并发逻辑漏洞靶场案例

原创

流岁金沙
流岁金沙

迷雾光航

2026年5月25日 11:25
浙江

在小说阅读器读本章

去阅读

一、环境

无镜靶场 https://bdziyi.com/ulab/

Burpsuite

Chrome浏览器

这个逻辑漏洞的具体原理，可以参考我的上一篇文章：

https://mp.weixin.qq.com/s/rosmbXuVUPRl4EkX3aXxZw

二、解题

访问网站，可以注册账号，先注册一个

题目要求是买下一个商品即可

个人中心有一个设置生日，可以生日当天领取50元的功能（漏洞点大概就在这里了）

正常是不能直接设置当天就是生日的，但是是前端验证的，抓包后修改成当天就行了

先正常测试，看看能不能通过发包多次领取，正常来说只能领取一次

重新注册一个账号，然后使用并发领取多个礼包

个人中心已经有400元了

购买第一个商品

成功得到flag，解题成功

三、总结

非常经典的并发漏洞的问题，在领取礼包的功能点那里后端的逻辑应该是先检查是否有领取，然后再往数据库中增加金额，并且标记已经领取，这之间就会有一个时间窗口造成并发漏洞。

仅供参考，哪里有问题欢迎指正！