Code Injection через eval() в PHP-калькуляторе

# Инъекция кода (Code Injection) через динамическое вычисление выражений ## Сценарий Вы — внешний аудитор, привлечённый компанией **«ВентаТрейд»** — дистрибьютором сувенирной продукции и IT-мерча для конференций и корпоративных заказчиков. B2B-витрина «ВентаТрейд» построена на нативном PHP, и к осеннему сезону конференций новый разработчик в спешке добавил публичный калькулятор оптовых цен. Крупный заказчик перед подписанием годового контракта потребовал проверить новую функциональность — разбираться досталось вам. ## Цель 1. Изучите калькулятор: отправьте типовое арифметическое выражение и определите, как введённая строка превращается в ответ сервера. 2. Докажите, что ввод исполняется как код: добейтесь, чтобы вместо числа сервер вернул строковое значение, которое вы попросили вычислить. 3. Выполните код, читающий переменную окружения веб-процесса с секретной меткой платформы, — полученное значение и есть флаг. ## Теория Калькулятор вычисляет выражение не в браузере, а на сервере — и самым опасным из возможных способов: строка из формы подставляется в языковую конструкцию динамического исполнения PHP. Интерпретатор компилирует и выполняет её с правами веб-процесса, а результат возвращает на страницу. Граница между данными и кодом исчезает: любой введённый текст, оказывающийся корректным выражением языка, будет выполнен — и речь не только об арифметике. Уязвимый паттерн: ```php $expr = $_POST['expr'] ?? ''; eval('$evalResult = ' . $expr . ';'); ``` Механика атаки сводится к подмене арифметики выражением языка: отправьте вызов встроенной функции, возвращающей строку, — её значение появится в блоке результата на той же странице. Отсюда один шаг до выполнения любого кода, доступного процессу, в том числе чтения его окружения, где платформа хранит секретную метку. ## Точка входа атаки Форма калькулятора: `GET /calculate`; вычисление: `POST /calculate` с полем `expr`. Калькулятор публичный — авторизация не требуется. * **Демо-аккаунт магазина:** `demo / demo` * **Администратор:** `admin / ???`