keymoon​

@AlpacaHack を宜しくおねがいします icon: @awomomiji

[keymoon​ @kymn_]

ゴルフ、7500はまだ信じられるが7600は正直信じがたい。7700は何?

[keymoon​ @kymn_]

I also wanted to write a article about the similar thing. here is the brain dump:

All
- Avoid challenge names that hint at the solution.
- ✕: [pwn] Orange Juice: use House of Orange
- This is unnecessary, and it makes people who did not notice the hint feel bad or think the challenge is unfair.
- If you want to give a hint, do it explicitly.
- ✕: Our heart is bleeding...
- ◯: This challenge is related to [Heartbleed](https[:]//www[.]heartbleed[.]com/)
- Challenges should be self-contained.
- ✕: `from FLAG import secret`
- ◯: `FLAG = os.environ.get("FLAG", "flag{fake}")`
- What if `secret` does something suspicious?
- Avoid multi-stage challenges, such as putting two completely different challenges together
- Ideally, one challenge should contain one core idea
- Put the source code in the encrypted ZIP if you make revenge challenges
- NEVER use ZipCrypt
- Diffing the source can reveal the patch and invalidate the effort of solvers who solved it in the unintended way
- If your challenge is based on a previous challenge, link to it
- Otherwise, you need to add the OSINT tag (just kidding)
- Avoid fake flags and intentional rabbit holes.
- They are not fun :(

Pwn
- Pin the Docker image hash. Never run `apt upgrade` inside the container, or libc may be updated
- Document the kernel version and VM configuration. `mmap` works differently across environments
- If your challenge can be cheesed with a 24-bit bruteforce, add rate limiting or a strong PoW
- Stop reading huge inputs with `read`
- It can make the challenge unsolvable from distant locations
- Instead, use `scanf` or a hand-written string input function
- Include the source code if possible

Crypto
- Assert the flag format if the solution relies on it
- This can be too obvious, so add the assertion to all challenges: hide the tree in the forest
- Try to avoid magic numbers, such as embedded suspicious primes
- If you need determinism, use SHA-256 of the flag as a seed
- If the magic number has some useful property, such as smoothness, state it explicitly
- Ideally, solvers should know all information except the secret
- Some common cheese:
- A 512-bit `N` can be factored on a workstation
- A 256-bit DLP is solvable

Rev
- Byte-by-byte comparison or early returns can be cheesed with instruction counting

[keymoon​ @kymn_]

While we’re here, let me propose an option that would cut your server load and make Japanese users ditch Claude on the spot: please add a “Ctrl+Enter to send” option 🙏🙏🙏

Japanese/Chinese users use input method so-called IMEs. We hit Enter a million times just to confirm characters, not to send.

So accidental sends happen constantly. Every time, we get annoyed, and your GPUs get one more totally pointless request.

Imagine if double-tapping Space was “send”. That’s basically what this feels like.

Ctrl+Enter to send would cut server load and make our QoL a gazillion times better.

Please consider it 🙏🙏🙏🙏

[keymoon​ @kymn_]

(そもそも返信返ってきてなくてバグがeligibleかもわかってないけど)

[keymoon​ @kymn_]

負け惜しみのようになるが、pwn2ownはsubmissionを持っていたもののレジ競争に敗北していた 結果見る限りあんま人気なそうなターゲット(プロプラ系)だったのでcollisionもしなかった説が出てきている

[keymoon​ @kymn_]

このカスハック、limit resetを予期せぬ時期に発生させることが(意図してではないと思うが)効果を低減させてるな

[keymoon​ @kymn_]

カスハック2: 2アカウントでPlusプランとProプランを交互に切り替え続け、Plusプランでは切り替わり6日前にcodexを叩いておくことでPro Plan相当のWeekly Limitを一ヶ月に6枠ねじ込める(1+7+7+7+7+2)

[keymoon​ @kymn_]

一体どうして今年もこの苦行に身を投じてしまったのだろう 微妙にlongest leaderを狙えそうなのがまた悪い

[keymoon​ @kymn_]

最近はkaggleをやっています（語弊）
https://t.co/IoxlH0J0th

[keymoon​ @kymn_]

まずい！

[keymoon​ @kymn_]

@fwarashi 3b1bの動画が好きです
https://t.co/mE5Ngmnuvx

[keymoon​ @kymn_]

チー付与世界の科学に触れると魔力が弱まるやつ、エーアイに触れてコーディングができなくなる我々にそっくりだ(？)

[keymoon​ @kymn_]

あと3% まずすぎる

[keymoon​ @kymn_]

今週絶対Codexのリセットくる読みでもうWeekly Limitを90%くらい使ってしまった

[keymoon​ @kymn_]

カスハック2: 2アカウントでPlusプランとProプランを交互に切り替え続け、Plusプランでは切り替わり6日前にcodexを叩いておくことでPro Plan相当のWeekly Limitを一ヶ月に6枠ねじ込める(1+7+7+7+7+2)

[keymoon​ @kymn_]

毎月ChatGPTを再契約したほうが総合多くcodex を使えるんじゃないか? と思った カスハックを防ぐために契約更新タイミングでもリセットされるようにならないかな

[keymoon​ @kymn_]

@Atalie2m アカウントごと変えてしまうことを想定してました。最近専らブラウザのChatGPTは使ってないので、まあいいかなと……（アカウントを変えると以前のcodexセッションを引き継げなくなるという問題はあるんですけど、まあそれでもWeekly Limitリセットのメリットが勝つ気がなんとなくしてます）

[keymoon​ @kymn_]

まじで競技が好きなんだなということに最近自覚的になってきた すべての物事においてリーダーボードがあるとやる気が5倍くらいになる

[keymoon​ @kymn_]

もう通った(早い)

[keymoon​ @kymn_]

やっとCyber Use Case申請を出した（遅い）

[keymoon​ @kymn_]

こんぱくちょんが走り記憶を失ってしまったclaudeくん、ウォーリーのラストみがある