Dawn_whisper's blog

Writeup for 红明谷's crypto不知道是为啥，只有一个难题，虽然巨难无比，但收获不小 RSAattack$e=3$ $c$ 远小于 $n$ ，直接开方就完了 ezCRT和VNCTF的factor是一个题，换一下数据直接出 babyFogery题目解析加密模式为AES.OCB，服务器提供加密和解密功能，getflag的要求如下： associate_data为from Alice 明文为please_give_me_the_flag 分析阅读整体代码，掌握AES.OCB模式的特点与加解密过程如下： （本文只说明对该题有意义的函数与特点，如果想仔细了解请阅读github上的源代码） 后文中 $E(),D()$ 表示AES.OCB内部的 $aes.encrypt(),aes.decrypt()$ 认证AES.OCB在解密时会对 $tag$ 与 $cipher$ 进行认证，如果发现与加密时的不同，则不会返回解密后的 明文，所以这一点要求我们在伪造 $cipher$ 和同时要对 $tag$ 进行伪造，使得其通过认证检测，我们才能得到明文，才能保证连接不被中断 pm ...

Writeup for MAR DASCTF’s cryptocrypto_threshold签到题，给了LCG的所有参数，而且求的还是后一位，求得 $e$ RSA部分给的_lambda和我上次出的VNCTF的hint是一个样子，求得明文 FeedBack给了个函数 12def cycle(c:list,a:list)->int: return reduce(lambda x,y: x+y,map(lambda x: x[0]*x[1],zip(c,a))) 功能就是把 $c$ 和 $a$ 两两相乘再相加 显然如果有 $key$ ，逆推回去就很容易，那么就想办法找 $key$ 的关系，因为有$$c = \sum_{i=1}^{lenth}m_i\cdot key_i$$结合数据即$${\begin{bmatrix}x_1&x_2&x_3&\cdots&x_n \\x_2&x_3&x_4&\cdots&x_{n+1} \\\vdots&\vdots&\vdots&\ddots&\ ...

Lattice learning 2 这篇博客refer的东西太多了，所以要看别的师傅的版本的话可以转路友链里的密码师傅们 Preface格子真是好玩的东西，但是看得再多的博客也不如自己亲自调几个格子来的清楚，比如各种优化或者约束 Chapher 5 Encryption mode in LatticeCoppersmithCoppersmith是啥？ 铜匠！炼铜！ 在我看来就是一种在有限域内解方程的方法，比方说 $f(x)=x^4+114x+514$ 且对于有特殊关系的 $x_0$ 满足关系 $f(x_0)\equiv0\pmod{N}$ ，去求解这样的 $x_0$ 时我们可以使用Coppersmith’s methed。对于度为 $d$ 的多项式 $f(x)$ ，如果这个 $x_0$ 满足 $|x0|< N^{\frac{1}{d}-\varepsilon}$ ，那么就能在多项式的时间内被找出。 假设 $N$ 是一个未知因子组成的数，且存在一个因子 $b\geq N^\beta(0<\beta\leq 1)$ ，$f(x)$ 是一个一元一次 $d$ 阶的多项式，且 ...

打赏鸣谢会有的吧会有的吧会有的吧会有的吧会有的吧（哭 ID Time Money 幸福一生 2021-03-06 00:07:55 ￥1

Lattice learning 1Preface花了一下午的时间学完了线代数学家们上辈子一定是天使吧，才能发明出这么美妙的东西线性代数 相见恨晚 Chapter 1 The world of the Lattice向量真是个神奇的东西，因为世界上的一切都可以用向量来表示。那么如果我们要去表示一个线性空间 $V$ ，我们就需要至少两个非线性相关的向量作为基底，比方说 $\vec{i}$ 和 $\vec{j}$，因此任意的一个向量都可以用基底的线性组合来表示出来，比如 $\vec{x}=a\cdot\vec{i}+b\cdot\vec{j}$ 。而能被 $\vec{i}$ 和 $\vec{j}$ 表示出来的所有向量的集合就称为这个线性空间 $V$ 。但是这里的’$a$’和’$b$’可以是任意的数字，那么如果我们假定这里的’$a$’和’$b$’都是整数（$a,b\in\mathbb{Z}$），这时我们就会得到一个整数格（Integer Lattice）。 我们首先使得所有的向量起点都位于原点，此时，所有的向量都与它们各自的终点一一对应，也就是说，我们可以使用向量的终点来代替该向量。那么此时 ...

