Lamb

一、题目某车型数字钥匙系统支持 BLE 唤醒和 UWB 测距。安全团队导出了一份车端数字钥匙取证日志，怀疑签名模块在某些认证会话中复用了随机数。请分析日志，恢复受保护的车端取证结果。 用DB Browser查看SQLite： 表名 作用 auth_signatures 数字钥匙认证过程里的签名记录 protected_vehicle_blob 加密后的车端取证结果 meta 车辆基本信息（VIN、车型）、公钥曲线 ble_advertisements BLW蓝牙唤醒日志 uwb_ranging UWB测距日志 二、思路Metameta给出了公钥曲线的参数，且提示Two successful auth signatures share the same nonce_tag. In ECDSA this is fatal.说两条签名用了同一个随机数k public_key_curve secp256r1 public_key_x 16aaeee15966846319a785c529d07407aa05287b1d1a0581d7ab23ed...

一、简介国密算法是由国家密码管理局认定的自主可控国产密码算法体系，包含SM系列及祖冲之（ZUC）算法等核心技术。该体系涵盖对称加密（SM1、SM4、SM7）、非对称加密（SM2、SM9）、哈希算法（SM3）与流密码（ZUC）等类型，形成完整的密码技术生态。 二、核心组件轮函数结构SM4的轮函数设计结合了多种运算： · 异或运算（模2加） · 循环左移 · 非线性字节变换（S盒） S盒变换S盒是8位输入、8位输出的非线性置换。查询规则是：以输入的高4位为行号，低4位为列号，查找对应值。例如，输入 0xEF，查询S盒第E行、第F列得到输出值 0x84。 密钥扩展算法SM4的子密钥生成算法与加密算法结构类似，通过初始密钥生成32个轮密钥。 三、加密与解密过程加密SM4采用对合运算设计，即解密算法与加密算法相同，这大大简化了实现。它的加密过程如下： 分组：128位明文分为4个32位的字。 经过32轮加密变换。每一轮的加密变换为： (a)循环左移 (b)最后一个字经过轮函数F得到 (c)32轮的加密变换结束后，将4个字反序变化后，得到128位密文。 SM4每轮结构 上一轮的数据,...

一、简介RAG 是 Retrieval-Augmented Generation，中文通常叫 检索增强生成。 RAG 可以表示为： $$\text{Answer}=\operatorname{LLM}\left(\text{Query},\operatorname{Retrieve}(\text{Query},\mathcal{D})\right)$$ 其中：Query为用户问题，D为外部文档集合，Retrieve为检索器 RAG 将知识分成两类： 参数化知识（Parametric Memory）：存储在模型参数中的知识； 非参数化知识（Non-parametric Memory）：存储在文档、数据库、向量库、网页或知识图谱中的知识。 传统大语言模型主要依赖参数化知识：$$P_\theta(y\mid x)$$ RAG 在生成时额外引入外部文档 z：$$P(y\mid x)=\sum_{z\in\mathcal{Z}}P_\eta(z\mid x)P_\theta(y\mid x,z)$$ 其中：x为输入问题，z为检索到的文档，y为生成答案 $$P_\et...

three_friends题目12345678910111213141516171819202122232425262728293031323334353637383940from Crypto.Util.number import *flag = b"***********"L = len(flag)m1 = bytes_to_long(flag[:L//3])m2 = bytes_to_long(flag[L//3:2*L//3])m3 = bytes_to_long(flag[2*L//3:])p = getPrime(512)q = getPrime(512)r = getPrime(512)e = 65537n1 = p * qn2 = q * rn3 = p * rc1 = pow(m1, e, n1)c2 = pow(m2, e, n2)c3 = pow(m3, e, n3)print(f"n1 = {n1}")print(f"n2 = {n2}")print(f&q...

这些题目还是比较简单的，所以放一起了。 zeroG CTF 2026Twin Orbit题目123456789101112131415#!/usr/bin/env python3# -*- coding: utf-8 -*-from Crypto.Util.number import bytes_to_longdef encrypt_message(flag: bytes, n: int): m = bytes_to_long(flag) e1 = 65537 e2 = 17 c1 = pow(m, e1, n) c2 = pow(m, e2, n) return e1, e2, c1, c2 思路已知$$c_1=m^{e_1} \pmod n ,c_2=m^{e_2} \pmod n$$ 用扩展欧几里得求出: se1+te2=gcd(e1,e2)=1 则$$m=c_1^s*c_2^t \pmod n$$ 解答12345678910111213141516from Crypto.Util.nu...

