Reflected XSS в поиске товаров

# Reflected XSS в поиске по каталогу ## Сценарий «Буквограф» — интернет-магазин книг и настольных игр. Технический директор Марат Галеев обратился к вам после жалобы читателей: в тематических чатах распространилась ссылка на «подборку со скидкой», ведущая на страницу поиска магазина со странным длинным адресом. Марат подозревает, что через поисковую строку каталога кого-то атакуют, и просит проверить, может ли чужой код исполниться в браузере открывшего такую ссылку. ## Цель 1. Найдите точку отражения поискового запроса на странице каталога и подтвердите, что внедряемая разметка исполняется браузером. 2. Подготовьте ссылку, при открытии которой cookie администратора отправляются на доступный вам сервер приёма, и передайте её боту-администратору через страницу отчёта. 3. Подмените свою сессию перехваченным значением, войдите в админ-панель и выкупите товар «CTF Flag» — флаг появится в профиле. ## Теория Reflected XSS возникает, когда данные из запроса без преобразования вставляются в HTML страницы. Значение параметра поиска попадает в разметку страницы результатов как есть: браузер не отличает его от собственного кода страницы и исполняет всё, что в нём содержится. **Уязвимый паттерн:** ```php <p class="text-muted text-sm" style="margin-bottom:1.25rem;">Showing results for &ldquo;<?= $query ?>&rdquo;</p> ``` Механика атаки: злоумышленник формирует адрес страницы поиска, в котором параметр несёт разметку с исполняемым содержимым, и заманивает на неё жертву. Страница «отражает» ввод прямо в тело документа — код срабатывает в сеансе жертвы: доступна её сессия, и конфиденциальные данные, включая идентификатор сессии, можно отправить на подконтрольный атакующему приёмник. ## Точка входа атаки `GET /catalog` — параметр `q` (поисковый запрос), отражается на странице результатов. `POST /report` — поле `url`: ссылка, которую проверит бот-администратор. * **Обычный пользователь:** `demo` / `demo` * **Администратор:** `admin` / `???`