Path Traversal в загрузке файлов

# Path Traversal (чтение файлов вне разрешённого каталога) ## Сценарий Вы — пентестер, приглашённый на аудит **DevMerch** — небольшого магазина мерча для разработчиков: футболки с принтами, стикеры, значки. Каталог работает на самописном PHP, и вся графика товаров раздаётся отдельным эндпоинтом: клиент передаёт имя файла, сервер находит его в публичном каталоге изображений и отдаёт содержимое. Команда разработки уверена, что эндпоинт безобиден — он «всего лишь читает картинки». На прошлой неделе внешний сканер отметил подозрительную гибкость этого эндпоинта, и вам поручили проверить его вручную. ## Цель 1. Изучите эндпоинт раздачи изображений на легитимном запросе и определите, как сервер строит итоговый путь к файлу. 2. Подтвердите Path Traversal на безопасной цели — стандартном системном файле с предсказуемым содержимым. 3. Прочитайте файл с флагом лабораторной работы, созданный при старте контейнера, и сдайте его значение. ## Теория Path Traversal (Directory Traversal, CWE-22) — атака, при которой пользователь манипулирует именем файла, чтобы выйти за границы предусмотренной директории. Базовый вектор — обход каталогов через последовательность переходов вверх: каждый такой сегмент поднимает итоговый путь на уровень по дереву каталогов. Если приложение склеивает базовую директорию с пользовательским вводом и не проверяет результат, атакующий читает любые файлы, доступные процессу веб-сервера. **Уязвимый паттерн:** ```php $filePath = __DIR__ . '/../../static/img/' . $file; readfile($filePath); ``` Имя файла из запроса напрямую конкатенируется с базовой директорией. Функции файловой системы PHP не проверяют границы: они открывают тот путь, который им передали. Канонизация и проверка «остался ли итоговый путь внутри базовой директории» — отдельная операция, и в этом коде её нет. Точная глубина базовой директории атакующему даже не нужна: избыточные переходы вверх ядро операционной системы срезает до корня файловой системы. ## Точка входа атаки `GET /download?file=<имя_файла>` — публичный эндпоинт раздачи изображений товаров; аутентификация не требуется. Легитимный пример: `?file=hoodie.svg`. * **Обычный пользователь (для навигации по магазину):** `demo` / `demo`