Race Condition
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-78abb7891633b1e8147b4e743e4f00af375d3cd6%252Fimage%2520%2848%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=5de16767&sv=1)
Use Trickest para construir e automatizar fluxos de trabalho facilmente com as ferramentas da comunidade mais avançadas do mundo. Acesse hoje:
Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP:
HackTricks Training GCP Red Team Expert (GRTE)
Para obter uma compreensão profunda desta técnica, consulte o relatório original em https://portswigger.net/research/smashing-the-state-machine
Aprimorando Ataques de Condição de Corrida
O principal obstáculo para aproveitar as condições de corrida é garantir que múltiplas requisições sejam tratadas ao mesmo tempo, com muita pouca diferença em seus tempos de processamento—idealmente, menos de 1ms.
Aqui você pode encontrar algumas técnicas para Sincronizar Requisições:
Ataque de Pacote Único HTTP/2 vs. Sincronização do Último Byte HTTP/1.1
HTTP/2: Suporta o envio de duas requisições sobre uma única conexão TCP, reduzindo o impacto da variação de rede. No entanto, devido a variações do lado do servidor, duas requisições podem não ser suficientes para um exploit consistente de condição de corrida.
Sincronização do 'Último Byte' HTTP/1.1: Permite o pré-envio da maior parte de 20-30 requisições, retendo um pequeno fragmento, que é então enviado junto, alcançando a chegada simultânea ao servidor.
Preparação para Sincronização do Último Byte envolve:
Enviar cabeçalhos e dados do corpo menos o byte final sem encerrar o fluxo.
Pausar por 100ms após o envio inicial.
Desativar TCP_NODELAY para utilizar o algoritmo de Nagle para agrupar os quadros finais.
Pingar para aquecer a conexão.
O envio subsequente dos quadros retidos deve resultar em sua chegada em um único pacote, verificável via Wireshark. Este método não se aplica a arquivos estáticos, que não estão tipicamente envolvidos em ataques de RC.
Adaptando-se à Arquitetura do Servidor
Compreender a arquitetura do alvo é crucial. Servidores front-end podem encaminhar requisições de maneira diferente, afetando o tempo. O aquecimento proativo da conexão do lado do servidor, através de requisições irrelevantes, pode normalizar o tempo das requisições.
Lidando com Bloqueio Baseado em Sessão
Frameworks como o manipulador de sessão do PHP serializam requisições por sessão, potencialmente obscurecendo vulnerabilidades. Utilizar diferentes tokens de sessão para cada requisição pode contornar esse problema.
Superando Limites de Taxa ou Recursos
Se o aquecimento da conexão for ineficaz, acionar intencionalmente os atrasos de limite de taxa ou recursos dos servidores web através de um fluxo de requisições fictícias pode facilitar o ataque de pacote único, induzindo um atraso do lado do servidor propício a condições de corrida.
Exemplos de Ataque
Tubo Intruder - ataque de pacote único HTTP2 (1 endpoint): Você pode enviar a requisição para Turbo intruder (
Extensions
->Turbo Intruder
->Send to Turbo Intruder
), você pode alterar na requisição o valor que deseja forçar para%s
como emcsrf=Bn9VQB8OyefIs3ShR2fPESR0FzzulI1d&username=carlos&password=%s
e então selecionar oexamples/race-single-packer-attack.py
no menu suspenso:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-8cd1f020d1b5cfab09adf86a200587442cd7cd8d%252Fimage%2520%2857%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=5ef4c666&sv=1)
Se você for enviar valores diferentes, você pode modificar o código com este que usa uma lista de palavras da área de transferência:
Se a web não suportar HTTP2 (apenas HTTP1.1), use Engine.THREADED
ou Engine.BURP
em vez de Engine.BURP2
.
Tubo Intruder - ataque de pacote único HTTP2 (Vários endpoints): Caso você precise enviar uma solicitação para 1 endpoint e depois várias para outros endpoints para acionar o RCE, você pode alterar o script
race-single-packet-attack.py
com algo como:
Também está disponível no Repeater através da nova opção 'Enviar grupo em paralelo' no Burp Suite.
Para limit-overrun, você pode apenas adicionar a mesma solicitação 50 vezes no grupo.
Para connection warming, você pode adicionar no início do grupo algumas solicitações a uma parte não estática do servidor web.
Para delaying o processo entre o processamento de uma solicitação e outra em 2 etapas, você pode adicionar solicitações extras entre ambas as solicitações.
