Forced Browsing: доступ к скрытому эндпоинту экспорта

# Forced Browsing: незащищённый административный эндпоинт ## Сценарий Вы — зарегистрированный пользователь **SupplyLine** — B2B-портала оптовых закупок на Go. Админ-панель надёжно закрыта проверкой роли, и команда уверена, что все административные маршруты защищены одинаково: функции добавлялись постепенно, несколькими релизами. Аудитору заказчика это не нравится: при таком росте легко где-то забыть проверку. Проверьте все административные маршруты, а не только панель. ## Цель 1. Составьте список административных маршрутов приложения и сравните проверки доступа, применённые к каждому. 2. Найдите маршрут, защищённый слабее остальных, — типичная ошибка при постепенном добавлении функций. 3. Обратившись к нему с обычной учётной записи, получите выгрузку конфиденциальных данных и извлеките из неё флаг. ## Теория **Forced Browsing** (прямое обращение, CWE-425) — получение доступа к закрытой функциональности прямым запросом, минуя навигацию интерфейса. Уязвимость возникает, когда защита существует лишь на уровне интерфейса (обычному пользователю не показывается ссылка) или на части маршрутов, но не на всех. Именно так происходили известные инциденты в реальных продуктах: один забытый при регистрации маршрут открывал административные функции любому вошедшему. **Уязвимый паттерн:** ```go // Панель и удаление защищены проверкой роли, экспорт — только проверкой сессии: mux.Handle("GET /admin", h.AdminMiddleware(http.HandlerFunc(h.AdminPanel))) mux.HandleFunc("GET /admin/export", h.AuthMiddleware(h.AdminExport)) ``` Каждая регистрация маршрута сама выбирает, какую проверку навесить, — и там, где разработчик ошибся, проверяется лишь наличие сессии, а не роль. Отсутствие ссылки в интерфейсе создаёт иллюзию защищённости, но «невидимость» — не контроль доступа: атакующему с валидной учётной записью достаточно обратиться к адресу напрямую. Правильная архитектура — единая граница для целой группы маршрутов, а не отдельная обёртка для каждой регистрации. ## Точка входа атаки * `GET /admin` — админ-панель; корректно требует роль администратора (сравните её отказ с поведением цели). * Цель — административный маршрут с ослабленной проверкой: прямой запрос с обычной сессией. * **Обычный пользователь:** `demo` / `demo`