Information Disclosure: Утечка через backup-файлы

# Утечка через backup-файлы ## Сценарий **MerchoLab** — интернет-магазин IT-мерча. После недавнего релиза разработчик копировал дамп базы и рабочую конфигурацию в публичную статическую директорию, чтобы быстро забрать их из окружения, — и забыл удалить. Руководитель инженерного отдела поручил вам проверить, остался ли после релиза «мусор», доступный из веба, и что он раскрывает. ## Цель 1. Проведите разведку публичной части приложения и найдите служебный файл, перечисляющий скрытые ресурсы. 2. Обнаружьте резервные копии, доступные без авторизации. 3. Извлеките CTF-флаг из резервной копии базы данных. ## Теория Утечка через backup-файлы (CWE-538) — классическая история релизного конвейера: резервная копия или конфигурация попадает в директорию, которую веб-сервер отдаёт целиком, без проверки посетителя. Классический ускоритель утечки — служебный файл для поисковых роботов: владелец запрещает индексацию конфиденциальных путей, и тем самым публикует их точный список. **Уязвимый паттерн:** ```python @app.route('/static/db_backup.sql') def serve_backup(): # дамп с ключами и паролями — без проверки доступа ``` Запрет индексации — рекомендация для ботов, а не контроль доступа: любой HTTP-клиент запрашивает перечисленные пути напрямую. Дамп базы отдаётся как обычная статика: внутри — хеши паролей, ключи сервисов и секретная строка с флагом. Класс проблемы — Security Misconfiguration (OWASP A05:2021). ## Точка входа атаки `GET /robots.txt` — служебный файл для поисковых роботов; затем `GET`-запросы по путям из него. Авторизация не требуется. * **Обычный пользователь (для проверки штатного функционала):** `demo` / `demo`