Path Traversal: Обход naive blacklist-фильтра в Express

# Path Traversal: обход фильтра имён файлов ## Сценарий Магазин электроники **«Смарт-Витрина»** добавил мини-фичу: карточка товара отдаёт файл изображения по имени из параметра запроса, а сервер на Express читает его из каталога статики. Разработчик знает про path traversal и даже написал «очистку»: последовательность перехода вверх по дереву каталогов вырезается из имени. Ревьюер усомнился, что вырезание действительно защищает, — и передал вопрос вам. ## Цель 1. Убедитесь, что эндпоинт скачивания принимает имя файла из параметра запроса и корректно отдаёт легитимный файл. 2. Проверьте, как «очистка» обрабатывает имя с несколькими последовательностями перехода вверх — блокирует их или лишь ослабляет. 3. Через обход каталогов прочитайте окружение серверного процесса и извлеките флаг. ## Теория Path traversal возникает, когда имя файла от пользователя попадает в путь без жёсткой привязки к разрешённому каталогу. Попытка «вырезать опасные символы» — самая хрупкая защита из возможных: она проверяет вход, а не результат. **Уязвимый паттерн:** ```js function sanitiseFilename(name) { return name.replace('../', ''); // ровно одно вхождение, без повторной проверки } ``` Замена подстроки без глобального флага вырезает только первое вхождение последовательности: если их несколько, остаток доходит до склейки с базовым каталогом. Края имени после вырезания середины тоже могут снова сложиться в опасную последовательность. Функция сборки пути нормализует оставшиеся сегменты перехода — итоговый путь выходит за пределы каталога статики, и процесс отдаёт атакующему произвольные доступные ему файлы. ## Точка входа атаки `GET /download` — параметр `file` (имя файла изображения из каталога статики). * **Обычный пользователь (для знакомства с магазином):** `demo` / `demo`