القائمة
提供用于 CTF 挑战的密码学攻击技术。适用于攻击加密、哈希、签名、ZKP、PRNG，或涉及 RSA、AES、ECC、格、LWE、CVP、数论、Coppersmith、Pollard、Wiener、填充预言机、GCM、密钥派生、流密码/分组密码弱点等数学密码学问题。
يُحدَّد Prompt الذي يراجع المصدر أولًا بشكل افتراضي. يمكنك التبديل إلى أمر مباشر أو تنزيل نسخة محلية.
اقرأ SKILL.md وأي ملفات مرافقة يعرضها SkillsMP قبل أن تقرر التثبيت.
التثبيت باستخدام Codex أو Claude انسخ هذا Prompt والصقه في Codex أو Claude أو مساعد آخر ليراجع صفحة Skill ويثبّتها لك.
يتجاوز الأمر المباشر Prompt المخصّص للمراجعة. افحص المصدر قبل تشغيله.
npx skills add https://github.com/CEJamesW/ctf-skills-zh --skill ctf-cryptoيبقى الأمر في سطر واحد. مرّر أفقيًا لمراجعته كاملًا قبل النسخ.
تفضّل نسخة محلية؟ نزّل الملفات المتاحة حاليًا لدى SkillsMP.
استنادا إلى تصنيف SOC المهني
عرض SKILL.md
| name | ctf-crypto |
| description | 提供用于 CTF 挑战的密码学攻击技术。适用于攻击加密、哈希、签名、ZKP、PRNG，或涉及 RSA、AES、ECC、格、LWE、CVP、数论、Coppersmith、Pollard、Wiener、填充预言机、GCM、密钥派生、流密码/分组密码弱点等数学密码学问题。 |
| license | MIT |
| compatibility | 需要基于文件系统的代理（Claude Code 或类似工具），以及 bash、Python 3 和互联网访问以安装工具。 |
| allowed-tools | Bash Read Write Edit Glob Grep Task WebFetch WebSearch |
| metadata | {"user-invocable":"false"} |
Crypto CTF 挑战的快速参考。这里先给出每种技术的一句话摘要；完整细节和代码见对应支撑文件。
Python 包（全平台）：
pip install pycryptodome z3-solver sympy gmpy2 hashpumpy fpylll py_ecc
Linux (apt)：
apt install hashcat sagemath
macOS (Homebrew)：
brew install hashcat
手动安装：
apt install sagemath，macOS 用 brew install --cask sagegit clone https://github.com/RsaCtfTool/RsaCtfTool（自动化 RSA 攻击工具）注意：
gmpy2依赖 libgmp。Linux：apt install libgmp-dev，macOS：brew install gmp。
p=q 校验绕过、gcd(e,phi)>1 的立方根 CRT、从 phi(n) 的倍数分解、乘法同态签名伪造、基表示导致的弱密钥生成、gcd(e,phi)>1 时的指数约化、批量 GCD 共素因子分解、从 dp/dq/qinv 恢复部分私钥、RSA-CRT 故障攻击、同态解密预言机绕过、小素数 CRT 分解、Montgomery 约减计时攻击、低指数 Bleichenbacher 签名伪造、e=1 且伪造模数时的 RSA 签名绕过/ctf-reverse。/ctf-forensics。/ctf-pwn 或 /ctf-web。/ctf-ai-ml。/ctf-misc。# 识别密码类型
python3 -c "from Crypto.Util.number import *; n=<N>; print(f'bits={n.bit_length()}')"
# RSA 快速检查
python3 -c "from sympy import factorint; print(factorint(<n>))" # 有小因子吗？
openssl rsa -pubin -in key.pub -text -noout # 从 PEM 中提取 n、e
