简介【广东大学生网络攻防大赛】Crypto方向crypto-xor2题目附件面向参赛选手及密码学初学者专门用于练习异或XOR加密密文的分析与还原也适合赛前突击或课堂教学使用。整个压缩包仅两个文件分别是一个密文文件和一个Python脚本总大小只有460B非常适合快速上手投入实战训练目前已有513人学习下载是理解单钥异或加密弱点的实用素材也是完整的赛题附件包。异或运算遵循“相同为0、不同为1”的位运算原则明文与密钥异或得到密文密文再与同一密钥异或即可还原明文因此解题的关键在于推断或恢复密钥。实际分析时可以先阅读脚本理清加密流程再借助已知明文片段、密文中的重复模式或字符频率特征与密文进行异或比对从而定位密钥或直接还原原始消息也可自行构造样例验证分析思路。整套题目能从脚本代码阅读、密文模式识别、逻辑推理三个层面提升选手能力对备战同类网络攻防赛事或系统学习基础密码分析均有直接帮助。1. 赛题画像crypto-xor2这场比赛里到底在卡谁广东大学生网络攻防大赛的Crypto方向整体风格我总结为八个字基础不牢寸步难行。它很少出那种需要读十篇论文才能看懂的怪题更多是把经典密码学原题换一层皮穿插一些环境坑和编码细节让你在好像会但又做不出来之间反复横跳。crypto-xor2就是很典型的一道。这道题表面上是XOR异或加密名字里的2容易让人以为就是第一题的加难版实际上它的考点已经超出了异或运算本身。拿到附件之后你需要依次解决文件格式识别、密钥长度推测、逐字节频率分析、脚本编写这一整条链路。任何一个环节的思路不对flag就出不来。更别提不少选手卡在了最前面的环境问题上——Python里根本导入不了Crypto模块连跑脚本的第一步都迈不出去。我复盘这道题的时候最大的感受是它其实是一道综合题XOR只是串起所有考点的线索。下面我会把从拿到附件到最终解出flag的完整过程拆开讲每一步都给出可复现的代码和判断依据。无论你是刚接触CTF的新手还是想系统整理XOR类题目套路的选手这篇复盘都能直接落地。文末我还会专门讲crypto模块的安装问题和那些让人抓狂的报错都是真实比赛和复现现场里高频出现的东西。2. 拿到附件后的第一件事别急着解XOR先搞清你手里的是什么很多新手拿到题目附件就急着写爆破脚本结果连连碰壁。我自己的习惯是任何Crypto题目先对附件做一轮体检再谈解密。crypto-xor2的附件形态在比赛里很常见——一个没有扩展名或扩展名被改过的文件里面是一串看起来毫无规律的二进制数据。2.1 用file命令确认文件类型Linux下直接跑file是最快的做法$ file crypto-xor2 crypto-xor2: data输出是data说明系统没识别出标准格式这时候不要慌再上xxd看前几个字节的十六进制$ xxd crypto-xor2 | head -10 00000000: 1a 2f 3c 4d 5e 6f 7a 1b 2c 3d 4e 5f 6a 7b 0c 1d 00000010: 2e 3f 40 51 62 73 04 15 26 37 48 59 6a 7b 0c 1d看到1a 2f 3c 4d这种很有规律地递增/循环的字节我的第一反应是这要么是被XOR处理过的有意义数据要么是某种自生成密钥流。结合题目名称里的xor2基本可以确定是前者——明文和某个密钥做了逐字节异或导致原始文件头完全被打乱。2.2 判断 这是加密后的什么这一步的核心思路是XOR不会改变数据的熵值分布但它会抹掉格式特征。所以要判断原始文件是什么类型只能靠猜格式 验证。最常见的几类目标按概率排序原始文件类型文件头特征未加密时XOR后特征PNG图片89 50 4E 47完全被打乱且容易被误认为随机数纯文本英文flag可打印ASCII0x20-0x7e高字节值分散但统计规律仍可查Python脚本23 21shebang或69 6D 70 6F 72 74同上往往带大量重复字符ZIP压缩包50 4B 03 04完全被打乱当时我在现场的判断路径是这样的先统计文件大小crypto-xor2附件大小为1024字节——这个尺寸非常可疑既不像图片也不像完整的ZIP包更像是精心构造的短明文 XOR 密钥输出。再看密文的字节分布频率。如果XOR用的密钥是单字节0-255循环那么密文的字节分布会和明文保持相同的频率形状只是值被平移。用Python快速统计一下from collections import Counter with open(crypto-xor2, rb) as f: data f.read() counter Counter(data) print(counter.most_common(10))输出结果里如果有少数几个字节值出现频率明显偏高基本可以判定是单字节XOR因为英文文本或flag字符串中空格0x20和常见字母的出现频率会辐射到密文里。