> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/web/race-conditions/exploitation-of-time-sensitive-vulnerabilities.md).
# Эксплуатация уязвимостей, зависящих от времени
### Эксплуатация уязвимостей, зависящих от времени
### Контекст лабораторной работы
Сайт предлагает функцию **Сброс пароля** по ссылке, отправленной по электронной почте. / На логической стороне приложения нет настоящего состояния гонки, но генерация **токенов** является **основана**: оно зависит от **предсказуемого значения** (время), что позволяет подделать действительный токен для другого пользователя, отправляя запросы \*\* одновременно\*\*.
### Начальные наблюдения
1. Мы используем **Забыли пароль** с пользователем `wiener`.
* Электронное письмо, содержащее ссылку вида:
* `/forgot-password?user=wiener&token=`
{% code overflow="wrap" %}
```bash
Здравствуйте!
Пожалуйста, перейдите по ссылке ниже, чтобы сбросить пароль.
https://0a1300c9040343bf810b7f2a00e60085.web-security-academy.net/forgot-password?user=wiener&token=3930dc6d3d076151204ad4147326f81a5e1609a8
```
{% endcode %}
* Токен выглядит как **SHA1** (40 шестнадцатеричных символов).
`forgot-password?user=wiener&token=3930dc6d3d076151204ad4147326f81a5e1609a8`
* Токен выглядит как **SHA1** (40 шестнадцатеричных символов).
```bash
hashid '3930dc6d3d076151204ad4147326f81a5e1609a8'
```
1. Сгенерировав несколько токенов
Предположение: токен в основном получается из **временной метки** (или значения, основанного на времени), а не из надежного секретного значения.
### Основная идея: принудить два запроса в одну и ту же миллисекунду
Если мы сможем инициировать **два сброса** одновременно, и токен зависит только от времени, тогда **два токена будут идентичны**.
Проблема: сервер (PHP) иногда избегает коллизий при одной и той же сессии / CSRF. / Решение: получить **две отдельные сессии**.
### Подготовка: получить две пары сессия + CSRF
К двум отдельным запросам обращаются к:
* `GET /forgot-password`
```http
GET /forgot-password HTTP/2
Host: 0a1300c9040343bf810b7f2a00e60085.web-security-academy.net
Cookie:
```
Каждый ответ дает новую пару:
* `PHPSESSID=<...>`
* новый CSRF-токен (значение скрыто в форме)
Есть **два готовых запроса**, каждый со:
* своими `PHPSESSID` cookie
* связанным полем CSRF
### Триггер: отправка параллельно
Затем мы отправляем **параллельно** два POST-запроса на сброс (тот же endpoint) в Burp (group + send parallel), чтобы они пришли **в одно и то же временное окно**.
Наблюдаемый результат: два полученных письма содержат \*\* абсолютно один и тот же токен\*\*:
```bash
933ccbd314dc37df95887cd914b07e330517f7bb
933ccbd314dc37df95887cd914b07e330517f7bb
```
Вывод: токен в основном зависит от **временной метки**, а не от единого секрета для каждого пользователя.
### Операция: сброс Карлоса с токеном Винера
Цель: токен действителен для `carlos`.
Метод:
1. Запустите параллельно два сброса:
* один для `wiener`
* один для `carlos`
```bash
forgot-password?user=wiener&token=da1d6e3ed67bef3efa9fe74fcfbf7603120ea744
forgot-password?user=carlos&token=da1d6e3ed67bef3efa9fe74fcfbf7603120ea744
```
Поскольку токены идентичны, полученный токен (например, через `wiener` электронную почту) также будет действителен для `carlos`.
Если сайт принимает этот URL, вы можете **установить новый пароль** для `carlos`.
### Завершение лабораторной работы
1. Войдите как `carlos` с новым паролем.
2. Получите доступ к \*\* знаку администратора\*\*.
3. Удалите `carlos` пользователя, чтобы подтвердить выполнение лабораторной работы.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://hacking-notes.jord4n.pro/ru/web/race-conditions/exploitation-of-time-sensitive-vulnerabilities.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.