# 快速分解工具
python3 RsaCtfTool.py -n <n> -e <e> --uncipher <c>
# XOR 分析
python3 -c "from pwn import xor; print(xor(bytes.fromhex('<hex>'), b'flag{'))"
# 哈希识别
hashid '<hash>'
hashcat --identify '<hash>'
# SageMath（格 / ECC）
sage -c "print(factor(<n>))"
(ct - pt) mod 26 导出密钥。未知密钥长度时用 Kasiski 检验（重复序列距离的 GCD）。0x20）。1/256 通过率；交互预算足够时直接暴力。C1 XOR C2 XOR known_P = unknown_P；无已知明文时做 crib dragging。5! x 5! = 14,400；可在毫秒级暴力。见 classic-ciphers.md。file 只识别为 data。把前几个字节与预期魔数 XOR 得到循环密钥，再利用尾部结构（%%EOF、IEND 标记）扩展。见 classic-ciphers.md。完整代码示例见 classic-ciphers.md。
ecb_cpa_decrypt）；图像在 ECB 下保留可视模式。ECB 剪贴拼接：拼接密文分组伪造 JSON 字段（如 is_admin: true）。见 modern-ciphers-2.md。new_sig = old_sig XOR block_diff。len(set(sbox)) < 256）允许通过 4,097 次查询恢复密钥。LSB=1 的转移计算 (state >> 1) XOR next_state 直接恢复 tap mask。用自相关滑动找到正确长度。见 stream-ciphers.md。SHA256(public_key) XOR seed 派生的 AES 密钥无需私钥即可完全恢复；“混合式” RSA+AES 实际没有安全性。见 modern-ciphers-2.md。完整示例见 modern-ciphers.md 和 modern-ciphers-2.md。
d 很小。p 和 q 非常接近。p-1 很 smooth。e=3 加密。q = next_prime(p)；从 sqrt(N) 下方的第一个素数开始找。N，再由所有因子计算 phi。f.small_roots()。or 短路在 Y != 0 时跳过昂贵的 PBKDF2，形成快/慢计时预言机。完整 3 步攻击对 1024 位 RSA 约需 1024 轮；用已知快/慢样本校准阈值。g(0) = 0；构造后缀使 msg = 0 (mod P)，则签名也为 0。r = flag mod f，筛掉不互素的后做 CRT 合并。p=q 让服务端错误计算 phi=(p-1)^2 而不是 p*(p-1)；测试解密失败时会泄露密文。p ≡ 1 mod e 时，可用 nthroot_mod 分别求每个素数模下的 e 次根，再枚举 CRT 组合（对小 k，3^k 是可行的）。phi(n) 的倍数（如 e*d-1）都可用 Miller-Rabin 的平方根技巧分解；每次尝试成功概率至少 1/2。p = kp*B + tp 且 kp 很小，则 n 具有混合进制结构；暴力 kp*kq（约 2^24）即可分解。完整代码示例见 rsa-attacks.md 和 advanced-math.md。
#E = p）可通过 p-adic lift 在 O(1) 内解 DLP。O(sqrt(n)) 时间/空间。对 smooth 阶群（p-1 或曲线阶的所有因子都小）可与 Pohlig-Hellman 结合。Sage：discrete_log(Mod(h,p), Mod(g,p))。见 advanced-math.md。x^2+y^2=1)： 群阶是 p+1（不是 p-1）；当 p+1 很 smooth 时用 Pohlig-Hellman。r 相同，就能通过模运算恢复 nonce k 和私钥 d。优先检查是否存在重复 r。key = master * uid mod l 时，余因子 h=8 会泄露秘密标量位；查询 2 的幂并检查 y 坐标一致性。b* = max(Mb[i] - M[i][j]) 可直接从公开矩阵恢复共享秘密。完整示例见 ecc-attacks.md、advanced-math.md 和 exotic-crypto.md。
observed * 2^t + hidden，再解小的隐藏修正项。见 lattice-and-lwe.md。[q*I | 0; A^T | I] 构造格，用 fpylll 的 CVP.babai 找最近向量，再投影到三元集合 {-1,0,1}。注意服务端描述和实际编码之间的字节序差异。LWE 的完整求解代码见 advanced-math.md，而攻击选择、嵌入方法和失败模式分诊见 lattice-and-lwe.md。
