Stored XSS в комментариях к товарам (Node.js)

# Хранимая XSS (Stored XSS в комментариях) ## Сценарий **GearTalk** — магазин девайсов на Node.js и Express, где отзывы — главная фишка: на странице каждого товара авторизованный пользователь оставляет комментарий, тот сохраняется в базе и показывается всем посетителям. Стажёр Максим разрешил HTML в тексте комментариев, чтобы отзывы «жили»: жирный шрифт, эмоции, акценты. Модерации комментариев нет, и Максим давно занят другими задачами. На релизный обзор безопасности прислали именно вас. ## Цель 1. Проверьте, что разметка из текста комментария исполняется при открытии страницы товара — у каждого посетителя. 2. Сконструируйте комментарий, исполнение которого в браузере жертвы доставит её сессионный идентификатор на ваш Exploit Server. 3. Заманите администратора на страницу с комментарием через форму отчёта, перехватите его сессию и заберите CTF-флаг из админ-раздела. ## Теория Хранимая XSS отличается от отражённой тем, что вредоносная разметка сохраняется на сервере один раз и исполняется автоматически при каждом просмотре страницы — специально сконструированная ссылка не нужна. Источник здесь — текст комментария, приёмник — вывод в HTML страницы товара: шаблон для комментариев явно отключает авто-экранирование шаблонизатора, и любые теги из сохранённого текста становятся живыми элементами страницы. **Уязвимый паттерн:** ```html <!-- Текст комментария выводится с отключённым экранированием: --> <p class="comment-text">{{ c.text|safe }}</p> ``` Шаблонизатор по умолчанию экранирует спецсимволы в интерполируемых значениях, превращая разметку в видимый текст. Явный фильтр «доверяй этому значению» отключает защиту: всё, что попало в поле комментария, исполняется в браузере каждого посетителя страницы товара с правами её скриптов. ## Точка входа атаки `POST /product/<id>/comment` — форма комментария на странице товара, поле `text`. Канал доставки на жертву: `POST /report` — ссылка на страницу товара с вашим комментарием. * **Обычный пользователь:** `demo` / `demo` * **Администратор:** бот, который открывает присланные через форму отчёта ссылки в собственной авторизованной сессии — его пароль вам недоступен, комментарий должен сработать в его браузере сам * **Exploit Server:** приёмник данных — ссылка на панели лабы