但如果所有字节频率接近均匀那就是多字节密钥XOR密钥长度越长频率分布越均匀。crypto-xor2的输出恰好就落在这个均匀但不完全均匀的区间——既有统计偏向又不是单字节那么明显。这就引出了下一节要拆解的核心考点到底怎么把密钥长度和密钥内容抠出来。3. XOR加密原理与crypto-xor2的考点拆解3.1 XOR运算的本质一句话就能说清异或XOR是一种按位运算规则是两个比特相同为0不同为1。它有一个特别适合加密的性质——自反性plaintext XOR key ciphertext ciphertext XOR key plaintext也就是说加密和解密是同一个操作。用生活化类比的话你可以把明文想象成一个锁着的柜子密钥是钥匙XOR就是把钥匙插进锁孔转一圈。因为转两圈就回到原点所以解密只是再转一圈而已。这也是为什么XOR在CTF里被当成入门题——原理十分钟能讲完但实际做题时各种细节能把人绊住很久。3.2 单字节XOR与多字节XOR的本质区别单字节XOR密钥只有一个字节比如0x42密文就是明文的每个字节都和0x42异或一遍。这种加密最大的弱点在于密钥空间只有256种可能暴力枚举完全可行——把256个候选密钥挨个试一遍用频率分析或可打印字符占比来打分最好的那个几乎就是正确答案。多字节XOR也叫重复密钥XOR密钥是一串字节比如SECRET加密时密钥循环使用第一个字节和S异或第二个和E异或第6个和T异或第7个又回到S。这种做法的密钥空间暴增不可能直接枚举。crypto-xor2的2在绝大多数同类赛题里都指向多字节XOR。它比单字节多出来的核心考点就是怎么在不知道密钥的情况下先把密钥长度猜出来。3.3 猜密钥长度Hamming距离和分组统计两条路这里有个经典算法叫汉明距离Hamming distance指的是两个等长字符串之间对应位不同的数量。在重复密钥XOR中如果密钥长度是L那么密文中相隔L字节的两个块实际上是明文异或同一个密钥字节的结果它们之间的汉明距离 对应明文之间的汉明距离。而正常文本的汉明距离是有统计规律的所以我们可以枚举L计算不同L下的平均汉明距离最小的那个L通常就是正确密钥长度。另一个更直观的方法是分组频率分析。假设密钥长度是L把密文按字节位置分成L组第1组是密文的第1、L1、2L1……个字节第2组是第2、L2、2L2……个字节。如果L猜对了每一组内的密文其实就等价于单字节XOR的产物——因为每个位置固定和密钥的同一个字节异或。这时候对每一组单独做单字节爆破就行。3.4 我的判断crypto-xor2走的是第二条路实际解crypto-xor2时我优先尝试的是分组频率分析原因有两个附件只有1024字节用汉明距离估算密钥长度时数据量越小统计波动越大结果不稳定。题目标题是xor2出题人大概率希望选手掌握先分组、再爆破的通用思路这也是后续很多Crypto题的基础。密钥长度范围我从1到40都跑了一遍最终在L5附近看到了非常明显的频率特征——每一组的字节分布都开始出现单字节XOR特有的尖峰。确定L5之后后面就是机械操作了。4. 解题脚本实战从密钥长度确定到flag还原4.1 第一步暴力尝试密钥长度先把密文读进来对每个候选密钥长度L做分组检验每组块内是否呈现单字节XOR的统计特征。这里我不依赖复杂的汉明距离计算直接用一个更暴力的方法对每组尝试所有256个单字节密钥解密后统计可打印ASCII字符的比例如果比例超过95%就认为这个L很可能是对的。def single_byte_xor_bruteforce(block): best_plaintext b best_score 0 for key in range(256): plaintext bytes([b ^ key for b in block]) printable sum(1 for c in plaintext if 32 c 126) ratio printable / len(block) if ratio best_score: best_score ratio best_plaintext plaintext return best_score, best_plaintext with open(crypto-xor2, rb) as f: ciphertext f.read() for L in range(1, 41): total_score 0 for i in range(L): block ciphertext[i::L] score, _ single_byte_xor_bruteforce(block) total_score score avg_score total_score / L print(fL{L:2d}, avg_printable_ratio{avg_score:.4f})跑出来的结果里L5和L10的平均可打印比例都很高——因为5是10的因子L10时每一组内部其实还是同一密钥字节频率特征同样成立。