BUUCTF CRYPTO RSA部分简单题解

最新推荐文章于 2026-04-01 04:23:26 发布
原创 最新推荐文章于 2026-04-01 04:23:26 发布 · 1.9k 阅读 · 25 ·
本内容遵循CC 4.0 BY-SA版权协议
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
GEO检测

[buuctf] crypto全解——前84道（不建议直接抄flag）_buuctf crypto-CSDN博客

buuctf crypto刷题1_buuctf crypto rsa-CSDN博客

RSA

noxCTF

下载附件，解压并打开

发现题目描述的文本文档

使用RSAtool进行解题

加解密工具RSATool的使用-CSDN博客

Number Base 设置为十进制

Public Exponent这里要使用16进制的数。如果公钥e=17的话，就应该填入十六进制的11

给出p,q,e的话直接填入

再点击Calc.D,获得d

给出的是n和e的话，输入n和e，点击Factor N(分解)，得到p,q,再重复第3步就能得到d了

将得出的d使用flag{}包裹，得到flag

RSA

公钥文件解析

下载并解压附件，得到

模仿大佬编写的脚本

from Crypto.PublicKey import RSA
from Crypto.Cipher import PKCS1_OAEP
from Crypto.Util.number import *
import gmpy2
 
rsakey = RSA.importKey(open(r"pub.key","r").read())
n = rsakey.n # 86934482296048119190666062003494800588905656017203025617216654058378322103517
e = rsakey.e # 65537
p = 285960468890451637935629440372639283459
q = n//p
phi_n = (p-1)*(q-1)
d = int(gmpy2.invert(e,phi_n))
with open(r"flag.enc","rb") as f:
    content = f.read()
c = bytes_to_long(content)
m = pow(c,d,n)
print(long_to_bytes(m))
# b'\x02\x9d {zR\x1e\x08\xe4\xe6\x18\x06\x00flag{decrypt_256}\n'
'''
privatekey = RSA.construct((n,e,d,p,q))
rsa = PKCS1_OAEP.new(privatekey)
m = rsa.decrypt(content)
print(m)
# ValueError: Only byte strings of equal length can be xored
'''

运行后发现报错

显示python中无crypto库

上网查找资料后解决

spython使用Crypto报错ModuleNotFoundError: No module named ‘Crypto‘解决方案_modulenotfounderror: no module named 'crypto-CSDN博客

python提示错误：ImportError: No module named Crypto_importerror: no module named crypto.publickey-CSDN博客

再次运行脚本

得到flag

这道题不能直接 生成私钥解密flag.enc 可能是因为加密时只有原文后半部分flag{decrypt_256} 是用到了RSA加密

或者

用记事本打开pub.key文件

使用在线工具解码SSL在线工具-公钥解析 (hiencode.com)

再使用factordb.com分解素数N

得到q，p，使用RSAtool工具

得到十进制的d

RSA1

下载解压打开附件：

p = 8637633767257008567099653486541091171320491509433615447539162437911244175885667806398411790524083553445158113502227745206205327690939504032994699902053229 
q = 12640674973996472769176047937170883420927050821480010581593137135372473880595613737337630629752577346147039284030082593490776630572584959954205336880228469 
dp = 6500795702216834621109042351193261530650043841056252930930949663358625016881832840728066026150264693076109354874099841380454881716097778307268116910582929 
dq = 783472263673553449019532580386470672380574033551303889137911760438881683674556098098256795673512201963002175438762767516968043599582527539160811120550041 
c = 24722305403887382073567316467649080662631552905960229399079107995602154418176056335800638887527614164073530437657085079676157350205351945222989351316076486573599576041978339872265925062764318536089007310270278526159678937431903862892400747915525118983959970607934142974736675784325993445942031372107342103852

