IDOR: Mass Assignment — эскалация через JSON

# Mass Assignment: эскалация привилегий через JSON-API ## Сценарий «МерчБокс» — внутренний магазин мерча компании: сотрудники покупают футболки и стикеры со скидкой, профиль настраивается через JSON-API. На прошлой неделе служба безопасности заметила, что у одного стажёра необъяснимо вырос баланс, и наняла вас разобраться, через какую щель. Личный кабинет выглядит невинно — а вот как именно сервер применяет обновления, стоит проверить. ## Цель 1. Войдите рядовым сотрудником и обновите профиль обычным способом; изучите, какие поля API возвращает в ответе. 2. Сообразите, какие служебные атрибуты есть у записи пользователя, кроме видимых в форме, и подмешайте один из них в запрос обновления, повысив свою роль. 3. Откройте административный раздел — флаг будет там. ## Теория Mass Assignment — ситуация, когда сервер переносит поля из входного запроса в атрибуты записи оптом, без явного списка того, что клиенту менять разрешено. Рядом с легитимными «имя» и «аватар» в тот же механизм попадают служебные атрибуты: привилегии, баланс, идентификаторы. Их должен устанавливать только сервер. **Уязвимый паттерн:** ```python for key, value in data.items(): db.execute(f'UPDATE users SET {key}=? WHERE id=?', (str(value), user['id'])) ``` Каждый ключ из JSON становится столбцом обновления. Отдельные критичные поля разработчик защитил, но у записи есть и другие атрибуты, о которых форма профиля умалчивает, — они проходят через тот же цикл без вопросов. Клиенту достаточно отправить их в теле запроса, чтобы назначить себе чужие права. ## Точка входа атаки `PUT /api/profile` — JSON-API обновления профиля, тело — объект с полями записи (нужна сессия после входа). * **Обычный пользователь:** `demo` / `demo`