Утечка данных через сообщения об ошибках

# Раскрытие информации через сообщения об ошибках ## Сценарий Вы — пентестер мебельного маркетплейса **LoftCart**. Приёмка перед релизом почти пройдена: авторизация, CSRF-защита и параметризованные запросы на месте. Однако тестировщик, опечатавшись в номере товара, получил вместо аккуратной страницы «не найдено» простыню технического текста — и передал её вам как подозрительную. Команда уверена, что это безобидная мелочь; вам предстоит проверить, что именно утекает вместе с такой ошибкой. ## Цель 1. Спровоцируйте ошибку на эндпоинте карточки товара — несуществующим или невалидным идентификатором — и изучите полный текст ответа сервера. 2. Определите, какие категории данных попадают в ответ: текст внутренней ошибки, отладочная секция, конфигурация процесса. 3. Извлеките флаг лабы из отладочной секции ответа. ## Теория Подробные сообщения об ошибках — классический канал утечки: обработчик возвращает клиенту внутренние детали, предназначенные разработчику. В ответ попадают текст ошибки базы данных с именами таблиц и структурой запроса, а заодно — «временный» отладочный вывод, который забыли убрать перед релизом. Атакующему достаточно направить невалидный вход и прочитать ответ: чем подробнее диагностика, тем больше он узнает о схеме данных и конфигурации приложения, включая секреты. **Уязвимый паттерн:** ```go if err != nil { // Сырая ошибка и отладочный дамп уходят клиенту: http.Error(w, fmt.Sprintf("Error: %v\n--- Debug Info ---\n...", err), 500) } ``` Механика атаки: объект ошибки форматируется напрямую в тело HTTP-ответа вместе с секцией отладочной информации. Обращение к несуществующему ресурсу гарантированно вызывает ошибку чтения из базы — и сервер сам раскрывает структуру запроса, внутренние детали и секретные значения из конфигурации процесса. ## Точка входа атаки `GET /product/{id}` — карточка товара; укажите несуществующий или невалидный идентификатор. * **Обычный пользователь:** `demo` / `demo`