题目给了  p、q、dp、dq、c

 dp就是 d mod (p-1)

from Crypto.Util.number import *
p = 8637633767257008567099653486541091171320491509433615447539162437911244175885667806398411790524083553445158113502227745206205327690939504032994699902053229
q = 12640674973996472769176047937170883420927050821480010581593137135372473880595613737337630629752577346147039284030082593490776630572584959954205336880228469
dp = 6500795702216834621109042351193261530650043841056252930930949663358625016881832840728066026150264693076109354874099841380454881716097778307268116910582929
dq = 783472263673553449019532580386470672380574033551303889137911760438881683674556098098256795673512201963002175438762767516968043599582527539160811120550041
c = 24722305403887382073567316467649080662631552905960229399079107995602154418176056335800638887527614164073530437657085079676157350205351945222989351316076486573599576041978339872265925062764318536089007310270278526159678937431903862892400747915525118983959970607934142974736675784325993445942031372107342103852
print(long_to_bytes(pow(c,dp,p)))

运行脚本

得到flag

或者

p = 8637633767257008567099653486541091171320491509433615447539162437911244175885667806398411790524083553445158113502227745206205327690939504032994699902053229
q = 12640674973996472769176047937170883420927050821480010581593137135372473880595613737337630629752577346147039284030082593490776630572584959954205336880228469
dp = 6500795702216834621109042351193261530650043841056252930930949663358625016881832840728066026150264693076109354874099841380454881716097778307268116910582929
dq = 783472263673553449019532580386470672380574033551303889137911760438881683674556098098256795673512201963002175438762767516968043599582527539160811120550041
c = 24722305403887382073567316467649080662631552905960229399079107995602154418176056335800638887527614164073530437657085079676157350205351945222989351316076486573599576041978339872265925062764318536089007310270278526159678937431903862892400747915525118983959970607934142974736675784325993445942031372107342103852

import gmpy2
I = gmpy2.invert(q,p)
mp = pow(c,dp,p)
mq = pow(c,dq,q)               #求幂取模运算

m = (((mp-mq)*I)%p)*q+mq       #求明文公式

print(hex(m))          #转为十六进制

运行


 

使用在线工具16进制到文本字符串的转换，16进制-BeJSON.com

得到flag

也可以直接输出print(bytes.fromhex(hex(m)[2:]))

RSA2

题目：

e = 65537
n = 248254007851526241177721526698901802985832766176221609612258877371620580060433101538328030305219918697643619814200930679612109885533801335348445023751670478437073055544724280684733298051599167660303645183146161497485358633681492129668802402065797789905550489547645118787266601929429724133167768465309665906113
dp = 905074498052346904643025132879518330691925174573054004621877253318682675055421970943552016695528560364834446303196939207056642927148093290374440210503657

c = 140423670976252696807533673586209400575664282100684119784203527124521188996403826597436883766041879067494280957410201958935737360380801845453829293997433414188838725751796261702622028587211560353362847191060306578510511380965162133472698713063592621028959167072781482562673683090590521214218071160287665180751

dp+n+e+c = m

dp泄露

import gmpy2 as gp

e = 65537
n = 248254007851526241177721526698901802985832766176221609612258877371620580060433101538328030305219918697643619814200930679612109885533801335348445023751670478437073055544724280684733298051599167660303645183146161497485358633681492129668802402065797789905550489547645118787266601929429724133167768465309665906113
dp = 905074498052346904643025132879518330691925174573054004621877253318682675055421970943552016695528560364834446303196939207056642927148093290374440210503657

c = 140423670976252696807533673586209400575664282100684119784203527124521188996403826597436883766041879067494280957410201958935737360380801845453829293997433414188838725751796261702622028587211560353362847191060306578510511380965162133472698713063592621028959167072781482562673683090590521214218071160287665180751

for i in range(1, e):  # 在范围(1,e)之间进行遍历
    if (dp * e - 1) % i == 0:
        if n % (((dp * e - 1) // i) + 1) == 0:  # 存在p，使得n能被p整除
            p = ((dp * e - 1) // i) + 1
            q = n // (((dp * e - 1) // i) + 1)
            phi = (q - 1) * (p - 1)  # 欧拉定理
            d = gp.invert(e, phi)  # 求模逆
            m = pow(c, d, n)  # 快速求幂取模运算

print(m)  # 10进制明文
print('------------')
print(hex(m)[2:])  # 16进制明文
print('------------')
print(bytes.fromhex(hex(m)[2:]))  # 16进制转文本

