Access Control: Горизонтальная эскалация через API в Express

# Горизонтальная эскалация: чужие заметки через REST API ## Сценарий Вы аудируете **Quantro** — сервис командных заметок на Express: у каждого сотрудника личная страница, и фронтенд подгружает записи из REST API. В службу безопасности обратился уволенный тестировщик: он утверждал, что читал чужие заметки, лишь поменяв число в адресе запроса. Руководство просит подтвердить или опровергнуть эти слова. ## Цель 1. Войдите под обычным аккаунтом и найдите API-эндпоинт, который отдаёт заметки пользователя — подсмотрите его в сетевых запросах на странице заметок. 2. Подмените идентификатор владельца в адресе запроса и подтвердите, что сервер отдаёт чужие заметки. 3. Доберитесь до заметок администратора и извлеките CTF-флаг из их содержимого. ## Теория Broken Object-Level Authorization (OWASP API1), в обиходе — IDOR: эндпоинт проверяет аутентификацию (есть ли валидная сессия), но не авторизацию на конкретный ресурс (можно ли этому пользователю читать именно эти данные). Идентификатор владельца приходит из самого запроса, и сервер доверяет ему безоговорочно. **Уязвимый паттерн:** ```javascript // Идентификатор владельца берётся из пути, а не из сессии: const userId = parseInt(req.params.user_id, 10); const notes = db.prepare( 'SELECT id, title, content, created_at FROM notes WHERE user_id=?' ).all(userId); ``` Обработчик честно требует сессию, но затем выбирает заметки по идентификатору из адреса запроса, который полностью контролируется клиентом. Достаточно подставить чужое значение — и API вернёт чужие записи. ## Точка входа атаки `GET /api/users/:user_id/notes` — JSON-эндпоинт списка заметок; числовой идентификатор владельца передаётся прямо в пути. Вход в приложение — `POST /login` с полями `username` и `password`. * **Обычный пользователь:** `demo` / `demo`