nx.coloring.greedy_color(G, strategy='saturation_largest_first')counter < N 检查。A=alpha, B=beta, C=-vk_x。先检查 verifier 常量。v 值，再通过 CRS 项抵消完成伪造。完整代码示例和求解模式见 zkp-and-advanced.md。
c = A*x+b (mod M)，其中 M 为复合数（如 65=5*13）。使用 one-hot 向量做选择明文恢复，再在各素因子上做 CRT 逆运算。见 modern-ciphers.md。m*s < 2^128 的二分搜索；约 128 次查询恢复 AES 密钥。自指 CRC：寻找一个 ASCII 字符串，使它的 CRC 等于它自己。由于 CRC 在 GF(2) 上是线性的，因此该约束可化成可解的线性系统，自由变量再选到可打印 ASCII 范围。见 advanced-math.md。
服务器只要能区分“填充有效 / 无效”，就能在无密钥条件下解密任意 CBC 密文。对每个 16 字节分组大约需要 4096 次查询。工具可用 PadBuster 或 Python 的 padding-oracle 库。见 modern-ciphers.md。
RSA PKCS#1 v1.5 填充校验预言机可做自适应选择密文恢复明文。对 RSA-2048 大约需 1 万次查询。TLS 实现中也可能通过计时暴露。见 modern-ciphers.md。
n 位哈希的碰撞约需 2^(n/2) 次尝试。中间相遇把双重加密的复杂度从 O(2^(2k)) 降到 O(2^k)。见 modern-ciphers.md。
2^48 降到 2^24。见 modern-ciphers-2.md。CRC32 是线性的。向消息后追加 4 个可控字节即可强制得到任意目标 CRC32，从而在不知道 secret 的情况下伪造 CRC32(msg || secret) 类型的签名。见 modern-ciphers.md。
每次预言机查询都能把密文向后扩展 1 bit，并通过奇偶性泄露明文。核心是操纵 BBS 平方序列来构造合法的扩展密文。见 modern-ciphers-2.md。
利用 Merkle-Damgard 哈希（hash(SECRET || user_data)）的结构，在不知道 secret 的情况下追加任意数据并计算合法哈希。工具：hashpump 或 hashpumpy。见 modern-ciphers-2.md。
先压缩再加密会通过密文长度变化泄露明文。发送选择明文，若 n-gram 命中则压缩更短。这与 CRIME / BREACH 同类。见 modern-ciphers-2.md。
RC4 的第二个输出字节偏向 0x00（概率 1/128，而随机应为 1/256）。用约 2048 个样本即可把 RC4 与真正随机区分开。见 stream-ciphers.md。
无填充 RSA 满足 S(a) * S(b) mod n = S(a*b) mod n。若预言机屏蔽目标消息，就去签它的因子再相乘。见 rsa-attacks-2.md。
phi = (p-1)*(q-1)，d = inverse(e, phi)，m = pow(c, d, n)。完整示例见 rsa-attacks.md。from pwn import xor; xor(ct, key)。XOR 变体见 classic-ciphers.md。模式： 二进制使用 srand(time(NULL)) + rand() 生成密钥 / XOR mask。Python 的 random 模块使用的是另一种 PRNG。应使用 ctypes.CDLL('./libc.so.6') 直接调用 C 的 srand(int(time())) 和 rand()，才能精确复现序列。XOR 解密示例与计时技巧见 prng.md。
模式： V8 JavaScript 引擎的 Math.random() 使用 xs128p PRNG。给定 5-10 个连续的 Math.floor(CONST * Math.random()) 输出，可用 Z3 的 QF_BV 求解器恢复内部状态（state0, state1），并预测后续值。注意输出值必须按 LIFO cache 的顺序反转。工具：d0nutptr/v8_rand_buster。见 prng.md。
模式： 服务端暴露 random.random() 浮点值。标准 untemper 需要 624 个 32 位整数，但浮点每次只泄露约 8 个可用 bit。预计算的 GF(2) 魔法矩阵（not_random 库）可从 3360+ 个浮点观测中恢复完整 MT 状态，从而预测密码重置 token、会话 ID 或 CSRF token。见 prng.md。
