Horizontal Privilege Escalation: изменение профиля другого пользователя

# Horizontal Privilege Escalation: модификация профиля другого пользователя ## Сценарий Вы — постоянный покупатель магазина снаряжения для пентестеров **ПентестБокс**. В личном кабинете есть форма смены аватара: вы указываете URL картинки, форма отправляет данные на сервер, и сервер обновляет вашу учётную запись. Команда уверена, что эндпоинт безобиден: каждый пользователь редактирует только свой профиль. Внутренний аудит, впрочем, предупредил: система фиксирует попытки изменить чужой профиль и в этом случае раскрывает атакующему контрольную метку — флаг. ## Цель 1. Изучите форму обновления аватара на странице профиля: какие поля она отправляет на сервер и какие из них контролируются клиентом. 2. Найдите параметр, по которому сервер решает, чей профиль обновлять, и который он принимает из тела запроса без проверки. 3. Из обычной учётной записи измените чужой профиль — система зафиксирует горизонтальную эскалацию, и флаг появится на странице вашего профиля. ## Теория Horizontal Privilege Escalation — частный случай IDOR (Insecure Direct Object Reference, CWE-639): аутентифицированный пользователь получает доступ к ресурсам другого пользователя того же уровня привилегий. В отличие от вертикальной эскалации, обходить ролевую защиту не нужно — атакующий и жертва оба «обычные пользователи». Корень проблемы: приложение определяет, чей ресурс обрабатывать, по полю из тела запроса, а не по идентификатору аутентифицированной сессии. **Уязвимый паттерн:** ```go // user_id приходит из формы — атакующий решает, чей профиль обновится userID := r.FormValue("user_id") db.Exec("UPDATE users SET avatar_url=? WHERE id=?", avatarURL, userID) ``` Сервер доверяет скрытому полю формы, поэтому перехват запроса и подмена идентификатора перенаправляют UPDATE на чужую запись. Корректная реализация всегда берёт идентификатор владельца из сессии и игнорирует любые клиентские поля, претендующие на эту роль. ## Точка входа атаки `POST /profile/avatar` — форма обновления аватара (form-encoded): поле `avatar_url`, скрытое поле `user_id` и актуальный `csrf_token` со страницы профиля. * Обычный пользователь: `demo` / `demo`