🚩 CTF Writeup/osu!gaming CTF 2024

📌 Intro cookiezi와 대결을 해서 이겨야 플래그를 휙득할 수 있다. 게임 방식은 아래 사이트와 유사하다. https://ckrisirkc.github.io/osuStreamSpeed.js 🔬 Analysis calculate() 함수는 bpm과 ur을 계산하는 코드이다. 점수 알고리즘을 보면, BPM으로 먼저 판단하고, 동일하면 더 적은 UR을 가진 참가자가 우승한다. 봇은 BPM이 항상 목표 BPM과 일치하고, UR은 20.00이 나온다. 결국 BPM을 session.songs[session.round].bpm과 정확하게 일치시키고 UR값을 20 미만으로 만들어야한다. 🎉 Exploit 아래와 같이 코드를 작성하여 run() 함수내에 작성하면 목표로하는 BPM에 맞게 clicks.add() ..

📌 Intro 처음 웹 사이트에 접속하면 위와 같은 이미지가 보인다. 🔬 Analysis 문제 파일은 위와 같은 디렉토리 구조를 가지고 있으며, 여러개의 miku1.jpg 이미지와 함께 flag.txt가 존재한다. /image?path=miku1.jpg 로 접속하면 img 하위에 있는 이미지를 조회할 수 있다. index.html 페이지가 로드될 때 아래와 같이 7개의 이미지를 요청한다. // app.js const express = require('express'); const path = require('path'); const app = express(); const PORT = process.env.PORT ?? 3000; app.use(express.static(path.join(__dirnam..