x = r * x * (1 - x)，r ≈ 3.99-4.0；通过暴力高精度小数恢复种子。struct.pack("<f", x) 作为密钥流，再与密文 XOR。完整代码见 prng.md。
对 SPN 的分治恢复：独立攻击每个 S 盒位置，再在多组明密文对上取合法子密钥候选的交集。可把指数级密钥空间拆成多个独立子搜索。见 modern-ciphers-2.md。
pip install pycryptodome z3-solver sympy gmpy2sage -python script.py（ECC、Coppersmith、格攻击必备）python RsaCtfTool.py -n <n> -e <e> --uncipher <c>，自动化 RSA 攻击套件（尝试 Wiener、Hastad、Fermat、Pollard 等多种方法）Math.random() 状态、中平方、确定性 RNG 爬山搜索、随机模式预言机、时间种子、通过 ctypes 同步 C 的 srand/rand、密码破解、logistic map 混沌 PRNGB=p-1）、通过同态倍增实现的 Paillier LSB 预言机、差分隐私噪声抵消、同态加密取位、Jordan 标准形下的矩阵 ElGamal、利用 Pollard 的 OSS 签名伪造、无需私钥的 Cayley-Purser 解密、BIP39 部分助记词校验和暴力、Asmuth-Bloom CRT 门限恢复、使用多项式素数的 Rabin、LCG 周期检测、Vandermonde 多项式系数恢复nonce-disrespect。见 modern-ciphers.md。A = 0 或 A = n 可强制共享秘密为 0，完全绕过口令验证。见 modern-ciphers-2.md。c = m^2 mod n 搭配最低位预言机，可用乘法同态（c * 4 mod n 使明文翻倍）在 log2(n) 次查询内二分恢复明文。见 modern-ciphers-2.md。SHA1(password) 代替 password 登录。见 modern-ciphers-2.md。fastcol 生成 2^k 个 MD5 相同的文件。Merkle-Damgard 组合下，碰撞会沿附加后缀传播。见 modern-ciphers-2.md。sha256((key XOR msg) + msg)，会逐位泄露密钥：msg=0 给出 sha256(key)，msg=2^i 只有在密钥第 i 位为 1 时匹配。见 modern-ciphers-2.md。e' = e/gd' = e'^(-1) mod phim^gO(e) 恢复素数：枚举 k，检查 (dp*e-1)/k+1 是否为素数。见 rsa-attacks-2.md。gcd(s^e - m, n) 泄露因子（Bellcore 攻击）。见 rsa-attacks-2.md。c * r^e mod n，再把结果除以 r，从而解出原始 c。见 rsa-attacks-2.md。n 含有许多小素因子，就试除分解，分别求 m mod p_i，再用 CRT 合并。见 rsa-attacks-2.md。a_i*m+b_i，则 CRT + Coppersmith small_roots 可恢复 m。见 rsa-attacks.md。e=3 时，构造带正确填充前缀的值并开立方根即可伪造 PKCS#1 v1.5 签名；尾部垃圾会吸收剩余误差。见 rsa-attacks-2.md。m+pad1 和 m+pad2，且已知填充差值；在 Zmod(n) 上做多项式 GCD 可直接恢复 m。见 rsa-attacks.md。(n, e)；设 e=1 且 n = sig - PKCS1_pad(msg)，即可让 pow(sig, 1, n) 等于期望的填充哈希。见 rsa-attacks-2.md。q ~ k*p 且已知 k 时，取 q ~ sqrt(k*n)，再对误差项做 Coppersmith small_roots。这是 Fermat 分解对非连续素数情形的推广。见 rsa-attacks.md。r 相同，可用与 ECDSA 相同的公式恢复私钥。见 ecc-attacks.md。k 很小（如 20 位）时，枚举所有 k 并检查哪个产生已知的 r。见 ecc-attacks.md。gcd(n1, n2) 直接揭示该素因子。见 ecc-attacks.md。k 来源于 MD5(prefix+counter) 时，可用 fastcoll 生成 MD5 前缀碰撞强制 nonce 复用，再做标准私钥恢复。见 ecc-attacks.md。