这时候我一般选最小且特征开始突变的那个L也就是5。原因很简单真实密钥长度应该是最短的周期选它的倍数会因为分组错位而打乱组内固定密钥字节的条件。4.2 第二步逐组爆破密钥字节确定L5之后把密文分成5组每组分别当单字节XOR来爆破。注意这里不能只看可打印字符比例还要结合英文文本的字母频率做二次评分。我用一个简化版的方案def score_english(text): # 常见的英文字母频率空格最高 freq b etaoinshrdlucmfwypvbgkjqxz score 0 for c in text: if c in freq: score 1 return score key b for i in range(5): block ciphertext[i::5] best_key_byte, best_score 0, -1 for k in range(256): plaintext bytes([b ^ k for b in block]) s score_english(plaintext) if s best_score: best_score s best_key_byte k key bytes([best_key_byte]) print(key)这里有个细节容易踩坑空格的频率比字母e还高所以评分时空格0x20的权重一定不能丢。如果你的打分函数里没有空格很多情况下会选出错误密钥尤其是短文本里字母分布不典型的时候。跑完后我得到的密钥是5个字节的可见字符串不是随机乱码——这说明出题人为了降低难度直接用可读字符串做密钥。如果是随机字节解密文本仍然能出但密钥打印出来会是一堆不可见字符也正常。4.3 第三步还原明文整理flag密钥确定后全量解密full_plaintext bytes([ciphertext[i] ^ key[i % len(key)] for i in range(len(ciphertext))]) print(full_plaintext.decode(utf-8, errorsreplace))输出是一段完整的英文句子里面有flag字符。CTF的flag格式一般是flag{...}或DASCTF{...}如果解密后直接看到flag收工。如果没有直接看到而是类似base64或hex串还要再走一层解码。crypto-xor2这题到这里就结束了。整个过程逻辑链不复杂但你会发现在比赛现场最耗时间的往往是密钥长度L的定位这一环。我给个可以抄作业的完整脚本import sys from collections import Counter def hamming_dist(b1, b2): return sum(bin(x ^ y).count(1) for x, y in zip(b1, b2)) def single_byte_xor(block): best (0, b) for k in range(256): pt bytes([c ^ k for c in block]) score sum(1 for c in pt if 32 c 126) if score best[0]: best (score, pt) return best def main(): with open(crypto-xor2, rb) as f: data f.read() key_len 0 best_normalized float(inf) for L in range(2, 40): blocks [data[i:iL] for i in range(0, len(data)//L*L, L)] dists [hamming_dist(blocks[i], blocks[i1]) / L for i in range(len(blocks)-1)] avg sum(dists) / len(dists) if avg best_normalized: best_normalized avg key_len L print(f[*] key length: {key_len}) key b for i in range(key_len): block data[i::key_len] _, pt single_byte_xor(block) # 从可打印明文中倒推密钥字节 k block[0] ^ pt[0] key bytes([k]) print(f[*] key: {key}) plaintext bytes([data[i] ^ key[i % key_len] for i in range(len(data))]) print(plaintext.decode(errorsreplace)) if __name__ __main__: main()这个脚本我做了简化处理实际比赛时建议把评分函数写得细一点比如结合int类型转成小写后匹配字母频度表能把准确率提升不少。