URL Case Bypass: обход проверки пути с помощью регистра

# URL Path Bypass: обход проверки доступа сменой регистра пути ## Сценарий Вы — покупатель магазина электроники **КиберБазар**. Админ-зона закрыта middleware: для путей, начинающихся с `/admin`, обычный пользователь получает отказ. Проверку написали «в лоб» — как строковое сравнение, — и команда уверена, что она держит удар. Внутренний аудит, разбирая реестр маршрутов, заметил подозрительную деталь: один и тот же обработчик доступен по двум записям пути, различающимся только регистром. А среди защищённых эндпоинтов есть JSON-эндпоинт с данными всех пользователей и секретом системы. ## Цель 1. Убедитесь, что прямой запрос к защищённому эндпоинту из-под обычной учётной записи заканчивается отказом. 2. Разберитесь, как именно middleware отличает «admin-путь» от остальных: какое сравнение применяется к строке пути и нормализуется ли она перед этим. 3. Найдите альтернативную запись того же пути — семантически ту же страницу, но строково другую — и извлеките флаг из JSON-ответа. ## Теория Авторизация по URL обязана работать с канонической формой пути: сначала путь нормализуется (единый регистр, без лишних слэшей и сегментов), и только затем сравнивается. Прямое сравнение «как есть» создаёт лазейку: один и тот же ресурс в HTTP нередко достижим по нескольким строковым записям, и часть из них строковой проверке не соответствует. **Уязвимый паттерн:** ```go // путь сравнивается как есть — сравнение чувствительно к регистру if strings.HasPrefix(r.URL.Path, "/admin") && user.Role != "admin" { http.Error(w, "Access Denied", 403); return } ``` Механика атаки: проверка ожидает префикс строго в нижнем регистре. Если маршрут зарегистрирован ещё и в другом написании, запрос по этому написанию не совпадает с префиксом — middleware пропускает его без проверки роли, а обработчик отрабатывает как для обычной страницы. ## Точка входа атаки `GET /admin/data` — JSON-эндпоинт админ-панели: список пользователей и сервисные данные; доступ закрыт middleware проверки роли. * Обычный пользователь: `demo` / `demo`