Race Condition: Гонка при активации промокода в Express

# Race Condition (Состояние гонки) ## Сценарий Вы проводите аудит безопасности **ByteWear** — интернет-магазина одежды для разработчиков, построенного на Node.js и Express. Бухгалтерия третий месяц фиксирует странность: бонусные начисления по промокодам в разы превышают количество выданных кодов. По регламенту каждый промокод гасится одним использованием на клиента, и вам поручают проверить, выдерживает ли это правило реальная реализация. ## Цель 1. Изучите механизм активации промокодов на странице корзины. 2. Обойдите ограничение «один промокод — один раз на пользователя» с помощью конкурентных запросов. 3. Многократно зачислив бонусы, доведите баланс до стоимости товара **CTF Flag** ($9999). 4. Оформите заказ — флаг появится на странице профиля. ## Теория Состояние гонки возникает, когда корректность операции зависит от порядка выполнения конкурирующих действий. Классический подвид — TOCTOU (time-of-check to time-of-use): код сначала проверяет условие, а лишь затем изменяет состояние, и в зазор между шагами успевает «проскочить» другой запрос. **Уязвимый паттерн:** ```js // Шаг 1: проверить, что купон ещё не использован: if (usage.cnt > 0) return res.redirect('/cart'); // Шаг 2: зачисление фиксируется позже — асинхронно, с задержкой: await redeemCoupon(user.id, code, value); ``` Атакующий отправляет залп одновременных активаций одного кода: пока первый запрос «в полёте», каждый следующий тоже проходит проверку по ещё не обновлённому состоянию и получает своё зачисление. ## Точка входа атаки `POST /cart/coupon` — форма активации промокода на странице корзины, поле `code` (требуется активная сессия и CSRF-токен формы). В магазине действуют коды `PROMO50`, `PROMO100` и `PROMO200`. * **Обычный пользователь:** `demo` / `demo` (баланс $500) * **Администратор:** `admin` / `???`