Брутфорс Формы Входа (Нет Rate Limiting) — Node.js

# Брутфорс формы входа: отсутствие rate limiting ## Сценарий Вы — пентестер, которого владелец **OrbitBay**, магазина гаджетов на Express, попросил проверить устойчивость формы входа к автоматизированному перебору. Недавний инцидент у конкурентов — взлом админской учётки по словарю — заставил руководство задуматься, устоит ли их собственный вход против такой же атаки. ## Цель 1. Убедитесь, что приложение работает: войдите под обычным аккаунтом и осмотритесь. 2. Проверьте поведение формы входа при серии неудачных попыток — есть ли противодействие перебору. 3. Подберите пароль администратора по словарю типичных паролей. 4. Войдите как `admin`, купите товар **CTF Flag** и получите флаг в профиле. ## Теория Брутфорс окупается лишь тогда, когда сервер позволяет гонять попытки с высокой частотой. Зрелая форма входа ограничивает число проверок с одного источника за временное окно, а после порога отвечает отказом «слишком много запросов». Здесь этого слоя нет: каждый запрос к обработчику входа обрабатывается независимо от предыдущих. **Уязвимый паттерн:** ```javascript // Обработчик входа без какого-либо учёта попыток: app.post('/login', (req, res) => { const row = db.prepare('SELECT id, password FROM users WHERE username=?').get(username); // ...сверка пароля и ответ — одинаково на каждый запрос... }); ``` Сервер отвечает на каждую попытку с одинаковой скоростью и без блокировок. Если у одной из учётных записей пароль из распространённого словаря, конечный список значений перебирается за секунды. ## Точка входа атаки `POST /login` — форма входа с полями `username` и `password`. * **Обычный пользователь:** `demo` / `demo` * **Целевая учётная запись:** `admin` / пароль из распространённого словаря