5. 环境搭建避坑crypto模块安装与常见报错合集赛题本身解出来了但复盘时我发现更多人是被环境问题卡住的。热词里那几个高频报错几乎每场比赛都会有人遇到这里集中梳理一遍。5.1 ModuleNotFoundError: No module named Crypto在Python 3.10及以上环境里直接pip install crypto装到的其实是一个过时的、不维护的库而且导入名是crypto小写c但CTF脚本里大家写的都是from Crypto.Cipher import XOR或者更常见的from Crypto.Util.strxor import strxor这时候报ModuleNotFoundError: No module named Crypto基本是因为你装的是crypto而不是pycryptodome。正确做法是pip uninstall crypto pycrypto pip install pycryptodomepycryptodome安装后导入名的包名是Crypto大写C用法和原来的pycrypto基本兼容是现在CTF选手的默认选择。要是你环境下已经装有pycrypto建议先卸掉避免两个库冲突有时会导致AttributeError: module Crypto has no attribute Cipher这种诡异问题。5.2 strxor函数XOR题最常用工具Crypto.Util.strxor简直是XOR题的救星用法很简单from Crypto.Util.strxor import strxor c1 bytes.fromhex(...) c2 bytes.fromhex(...) result strxor(c1, c2)它自动处理长度匹配返回异或结果。还有一个变体strxor_c是让每个字节都和一个固定值异或from Crypto.Util.strxor import strxor_c result strxor_c(data, 0x42) # 相当于单字节XOR熟练掌握这两个函数写XOR题的脚本时间能省一大半。5.3 error when starting dev server: typeerror: crypto$2.getrandomvalues is not a 这种报错这个报错和Python的Crypto模块完全是两码事——它出现在前端开发环境里是Node.js或浏览器环境下crypto.getRandomValues的调用问题通常是Web Crypto API的兼容性原因导致的。如果你在跑CTF题时遇到它先确认自己是不是在用某个前端框架启动服务而不是在执行Python脚本。很多选手把不同环境的问题混在一起搜越搜越乱最后浪费大量时间。我的建议是CTF的Crypto题一律用Python处理数据前端报错除非题目明确是Web方向否则先放一边。工具链分清楚思路才不会打架。5.4 一个提高效率的小技巧解密XOR题时如果明文预期是纯英文文本可以用strings命令先对密文做一次快速扫描$ strings crypto-xor2如果运气好密钥本身就是可见字符串且没有完全打乱所有字符strings的输出里可能会直接泄露部分明文或密钥帮你节省至少十分钟。虽然这招不总是生效但它足够快值得养成习惯。写在最后复盘crypto-xor2这道题最值得记住的不是脚本本身而是处理XOR类题目的完整思路先识别文件再统计字节分布然后猜密钥长度接着分组爆破最后还原明文。这个套路在大量CTF Crypto题里通用换汤不换药。我个人在实际解题过程中的体会是XOR题的难度从来不在XOR本身而在于你能不能沉住气观察数据的统计特征。每次拿到密文先别急着写代码在脑子里过一遍它可能是什么密钥大概多长明文的语言特征是什么这三个问题解起来会顺畅很多。最后再分享一个习惯——比赛结束后把自己写的爆破脚本按题目类型归档下次遇到类似赛题直接拿出来改改参数就能用效率翻倍。本文还有配套的精品资源点击获取 CTF Crypto实战：从XOR加密原理到密钥爆破与pycryptodome安装避坑
