XSS через атрибут (javascript: URL) в Node.js

# XSS (Опасная URL-схема в атрибуте ссылки) ## Сценарий «СитиГрядка» — магазин для городских фермеров. В профиле покупателя есть поле «личный сайт», которое показывается на публичной странице профиля кликабельной ссылкой. Разработчики уверены в защите: автоэкранирование шаблонизатора включено, спецсимволы кодируются. Но значение попадает в атрибут ссылки — URL-контекст со своими правилами, — и схема URL при сохранении никак не проверяется. Тестировщик предположил, что экранирование HTML не запрещает исполнимые схемы ссылок, и попросил вас доказать это на практике. Канал доставки уже есть: форма отчёта, по которой администратор открывает присланные страницы в своей сессии. ## Цель 1. Убедитесь, что вставить HTML-тег через поле «личный сайт» нельзя, а выбрать URL-схему — можно. 2. Сохраните в профиль такую ссылку, чтобы клик по ней на публичной странице профиля исполнил ваш код в браузере посетителя. 3. Доставьте администратора на свой публичный профиль через форму отчёта, перехватите его сессию и заберите флаг из служебной панели. ## Теория Экранирование HTML защищает контекст разметки: оно мешает «выйти» из атрибута и вставить тег. Но у ссылки есть второе измерение — URL-схема, и оно экранированием не контролируется. Существуют схемы, при активации которых браузер не переходит по адресу, а исполняет тело ссылки как код в контексте текущей страницы. Автоэкранирование шаблонизатора такие схемы не блокирует: значение остаётся валидным атрибутом и при этом становится исполнимым. **Уязвимый паттерн:** ```html <!-- Ссылка пользователя в атрибуте без проверки схемы: --> <a href="{{ user.website }}">{{ user.website }}</a> ``` Механика словами: значение из профиля попадает в атрибут без валидации схемы. Посетитель, кликнувший по такой ссылке на публичном профиле, запускает код в собственном авторизованном контексте; скрипт видит cookie домена и может доставить сессию атакующему на внешний приёмник. ## Точка входа атаки `POST /profile/website` — форма обновления поля «личный сайт»: поле `website` (нужен CSRF-токен со страницы профиля). `GET /profile/:username` — публичная страница профиля с кликабельной ссылкой. `GET /report` и `POST /report` — форма отправки ссылки администратору. `GET /admin` — служебная панель с флагом (роль администратора). * **Тестовая учётная запись:** `demo` / `demo` * **Приёмник данных:** Exploit Server (ссылка на панели лабы)