Agent Skills
返回列表
🤖

竞态条件

AI Agent 更新于 2026.08.30

将以下提示词粘贴到你的 AI 对话框中：

请根据 https://skillhub.cn/install/skillhub.md，安装 @user_3c6cb52e/race-condition-lr-f897。

技能介绍

竞态条件测试的核心痛点

在 Web 应用安全测试中，竞态条件（Race Condition）漏洞往往隐藏在看似安全的业务流程背后。这类漏洞的典型场景是 TOCTOU（Time-of-Check to Time-of-Use）问题：当系统在检查某个条件（如余额是否充足）与实际使用该条件（如执行转账）之间存在时间窗口时，攻击者可通过精心构造的并发请求，利用这个窗口执行未授权操作。例如，在积分兑换场景中，用户可能在积分校验通过后，通过快速重复提交请求，绕过单次兑换限制。

技能如何结构化解决问题

本技能提供一套完整的 竞态条件测试方法论，核心能力包括：

  • 时间窗口识别：通过分析业务逻辑的关键检查点与使用点，定位潜在竞态条件发生的时间差
  • Burp Suite 集成：利用 Turbo Intruder 工具生成高精度并发请求，模拟多线程攻击场景
  • Last-Byte 同步技术：通过控制请求的最后一个字节发送时间，精确捕捉目标系统的响应差异
  • 攻击模式覆盖：支持限速绕过、双花攻击、并发请求利用等常见竞态条件漏洞类型

关键操作步骤遵循 检查清单式流程：

  1. 首先确定目标业务流程中的潜在竞态条件点
  2. 使用 Turbo Intruder 构建并发请求模板
  3. 通过 Last-Byte 同步技术验证时间窗口的存在性
  4. 根据目标系统的响应模式调整请求参数
  5. 记录测试结果并生成漏洞报告

适用边界与实践注意点

本技能专注于 技术层面的竞态条件测试，需注意：

  • 仅适用于支持并发请求处理的 Web 应用，对单线程处理场景无效
  • 需要配合 Burp Suite 等代理工具使用，单独使用无法完成测试
  • 测试结果需结合人工分析验证，避免误报逻辑层面的竞态条件
  • 对高并发场景（如秒杀活动）的测试需特别谨慎，避免对目标系统造成过大负载

使用场景

  • 安全工程师在黑盒测试中需要定位转账逻辑的时间窗口，验证余额校验与扣款执行之间的竞态条件。
  • 白帽黑客使用 Burp Suite 对签到接口构造并发请求，测试能否通过 Last-Byte 同步绕过限速。
  • 渗透测试人员在审计积分系统时，尝试通过并发请求复现代币双花漏洞，验证 check 与 use 的差异。
  • 漏洞赏金猎人对优惠券兑换流程进行 Fuzzing，分析响应差异以确认是否存在 TOCTOU 漏洞。

适合人员

  • Web 渗透测试工程师，需要针对复杂业务逻辑设计并发请求脚本以发现隐藏的竞态漏洞。
  • 漏洞赏金猎人，希望利用标准化的 TOCTOU 检查清单提升漏洞挖掘的命中率与报告质量。
  • 应用安全研究员，致力于分析并发处理机制中的逻辑缺陷及时间窗口利用技术。
  • 红队成员，需要在实战攻防中绕过业务限速或实施双花攻击以验证系统健壮性。