SSTI: Format String Injection

# Server-Side Template Injection через механизм форматирования строк ## Сценарий Вы — AppSec-инженер **ChipCargo**, магазина электроники с экспресс-доставкой. Текст письма восстановления пароля редактируется в админ-панели и хранится в настройках приложения; при каждом запросе сброса в него подставляются имя пользователя и ссылка, а готовое письмо падает во внутреннюю почту получателя. Подрядчик, собиравший этот механизм, уже завершил контракт, и перед включением рассылки на всех клиентов вас попросили проверить, как именно работает подстановка. ## Цель 1. Войдите администратором и найдите шаблон письма восстановления пароля в настройках. 2. Разберитесь, какой встроенный механизм Python использован для подстановки значений и что он умеет помимо «вставить значение по имени». 3. Скомпонуйте шаблон, который через лишние возможности механизма раскроет секретные данные приложения, и получите CTF-флаг: запросите сброс пароля для обычного пользователя и откройте письмо в его внутренней почте. ## Теория В стандартной библиотеке Python подстановка значений в строку — это не одна функция, а целый мини-язык форматирования. Кроме вставки по имени он умеет обращаться по точке к атрибутам переданных объектов и по квадратным скобкам к элементам словарей. Если шаблон строки недоверенный, эти возможности превращаются в SSTI: «подстановка имени» становится чтением внутренних структур процесса. **Уязвимый паттерн:** ```python body = message_template.format( username=username, reset_link=reset_link, user=user, config=app_config) ``` В подстановку переданы не только строки, но и объект пользователя и словарь конфигурации — до них можно «дотянуться» прямо из шаблона. Через специальные атрибуты любого объекта выстраивается цепочка к окружению процесса, а в конфигурации приложения лежат и секретные значения, включая флаг. ## Точка входа атаки `POST /admin/settings` — сохранение шаблона, поле `reset_template`. Триггер рендеринга — `POST /forgot-password` с полем `username`; результат читается во внутренней почте получателя на `GET /email`. * **Администратор:** `admin` / `SuperSecret` * **Обычный пользователь:** `demo` / `demo`