File Upload Bypass через двойное расширение

# Загрузка файлов: обход allowlist через двойное расширение ## Сценарий Вы — пентестер маркетплейса цифровых стикеров **StickerForge**: авторы загружают арт-паки для модерации, а файлы витрины раздаются по прямым ссылкам. После недавнего инцидента команда добавила фильтр расширений и уверена, что на сервер теперь попадают только изображения. Тимлид сомневается: проверка выглядит слишком короткой для такой гарантии, и вас попросили испытать её на прочность. ## Цель 1. Разберитесь, какая именно часть имени файла участвует в проверке фильтра. 2. Загрузите файл, чьё имя оканчивается разрешённым расширением, но содержит ещё один суффикс перед ним — и содержимое, исполняемое браузером при открытии. 3. Примените открытый канал против привилегированной учётной записи и добудьте флаг из административной панели. ## Теория Классическая проверка «по расширению» в Go извлекает из имени суффикс после последней точки. Для сортировки файлов это удобно, но как защитный фильтр такое определение уязвимо: имя может содержать несколько суффиксов, и проверка увидит лишь последний из них. Файл с двумя расширениями проходит фильтр и сохраняется на диск под оригинальным именем целиком — вместе с опасным суффиксом и содержимым, не имеющим отношения к изображению. **Уязвимый паттерн:** ```go // Из "note.html.jpg" извлекается только ".jpg" — и проверка проходит: ext := strings.ToLower(filepath.Ext(header.Filename)) if !allowedExts[ext] { return } ``` Механика атаки: клиент полностью контролирует имя файла, поэтому подбирает его так, чтобы последний суффикс удовлетворял белому списку. Содержимое при этом не проверяется, а при раздаче файла по прямой ссылке браузер получает противоречие между именем и содержимым — и исполняет вложенную разметку как страницу в домене приложения. ## Точка входа атаки `POST /api/upload` — multipart-форма с полем `file`; загруженные файлы открываются напрямую по пути из ответа (`GET /uploads/...`). * **Обычный пользователь:** `demo` / `demo` * **Администратор:** `admin` / `SuperSecret`