文章总结： 本文解析BostonKeyPartyCTF2017中Minesweeper题目。作者通过分析Go源码，利用量子力学Zeno效应设计了高频迭代电路，将探测爆炸概率降至最低。该方案成功在不引爆的情况下识别所有炸弹并获取Flag，深入展示了量子叠加态与干涉原理在CTF实战中的应用价值。 综合评分： 95 文章分类： CTF,逆向分析,漏洞分析
Boston Key Party CTF 2017 – Minesweeper 量子炸弹探测详解
原创
破镜安全
破镜安全
2025年12月28日 08:02 四川
Boston Key Party CTF 2017 – Minesweeper 量子炸弹探测详解
一、初识题目
这是一道来自Boston Key Party CTF 2017的高分密码学题目（350分）。拿到题目后，我们得到了一个Go语言编写的服务端程序文件。
首先查看文件基本信息：
$ ls -la
-rwxr-xr-x 1 user user 5488 f1ddae8a69254ac1aa97de275be0834b.go
这是唯一的附件，让我们开始分析这个Go程序。
二、源码静态分析
2.1 程序结构概览
打开Go源码，首先看到程序定义了8种量子门常量：
const (
G_I = 0 // Identity
G_X = 1 // Pauli X-gate
G_Y = 2 // Pauli Y-gate
G_Z = 3 // Pauli Z-gate
G_H = 4 // Hadamard gate
G_R = 5 // R2 gate: rotate phase by 90 degrees
G_P = 6 // Rotate phase by an angle specified in radians
G_M = 7 // Measure in standard (Z) basis, and if 1, self-destruct
)
看到”Measure…and if 1, self-destruct”这个注释，立即意识到这道题与量子计算和某种”自毁”机制有关。
2.2 量子门矩阵定义
程序定义了前6种门的矩阵表示：
var MATRICES = [6][2][2]complex128{
{{complex(1, 0), complex(0, 0)}, {complex(0, 0), complex(1, 0)}}, // Identity
{{complex(0, 0), complex(1, 0)}, {complex(1, 0), complex(0, 0)}}, // Pauli X
{{complex(0, 0), complex(0, -1)}, {complex(0, 1), complex(0, 0)}}, // Pauli Y
{{complex(1, 0), complex(0, 0)}, {complex(0, 0), complex(-1, 0)}}, // Pauli Z
{{complex(S, 0), complex(S, 0)}, {complex(S, 0), complex(-S, 0)}}, // Hadamard
{{complex(1, 0), complex(0, 0)}, {complex(0, 0), complex(0, 1)}}, // R2
}
其中 S = math.Sqrt(0.5)，即 1/√2。
这些是标准的量子门矩阵。特别是Hadamard门，其矩阵为：
H = 1/√2 * [ 1 1 ]
[ 1 -1 ]
这是量子计算中用于创建叠加态的基本门。
2.3 核心逻辑 – 炸弹机制
在 handle_connection 函数中，发现了关键逻辑：
bombs := make([]bool, 14*8)
for ix := range bombs {
bombs[ix] = (rand.Intn(2) == 1)
}
程序随机生成了112个（14×8）炸弹，每个炸弹随机是true或false。
再看门操作的处理逻辑：
if (gate & 0x7F) < 0x70 {
controlled = false
if bombs[gate&0x7F] { // 如果是真弹
gate_id = G_M // 应用测量门
} else { // 如果是哑弹
gate_id = G_I // 应用单位门
}
}
这段代码揭示了核心机制：
- 当我们发送一个炸弹索引（0-111）时
- 如果该位置是真弹（true），系统会执行测量操作
- 如果是哑弹（false），系统什么也不做（单位门）
2.4 测量门的”致命性”
查看测量门的实现：
func measure_wire(state [4]complex128, wire bool) [4]complex128 {
prob_zero := cmplx.Abs(state[0]) * cmplx.Abs(state[0])
