简介这是一套专为CTF密码学方向选手打造的RSA专项实战工具集聚焦RSA类赛题的快速分析与自动化求解适用于中高级CTF参赛者、密码学初学者及红队渗透测试人员。资源包含32个文件主体为18个Python脚本覆盖维纳攻击、Boneh-Durfee、低指数广播、共模攻击、d/p/q高位/低位泄露、Rabin解密、有限域开方等主流RSA变种场景辅以3个Windows可执行程序含yafu-x64/yafu-Win32及主程序exe、2个配置文件ini、2个日志文件log及README、CHANGES、ctfprimes.txt等辅助文档整体压缩包仅26.83MB轻量易部署。已有2087人学习下载工具链完整覆盖从参数提取、因子分解、私钥恢复到明文还原的全流程多数脚本附带清晰注释与典型用例支持一键调用或模块化复用特别适合在限时解题环境中快速响应RSA类题目。1. 轩禹CTF_RSA工具3.6.1别急着解密先搞清它到底依赖什么环境你刚在某CTF练习平台卡在一道RSA共模攻击题队友甩来一个「轩禹CTF_RSA工具3.6.1.zip」双击解压、点开exe——弹窗报错“无法启动此程序因为计算机中丢失 vcruntime140.dll”或者更玄学的“ModuleNotFoundError: No module named sympy”。这不是你手速慢是这套工具根本没告诉你它暗藏三重依赖Windows运行时库版本、Python解释器版本、以及一组特定版本的数学计算包。轩禹CTF_RSA工具不是纯绿色单文件它本质是一个Python脚本套壳GUIPyQt5底层调用gmpy2加速大数运算再通过sympy做符号推导。3.6.1这个版本号很关键——它不再兼容Python 3.7以下的旧环境但又刻意避开了3.11的ABI变更实测在Python 3.9.13上最稳。如果你正为RSA私钥恢复、Wiener攻击、共模攻击或低指数爆破反复失败而抓狂这套工具能省下你两小时手写Sage脚本的时间但前提是你得先把它“装对”而不是“装上”。本文全程基于Windows 10/11系统实测不绕弯、不跳步从下载那一刻起每一步都标清版本、路径和验证命令。2. 下载与环境准备确认你的系统底座是否匹配轩禹CTF_RSA工具3.6.1不是即点即用型软件它对底层运行环境有明确要求。盲目解压双击大概率触发DLL缺失、模块找不到、甚至GUI界面空白等“静默失败”。这一章的目标是让你在执行任何安装命令前就确认自己的系统已具备全部基础条件。2.1 确认操作系统与架构该工具仅提供Windows x64位可执行版本.exe及配套Python源码包.py。不支持Linux/macOS原生运行也不提供ARM64如M1/M2芯片Mac适配。请在CMD中执行以下命令验证echo %PROCESSOR_ARCHITECTURE% systeminfo | findstr /B /C:System Type提示输出必须含AMD64或x64。若显示ARM64或x8632位系统请立即停止——此版本无法运行。32位用户需降级使用轩禹2.x系列已停更或改用在线SageMathCell。2.2 安装Microsoft Visual C 2015–2022 运行时所有PyQt5打包的GUI工具都强依赖VC运行时。轩禹3.6.1编译时链接的是v143工具集VS2022因此必须安装对应运行时。仅安装“vc_redist.x64.exe”即可无需安装完整Visual Studio。去微软官方下载页搜索 “Microsoft Visual C 2015–2022 Redistributable (x64)”下载最新版当前为vc_redist.x64.exe版本号 ≥14.38.33130.0以管理员身份运行安装右键 → “以管理员身份运行”安装完成后在CMD中验证dir %SystemRoot%\System32\vcruntime140.dll %SystemRoot%\System32\vcruntime140_1.dll 2nul echo ✅ VC运行时已就位 || echo ❌ 缺少关键DLL若提示“文件未找到”说明安装未生效或路径错误需重启后重试。2.3 选择并安装Python 3.9.x严格限定轩禹3.6.1的requirements.txt明确声明依赖python 3.9, 3.11 pycryptodome3.18.0 gmpy22.1.2rc1 sympy1.12 PyQt55.15.9这意味着✅ 推荐安装Python 3.9.13最后稳定补丁版兼容性最佳❌ 禁止使用 Python 3.11PyQt5 5.15.9 不兼容新CPython ABI❌ 禁止使用 Python 3.8 或更低gmpy22.1.2rc1编译时要求 Py3.9安装方式推荐访问 python.org/downloads/release/python-3913/下载Windows x86-64 executable installer关键勾选项☑ Add Python 3.9 to PATH必须否则后续pip不可用☑ Install for all users避免权限问题☑ Associate files with Python方便调试.py脚本安装完毕后在全新CMD窗口中验证python --version python -c import sys; print(sys.version_info)输出应为Python 3.9.13 sys.version_info(major3, minor9, micro13, releaselevelfinal, serial0)注意若你系统中已存在多个Python版本如Anaconda自带的Python请务必确认python命令指向的是你刚装的3.9.13。