生日攻击及CTF例子

生日攻击及CTF例子

$Instruction$

以生日悖论为基础的生日攻击，实际上是碰撞攻击的一种，其主要思想就是在一个随机集合中找到两个相同点（给定一个点的大小找是否有另一个点）的概率一般来说很大（有一个近似计算公式），以此概率来判断是否遍历爆破整个集合找出两个相同点（概率很大的情况下，很可能不止两个点相同）

近似计算公式
$$P=1-e^{-\frac{n(n-1)}{2N}}$$
其中$P$是指存在两个相同点的概率，对应的，$e^{-\frac{n(n-1)}{2N}}$即是整个集合中不存在两个相同点的概率；$n$是指该随机集合目前实际的总个数，$N$是指在该随机情况的条件下最多有$N$种不同的可能

生日攻击一般都用作哈希碰撞，构造彩虹表等等，这里我们用浅显的生日悖论的原理来在给定一个点的情况下，来判断是否可以找到一个随机集合中另一个相同点

$Example$

$Problem$

来源于：第五空间CTF 2022 vgcd

from random import getrandbits, seed
from Crypto.Util.number import getPrime, inverse, bytes_to_long, isPrime
from os import urandom
from secret import flag

def sample(rho, eta, gamma, p):
    seed(urandom(8))
    return p * getrandbits(gamma - eta) + getrandbits(rho)

def gen_vector(rho, eta, gamma, m, p, K):
    v = vector([sample(rho, eta, gamma, p) for i in range(m)])
    return K*v 
    
rho = 6
m = 3
eta = 288
gamma = 512
p = getPrime(gamma)
q = getPrime(gamma)
n = p * q
e = 65537
phi = (p - 1) * (q - 1)
c = pow(bytes_to_long(flag), e, n)
print(n)
print(c)

pp = p >> (gamma - eta)
assert isPrime(pp)
K = Matrix.random(Integers(pp), m, m).lift()
t1 = [gen_vector(rho, eta, gamma, m, pp, K) for i in range(1024)]
print(t1)
for i in range(6):
    t2 = [gen_vector(rho, eta, gamma, m, pp, K) for i in range(512)]
    print(t2)

$Analysis$

题目关键是找到pp，而围绕pp题目生成了一大堆由随机数作为基底的数（但是这里不能用随机数内置的算法逆向求解，因为每次生成几个随机数都会重新设置seed）

我们把打印出来的t1, t2的生成过程（这两个列表的生成过程是一样的）用数学符号表达出来
$$\begin{array}{ll}KK\cdot VV& =\left(\begin{array}{c}{k}_0{k}_1{k}_2\\ k_3{k}_4{k}_5\\ k_6{k}_7{k}_8\end{array}\right)\left(\begin{array}{c}{v}_0{v}_1{v}_2\end{array}\right)\\ & =\left(\begin{array}{c}{k}_0{v}_0+k_1{v}_1+k_2{v}_2{k}_3{v}_0+k_4{v}_1+k_5{v}_2{k}_6{v}_0+k_7{v}_1+k_8{v}_2\end{array}\right)\end{array}$$

这里的$K,VK,V$分别是矩阵和向量，这里进行的并不是矩阵乘法，当前类型的矩阵和向量左乘后得到的就是如上表达式

其中$KK$在有所有的t1, t2中的生成过程是一样的，而$VV$是在随机生成的；

我们仔细查看$VV$的生成过程（由于随机数生成大小的参数是给定了的，这里直接用数值表示随机数大小）

$$VV=\left(\begin{array}{ccc}{v}_0& v_1& v_2\end{array}\right)=\left(\begin{array}{c}pp\cdot r_{224}+r_{6}pp\cdot r_{224}^{\prime }+r_6^{\prime }pp\cdot r_{224}^{\prime \prime }+r_6^{\prime \prime }\end{array}\right)$$

