CSRF: Обход проверки Referer-заголовка

# CSRF: обход защиты через заголовок Referer ## Сценарий Онлайн-магазин **PineMarket** вырос из семейного проекта и живёт на самописном коде. Разработчик Денис, экономя время, «защитил» смену email от CSRF без токенов: обработчик ищет имя домена приложения в заголовке `Referer` и доверяет запросу, если подстрока найдена. Владелица магазина Мария после недавней истории у конкурентов заказала пентест. Администратор магазина по-прежнему открывает все ссылки, присланные через форму жалоб, оставаясь залогиненным в системе. ## Цель 1. Найдите эндпоинт смены email и разберите его проверку источника: где именно в `Referer` сервер ищет имя домена приложения. 2. Подготовьте HTML-страницу с формой, которая отправляется при открытии и подменяет email жертвы на адрес, доступный вам. 3. Разместите страницу так, чтобы её URL удовлетворял проверке, и доставьте ссылку боту-администратору через форму жалоб. 4. Дождитесь смены email администратора: уведомление придёт на новый адрес — в вашем почтовом клиенте приложения появится письмо с флагом. ## Теория Проверка `Referer` — исторически первая попытка защиты от CSRF: браузер прикрепляет этот заголовок к запросам, инициированным с другой страницы, поэтому логика «Referer без нашего домена — чужой запрос» выглядит правдоподобно. Подход рушится, когда проверка сводится к поиску подстроки: имя домена ищется **в любом месте** заголовка — в имени хоста, в пути, в параметрах URL. Атакующий размещает страницу по адресу, в путь которого встроено имя домена жертвы, и проверка пропускает запрос. Дополнительные слабости: часть браузеров и политик конфиденциальности вообще не отправляет `Referer`, а строгое сравнение хоста легко написать с ошибкой. Корректная защита не строится на заголовках, которые контролирует или может вычистить браузер: синхронизированный CSRF-токен или Double-Submit Cookie остаются стандартом. **Уязвимый паттерн:** ```go // Защита «по Referer»: подстрока ищется где угодно в заголовке referer := r.Header.Get("Referer") if !strings.Contains(referer, "secureshop.local") { http.Error(w, "Invalid request origin", 403) return } ``` Механика атаки — обычная CSRF: страница атакующего с авто-отправляемой формой и залогиненная жертва. Отличие одно: URL страницы подбирается так, чтобы поиск подстроки её пропустил. ## Точка входа атаки | Параметр | Значение | |----------|----------| | Ваш аккаунт | `demo` / `demo` | | Уязвимый эндпоинт | `POST /profile/change-email`, поле `email` | | Доставка боту | `POST /report`, поле `url` | | Хостинг payload | Exploit Server (панель лабы; адрес дополняется путём) | | Где появится флаг | `GET /email` — письмо о смене email администратора |