Portswigger练兵场之条件竞争

条件竞争之对象临时中间状态的条件竞争

Lab: Partial construction race conditions

实验前置必要知识点

某些框架尝试通过使用某种形式的请求锁定来防止意外的数据损坏。例如，PHP 的本机会话处理程序模块一次只处理每个会话的一个请求。

许多应用程序通过多个步骤创建对象，这可能会引入可利用对象的临时中间状态。

例如，注册新用户时，应用程序可能会在数据库中创建用户，并使用两个单独的 SQL语句设置其 API密钥。这留下了一个用户存在的door，但其 API密钥未初始化。

框架通常允许您使用非标准语法传入数组和其他非字符串数据结构。例如，在 PHP 中：

param[]=foo相当于param = ['foo']
param[]=foo&param[]=bar相当于param = ['foo', 'bar']
param[]相当于param = []

如果注册了账户之后，抢先在SQL语句赋值之前发出身份验证

实验要求

本实验包含用户注册机制。争用条件使你能够绕过电子邮件验证，并使用不属于你的任意电子邮件地址进行注册。

要解决实验室问题，请利用此争用条件创建一个帐户，然后登录并删除用户carlos。

渗透开始

访问对应靶场界面

https://portswigger.net/web-security/race-conditions/lab-race-conditions-partial-construction

启动靶场

1. 站点分析

这是SHOP类型的网站

可以查看文章信息、购买、登录、注册等功能点，根据提示我们来到注册功能点处

需要用户名、邮箱以及密码才可以注册，发现只能用推荐的邮箱注册

尝试注册账户为1，发现注册成功

再次注册1的账户发现无法注册

尝试注册账户2，用同样的邮箱发现注册成功，说明同样的邮箱可以注册复用

但是无法直接用账号密码进行登录，需要邮箱激活

在不清楚邮箱的情况下陷入了困局

2. 寻找可疑功能点(查看Burp历史记录进行分析)

正常的流程为
前端注册 → 后端发送邮件并在数据库中预注册用户的账户/密码信息 → 用户激活邮箱 → 后端分配权限给用户 → 用户可以正常访问

注册发送数据包

在此处条件竞争获取的账号也是没有权限的，毫无用处

在翻阅的过程中发现了一处可疑的js

const createRegistrationForm = () => {
    const form = document.getElementById('user-registration');

    const usernameLabel = document.createElement('label');
    usernameLabel.textContent = 'Username';
    const usernameInput = document.createElement('input');
    usernameInput.required = true;
    usernameInput.type = 'text';
    usernameInput.name = 'username';

    const emailLabel = document.createElement('label');
    emailLabel.textContent = 'Email';
    const emailInput = document.createElement('input');
    emailInput.required = true;
    emailInput.type = 'email';
    emailInput.name = 'email';

    const passwordLabel = document.createElement('label');
    passwordLabel.textContent = 'Password';
    const passwordInput = document.createElement('input');
    passwordInput.required = true;
    passwordInput.type = 'password';
    passwordInput.name = 'password';

    const button = document.createElement('button');
    button.className = 'button';
    button.type = 'submit';
    button.textContent = 'Register';

    form.appendChild(usernameLabel);
    form.appendChild(usernameInput);
    form.appendChild(emailLabel);
    form.appendChild(emailInput);
    form.appendChild(passwordLabel);
    form.appendChild(passwordInput);
    form.appendChild(button);
}

const confirmEmail = () => {
    const container = document.getElementsByClassName('confirmation')[0];

    const parts = window.location.href.split("?");
    const query = parts.length == 2 ? parts[1] : "";
    const action = query.includes('token') ? query : "";

    const form = document.createElement('form');
    form.method = 'POST';
    form.action = '/confirm?' + action;

    const button = document.createElement('button');
    button.className = 'button';
    button.type = 'submit';
    button.textContent = 'Confirm';

    form.appendChild(button);
    container.appendChild(form);
}