Web Security #11. File Upload: почему загрузка файла — это security-проблема Почти каждый сайт умеет принимать файлы: Аватар Документ Резюме Изображение PDF Допустим, приложение принимает: POST /upload HTTP/1.1 Content-Type: multipart/form-data И разработчик проверяет: filename заканчивается на .jpg Кажется, что всё хорошо. Но расширение файла — это только одна характеристика. Нужно учитывать: Имя…

Web Security #10. SSRF: когда сервер делает запрос вместо пользователя Представим сервис, который скачивает картинку по URL. Пользователь отправляет: POST /download HTTP/1.1 Content-Type: application/json { "url": "https://example.com/image.jpg" } Сервер делает запрос: Web Server | | GET https://example.com/image.jpg v example.com Всё нормально. Но теперь представим архитектуру: Internet | v Web S…

Web Security #9. Path Traversal Представим сайт с загрузкой документов: /download?file=report.pdf Сервер хранит документы: /app/files/ report.pdf invoice.pdf manual.pdf Приложение получает имя файла: file = request.args["file"] open("/app/files/" + file) Разработчик ожидает: report.pdf Но проблема в том, что file контролирует пользователь. Приложение должно гарантировать: Файл находится внутри /ap…

Web Security #8. CSRF: когда браузер отправляет запрос не по твоей воле Представим, что ты вошёл на: bank.example У браузера есть: Cookie: session=abc123 Теперь ты открываешь другой сайт. Он может попытаться заставить браузер отправить запрос к bank.example. Например: POST /change-email Если браузер автоматически прикладывает нужную cookie, сервер может увидеть: session=abc123 и решить: Это запрос…

Web Security #7. XSS: когда текст становится кодом Представим страницу профиля. Пользователь вводит имя: Alice Сервер сохраняет его. Затем приложение формирует HTML: <h1>Hello, Alice</h1> Всё нормально. Проблема появляется, когда приложение неправильно обрабатывает пользовательский ввод и браузер начинает воспринимать его как HTML или JavaScript. Например, приложение делает: element.innerHTML = us…