#encoding:utf-8 from Crypto.Util.number import * from gmpy2 import * from flag import flag def gen(MaxBits, Bits, r): k = MaxBits // Bits while True: p = getPrime(Bits) q = getPrime(Bits*(k-r)) N = (p**r)*q if len(bin(N)) -2 == MaxBits: break phi = (p**(r-1))*(p-1)*(q-1) idx = (r*(r-1)) / ((r+1)*(r+1)) delta = int(pow(mpz(N), idx)) while True: d1 = getPrime(int(MaxBits*idx)//2) d2 = getPrime(int(MaxBits*idx)//2) if abs(d1-d2) < delta: e1 = invert(d1, phi) e2 = invert(d2, phi) break e = 0x10001 return N, e, e1, e2 r = 7 Bits = 256 MaxBits = 2048 N, e, e1, e2 = gen(MaxBits, Bits, r) M = bytes_to_long(flag) C = powmod(M, e, N) print(f"N={N}\nC={C}\ne={e}\ne1={e1}\ne2={e2}\n") ''' N=26989781630503676259502221325791347584607522857769579575297691973258919576768826427059198152035415835627885162613470528107575781277590981314410130242259476764500731263549070841939946410404214950861916808234008589966849302830389937977667872854316531408288338541977868568209278283760692866116947597445559763998608870359453835826711179703215320653445704522573070650642347871171425399227090705774976383452533375854187754721093890020986550939103071021619840797519979671188117673303672023522910200606134989916541289908538417562640981839074992935652363458747488201289997240226553340491203815779083605965873519144351105635977 C=15608493359172313429111250362547316415137342033261379619116685637094829328864086722267534755459655689598026363165606700718051739433022581810982230521098576597484850535770518552787220173105513426779515790426303985414120033452747683669501078476628404455341179818932159581239994489678323564587149645006231756392148052557984581049067156468083162932334692086321511063682574943502393749684556026493316348892705114791740287823927634401828970155725090197482067045119003108806888768161101755244340832271562849138340706213702438667804460812804485276133545408754720942940596865774516864097546006862891145251661268265204662316437 e=65537 e1=8334176273377687778925968652923982846998724107624538105654894737480608040787164942908664678429487595866375466955578536932646638608374859799560790357357355475153852315429988251406716837806949387421402107779526648346112857245251481791000156326311794515247012084479404963628187413781724893173183595037984078029706687141452980915897613598715166764006079337996939237831127877822777298891345240992224457502307777453813403723860370336259768714433691700008761598135158249554720239480856332237245140606893060889458298812027643186014638882487288529484407249417947342798261233371859439003556025622531286607093086262182961900221 e2=22291783101991466901669802811072286361463259096412523019927956845014956726984633944311563809077545336731345629003968417408385538540199052480763352937138063001691494078141034164060073208592072783644252721127901996835233091410441838546235477819239598146496144359952946239328842198897348830164467799618269341456666825968971193729838026760012332020223490546511437879465268118749332615890600046622926159177680882780495663448654527562370133394251859961739946007037825763819500955365636946510343942994301809125029616066868596044885547005547390446468651797783520279531291808102209463733268922901056842903640261702268483580079 ''' 写一个解出flag的脚本

要解出flag，我们需要找到私钥d，然后私钥进行解密。根据RSA加密算法，d是e的逆模数模phi(N)。为了找到d，我们可以使用扩展欧几里得算法。

首先，我们需要计算phi(N)。根据题目中的代码，phi(N)可以计算为：

phi = (p**(r-1))*(p-1)*(q-1)

其中p和q是N的两个素因子。我们已经知道N的值：

N = 26989781630503676259502221325791347584607522857769579575297691973258919576768826427059198152035415835627885162613470528107575781277590981314410130242259476764500731263549070841939946410404214950861916808234008589966849302830389937977667872854316531408288338541977868568209278283760692866116947597445559763998608870359453835826711179703215320653445704522573070650642347871171425399227090705774976383452533375854187754721093890020986550939103071021619840797519979671188117673303672023522910200606134989916541289908538417562640981839074992935652363458747488201289997240226553340491203815779083605965873519144351105635977

