Брутфорс Формы Входа (Нет Rate Limiting)

# Перебор паролей формы входа (отсутствие rate limiting) ## Сценарий Вы проводите аудит безопасности **OrbitOutfitters** — интернет-магазина экспедиционного снаряжения на Go. Служба мониторинга обратила внимание на серии неудачных входов в логах: десятки отказов подряд от одного адреса за минуту, а на следующий день — успешный вход. Команда уверена, что пароли хешированы и валидация работает, поэтому «подобрать пароль невозможно». Проверьте, что реально останавливает атакующего, которому известна учётная запись администратора. ## Цель 1. Убедитесь, что форма входа не ограничивает частоту попыток: серия неверных входов не вызывает ни задержек, ни блокировок, ни запросов на подтверждение. 2. Автоматизируйте словарный перебор пароля администратора и найдите успешный вариант. 3. Войдите как администратор, выкупите товар **CTF Flag** и заберите флаг из профиля заказов. ## Теория Rate limiting на эндпоинте входа — обязательный контроль для любого приложения в публичном интернете. Без него атакующий проверяет тысячи паролей в минуту, ограниченный только пропускной способностью сети. Публичные коллекции утёкших паролей насчитывают миллиарды записей, а топ-сотня общеупотребительных покрывает значительную долю учётных записей. Администраторы — любимая цель: «удобные» пароли из имени сервиса или коротких последовательностей встречаются и у самых привилегированных пользователей. **Уязвимый паттерн (отсутствие защиты):** ```go // Обработчик входа принимает неограниченное число запросов — без счётчика, задержки и блокировки: mux.HandleFunc("POST /login", h.Login) ``` Атака не использует дефект кода — только отсутствие контроля. Запросы перебора неотличимы от обычных попыток входа: то же имя пользователя, неверные пароли из словаря. Отличается один ответ — успешный: редирект в приложение вместо сообщения о неверных учётных данных. Дальше атакующий обладает полноценной сессией администратора со всеми его правами и балансом. ## Точка входа атаки `POST /login` — форма входа с полями `username` и `password`. * **Цель перебора:** `admin` * **Обычный пользователь (разведка интерфейса):** `demo` / `demo` * **Путь к флагу после входа:** каталог → товар **CTF Flag** → профиль с заказами