// ... 计算测量到0的概率
if rand.Float64() < prob_zero {
// 测量到0，安全
return result
} else {
panic(UserError{"BOOM!"}) // 测量到1，爆炸！
}
}
如果量子态测量结果为1，程序会panic并输出”BOOM!”，连接断开，游戏结束。
2.5 胜利条件
在所有炸弹探测完成后，程序期望我们提交14字节的答案：
guess := make([]byte, 14)
io.ReadFull(conn, guess)
for ix, g := range guess {
for i := 0; i < 8; i++ {
var theirs bool = (g & (0x01 << uint16(7-i))) != 0
var ours bool = bombs[ix*8+i]
if theirs != ours {
panic(UserError{"WRONG"})
}
}
}
conn.Write(flag)
只有当我们提交的112个炸弹识别结果全部正确时，才能获得flag。
2.6 题目挑战总结
通过静态分析，我们明确了题目的核心挑战：
- 服务器有112个随机分布的炸弹
- 真弹会触发量子测量，如果测到1就会爆炸
- 哑弹不做任何操作
- 我们需要在不引爆任何炸弹的前提下，识别出所有炸弹的类型
- 提交正确答案后获得flag
这看起来是个悖论：要知道是不是真弹，必须去探测它；但探测真弹就可能引爆。如何解决？
三、量子力学背景研究
面对这个看似矛盾的问题，我们需要深入理解量子力学的特殊性质。
3.1 量子态的基本概念
程序中的量子态用4维复数向量表示：
state := [4]complex128{complex(1, 0), complex(0, 0), complex(0, 0), complex(0, 0)}
这代表2个量子比特的状态，初始态是 |00⟩。四个分量对应：
- state[0]: |00⟩ 态的概率幅
- state[1]: |01⟩ 态的概率幅
- state[2]: |10⟩ 态的概率幅
- state[3]: |11⟩ 态的概率幅
测量到某个态的概率 = 该态概率幅的模方。
3.2 Hadamard门的作用
Hadamard门将基态转换为叠加态：
H|0⟩ = (|0⟩ + |1⟩)/√2
H|1⟩ = (|0⟩ - |1⟩)/√2
如果再应用一次Hadamard门：
H·H|0⟩ = H((|0⟩ + |1⟩)/√2) = |0⟩
这种”往返”会因量子干涉回到原态。
3.3 Elitzur-Vaidman炸弹测试器
搜索”quantum bomb detection”，找到了Elitzur-Vaidman炸弹测试器理论（1993年提出）。
基本原理：使用Mach-Zehnder干涉仪，量子电路为：
|0⟩ → H → [炸弹?] → H → 测量
对于哑弹：
- 光子经过第一个H门进入叠加态
- 哑弹不测量，保持叠加态
- 第二个H门后，由于干涉，回到|0⟩
- 测量结果必定为0
对于真弹：
- 光子经过第一个H门进入叠加态
- 真弹进行测量，叠加态坍缩
- 如果坍缩到”真弹路径”，有50%概率触发爆炸
- 如果坍缩到”另一路径”，不触发炸弹，但态已改变
- 第二个H门后，有50%概率测到1
- 总体：25%概率测到1且未爆炸（成功探测），25%爆炸，50%测到0（失败）
基础方案的成功率只有25%，对于112个炸弹，成功率为 0.25^112 ≈ 0，完全不可行。
3.4 改进方案 – 量子Zeno效应
继续研究，找到了Kwiat等人1995年的论文，提出了基于量子Zeno效应的改进方案。
量子Zeno效应：频繁的测量会”冻结”量子系统的演化。
核心思想：将一次大角度相位旋转分解成N次小角度旋转。
量子电路：
|0⟩ → [H → P(θ) → H → 炸弹] × N → 测量
其中 θ = π/(2N)，重复N次后总相位为 π/2。
3.5 数学原理
对于真弹情况，每次迭代：
- H门：|0⟩ → (|0⟩ + |1⟩)/√2
- P(π/2N)门：|1⟩分量获得相位 e^(iπ/2N)
- H门：转回基态附近
- 炸弹测量：测到|1⟩的概率约为 sin²(π/2N) ≈ (π/2N)² （当N很大时）
每次迭代的爆炸概率极小。N次迭代后：
- 总爆炸概率 ≈ N × (π/2N)² = π²/(4N)
- 量子态逐渐从|0⟩旋转到|1⟩
- 最终测量结果倾向于非0
对于哑弹情况：
- 没有中间测量，量子态保持叠加
- 相位累积但最终回到|0⟩附近
- 测量结果倾向于0
3.6 参数选择
选择 N = 2000：
- 单个炸弹爆炸概率 ≈ π²/(4×2000) ≈ 0.00123 = 0.123%
- 单个炸弹成功率 ≈ 99.877%
