> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/web/race-conditions/exploitation-of-time-sensitive-vulnerabilities.md).
# 時間依存の脆弱性の悪用
PortSwigger Web Security Academy のラボ向けメモ。悪用の手順、ペイロードのテスト、Burp Suite による検証、修復の文脈を含む。
### 時間依存の脆弱性の悪用
### ラボのコンテキスト
このサイトには〜の機能があります **パスワードのリセット** メールで送信されたリンク経由で。/ 論理的なアプリケーション側には実際の競合状態はありませんが、 **トークン** です **大文字小文字を区別する**：それは **予測可能な値** （時間）に依存しており、\*\*同時に\*\*リクエストを送ることで別のユーザーの有効なトークンを偽造できます。
### 初期観察
1. 次を使用します **パスワードを忘れた場合** ユーザー `wiener`.
* 次の形式のリンクを含むメール：
* `/forgot-password?user=wiener&token=`
{% code overflow="wrap" %}
```bash
こんにちは！
以下のリンクに従ってパスワードをリセットしてください。
https://0a1300c9040343bf810b7f2a00e60085.web-security-academy.net/forgot-password?user=wiener&token=3930dc6d3d076151204ad4147326f81a5e1609a8
```
{% endcode %}
* トークンは〜のように見えます **SHA1** （40文字の16進数）
`forgot-password?user=wiener&token=3930dc6d3d076151204ad4147326f81a5e1609a8`
* トークンは〜のように見えます **SHA1** （40文字の16進数）
```bash
hashid '3930dc6d3d076151204ad4147326f81a5e1609a8'
```
1. 複数のトークンを生成することで
仮定：トークンは主に〜から派生している **タイムスタンプ** （または時間ベースの値）であり、堅牢な秘密値ではない。
### 重要なアイデア：同じミリ秒に2つのリクエストを強制する
〜を引き起こせれば **2回のリセット** を同時に行え、トークンが時間にのみ依存するなら、 **2つのトークンは同一になります**.
問題：サーバー（PHP）は同じセッション/CSRFで衝突を回避することがあります。/ 解決策：〜を取得する **2つの別々のセッション**.
### 準備：2組のセッション + CSRF を取得する
2つの別々のリクエストが次に送られます：
* `GET /forgot-password`
```http
GET /forgot-password HTTP/2
Host: 0a1300c9040343bf810b7f2a00e60085.web-security-academy.net
Cookie:
```
各回答は新しい組を提供します：
* `PHPSESSID=<...>`
* 新しいCSRFトークン（フォーム内に隠された値）
〜があります **2つの準備済みリクエスト**、それぞれに：
* その `PHPSESSID` Cookie
* 対応するCSRFフィールド
### トリガー：並列送信
次に送信します **並列で** BurpでリセットのPOSTを2つ（同じエンドポイント）グループ化して並列送信し、到着時刻が **同じ時間帯になるように**.
観測された結果：受信した2通のメールには\*\*まったく同じトークン\*\*が含まれています：
```bash
933ccbd314dc37df95887cd914b07e330517f7bb
933ccbd314dc37df95887cd914b07e330517f7bb
```
結論：トークンは本質的に〜に依存しており **タイムスタンプ**、ユーザーごとの単一の秘密には依存していません。
### 操作：WienerのトークンでCarlosをリセット
目的：〜に対して有効なトークン `carlos`.
メソッド:
1. 2つのリセットを並列に起動する：
* 1つは `wiener`
* 1つは `carlos`
```bash
forgot-password?user=wiener&token=da1d6e3ed67bef3efa9fe74fcfbf7603120ea744
forgot-password?user=carlos&token=da1d6e3ed67bef3efa9fe74fcfbf7603120ea744
```
トークンが同一なので、受信したトークン（たとえば `wiener` メール経由のもの）は〜に対しても有効になります `carlos`.
このサイトがこのURLを受け入れる場合、 **新しいパスワードを設定できます** のために `carlos`.
### ラボ完了
1. としてログインする `carlos` 新しいパスワードで。
2. \*\*管理者サイン\*\*にアクセスします。
3. 〜を削除する `carlos` ラボを検証するためにユーザー
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://hacking-notes.jord4n.pro/ja/web/race-conditions/exploitation-of-time-sensitive-vulnerabilities.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
