RSA 攻击技术

要解决的问题

在CTF或授权安全评估中，拿到RSA相关参数（如n、e、c，或签名、密文、故障样本等）后，模型常犯两类错误：一是推荐与参数不匹配的攻击（比如对大模数尝试简单分解），二是遗漏正确的攻击路径（比如忽略广播攻击对同一明文多密文场景的适用性）。这类错误会导致解题思路偏离，浪费分析时间。

技能如何工作

该技能以“参数-攻击”匹配为核心，覆盖七类RSA攻击场景：

• 分解攻击：针对模数n可被分解的情况（如小因数、Pollard Rho等）；
• 小指数攻击：当e=3且明文较小时，直接开立方恢复；
• 基于格的攻击：包括Wiener攻击（私钥d较小）、Boneh-Durfee攻击（部分已知比特）和Coppersmith方法（部分已知明文/私钥）；
• 广播攻击：同一明文被加密多次且e较大时，通过中国剩余定理恢复；
• 常见模数攻击：若多对密钥使用相同模数n，可通过GCD破解；
• 填充预言攻击：当存在解密预言时，逐步恢复明文（如RSA PKCS#1填充错误）；
• 故障攻击：利用加密/签名过程中的临时故障（如电压毛刺）反推密钥。

技能内置快速攻击选择表，可根据“已知/可观测参数”（如d的大小、e的值、密文数量等）直接推荐对应攻击。同时关联其他技能：需要深入格理论时调用lattice-crypto-attacks，签名伪造涉及哈希弱点时加载hash-attack-techniques，RSA保护对称密钥时衔接symmetric-cipher-attacks。高级场景可参考RSA_ATTACK_CATALOG.md获取SageMath/Python实现、数学推导和边界条件。

适用边界与注意点

仅适用于CTF竞赛和已获得书面授权的安全测试。攻击选择依赖参数准确性，若输入参数不完整（如缺少e或密文数量），可能导致推荐偏差。部分攻击（如Coppersmith）需特定条件（如已知30%以上私钥比特），不满足时会失效。使用前需确认参数完整性和场景合法性，避免在未授权环境中尝试。