菜单
提供用于 CTF 挑战的密码学攻击技术。适用于攻击加密、哈希、签名、ZKP、PRNG，或涉及 RSA、AES、ECC、格、LWE、CVP、数论、Coppersmith、Pollard、Wiener、填充预言机、GCM、密钥派生、流密码/分组密码弱点等数学密码学问题。
默认使用会先检查来源的 Prompt；你也可以切换为直接命令，或下载本地副本。
决定是否安装前，请先阅读 SKILL.md，以及 SkillsMP 当前展示的配套文件。
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
直接命令不会经过审查 Prompt；运行前请先检查来源。
npx skills add https://github.com/CEJamesW/ctf-skills-zh --skill ctf-crypto命令会保持在同一行。复制前请横向滚动并检查完整内容。
想先保存到本地？可下载 SkillsMP 当前能够提供的文件。
正在显示 SKILL.md
基于 SOC 职业分类
| name | ctf-crypto |
| description | 提供用于 CTF 挑战的密码学攻击技术。适用于攻击加密、哈希、签名、ZKP、PRNG，或涉及 RSA、AES、ECC、格、LWE、CVP、数论、Coppersmith、Pollard、Wiener、填充预言机、GCM、密钥派生、流密码/分组密码弱点等数学密码学问题。 |
| license | MIT |
| compatibility | 需要基于文件系统的代理（Claude Code 或类似工具），以及 bash、Python 3 和互联网访问以安装工具。 |
| allowed-tools | Bash Read Write Edit Glob Grep Task WebFetch WebSearch |
| metadata | {"user-invocable":"false"} |
Crypto CTF 挑战的快速参考。这里先给出每种技术的一句话摘要；完整细节和代码见对应支撑文件。
Python 包（全平台）：
pip install pycryptodome z3-solver sympy gmpy2 hashpumpy fpylll py_ecc
Linux (apt)：
apt install hashcat sagemath
macOS (Homebrew)：
brew install hashcat
手动安装：
apt install sagemath，macOS 用 brew install --cask sagegit clone https://github.com/RsaCtfTool/RsaCtfTool（自动化 RSA 攻击工具）注意：
gmpy2依赖 libgmp。Linux：apt install libgmp-dev，macOS：brew install gmp。
p=q 校验绕过、gcd(e,phi)>1 的立方根 CRT、从 phi(n) 的倍数分解、乘法同态签名伪造、基表示导致的弱密钥生成、gcd(e,phi)>1 时的指数约化、批量 GCD 共素因子分解、从 dp/dq/qinv 恢复部分私钥、RSA-CRT 故障攻击、同态解密预言机绕过、小素数 CRT 分解、Montgomery 约减计时攻击、低指数 Bleichenbacher 签名伪造、e=1 且伪造模数时的 RSA 签名绕过/ctf-reverse。/ctf-forensics。/ctf-pwn 或 /ctf-web。/ctf-ai-ml。/ctf-misc。# 识别密码类型
python3 -c "from Crypto.Util.number import *; n=<N>; print(f'bits={n.bit_length()}')"
# RSA 快速检查
python3 -c "from sympy import factorint; print(factorint(<n>))" # 有小因子吗？
openssl rsa -pubin -in key.pub -text -noout # 从 PEM 中提取 n、e
# 快速分解工具
python3 RsaCtfTool.py -n <n> -e <e> --uncipher <c>
# XOR 分析
python3 -c "from pwn import xor; print(xor(bytes.fromhex('<hex>'), b'flag{'))"
# 哈希识别
hashid '<hash>'
hashcat --identify '<hash>'
