黎声旭1. 题目背景与RSA基础回顾
这道来自ACTF新生赛2020的RSA密码学题目，是典型的CTF竞赛中crypto方向的入门题型。我们先来理解题目环境：BUUOJ是一个知名的CTF在线判题平台，而ACTF则是面向新生的专项赛事。这类题目通常会给出一组与RSA加密相关的参数，要求选手通过分析参数漏洞来恢复明文（也就是获取flag）。
RSA算法作为非对称加密的基石，其安全性依赖于大整数分解的困难性。标准RSA流程包含：
- 选择两个大素数p和q
- 计算模数n = p*q
- 计算欧拉函数φ(n) = (p-1)*(q-1)
- 选择公钥指数e（通常为65537）
- 计算私钥d ≡ e⁻¹ mod φ(n)
在CTF的RSA题目中，常见的攻击路径包括：
- 模数n过小导致直接分解
- 公钥e与φ(n)不互素
- 共模攻击
- 低加密指数攻击
- p和q取值不当导致费马分解
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 题目文件分析与参数提取
根据同类赛题经验，本题可能提供以下形式的信息（具体需以实际题目文件为准）：
code复制n = 123456789...（大整数）
e = 65537
c = 987654321...（密文）
首先需要使用Python的pwntools或socket库与题目服务器交互，或者直接分析给出的文件。关键步骤：
python复制from Crypto.Util.number import long_to_bytes, bytes_to_long
# 假设已获取以下参数
n = 0x123...abc
e = 65537
c = 0x456...def
print(f"n的位数: {n.bit_length()} bits") # 判断n的位数
对于新生赛题目，n的位数通常在512-1024bit之间，这个范围对现代计算机来说本应安全，但题目往往存在特殊漏洞。
3. 模数n的因数分解
这是破解RSA最直接的途径。对于新生赛题目，常见以下几种情况：
3.1 小素数分解
当n较小时（<256bit），可以直接用在线工具或本地库分解：
python复制from sympy import factorint
factors = factorint(n)
p, q = list(factors.keys())
3.2 费马分解法
当p和q接近时（|p-q| < √n），可以使用费马分解：
python复制import gmpy2
def fermat_factor(n):
a = gmpy2.isqrt(n) + 1
b2 = a*a - n
while not gmpy2.is_square(b2):
a += 1
b2 = a*a - n
b = gmpy2.isqrt(b2)
return (a+b, a-b)
p, q = fermat_factor(n)
3.3 数据库查询
对于CTF出题人常用的素数，可以查询factordb.com：
python复制import requests
def factor_db(n):
url = f"http://factordb.com/api?query={n}"
r = requests.get(url)
if r.json()['status'] == "FF":
return int(r.json()['factors'][0][0]), int(r.json()['factors'][1][0])
return None
p, q = factor_db(n)
4. 私钥计算与明文恢复
成功分解n后，计算私钥d：
python复制phi = (p-1)*(q-1)
d = pow(e, -1, phi) # Python 3.8+语法
# 或
d = gmpy2.invert(e, phi)
最后解密密文c：
python复制m = pow(c, d, n)
flag = long_to_bytes(m)
print(flag)
5. 特殊情况的处理技巧
在实际解题中可能会遇到以下变种：
5.1 e与φ(n)不互素
此时需要计算：
python复制gcd_val = gmpy2.gcd(e, phi)
new_e = e // gcd_val
d = gmpy2.invert(new_e, phi)
m = pow(c, d, n)
# 然后对m开gcd_val次方
5.2 多组密文共模
如果有多组(c, e)对共用同一个n，可以使用共模攻击：
python复制def common_modulus(e1, e2, c1, c2, n):
gcd, x, y = gmpy2.gcdext(e1, e2)
if x < 0:
c1 = gmpy2.invert(c1, n)
x = -x
if y < 0:
c2 = gmpy2.invert(c2, n)
y = -y
m = (pow(c1, x, n) * pow(c2, y, n)) % n
return m
6. 实战中的调试技巧
-
字节序处理：有时解出的m需要hex解码或特定编码
python复制from binascii import unhexlify print(unhexlify(hex(m)[2:])) -
多次解密：当flag被分段加密时：
python复制parts = [] while m > 0: parts.append(m & 0xff) m >>= 8 flag = bytes(reversed(parts)) -
交互式解题：使用pwntools自动化解题流程
python复制from pwn import * conn = remote('target', port) conn.sendlineafter(b'>', b'1') data = conn.recvline()
7. 典型错误排查
-
解出乱码：检查是否漏掉了某些转换步骤，尝试：
- 将m转为hex后再解码
- 尝试不同的字节序（大端/小端）
- 检查是否需要去除填充
-
无法分解n：
- 确认是否漏掉了题目给出的提示
- 尝试Pollard's rho等更高级的分解算法
- 检查是否为特殊形式的n（如n=p^k）
-
解密结果过长：
- 可能是需要多次解密的分段flag
- 或需要将结果视为新RSA参数继续解密
8. 扩展学习建议
-
工具推荐：
- RsaCtfTool：自动化RSA破解框架
- SageMath：强大的数学计算环境
- Cryptodome：Python密码学库
-
进阶方向：
- Wiener攻击（当d较小时）
- LSB Oracle攻击
- Coppersmith相关攻击
-
练习平台：
- Cryptohack.org
- CTFTime.org
- 各大高校CTF新生赛
在真实的ACTF新生赛环境中，这道rsa0题目很可能是考察最基本的RSA流程理解。我建议参赛者首先确认n是否可以直接分解，然后按照标准RSA解密流程操作。如果遇到阻碍，再考虑是否存在特殊参数或需要更高级的攻击方式。记住在CTF中，flag通常以"flag{"或"ACTF{"开头，这个特征可以帮助验证解密结果是否正确。