Path Traversal: чтение произвольных файлов через абсолютный путь

# Path Traversal: абсолютный путь ## Сценарий Галерея цифрового искусства **PixelHive** уже пережила один инцидент с чтением чужих файлов и починила эндпоинт скачивания: теперь имена с переходами в родительский каталог отвергаются фильтром. Куратор галереи успокоился, но внешний ревьюэр утверждает, что фильтр закрывает лишь один из способов выйти за пределы каталога изображений: поведение функций построения путей в Node.js содержит исключение, о котором часто забывают. Файл с флагом лежит в файловой системе сервера вне дерева приложения — прочитайте его. ## Цель 1. Найдите эндпоинт скачивания и убедитесь, что переходы в родительский каталог действительно блокируются фильтром. 2. Найдите форму имени файла, которая проходит фильтр, но заставляет сервер читать файл вне каталога изображений. 3. Прочитайте через абсолютный путь файл с флагом и получите его значение. ## Теория Функции построения путей принимают базовый каталог и присоединяемые части, но ведут себя неинтуитивно: если очередная часть сама является абсолютным путём — начинается с корневого разделителя, — все предыдущие части отбрасываются, и итогом становится эта часть. **Уязвимый паттерн:** ```js if (name.indexOf('..') !== -1) { // фильтр ловит только переходы return res.status(400).send('Invalid path: .. not allowed'); } const filepath = path.resolve(IMG_BASE_PATH, name); ``` Фильтр проверяет единственную «опасную» подстроку, а абсолютный путь её не содержит — и молча заменяет собой базовый каталог. Чёрный список конкретных конструкций всегда уже множества способов обойти границы. ## Точка входа атаки `GET /download?name=<имя>` — эндпоинт скачивания изображения; параметр `name` принимает имя файла из каталога изображений. * **Пользователь:** `demo` / `demo`