Type Juggling: ошибочная интерпретация strcmp()

# Манипуляция типами: знаковый результат сравнения строк ## Сценарий Книжный магазин **BookFox** запустил акцию: на закрытой промо-странице постоянный покупатель вводит секретный токен и получает дорогой служебный товар в заказ бесплатно. Токен — длинная случайная строка, подобрать её невозможно, и в базе она лежит одна. Но разработчик, писавший проверку, неверно истолковал результат функции сравнения строк — и страница промо принимает за «правильный» совсем не тот ввод, который задумывался. Перед публичным анонсом акции менеджер попросил вас убедиться, что бесплатный товар достаётся только обладателям токена. ## Цель 1. Войдите как обычный покупатель и изучите промо-страницу: что происходит после отправки токена. 2. Обойдите проверку токена, не зная секретного значения. 3. Получите бесплатный заказ служебного товара на свой аккаунт и убедитесь, что он появился в профиле. ## Теория Стандартная функция сравнения строк в PHP возвращает не булев результат, а **знаковое число**: ноль при равенстве, отрицательное — когда первая строка стоит по алфавиту раньше второй, положительное — когда позже. Разработчик, который проверяет «результат меньше единицы», думает, что отсекает всё, кроме равенства, — но в такую проверку проваливаются и все отрицательные результаты: любая строка, стоящая по алфавиту раньше секрета, засчитывается как совпавшая. Это ошибка чтения контракта функции, а не слабый секрет. **Уязвимый паттерн:** ```php $result = strcmp((string)$submitted, $row['secret_token']); if ($result < 1) { // равенство — это 0, но проходят и все отрицательные ``` Механика словами: проверка превращает «строки равны» в «первая строка не больше второй». Граница проходит по алфавиту, а не по совпадению: ранние символы и короткие строки почти всегда «меньше» длинного случайного секрета. Дополнительный пласт — приведение нестрокового ввода к строке: значение неожидаемого типа из формы превращается в фиксированный литерал, который тоже участвует в этом сравнении на общих основаниях. ## Точка входа атаки `POST /promo` — активация промо, поле `promo_token` (требуется CSRF-токен со страницы промо). Результат виден в списке заказов на `GET /profile`. * **Обычный пользователь:** `demo` / `demo` * **Цель:** бесплатный заказ служебного товара «CTF Flag»