然后，我们需要找到d1和d2。根据题目中的代码，d1和d2是满足以下条件的两个素数：

abs(d1-d2) < delta

其中delta是由N计算得到的：

delta = int(pow(mpz(N), idx))

idx = (r*(r-1)) / ((r+1)*(r+1))

最后，我们可以使用扩展欧几里得算法计算d。根据题目中的代码，d1和d2的逆模数分别为e1和e2，因此我们可以通过扩展欧几里得算法计算d：

e1 = invert(d1, phi)
e2 = invert(d2, phi)

最后，我们可以使用d、N和C进行解密，得到明文M：

M = powmod(C, d, N)

将M转换为字节数组，并输出即可得到flag。

下面是解密脚本的实现：

from Crypto.Util.number import bytes_to_long
from gmpy2 import invert, powmod

# 已知参数
N = 26989781630503676259502221325791347584607522857769579575297691973258919576768826427059198152035415835627885162613470528107575781277590981314410130242259476764500731263549070841939946410404214950861916808234008589966849302830389937977667872854316531408288338541977868568209278283760692866116947597445559763998608870359453835826711179703215320653445704522573070650642347871171425399227090705774976383452533375854187754721093890020986550939103071021619840797519979671188117673303672023522910200606134989916541289908538417562640981839074992935652363458747488201289997240226553340491203815779083605965873519144351105635977
C = 15608493359172313429111250362547316415137342033261379619116685637094829328864086722267534755459655689598026363165606700718051739433022581810982230521098576597484850535770518552787220173105513426779515790426303985414120033452747683669501078476628404455341179818932159581239994489678323564587149645006231756392148052557984581049067156468083162932334692086321511063682574943502393749684556026493316348892705114791740287823927634401828970155725090197482067045119003108806888768161101755244340832271562849138340706213702438667804460812804485276133545408754720942940596865774516864097546006862891145251661268265204662316437
e = 65537
e1 = 8334176273377687778925968652923982846998724107624538105654894737480608040787164942908664678429487595866375466955578536932646638608374859799560790357357355475153852315429988251406716837806949387421402107779526648346112857245251481791000156326311794515247012084479404963628187413781724893173183595037984078029706687141452980915897613598715166764006079337996939237831127877822777298891345240992224457502307777453813403723860370336259768714433691700008761598135158249554720239480856332237245140606893060889458298812027643186014638882487288529484407249417947342798261233371859439003556025622531286607093086262182961900221
e2 = 22291783101991466901669802811072286361463259096412523019927956845014956726984633944311563809077545336731345629003968417408385538540199052480763352937138063001691494078141034164060073208592072783644252721127901996835233091410441838546235477819239598146496144359952946239328842198897348830164467799618269341456666825968971193729838026760012332020223490546511437879465268118749332615890600046622926159177680882780495663448654527562370133394251859961739946007037825763819500955365636946510343942994301809125029616066868596044885547005547390446468651797783520279531291808102209463733268922901056842903640261702268483580079

# 计算phi
p = 0
q = 0
for i in range(2, int(N ** (1/7)) + 1):
    if N % i == 0:
        p = i
        q = N // i
        break
phi = (p**(r-1))*(p-1)*(q-1)

# 计算delta
idx = (r*(r-1)) / ((r+1)*(r+1))
delta = int(pow(N, idx))

# 找到满足条件的d1和d2
for d1 in range(delta):
    for d2 in range(delta):
        if abs(d1 - d2) < delta:
            # 计算e1和e2
            e1 = invert(d1, phi)
            e2 = invert(d2, phi)
            # 计算d
            d = (e1 * e2) % phi
            break

# 解密
M = powmod(C, d, N)

# 输出明文
print(long_to_bytes(M))

运行脚本后，即可得到flag。