XSS через атрибут (javascript: URL)

# XSS в атрибуте ссылки (опасная схема URL) ## Сценарий Вы — специалист безопасности **GearNest**, магазина гиковских гаджетов. Скоро включают публичные профили покупателей: в кабинете указывается ссылка на личный сайт, и она отображается на странице профиля, открытой всем посетителям. Продуктовая команда считает, что раз шаблонизатор экранирует разметку, то ссылка безопасна; вас попросили проверить это утверждение до релиза, заодно с формой «Report to Admin», по которой администратор открывает присланные ссылки. ## Цель 1. Найдите поле профиля, значение которого попадает в адресный атрибут ссылки на публичной странице профиля, и убедитесь: экранирование разметки работает, а схема URL никак не проверяется. 2. Подберите схему адреса, при клике по которой в браузере посетителя исполняется скрипт, и подготовьте нагрузку, доставляющую cookie жертвы на ваш Exploit Server. 3. Отправьте боту-администратору ссылку на свой публичный профиль, перехватите его сессию и заберите CTF-флаг из админ-раздела. ## Теория Автоэкранирование шаблонизатора защищает ровно один контекст: текст и атрибуты HTML. Но значение в адресном атрибуте ссылки браузер трактует не как HTML, а как URL — со своими правилами и своими опасностями. В URL существуют схемы, при переходе по которым браузер не запрашивает ресурс, а исполняет содержимое адреса как код в контексте текущей страницы. HTML-экранирование такую схему не нейтрализует: она состоит из обычных букв. **Уязвимый паттерн:** ```python website = request.form.get('website', '').strip() db.execute('UPDATE users SET website=? WHERE id=?', (website, user['id'])) ``` Значение поля сохраняется как есть, без разбора адреса, и в шаблоне публичного профиля попадает в адресный атрибут. Сессия магазина хранится в cookie, доступной скрипту страницы, поэтому исполнение кода в браузере посетителя означает и кражу его сессии. ## Точка входа атаки `POST /profile/website` — сохранение ссылки, поле `website`. Публичный профиль — `GET /profile/<username>`. Доставка боту-администратору — `POST /report` с полем `url`. * **Обычный пользователь:** `demo` / `demo` * **Администратор:** пароль не нужен — его сессию вы и перехватываете