Path Traversal: Normpath Bypass

# Обход пути (неполная нормализация имени) ## Сценарий Вы — пентестер, нанятый «СпортСити» — сетевым магазином спортивных товаров — перед миграцией витрины в новый дата-центр. В магазине есть эндпоинт скачивания изображений товаров, и разработчик, наслышанный о traversal, «защитил» его стандартной функцией нормализации пути. Тимлид не уверен, что защита работает, и просит проверить это на практике: миграция — удачный повод закрыть старые дыры. ## Цель 1. Найдите эндпоинт скачивания и проверьте, действительно ли нормализация имени файла блокирует переходы в родительские каталоги. 2. Прочитайте за пределами папки раздачи исходный код и служебные данные приложения — найдите учётные данные привилегированного аккаунта с достаточным балансом. 3. Войдите под этим аккаунтом и купите секретный товар «CTF Flag». 4. Заберите флаг со страницы профиля. ## Теория Нормализация пути упрощает его запись: схлопывает дублирующиеся разделители и упоминания текущего каталога. Но нормализация — не проверка границ: она возвращает канонический вид того же пути, не привязывая его к разрешённой директории. Если нормализовать ввод до склейки с базой, последовательности «на уровень вверх» переживают «защиту» и попадают в итоговый путь как есть. **Уязвимый паттерн:** ```python safe_name = os.path.normpath(filename) full_path = os.path.join(BASE_DIR, safe_name) ``` После склейки результат уже ничем не проверяется: путь выходит за пределы папки изображений — и дальше до любого файла сервера, включая исходный код приложения. ## Точка входа атаки `GET /download` — имя файла передаётся параметром запроса `file`. Для входа используйте `POST /login` с полями `username` и `password`. * **Обычный покупатель:** `demo` / `demo` * **Администратор:** `admin` / `???` — данные для входа ищите в ходе атаки