测试 Web 应用竞态条件与 TOCTOU…

在授权测试中，对一次性兑换、优惠券、余额/库存扣减、限流、注册奖励、邮箱/OAuth 验证等非原子读-写接口，验证并发竞态与 TOCTOU 是否可导致重复成功或状态不一致。

适用场景

解决思路

1. 将竞态条件视为授权/状态完整性问题：重点寻找非原子 read-then-write，让多个请求观察到陈旧状态；优先测试一次性或余额类操作。
2. 组合使用并行传输（HTTP/1.1 last-byte 同步、HTTP/2 single-packet、Turbo Intruder gates）与应用证据（重复成功响应、余额不一致、重复流水行）。
3. 优先测试 check 与 update 不太可能是单个原子数据库操作的目标端点：1) 一次性兑换/优惠券/奖金：redeem、apply_coupon、claim_reward、voucher；2) 余额/配额/库存扣减：transfer、purchase、reserve、inventory；3) 邀请/推荐/注册奖励：invite_accept、referral_claim；4) 密码/邮箱/MFA 验证：verify_token、confirm_email、reset_password；5) 看起来幂等但缺少强 key 的 API：每个用户只应成功一次的 POST。

适用边界 · 注意事项

• 未授权目标不要使用；本技能只允许授权测试。
• 如果目标的状态变更已被 UNIQUE 约束、idempotency key、SELECT ... FOR UPDATE 或分布式锁严格保护，且测试无法并发绕过，则不要继续投入；转向其他漏洞类别。
• 如果问题更偏业务规则、定价或工作流绕过而非并发/传输层同步，改用 business-logic-vulnerabilities 技能。

经验正文