# SageMath（格 / ECC）
sage -c "print(factor(<n>))"
(ct - pt) mod 26 导出密钥。未知密钥长度时用 Kasiski 检验（重复序列距离的 GCD）。0x20）。1/256 通过率；交互预算足够时直接暴力。C1 XOR C2 XOR known_P = unknown_P；无已知明文时做 crib dragging。5! x 5! = 14,400；可在毫秒级暴力。见 classic-ciphers.md。file 只识别为 data。把前几个字节与预期魔数 XOR 得到循环密钥，再利用尾部结构（%%EOF、IEND 标记）扩展。见 classic-ciphers.md。完整代码示例见 classic-ciphers.md。
ecb_cpa_decrypt）；图像在 ECB 下保留可视模式。ECB 剪贴拼接：拼接密文分组伪造 JSON 字段（如 is_admin: true）。见 modern-ciphers-2.md。new_sig = old_sig XOR block_diff。len(set(sbox)) < 256）允许通过 4,097 次查询恢复密钥。LSB=1 的转移计算 (state >> 1) XOR next_state 直接恢复 tap mask。用自相关滑动找到正确长度。见 stream-ciphers.md。SHA256(public_key) XOR seed 派生的 AES 密钥无需私钥即可完全恢复；“混合式” RSA+AES 实际没有安全性。见 modern-ciphers-2.md。完整示例见 modern-ciphers.md 和 modern-ciphers-2.md。
d 很小。p 和 q 非常接近。p-1 很 smooth。e=3 加密。q = next_prime(p)；从 sqrt(N) 下方的第一个素数开始找。N，再由所有因子计算 phi。f.small_roots()。or 短路在 Y != 0 时跳过昂贵的 PBKDF2，形成快/慢计时预言机。完整 3 步攻击对 1024 位 RSA 约需 1024 轮；用已知快/慢样本校准阈值。g(0) = 0；构造后缀使 msg = 0 (mod P)，则签名也为 0。r = flag mod f，筛掉不互素的后做 CRT 合并。p=q 让服务端错误计算 phi=(p-1)^2 而不是 p*(p-1)；测试解密失败时会泄露密文。p ≡ 1 mod e 时，可用 nthroot_mod 分别求每个素数模下的 e 次根，再枚举 CRT 组合（对小 k，3^k 是可行的）。phi(n) 的倍数（如 e*d-1）都可用 Miller-Rabin 的平方根技巧分解；每次尝试成功概率至少 1/2。p = kp*B + tp 且 kp 很小，则 n 具有混合进制结构；暴力 kp*kq（约 2^24）即可分解。完整代码示例见 rsa-attacks.md 和 advanced-math.md。
#E = p）可通过 p-adic lift 在 O(1) 内解 DLP。O(sqrt(n)) 时间/空间。对 smooth 阶群（p-1 或曲线阶的所有因子都小）可与 Pohlig-Hellman 结合。Sage：discrete_log(Mod(h,p), Mod(g,p))。见 advanced-math.md。x^2+y^2=1)： 群阶是 p+1（不是 p-1）；当 p+1 很 smooth 时用 Pohlig-Hellman。r 相同，就能通过模运算恢复 nonce k 和私钥 d。优先检查是否存在重复 r。key = master * uid mod l 时，余因子 h=8 会泄露秘密标量位；查询 2 的幂并检查 y 坐标一致性。b* = max(Mb[i] - M[i][j]) 可直接从公开矩阵恢复共享秘密。完整示例见 ecc-attacks.md、advanced-math.md 和 exotic-crypto.md。
observed * 2^t + hidden，再解小的隐藏修正项。见 lattice-and-lwe.md。[q*I | 0; A^T | I] 构造格，用 fpylll 的 CVP.babai 找最近向量，再投影到三元集合 {-1,0,1}。注意服务端描述和实际编码之间的字节序差异。LWE 的完整求解代码见 advanced-math.md，而攻击选择、嵌入方法和失败模式分诊见 lattice-and-lwe.md。
