BUUCTF 每日打卡 2022-1-16

引言

填坑

[羊城杯 2020]Power

加密代码如下：

from Crypto.Util.number import *
import gmpy2
from secret import flag

p = getPrime(512)
q = getPrime(512)
n = p**4*q

e = 0x10001
phi = gmpy2.lcm(p - 1, q - 1)
d = gmpy2.invert(e, phi)
dp = d % (p - 1)
m = bytes_to_long(flag)
c = pow(m, e, n)
print "dp = " + str(dp)
print "c = " + str(c)

y = 449703347709287328982446812318870158230369688625894307953604074502413258045265502496365998383562119915565080518077360839705004058211784369656486678307007348691991136610142919372779782779111507129101110674559235388392082113417306002050124215904803026894400155194275424834577942500150410440057660679460918645357376095613079720172148302097893734034788458122333816759162605888879531594217661921547293164281934920669935417080156833072528358511807757748554348615957977663784762124746554638152693469580761002437793837094101338408017407251986116589240523625340964025531357446706263871843489143068620501020284421781243879675292060268876353250854369189182926055204229002568224846436918153245720514450234433170717311083868591477186061896282790880850797471658321324127334704438430354844770131980049668516350774939625369909869906362174015628078258039638111064842324979997867746404806457329528690722757322373158670827203350590809390932986616805533168714686834174965211242863201076482127152571774960580915318022303418111346406295217571564155573765371519749325922145875128395909112254242027512400564855444101325427710643212690768272048881411988830011985059218048684311349415764441760364762942692722834850287985399559042457470942580456516395188637916303814055777357738894264037988945951468416861647204658893837753361851667573185920779272635885127149348845064478121843462789367112698673780005436144393573832498203659056909233757206537514290993810628872250841862059672570704733990716282248839
g = 2
x = 2019*p**2 + 2020*p**3 + 2021*p**4
c1 = pow(g, x, y)
print "c1 = " + str(c1)

# dp = 3272293505696712831419859641571956066667516012597886098021642320155056349966612629986261146617139998624603483170466852538289743936225789351270153550594329
# c = 22524257534087703614496632403022329621384173069680778965750290698059674588465640878754707363673789674111671270645152584118206145007310499274423606886261969807360070526126452646719628307689968971699215841867636770320159256301550908771135042912287955209485328267670825390080110910391913063177323585204392804538642393453388536211144485389902591029350060800993352969569703901717308330574394200996651534321547814313195218895547718815009876393987398738932001924661338796059973950012706427109598830049455186171345179840564502215531573714428772608739268313985559628612004439028014417408631851880698512023740903181116906766066951473942201698375224240271523568161242951730224901227589413731025281719101368668617497947995579443908773425555177346524678673641140157885033923288401884
# c1 = 290707924192892686920253390955676600323331633814839708838347288502692494699485764473635783441705302268064111648851157070038783719749721994682837294625334517914882191486257362565066745587415388291939979195637720350919055988532145531805200483161599965215275808797976727969023747299578173497083532351976473770041800769265319548352841139802163279116490053292316399038329210043455932786945180855178341998049756983301499491011851026499269682821602212971062877270127451987836730083380463825717889123804613394241190839837791281657872259492589868751745327696030438893865069941066073554427558697972551085353027574529823439588670263047287131740802375738439636789806332323994866753085014446479034974063195632514803340511247735647970572837053148490258113394359072976858781060349776921428492973183958437965966963122069107876143476772436757554253049619918403996315720023020827394900507088006299225934263699192253079026440287311664705744424959801981503191480257138833694306501816837037995549817186335377411638035575004595417788588264823861850877111374085336446477943372458378834664678094751978400910288151519902977326995118727880223621964441498323865158898463327323193833062919619201107279964663654606753750042791368210261574897455830722232022689695292080269205470491791950839486861811469879413313773338916781857981641910031441448964144000585506870170898052132929034349451945051362244755750988705018897859238859476967568556992146975789444151432386692872801263000639711599152191790766776280

看到dp，有点像dp泄露问题，但是发现n=p**4*q，而phi = gmpy2.lcm(p - 1, q - 1)，而且也没有给公钥n，显然不能那么做
首先，需要根据下半部分代码求出p：
运用sympy离散对数求出x：

