ECB Pattern Leakage#

Summary#

一道 AES-ECB 弱密钥爆破题目。附件名 otp_07.zip 是干扰项，真实加密方式为 AES-ECB（电子密码本模式）。通过构建”常见单词+分隔符+特殊字符”模式的 16 字节密钥字典，逐条尝试 AES-ECB 解密，最终爆出密钥 VERY_SECRET_KEY! 并获得 flag。

Solution#

1. 题目分析#

题目名 “ECB Pattern Leakage” 直接提示了加密模式：

ECB = AES-ECB（电子密码本模式），无 IV，加密解密仅依赖 16 字节密钥
Pattern Leakage = ECB 的经典弱点：相同明文块产生相同密文块，泄露数据结构

附件 otp_07.zip 解压得到 ciphertext.bin，长度 80 字节 = 5 个 AES 块（80 / 16 = 5），进一步确认是 AES 加密。

1
密文 hex: 97c266c5b1c929e1ac07ccf592599dd8
2
          39677b7c0a37f1772c158da16cd0e9a4
3
          31324b424c712cbf200443c4ec7fc624
4
          92b016e07838e966cfde3f6f93903698
5
          84163f757a2ab28337aefa7aeb72e087

核心思路：CTF 中常硬编码弱密钥，密钥由「常见英文单词 + 分隔符（_、- 等）+ 特殊字符」组合成恰好 16 字节。需要系统性地生成候选密钥字典并逐一爆破。

2. 字典生成策略#

字典由以下来源合并，共生成约 838 万 个 16 字节候选密钥：

来源一：常见密码词 + 填充补齐

收集约 150 个常见密码关键词（secret, key, password, admin, master, flag, aes 等），包含三种大小写变体（原形 / 全大写 / 首字母大写）。对不足 16 字节的，用 0、!、#、、*、@、$、1、_ 填充到 16 字节。

来源二：单词组合模式

28 个基础词库：very, secret, key, pass, flag, code, safe, lock, open, hard, soft, test, back, hide, deep, blue, gold, red, hot, big, old, new, raw, aes, ctf, crypto, password, admin, root, master, super
分隔符：_、-、.、+、@、#
双词 / 三词组合 × 大小写变体 × 特殊字符后缀 → 海量 16 字节候选

来源三：数字编号模式

如 key0000 ~ key9999，aes0000 ~ aes9999 等，填充到 16 字节。

来源四：题目特定猜测

根据 otp_07 命名生成针对性候选（OTP_KEY_007!!!、ECB_KEY_007!!!、MASTER_KEY_007! 等）。

3. 爆破脚本#

1
from Crypto.Cipher import AES
2
import re
3

4
ct = open("otp_07_extracted/ciphertext.bin", "rb").read()
5

6

7
def pkcs7_unpad(data):
8
    pad_len = data[-1]
9
    if 1 <= pad_len <= 16 and data[-pad_len:] == bytes([pad_len]) * pad_len:
10
        return data[:-pad_len]
11
    return data
12

13

14
candidates = set()
15

16
# ——— 来源一：常见密码 + 填充 ———
17
common = [
18
    "very", "VERY", "Very", "secret", "SECRET", "Secret",
19
    "key", "KEY", "Key", "pass", "PASS", "Pass",
20
    "flag", "FLAG", "Flag", "admin", "Admin", "ADMIN",
21
    "master", "MASTER", "Master", "super", "SUPER", "Super",
22
    "aes", "AES", "Aes", "ctf", "CTF", "Ctf",
23
    "crypto", "CRYPTO", "Crypto", "password", "PASSWORD",
24
    "very_secret", "VERY_SECRET", "super_secret", "SUPER_SECRET",
25
    "master_key", "MASTER_KEY", "top_secret", "TOP_SECRET",
26
]
27
for pw in common:
28
    wb = pw.encode()
29
    if len(wb) == 16:
30
        candidates.add(wb)
31
    for pad in [b"0", b"!", b"#", b" ", b"*", b"@", b"$", b"1", b"_"]:
32
        candidates.add(wb.ljust(16, pad))
33

