜是默认的65537

>>> int('0x10001', 16)
65537
>>> e = gmpy2.mpz(65537)
>>> phi_n = (p - 1) * (q - 1)
>>> phi_n
mpz(117930806043507374325982291823027285148807239117987369609583515353889814856088099671454394340816761242974462268435911765045576377767711593100416932019831889059333166946263184861287975722954992219766493089630810876984781113645362450398009234556085330943125568377741065242183073882558834603430862598066786475159159431712222591348764612206197134812203735073835840640825463296510586407099926511316719466670891651458129123474781989487204576628506147741483113355728288845665081341985624944454954248525112385919855599927261158582801354092360266903666372288037384402459259336385909297603357668798118307011311473937105947376)
>>> d = gmpy2.invert(e, phi_n)
>>> d
mpz(8599589881775512182490339390302384847126810744233969198532121090013876515514061191844004921719994842305490870513682688025890863319222633068753414378485078624510630709922513396281417153363777832648184544232199294766471900485392788050293515601012127448268872412182805907996901141107293140818104160339368182321217372234809523842344722549604286239338414176997138752498663184064331483582259621245748238876057665171100280468834141443144340932719393320666917904802256624401993129580989389345716562456345455121702090606106185465724822179950100180548721991615891176882567105125169912160252167465495939533501038099782250065)
>>> c = gmpy2.mpz(41971850275428383625653350824107291609587853887037624239544762751558838294718672159979929266922528917912189124713273673948051464226519605803745171340724343705832198554680196798623263806617998072496026019940476324971696928551159371970207365741517064295956376809297272541800647747885170905737868568000101029143923792003486793278197051326716680212726111099439262589341050943913401067673851885114314709706016622157285023272496793595281054074260451116213815934843317894898883215362289599366101018081513215120728297131352439066930452281829446586562062242527329672575620261776042653626411730955819001674118193293313612128)
>>> m = gmpy2.powmod(c, d, n)
>>> m
mpz(2222445378180646636797706006131586301300018090566246580838853918878845)
>>> flag = bytes.fromhex(hex(int(m))[2:])
>>> flag
b'RoarCTF{wm-l1l1ll1l1l1l111ll}'
>>> 

$\phi (n)=(p-1)(q-1)$