SSTI: Pug Template Engine в Express

# SSTI (Инъекция шаблона Pug) ## Сценарий «ВегаБутик» — бутик одежды и аксессуаров с онлайн-витриной. В профиле покупателя есть «персональное приветствие»: произвольная строка, которая показывается владельцу при каждом входе. Фича выглядит безобидной — строка пользователя возвращается на его же страницу. Но обработчик профиля перед выводом пропускает эту строку через шаблонизатор Pug как исходник шаблона, а не как данные. Ревьюер поднял тревогу, и вас попросили оценить, что из этого можно извлечь: в переменных окружения серверного процесса хранится секрет, и добыть его — цель аудита. ## Цель 1. Авторизуйтесь и найдите поле, ввод которого возвращается на страницу профиля. 2. Докажите, что сервер вычисляет введённый текст как шаблон, а не возвращает его как данные. 3. Через синтаксис шаблонов добейтесь выполнения кода на сервере и прочитайте секретную переменную окружения — в ней флаг. ## Теория Server-Side Template Injection возникает, когда недоверенная строка попадает в шаблонизатор как код шаблона, а не как данные. Pug компилирует шаблон в функцию, и его грамматика рассчитана на программистов, а не на пользовательский текст: внутри интерполяции вычисляются JavaScript-выражения, а служебная директиза позволяет исполнить целую строку кода. Глобальные объекты Node.js видны из этого кода напрямую. **Уязвимый паттерн:** ```js // Пользовательская строка рендерится как Pug-шаблон: greetingRendered = pug.render(user.greeting, { name, username }); ``` Механика словами: строка из поля приветствия передаётся движку в роли исходника шаблона, поэтому записанные в его синтаксисе выражения и кодовые строки исполняются на сервере. До секрета достаточно дотянуться одним выражением: глобальный объект процесса содержит коллекцию переменных окружения, остаётся выбрать в ней нужное имя и вывести значение. ## Точка входа атаки `POST /profile/greeting` — форма сохранения приветствия: поле `greeting`. `GET /profile` — страница профиля: рендерит сохранённое приветствие. * **Тестовая учётная запись:** `demo` / `demo`