Ark

Cross-Site ETag Length Leak blog.arkark.dev/2025/12/26/eta… I just posted the author writeup for impossible-leak in SECCON CTF 14 Quals. As far as I know, this is a new XS-Leak technique! The ETag header can become a side channel :)

DoS ← DoSです DDoS ← DoSです ReDoS ← DoSです EDoS ← DoS (Service) ではありません

PPPPParse alpacahack.com/daily/challeng… Daily AlpacaHack今日の問題です！超シンプル

@fwarashi latticeとlatticeどっちか分からない問題もあります

Cryptoプレイヤーにとって口頭で会話している時にLLLなのかLLMなのかわからないという問題が発生している

ちょうど開いたら100 solvesだった（遠慮せず101番目になって大丈夫です）

CTF参加頻度が減っており、面白問題情報の取りこぼしがすごいことになっていそう。「2025年のおもしろかったweb問 n選」みたいな記事、誰か

Vite+良さそう？

単純なparser differential系の問題は自分でdifferentialを探している間にAIが先に見つけて解いてくれるので、もう敗北です

@claustra01 それ知らなかったです。えっ、そうなんですね（実は初期値で{0,0}にカーソルがあったりするのかな。あとで検証してみよう） あとは、ユーザインタラクションが存在するかどうか（transient activation系）とかでも挙動が違ったりもするので、その辺で罠はありそうですね。ぱっと原因はわからずです

仕方がないのでSTTF路線で色々考えていたけど、どうやっても疑似要素内での描画しかできなくていい感じにリークできなかった

@fubukiyokiyoki replaceAllではなくてreplaceなのも、都合が良すぎるパズルピースでした

@arkark_ ダブルクオーテーションで落ちるな～と思ったんですけど、replaceでCSS使えば最初だけ入りますね。天才すぎる

非想定最速パズル解法です。こういうのは得意

Capture The F__l__a__gおもしろかった。[@]containerはFirefox対応してなくて使えないじゃんと思ってたが、スタイルクエリとかが使えないだけで一部使えたのか...そんな

2つ目に紹介された問題は本当にすごい問題で今でも時々雑談で話題にも出てくる。公式writeupでちゃんと想定解法1, 2を用意しているのも好き

度肝を抜かれたCTF問題を紹介させていただきました 1問目は度肝成分だけ抽出して今日のDaily AlpacaHackに出題してます！ alpacahack.com/daily/challeng…

今回の脆弱エンジニアは！ @AlpacaHack とコラボです！！！ 開発者のminaminaoさん(@2llr)とトークしました！ もふもふもふもふ🦙🦙🦙 #AlpacaHack ▼動画URL youtu.be/O-FUncmtNCE

@kinugawamasato 脅威がケースバイケースなのもあって理解を広めづらいので、そういう中間レイヤーで吸収してデフォルトで対策できると理想ですが...って感じですよね

@arkark_ 多いですよねー ルーティングライブラリがdynamic segment部分にデフォルトで最低限のバリデーションをかけるかバリデーション必須にすれば状況は変わりそうな気はするけど、あまり危機感が伝わってなさそう…

CSPT根強く残り続けてるから、そろそろ「.」もエンコードしてくれるencodeURIComponentが標準で提供されてほしい

@J0R1AN Yeah, true. I missed that 😅

@arkark_ Well, path traversals still work in the browser with %2e%2e (I learned that the hard way on a challenge of mine last friday😅)

本日はDaily AlpacaHack 100問目です！！！ 100問目にちなんだ問題を用意しました🎉 alpacahack.com/daily/challeng…