nx.coloring.greedy_color(G, strategy='saturation_largest_first')counter < N 检查。A=alpha, B=beta, C=-vk_x。先检查 verifier 常量。v 值，再通过 CRS 项抵消完成伪造。完整代码示例和求解模式见 zkp-and-advanced.md。
c = A*x+b (mod M)，其中 M 为复合数（如 65=5*13）。使用 one-hot 向量做选择明文恢复，再在各素因子上做 CRT 逆运算。见 modern-ciphers.md。m*s < 2^128 的二分搜索；约 128 次查询恢复 AES 密钥。自指 CRC：寻找一个 ASCII 字符串，使它的 CRC 等于它自己。由于 CRC 在 GF(2) 上是线性的，因此该约束可化成可解的线性系统，自由变量再选到可打印 ASCII 范围。见 advanced-math.md。
服务器只要能区分“填充有效 / 无效”，就能在无密钥条件下解密任意 CBC 密文。对每个 16 字节分组大约需要 4096 次查询。工具可用 PadBuster 或 Python 的 padding-oracle 库。见 modern-ciphers.md。
RSA PKCS#1 v1.5 填充校验预言机可做自适应选择密文恢复明文。对 RSA-2048 大约需 1 万次查询。TLS 实现中也可能通过计时暴露。见 modern-ciphers.md。
n 位哈希的碰撞约需 2^(n/2) 次尝试。中间相遇把双重加密的复杂度从 O(2^(2k)) 降到 O(2^k)。见 modern-ciphers.md。
2^48 降到 2^24。见 modern-ciphers-2.md。CRC32 是线性的。向消息后追加 4 个可控字节即可强制得到任意目标 CRC32，从而在不知道 secret 的情况下伪造 CRC32(msg || secret) 类型的签名。见 modern-ciphers.md。
每次预言机查询都能把密文向后扩展 1 bit，并通过奇偶性泄露明文。核心是操纵 BBS 平方序列来构造合法的扩展密文。见 modern-ciphers-2.md。
利用 Merkle-Damgard 哈希（hash(SECRET || user_data)）的结构，在不知道 secret 的情况下追加任意数据并计算合法哈希。工具：hashpump 或 hashpumpy。见 modern-ciphers-2.md。
先压缩再加密会通过密文长度变化泄露明文。发送选择明文，若 n-gram 命中则压缩更短。这与 CRIME / BREACH 同类。见 modern-ciphers-2.md。
RC4 的第二个输出字节偏向 0x00（概率 1/128，而随机应为 1/256）。用约 2048 个样本即可把 RC4 与真正随机区分开。见 stream-ciphers.md。
无填充 RSA 满足 S(a) * S(b) mod n = S(a*b) mod n。若预言机屏蔽目标消息，就去签它的因子再相乘。见 rsa-attacks-2.md。
phi = (p-1)*(q-1)，d = inverse(e, phi)，m = pow(c, d, n)。完整示例见 rsa-attacks.md。from pwn import xor; xor(ct, key)。XOR 变体见 classic-ciphers.md。模式： 二进制使用 srand(time(NULL)) + rand() 生成密钥 / XOR mask。Python 的 random 模块使用的是另一种 PRNG。应使用 ctypes.CDLL('./libc.so.6') 直接调用 C 的 srand(int(time())) 和 rand()，才能精确复现序列。XOR 解密示例与计时技巧见 prng.md。
模式： V8 JavaScript 引擎的 Math.random() 使用 xs128p PRNG。给定 5-10 个连续的 Math.floor(CONST * Math.random()) 输出，可用 Z3 的 QF_BV 求解器恢复内部状态（state0, state1），并预测后续值。注意输出值必须按 LIFO cache 的顺序反转。工具：d0nutptr/v8_rand_buster。见 prng.md。
模式： 服务端暴露 random.random() 浮点值。标准 untemper 需要 624 个 32 位整数，但浮点每次只泄露约 8 个可用 bit。预计算的 GF(2) 魔法矩阵（not_random 库）可从 3360+ 个浮点观测中恢复完整 MT 状态，从而预测密码重置 token、会话 ID 或 CSRF token。见 prng.md。
