File Upload: Обход расширений и Path Traversal

# Path Traversal при загрузке файла ## Сценарий Вы проводите согласованный пентест магазина оптики **LensLoft**. В фокусе — загрузка аватара: форма отправляет файл, сервер кладёт его в каталог статики и показывает в профиле. Разработчики считают эндпоинт безопасным: имя сохранения якобы не контролируется пользователем. Вас смущает, как именно код добирается до имени файла из запроса. Служебная метка лабы хранится в окружении сервера и доступна шаблонизатору страниц — проверьте, можно ли добраться до неё через загрузку. ## Цель 1. Изучите multipart-запрос формы аватара: какие его части полностью контролирует клиент. 2. Направьте сохранение файла за пределы каталога загрузок — в место, содержимое которого сервер использует при рендеринге страниц. 3. Через перезаписанный ресурс добейтесь вывода служебной метки в ответе страницы и получите флаг. ## Теория Multipart-запрос содержит заголовки каждой части, включая имя файла. Браузер подставляет туда имя выбранного файла, но для сервера это обычная строка из запроса: клиент, отправляющий форму вручную, может вписать любую — с разделителями каталогов и восходящими сегментами. **Уязвимый паттерн:** ```go uploadPath := filepath.Join("static", "uploads", filename) os.WriteFile(uploadPath, fileData, 0644) ``` Имя из заголовка части запроса попадает в путь сохранения без очистки: восходящие сегменты выводят итоговый путь за пределы каталога загрузок. Ценность такой записи — файлы, которые приложение читает и исполняет позже. Здесь это шаблоны страниц: страница профиля перечитывает свой шаблон с диска при каждом обращении, а в наборе функций шаблонизатора зарегистрировано чтение переменных окружения — ровно то, что нужно для вывода метки. ## Точка входа атаки `POST /profile/avatar` — multipart-форма загрузки аватара (поле `avatar`); имя файла берётся из заголовка части запроса. * **Учётные данные:** `demo` / `demo` * **Цель:** служебная метка из окружения сервера — выведите её на странице профиля