- 112个炸弹总成功率 ≈ (0.99877)^112 ≈ 87%
虽然不是100%，但成功率已经很高，可以多次尝试。
四、攻击方案设计
基于量子Zeno效应，设计如下攻击方案：
4.1 量子电路设计
对每个炸弹i（i = 0 到 111），执行以下量子电路：
|00⟩ → [H → P(π/2000) → H → Bomb[i]] × 2000 → 最终测量
每次迭代包含4个操作：
- Hadamard门（编码：0x74）
- 相位旋转门 π/2000（编码：0x76 + 8字节浮点数）
- Hadamard门（编码：0x74）
- 炸弹操作（编码：炸弹索引 0-111）
总共 2000 × 4 = 8000 个量子门操作。
4.2 通信协议分析
根据源码，通信协议为：
发送格式：
[2字节：门数量] + [门操作序列] + [2字节：0] + [14字节：答案]
量子门编码规则：
- 标准门：0x70 + 门ID（4=Hadamard, 6=Phase）
- 炸弹：直接发送索引（0-111）
- 相位旋转门后需附加8字节的小端序浮点数
接收格式：
- 每次量子电路执行后，接收1字节测量结果
- 0x00：倾向于哑弹
- 非0：倾向于真弹
4.3 结果编码
炸弹识别结果需要打包成14字节：
- 112位，每位代表一个炸弹
- 按MSB优先顺序打包
- true（真弹）→ 0，false（哑弹）→ 1（注意这是反的）
等等，让我再次检查源码：
var theirs bool = (g & (0x01 << uint16(7-i))) != 0
var ours bool = bombs[ix*8+i]
if theirs != ours {
panic(UserError{"WRONG"})
}
如果 bombs[i] 为 true（真弹），我们发送的对应位也应该是1。 如果 bombs[i] 为 false（哑弹），我们发送的对应位应该是0。
但我们的测量结果是：
- 测量到0 → 哑弹 → bombs[i]=false → 发送0
- 测量非0 → 真弹 → bombs[i]=true → 发送1
所以编码逻辑是：
- 测量结果0 → 存储0
- 测量结果非0 → 存储1
五、编写攻击脚本
基于以上分析，编写Python攻击脚本。
5.1 脚本框架
from pwn import *
import math
import struct
context.endian = "big"
context.log_level = "INFO"
使用pwntools库处理网络通信和二进制数据打包。
5.2 参数配置
# 迭代次数
bignum = 2000
# Hadamard门：0x70 + 4 = 0x74
hadamard = p8(0x70 + 4)
# 相位旋转门：0x70 + 6 = 0x76，后接π/2000的小端序浮点数
phase_rot = p8(0x70 + 6) + struct.pack("<d", math.pi/bignum)
# 连接服务器
r = remote("127.0.0.1", 8001)
注意：
p8()是pwntools的单字节打包函数struct.pack("<d", ...)打包为小端序64位浮点数- 相位角度为 π/2000 ≈ 0.0015708 弧度
5.3 炸弹探测循环
bombs = []
for bomb in range(14 * 8): # 112个炸弹
log.warning("探测炸弹 %d" % bomb)
# 发送量子门总数：2000次迭代 × 4个门
r.send(p16(bignum * 4))
# 执行2000次 H-Phase-H-Bomb 量子电路
for iteration in range(bignum):
r.send(hadamard) # H门
r.send(phase_rot) # P(π/2000)门
r.send(hadamard) # H门
r.send(p8(bomb)) # 炸弹索引
# 接收最终测量结果
measure_result = r.recv(1)
# 解析结果：0表示哑弹，非0表示真弹
# 但存储时：哑弹存1，真弹存0（用于后续比特打包）
is_dud = (u8(measure_result) == 0)
bombs.append(1 if is_dud else 0)
log.warning("测量结果: 0x%x" % u8(measure_result))
等等，我需要再次确认存储逻辑。让我检查服务端代码：
var theirs bool = (g & (0x01 << uint16(7-i))) != 0
var ours bool = bombs[ix*8+i]
服务端的 bombs[i] 为 true 表示真弹，false 表示哑弹。 我们发送的位为1，则 theirs=true；发送0，则 theirs=false。 要匹配，则：真弹发1，哑弹发0。
