Брутфорс Формы Входа (Нет Rate Limiting)

# Брутфорс формы входа: отсутствие ограничения попыток ## Сценарий **GadgetHub** — интернет-магазин гаджетов и аксессуаров на Flask. Служба поддержки заметила в журналах подозрительную активность: сотни попыток входа в чужие учётные записи за минуту. Владелец площадки не верит, что форму входа можно «дожать» автоматизированным перебором, и заказал вам демонстрацию реалистичной атаки: войти под административной учётной записью, не зная пароля заранее. ## Цель 1. Убедитесь, что форма входа не ограничивает частоту неудачных попыток. 2. Подберите пароль администратора по словарю типичных слабых паролей. 3. Войдите как `admin`, оплатите товар «CTF Flag» и получите флаг в профиле. ## Теория Ожидаемая от современного приложения защита от перебора — ограничение частоты попыток: сервер считает неудачные проверки с одного источника за временное окно и после порога начинает отвечать отказом или замедлять реакцию. Здесь ничего этого нет: эндпоинт авторизации обрабатывает каждый запрос так, будто он первый, — ни счётчика неудач, ни блокировки, ни задержки. В сочетании со слабым паролем, который встречается в общедоступных словарях, это позволяет перебирать пароли на полной скорости — тысячи проверок за минуту. Класс проблемы — Identification and Authentication Failures (OWASP A07:2021). **Уязвимый паттерн:** ```python username = request.form.get('username', '') password = request.form.get('password', '') # далее сразу проверка пароля — без учёта предыдущих попыток ``` Неудачная и тысячная подряд неудачная попытки для сервера неотличимы: он честно сверяет каждую пару «логин/пароль» и так же честно отвечает «неверные данные». ## Точка входа атаки `POST /login` — форма входа с полями `username` и `password`. * **Обычный пользователь:** `demo` / `demo` * **Цель:** `admin` (пароль нужно подобрать)