Слабая Парольная Политика

## Сценарий Вы — security-инженер на предрелизном аудите **Vendly** — нового маркетплейса электроники на Express. Команда только что выкатила MVP с регистрацией и каталогом и уверяет: «пароли надёжно хешируются, беспокоиться не о чем». Руководство хочет независимую проверку того, как площадка управляет паролями, до открытия публичной регистрации. ## Цель 1. Зарегистрируйте тестовый аккаунт и определите, какую парольную политику применяет сервер. 2. Опираясь на сделанные выводы, войдите в учётную запись администратора. 3. Купите товар **CTF Flag** и получите флаг в профиле. ## Теория Слабые пароли — дверь, которую не закрывает даже криптостойкое хеширование: хеш честно сохранит и предсказуемое значение, но подбор по словарю всё равно увенчается успехом. Уязвимость здесь двойная: сервер принимает любой непустой пароль при регистрации, а встроенная привилегированная учётка создаётся со слабым паролем по умолчанию. **Уязвимый паттерн:** ```javascript // Единственная проверка пароля при регистрации: if (password === '') { return res.render('register.html', { error: '...' }); } ``` Проверяется лишь непустота строки: однобуквенный пароль проходит наравне со стойким. А раз политика отсутствует для всех, то и пароль администратора по умолчанию, скорее всего, задан по принципу предсказуемого значения — его можно угадать без усилий. ## Точка входа атаки `POST /register` — форма регистрации с полями `username`, `password`, `fullname`; вход — `POST /login` с полями `username` и `password`. * **Обычный пользователь:** `demo` / `demo` * **Целевая учётная запись:** `admin` / `???`