Writeup for V&NCTF's cryptowhitegive密码方向签到题，先分解n，详细推导过程如下： $$e\cdot d \equiv 1\pmod{lcm(p,p-1,q-1)}=k\cdot \frac{p\times(p-1)\times(q-1)}{gcd}+1$$ $$m^{e\cdot d}=m\pmod{((p-1)\times p)}\ 且\ m^{e\cdot d}=m\pmod{(q-1)}$$ $$m^{ed}\equiv m\pmod{((p-1)\times(q-1)\times p)}$$ $$e\cdot d=k\times p\times(p-1)\times(q-1)+1$$ $$(e\cdot d)^e=\sum^{e}_{i=0}C^i_e\cdot (k\times p\times (p-1)\times(q-1))^i\times 1^{e-i}=K\times p +1$$ 所以n很容易被分解，从而算得前一步的e，此时发现d较小（满足如下关系） $$\frac{1}{3}N^{\frac{1}{4}}\leq ...

Wp for AntCTF X D^3CTF's crypto我的格子和椭圆曲线实在是太烂了，奈何这次比赛基本都是（ 这次只贡献了1k分，我对不起V&N的师傅们呜呜呜 babyLattice联合第二题，发现此题应该要分解n，观察秘钥生成代码，发现如下关系： $$a_1 = k \cdot n + a_{11} \cdot q \cdot inv(q,p) + a_{21} \cdot p \cdot inv(p,q)$$$$a_2 = k \cdot n + a_{12} \cdot q \cdot inv(q,p) + a_{22} \cdot p \cdot inv(p,q)$$ 所以$$a_1 = a_{11} \pmod{p} = a_{21} \pmod{q}$$$$a_2 = a_{12} \pmod{p} = a_{22} \pmod{q}$$ 所以易知$$b =\frac{a_{11}}{a_{12}}\pmod{p}=\frac{a_{21}}{a_{22}}\pmod{q}$$ 即 $$b\cdot a_{12} - a_{11} = 0 \pm ...

LCG发现自己没有整过线性同余生成器的东西，今天专门来总解一下 参考资料 1、线性同余生成方法设A,B,M是一定常数，按照递推公式 $state_{i+1}=(A\times state_i+B)\pmod{M}$ ，其中A称为乘数(multiplier)，B称为增量(increment)，M称为模数(modulus) LCG的生成周期理论上应该是M，但大部分情况下会小于M，如果想要追求LCG的最大周期，应符合以下几个条件： A与B都是正整数 A、B、N[0]都比M要小 B与M互质 M的所有质因数都能整除A-1 2、攻击方法我们把state均简称为s 1、B未知只需获取中间的两个状态值 1s_1 = (s_0*A+B)%M 显然 $B = s_1 - s_0\times a\pmod{M}$ 2、A与B未知只需获取中间的三个状态值 12s_1 = (s_0*A+B)%Ms_2 = (s_1*A+B)%M 线性方程，解起来还是挺简单的 显然 $A = \frac{s_2-s_1}{s_1-s_0}\pmod{M}$ ，于是就转化成了问题1了 3、 ...

Discrete logarithm problem发现自己只是知道离散对数很难求，而且自己拿这玩意也没办法，专门来学一下带老婆问题 基本定义生成元​ 在一个群 G 中，如果 g 是 G 的生成元，即所有 G 中的所有元素都可以被表示成 $y = g^x$ ，此时的 x 我们称为 y 在 G 中的对数 阶​ 设 $m\geq 1$ ， $gcd(a,m)=1$ ，使得 $a^d=1\pmod{m}$ 成立的最小正整数 d 称为 a 对模 m 的指数或者阶，我们一般将其记为 $\delta_m(a)$ ​ 另：满足 $a^d=1\pmod{m}$ 的d一定满足 $d\mid\varphi(m)$ 原根​ 当 $\delta_m(a)=\varphi(m)$ 时，称 a 是模 m 的原根，简称 m 的原根 ​ 只有 $m=2,4,p^\alpha,2p^\alpha （p为奇素数，\alpha为正整数）$ 时，模 m 的剩余系存在原根（充要条件） 离散对数暴力枚举万物皆可暴力 1234def ForceDLP(A,B,P): for i in ran ...

A study for MT19937寒假前被一个伪随机数卡了，终于有时间来看看 前言如前文，不会就得学（悲 参考博客 MT19937​ MT19937是许多语言的默认伪随机数生成器，其优点为：周期非常长（达到 $2^{19937}-1$ ）、在 $1\leq k\leq 623$ 的维度之间都可以均等分布、速度较快。 ​ MT19937算法主要分为三个部分： 1231、基础的梅森旋转链2、输出处理算法（Tamper）3、旋转链的旋转算法（Twist） python中Random类采用MT19937算法，getrandbits(32)返回一个32位随机数，详细代码如下： 1234567891011121314151617181920212223242526272829def _int32(x): return int(0xFFFFFFFF & x)class MT19937: def __init__(self, seed): self.mt = [0] * 624 self.mt[0] = seed se ...