CSRF: Несанкционированное действие через поддельный запрос (Express)

# CSRF: подделка межсайтового запроса ## Сценарий Вы — пентестер, исследующий **MarketPulse** — интернет-магазин на Express. В админ-панели есть привилегированные действия: удаление аккаунтов и активация специальной распродажи. Прямого доступа у вас нет, но в приложении работает механизм «Report to Admin»: пользователь отправляет ссылку, и администратор-бот её открывает. Заказчик просит проверить, можно ли через этот механизм заставить администратора сделать то, чего он не хотел. ## Цель 1. Войдите под обычным аккаунтом и изучите, какие привилегированные действия есть в админ-панели и какие из них защищены токеном. 2. Найдите действие, выполняемое только по роли, без «доказательства намерения». 3. Подготовьте страницу-приманку и доставьте её администратору через механизм отчётов. 4. Дождитесь выполнения действия от имени администратора и извлеките CTF-флаг из изменившегося каталога. ## Теория CSRF (Cross-Site Request Forgery, CWE-352) заставляет браузер жертвы отправить нежелательный запрос на доверенный сайт. Сторонняя страница не может прочитать cookie сессии, но браузер прикрепит её к запросу автоматически — и сервер, видя валидную сессию и роль, выполнит действие. Защита строится на втором факторе намерения: токене, который сторонний сайт знать не может. **Уязвимый паттерн:** ```javascript // Обработчик проверяет роль, но не происхождение запроса: app.post('/admin/activate-sale', (req, res) => { if (!user || user.role !== 'admin') return res.status(403).send('...'); // ...привилегированное действие выполняется... }); ``` Рядом в той же панели есть эквивалентное действие с проверкой токена, а это осталось без него. Достаточно, чтобы браузер авторизованного администратора отправил POST на этот адрес с любой страницы. ## Точка входа атаки `POST /admin/activate-sale` — активация специальной распродажи (только роль `admin`, без токена). Доставка страницы-приманки — Exploit Server и форма отчёта администратору. * **Обычный пользователь:** `demo` / `demo` * **Бот-администратор:** периодически открывает ссылки из отчётов