BUUCTF RSA2&RSA3 解题思路及公式推导

最新推荐文章于 2025-03-18 20:04:28 发布
最新推荐文章于 2025-03-18 20:04:28 发布
阅读量3.8k 收藏 22
点赞数 7
分类专栏： BUUCTF RSA专栏 文章标签： python 密码学 算法
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/xiao_han_a/article/details/118557541
版权
这篇博客介绍了如何解决BUUCTF中的RSA2和RSA3挑战。对于RSA2，通过分析给定的dp、e、n和c，推导出求解p的公式，并利用迭代找到正确解。对于RSA3，利用共模攻击原理，结合e1、e2、c1、c2和n来解密。解题过程中涉及扩展欧几里得算法和指数运算。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

RSA2

题目

e = 65537

n=248254007851526241177721526698901802985832766176221609612258877371620580060433101538328030305219918697643619814200930679612109885533801335348445023751670478437073055544724280684733298051599167660303645183146161497485358633681492129668802402065797789905550489547645118787266601929429724133167768465309665906113

dp=905074498052346904643025132879518330691925174573054004621877253318682675055421970943552016695528560364834446303196939207056642927148093290374440210503657

c=140423670976252696807533673586209400575664282100684119784203527124521188996403826597436883766041879067494280957410201958935737360380801845453829293997433414188838725751796261702622028587211560353362847191060306578510511380965162133472698713063592621028959167072781482562673683090590521214218071160287665180751

解题思路

题目给出了e，n，dp，c，求解明文

常规的思路是将n分解为p和q，但是这里给的n有309位之长，直接爆破求解显然难度很大

可以关注到题目所给的dp，看一下这个dp怎么用

进行一下公式推导：

dp = d % (p-1) ①

d = dp + k1 * (p-1) ②

d * e = 1 + k2(p-1)(q-1) ③

把②代入③，得到

e * (dp + k1(p-1)) = 1 + k2(p-1)(q-1)

为把系数k消掉，两边同时对(p-1)取模

e * dp % (p - 1) = 1

e * dp = 1 + k(p - 1)

由③就可以导出p与e、dp的关系

p - 1 = (e * dp - 1) / k ④

但是这里引入了一个系数k，这个k该怎么处理呢

④变形一下有

k = (e * dp - 1) / (p-1)

又由①，可以判断出dp < (p-1)