一、ECC曲线参数ECC方程素数域上的短 Weierstrass 曲线通常写为： $E(\mathbb F_p):\quad y^2\equiv x^3+ax+b\pmod p$ 常见参数如下： 必须注意： p 是域模数；n 是基点所在子群的阶，二者不能混用。 当 h = 1 时，通常有$ \#E(\mathbb F_p)=n。$ 未压缩点编码一般为 04 || Gx || Gy；开头的 04 不是坐标的一部分。 Curve25519、Ed25519 使用不同曲线模型，不能直接套用短 Weierstrass 的 a, b。 常用曲线速查 secp256k1曲线方程：$y^2=x^3+7\pmod p$ 12345678910111213141516171819202122232425p = int( "FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF" "FFFFFFFFFFFFFFFFFFFFFFFEFFFFFC2F", 16)a = 0b = 7Gx = int( ...

1.RSA12345678910111213141516171819202122232425*from* secret *import* flag*from* sympy *import* nextprime*from* Crypto.Util.number *import* bytes_to_long, getPrime*assert* len(flag) == 25m = bytes_to_long(flag)m_2 = m ** 2p = getPrime(1024)q = getPrime(1024)n = p * qe1 = getPrime(20)e2 = nextprime(e1)c1 = pow(m_2, e1, n)c2 = pow(m_2, e2, n)print(f"{n = }")print(f"{c1 = }")print(f"{c2 = }")print(f"e1 * e2 = {e1 * e2}&quo...

JerseyCTF 2026Operation Dark Side1234a382223e6e58c51ae1da88aef21bd9eac95e9179b1122e495035e489edccebaff829d8e85118d7f5c0b87368a158fea60836c8f415488a1b994565ee15099ef79cfd46ea6757bb19444e69d1013a2b1447546bf4bec10e2fdb72d8fdd718d484b005d603aa19f2e5dcb7029662603c0e1cb4b8471dae565ea06d8d08c518e05e8396c18ba71749afb0cf4855437ef898ab9eb578326198d0865527053d1eceadfc63eb29e258c80e5fae7493d79f80dc0bc8fc9a2a62d10fb271b8d6d977c0bceefde66246883c8161c99e4031ba5bc710c910e6ac3b84d874bc227076c330e4868f5daf9d2d...

一、数学定义1、原根$$设n、a为互质的正整数，令a^d\equiv 1 \pmod n，如果用\delta (n,a)表示使该式子成立的最小整数d，此时如果\delta (n,a)=\phi (n)成立，则称a为模n的原根。$$ 2、离散对数$$对整数b、指数p及其原根a，若可找到唯一指数使得b \equiv a^i \pmod p，其中i \in [0,p-1]，则称i为b的以a为基数的离散对$$ 二、ELGamal私钥与公钥****的计算 随机选取一个大素数p，要求p-1有大素数因子 $$选择一个模p的原根a和整数i有i \in (1,p-1$$ $$计算b \equiv a^i \pmod $$ 此时公钥集合(p,a,b)，私钥i 加密过程 $$随机选取证书k,k \in (1,p-1$$ $$计算U \equiv b^k \pmod $$ $$计算C_1\equiv a^k \pmod p$$ $$计算C_2\equiv U*M \pmod p$$ $$得到密文(C_1,C_2$$ 解密过程 $$计算V\equiv C_1^i \pmod $$ $$...

Baby-step giant-step (BSGS)条件$$当n较小时，在群阶n的平方根级别时间内求解g^x=h，适用于阶n小于等于2^{40}$$ 原理 中间相遇攻击$$设G使一个n阶循环群，生成元为g，已知h=g^x，求x$$ $$记x=i\cdot m+j，其中m=\lceil \sqrt n \rceil,则方程变为：$$ $$g^{i \cdot m+j}=h \qquad \Rightarrow \qquad g^j=h\cdot (g^{-m})^i$$ $$Baby step:计算所有g^j$$ $$Giant step:计算所有h\cdot (g^{-m})^i$$ $$若LHS=RHS，即可得到x=im+j$$ 算法实现1.sagemath bsgs函数123456789101112131415161718p = g = Mod(, p)h = Mod(, p)n = p - 1 #群阶x = bsgs(g, h, (0, n)) # Sage 内置 bsgs 函数...