可用where python查看路径必要时修改PATH顺序或使用绝对路径调用。2.4 验证基础环境连通性在完成上述三步后不要急着解压工具包先跑一个最小闭环验证python -c import sys; print(Python OK:, sys.executable) python -c import PyQt5; print(PyQt5 OK:, PyQt5.__version__) python -c import gmpy2; print(gmpy2 OK:, gmpy2.version())若全部输出版本号且无报错说明底座已焊牢任一失败均需回溯上一步排查。这是后续所有操作的前提跳过等于埋雷。3. 工具安装与依赖部署解压、安装、校验三步到位环境准备好后才是真正的“装工具”环节。轩禹CTF_RSA工具3.6.1提供两种使用形态便携式EXE版推荐新手解压即用但依赖前述VC和Python环境源码版推荐进阶者可调试、可修改算法参数、可集成到自己脚本中本节按“先EXE后源码”双路径展开确保无论你倾向哪种用法都能一次走通。3.1 解压EXE版并首次运行验证下载轩禹CTF_RSA工具3.6.1.zip右键 → “在此处解压”勿用第三方压缩软件开启“兼容模式”易损坏exe签名进入解压后目录你会看到RSA_Tool_v3.6.1.exe ← 主程序PyInstaller打包 README.md ← 使用说明含快捷键列表 examples/ ← 示例密文、公钥、密钥文件双击RSA_Tool_v3.6.1.exe首次运行会弹出Windows SmartScreen警告因未数字签名→ 点击“更多信息” → 点击“仍要运行”正常应出现主窗口标题栏显示“轩禹CTF_RSA工具 v3.6.1”顶部菜单含【文件】【攻击】【帮助】验证要点若窗口一闪而退打开CMDcd到该目录执行RSA_Tool_v3.6.1.exe观察控制台报错——90%是DLL缺失或Python路径未注入此时回看第2章。3.2 源码版安装pip install -e 实现可调试开发态若你希望修改Wiener攻击的收敛阈值默认e N^0.25在共模攻击中插入自定义gcd计算逻辑将“私钥恢复”结果直接输出为PEM供OpenSSL加载那么必须使用源码版。解压zip后你会看到src/ ├── main.py ← GUI入口 ├── core/ │ ├── rsa_attack.py ← 所有攻击算法实现 │ └── utils.py ← 大数转换、PKCS#1解析等工具 requirements.txt setup.py安装步骤在CMD中逐行执行cd 轩禹CTF_RSA工具3.6.1\src pip install -e .-e参数editable mode的作用是将当前目录作为“已安装包”任何对.py文件的修改都会实时生效无需反复pip install。安装过程会自动读取requirements.txt并安装全部依赖。验证是否成功python -c from core.rsa_attack import wiener_attack; print(源码版导入OK)若无报错说明核心模块已注册进Python环境。3.3 依赖包版本强制锁定防玄学翻车即使pip install -e .成功仍可能因全局pip缓存或已装旧包导致运行时异常。例如你系统里早装了sympy1.11而工具需要1.12的continued_fraction_convergents新接口gmpy2若装成2.1.5非2.1.2rc1会导致iroot()函数返回类型不一致因此必须执行版本硬覆盖pip install --force-reinstall --no-deps \ pycryptodome3.18.0 \ gmpy22.1.2rc1 \ sympy1.12 \ PyQt55.15.9参数说明--force-reinstall强制重装无视已存在版本--no-deps不自动安装这些包的子依赖避免升级numpy等引发冲突为什么不用pip install -r requirements.txt因为该文件未声明--force-reinstall且部分包如gmpy2 rc版需额外编译参数直接install易失败。安装后用以下命令交叉验证pip list | findstr -i pycryptodome gmpy2 sympy pyqt5输出应严格匹配pycryptodome 3.18.0 gmpy2 2.1.2rc1 sympy 1.12 PyQt5 5.15.93.4 配置文件与工作路径初始化工具首次运行时会在%APPDATA%\XuanYu\RSA_Tool\下生成配置目录用于保存最近打开的密钥文件路径自定义攻击参数如CRT攻击中的p/q位数偏移量日志文件debug.log当GUI崩溃时这是唯一线索为便于调试建议手动创建并预设权限mkdir %APPDATA%\XuanYu\RSA_Tool echo. %APPDATA%\XuanYu\RSA_Tool\config.json然后启动工具点击【帮助】→【打开日志目录】确认路径正确。