> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/web/race-conditions/exploitation-of-time-sensitive-vulnerabilities.md).
# 时间敏感型漏洞利用
面向 PortSwigger Web Security Academy 实验室的时间敏感型漏洞利用笔记，包括利用流程、载荷测试、Burp Suite 验证和修复背景。
### 利用时间敏感漏洞
### 实验环境
该网站提供一个……功能 **重置密码** 通过电子邮件发送的链接。/ 在逻辑应用层面并不存在真正的竞态条件，但……的生成 **令牌** 是 **分情况处理的**：它取决于一个 **可预测的值** （时间），这使得可以通过\*\*同时\*\*发送请求来伪造另一个用户的有效令牌。
### 初步观察
1. 我们使用 **忘记密码** 与用户 `wiener`.
* 一封包含以下类型链接的电子邮件：
* `/forgot-password?user=wiener&token=`
{% code overflow="wrap" %}
```bash
你好！
请点击下面的链接重置你的密码。
https://0a1300c9040343bf810b7f2a00e60085.web-security-academy.net/forgot-password?user=wiener&token=3930dc6d3d076151204ad4147326f81a5e1609a8
```
{% endcode %}
* 令牌看起来像一个 **SHA1** （40个十六进制字符）。
`forgot-password?user=wiener&token=3930dc6d3d076151204ad4147326f81a5e1609a8`
* 令牌看起来像一个 **SHA1** （40个十六进制字符）。
```bash
hashid '3930dc6d3d076151204ad4147326f81a5e1609a8'
```
1. 通过生成多个令牌
假设：令牌主要由一个 **时间戳** （或者一个基于时间的值）派生，而不是一个强随机密钥。
### 核心思路：强制两个请求在同一毫秒内发出
如果我们能够触发 **两个重置** 同时发生，并且令牌只依赖于时间，那么 **这两个令牌将完全相同**.
问题：服务器（PHP）有时会通过相同的会话/CSRF来避免冲突。/ 解决方案：获取 **两个独立会话**.
### 准备：获取两组会话 + CSRF 对
向以下地址分别发送两个请求：
* `GET /forgot-password`
```http
GET /forgot-password HTTP/2
Host: 0a1300c9040343bf810b7f2a00e60085.web-security-academy.net
Cookie:
```
每个响应都会给出一组新的配对：
* `PHPSESSID=<...>`
* 新的 CSRF 令牌（值隐藏在表单中）
有 **两个已准备好的请求**，每个都带有：
* 其 `PHPSESSID` cookie
* 其关联的 CSRF 字段
### 触发：并行发送
然后我们并行发送 **并行地** 两个重置的 POST 请求（相同端点），在 Burp 中（分组 + 并行发送），使它们到达 **在同一时间窗口内**.
观察到的结果：收到的两封邮件包含\*\*完全相同的令牌\*\*：
```bash
933ccbd314dc37df95887cd914b07e330517f7bb
933ccbd314dc37df95887cd914b07e330517f7bb
```
结论：令牌本质上取决于 **时间戳**，而不是每个用户单独的密钥。
### 操作：用 Wiener 的令牌重置 Carlos
目标：对 `carlos`.
方法：
1. 并行启动两个重置：
* 一个用于 `wiener`
* 一个用于 `carlos`
```bash
forgot-password?user=wiener&token=da1d6e3ed67bef3efa9fe74fcfbf7603120ea744
forgot-password?user=carlos&token=da1d6e3ed67bef3efa9fe74fcfbf7603120ea744
```
由于令牌相同，收到的令牌（例如通过 `wiener` 电子邮件）也将对……有效 `carlos`.
如果该网站接受这个 URL，你就可以 **设置新密码** 用于 `carlos`.
### 实验完成
1. 以……身份登录 `carlos` 使用新密码。
2. 访问\*\*管理员登录\*\*。
3. 删除 `carlos` 用户以验证实验。
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://hacking-notes.jord4n.pro/zh/web/race-conditions/exploitation-of-time-sensitive-vulnerabilities.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