运行脚本

得到flag

或者

由费马小定理可知：m^(p-1) ≡ 1 mod p

所以 c^dp mod p ≡ m mod p 即 pow(c,dp,p) ≡ m mod p

有大佬脚本如下

多了一个分解大整数n，在线网站分解即可 factordb.com

from Crypto.Util.number import *
e = 65537
n = 248254007851526241177721526698901802985832766176221609612258877371620580060433101538328030305219918697643619814200930679612109885533801335348445023751670478437073055544724280684733298051599167660303645183146161497485358633681492129668802402065797789905550489547645118787266601929429724133167768465309665906113
p = 13468634736343473907717969603434376212206335187555458742257940406618189481177835992217885676243155145465521141546915941147336786447889325606555333350540003
dp = 905074498052346904643025132879518330691925174573054004621877253318682675055421970943552016695528560364834446303196939207056642927148093290374440210503657
 
c = 140423670976252696807533673586209400575664282100684119784203527124521188996403826597436883766041879067494280957410201958935737360380801845453829293997433414188838725751796261702622028587211560353362847191060306578510511380965162133472698713063592621028959167072781482562673683090590521214218071160287665180751
print(long_to_bytes(pow(c,dp,p)))

运行

得到flag

但是具体原因还不理解

RSA3

共模n攻击

下载附件并打开

题目为：

c1=22322035275663237041646893770451933509324701913484303338076210603542612758956262869640822486470121149424485571361007421293675516338822195280313794991136048140918842471219840263536338886250492682739436410013436651161720725855484866690084788721349555662019879081501113222996123305533009325964377798892703161521852805956811219563883312896330156298621674684353919547558127920925706842808914762199011054955816534977675267395009575347820387073483928425066536361482774892370969520740304287456555508933372782327506569010772537497541764311429052216291198932092617792645253901478910801592878203564861118912045464959832566051361
n=22708078815885011462462049064339185898712439277226831073457888403129378547350292420267016551819052430779004755846649044001024141485283286483130702616057274698473611149508798869706347501931583117632710700787228016480127677393649929530416598686027354216422565934459015161927613607902831542857977859612596282353679327773303727004407262197231586324599181983572622404590354084541788062262164510140605868122410388090174420147752408554129789760902300898046273909007852818474030770699647647363015102118956737673941354217692696044969695308506436573142565573487583507037356944848039864382339216266670673567488871508925311154801
e1=11187289
c2=18702010045187015556548691642394982835669262147230212731309938675226458555210425972429418449273410535387985931036711854265623905066805665751803269106880746769003478900791099590239513925449748814075904017471585572848473556490565450062664706449128415834787961947266259789785962922238701134079720414228414066193071495304612341052987455615930023536823801499269773357186087452747500840640419365011554421183037505653461286732740983702740822671148045619497667184586123657285604061875653909567822328914065337797733444640351518775487649819978262363617265797982843179630888729407238496650987720428708217115257989007867331698397
e2=9647291

大佬的脚本

from gmpy2 import invert
# 欧几里得算法
def egcd(a, b):
  if a == 0:
    return (b, 0, 1)
  else:
    g, y, x = egcd(b % a, a)
    return (g, x - (b // a) * y, y)