我们的测量：测到0是哑弹，测到非0是真弹。 所以：
- 测到0（哑弹）→ 存储0
- 测到非0（真弹）→ 存储1
修正代码：
# 测量结果：0=哑弹，非0=真弹
# 存储值：0=哑弹，1=真弹
bombs.append(0 if u8(measure_result) == 0 else 1)
5.4 结束探测阶段
# 发送0表示量子门操作结束
r.send(p16(0))
print("炸弹探测结果:", bombs)
5.5 打包并提交答案
def getbytes(bits):
"""将比特列表转换为字节序列"""
bits = iter(bits)
done = False
while not done:
byte = 0
for _ in range(8):
try:
bit = next(bits)
except StopIteration:
bit = 0
done = True
byte = (byte << 1) | bit
yield byte
# 打包112位到14字节
for b in list(getbytes(bombs))[:14]:
log.info("发送字节 %d" % b)
r.send(p8(b))
这个函数将比特列表按MSB优先顺序打包成字节。
5.6 接收flag
log.info("获取flag")
context.log_level = "DEBUG"
flag_data = r.recvall()
print(flag_data.decode('utf-8', errors='ignore'))
5.7 完整脚本
汇总完整的攻击脚本：
from pwn import *
import math
import struct
context.endian = "big"
context.log_level = "INFO"
# 使用2000次迭代达到99.877%的单次成功率
bignum = 2000
# 量子门编码
hadamard = p8(0x70 + 4)
phase_rot = p8(0x70 + 6) + struct.pack("<d", math.pi/bignum)
# 连接服务器
r = remote("127.0.0.1", 8001)
bombs = []
# 对每个炸弹进行量子探测
for bomb in range(14 * 8):
log.warning("探测炸弹 %d" % bomb)
# 发送门的总数
r.send(p16(bignum * 4))
# 执行量子电路
for p_b in range(bignum):
r.send(hadamard)
r.send(phase_rot)
r.send(hadamard)
r.send(p8(bomb))
# 接收测量结果
measure_final = r.recv(1)
bombs += [0 if u8(measure_final) else 1]
log.warning("测量结果: %s" % hex(u8(measure_final)))
# 结束量子门操作
r.send(p16(0))
print("炸弹探测结果:", bombs)
def getbytes(bits):
"""将比特列表转换为字节"""
bits = iter(bits)
done = False
while not done:
byte = 0
for _ in range(0, 8):
try:
bit = next(bits)
except StopIteration:
bit = 0
done = True
byte = (byte << 1) | bit
yield byte
log.info("".join("o" if x else "X" for x in bombs))
context.log_level = "DEBUG"
# 打包并发送答案
for b in list(getbytes(bombs))[:14]:
log.info("发送字节 %d" % b)
r.send(p8(b))
log.info("获取flag")
while True:
data = r.recv(1)
if not data:
break
print(data.decode('utf-8', errors='ignore'), end='')
六、实战测试
6.1 环境准备
创建flag.txt文件：
$ echo "FLAG{Maybe they exploded in parallel universes}" > flag.txt
启动Go服务端：
$ go run f1ddae8a69254ac1aa97de275be0834b.go
FLAG{Maybe they exploded in parallel universes}
Ready to rumble.
