Code Injection: eval() в Node.js калькуляторе

# Code Injection: выполнение произвольного кода через eval ## Сценарий Вы аудируете **BulkBuy** — магазин оптовых закупок на Express. На сайте есть калькулятор скидок: покупатель вводит выражение, сервер вычисляет и показывает итог. Разработчик гордо рассказывает, что «вычисления делает сам движок — ни одного самописного парсера». Ваша задача на аудите — проверить, чем ещё занимается этот движок, помимо арифметики. ## Цель 1. Войдите под обычным аккаунтом и найдите калькулятор. 2. Проверьте, ограничивается ли вычислитель арифметикой: подайте ему конструкции, выходящие за пределы математики. 3. Через полученный канал выполните код в процессе приложения и добудьте CTF-флаг из окружения процесса. ## Теория Code Injection (CWE-95): пользовательский ввод попадает в механизм динамического выполнения кода и перестаёт быть данными — становится программой. Это сильнее классической инъекции команд через shell: исполняется код на языке самого приложения, со всеми его возможностями — глобальным объектом процесса, загрузкой модулей, файловыми API, без единого метасимвола оболочки. **Уязвимый паттерн:** ```javascript // Выражение пользователя выполняется как код: const expression = (req.body && req.body.expression) || ''; let result = eval(expression); // полный доступ к языку и процессу ``` Универсальный вычислитель не умеет отличать безопасную арифметику от опасного кода: всё синтаксически корректное выполняется в контексте приложения. Результат возвращается в интерфейс — значит, и прочитанные данные окажутся прямо в поле ответа калькулятора. ## Точка входа атаки `POST /calculator` — поле `expression`; доступно любому вошедшему пользователю. * **Обычный пользователь:** `demo` / `demo`