XSS + обход CSP через unsafe-inline

# Reflected XSS при ослабленной политике безопасности контента ## Сценарий Вы — аудитор **TechnoShelf**, интернет-магазина электроники. После внутреннего обучения по безопасности разработчики «усилили» приложение: ко всем ответам добавлен заголовок политики безопасности контента, который должен останавливать исполнение внедрённых скриптов даже при ошибке в разметке. Вас попросили проверить, как новая защита сочетается со страницей каталога: поисковый запрос отражается там на странице результатов, и продуктовая команда уверяет, что «теперь всё закрыто в два слоя». ## Цель 1. Подтвердите первую проблему: значение поискового запроса попадает в HTML-ответ без экранирования — разметка из запроса исполняется браузером. 2. Подтвердите вторую проблему: политика безопасности контента в ответах не запрещает исполнение встроенных в разметку скриптов. Проверки выполняйте независимо. 3. Соберите нагрузку, доставляющую cookie администратора на ваш Exploit Server с учётом ограничений политики, отправьте боту ссылку, перехватите его сессию и заберите CTF-флаг из админ-раздела. ## Теория Политика безопасности контента — вторая линия обороны: если экранирование пропустило исполняемую вставку в HTML, браузер обязан отказать ей в запуске. Но политика работает только в строгом виде: отдельные разрешения, включённые «чтобы ничего не сломалось», полностью отключают эту линию для целого класса вставок. **Уязвимый паттерн:** ```python response.headers['Content-Security-Policy'] = ( "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'") ``` В директиве источников скриптов разрешены и собственный сайт, и встроенные вставки — то есть любой скрипт, попавший в HTML, будет исполнен. При этом источники по умолчанию ограничены собственным сайтом: сторонние ресурсы и сетевые запросы из скрипта блокируются, но переход самой страницы куда-либо политика не контролирует — это и есть путь наружу для перехваченных данных. ## Точка входа атаки `GET /catalog` с параметром `q` — отражение запроса на странице результатов. Доставка боту-администратору — `POST /report` с полем `url`. * **Обычный пользователь:** `demo` / `demo`