SSTI: User Greeting

# SSTI (Инъекция шаблона Nunjucks) ## Сценарий «ПринтХата» — мастерская персональной печати с онлайн-витриной. Недавно добавили «персональное приветствие»: покупатель пишет произвольную строку, и она показывается ему на странице профиля при каждом входе. Фича выглядит безобидной — строка пользователя возвращается на его же страницу. Но обработчик профиля перед выводом пропускает эту строку через шаблонизатор Nunjucks как исходник шаблона, а не как данные. Ревьюер поднял тревогу, и вам поручили проверить, что из этого можно извлечь: в переменных окружения серверного процесса хранится секрет, и добыть его — цель аудита. ## Цель 1. Авторизуйтесь и найдите поле, ввод которого возвращается на страницу профиля. 2. Докажите, что сервер вычисляет введённый текст как шаблон, а не возвращает его как данные. 3. Через контекст шаблонизатора добейтесь выполнения кода на сервере и прочитайте секретную переменную окружения — в ней флаг. ## Теория Server-Side Template Injection возникает, когда недоверенная строка попадает в шаблонизатор как код шаблона, а не как данные. Nunjucks вычисляет выражения в интерполяции, обращается к свойствам объектов и вызывает методы — всё это выполняется в процессе сервера. Прямые «опасные» глобальные объекты в контексте шаблона обычно не лежат, но у любого объекта есть свойства-конструкторы, и цепочка от встроенного хелпера через конструктор функций приводит к способу выполнить произвольную строку как код. **Уязвимый паттерн:** ```js // Пользовательская строка рендерится как шаблон: greetingRendered = nunjucks.renderString(user.greeting, { name, username }); ``` Механика словами: строка из поля приветствия передаётся движку в роли исходника шаблона, поэтому всё, что записано в синтаксисе выражений, исполняется на сервере. От внутреннего хелпера-функции через свойство-конструктор создаётся новая функция из выбранной строки; внутри неё виден глобальный объект процесса, а в его переменных окружения — секрет с флагом. ## Точка входа атаки `POST /profile/greeting` — форма сохранения приветствия: поле `greeting`. `GET /profile` — страница профиля: рендерит сохранённое приветствие. * **Тестовая учётная запись:** `demo` / `demo`