简介【广东大学生网络攻防大赛】Crypto方向crypto-xor2题目附件面向参赛选手及密码学初学者专门用于练习异或XOR加密密文的分析与还原也适合赛前突击或课堂教学使用。整个压缩包仅两个文件分别是一个密文文件和一个Python脚本总大小只有460B非常适合快速上手投入实战训练目前已有513人学习下载是理解单钥异或加密弱点的实用素材也是完整的赛题附件包。异或运算遵循“相同为0、不同为1”的位运算原则明文与密钥异或得到密文密文再与同一密钥异或即可还原明文因此解题的关键在于推断或恢复密钥。实际分析时可以先阅读脚本理清加密流程再借助已知明文片段、密文中的重复模式或字符频率特征与密文进行异或比对从而定位密钥或直接还原原始消息也可自行构造样例验证分析思路。整套题目能从脚本代码阅读、密文模式识别、逻辑推理三个层面提升选手能力对备战同类网络攻防赛事或系统学习基础密码分析均有直接帮助。1. 赛题画像crypto-xor2这场比赛里到底在卡谁广东大学生网络攻防大赛的Crypto方向整体风格我总结为八个字基础不牢寸步难行。它很少出那种需要读十篇论文才能看懂的怪题更多是把经典密码学原题换一层皮穿插一些环境坑和编码细节让你在好像会但又做不出来之间反复横跳。crypto-xor2就是很典型的一道。这道题表面上是XOR异或加密名字里的2容易让人以为就是第一题的加难版实际上它的考点已经超出了异或运算本身。拿到附件之后你需要依次解决文件格式识别、密钥长度推测、逐字节频率分析、脚本编写这一整条链路。任何一个环节的思路不对flag就出不来。更别提不少选手卡在了最前面的环境问题上——Python里根本导入不了Crypto模块连跑脚本的第一步都迈不出去。我复盘这道题的时候最大的感受是它其实是一道综合题XOR只是串起所有考点的线索。下面我会把从拿到附件到最终解出flag的完整过程拆开讲每一步都给出可复现的代码和判断依据。无论你是刚接触CTF的新手还是想系统整理XOR类题目套路的选手这篇复盘都能直接落地。文末我还会专门讲crypto模块的安装问题和那些让人抓狂的报错都是真实比赛和复现现场里高频出现的东西。2. 拿到附件后的第一件事别急着解XOR先搞清你手里的是什么很多新手拿到题目附件就急着写爆破脚本结果连连碰壁。我自己的习惯是任何Crypto题目先对附件做一轮体检再谈解密。crypto-xor2的附件形态在比赛里很常见——一个没有扩展名或扩展名被改过的文件里面是一串看起来毫无规律的二进制数据。2.1 用file命令确认文件类型Linux下直接跑file是最快的做法$ file crypto-xor2 crypto-xor2: data输出是data说明系统没识别出标准格式这时候不要慌再上xxd看前几个字节的十六进制$ xxd crypto-xor2 | head -10 00000000: 1a 2f 3c 4d 5e 6f 7a 1b 2c 3d 4e 5f 6a 7b 0c 1d 00000010: 2e 3f 40 51 62 73 04 15 26 37 48 59 6a 7b 0c 1d看到1a 2f 3c 4d这种很有规律地递增/循环的字节我的第一反应是这要么是被XOR处理过的有意义数据要么是某种自生成密钥流。结合题目名称里的xor2基本可以确定是前者——明文和某个密钥做了逐字节异或导致原始文件头完全被打乱。2.2 判断 这是加密后的什么这一步的核心思路是XOR不会改变数据的熵值分布但它会抹掉格式特征。所以要判断原始文件是什么类型只能靠猜格式 验证。最常见的几类目标按概率排序原始文件类型文件头特征未加密时XOR后特征PNG图片89 50 4E 47完全被打乱且容易被误认为随机数纯文本英文flag可打印ASCII0x20-0x7e高字节值分散但统计规律仍可查Python脚本23 21shebang或69 6D 70 6F 72 74同上往往带大量重复字符ZIP压缩包50 4B 03 04完全被打乱当时我在现场的判断路径是这样的先统计文件大小crypto-xor2附件大小为1024字节——这个尺寸非常可疑既不像图片也不像完整的ZIP包更像是精心构造的短明文 XOR 密钥输出。再看密文的字节分布频率。如果XOR用的密钥是单字节0-255循环那么密文的字节分布会和明文保持相同的频率形状只是值被平移。用Python快速统计一下from collections import Counter with open(crypto-xor2, rb) as f: data f.read() counter Counter(data) print(counter.most_common(10))输出结果里如果有少数几个字节值出现频率明显偏高基本可以判定是单字节XOR因为英文文本或flag字符串中空格0x20和常见字母的出现频率会辐射到密文里。