Path Traversal: Базовый обход директорий в Express

# Path Traversal: чтение файлов вне базовой директории ## Сценарий Магазин постеров и принтов **PosterPit** отдаёт изображения товаров отдельным эндпоинтом скачивания: клиент называет имя файла, сервер ищет его в каталоге картинок и возвращает содержимое. Разработчик считал, что раз имя всегда берётся из ссылок каталога, «ничего страшного в нём быть не может». Приглашённый аудитор не согласен: параметр запроса контролирует клиент. В служебном каталоге рядом с картинками лежит файл, который магазину точно не нужно показывать покупателям, — доберитесь до него. ## Цель 1. Войдите покупателем и найдите эндпоинт скачивания: как он принимает имя файла и что отдаёт. 2. Проверьте, ограничивает ли сервер итоговый путь рамками каталога изображений. 3. Сформируйте имя, выводящее путь в соседний служебный каталог, и прочитайте файл с флагом. ## Теория Path Traversal возникает, когда путь к файлу строится склейкой базового каталога с пользовательским вводом без последующей проверки границ. Функции склейки путей послушно нормализуют сегменты перехода в родительский каталог, но не запрещают результату покидать базу. **Уязвимый паттерн:** ```js const filepath = path.join(IMG_BASE_PATH, filename); data = fs.readFileSync(filepath); ``` Итоговый путь передаётся в чтение файла как есть: если в имени достаточно переходов вверх по дереву, сервер прочитает файл за пределами каталога изображений — любой, к которому у процесса есть доступ. ## Точка входа атаки `GET /download?file=<имя>` — эндпоинт скачивания изображения; параметр `file` принимает имя файла из каталога изображений. * **Пользователь:** `demo` / `demo`