所以可以得到k = (e * dp - 1) / (p-1) < e

e = 65537，因此k的范围有了约束

至此，根据④式可以求解p

具体思路如下：

  • 1.遍历k，k的范围是(1-6

最低0.47元/天 解锁文章
buu RSA3 共模攻击
weixin_44110537的博客
06-15 1525
拿到压缩包,解压得txt文件 可以得到 c1,e1,c2,e2,n 由此可得 c1=me1%n c2=me2%n 又因为gcd(e1,e2)=1 所以 e1s1+e2s2=1 有且有唯一解 结论为 m=(c1s1 *c2s2)%n 证明如下 (c1s1 *c2s2)%n=[(me1%n)s1 (me2%n)s2]%n=((me1%n)s1 %n(me2%n)s2 %n)%n=(me1*s1 %n *me2*s2 %n)%n=me1*s1+e2*s2 %n=m%n=m 得到数学推导后就可以编程了 impor
buu RSA2
ao52426055的博客
11-27 1111
查看题目 类型：dp+n+e+c = m dp泄露 RSA各题型脚本\dp+n+e+c = m import gmpy2 as gp e = 65537 n = 2482540078515262411777215266989018029858327661762216096122588773716205800604331015383280303052199186976436198142009306796121098855338013353484450237516704784370730555447242
RSA1 - BUUCTF
最新发布
Luminith的博客
03-18 1179
因为p,q互素，所以存在逆元。首先明确什么是dp，dq。这样我们就顺利得到了。
RSA的共模攻击--[BUUCTF]-RSA3
rang的博客
11-08 4453
假设有一条信息m，由两个不同的用户使用公钥进行加密(两个用户的e一般不同，模数n一般相同) c1 = m^e1 mod n c2 = m^e2 mod n 得到了两个不同的密文c1，c2 因为公钥是公开的(e1,e2,n)已知 那么攻击者一共知道如下信息 gcd(e1, e2) = 1 m = c1^d1 mod n m = c2^d2 mod n 若两个秘钥e互素根据扩展的欧几里得算法则存在s1，s2有：e1s1+e2s2=1 所以 c1^s1 mod n=m^(e1*s1) mod n c2^s2
buuctf的RSA（二）
ndjnddjxn的博客
05-23 1614
在这个例子中，你已经使用了公钥的模数 N 和指数 E 来模拟（尽管没有实际加密过程）公钥，并用私钥的质数因子 p和 q 来计算私钥指数 D，然后用这个私钥来解密一个文件。代码首先导入 gmpy2和 rsa 模块，然后定义了一系列变量，包括公钥的模数 N、公钥的指数 E、两个质数 p,q，以及通过 gmpy2.invert 函数计算出的私钥指数 D。如果B使用A的公钥解密签名得到的哈希值和B自己对原始消息进行哈希运算得到的哈希值相同，那么B就可以确认这条消息是由A发送的，并且没有被篡改。
BUUCTF-RSA2
qq_61774705的博客
05-06 1515
1.题目代码： e = 65537 n = 2482540078515262411777215266989018029858327661762216096122588773716205800604331015383280303052199186976436198142009306796121098855338013353484450237516704784370730555447242806847332980515991676603036451831461614974853586336814921296
RSA的dp泄露 [BUUCTF] RSA2
rang的博客
11-08 3307
可以看到，不同于传统的RSA解密，这里给出了一个参数dp 首先了解一下什么是dp： dp = d%(p-1) 遍历X（e+1种可能）,求出(p-1)得到p且能被n整除；接下来就是常规RSA的解法得到d for i in range(1,e): if (dp*e-1)%i == 0: if n%(((dp*e-1)/i)+1)==0: p=((dp*e-1)/i)+1 q=n/(((dp*e-1)/i)+1)
BUUCTF RSA1 解题代码以及详细公式推导
晓寒的博客
07-06 4529
题目 首先查看题目，已知p, q, dp, dq和密文c，求解明文 解题代码 先把代码附上 import gmpy2 p =8637633767257008567099653486541091171320491509433615447539162437911244175885667806398411790524083553445158113502227745206205327690939504032994699902053229 q = 12640674973996472769176047
【BUUCTF逆向题】rsa
Power的博客
02-01 1131
打开公钥文件：中间夹的base64格式的公钥，可以分析出16进制公钥E和模数N，从而知道p、q然后求出T，进而求私钥D就可以解密了。找到私钥需要E、T，已知E，求T需要知道p、q，求p、q需要知道N。题目给了一个公钥和一个密文，那么就是找到私钥破解密文。最后得到flag{decrypt_256}浅浅学习了一下RSA加密大概过程就是下图。接下来可以求出欧拉函数T然后解出私钥D。然后就可以读取密文并解密密文。方法2：python脚本。方法2：python脚本。准确来说是RSA密码题。接下来根据N求p、q。
BUUCTF题解之rsarsa
2301_77071929的博客
06-27 686
可得答案为flag{5577446633554466577768879988}根据解密公式可以调用powmod进行解密。可以求出e的逆元素d，模数p*q。将文件解压缩以后我们可得题目。题目中给了p，q，e和密文c。
【Crypto | CTF】BUUCTF RSA2
weixin_46301214的博客
03-10 860
需要注意的是：代码中并没有直接给出私钥d，而是使用了两个公钥e1和e2以及对应的密文c1和c2来解密。这实际上是一个特殊的RSA解密场景，其中使用了CRT（中国剩余定理）来合并密文。在常规RSA解密中，我们只需要一个私钥d和对应的密文c即可。天命：没什么好说的，拿代码当公式背吧兄弟们。
buuctf———rsa2
Zjh0928的博客
07-04 1185
if n % (((dp * e - 1) // i) + 1) == 0: # 存在p，使得n能被p整除。phi = (q - 1) * (p - 1) # 欧拉定理。print(bytes.fromhex(hex(m)[2:])) # 16进制转文本。m = pow(c, d, n) # 快速求幂取模运算。for i in range(1, e): # 在范围(1,e)之间进行遍历。print(hex(m)[2:]) # 16进制明文。类型：dp+n+e+c = m dp泄露。
BUUCTF rsa2（低密度指数攻击）
shshss64的博客
10-04 1406
低密度指数
BUUCTF RSA（二）
qq_52193383的博客
08-18 1599
这里写目录标题1.[BJDCTF2020]RSA2.[BJDCTF2020]rsa_output3.SameMod4.[BJDCTF2020]easyrsa5.[NCTF2019]babyRSA6.[ACTF新生赛2020]crypto-rsa37.[AFCTF2018]你能看出这是什么加密么8.[RoarCTF2019]babyRSA9.[RoarCTF2019]RSA10.[HDCTF2019]together 1.[BJDCTF2020]RSA 两个加密的n共用一个q，对n1,n2求最大公约数，进而分
buuctf Crypto RSA2
weixin_46244154的博客
03-17 779