服务端成功启动，监听8001端口。
6.2 执行攻击
运行Python脚本：
$ python3 solve.py
[x] Opening connection to 127.0.0.1 on port 8001
[+] Opening connection to 127.0.0.1 on port 8001: Done
[!] 探测炸弹 0
[!] 测量结果: 0x0
[!] 探测炸弹 1
[!] 测量结果: 0x0
[!] 探测炸弹 2
[!] 测量结果: 0x0
[!] 探测炸弹 3
[!] 测量结果: 0x0
[!] 探测炸弹 4
[!] 测量结果: 0x0
[!] 探测炸弹 5
[!] 测量结果: 0x1
[!] 探测炸弹 6
[!] 测量结果: 0x0
[!] 探测炸弹 7
[!] 测量结果: 0x1
...
[!] 探测炸弹 110
[!] 测量结果: 0x1
[!] 探测炸弹 111
[!] 测量结果: 0x1
观察到：
- 部分炸弹测量结果为0x0（哑弹）
- 部分炸弹测量结果为0x1（真弹）
- 没有出现”BOOM!”，说明没有炸弹被引爆
6.3 结果提交
脚本继续执行，打包112位结果：
炸弹探测结果: [1, 1, 1, 1, 1, 0, 1, 0, 1, 1, 0, 1, 0, 0, 0, 0, ...]
[*] oooooXoXooXoXXXXoooooXoXoXoXoooXXoXXooXXXXXXoXXooooXoooXXXXXoooXXXXXooXXoXoXoXXXXXXoXoooXooXoooXoXXoXXX
[*] 发送字节 250 (0xFA)
[*] 发送字节 208 (0xD0)
[*] 发送字节 250 (0xFA)
[*] 发送字节 174 (0xAE)
[*] 发送字节 76 (0x4C)
[*] 发送字节 9 (0x09)
[*] 发送字节 235 (0xEB)
[*] 发送字节 240 (0xF0)
[*] 发送字节 112 (0x70)
[*] 发送字节 101 (0x65)
[*] 发送字节 64 (0x40)
[*] 发送字节 187 (0xBB)
[*] 发送字节 119 (0x77)
[*] 发送字节 72 (0x48)
其中 ‘o’ 表示真弹，’X’ 表示哑弹（用于可视化）。
6.4 获取flag
服务端验证通过，返回flag：
[*] 获取flag
FLAG{Maybe they exploded in parallel universes}
[*] Closed connection to 127.0.0.1 port 8001
成功！所有112个炸弹识别正确，没有引爆任何一个，获得了flag。
七、技术深度剖析
7.1 为什么量子Zeno效应有效
从数学角度理解：
对于真弹，每次微小迭代：
|0⟩ --H--> (|0⟩+|1⟩)/√2 --P(ε)--> (|0⟩+e^(iε)|1⟩)/√2 --H--> ...