import sympy

y = 449703347709287328982446812318870158230369688625894307953604074502413258045265502496365998383562119915565080518077360839705004058211784369656486678307007348691991136610142919372779782779111507129101110674559235388392082113417306002050124215904803026894400155194275424834577942500150410440057660679460918645357376095613079720172148302097893734034788458122333816759162605888879531594217661921547293164281934920669935417080156833072528358511807757748554348615957977663784762124746554638152693469580761002437793837094101338408017407251986116589240523625340964025531357446706263871843489143068620501020284421781243879675292060268876353250854369189182926055204229002568224846436918153245720514450234433170717311083868591477186061896282790880850797471658321324127334704438430354844770131980049668516350774939625369909869906362174015628078258039638111064842324979997867746404806457329528690722757322373158670827203350590809390932986616805533168714686834174965211242863201076482127152571774960580915318022303418111346406295217571564155573765371519749325922145875128395909112254242027512400564855444101325427710643212690768272048881411988830011985059218048684311349415764441760364762942692722834850287985399559042457470942580456516395188637916303814055777357738894264037988945951468416861647204658893837753361851667573185920779272635885127149348845064478121843462789367112698673780005436144393573832498203659056909233757206537514290993810628872250841862059672570704733990716282248839
c1 = 290707924192892686920253390955676600323331633814839708838347288502692494699485764473635783441705302268064111648851157070038783719749721994682837294625334517914882191486257362565066745587415388291939979195637720350919055988532145531805200483161599965215275808797976727969023747299578173497083532351976473770041800769265319548352841139802163279116490053292316399038329210043455932786945180855178341998049756983301499491011851026499269682821602212971062877270127451987836730083380463825717889123804613394241190839837791281657872259492589868751745327696030438893865069941066073554427558697972551085353027574529823439588670263047287131740802375738439636789806332323994866753085014446479034974063195632514803340511247735647970572837053148490258113394359072976858781060349776921428492973183958437965966963122069107876143476772436757554253049619918403996315720023020827394900507088006299225934263699192253079026440287311664705744424959801981503191480257138833694306501816837037995549817186335377411638035575004595417788588264823861850877111374085336446477943372458378834664678094751978400910288151519902977326995118727880223621964441498323865158898463327323193833062919619201107279964663654606753750042791368210261574897455830722232022689695292080269205470491791950839486861811469879413313773338916781857981641910031441448964144000585506870170898052132929034349451945051362244755750988705018897859238859476967568556992146975789444151432386692872801263000639711599152191790766776280
x = sympy.discrete_log(y, c1, 2)
print(x)

可能要等几分钟，结果为：

x = 5535722692962580764045545539105119140941061679289569420988353884209653851308860058948669740693107863231179565602072744542122031789184119031739723962825082929025825322421201364211726001366490949760887367407718763255964735567971493859197583624076478457865073449246835949075135223468616834636386958924709024763349115622062848212445867198457630368236782421195503713107838541903829979118327675371550868768159024260793541264335548489228744367609071659968450303895118817379316060805148754136917043160175570565717388336822960389664337656603584425629662613786203920234401824957121860225422901340950436355650311392398098947210940

然后求出p，sage代码如下：

y = 449703347709287328982446812318870158230369688625894307953604074502413258045265502496365998383562119915565080518077360839705004058211784369656486678307007348691991136610142919372779782779111507129101110674559235388392082113417306002050124215904803026894400155194275424834577942500150410440057660679460918645357376095613079720172148302097893734034788458122333816759162605888879531594217661921547293164281934920669935417080156833072528358511807757748554348615957977663784762124746554638152693469580761002437793837094101338408017407251986116589240523625340964025531357446706263871843489143068620501020284421781243879675292060268876353250854369189182926055204229002568224846436918153245720514450234433170717311083868591477186061896282790880850797471658321324127334704438430354844770131980049668516350774939625369909869906362174015628078258039638111064842324979997867746404806457329528690722757322373158670827203350590809390932986616805533168714686834174965211242863201076482127152571774960580915318022303418111346406295217571564155573765371519749325922145875128395909112254242027512400564855444101325427710643212690768272048881411988830011985059218048684311349415764441760364762942692722834850287985399559042457470942580456516395188637916303814055777357738894264037988945951468416861647204658893837753361851667573185920779272635885127149348845064478121843462789367112698673780005436144393573832498203659056909233757206537514290993810628872250841862059672570704733990716282248839
num = 5535722692962580764045545539105119140941061679289569420988353884209653851308860058948669740693107863231179565602072744542122031789184119031739723962825082929025825322421201364211726001366490949760887367407718763255964735567971493859197583624076478457865073449246835949075135223468616834636386958924709024763349115622062848212445867198457630368236782421195503713107838541903829979118327675371550868768159024260793541264335548489228744367609071659968450303895118817379316060805148754136917043160175570565717388336822960389664337656603584425629662613786203920234401824957121860225422901340950436355650311392398098947210940
R.<x> = PolynomialRing(GF(y))
f = 2019*x**2+2020*x**3+2021*x**4-num
f.roots()

