并发漏洞介绍

漏洞介绍

并发漏洞，又称条件竞争漏洞，是指在多线程或多进程环境中，由于对共享资源的访问没有正确的同步控制，导致程序行为异常或安全问题的漏洞。这种漏洞常见于各种软件系统中，特别是在处理高并发请求时。

漏洞场景举例

1.转账操作：
假设有两个用户（或线程）A和B都试图从同一个账户转账。账户初始余额为100元。
用户A检查账户余额（100元），然后尝试转账50元。
同时，用户B也检查账户余额（100元），并尝试转账60元。
如果没有适当的同步控制，两个转账操作都可能成功，导致账户余额变为-10元，这显然是不合理的。
2.优惠券领取：
某些网站或应用允许用户领取优惠券，但通常限制每个用户只能领取一次。
如果存在并发漏洞，攻击者可以通过并发请求绕过这一限制，领取多次优惠券。
3.点赞：
假设有一个社交媒体平台，用户可以对发布的帖子进行点赞操作。每个用户正常情况下只能对同一帖子点赞一次，点赞后点赞计数增加。然而，由于存在并发漏洞，攻击者可以利用这个漏洞多次点赞同一个帖子，导致点赞计数异常增加。

核心思路

• 寻找可能存在并发漏洞的功能点（点赞，优惠卷等业务）

• 测试功能点是否能并发操作，比如我们常见的刷赞漏洞，优惠卷叠加使用等。

总结一下

并发漏洞又叫条件竞争漏洞，主要是存在于一些点赞，短信，支付，优惠卷等功能点。我手上有几个并发的洞，这里不方便给大家看，还没有通过审核。总之找并发的洞关键就是寻找方法使得多个数据包能同时到达服务器那边，不论是用bp还是自己写的脚本，只要能实现这点，就有可能存在并发漏洞。另外提一嘴，点赞的并发漏洞有些src是不收的，你得说明这个点赞的危害，基本上要夸大一下，不然的话他们可能觉得没必要，把这个洞直接退回给你了。