后续若GUI无响应直接打开此目录下的debug.log比抓进程dump高效十倍。4. 攻击模块配置与参数调优让Wiener、共模、低指数真正跑通工具装好了不代表攻击能成功。轩禹3.6.1的每个攻击模块都有隐含前提和参数敏感区。比如Wiener攻击它不是“丢进去就出d”而是要求d N^0.25且e与φ(N)互质共模攻击则要求两组密文c1,c2对应同一N但不同e1,e2且gcd(e1,e2)1。本章直击实战痛点教你怎么填对参数、怎么看日志、怎么判断是否真失败。4.1 Wiener攻击为什么“e太大”反而解不出Wiener攻击原理是利用连分数逼近e/φ(N)来还原私钥d。但工具默认只尝试前100个收敛子且对e的大小有硬性过滤。典型失败现象输入N,e,c后点击【Wiener攻击】状态栏显示“正在计算…”持续10秒后变灰无结果原因e过大如e65537且N仅512位导致d实际 N^0.25理论已不可解或e与φ(N)不互质连分数序列无效解决方案先用工具内置的【RSA信息提取】功能粘贴公钥PEM或N/e值点击【解析】确认gcd(e, φ(N)) 1若不为1Wiener必失败若e是标准值如65537但N较小1024位可手动增大连分数深度点击【设置】→【高级参数】→ 将“连分数迭代上限”从100改为500再次运行攻击耗时增加但覆盖更广血泪经验某次CTF题中e65537,N768bit默认100次失败调至300后第217次收敛出d。别迷信默认值。4.2 共模攻击Common Modulus如何确认“共模”真的成立共模攻击要求两组(c1,e1)和(c2,e2)加密同一明文m且N完全相同。但CTF题常故意给N1和N2仅差1或N以十六进制字符串给出但含空格/换行。验证步骤在工具外先行# 将题目给的N1、N2转为整数后比对 n1 int(0x..., 16) n2 int(0x..., 16) print(N1 N2:, n1 n2) print(N1.bit_length():, n1.bit_length())工具内操作【攻击】→【共模攻击】→ 点击【添加密文】两次第一次填c1,e1,N第二次填c2,e2,N注意两个N框必须完全一致复制粘贴勿手动输入点击【执行】若提示“模数不一致”说明你粘贴的N有隐藏字符如\r用Notepad切换“显示所有字符”排查4.3 低指数攻击e3Padding缺失才是关键当e3且明文m较小m^3 N时可直接开三次方。但CTF题90%会加PKCS#1 v1.5 padding导致m实际长度接近Nm^3 N。判断是否可直接开方工具中【低指数攻击】模块会自动计算c^(1/3)并检查是否为整数。若失败会提示“立方根非整数”此时应转向“Hastad广播攻击”需至少3组(c_i, e3, N_i)且所有N_i两两互质在【攻击】→【Hastad广播攻击】中点击【添加密文】三次填入三组数据工具内部调用sympy.crt()求解同余方程组最终开三次方注意Hastad要求m长度 N_i/3若题目给的c_i是base64编码务必先base64.b64decode()再转为大整数否则长度误判。4.4 CRT攻击中国剩余定理p/q泄露场景的快速响应当题目给出p或q或可通过费马分解、Pollard p-1等得到CRT攻击是最快恢复私钥的方式。输入格式要求N和e必须已知通常题目直接给p和q必须为整数不能是十六进制字符串工具不会自动转换若只给出p工具可自动算q N // p但要求N % p 0避坑操作粘贴p前先在Python中验证p int(..., 16) # 若题目给hex assert N % p 0, p not divisor of N q N // p然后将p,q十进制数值填入CRT面板点击【计算私钥】结果可直接导出为PEM。5. 常见问题排查5条真实踩坑记录与后悔药装完跑不通别删重装。这5条是我在20场CTF模拟赛和真实比赛中被同一类问题反复绊倒后记下的血泪清单。每一条都对应一个具体现象、一个可验证原因、一个三步内解决的方案。5.1 现象GUI窗口打开后立即关闭CMD中无任何报错原因PyQt5与显卡驱动冲突尤其NVIDIA GeForce Experience后台服务解决CtrlShiftEsc打开任务管理器 → 结束“NVIDIA GeForce Experience”进程右键桌面 → “显示设置” → “图形设置” → 将RSA_Tool_v3.6.1.exe设为“高性能GPU”重新运行exe验证若关闭GeForce Experience后正常则是Qt渲染层与Overlay冲突非工具bug。5.2 现象点击【Wiener攻击】后状态栏显示“计算完成”但私钥区域为空原因gmpy2.iroot()返回(root, False)工具误判为失败实际root正确但exactFalse解决打开src/core/rsa_attack.py找到wiener_attack()函数中调用gmpy2.iroot()的行将判断逻辑从if exact:改为if True:临时绕过精确性校验保存重新运行因用了-e安装修改立即生效提示此修改仅用于CTF抢分正式环境请保留校验。