Path Traversal: Absolute Path

# Обход пути через абсолютное имя файла (Path Traversal) ## Сценарий Вы — участник приватного багбаунти магазина автозапчастей «МоторЛавка». Эндпоинт скачивания изображений деталей принимает имя файла и отдаёт содержимое из папки изображений. Разработчик уже знает про обход пути и поставил фильтр, отсекающий типичную traversal-последовательность, — и считает задачу решённой. Программа багбаунти платит за чтение файлов вне папки раздачи; проверьте, действительно ли фильтр закрыл весь класс уязвимости. ## Цель 1. Найдите эндпоинт скачивания и убедитесь, что относительный переход в родительский каталог блокируется. 2. Найдите форму имени файла, при которой фильтр пропускает запрос, а построение пути всё равно выходит за пределы папки изображений. 3. Прочитайте конфигурационный файл приложения в его корневой директории и получите флаг. ## Теория Чёрные списки в защите от обхода пути принципиально неполны: они закрывают известные приёмы, оставляя незамеченными остальные. Здесь фильтр отвергает последовательности «на уровень вверх», но итоговый путь строится функцией склейки сегментов, у которой есть коварное свойство: если присоединяемый аргумент — абсолютный путь, база отбрасывается, и итогом становится сам аргумент. Привязка к базе работает только для относительных имён. **Уязвимый паттерн:** ```python filepath = os.path.join(IMG_BASE_PATH, name) ``` Перед склейкой стоит проверка, отвергающая переходы вверх, но абсолютное имя она не считает опасным — а функция склейки в этом случае молча заменяет базовую директорию целиком. ## Точка входа атаки `GET /download` — имя файла передаётся параметром запроса `name`. Для входа в магазин используйте `POST /login` с полями `username` и `password`. * **Обычный покупатель:** `demo` / `demo`