Para um RC de multi-endpoint, você pode começar enviando a solicitação que vai para o estado oculto e então 50 solicitações logo após que exploram o estado oculto.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-b38f1e7c33a457a514f7c74612639d5252f62631%252Fimage%2520%2858%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=f3fa18da&sv=1)
Script python automatizado: O objetivo deste script é mudar o email de um usuário enquanto verifica continuamente até que o token de verificação do novo email chegue ao último email (isso porque no código estava vendo um RC onde era possível modificar um email, mas ter a verificação enviada para o antigo porque a variável indicando o email já estava populada com o primeiro). Quando a palavra "objetivo" é encontrada nos emails recebidos, sabemos que recebemos o token de verificação do email alterado e encerramos o ataque.
Melhorando o Ataque de Pacote Único
Na pesquisa original, foi explicado que este ataque tem um limite de 1.500 bytes. No entanto, em este post, foi explicado como é possível estender a limitação de 1.500 bytes do ataque de pacote único para a limitação de janela de 65.535 B do TCP usando fragmentação na camada IP (dividindo um único pacote em vários pacotes IP) e enviando-os em ordem diferente, o que permitiu evitar a reassemblagem do pacote até que todos os fragmentos chegassem ao servidor. Essa técnica permitiu que o pesquisador enviasse 10.000 solicitações em cerca de 166ms.
Observe que, embora essa melhoria torne o ataque mais confiável em RC que requer centenas/milhares de pacotes chegando ao mesmo tempo, pode também ter algumas limitações de software. Alguns servidores HTTP populares como Apache, Nginx e Go têm uma configuração estrita de SETTINGS_MAX_CONCURRENT_STREAMS
para 100, 128 e 250. No entanto, outros como NodeJS e nghttp2 têm isso ilimitado.
Isso basicamente significa que o Apache considerará apenas 100 conexões HTTP de uma única conexão TCP (limitando este ataque RC).
Você pode encontrar alguns exemplos usando essa técnica no repositório https://github.com/Ry0taK/first-sequence-sync/tree/main.
BF Bruto
Antes da pesquisa anterior, esses eram alguns payloads usados que apenas tentavam enviar os pacotes o mais rápido possível para causar um RC.
Repetidor: Confira os exemplos da seção anterior.
Intruso: Envie a solicitação para Intruso, defina o número de threads para 30 dentro do menu de Opções e selecione como payload Payloads Nulos e gere 30.
Turbo Intruso
Python - asyncio
Metodologia de RC
Limite-excesso / TOCTOU
Este é o tipo mais básico de condição de corrida onde vulnerabilidades que aparecem em lugares que limitem o número de vezes que você pode realizar uma ação. Como usar o mesmo código de desconto em uma loja online várias vezes. Um exemplo muito fácil pode ser encontrado em este relatório ou em este bug.
Existem muitas variações desse tipo de ataque, incluindo:
Resgatar um cartão-presente várias vezes
Avaliar um produto várias vezes
Sacar ou transferir dinheiro além do saldo da sua conta
Reutilizar uma única solução de CAPTCHA
Contornar um limite de taxa anti-força bruta
Subestados ocultos
Explorar condições de corrida complexas geralmente envolve aproveitar breves oportunidades para interagir com subestados de máquina ocultos ou não intencionais. Aqui está como abordar isso:
Identificar Subestados Ocultos Potenciais
Comece identificando endpoints que modificam ou interagem com dados críticos, como perfis de usuário ou processos de redefinição de senha. Foque em:
Armazenamento: Prefira endpoints que manipulam dados persistentes do lado do servidor em vez daqueles que lidam com dados do lado do cliente.
Ação: Procure operações que alterem dados existentes, que são mais propensas a criar condições exploráveis em comparação com aquelas que adicionam novos dados.
Chaveamento: Ataques bem-sucedidos geralmente envolvem operações chaveadas no mesmo identificador, por exemplo, nome de usuário ou token de redefinição.
Realizar Probing Inicial
Teste os endpoints identificados com ataques de condição de corrida, observando quaisquer desvios dos resultados esperados. Respostas inesperadas ou mudanças no comportamento da aplicação podem sinalizar uma vulnerabilidade.
Demonstrar a Vulnerabilidade
Reduza o ataque ao número mínimo de solicitações necessárias para explorar a vulnerabilidade, muitas vezes apenas duas. Esta etapa pode exigir várias tentativas ou automação devido ao tempo preciso envolvido.