结果为较小的根：

看了看大佬的博客，找到了类似的内容：
但是我不知道b是什么，于是就去找了wp

解法一

根据wp，因为$c\equiv m^{e}modn$，$d_p\equiv dmodp-1$
所以
$$c^{d_p}\equiv m^{e{d}_p}modn$$
进而
$$c^{d_p}modp\equiv m^{e{d}_p}modp$$
又因为$ed\equiv 1modlcm(p-1,q-1)$，所以
$$e{d}_p\equiv edmod(p-1)\equiv 1mod(p-1)$$
从而$\exists k\in \mathbb{Z}$，$s.t.$
$$c^{d_p}modp\equiv m^{1+k(p-1)}modp$$
又由费马小定理，$m^{p-1}\equiv 1modp$，所以
$$m\equiv c^{d_p}modp$$
解密代码如下：

from Crypto.Util.number import *

x = 5535722692962580764045545539105119140941061679289569420988353884209653851308860058948669740693107863231179565602072744542122031789184119031739723962825082929025825322421201364211726001366490949760887367407718763255964735567971493859197583624076478457865073449246835949075135223468616834636386958924709024763349115622062848212445867198457630368236782421195503713107838541903829979118327675371550868768159024260793541264335548489228744367609071659968450303895118817379316060805148754136917043160175570565717388336822960389664337656603584425629662613786203920234401824957121860225422901340950436355650311392398098947210940
p = 7234391427703598327916723159145232922047935397302241978344500497098972068808591685717500902909442183573763273395725479516998210374727754578133587007330339
dp = 3272293505696712831419859641571956066667516012597886098021642320155056349966612629986261146617139998624603483170466852538289743936225789351270153550594329
c = 22524257534087703614496632403022329621384173069680778965750290698059674588465640878754707363673789674111671270645152584118206145007310499274423606886261969807360070526126452646719628307689968971699215841867636770320159256301550908771135042912287955209485328267670825390080110910391913063177323585204392804538642393453388536211144485389902591029350060800993352969569703901717308330574394200996651534321547814313195218895547718815009876393987398738932001924661338796059973950012706427109598830049455186171345179840564502215531573714428772608739268313985559628612004439028014417408631851880698512023740903181116906766066951473942201698375224240271523568161242951730224901227589413731025281719101368668617497947995579443908773425555177346524678673641140157885033923288401884
print(long_to_bytes(pow(c, dp, p)))

结果为：

解法二

解出来之后，又去研究了大佬的博客（解法一的推导实在想不到），发现类似的问题其实有专门的分类，叫塔卡基体系(Takagi’s Scheme)，是一种多指数RSA加密的变种(a variant of multi-power RSA)
它使用的公钥模数$N=p^{b-1}q,b\ge 3$，且私钥$d$和公钥$e$满足$ed\equiv 1{\lambda }^{\prime }(N),{\lambda }^{\prime }(N)=lcm(p-1,q-1)$，不同于常规RSA的$\lambda (N)=\phi (N)$，所以$m^{ed}\not\equiv mmodN$
因此，就需要先部分解出$m_{p^{b-1}}\equiv mmod{p}^{b-1}$和$m_q\equiv mmodq$，然后用中国剩余定理解出$mmodN$
但要解出$m_{p^{b-1}}$，就需要先做一些额外工作，特别地，需要用到亨泽尔引理(Hensel lifting)

亨泽尔引理(Hensel lifting)

设$f(x)$为整系数多项式，$k$为不少于2的整数，$p$为质数。若整数$r$是下面同余式的根：
$$f(r)\equiv 0mod{p}^{k-1}$$
对于
$$f(r+t{p}^{k-1})\equiv 0mod{p}^k\cdots (\ast )$$
由泰勒公式，
$$f(r+t{p}^{k-1})=f(r)+t{p}^{k-1}{f}^{\prime }(r)+\frac{1}{2}{t}^2{p}^{2(k-1)}{f}^{\prime \prime }(r)+\frac{1}{6}{t}^3{p}^{3(k-1)}{f}^{\prime \prime \prime }(r)+\cdots$$
从第三项开始，都必能被$p^k$整除。因此，
$$f(r+t{p}^{k-1})\equiv f(r)+t{p}^{k-1}{f}^{\prime }(r)mod{p}^k$$
所以有以下三种情况：
若$f^{\prime }(r)\not\equiv 0modp$，则存在唯一的整数$0\le t\le p-1$使得$(\ast )$成立。$t{f}^{\prime }(r)\equiv -(f(r)/p^{k-1})modp$
若$f^{\prime }(r)\equiv 0modp$ 且 $f(r)\equiv 0mod{p}^k$，则$(\ast )$对任意整数t成立。
若$f^{\prime }(r)\equiv 0modp$ 但 $f(r)\not\equiv 0mod{p}^k$，则$(\ast )$无整数解。
亨泽尔引理是数学中模算术的一个结论。亨泽尔引理说明，如果一个模p（p是给定的质数）的多项式方程有一个单根，则可以通过这个根求出该方程在模p的更高次方时的根。在完备交换环（包括p进数）中，亨泽尔引理被看作是类似于牛顿法的渐进求根方法。

