Timing-атака на форму входа (PHP)

# Перечисление пользователей через timing-атака ## Сценарий «Спортград» — интернет-магазин спортивного питания и инвентаря. Руководитель службы безопасности Регина Дьякова пригласила вас на аудит после целевой фишинговой рассылки по клиентам: перед атакой кто-то явно знал, у кого есть аккаунты. Команда разработки уверена, что единый текст ошибки входа надёжно скрывает существование учётных записей, и Регина просит проверить это утверждение по всем наблюдаемым каналам, а не только по телу ответа. ## Цель 1. Сравните поведение формы входа для несуществующего имени и для существующего с неверным паролем: текст, статус и время ответа. 2. Через побочный канал времени определите, какие имена из проверяемого списка реально зарегистрированы; подтвердите наличие учётной записи `admin`. 3. Войдите администратором и получите флаг со страницы админ-панели. ## Теория Единое сообщение «неверные данные» защищает только от чтения ответа. Если путь обработки зависит от существования учётной записи, время ответа становится оракулом: проверка пароля — дорогостоящая криптографическая операция, и когда она пропускается, ответ заметно ускоряется. Атакующий не видит разницы в тексте, но стабильно видит её в задержке. **Уязвимый паттерн:** ```php // VULNERABILITY: timing side-channel. // Для несуществующего пользователя возвращаем ошибку сразу (≈1мс). if (!$row) { ``` Механика атаки: отправляется серия запросов входа с одним и тем же заведомо неверным паролем, но разными именами; каждый сценарий повторяется десятки раз, чтобы сетевой шум не исказил картину. Имена, для которых медианная задержка оказывается устойчиво выше, принадлежат существующим учётным записям — список пользователей извлекается без единого отличия в тексте ответов. ## Точка входа атаки `POST /login` — форма входа, поля `username`, `password`. `GET /admin` — админ-панель; авторизованному администратору страница показывает флаг. * **Обычный пользователь:** `demo` / `demo` * **Администратор:** `admin` / `???`