Слабые Пароли (Нет Валидации Сложности)

# Слабые пароли: отсутствие политики сложности ## Сценарий Вы проводите аудит безопасности **GreenBasket** — сервиса доставки продуктов на Go. Форма регистрации открыта всем желающим, пароли хешируются с разумной стоимостью, и команда уверена, что подсистема аутентификации надёжна. Ваш заказчик хочет понять реальный риск: что произойдёт, если хотя бы один человек — например, администратор — выберет «удобный» пароль. Проверьте, мешает ли ему это приложение. ## Цель 1. Изучите требования формы регистрации к паролю — длина, состав символов, словарные проверки — и подтвердите класс уязвимости, зарегистрировав заведомо слабый пароль. 2. Словарной атакой на форму входа скомпрометируйте учётную запись администратора. 3. Извлеките флаг из админ-панели. ## Теория Политика сложности паролей — базовый контроль на стороне приложения. Без неё пользователи, включая администраторов, свободно выбирают «удобные» значения: имя сервиса, имя учётки, короткие последовательности, общеупотребительные слова. Хеширование паролей замедляет офлайн-перебор по украденным хешам, но бессильно против онлайн-перебора через саму форму входа: словарная атака выполняется с полной скоростью независимо от стоимости хеша. **Уязвимый паттерн (отсутствие проверки):** ```go // Регистрация принимает любой непустой пароль — требований к длине и составу нет: if password == "" { h.render(w, "register.html", PageData{Title: "Register", Error: "Password is required"}) return } ``` Атака на учётку со слабым паролем сводится к сочетанию известного имени администратора и короткого словаря: общеупотребительные значения и предсказуемые комбинации с именем учётки или сервиса. Если попытки входа ничем не ограничены — а с отсутствием политики сложности это часто соседствует, — весь словарь проходится за секунды. Успех отличается ответом: редирект в приложение вместо сообщения о неверных данных. ## Точка входа атаки * `POST /register` — регистрация, поля `username`, `password`, `fullname`. * `POST /login` — форма входа; цель перебора — `admin`. * `GET /admin` — админ-панель с флагом; доступна только роли администратора. * **Обычный пользователь (разведка интерфейса):** `demo` / `demo`