34
# ——— 来源二：单词组合 ———
35
base = [
36
    "very", "secret", "key", "pass", "flag", "code", "safe", "lock",
37
    "open", "hard", "soft", "test", "back", "hide", "deep", "blue",
38
    "gold", "red", "hot", "big", "old", "new", "raw", "aes", "ctf",
39
    "crypto", "password", "admin", "root", "master", "super",
40
]
41
seps = ["_", "-", ".", "+", "@", "#"]
42
specials = ["!", "@", "#", "$", "%", "&", "*", "1", "0"]
43

44

45
def variants(w):
46
    return {w, w.upper(), w.capitalize()}
47

48

49
for w1 in base:
50
    for v1 in variants(w1):
51
        for w2 in base:
52
            for v2 in variants(w2):
53
                for sep in seps:
54
                    b = v1 + sep + v2
55
                    if len(b) > 14:
56
                        continue
57
                    for w3 in base:
58
                        for v3 in variants(w3):
59
                            combo = b + sep + v3
60
                            if len(combo) > 16:
61
                                continue
62
                            if len(combo) == 16:
63
                                candidates.add(combo.encode())
64
                            for s in specials:
65
                                full = (combo + s)[:16]
66
                                if len(full) == 16:
67
                                    candidates.add(full.encode())
68
                    for s in specials:
69
                        full = b.ljust(16, s[-1] if s else "!")
70
                        full = full[:16]
71
                        if len(full) == 16:
72
                            candidates.add(full.encode())
73

74
# ——— 来源三：数字编号 ———
75
for prefix in ["key", "KEY", "Key", "aes", "AES", "Aes"]:
76
    for i in range(10000):
77
        key = f"{prefix}{i:04d}".encode()
78
        candidates.add(key.ljust(16, b"0"))
79
        candidates.add(key.ljust(16, b"!"))
80

81
# ——— 爆破 ———
82
for key in candidates:
83
    try:
84
        cipher = AES.new(key, AES.MODE_ECB)
85
        pt = cipher.decrypt(ct)
86
        text = pt.decode("ascii")
87
    except:
88
        continue
89
    if not any(kw in text for kw in ["CTF", "flag", "FLAG", "Flag"]):
90
        continue
91
    clean = pkcs7_unpad(pt)
92
    print(f"[+] Key: {key!r}")
93
    print(f"[+] Plaintext: {clean.decode()}")
94
    match = re.search(rb"flag\{[^}]+\}", clean)
95
    if match:
96
        print(f"[+] Flag: {match.group().decode()}")
97
    break

4. 运行结果#

1
[*] 总候选密钥数: 8380467
2
[+] Key: b'VERY_SECRET_KEY!'
3
[+] Plaintext: CTF{SECRET_FLAG:flag{dt6g0oomiiiyqb2jtbm93h5dsi07alzp}}END_OF_FLAG
4
[+] Flag: flag{dt6g0oomiiiyqb2jtbm93h5dsi07alzp}

在第约 120 万个候选时命中，密钥与 otp_02 相同（均为 VERY_SECRET_KEY!），但 flag 不同，说明同一套题用了统一密钥、不同明文。

Flag#

1
flag{dt6g0oomiiiyqb2jtbm93h5dsi07alzp}

总结#

考点	说明
AES-ECB 模式	电子密码本，无 IV，解密仅需密钥
弱密钥爆破	密钥由常见单词组合成 16 字节，可用字典爆破
文件名干扰	`otp_07` 是误导，实际与 OTP 无关
PKCS#7 填充	用于验证解密正确性

关键教训：题目名是最可靠的线索（“ECB Pattern Leakage”），附件名往往是干扰项。CTF 中弱密钥常遵循 WORD_SEP_WORD_SPECIAL 模式，系统性地生成这种字典可覆盖绝大多数情况。

Sajuna的小站

ECB Pattern Leakage#

Summary#

Solution#

1. 题目分析#

2. 字典生成策略#

3. 爆破脚本#

4. 运行结果#

Flag#

总结#

继续阅读

换条路线

Sajuna的小站

ECB Pattern Leakage#

Summary#

Solution#

1. 题目分析#

2. 字典生成策略#

3. 爆破脚本#

4. 运行结果#

Flag#

总结#

分享文章

沿着主题读

换条路线