SSRF: Fetch Avatar

# SSRF: подделка запроса с сервера ## Сценарий «Лоцман» — интернет-магазин навигационного оборудования с сообществом покупателей. Чтобы не хранить аватары у себя, разработчик добавил в профиль функцию «загрузить по ссылке»: сервер сам скачивает картинку с указанного адреса. Вы проводите аудит по подписке на безопасность, и функция, заставляющая сервер идти по чужой ссылке, сразу притягивает взгляд. ## Цель 1. Войдите обычным покупателем и изучите форму загрузки аватара по ссылке на странице профиля. 2. Заставьте сервер через эту форму обратиться к внутреннему административному сервису, который отвечает только на самом узле приложения и недостижим снаружи. 3. Верните ответ внутреннего сервиса в браузер и извлеките из него флаг. ## Теория Server-Side Request Forgery — класс атак, при котором атакующий заставляет сервер выполнить сетевой запрос по выбранному им адресу. Сервер живёт внутри сетевого периметра: с него видны сервисы, недоступные извне, — административные панели, служебные эндпоинты, локальный интерфейс самого приложения. **Уязвимый паттерн:** ```python resp = http_requests.get(url, timeout=5) return resp.text, resp.status_code, {'Content-Type': resp.headers.get('Content-Type', 'text/plain')} ``` Адрес из формы уходит в запрос без какой-либо проверки. Клиент не может обратиться к внутреннему сервису напрямую, но может попросить об этом сервер: значение поля подставляется в запрос, выполняемый от лица приложения, а тело ответа внутреннего сервиса возвращается пользователю в ответе. ## Точка входа атаки `POST /profile/fetch-avatar` — форма на странице профиля, поле `url` (потребуется вход и токен формы со страницы профиля). * **Обычный пользователь:** `demo` / `demo`