Ataques Sensíveis ao Tempo
A precisão no tempo das solicitações pode revelar vulnerabilidades, especialmente quando métodos previsíveis como timestamps são usados para tokens de segurança. Por exemplo, gerar tokens de redefinição de senha com base em timestamps pode permitir tokens idênticos para solicitações simultâneas.
Para Explorar:
Use temporização precisa, como um ataque de pacote único, para fazer solicitações de redefinição de senha simultâneas. Tokens idênticos indicam uma vulnerabilidade.
Exemplo:
Solicite dois tokens de redefinição de senha ao mesmo tempo e compare-os. Tokens correspondentes sugerem um defeito na geração de tokens.
Verifique isso PortSwigger Lab para tentar isso.
Estudos de caso de subestados ocultos
Pagar e adicionar um Item
Verifique este PortSwigger Lab para ver como pagar em uma loja e adicionar um item extra que você não precisará pagar.
Confirmar outros e-mails
A ideia é verificar um endereço de e-mail e mudá-lo para um diferente ao mesmo tempo para descobrir se a plataforma verifica o novo que foi alterado.
Mudar e-mail para 2 endereços de e-mail baseados em Cookie
De acordo com esta pesquisa, o Gitlab era vulnerável a uma tomada dessa forma porque poderia enviar o token de verificação de e-mail de um e-mail para o outro e-mail.
Verifique isso PortSwigger Lab para tentar isso.
Estados ocultos do banco de dados / Bypass de Confirmação
Se 2 gravações diferentes forem usadas para adicionar informações dentro de um banco de dados, há uma pequena porção de tempo onde apenas os primeiros dados foram gravados dentro do banco de dados. Por exemplo, ao criar um usuário, o nome de usuário e a senha podem ser gravados e então o token para confirmar a conta recém-criada é gravado. Isso significa que por um pequeno tempo o token para confirmar uma conta é nulo.
Portanto, registrar uma conta e enviar várias solicitações com um token vazio (token=
ou token[]=
ou qualquer outra variação) para confirmar a conta imediatamente poderia permitir confirmar uma conta onde você não controla o e-mail.
Verifique isso PortSwigger Lab para tentar isso.
Bypass 2FA
O seguinte pseudo-código é vulnerável a condição de corrida porque em um tempo muito pequeno a 2FA não é aplicada enquanto a sessão é criada:
OAuth2 persistência eterna
Existem vários provedores de OAUth. Esses serviços permitem que você crie um aplicativo e autentique usuários que o provedor registrou. Para fazer isso, o cliente precisará permitir que seu aplicativo acesse alguns de seus dados dentro do provedor de OAUth. Até aqui, é apenas um login comum com google/linkedin/github... onde você é solicitado com uma página dizendo: "Aplicativo <InsertCoolName> deseja acessar suas informações, você quer permitir?"
Condição de Corrida em authorization_code
authorization_code
O problema aparece quando você aceita e automaticamente envia um authorization_code
para o aplicativo malicioso. Então, este aplicativo abusa de uma Condição de Corrida no provedor de serviço OAUth para gerar mais de um AT/RT (Token de Autenticação/Token de Atualização) a partir do authorization_code
para sua conta. Basicamente, ele abusará do fato de que você aceitou o aplicativo para acessar seus dados para criar várias contas. Então, se você parar de permitir que o aplicativo acesse seus dados, um par de AT/RT será excluído, mas os outros ainda serão válidos.
Condição de Corrida em Refresh Token
Refresh Token
Uma vez que você tenha obtido um RT válido, você pode tentar abusar dele para gerar vários AT/RT e mesmo que o usuário cancele as permissões para o aplicativo malicioso acessar seus dados, vários RTs ainda serão válidos.
RC em WebSockets
Em WS_RaceCondition_PoC você pode encontrar um PoC em Java para enviar mensagens websocket em paralelo para abusar de Condições de Corrida também em Web Sockets.
Referências
Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP:
HackTricks Training GCP Red Team Expert (GRTE)
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-78abb7891633b1e8147b4e743e4f00af375d3cd6%252Fimage%2520%2848%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=5de16767&sv=1)
Use Trickest para construir e automatizar fluxos de trabalho facilmente, impulsionados pelas ferramentas comunitárias mais avançadas do mundo. Obtenha Acesso Hoje:
Last updated