CSRF: Несанкционированное действие через поддельный запрос (Flask)

# CSRF: подделка межсайтового запроса ## Сценарий Вы проводите аудит безопасности **ByteBunker** — интернет-магазина гик-мерча на Flask, который собственными силами собрал основатель Дима. Помимо витрины, в приложении есть админ-панель: список пользователей, удаление аккаунтов и «секретная распродажа», запускаемая одной кнопкой. Дима уверен, что панель надёжно закрыта: каждый обработчик проверяет роль пользователя. Поводом для проверки стала странная жалоба — каталог обновился сам собой, хотя никто из команды кнопку не нажимал. В магазине предусмотрен функционал «Report to Admin»: покупатель отправляет ссылку, и администратор (бот, периодически просматривающий отчёты) её открывает. Это готовый канал доставки — классическая атака **Cross-Site Request Forgery**. ## Цель 1. Авторизуйтесь как обычный пользователь и изучите разметку админ-панели в той части, что доступна неадминистратору: формы привилегированных действий присутствуют в общем HTML. 2. Сравните формы между собой и найдите действие, для отправки которого не требуется «доказательство намерения» — токен. 3. Подготовьте страницу, которая сразу после открытия отправляет это действие от имени посетителя, и доставьте её администратору через механизм отчётов. 4. Когда распродажа активируется, купите товар **CTF Flag** в каталоге — флаг отобразится в профиле. ## Теория CSRF эксплуатирует поведение браузера: сессионная cookie прикрепляется к любому запросу на домен приложения — независимо от того, кто инициировал запрос. Если обработчик изменяющего состояние действия проверяет только аутентичность сессии, сторонняя страница может заставить браузер жертвы отправить нужный POST: сервер увидит валидную сессию и выполнит действие от имени жертвы. Защита строится на втором, недоступном атакующем секрете — CSRF-токене, который сервер выдаёт вместе с формой. **Уязвимый паттерн:** ```python @app.route('/admin/activate-sale', methods=['POST']) def activate_sale(): user = get_user() if not user or user['role'] != 'admin': return 'Access Denied', 403 ``` После проверки роли обработчик сразу выполняет действие. Сверки «доказательства намерения» с секретом сессии здесь нет — в отличие от соседнего обработчика удаления пользователей. ## Точка входа атаки `POST /admin/activate-sale` — форма без обязательных полей (проверяется только роль и сессия). Доставка — `POST /report` с полем `url`: ссылка на подготовленную страницу, размещённую на сервере эксплойтов. * **Обычный пользователь:** `demo` / `demo` * **Администратор:** управляется ботом отчётов; отдельные учётные данные не нужны