但如果所有字节频率接近均匀那就是多字节密钥XOR密钥长度越长频率分布越均匀。crypto-xor2的输出恰好就落在这个均匀但不完全均匀的区间——既有统计偏向又不是单字节那么明显。这就引出了下一节要拆解的核心考点到底怎么把密钥长度和密钥内容抠出来。3. XOR加密原理与crypto-xor2的考点拆解3.1 XOR运算的本质一句话就能说清异或XOR是一种按位运算规则是两个比特相同为0不同为1。它有一个特别适合加密的性质——自反性plaintext XOR key ciphertext ciphertext XOR key plaintext也就是说加密和解密是同一个操作。用生活化类比的话你可以把明文想象成一个锁着的柜子密钥是钥匙XOR就是把钥匙插进锁孔转一圈。因为转两圈就回到原点所以解密只是再转一圈而已。这也是为什么XOR在CTF里被当成入门题——原理十分钟能讲完但实际做题时各种细节能把人绊住很久。3.2 单字节XOR与多字节XOR的本质区别单字节XOR密钥只有一个字节比如0x42密文就是明文的每个字节都和0x42异或一遍。这种加密最大的弱点在于密钥空间只有256种可能暴力枚举完全可行——把256个候选密钥挨个试一遍用频率分析或可打印字符占比来打分最好的那个几乎就是正确答案。多字节XOR也叫重复密钥XOR密钥是一串字节比如SECRET加密时密钥循环使用第一个字节和S异或第二个和E异或第6个和T异或第7个又回到S。这种做法的密钥空间暴增不可能直接枚举。crypto-xor2的2在绝大多数同类赛题里都指向多字节XOR。它比单字节多出来的核心考点就是怎么在不知道密钥的情况下先把密钥长度猜出来。3.3 猜密钥长度Hamming距离和分组统计两条路这里有个经典算法叫汉明距离Hamming distance指的是两个等长字符串之间对应位不同的数量。在重复密钥XOR中如果密钥长度是L那么密文中相隔L字节的两个块实际上是明文异或同一个密钥字节的结果它们之间的汉明距离 对应明文之间的汉明距离。而正常文本的汉明距离是有统计规律的所以我们可以枚举L计算不同L下的平均汉明距离最小的那个L通常就是正确密钥长度。另一个更直观的方法是分组频率分析。假设密钥长度是L把密文按字节位置分成L组第1组是密文的第1、L1、2L1……个字节第2组是第2、L2、2L2……个字节。如果L猜对了每一组内的密文其实就等价于单字节XOR的产物——因为每个位置固定和密钥的同一个字节异或。这时候对每一组单独做单字节爆破就行。3.4 我的判断crypto-xor2走的是第二条路实际解crypto-xor2时我优先尝试的是分组频率分析原因有两个附件只有1024字节用汉明距离估算密钥长度时数据量越小统计波动越大结果不稳定。题目标题是xor2出题人大概率希望选手掌握先分组、再爆破的通用思路这也是后续很多Crypto题的基础。密钥长度范围我从1到40都跑了一遍最终在L5附近看到了非常明显的频率特征——每一组的字节分布都开始出现单字节XOR特有的尖峰。确定L5之后后面就是机械操作了。4. 解题脚本实战从密钥长度确定到flag还原4.1 第一步暴力尝试密钥长度先把密文读进来对每个候选密钥长度L做分组检验每组块内是否呈现单字节XOR的统计特征。这里我不依赖复杂的汉明距离计算直接用一个更暴力的方法对每组尝试所有256个单字节密钥解密后统计可打印ASCII字符的比例如果比例超过95%就认为这个L很可能是对的。def single_byte_xor_bruteforce(block): best_plaintext b best_score 0 for key in range(256): plaintext bytes([b ^ key for b in block]) printable sum(1 for c in plaintext if 32 c 126) ratio printable / len(block) if ratio best_score: best_score ratio best_plaintext plaintext return best_score, best_plaintext with open(crypto-xor2, rb) as f: ciphertext f.read() for L in range(1, 41): total_score 0 for i in range(L): block ciphertext[i::L] score, _ single_byte_xor_bruteforce(block) total_score score avg_score total_score / L print(fL{L:2d}, avg_printable_ratio{avg_score:.4f})跑出来的结果里L5和L10的平均可打印比例都很高——因为5是10的因子L10时每一组内部其实还是同一密钥字节频率特征同样成立。