buuctf RSA2 题目 e = 65537 n = 2482540078515262411777215266989018029858327661762216096122588773716205800604331015383280303052199186976436198142009306796121098855338013353484450237516704784370730555447242806847332980515991676603036451831461614974853586336814
BUUCTF RSA（三）
qq_52193383的博客
08-18 1108
这里写目录标题1.[MRCTF2020]babyRSA2.[WUSTCTF2020]dp_leaking_1s_very_d@angerous3.[NPUCTF2020]EzRSA4.[MRCTF2020]Easy_RSA5.[INSHack2019]Yet Another RSA Challenge - Part 1 1.[MRCTF2020]babyRSA 根据给出的代码可以很容易推出 _Q = sympy.nextprime(pow(sub_Q,Q_2,Q_1))。我们知道P[9]，就可以推出其他的素
BUUCTF-rsa2
qq_61774705的博客
05-06 1557
1.题目代码： N = 10199180977755325347027675139926474013115768232925267350179215450700615843443200914199536724196252570595004625340018888465826249653470643879151507188586089755273665689956691573129722581725063987364337631010399217064690655724283289391490205358
buuctf RSA2
2301_76329150的博客
06-22 210
【代码】buuctf RSA2。
BUUCTF—crypto—RSA3
2301_76628253的博客
04-18 807
欧几里得算法，也称为辗转相除法，是用于计算两个非负整数的最大公约数（GCD）的一种方法。它基于以下原理：两个整数的最大公约数等于其中较小的数和两数的差的最大公约数。最后得到的b就是输入的两个整数的最大公约数。4. 如果r不等于0，则将b赋值给a，将r赋值给b，然后重复步骤2。该题目为RSA共模n攻击，会运用到欧几里得算法，我们首先来了解一下。1. 将两个输入的非负整数记为a和b，其中a >= b。//当余数为0时，最大公约数是a，否则继续往下递归。注意：得到的 flag 请包上 flag{} 提交。
buuctf rsa3
02-20
### BUUCTF RSA3 Challenge Solution Overview For tackling the BUUCTF RSA3 challenge, understanding both theoretical foundations and practical approaches is essential. The recommended RSA key sizes depend on the confidentiality period of the data being protected[^1]. However, this information alone does not directly apply to solving CTF challenges but provides context regarding RSA security. In practice, increasing RSA key length enhances encryption security but significantly impacts performance since each doubling of the key length makes decryption 6-7 times slower[^2]. To solve an RSA-based CTF challenge like RSA3 from BUUCTF: #### Analyzing Common Vulnerabilities CTFs often exploit specific vulnerabilities within implementations rather than brute-forcing keys due to computational impracticality. Common issues include poor random number generation leading to weak primes during modulus creation or side-channel attacks exploiting implementation flaws. #### Exploiting Implementation Flaws One approach involves identifying weaknesses in how RSA was implemented for the challenge. For instance, if non-standard padding schemes were used, these might introduce exploitable patterns into ciphertexts which could be decrypted without knowing private exponents through chosen-ciphertext attacks. #### Utilizing Known Attacks Several well-documented attacks against RSA exist when certain conditions are met by flawed implementations: - **Common Modulus Attack**: If multiple users share a common modulus with different public/private exponent pairs. - **Small Exponent Attack**: When small values such as e=3 are employed alongside improperly padded messages allowing cube root extraction. - **Wiener’s Attack**: Targets cases where d (private exponent) is too short relative to n (modulus). Given that direct solutions cannot be provided here, exploring resources related to these topics would prove beneficial. Additionally, reviewing past write-ups about similar challenges can offer valuable insights into methodologies applied successfully before. ```python from Crypto.Util.number import inverse, long_to_bytes import gmpy2 def attack_rsa(e, N, c): # Placeholder function demonstrating structure; actual logic depends heavily upon specifics found via analysis phi_approximation = ... # Calculate based on any discovered weakness d = inverse(e, phi_approximation) m = pow(c, d, N) plaintext = long_to_bytes(m).decode() return plaintext ```
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值