SSRF: Обход проверки URL через HTTP-редирект в Node.js

# SSRF: обход проверки URL через HTTP-редирект ## Сценарий Оптовик **«Лоцман-Трейд»** принимает товарные фиды партнёров: в админ-панели магазина на Express есть форма импорта — оператор подаёт ссылку на фид, сервер делает пробный запрос и показывает тело ответа. Прямые ссылки на внутренние сети фильтр отвергает, а «доверенные staging-прокси» пропускаются по служебному allowlist окружения. Вас пригласили проверить интеграционный контур перед подключением крупного поставщика. ## Цель 1. Войдите в админ-панель и убедитесь, что прямая ссылка на внутренний эндпоинт статистики блокируется фильтром. 2. Постройте цепочку, в которой начальная ссылка проходит проверку, а итоговый сетевой запрос попадает на внутренний эндпоинт с флагом. 3. Извлеките флаг из JSON-ответа, вернувшегося в предпросмотр фида. ## Теория Проверка URL перед запросом защищает ровно один шаг — первый. Если HTTP-клиент после ответа автоматически следует перенаправлениям, каждый следующий адрес из заголовка `Location` уходит в сеть уже без повторной проверки. **Уязвимый паттерн:** ```js const blocked = await isPrivateHost(parsed.hostname); // проверка — только начальный URL const upstream = await fetch (raw); // редиректы следуются автоматически ``` Атакующий готовит «внешний» адрес, прошедший фильтр, который отвечает перенаправлением на внутренний эндпоинт. Клиент молча идёт по цепочке, оказывается на loopback-адресе — и обработчик возвращает тело внутреннего ответа в предпросмотр формы. В лабораторном окружении роль такого адреса играет учебный staging-редиректор, уже внесённый в allowlist окружения. ## Точка входа атаки `POST /admin/import-feed` — поля `url` и `csrf_token` (токен — со страницы админ-панели); внутренний эндпоинт статистики `GET /admin/stats` отдаёт JSON с флагом. * **Администратор:** `admin` / `admin`