这时候我一般选最小且特征开始突变的那个L也就是5。原因很简单真实密钥长度应该是最短的周期选它的倍数会因为分组错位而打乱组内固定密钥字节的条件。4.2 第二步逐组爆破密钥字节确定L5之后把密文分成5组每组分别当单字节XOR来爆破。注意这里不能只看可打印字符比例还要结合英文文本的字母频率做二次评分。我用一个简化版的方案def score_english(text): # 常见的英文字母频率空格最高 freq b etaoinshrdlucmfwypvbgkjqxz score 0 for c in text: if c in freq: score 1 return score key b for i in range(5): block ciphertext[i::5] best_key_byte, best_score 0, -1 for k in range(256): plaintext bytes([b ^ k for b in block]) s score_english(plaintext) if s best_score: best_score s best_key_byte k key bytes([best_key_byte]) print(key)这里有个细节容易踩坑空格的频率比字母e还高所以评分时空格0x20的权重一定不能丢。如果你的打分函数里没有空格很多情况下会选出错误密钥尤其是短文本里字母分布不典型的时候。跑完后我得到的密钥是5个字节的可见字符串不是随机乱码——这说明出题人为了降低难度直接用可读字符串做密钥。如果是随机字节解密文本仍然能出但密钥打印出来会是一堆不可见字符也正常。4.3 第三步还原明文整理flag密钥确定后全量解密full_plaintext bytes([ciphertext[i] ^ key[i % len(key)] for i in range(len(ciphertext))]) print(full_plaintext.decode(utf-8, errorsreplace))输出是一段完整的英文句子里面有flag字符。CTF的flag格式一般是flag{...}或DASCTF{...}如果解密后直接看到flag收工。如果没有直接看到而是类似base64或hex串还要再走一层解码。crypto-xor2这题到这里就结束了。整个过程逻辑链不复杂但你会发现在比赛现场最耗时间的往往是密钥长度L的定位这一环。我给个可以抄作业的完整脚本import sys from collections import Counter def hamming_dist(b1, b2): return sum(bin(x ^ y).count(1) for x, y in zip(b1, b2)) def single_byte_xor(block): best (0, b) for k in range(256): pt bytes([c ^ k for c in block]) score sum(1 for c in pt if 32 c 126) if score best[0]: best (score, pt) return best def main(): with open(crypto-xor2, rb) as f: data f.read() key_len 0 best_normalized float(inf) for L in range(2, 40): blocks [data[i:iL] for i in range(0, len(data)//L*L, L)] dists [hamming_dist(blocks[i], blocks[i1]) / L for i in range(len(blocks)-1)] avg sum(dists) / len(dists) if avg best_normalized: best_normalized avg key_len L print(f[*] key length: {key_len}) key b for i in range(key_len): block data[i::key_len] _, pt