File Upload Bypass через подмену Content-Type

# Загрузка файлов: обход проверки типа содержимого ## Сценарий Вы проводите аудит сервиса фотопечати **LumenPrint**: клиенты загружают снимки в личный кабинет, а партнёры — баннеры для витрины. Последний релиз добавил загрузку аватаров, и разработчики уверены, что фильтр расширений надёжно отсекает всё, кроме изображений. Поводом для проверки стала жалоба менеджера: после открытия «картинки» из галереи его браузер повёл себя так, будто это была вовсе не картинка. ## Цель 1. Изучите проверку на эндпоинте загрузки: решение о типе файла принимается по расширению имени или по реальному содержимому? 2. Загрузите файл, который сервер примет за изображение, а браузер при прямом открытии проинтерпретирует как документ с исполняемым содержимым. 3. Продемонстрируйте работу этого канала под доменом приложения и добудьте флаг из административной панели. ## Теория Безопасная загрузка файлов требует согласованной проверки трёх независимых вещей: имени файла, реального содержимого и способа отдачи. Если фильтруется только расширение, атакующий называет файл «изображением», а вкладывает внутрь разметку страницы. Окончательное решение тогда принимает браузер: не получив строгого запрета, он может сам определить тип по первым байтам содержимого и запустить HTML-парсер с исполнением встроенных сценариев — это называется MIME sniffing. Заголовок, отключающий такое поведение, на раздаче не выставляется. **Уязвимый паттерн:** ```go ext := strings.ToLower(filepath.Ext(header.Filename)) if !allowedExts[ext] { return } io.Copy(out, file) // содержимое сохраняется без проверки ``` Механика атаки: фильтр доверяет той части имени, которую полностью контролирует клиент, содержимое никто не анализирует, а браузеру разрешено угадывать тип по содержимому. В результате загруженная «картинка» превращается в активную страницу в origin приложения — с доступом к сессии того, кто её открыл. ## Точка входа атаки `POST /api/upload` — multipart-форма с полем `file`; сохранённые файлы открываются напрямую по пути из ответа (`GET /uploads/...`). * **Обычный пользователь:** `demo` / `demo` * **Администратор:** `admin` / `SuperSecret`