Blind SSTI: Notification Templates

# Server-Side Template Injection (слепая, через уведомления) ## Сценарий Вы — внешние аудиторы **DevBazaar**, маркетплейса девайсов для разработчиков. Недавно подрядчик переработал email-уведомления: темы и тела писем редактируются в админ-панели и хранятся в базе, а отправленные копии попадают в журнал рассылки. Служба безопасности заказала проверку этой связки до следующей маркетинговой волны: рассылки уходят тысячами, и ошибка в шаблоне обойдётся дорого. ## Цель 1. Войдите администратором и найдите раздел редактирования шаблонов уведомлений и журнал отправленных писем. 2. Подтвердите, что тело шаблона исполняется сервером именно как шаблон. Форма предпросмотра не возвращает результат напрямую, поэтому ищите косвенный канал вывода и подтвердите наблюдение измеримым способом. 3. Извлеките CTF-флаг из переменных окружения процесса и прочитайте его там, куда приложение записывает результат рендеринга. ## Теория Ослеплённая (blind) SSTI отличается от классической только каналом вывода: приложение исполняет недоверенный текст как шаблон, но результат не показывает в ответе на сам запрос. Это задерживает атаку, но не останавливает её: результат рендеринга почти всегда куда-то записывается, а само исполнение подтверждается и по времени отклика. **Уязвимый паттерн:** ```python rendered = render_template_string( tmpl['body'], username='demo', order_id='12345' ) ``` Тело шаблона достаётся из базы и первым аргументом уходит в функцию, компилирующую произвольную строку как шаблон. Готовый текст приложение записывает в журнал уведомлений — оттуда и читается вывод. Дальше как в классической SSTI: из шаблонного контекста через специальные атрибуты добираются до переменных окружения процесса. ## Точка входа атаки `POST /admin/template/<id>` — сохранение шаблона, поля `subject` и `body`. `POST /admin/template/preview` — отправка уведомления с текущим телом (поле `template_id`); готовый текст появляется в журнале на `GET /admin/notifications`. * **Администратор:** `admin` / `SuperSecret` * **Обычный пользователь:** `demo` / `demo`