Path Traversal: Базовый обход директорий

# Обход пути (Path Traversal) ## Сценарий Вы — тестировщик безопасности на подряде у «СадГигант» — интернет-магазина растений и садового инвентаря. Каталог магазина богат изображениями, и разработчики сделали эндпоинт скачивания картинок: клиент присылает имя файла, сервер отдаёт содержимое из папки изображений. Владелец просил проверить «всё, что связано с файлами», после того как у соседнего маркетплейса утекли складские накладные. ## Цель 1. Найдите эндпоинт скачивания файлов и разберитесь, как сервер строит итоговый путь. 2. Проверьте, контролирует ли сервер границы папки, из которой раздаёт файлы. 3. Составьте имя файла, выводящее путь за пределы папки изображений, и прочитайте файл с флагом в соседней служебной директории. ## Теория Path Traversal (CWE-22) возникает, когда сервер строит путь к файлу из базовой директории и пользовательского ввода, не проверяя результат. В записи путей есть специальные последовательности со значением «на уровень вверх»: операционная система раскрывает их при обращении, и итоговый путь выходит за границы базовой папки. Простая склейка сегментов пути эту угрозу не останавливает. **Уязвимый паттерн:** ```python filepath = os.path.join(IMG_BASE_PATH, filename) return send_file(filepath) ``` Итоговый путь не нормализуется и не сверяется с базовой директорией: имя с переходами вверх принимается как есть, а файл отдаётся по получившемуся пути. ## Точка входа атаки `GET /download` — имя файла передаётся параметром запроса `file`. Для входа в магазин используйте `POST /login` с полями `username` и `password`. * **Обычный покупатель:** `demo` / `demo`