算法的正确性

具体可以参考原论文（T. Takagi. A fast RSA-type public-key primitive modulo pkq using Hensel lifting. IEICE Transactions, 87-A(1):94–101, 2004.），可以在百度文库免费看到
原文中的算法描述与上述略有不同：

注意上述算法(Algorithm10.1)仅为解出部分明文(the partial decryption $m_p^{b-1}$)，原文给出的算法可以解出全部明文$m$
这里做简单的描述(原文中的解出部分明文(the partial decryption $m_p^{b-1}$))
令$c_p=cmod{p}^k,m_p=mmod{p}^k$，那么$c_p\equiv m_p^{e}mod{p}^k$，再对$m_p$做p进制展开：
$$m_p\equiv K_0+p{K}_1+p^2{K}_2+\cdots +p^{k-1}{K}_{k-1}mod{p}^k$$
其中$K_0,K_1,\cdots ,K_{k-1}\in \mathbb{Z}$
再定义函数$f_i(x_0,x_1,\cdots ,x_i)=(x_0+p{x}_1+\cdots +p^i{x}_i{)}^e,i=0,1,\cdots ,k-1$，则$m_p\equiv f_{k-1}(x_0,x_1,\cdots ,x_{k-1})mod{p}^k\equiv (x_0+p{x}_1+\cdots +p^{k-1}{x}_{k-1}{)}^{e}mod{p}^k$
令$A_{i-1}=x_0+p{x}_1+\cdots +p^{i-1}{x}_{i-1},i=0,1,\cdots ,k-1$，于是有如下递推关系：
$$\begin{array}{rl}& f_i(x_0,x_1,\cdots ,x_i)\equiv A_{i-1}^e+p^{i}e{A}_{i-1}^{e-1}{x}_{i}mod{p}^{i+1}\\ & \equiv (x_0+p{x}_1+\cdots +p^{i-1}{x}_{i-1}{)}^e+p^{i}e(x_0+p{x}_1+\cdots +p^{i-1}{x}_{i-1}{)}^{e-1}{x}_{i}mod{p}^{i+1}\end{array}$$
由此可以计算出$K_1,\cdots ,K_{k-1}$
令$A_0=K_0,f_0(K_0)=A_0^{e}mod{p}^2$，当$i=1$时，
$$c\equiv f_0(K_0)+p(e{A}_0^{e-1}modp)x_{1}mod{p}^2$$
由亨泽尔引理(Hensel lifting)，
$$K_1\equiv \frac{c-f_0(K_0)mod{p}^2}{p}(e{A}_0^{e-1}modp{)}^{-1}modp$$
以此类推，就可以求出$m_p$
再由$m_q=c^{d_q}modp$
运用中国剩余定理就可以求出完整的$m$

对于本题

回到本题，事实上我们只要求出$m_q$即可，因为$m$实际上非常小（这也是为什么解法一只需解出$m\equiv c^{d_p}modp$可行，$m$比$p$还小，那么必然小于$p^4$）
按照算法：

解密代码如下：

from Crypto.Util.number import *

p = 7234391427703598327916723159145232922047935397302241978344500497098972068808591685717500902909442183573763273395725479516998210374727754578133587007330339
dp = 3272293505696712831419859641571956066667516012597886098021642320155056349966612629986261146617139998624603483170466852538289743936225789351270153550594329
c = 22524257534087703614496632403022329621384173069680778965750290698059674588465640878754707363673789674111671270645152584118206145007310499274423606886261969807360070526126452646719628307689968971699215841867636770320159256301550908771135042912287955209485328267670825390080110910391913063177323585204392804538642393453388536211144485389902591029350060800993352969569703901717308330574394200996651534321547814313195218895547718815009876393987398738932001924661338796059973950012706427109598830049455186171345179840564502215531573714428772608739268313985559628612004439028014417408631851880698512023740903181116906766066951473942201698375224240271523568161242951730224901227589413731025281719101368668617497947995579443908773425555177346524678673641140157885033923288401884
b = 5
e = 0x10001
mp1 = pow(c, dp, p)
mp = pow(c, dp - 1, p)
for i in range(1, b - 2):
    x = pow(c - pow(mp1, e), 1, p**(i + 1))
    y = pow(x * mp * (inverse(e, p)), 1, p**(i + 1))
    mp1 = mp1 + y
print(long_to_bytes(int(mp1)))

结果相同

结语

事实上，本题m的长度仅有303位，如果设m = getRandomNBitInteger(1535)，那么大概率只解出部分m是不可行的
但本题也没有途径解出q，自然也就无法用完整的方法解出m，这也算是本题的一个漏洞吧