其中$r_i$表示 $i$ bits大小的随机数，将$VV$的表达式代入$KK\cdot VV$ 中

$$KK\cdot VV=\left(\begin{array}{ccc}& k_0(pp\cdot r_{224}+r_6)+k_1(pp\cdot r_{224}^{\prime }+r_6^{\prime })+k_2(pp\cdot r_{224}^{\prime \prime }+r_6^{\prime \prime })\cdots \cdots & \end{array}\right)$$
单独看第一项
$$\begin{gathered} k_0(pp\cdot r_{224}+r_6)+k_1(pp\cdot r_{224}^{\prime }+r_6^{\prime })+k_2(pp\cdot r_{224}^{\prime \prime }+r_6^{\prime \prime }) \\ =(k_0\cdot r_{224}+k_1\cdot r_{224}^{\prime }+k_2\cdot r_{224}^{\prime \prime })\cdot pp+(k_0{r}_6+k_1{r}_6^{\prime }+k_2{r}_6^{\prime \prime }) \end{gathered}$$
此时我们就可以应用生日攻击的思想了，单独看上式的 $(k_0{r}_6+k_1{r}_6^{\prime }+k_2{r}_6^{\prime \prime })$ ，如果我们能在t1, t2的所有输出中找到两个相同的$r_6,r_6^{\prime },r_6^{\prime \prime }$，那么我们就可以将两者相减，得到一个这样的表达式 $x\cdot pp$ ，同时，使用相同的 $r_6,r_6^{\prime },r_6^{\prime \prime }$ 总共有三组（$KK\cdot VV$ ），每组之间相减都可以得到表达式$x^{\prime }\cdot pp$，将三组之间的相减结果取最大公因数即可得到$pp$ （很大概率 $pp$ 应该是 $x\cdot pp$ 中最大的素因子）

实际寻找相同的$r_6,r_6^{\prime },r_6^{\prime \prime }$过程中，当然是先确定一个t1, t2的结果，再遍历剩余的t1, t2中的每一个结果

而t1, t2总共有4096组结果，每组结果中有三项数值，我们来计算一下生日攻击的成功概率

$r_6,r_6^{\prime },r_6^{\prime \prime }$的所有可能应该有$2^{18}$种，而当前的结果有4096种；相当于$N=2^{18}，n=4096$ ，代入生日攻击概率的近似计算公式
$$\begin{array}{ll}P& =1-e^{-\frac{4096(4096-1)}{2\cdot 2^{18}}}\\ & =1-1.2763491830534272e^{-14}\end{array}$$

sage: float(e^(-(4096*(4096-1)) / (2^19)))
1.2763491830534272e-14

所以几乎是百分百会有碰撞情况发生

得到 $pp$ 之后，将其按照高位攻击的思路恢复原始的 $p$ 即可，具体使用small_roots 函数的一种方法可以看 (10条消息) 2022 川渝网安比赛_初赛Crypto复现_M3ng@L的博客-CSDN博客 里的一道例题

$Solution$

# type:ignore
from Crypto.Util.number import *
from tqdm import trange
import gmpy2

with open("output3.txt") as f:
    input = [line.strip() for line in f.readlines()]
n = int(input[0])
c = int(input[1])
cipher = []
for i in input[2:]:
    for j in eval(i):
        cipher.append(j)
# print(len(cipher))

# for i in trange(len(cipher)):
#     for j in range(i, len(cipher)):
#         temp = [cipher[i][k] - cipher[j][k] for k in range(3)]
#         gcd = [gmpy2.gcd(temp[0], temp[1]), gmpy2.gcd(temp[0], temp[2]), gmpy2.gcd(temp[1], temp[2])]
#         for k in gcd:
#             if k.bit_length() == 288:
#                 print(k)
# 356748247030693416847133214972226346960895831956739561317797640603898384278276333472137
pp = 356748247030693416847133214972226346960895831956739561317797640603898384278276333472137
eta = 288
gamma = 512
e = 0x10001
R.<x> = PolynomialRing(Zmod(n))
f = (pp << (gamma - eta)) + x
p = int((pp << (gamma - eta)) + f.small_roots(beta=0.49, epsilon=0.02)[0])
assert n % p == 0
q = n // p
phi = (p-1) * (q-1)
d = gmpy2.invert(e, phi)
m = pow(c, d, n)
print(long_to_bytes(m).decode())

$Reference$

(10条消息) 【2022 第五空间】5_vgcd WriteUP_Mr_AgNO3的博客-CSDN博客