def main():
  n = 22708078815885011462462049064339185898712439277226831073457888403129378547350292420267016551819052430779004755846649044001024141485283286483130702616057274698473611149508798869706347501931583117632710700787228016480127677393649929530416598686027354216422565934459015161927613607902831542857977859612596282353679327773303727004407262197231586324599181983572622404590354084541788062262164510140605868122410388090174420147752408554129789760902300898046273909007852818474030770699647647363015102118956737673941354217692696044969695308506436573142565573487583507037356944848039864382339216266670673567488871508925311154801
  c1 = 22322035275663237041646893770451933509324701913484303338076210603542612758956262869640822486470121149424485571361007421293675516338822195280313794991136048140918842471219840263536338886250492682739436410013436651161720725855484866690084788721349555662019879081501113222996123305533009325964377798892703161521852805956811219563883312896330156298621674684353919547558127920925706842808914762199011054955816534977675267395009575347820387073483928425066536361482774892370969520740304287456555508933372782327506569010772537497541764311429052216291198932092617792645253901478910801592878203564861118912045464959832566051361
  c2 = 18702010045187015556548691642394982835669262147230212731309938675226458555210425972429418449273410535387985931036711854265623905066805665751803269106880746769003478900791099590239513925449748814075904017471585572848473556490565450062664706449128415834787961947266259789785962922238701134079720414228414066193071495304612341052987455615930023536823801499269773357186087452747500840640419365011554421183037505653461286732740983702740822671148045619497667184586123657285604061875653909567822328914065337797733444640351518775487649819978262363617265797982843179630888729407238496650987720428708217115257989007867331698397
  e1 = 11187289
  e2 = 9647291
  s = egcd(e1, e2)
  s1 = s[1]
  s2 = s[2]
  # 求模反元素
  if s1<0:
    s1 = - s1
    c1 = invert(c1, n)
  elif s2<0:
    s2 = - s2
    c2 = invert(c2, n)

  m = pow(c1,s1,n)*pow(c2,s2,n) % n
  print(m)

if __name__ == '__main__':
  main()

运行

将脚本运行出的十进制转换为16进制进制转换 - 在线工具 (tool.lu)

十六进制转文本即可得到flag16进制到文本字符串的转换，16进制-BeJSON.com

或者

大佬解释如下buuctf crypto刷题1_buuctf crypto rsa-CSDN博客

脚本

import gmpy2
from Crypto.Util.number import *
 
e1 = 11187289
e2 = 9647291
 
n=22708078815885011462462049064339185898712439277226831073457888403129378547350292420267016551819052430779004755846649044001024141485283286483130702616057274698473611149508798869706347501931583117632710700787228016480127677393649929530416598686027354216422565934459015161927613607902831542857977859612596282353679327773303727004407262197231586324599181983572622404590354084541788062262164510140605868122410388090174420147752408554129789760902300898046273909007852818474030770699647647363015102118956737673941354217692696044969695308506436573142565573487583507037356944848039864382339216266670673567488871508925311154801
 
c1=22322035275663237041646893770451933509324701913484303338076210603542612758956262869640822486470121149424485571361007421293675516338822195280313794991136048140918842471219840263536338886250492682739436410013436651161720725855484866690084788721349555662019879081501113222996123305533009325964377798892703161521852805956811219563883312896330156298621674684353919547558127920925706842808914762199011054955816534977675267395009575347820387073483928425066536361482774892370969520740304287456555508933372782327506569010772537497541764311429052216291198932092617792645253901478910801592878203564861118912045464959832566051361
c2=18702010045187015556548691642394982835669262147230212731309938675226458555210425972429418449273410535387985931036711854265623905066805665751803269106880746769003478900791099590239513925449748814075904017471585572848473556490565450062664706449128415834787961947266259789785962922238701134079720414228414066193071495304612341052987455615930023536823801499269773357186087452747500840640419365011554421183037505653461286732740983702740822671148045619497667184586123657285604061875653909567822328914065337797733444640351518775487649819978262363617265797982843179630888729407238496650987720428708217115257989007867331698397
 
_, r, s = gmpy2.gcdext(e1, e2)
m = pow(c1, r, n) * pow(c2, s, n) % n
print(long_to_bytes(m))