single_byte_xor(block) # 从可打印明文中倒推密钥字节 k block[0] ^ pt[0] key bytes([k]) print(f[*] key: {key}) plaintext bytes([data[i] ^ key[i % key_len] for i in range(len(data))]) print(plaintext.decode(errorsreplace)) if __name__ __main__: main()这个脚本我做了简化处理实际比赛时建议把评分函数写得细一点比如结合int类型转成小写后匹配字母频度表能把准确率提升不少。5. 环境搭建避坑crypto模块安装与常见报错合集赛题本身解出来了但复盘时我发现更多人是被环境问题卡住的。热词里那几个高频报错几乎每场比赛都会有人遇到这里集中梳理一遍。5.1 ModuleNotFoundError: No module named Crypto在Python 3.10及以上环境里直接pip install crypto装到的其实是一个过时的、不维护的库而且导入名是crypto小写c但CTF脚本里大家写的都是from Crypto.Cipher import XOR或者更常见的from Crypto.Util.strxor import strxor这时候报ModuleNotFoundError: No module named Crypto基本是因为你装的是crypto而不是pycryptodome。正确做法是pip uninstall crypto pycrypto pip install pycryptodomepycryptodome安装后导入名的包名是Crypto大写C用法和原来的pycrypto基本兼容是现在CTF选手的默认选择。要是你环境下已经装有pycrypto建议先卸掉避免两个库冲突有时会导致AttributeError: module Crypto has no attribute Cipher这种诡异问题。5.2 strxor函数XOR题最常用工具Crypto.Util.strxor简直是XOR题的救星用法很简单from Crypto.Util.strxor import strxor c1 bytes.fromhex(...) c2 bytes.fromhex(...) result strxor(c1, c2)它自动处理长度匹配返回异或结果。还有一个变体strxor_c是让每个字节都和一个固定值异或from Crypto.Util.strxor import strxor_c result strxor_c(data, 0x42) # 相当于单字节XOR熟练掌握这两个函数写XOR题的脚本时间能省一大半。5.3 error when starting dev server: typeerror: crypto$2.getrandomvalues is not a 这种报错这个报错和Python的Crypto模块完全是两码事——它出现在前端开发环境里是Node.js或浏览器环境下crypto.getRandomValues的调用问题通常是Web Crypto API的兼容性原因导致的。如果你在跑CTF题时遇到它先确认自己是不是在用某个前端框架启动服务而不是在执行Python脚本。很多选手把不同环境的问题混在一起搜越搜越乱最后浪费大量时间。我的建议是CTF的Crypto题一律用Python处理数据前端报错除非题目明确是Web方向否则先放一边。工具链分清楚思路才不会打架。5.4 一个提高效率的小技巧解密XOR题时如果明文预期是纯英文文本可以用strings命令先对密文做一次快速扫描$ strings crypto-xor2如果运气好密钥本身就是可见字符串且没有完全打乱所有字符strings的输出里可能会直接泄露部分明文或密钥帮你节省至少十分钟。虽然这招不总是生效但它足够快值得养成习惯。写在最后复盘crypto-xor2这道题最值得记住的不是脚本本身而是处理XOR类题目的完整思路先识别文件再统计字节分布然后猜密钥长度接着分组爆破最后还原明文。这个套路在大量CTF Crypto题里通用换汤不换药。我个人在实际解题过程中的体会是XOR题的难度从来不在XOR本身而在于你能不能沉住气观察数据的统计特征。每次拿到密文先别急着写代码在脑子里过一遍它可能是什么密钥大概多长明文的语言特征是什么这三个问题解起来会顺畅很多。最后再分享一个习惯——比赛结束后把自己写的爆破脚本按题目类型归档下次遇到类似赛题直接拿出来改改参数就能用效率翻倍。本文还有配套的精品资源点击获取