Reflected XSS в поиске Node.js

# Reflected XSS (Отражённый запрос поиска) ## Сценарий «ЧипБарахолка» — барахолка электронных компонентов с поиском по каталогу. Запрос пользователя отражается на странице результатов («Результаты по запросу …»), и тестировщики заметили, что разметка из запроса при этом не нейтрализуется. В сервисе есть форма «Report to Admin»: администратор открывает присланные ссылки в собственном браузере под своей сессией. Сценарий инцидента напрашивается сам: отражённый XSS в поиске плюс отчёт администратору — и его сессия утекает атакующему вместе с доступом к служебной панели, где хранится флаг. Вам поручили отработать этот сценарий до конца. ## Цель 1. Подтвердите, что разметка из поискового запроса исполняется браузером как HTML. 2. Постройте ссылку, при открытии которой код в браузере жертвы доставит её сессионные cookie на ваш приёмник. 3. Отправьте ссылку администратору через форму отчёта, перехватите его сессию и заберите флаг из служебной панели. ## Теория Reflected XSS возникает, когда пользовательский ввод «отражается» в HTML-ответе без кодирования: разметка из параметра запроса становится частью страницы и исполняется браузером. Скрипт, запущенный на странице, работает в контексте приложения: видит его cookie и может действовать от имени жертвы. Отражённый вариант не хранится на сервере — payload живёт в самой ссылке, поэтому канал доставки критичен: здесь им служит форма отчёта, по которой администратор открывает присланный адрес уже авторизованным. **Уязвимый паттерн:** ```jinja {# Поисковый запрос выводится с отключённым экранированием: #} {{ query | safe }} ``` Механика словами: автоэкранирование шаблонизатора для значения запроса отключено явно, поэтому теги из параметра поиска попадают в разметку как есть. Сессионная кука приложения доступна JavaScript, и код атакующего может прочитать её и отправить на внешний приёмник — например, на выданный вместе с лабой Exploit Server. ## Точка входа атаки `GET /catalog` — страница каталога с формой поиска; отражаемый ввод — параметр `q`. `GET /report` и `POST /report` — форма отправки ссылки администратору. `GET /admin` — служебная панель, доступная роли администратора; в ней флаг. * **Тестовая учётная запись:** `demo` / `demo` * **Приёмник данных:** Exploit Server (ссылка на панели лабы)