2/28〜3/1の2日間、SECCON CTF 14の本戦が行われました！

参加した皆さんありがとうございます & 入賞したみなさんおめでとうございます 🎉

今年は、1日目がJeopardyで2日目がKing of the Hillという競技形式でした。両日でまったく異なる競技形式であるため、1〜2日目の間の夜に寝る間も惜しんで問題に挑む今までの慣習（いわゆる宿題）がなかったのは参加者視点だと大きかったかと思います。

私はJeopardyのweb問とjail問を作問しました。Slay the Noteは特におすすめです！

各問題のソースコードやソルバはリポジトリにpush済みです:

• https://github.com/arkark/my-ctf-challenges?tab=readme-ov-file#seccon-ctf-14-finals

※ この記事はwriteupではなくて作問の背景や感想です。

I recently discovered a new client-side attack technique that leaks the length of an ETag from a cross-site page. This can be used as an XS-Leak oracle and I created a CTF challenge as a proof of concept.

impossible-leak is one of the challenges I authored for SECCON CTF 14 Quals¹:

• Difficulty: 1 solve² / 500 pts
• Author: me
• Source: https://github.com/arkark/my-ctf-challenges/tree/main/challenges/202512_SECCON_CTF_14_Quals/web/impossible-leak

This technique is likely applicable beyond this specific challenge. We can use it as an unintended solution in other XS-Leak challenges. In fact, I first came up with it as an unintended approach during an earlier CTF and later refined it into a standalone technique.

I made a web challenge pure-leak for ASIS CTF Quals 2025 as a guest author.

• Difficulty: 2 solves / 450 pts
• Author: me
• Source: https://github.com/arkark/my-ctf-challenges/tree/main/challenges/202509_ASIS_CTF_Quals_2025/web/pure-leak

Congrats to MEOW MEOW MEOW MEOW MEOW and Water Paddler for solving it! 🎉

Despite its simplicity, the solution relies on several neat HTML/CSS tricks. Below I'll outline the key ideas and how they fit together.

This is a writeup for AlpacaMark, a challenge I created for AlpacaHack Round 11 (Web). Due to an unintended solution, I released a revised version called "AlpacaMark Revenge" after the CTF.

Result:

Congratulations to icesfont for the first blood!

Keywords:

• DOM Clobbering
• Prototype Pollution
• iframe's credentialless attribute

Thank you for playing ASIS CTF Finals 2024!

There were 7 web challenges and the authors are @maple3142, @Strellic_, @_splitline_, @kevin_mizu, @_Worty, and me.

I made 2 challenges:

You can see the source code and author's solvers at my-ctf-challenges repository.

AlpacaHackは個人戦のCTFを継続して開催する新しいCTFプラットフォームです。今回はst98さんと一緒にWeb回であるRound 7の作問を、担当しました。ご参加いただいた方々、ありがとうございました。

• AlpacaHack Round 7 (Web)

AlpacaHackにはwriteupを投稿する機能があるので、ぜひwriteupを書いて投稿してみてください。upsolveもOKです。AlpacaHackは常設CTFでもあるので、終わったCTFも実際にリモート環境でテストすることが可能です！

さて、今回は以下の問題をつくりました。本記事はそのwriteupになります。

AlpacaHackは個人戦のCTFを継続して開催する新しいCTFプラットフォームです。keymoonとminaminaoが中心メンバーとなって動いており、最近リリースされました🎉

• AlpacaHack Round 2 (Web)

今回はWeb回であるRound 2の作問を担当しました。ご参加いただいた方々、ありがとうございました。参加登録した人数を数えると300！？ありがたすぎる...¹

AlpacaHackにはwriteupを投稿する機能があるので、ぜひwriteupを書いて投稿してみてください。upsolveもOKです²。また、今後の作問・運営のためにもGoogleフォームでのfeedbackをいただけると非常に助かります。単純にモチベーションにもつながります。SNS上での感想も大歓迎です。

さて、今回は以下の問題をつくりました。本記事はそのwriteupになります。

I wrote 4 web challenges and 1 misc challenge for SECCON CTF 2023 Finals. I hope you enjoyed the CTF and want to read your feedback and writeups.

My challenges:

I added the source code and author's solvers to my-ctf-challenges repository.

Thank you for playing SECCON CTF 2023 Quals! I created some challenges for this CTF, just like 2021 and 2022. I hope you had fun and I'm looking forward to reading your writeups.

My challenges:

I added the source code and author's solvers to my-ctf-challenges repository.

zer0pts CTF 2023 に./Vespiaryで参加して8位でした！

guess要素が一切なく、各問題もよく構成されたものが多く、例年通りとてもたのしいCTFでした。