Second-Order SQL Injection через профиль пользователя

# Second-Order SQL-инъекция: срабатывание сохранённого ввода в профиле ## Сценарий Вы проводите аудит магазина аудиотехники «Белый Шум» (нативный PHP, SQLite) после выкатки «социальной» функции: на странице профиля появился блок похожих пользователей с тем же полным именем. Внешний пентест форм редактирования ничего не нашёл — регистрация и вход параметризованы, — и команда считает профильно-социальный блок мелочью. Заказчик попросил перепроверить именно его до рекламной кампании новой фичи. ## Цель 1. Убедитесь, что прямых инъекций в формах нет, и зарегистрируйте пользователя, спрятав вредоносную конструкцию в поле полного имени — при записи она сохранится как обычная строка. 2. Откройте профиль и добейтесь срабатывания «спящей» инъекции в блоке похожих пользователей. 3. Извлеките хеш пароля администратора, восстановите пароль и войдите под его учётной записью. 4. Купите товар «CTF Flag» и заберите флаг со страницы профиля. ## Теория Second-order (хранимая) инъекция работает в два такта: вредоносное значение безопасно сохраняется в базу через параметризованный запрос, а срабатывает позже — в другом месте, где данные, прочитанные из «своей» базы, снова вклеиваются в текст SQL конкатенацией. Разработчик ошибочно считает сохранённые данные доверенными: на точке ввода атаку не видно, сканеры форм молчат. **Уязвимый паттерн:** ```php $fullname = $user['fullname']; $sql = "SELECT username, fullname FROM users WHERE fullname LIKE '%" . $fullname . "%' AND id != " . (int)$user['id']; ``` Полное имя записывается при регистрации параметризованно — спецсимволы остаются буквальной строкой. Но блок похожих пользователей читает это имя из базы и склеивает из него новый запрос. Сохранённая конструкция «просыпается» уже как SQL-код: она способна изменить условие выборки и дополнить её строками из таблицы учётных записей — включая хеш пароля администратора, который отрисуется в списке похожих пользователей. ## Точка входа атаки * **Точка сохранения:** `POST /register`, поле `fullname`. * **Точка срабатывания:** `GET /profile` — блок похожих пользователей. * **Обычный пользователь для разведки:** `demo` / `demo` Пароль администратора словарный — хеш узнаваем по базе распространённых паролей. Флаг появится на странице `/profile` после входа под администратором и покупки товара «CTF Flag».