x = r * x * (1 - x)，r ≈ 3.99-4.0；通过暴力高精度小数恢复种子。struct.pack("<f", x) 作为密钥流，再与密文 XOR。完整代码见 prng.md。
对 SPN 的分治恢复：独立攻击每个 S 盒位置，再在多组明密文对上取合法子密钥候选的交集。可把指数级密钥空间拆成多个独立子搜索。见 modern-ciphers-2.md。
pip install pycryptodome z3-solver sympy gmpy2sage -python script.py（ECC、Coppersmith、格攻击必备）python RsaCtfTool.py -n <n> -e <e> --uncipher <c>，自动化 RSA 攻击套件（尝试 Wiener、Hastad、Fermat、Pollard 等多种方法）Math.random() 状态、中平方、确定性 RNG 爬山搜索、随机模式预言机、时间种子、通过 ctypes 同步 C 的 srand/rand、密码破解、logistic map 混沌 PRNGB=p-1）、通过同态倍增实现的 Paillier LSB 预言机、差分隐私噪声抵消、同态加密取位、Jordan 标准形下的矩阵 ElGamal、利用 Pollard 的 OSS 签名伪造、无需私钥的 Cayley-Purser 解密、BIP39 部分助记词校验和暴力、Asmuth-Bloom CRT 门限恢复、使用多项式素数的 Rabin、LCG 周期检测、Vandermonde 多项式系数恢复nonce-disrespect。见 modern-ciphers.md。A = 0 或 A = n 可强制共享秘密为 0，完全绕过口令验证。见 modern-ciphers-2.md。c = m^2 mod n 搭配最低位预言机，可用乘法同态（c * 4 mod n 使明文翻倍）在 log2(n) 次查询内二分恢复明文。见 modern-ciphers-2.md。SHA1(password) 代替 password 登录。见 modern-ciphers-2.md。fastcol 生成 2^k 个 MD5 相同的文件。Merkle-Damgard 组合下，碰撞会沿附加后缀传播。见 modern-ciphers-2.md。sha256((key XOR msg) + msg)，会逐位泄露密钥：msg=0 给出 sha256(key)，msg=2^i 只有在密钥第 i 位为 1 时匹配。见 modern-ciphers-2.md。e' = e/gd' = e'^(-1) mod phim^gO(e) 恢复素数：枚举 k，检查 (dp*e-1)/k+1 是否为素数。见 rsa-attacks-2.md。gcd(s^e - m, n) 泄露因子（Bellcore 攻击）。见 rsa-attacks-2.md。c * r^e mod n，再把结果除以 r，从而解出原始 c。见 rsa-attacks-2.md。n 含有许多小素因子，就试除分解，分别求 m mod p_i，再用 CRT 合并。见 rsa-attacks-2.md。a_i*m+b_i，则 CRT + Coppersmith small_roots 可恢复 m。见 rsa-attacks.md。e=3 时，构造带正确填充前缀的值并开立方根即可伪造 PKCS#1 v1.5 签名；尾部垃圾会吸收剩余误差。见 rsa-attacks-2.md。m+pad1 和 m+pad2，且已知填充差值；在 Zmod(n) 上做多项式 GCD 可直接恢复 m。见 rsa-attacks.md。(n, e)；设 e=1 且 n = sig - PKCS1_pad(msg)，即可让 pow(sig, 1, n) 等于期望的填充哈希。见 rsa-attacks-2.md。q ~ k*p 且已知 k 时，取 q ~ sqrt(k*n)，再对误差项做 Coppersmith small_roots。这是 Fermat 分解对非连续素数情形的推广。见 rsa-attacks.md。r 相同，可用与 ECDSA 相同的公式恢复私钥。见 ecc-attacks.md。k 很小（如 20 位）时，枚举所有 k 并检查哪个产生已知的 r。见 ecc-attacks.md。gcd(n1, n2) 直接揭示该素因子。见 ecc-attacks.md。k 来源于 MD5(prefix+counter) 时，可用 fastcoll 生成 MD5 前缀碰撞强制 nonce 复用，再做标准私钥恢复。见 ecc-attacks.md。