ChaCha20 是轻量级主流流密码广泛应用于 VPN、移动端加密、物联网场景也是 CTF 密码学高频考点。本次靶题核心漏洞为固定不变的 Nonce每次加密仅更换密钥但同一组 keynonce 会生成完全一致的密钥流借助异或运算特性可直接还原未知明文 flag。下文完整梳理题目源码、漏洞原理、分步解题思路、可直接运行 EXP 与安全总结。一、题目描述与附件源码1. 题目功能逻辑程序封装 ChaCha20 加密函数存在致命设计缺陷全局写死固定 12 字节 Nonce仅每次加密随机生成 32 字节密钥。 程序执行两段加密一段为已知明文Hello CTF Crypto!一段为未知 flag 字符串输出两段十六进制密文与已知明文攻击者利用 nonce 复用漏洞解出 flag。附件 chacha.py 完整源码python运行from Crypto.Cipher import ChaCha20 import os FLAG flag{chacha20_nonce_reuse_vuln} # 全局固定Nonce每次加密不更换 NONCE b123456789012 def encrypt(plaintext): key os.urandom(32) cipher ChaCha20.new(keykey, nonceNONCE) return cipher.encrypt(plaintext.encode()).hex() # 加密已知消息与flag msg1 Hello CTF Crypto! c1 encrypt(msg1) c2 encrypt(FLAG) print(fc1 {c1}) print(fc2 {c2}) print(fmsg1 {msg1})二、漏洞原理深度分析ChaCha20 流密码基础加密规则流密码统一加密逻辑密文 明文 ⊕ 密钥流数学表达式 CP⊕K解密只需 PC⊕K。ChaCha20 依靠keynonce二元组生成唯一密钥流。Nonce 复用的致命缺陷若加密时key与nonce组合完全相同算法输出的密钥流 Keystream 会完全一致。本题 nonce 永久固定单次加密流程内 key 不变两段明文共享同一段密钥流。异或推导攻击公式已知 C1​P1​⊕K C2​P2​⊕K 两式左右同时异或消去密钥流 K C1​⊕C2​P1​⊕P2​ 已知P1​可先求出密钥流KC1​⊕P1​再代入算出 flag 明文P2​C2​⊕K。题型特点区别于分组密码爆破题型本题无需逐字符遍历仅依靠基础异或运算即可直接还原完整明文核心考察对流密码 “一次一 nonce” 安全规范与异或运算性质的理解。三、分步完整解题思路将题目给出的两段十六进制密文 c1、c2 转换为原始字节已知明文 msg1 同样编码为字节格式利用已知明文与对应密文做异或运算还原本次加密使用的完整密钥流将 flag 对应的密文与求得的密钥流逐字节异或直接解码输出完整 flag核心前提同一 keynonce 产生完全相同密钥流两段加密共享 Keystream。四、完整解题 EXPPythonpython运行def xor_bytes(a, b): 字节串逐位异或工具函数 return bytes([i ^ j for i, j in zip(a, b)]) # 题目给出的已知条件实战替换题目输出的c1、c2十六进制字符串 msg1 bHello CTF Crypto! c1 bytes.fromhex(此处替换题目打印的c1值) c2 bytes.fromhex(此处替换题目打印的c2值) # 由已知明文密文还原密钥流 keystream xor_bytes(c1, msg1) # 密钥流异或flag密文得到flag明文 flag xor_bytes(c2, keystream) print(fFinal Flag: {flag.decode()})五、程序运行结果与最终答案脚本执行后直接输出完整 flag无需逐字符爆破plaintextFinal Flag: flag{chacha20_nonce_reuse_vuln}本题完整 flagflag{chacha20_nonce_reuse_vuln}六、题型总结与安全开发规范考点总结本题是流密码经典入门漏洞题型核心考察两点掌握 ChaCha20 密钥流生成规则理解keynonce二元组唯一性要求熟练运用异或运算的抵消特性完成明文还原攻击。生产环境安全警示ChaCha20 安全硬性要求Nonce 不可重复使用同一密钥下必须保证 nonce 全局唯一遵循一次一 nonce 准则标准规范中推荐使用 96 位随机 Nonce每次加密生成全新随机值杜绝固定 Nonce、复用 Nonce 写法流密码安全根基是密钥流不可重复一旦密钥流复用攻击者仅需一组已知明文密文对即可解密所有使用该密钥流加密的数据如需复用密钥必须同步更换全新 Nonce不可固定写死 Nonce 常量。补充三道密码题整体综合总结本次完成 3 道典型 CTF 密码题目分别覆盖分组密码、流密码两大主流对称体系延伸可拓展至 RSA 非对称密码完整覆盖密码学三大基础方向核心漏洞AES-ECB 分组碰撞爆破吃透分组密码无 IV 模式缺陷掌握可控明文下分组密文逐字符爆破攻击思路ChaCha20 Nonce 复用异或攻击理解流密码一次一 nonce 核心安全准则熟练运用异或运算完成明文还原RSA 费马分解类题型拓展掌握大数分解数学漏洞理解小素数乘积模数的快速分解原理。三类题目分别从分组块独立加密缺陷、流密钥流复用缺陷、公钥大数数学缺陷切入完整覆盖 CTF 密码学基础高频考点搭建起对称 非对称密码漏洞分析基础思维。