File Upload: Content-Type Bypass

# Небезопасная загрузка файлов: подмена типа содержимого ## Сценарий Вы проводите аудит фотосообщества «Фотополка» (нативный PHP, Apache) перед открытием публичной регистрации. Пользователи загружают снимки в профиль, загрузчик закрыт белым списком расширений изображений, и разработчик уверен, что этого достаточно. Модератор пожаловался на «странный файл с расширением картинки», который открылся как страница, — вам поручили проверить загрузчик до запуска. ## Цель 1. Изучите проверки загрузчика: что валидируется — имя файла или содержимое? Загрузите файл, который проходит фильтр, но изображением не является. 2. Откройте прямую ссылку на загруженный файл так, чтобы браузер исполнил его как разметку домена приложения, и подтвердите выполнение внедрённого кода. 3. Смоделируйте последствия кражи сессии: войдите привилегированной учётной записью, купите товар «CTF Flag» и заберите флаг со страницы профиля. ## Теория Имя файла и его содержимое — независимые вещи: расширение полностью контролируется клиентом. В этой лабе сервер проверяет только расширение, а при отдаче файла объявляет тип ответа по тому же расширению и не запрещает браузеру самостоятельно определять содержимое. **Уязвимый паттерн:** ```php $ext = strtolower(pathinfo($file['name'], PATHINFO_EXTENSION)); if (!in_array($ext, ['jpg', 'jpeg', 'png', 'gif', 'webp'], true)) { /* отклоняем */ } // ...при отдаче файла: ini_set('default_mimetype', ''); header_remove('Content-Type'); // тип не заявляется вовсе; запрет сниффинга не выставлен ``` Когда ответ не содержит ни заголовка `Content-Type`, ни запрета на определение типа, браузер вынужден анализировать первые байты тела: видит разметку HTML и исполняет её в контексте домена как полноценную страницу. Документ с внедрённым скриптом, сохранённый под видом картинки, становится хранимым XSS на доверенном домене — исполнившись в браузере другого пользователя, скрипт способен украсть его сессию. ## Точка входа атаки `POST /upload` — форма загрузки на странице `/profile`, поле `file` (multipart). Прямая ссылка на сохранённый файл появляется в списке загрузок профиля. * **Обычный пользователь:** `demo` / `demo` * **Привилегированная учётная запись** (для моделирования украденной сессии): `admin` / `SuperSecret` Флаг отображается на `/profile` в карточке «CTF Flag Acquired!» после оформления заказа на товар «CTF Flag».