ソース：
脆弱性： Race Condition
訳：
最近、バグ報奨金プログラムで RACE 条件の脆弱性を特定しまして。
Race Condition攻撃は、特定のシーケンスでタスクを処理するように設計されたコンピューティング システムが 2 つ以上の操作を同時に実行することを強制された場合に発生し。
最終的に、アプリケーションは意図しないアクションの実行を強制されます。
これにより、アプリケーションがセキュリティの悪用につながるでゲス。
このバグの詳細については、以下のリンクを確認してください。
https://www.veracode.com/security/race-condition
https://portswigger.net/web-security/race-conditions
通常、管理者ユーザーは自分のチーム内に3人のメンバーのみを作成する権限を与えられます。
ただし、RACE Conditionの脆弱性を利用して 4 人のチーム メンバーを作成することに成功し。
手順：
①[チームメンバーの追加リクエスト] をクリックし、burp suiteを使用してリクエストをキャプチャしました。
BurpSuiteを使用してチームメンバーの追加リクエストをキャプチャ
② 「電子メールと名前」がパラメータとして取得され、競合状態攻撃に使用されています。
③ 次に、RACE Condition攻撃を刺激する侵入者オプションを設定する必要があります。 まず、スクリーンショットに示されているようにパラメーター値を指定する必要があります。
③ 次に、実行するスレッドの数を変更する必要があります。 これはサーバーへのリクエストの送信を高速化するため、非常に重要で。
Intruderのコンフィグ
④ Intrude オプションの「攻撃の開始」をクリックします。 Burp はサーバーへのリクエストの送信を同時に開始します。
この攻撃の結果、無事にチームメンバーを4名追加することができました。 現在、私のチームには合計 4 人のチームメンバーがいます。
ほなほな。
