Предсказуемые Токены Сессии (MD5)

# Предсказуемые сессионные токены ## Сценарий Вы проводите аудит безопасности **PixelPerk** — интернет-магазина кофе и мерча для удалённых команд, написанного на Go. Приложение идентифицирует пользователя по cookie `session_token`: после входа сервер выдаёт её клиенту и дальше проверяет значение на каждом запросе. Команда уверена, что сессии надёжны: токен выглядит как длинная hex-строка, «неужели это можно подделать?». У вас есть обычная учётная запись — проверьте, можно ли с её помощью оказаться в чужой, административной сессии. ## Цель 1. Изучите формат значения `session_token` после собственного входа: длина, алфавит, изменчивость между входами. 2. Найдите закономерность, связывающую значение токена с данными, которые вам известны о собственной учётной записи. 3. Не зная пароля администратора, вычислите его токен, подмените cookie и извлеките флаг из админ-панели. ## Теория Сессионный токен обязан быть **непредсказуемым**: получив любое число валидных токенов, атакующий не должен суметь вычислить чужой. На практике это значит — генерация криптографически стойким генератором случайных чисел и энтропия не ниже 128 бит. Любая «оптимизация» — токен, производный от имени, идентификатора или времени, — превращает сессию в детерминированную функцию известных данных. **Уязвимый паттерн:** ```go // Токен — детерминированная функция от имени пользователя: hash := md5.Sum([]byte(username)) token := fmt.Sprintf("%x", hash) http.SetCookie(w, &http.Cookie{Name: "session_token", Value: token, Path: "/"}) ``` Атакующий входит собственной учёткой, получает валидный токен и подбирает формулу: перебирает хеш-функции от известных ему данных — имени, идентификатора, почты — пока результат не совпадёт с его токеном. Формула найдена — токен любой учётки вычисляется без пароля, а имя администратора обычно общеизвестно. Ситуацию усугубляют публичные таблицы соответствий: хеши коротких распространённых строк давно выписаны и доступны каждому. ## Точка входа атаки * `POST /login` — форма входа; после успеха браузер получает cookie `session_token`. * **Обычный пользователь:** `demo` / `demo` * **Цель:** `admin` / `???` — пароль не нужен, нужен только его токен. * `GET /admin` — админ-панель с флагом; требует сессию администратора.