DefCamp CTF 2122 Rsa-factory 复现笔记

这题标签是re+crypto，首先要逆完才能给密码手做，所以re被ak后所有re师傅全跑去逆这玩意了。我当时没整出来，现在来复现一下，顺便学一下cython
本题考点是cython，首先去网上找了一堆教程

https://panda0s.top/2021/05/07/Cython-Reverse/

https://taardisaa.github.io/2022/01/27/Cython%20Reverse%202/

主要的执行函数是这个_pyx_pymod_exec_xxxxx（xx是文件名）

上面这一片是初始化和判断python版本号的，不用管，直接跳到下面

这里的PyLong_FromLong就是初始化python里用到的常数

这里import了三个库，其中俩个是from xx import xx，也不难看出

紧接着new 了俩函数(用python代码解释就是def)，keygen和encrypt，一看就是自己定义的，所以得重点分析。

先看keygen，函数的第一个参数是self，后面几个才是传入的参

这里将dbit和nbit作为参数传入

然后进入一个do-while循环，get了一个getRandomNBitInteger函数，然后下方就调用这个函数，参数是dbit

同理，下方再次调用这个函数

不过参数是nbit//2-dbit

将两次函数调用的返回值相乘后+1，这里注意这个加一的函数ida没有解析完全，其实是有俩参数，这里只显示了一个，很坑。

看看是否为质数

如果是质数就跳出do-while循环

接下来还有个do-while循环，同理，转化为python代码为

from flag import FLAG
from math import gcd
import Crypto.Util.number
def keygen(nbit,dbit):
    while True:
        q1 = getRandomNBitInteger(dbit)
        p1 = getRandomNBitInteger(nbit // 2 - dbit)
        if isprime(p * q + 1):
            break
    while True:
        q2 = getRandomNBitInteger(dbit)
        p2 = getRandomNBitInteger(nbit//2-dbit)
        panduan1=isprime(p2*q1+1)
        panduan2=isprime(p2*q2+1)
        if panduan1 and panduan2:
            break

接着往下，可以看到gcd的module name调用

下面又将q1,q2,p1,p2相乘，并且又以dbit为参数调用了getRandomNBitInteger，和上面一样，不贴图了。

主要是这一部分

这里的pytuple_new创建了一个元组。其第一个参数代表元组里的元素个数。然后下面调用了_Pyx_PyObject_Call_constprop_30，传入了gcd函数和上方的元组v93。而Pyx_PyObject_Call_constprop_30上面的两行，从v94的偏移24开始（第④个元素开始）的俩qword是元组里的元素。

然后下方和1做对比，相等则跳出循环

懂得原理就好办了，下方类型差不多就是有点绕

上面是return 3个元素，这里可以很清楚的看到new的tuple的第四个元素开始存的是元组里的成员。

from flag import FLAG
from math import gcd
import Crypto.Util.number
def keygen(nbit,dbit):
    while True:
        q1 = getRandomNBitInteger(dbit)
        p1 = getRandomNBitInteger(nbit // 2 - dbit)
        if isprime(p1 * q1 + 1):
            break
    while True:
        q2 = getRandomNBitInteger(dbit)
        p2 = getRandomNBitInteger(nbit//2-dbit)
        panduan1=isprime(p2*q1+1)
        panduan2=isprime(p2*q2+1)
        if panduan1 and panduan2:
            break
    while True:
        while True:
            p3 = getRandomNBitInteger(dbit)
            if gcd(p1 * q1 * p2 * q2, p3) == 1:
                break
        u = p1 * q1
        v = p2 * q2
        if not isPrime(((inverse(u * v, p3) * p3 - 1) // (u * v)) * q1 +1):
            continue
        return p3, (p1 * q1 + 1) * (p2 * q2, 1), (p1 * q2 + 1) * (((inverse(u * v, p3) * p3 - 1) // (u * v)) * q1 + 1)

然后得到了上面的结果。继续看encrypt函数。

首先传入俩参数

从下方这一步可知传入的pubkey是元组

看到这里只是进行了一次pow就结束了，其中v8是msg，v11是pubkey元组的第一个参数，v12是pubkey元组的第二个参数

所以encrypt函数可以表示如下

def encrypt(msg, pubkey : tuple):
    return pow(msg, pubkey[0], pubkey[1])

接下来看总的函数

将nbit赋值为1024，dbit赋值为256

调用keygen，传入dbit和nbit俩参数

这里是将keygen返回的元组首先用GetIter生成迭代器，然后这里的v90应该是遍历迭代器的函数，于是这里将返回的三个参数依次赋值给了e,n1,n2

这里是对FLAG调用encode函数

下面几个结构比较类似的就不说了，整理后的总函数逻辑如下

from flag import FLAG
from math import gcd
import Crypto.Util.number
def keygen(nbit,dbit):
    while True:
        q1 = getRandomNBitInteger(dbit)
        p1 = getRandomNBitInteger(nbit // 2 - dbit)
        if isprime(p1 * q1 + 1):
            break
    while True:
        q2 = getRandomNBitInteger(dbit)
        p2 = getRandomNBitInteger(nbit//2-dbit)
        panduan1=isprime(p2*q1+1)
        panduan2=isprime(p2*q2+1)
        if panduan1 and panduan2:
            break
    while True:
        while True:
            p3 = getRandomNBitInteger(dbit)
            if gcd(p1 * q1 * p2 * q2, p3) == 1:
                break
        u = p1 * q1
        v = p2 * q2
        if not isPrime(((inverse(u * v, p3) * p3 - 1) // (u * v)) * q1 +1):
            continue
        return p3, (p1 * q1 + 1) * (p2 * q2, 1), (p1 * q2 + 1) * (((inverse(u * v, p3) * p3 - 1) // (u * v)) * q1 + 1)
def encrypt(msg, pubkey : tuple):
    return pow(msg, pubkey[0], pubkey[1])

nbit = 1024
dbit = 256
e, n1, n2 = keygen(dbit, nbit)
FLAG = long(FLAG.encode("utf-8").hex(), 16)
c1 = encrypt(FLAG, (e, n1))
c2 = encrypt(FLAG, (e, n2))
print("e =", e)
print("n1 =", n1)
print("n2 =", n2)
print("enc1 =", c1)
print("enc2 =", c2)

可真是有点累，接下来就交给密码手了（
（感觉这个算这次defcamp里最难逆的逆向，没想到放在了密码题里hhhhh
有不对之处，欢迎师傅们指正批评！