IDOR: Вертикальная эскалация привилегий в Express

# IDOR: вертикальная эскалация привилегий ## Сценарий Интернет-магазин **WebMart** вырос из пет-проекта: административная панель пристраивалась к нему наспех, раздел за разделом — список покупателей, сводная статистика, управление учётными записями. Панель должна быть доступна только администрации, и в интерфейсе обычного покупателя ссылок на неё нет. Инвестор перед сделкой задал вопрос: «А что, если ввести адрес панели прямо в браузере?» Проверьте, что на самом деле защищает административные разделы магазина. ## Цель 1. Войдите обычным покупателем и осмотритесь: какие разделы вам видны. 2. Проверьте прямым обращением, какие адреса административного раздела действительно закрыты от обычного пользователя, а какие открываются. 3. Через доступный административный раздел прочитайте сводную статистику магазина и получите флаг. ## Теория Вертикальная эскалация привилегий — частный случай Broken Access Control: защищённая функция проверяет, что пользователь вошёл, но не проверяет его роль. Проверка «вошёл» — аутентификация, проверка «имеет право» — авторизация; административная панель обязана требовать обе. **Уязвимый паттерн:** ```js if (!user) return res.redirect('/login'); // роль пользователя не проверяется ``` Ниже по коду запросы к списку покупателей и сводным данным выполняются для любого вошедшего. Отсутствие ссылок в интерфейсе — не защита: адреса административных разделов легко угадать по типовым конвенциям или найти в разметке и скриптах страниц. ## Точка входа атаки `GET /admin` — панель со списком пользователей, `GET /admin/stats` — сводная статистика магазина, `POST /admin/delete/<id>` — удаление пользователя. * **Пользователь:** `demo` / `demo`