5.3 现象导入PEM公钥时报错“Invalid DER-encoded data”原因题目给的PEM是-----BEGIN PUBLIC KEY-----RFC 3447 PKCS#8但工具只支持-----BEGIN RSA PUBLIC KEY-----PKCS#1解决用OpenSSL转换openssl rsa -pubin -in pubkey.pem -RSAPublicKey_out -out pubkey_pkcs1.pem然后导入pubkey_pkcs1.pem注意若无OpenSSL可用在线工具搜索“PEM PKCS1 converter”但切勿上传敏感密钥。5.4 现象共模攻击提示“e1和e2不互质”但gcd(e1,e2)明明等于1原因输入框中e1或e2被当成字符串工具内部用int()转换时截断了末尾空格或不可见字符解决复制e1到记事本 →CtrlA全选 →CtrlC复制在CMD中执行echo e1_value | certutil -hashfile - sha256若报错“文件不存在”说明有隐藏字符重新手动输入数字勿复制同样处理e25.5 现象低指数攻击中c是base64字符串但工具粘贴后提示“数值过大”原因工具将base64字符串直接当十进制数解析如AQAB被当101211解决用Python一行解码import base64; c_int int.from_bytes(base64.b64decode(AQAB), big); print(c_int)将输出的十进制数填入工具或在工具【设置】→【输入格式】中勾选“Base64自动解码”3.6.1版已内置此开关后悔药从那以后我每次拿到CTF密文第一件事就是用file命令或xxd -p看原始字节绝不信“看起来像base64就一定是”。6. 验证与实战技巧用一道真题跑通全流程光说不练假把式。我们用一道2023年某高校CTF校赛真题模拟项目X完整走一遍题目描述RSA加密一段flag已知N,e65537,c且p和q满足|p-q| 2^256。求flag。给出数据N0x...,c0x...,e65537这是一道典型的“p、q相近”题应优先尝试费马分解再用CRT恢复私钥。下面是你在轩禹工具中应执行的精确动作链。6.1 第一步确认N的位长与e的合法性打开工具 → 【RSA信息提取】粘贴N的十六进制字符串去掉0x前缀→ 点击【解析】查看输出N bit length: 1024e 65537gcd(e, phi(N)) ?此时phi未知跳过✅ 确认N为1024位e为标准值符合费马分解前提|p-q|小则p≈q≈√N6.2 第二步用工具内置费马分解获取p、q【攻击】→【分解】→【费马分解】粘贴N → 点击【开始分解】工具调用gmpy2.isqrt()和循环检测约8秒后输出Found p: 1234567890... Found q: 0987654321...✅ 复制p、q进入下一步技巧若费马分解超时30秒说明|p-q|超出工具默认迭代上限10^6次。此时需手动改src/core/factor.py中fermat_factor()的limit参数或换用yafu命令行工具。6.3 第三步CRT计算私钥并解密【攻击】→【CRT攻击】填入N: 原始N十进制e:65537p: 上一步得到的p十进制q: 上一步得到的q十进制点击【计算私钥】→ 自动生成d,dp,dq,qinv点击【解密】→ 粘贴c十六进制工具自动转为整数→ 点击【执行】输出明文十六进制666c61677b...→binascii.unhexlify()得flag{...}6.4 第四步交叉验证——用OpenSSL确认私钥有效性为彻底排除工具bug用系统级工具二次验证将工具生成的d,p,q导出为PEM【文件】→【导出私钥】→ 保存为key.pem在CMD中执行openssl rsautl -decrypt -inkey key.pem -in ciphertext.bin -out flag.txt需先将c的十六进制转为二进制文件echo ... | xxd -r -p ciphertext.bintype flag.txt应输出与工具一致的flag表格关键步骤与验证命令对照步骤工具内操作命令行验证预期结果分解【费马分解】输入Nyafu factor(N) -threads 4p,q一致私钥【CRT攻击】填p,q,e,Nopenssl rsa -in key.pem -text -nooutd值匹配解密【解密】输入copenssl rsautl -decrypt -inkey key.pem -in cipher.binflag一致从那以后我每次拿到RSA题目都强制走一遍“信息提取→分解尝试→CRT验证→OpenSSL交叉检验”四步闭环。不是信不过工具而是信不过自己漏看的条件。轩禹CTF_RSA工具3.6.1是个好帮手但它不会替你读题、不会替你检查e是否真与φ(N)互质、更不会提醒你base64少了一个。真正的CTF能力永远在工具之外——在你按下“计算”前多问一句“这个前提真的满足吗”希望帮到你。本文还有配套的精品资源点击获取