Command Injection: eval() Injection

# Инъекция кода (динамическое вычисление выражений) ## Сценарий Вы — сотрудник службы безопасности «ВольтМастер» — интернет-магазина наборов для сборки электроники. На сайте работает калькулятор скидок: покупатель вводит арифметическое выражение, сервер возвращает результат. Инструмент собирали в спешке к распродаже, и перед новой акцией маркетинг попросил проверить, не тянет ли он за собой чего-нибудь опасного. ## Цель 1. Войдите как обычный покупатель и найдите калькулятор. 2. Проверьте, ограничивается ли ввод арифметикой или сервер принимает любые конструкции языка. 3. Выполните на сервере код, который прочитает файл с флагом, и получите его значение в ответе калькулятора. ## Теория В динамических языках есть механизм вычисления выражений из строки: приложение передаёт ему пользовательский ввод целиком. Калькулятору достаточно арифметики, но вычислитель не делает различий — исполняется всё, что синтаксически допустимо в языке, с полными правами приложения. Это инъекция кода (CWE-95): она не уступает инъекции команд в оболочку, потому что атакующему доступны возможности самого языка — встроенные функции, импорт модулей, файловый ввод-вывод — без запуска системных утилит. **Уязвимый паттерн:** ```python result = str(eval(expression)) ``` Ввод из формы попадает в вычислитель напрямую, а результат возвращается на страницу, поэтому канал не слепой: вывод выполненного кода виден в поле ответа калькулятора. ## Точка входа атаки `POST /calculator` — поле `expression` (плюс CSRF-токен формы). Для входа используйте `POST /login` с полями `username` и `password`. * **Обычный покупатель:** `demo` / `demo`