SQL Injection: UNION SELECT через поиск каталога

# SQL-инъекция: извлечение данных через поиск по каталогу ## Сценарий Компания **«БарсДиджитал»** открыла багбаунти на своём магазине гаджетов: приложение на Express с базой SQLite, и отчёты по веб-части щедро оплачиваются. Поиск по каталогу — первое, что вы решили проверить: строка из формы уходит в условие фильтрации SQL, а найденные товары сервер сразу отрисовывает на странице. Служба безопасности уверена, что «поиск всего лишь фильтрует товары» и ничего не может утекнуть. ## Цель 1. Подтвердите, что строка поиска попадает в SQL-запрос как часть синтаксиса, и определите состав колонок исходного запроса. 2. Присоединив к запросу собственную выборку, извлеките из базы пароль учётной записи **admin** — он придёт прямо на страницу каталога. 3. Войдите как **admin**, купите товар **CTF Flag** и заберите флаг со страницы профиля. ## Теория Когда приложение возвращает результат запроса прямо в ответе, SQL-инъекция превращается в канал чтения базы: атакующий присоединяет к исходному запросу вторую выборку, и её строки выводятся на страницу как «обычные» результаты. Условие соединения выборок — одинаковое число и совместимые типы колонок, поэтому атака начинается с их определения. **Уязвимый паттерн:** ```js const query = `SELECT id, name FROM products WHERE name LIKE '%${search}%'`; ``` Строка поиска интерполируется в текст SQL целиком, вместе с маской фильтрации. Закрыв строковый литерал кавычкой, атакующий дописывает к запросу выборку из любой таблицы базы и комментарием отсекает остаток исходного условия. Число колонок исходного запроса удобно подобрать перебором: сортировка по возрастающему номеру колонки подсказывает, где проходит граница. ## Точка входа атаки `GET /catalog` — параметр `q` (форма поиска по названию товара); вход в магазин для покупок — форма логина. * **Обычный пользователь:** `demo` / `demo` * **Целевая учётная запись:** `admin` / `???` (пароль — цель извлечения)