1. 赛题背景与核心考点解析
2025年第十九届全国大学生信息安全竞赛（CISCN）初赛的RSA_NestingDoll题目，是一道典型的嵌套式RSA加密分析题。这类题目通常考察选手对RSA算法底层原理的掌握程度，以及面对复杂加密场景时的分析能力。题目名称中的"NestingDoll"（套娃）暗示了加密过程存在多层嵌套结构，这与传统单层RSA有本质区别。
从历年CISCN赛事来看，RSA类题目占比约35%，其中嵌套式结构出现频率逐年上升。本题最可能考察以下三个核心知识点：
- 多素数RSA的模数分解技巧
- 中国剩余定理在解密过程中的应用
- 针对特殊参数选择的攻击方法（如小指数攻击、共模攻击等）
2. 题目环境与初始分析
2.1 题目文件结构
通常这类赛题会提供以下文件：
code复制├── encrypt.py # 加密脚本
├── public.pem # 公钥文件
└── flag.enc # 密文文件
通过openssl查看公钥信息：
bash复制openssl rsa -pubin -in public.pem -text -noout
可能显示模数n和指数e的十六进制值。在真实赛题中，n的位数往往提示关键信息——例如2048位可能暗示双素数，而3072位则可能对应三素数情况。
2.2 模数分解突破口
对于嵌套式RSA，常规的yafu或factordb在线分解往往失效。需要特别关注以下特征：
- 模数n的位数异常（非标准2048/4096等）
- 公钥指数e特别大或特别小
- 加密脚本中出现多次加密的痕迹
一个典型的加密过程可能如下：
python复制def encrypt(msg, keys):
for n, e in keys:
msg = pow(msg, e, n)
return msg
3. 多层RSA解密技术详解
3.1 中国剩余定理应用
当遇到两层RSA加密时（n1, e1）→（n2, e2），解密需要逆向操作：
python复制# 第一层解密
m2 = pow(c, d2, n2)
# 第二层解密
m1 = pow(m2, d1, n1)
关键难点在于获取私钥参数d。对于多素数RSA（如n=pqr），欧拉函数变为：
φ(n) = (p-1)(q-1)(r-1)
私钥计算方式不变：
d ≡ e⁻¹ mod φ(n)
3.2 小指数攻击场景
当最外层的e特别小（如e=3）且明文m满足m^e < n时，可以直接开方：
python复制from gmpy2 import iroot
m = iroot(c, e)[0]
但嵌套结构中需要注意，这种攻击只能用于最外层解密。
4. 实战解题步骤演示
4.1 公钥参数提取
假设从public.pem获取到：
code复制n = 0xabcdef...1234
e = 65537
使用yafu进行因数分解：
bash复制yafu "factor(0xabcdef...1234)"
4.2 私钥计算
当n=pqr时，Python计算示例：
python复制from Crypto.Util.number import inverse
phi = (p-1)*(q-1)*(r-1)
d = inverse(e, phi)
4.3 分层解密实现
对应三层加密的解密代码：
python复制# 第三层
m3 = pow(c, d3, n3)
# 第二层
m2 = pow(m3, d2, n2)
# 第一层
m1 = pow(m2, d1, n1)
print(long_to_bytes(m1))
5. 典型错误与调试技巧
5.1 常见报错处理
-
数据格式错误：
注意bytes/long/int类型转换，使用：
python复制from Crypto.Util.number import bytes_to_long, long_to_bytes -
模不互质：
当gcd(n1,n2)≠1时，可能存在共模攻击机会
5.2 调试建议
- 每步解密后打印中间值
- 对部分已知明文进行加密验证
- 使用sage验证复杂数论计算
6. 进阶技巧与变种分析
6.1 隐藏参数发现
某些赛题会在加密脚本中隐藏关键参数：
python复制# encrypt.py中可能存在的线索
hint = pow(p+q, 0x10001, n)
6.2 非标准RSA变种
- Multi-prime RSA：n=pqr...
- Takagi's Scheme：n=p^2*q
- Rebalanced RSA：d较小但e很大
对于p^2q情况，解密公式变化为：
φ(n) = p(p-1)*(q-1)
d ≡ e⁻¹ mod φ(n)
7. 工具链推荐与自动化脚本
7.1 必备工具列表
| 工具名称 | 用途 | 安装命令 |
|---|---|---|
| RsaCtfTool | 自动化攻击 | git clone https://github.com/RsaCtfTool/RsaCtfTool.git |
| sage | 数学计算 | apt install sagemath |
| pycryptodome | 加密操作 | pip install pycryptodome |
7.2 自动化解密脚本框架
python复制from Crypto.PublicKey import RSA
def layered_decrypt(ciphertext, keys):
for n, d in reversed(keys):
ciphertext = pow(ciphertext, d, n)
return ciphertext
8. 赛后延伸学习建议
-
论文阅读：
- "Twenty Years of Attacks on the RSA Cryptosystem"
- "Recovering cryptographic keys from partial information"
-
实战平台：
- Cryptohack.org的RSA专题
- CTFtime.org的历年RSA赛题
-
关键数学基础：
- 中国剩余定理证明
- Pollard's p-1分解算法
- Wiener攻击的数学原理
在实际比赛中，遇到嵌套式RSA题目时，建议按照以下流程快速定位解法：
- 分析加密层级结构
- 检查每个n的因式分解难度
- 尝试已知攻击方法（小指数、共模等）
- 验证中间解密结果的有效性
最后分享一个调试技巧：当解密结果乱码时，可以尝试在每层解密后输出hex值，有时flag会被分割在不同层级中。我曾遇到过一个案例，flag的前半部分在第一层解密后就能看到，而后半部分需要完整的三层解密才能显现。