Ark (@arkark

Pinned

Dec 26, 2025

Cross-Site ETag Length Leak blog.arkark.dev/2025/12/26/eta… I just posted the author writeup for impossible-leak in SECCON CTF 14 Quals. As far as I know, this is a new XS-Leak technique! The ETag header can become a side channel :)

blog.arkark.dev

Cross-Site ETag Length Leak | XS-Spin Blog

A novel XS-Leak technique that turns ETag length differences into a cross-site oracle via 431 errors and History API.

Ark

@arkark_

Jan 16, 2020

$man ascii でアスキー表を見れるの知らなかった（毎回ぐぐってた）

米山舞さんのアクリルブロックが届いた！

int data[] = { #include "data.csv" }; これができる

uchan 2026/5/9 第7回自作CPUを語る会

@uchan_nos

Aug 24, 2018

C++好きな人！ぜひ，RustにはないC++の良さを教えてください！

Ark

@arkark_

Apr 27, 2022

CTFの成功体験なにかあったか考えてたんだけど、 SQLすら全然知らなかったときに、ネットから適当に引っ張ってきたSQL injectionのペイロードでSECCON BeginnersのDBを破壊して全参加者回答不能にしたことかも。破壊体験は大事

Ark

@arkark_

Aug 22, 2021

うおおおおおお予選1位だった🙌 #isucon

ISUCON11 オンライン予選全てのチームのスコア（参考値） : ISUCON公式Blog

Writeups for my challenges in #SECCON CTF 2023 Finals! - cgi-2023: XS-Leak with CSP error reports by SRI checks. - LemonMD: Breaking Islands Architecture of Fresh. - DOMLeakify: New CSS injection on style **attributes**. and 2 challs.

blog.arkark.dev

SECCON CTF 2023 Finals: Author Writeups | XS-Spin Blog

Writeups for my challenges (babywaf, cgi-2023, LemonMD, DOMLeakify, and whitespace.js) in SECCON CTF 2023 Finals.

Ark

@arkark_

Dec 30, 2024

Writeups for my challenges in ASIS CTF Finals 2024! - fetch-box: A sandbox challenge with fetch. - fire-leak: XS-Leak based on client-side ReDoS without JavaScript.