#javascript

우클릭·드래그·F12를 전부 막아 둔 페이지가 2000자짜리 문자열을 보여주고 "복사할 수 있으면 해봐라"라고 한다. 그런데 그 방어는 전부 브라우저 안에서 도는 JS라, HTTP 응답 자체에는 아무 힘도 없다. curl 한 번이면 본문이 그대로 나온다. 뽑은 문자열을 배포된 스크립트에 넣으면 sha256의 base64 조각과 25바이트 상수를 XOR해 플래그가 떨어진다. 상수가 25바이트, XOR 대상이 23바이트라 출력은 입력과 무관하게 늘 두 글자가 고정된다.

input 값을 검사하는 JS가 난독화돼 있지만, 실제로 가려진 건 charCodeAt·length 같은 메서드 이름뿐이다. 정답을 만드는 두 숫자 배열과 사칙연산 사이클은 평문 그대로 배달되므로, 브라우저가 할 계산을 파이썬으로 그대로 옮겨 실행하면 그게 곧 플래그다.