WebSocket Message Injection (XSS via innerHTML)

# Инъекция в WebSocket-чат: исполнение разметки у других участников ## Сценарий Вы — пентестер сервиса бронирования путешествий **WanderDesk**. Команда добавила живой чат поддержки на WebSocket: сервер принимает сообщение и рассылает его всем, кто сейчас в чате. Безопасность строится на авторизации — «в чат пускаем только своих». У модерации есть бот-администратор: по заявке из сервисной формы отчётов он открывает присланные ссылки. Флаг хранится в его панели, и перед запуском чата для клиентов вас попросили проверить, не опасен ли чат для самих операторов. ## Цель 1. Проследите путь сообщения: как сервер рассылает его участникам и как клиентская страница отображает полученное. 2. Внедрите через сообщение чата активное содержимое, которое исполнится в браузере другого участника. 3. Заманите бота-администратора в чат через форму отчётов и добудьте флаг из его панели, достав содержимое на Exploit Server. ## Теория Хранимый XSS в канале реального времени особенно опасен: сообщение мгновенно доходит до всех подключённых — включая привилегированных участников с активными сессиями. Для защиты достаточно одного из двух слоёв: серверного экранирования спецсимволов разметки при рассылке или безопасной вставки сообщения как текста на клиенте. Здесь нет ни того, ни другого. Флаг cookie не спасает: исполнившийся код работает от имени жертвы — запросы к закрытым страницам того же домена уходят с её cookie автоматически, а прочитанный ответ можно отправить наружу прямо из этого кода. **Уязвимый паттерн:** ```go _, msg, err := conn.ReadMessage() // сообщение пересылается всем как есть, без экранирования: message := string(msg) client.WriteMessage(websocket.TextMessage, []byte(message)) ``` Механика атаки: текст сообщения попадает в браузеры участников без преобразования и вставляется в страницу как разметка. Отправитель контролирует содержимое — значит, может заставить браузер другого участника исполнить код: от имени жертвы открываются закрытые страницы её сессии, и их содержимое уходит атакующему. ## Точка входа атаки `/chat` — страница чата (WebSocket-соединение, точка инъекции); `/report` — сервисная форма отчётов, вызывающая бота-администратора по ссылке. * **Обычный пользователь:** `demo` / `demo`