何とかしてクローラのフラグ検索結果の成否をリークしたい。可能性もあることに気づく。応答遅延によってフラグをリークする手法が思い浮かぶ。文字数制限が邪魔をして、これも難しい。問い合わせることがわかる。相対パスがリークできる。画像ファイル名は検索結果によって異なるためクローラのフラグ検索結果のオラクルになりえる。躱してクエリに設定してやればよい。フラグのTsukuCTF22{リークするクエリは以下になる。タグは|で設定し、特殊文字と小文字化に注意する(フラグの{などは.を利用して任意の一文字として埋めてやればよい)。リークが行えることがわかったら、/static/img/flag0.jpgが来るまで小文字すべてをクローラへ投げてやり、ヒットしたらフラグ文字列に追加し次の文字を探せばよい。