运行

得到flag

RSARSA

下载解压打开附件

题目描述

类型：n+e+c+p+q= m

按照大佬的方法编写脚本

e = 65537
p = 9648423029010515676590551740010426534945737639235739800643989352039852507298491399561035009163427050370107570733633350911691280297777160200625281665378483
q = 
11874843837980297032092405848653656852760910154543380907650040190704283358909208578251063047732443992230647903887510065547947313543299303261986053486569407
n = p*q
#密文
C = 83208298995174604174773590298203639360540024871256126892889661345742403314929861939100492666605647316646576486526217457006376842280869728581726746401583705899941768214138742259689334840735633553053887641847651173776251820293087212885670180367406807406765923638973161375817392737747832762751690104423869019034

d = 56632047571190660567520341028861194862411428416862507034762587229995138605649836960220619903456392752115943299335385163216233744624623848874235303309636393446736347238627793022725260986466957974753004129210680401432377444984195145009801967391196615524488853620232925992387563270746297909112117451398527453977

#求明文
M = pow(C,d,n)    #快速求幂取模运算
print(M)

运行后得到结果

使用flag{}包裹后提交

标签
#java #前端 #服务器
Nernus
关注
BUUCTF—Crypto（完结版本—_—）
2301_76768121的博客
03-19 5626
BUUCTF-部分Crypto wp
BUUCTF题解_buuctf题目答案(1)
2401_84969291的博客
05-12 1521
下面是一个大整数:98554799767,请分解为两个素数，分解后，小的放前面，大的放后面，合成一个新的数字，进行md5的32位小写哈希，提交答案。解法：凯撒密码是字母与字母的对应，而题目中不仅有字母也有数字和符号，猜测为ASCII码，利用ASCII码表，对比前四个字符与flag的关系，第一个偏移5，第二个偏移6，第三个偏移7，那么可以推测出后面的字符偏移量会依次增加1。解法：一串纯数字，很怪，瞄一眼题目，获取关键字【中文】，OK，应该是中文电码，try一try，flag{计算机要从娃娃抓起}
buu RSA2
ao52426055的博客
11-27 1289
查看题目 类型：dp+n+e+c = m dp泄露 RSA各题型脚本\dp+n+e+c = m import gmpy2 as gp e = 65537 n = 2482540078515262411777215266989018029858327661762216096122588773716205800604331015383280303052199186976436198142009306796121098855338013353484450237516704784370730555447242
BUUCTF Crypto题解：RSA2私钥d的Python2/3差异避坑指南
最新发布
weixin_33734785的博客
04-01 507
本文详细解析了BUUCTF Crypto题目rsa2中Python2与Python3在处理RSA私钥d的hex输出时的差异问题，提供了多种解决方案和完整代码实现，帮助CTF选手避免常见错误并正确计算flag。
CTF加密解密—CRYPTO—easyrsa2
好靶场的博客
07-02 913
本道题通过公约数分解n来进行处理。
RSA 2022/8/8
sylvia_a的博客
08-08 808
一些rsa初学者的做题经过
【BUUCTF】Crypto题解
xuanyulevel6的博客
07-30 1万+
BUUCTF-Crypto题解
BUUCTF_Crypto题目题解记录3
Altering_Ji的博客
08-17 1747
记录在buu网站上练习的密码学题目：[GWCTF 2019]BabyRSA、[ACTF新生赛2020]crypto-rsa3、SameMod
BUUCTF-Crypto-RSA2
Georgeiweb的博客