当 ε = π/2N 很小时，|1⟩分量的振幅约为 sin(ε) ≈ ε。
炸弹测量这个|1⟩分量，测到的概率为 sin²(ε) ≈ ε²。
测量后，如果未爆炸（概率 1-ε²），态坍缩回|0⟩。
N次迭代后，虽然每次都可能爆炸，但由于每次概率极小，总爆炸概率：
P_爆炸 ≈ N × ε² = N × (π/2N)² = π²/(4N)
同时，每次迭代使量子态发生微小旋转。N次后，累积旋转约为 N×ε = π/2，使得最终态接近|1⟩。
这就是”量子Zeno悖论”：频繁测量阻止了快速演化，但允许缓慢演化。
7.2 为什么哑弹和真弹的测量结果不同
对于哑弹，量子电路变为：
|0⟩ → [H → P(π/2000) → H → I] × 2000 → 测量
其中 I 是单位门（什么也不做）。
由于 H·P(θ)·H 的组合效果，且没有中间测量，量子态保持相干演化。
经过精确计算，2000次迭代后，由于相位的精妙安排，态会回到接近|0⟩，测量结果倾向于0。
对于真弹，中间的测量破坏了相干性，导致不同的演化路径，最终测量结果倾向于非0。
7.3 成功率分析
单个炸弹：
- 爆炸概率：π²/(4×2000) ≈ 0.00123
- 成功探测概率：99.877%
112个炸弹：
- 总成功概率：(0.99877)^112 ≈ 0.870 = 87%
实际测试中，大约每2次尝试就能成功1次。对于CTF比赛，这个成功率完全可以接受。
7.4 参数优化
为什么选择 N=2000？
如果 N 太小：
- 爆炸概率 π²/(4N) 太大
- 例如 N=100，爆炸概率 2.47%，112次总成功率仅6%
如果 N 太大：
- 通信开销巨大：N×4 个门操作
- 例如 N=10000，每个炸弹需要40000次操作，总共448万次，耗时过长
- 服务器可能超时
N=2000 在安全性和效率之间达到了良好平衡。
7.5 量子计算与CTF
这道题目展示了量子计算在CTF中的独特应用：
- 不同于传统密码学题目，需要理解量子力学原理
- 量子叠加态和干涉效应是解题关键
- 量子算法可以解决经典计算无法解决的问题
- 体现了”交互自由测量”这一量子力学的反直觉特性
八、物理意义与启示
8.1 交互自由测量
这道题目实现了量子力学中著名的”交互自由测量”（Interaction-Free Measurement）概念。
经典物理学：要获取物体信息，必须与物体发生相互作用（发光、探测等）。
量子物理学：通过量子叠加态和干涉，可以在几乎不与物体交互的情况下获取信息。
这违背了经典直觉，但却是量子力学的真实预言，并已在实验中得到验证。
8.2 实际应用
虽然题目是虚构的”炸弹探测”，但这个原理有实际应用：
- 量子成像：在不损伤样品的情况下进行高精度成像
- 量子密码学：窃听检测，任何测量都会留下痕迹
- 量子传感：高灵敏度的量子传感器
- 计算复杂度：某些问题量子计算比经典计算更高效
8.3 量子Zeno效应的其他应用
量子Zeno效应除了用于炸弹探测，还有其他应用：
- 量子态保护：通过频繁测量防止量子退相干
- 量子门操作：实现高保真度的量子逻辑门
- 量子纠错：检测并纠正量子计算中的错误
- 量子控制：精确控制量子系统的演化
九、总结
这道Boston Key Party CTF 2017的Minesweeper题目是一道极具创意和教育意义的密码学挑战。它将抽象的量子力学原理转化为具体的编程问题，让参赛者在解题过程中深入理解量子计算的奇妙之处。
解题的关键步骤回顾：
- 静态分析Go源码，理解题目机制
- 识别出这是量子炸弹探测问题
- 研究Elitzur-Vaidman炸弹测试器原理
- 学习量子Zeno效应改进方案
- 计算最优参数 N=2000
- 设计量子电路：H-P(π/2000)-H-Bomb × 2000
- 编写Python攻击脚本实现协议通信
- 实际测试，成功获取flag
通过这道题目，我们学到了：
- 量子叠加态和量子干涉的基本概念
- Hadamard门等量子门的作用
- 量子测量如何改变量子态
- 量子Zeno效应的数学原理
- 交互自由测量的物理意义
- 量子算法在实际问题中的应用
Flag: FLAG{Maybe they exploded in parallel universes}
这个flag本身也充满深意——它暗示了量子力学的多世界诠释。也许在某些平行宇宙中，那些炸弹确实爆炸了；但在我们的宇宙中，通过巧妙利用量子力学的特性，我们成功避免了这个结局。这正是量子力学最迷人之处：它挑战我们对现实的认知，揭示了自然界更深层的奥秘。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：破镜安全 破镜安全《Boston Key Party CTF 2017 – Minesweeper 量子炸弹探测详解》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论