竞态条件测试手册

竞态条件的隐性风险

在授权或状态完整性场景中，竞态条件的问题在于非原子的读后写：多个请求可能同时读取到旧状态，导致重复操作或状态混乱。这类漏洞常见于一次性操作（如兑换奖励）或余额类功能，若处理不当会直接影响业务逻辑的正确性。

核心能力与工作逻辑

该技能通过并行传输手段触发竞态，结合应用层证据验证漏洞，关键步骤包括：

• 使用 HTTP/1.1 最后字节同步、HTTP/2 单包触发 或 Turbo Intruder 门控 制造并行请求
• 寻找重复成功响应、余额不一致或账本重复行等应用层证据
• 针对优惠券、库存、一次性奖励等业务场景，交叉加载 business-logic-vulnerabilities 技能

适用边界与注意点

仅限授权测试场景，无法用于未授权访问。其核心价值在于将竞态条件从"隐式逻辑错误"转化为"可观测的漏洞证据"，帮助开发者明确修复方向。