10-25 2175
RSA2 题目： e = 65537 n = 2482540078515262411777215266989018029858327661762216096122588 7737162058006043310153832803030521991869764361981420093067961210 988553380133534844502375167047843707305554472428068473329805159 916766030364518314616149748535863368149212
非对称加密算法RSA的深度解析，在CTF中RSA题目
Scalzdp的专栏
10-27 2430
今天对RSA的原理进行了讲解，并且收集了一些CTF中RSA攻击的脚本，这些脚本基本包括了基础的应用。整个逻辑还是需要对整个过程进行推导，这些推导需要一定的数学知识。好吧，今天就分享到这里。每天学习每天进步。
CTF RSA练习题（5）dp泄露
tgmhh的博客
08-19 743
ctf rsa dp泄露
buuctf RSA2
2301_76329150的博客
06-22 325
【代码】buuctf RSA2。
BUUCTF RSA总结
m0_66467785的博客
05-21 6980
注意：python3里hex(d)的结果和python2里hex(d)的结果相差了一个末尾的L，所以计算md5的结果也就不一样，可以手动加上L再放到md5函数里面。循环遍历所有的n，两两求最大公约数，得到的其中两个n的最大公约数刚好是素数，可以作为p。根据已知信息，我们可以求出n、φ(n)、d，进而求出m。分解质数n，得到p = 18443，q = 49891。根据已知信息，我们可以求出p、q、n、phi_n等。根据p、q可以求出φ(n)，进而可以求出d。显然，根据提示，需要求出私钥d。
Buuctf RSA 题目总结
Ahuuua的博客
10-20 8524
1.RSA 题目： 在一次RSA密钥对生成中，假设p=473398607161，q=4511491，e=17 求解出d作为flga提交 首先： 学习RSAtool2的使用： 1.Number Base 设置为十进制 2.注意：Public Exponent这里要使用16进制的数，如果公钥e=17的话，就应该填入十六进制的11 3.给出p,q,e的话直接填入，再点击Calc.D,获得d 4.给出的是n和e的话，输入n和e，点击Factor N(分解)，得到p,q,再重复第3步就能得到d了
CTF CRYPTO从零开始的RSA2
m0_67837149的博客
02-12 1963
CTF CRYPTO从零开始的RSA2
RSA小公钥指数(e=3)的安全性分析
SecCloud的专栏
11-15 1万+
1. 引言 学术界普遍认为绝对不能选用e=3作为RSA公钥指数，就好像说我们再也不能用md5一样。但实际上，md5今天仍然广泛使用。一个密码算法在理论上被攻破，并不等于实践中就一定会有安全风险。比如，md5作为一种密码哈希函数，理论上它必须满足三个性质：(1) 输出的均匀分布性；(2) 抗碰撞攻击；(3) 抗原像攻击。当王小云发现了md5不满足性质(2)之后，理论上md5算法就被攻破——md
中国剩余定理
qq_52193383的博客
08-12 1048
中国剩余定理： 设m1,…,mk是k个两两互素的正整数，则对任意的整数b1,…,bk，同余式组： x ≡ b1 (mod m1) …… …… …… x = bk (mod mk) 一定有解，且解是唯一的。 (1)若令m = m1*…*mk，m = mi * Mi, i = 1,…k 则同余式组的解可以表示为 x ≡ b1 * M1’ * M1 + … + bk * Mk’ * Mk （mod m） 其中Mi’为Mi模mi的逆元，即Mi’ * Mi ≡ 1 (mod mi)，i = 1,…,k (2)若令N
CTF中关于RSA的常见题型
热门推荐
abtgu的博客
09-11 1万+
CTF中关于RSA的常见题型 关RSA算法原理的描述请看https://blog.csdn.net/weixin_43790779/article/details/105622327 1.已知(p, q, e)，求d。 示例：【CTF秀-crypto4】 p=447685307 q=2037 e=17，提交flag{d}即可。 解题思路： import gmpy2 p = 447685307 q = 2037 e = 17 phi = (p-1)*(q-1) d = gmpy2.invert(e,phi
RSA算法
weixin_62668932的博客
12-07 3734
RSA算法 第二步：计算p和q的乘积n n = p * q 第三步：计算n的欧拉函数φ(n) 　φ(n) = (p-1)(q-1) 第四步：随机选择一个整数e，条件是1<e<φ(n)，且e与φ(n)互质。 在实际应用中，常常选择65537 第五步：计算e对于φ(n)的模反元素d 所谓"模反元素"指的是：有一个整数d，可以使得ed被φ(n)除的余数为1 ed ≡ 1 (mod φ (n)) 等价于 ed - ...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值