Challenge Web App

Siguiendo todo lo que has aprendido, es hora de intentar descubrir y explotar una race condition sin guía.

Estas son las credenciales que necesitarás:

Name: Rasser Cond

• Username: 4621
• Password: blueApple

Name: Zavodni Stav

• Username: 6282
• Password: whiteHorse

Name: Warunki Wyscigu

• Username: 9317
• Password: greenOrange

¡A por ello!

Challenge

1. Vamos a la página dada.

2. Iniciamos sesión con los tres usuarios para ver qué tiene cada uno:

   1. 4621:

   2. 6282:

   3. 9317:

      Vemos que todos tienen lo mismo y además se tienen añadidos en transferencias favoritas. Como tenemos que conseguir un balance superior a 1000$ en una cuenta vamos a pasarnos de la primera a la segunda, por ejemplo.

3. Entramos de nuevo en la primera cuenta, pero ahora desde el navegador de Burp Suite y hacemos click en la persona a la que le vamos a enviar el dinero.

4. Cargamos el dinero que queremos mandar y ponemos Burp Suite en intercepción.

5. Vemos que ha sido exitosa.

6. Vamos a probar ahora a mandar una cantidad superior. Para ello modificamos los números y duplicamos las pestañas. Las mandaremos en paralelo.

7. Parece ser que "gunicorn" no está configurado para soportar 20 duplicados. Probaremos con 10.

8. Aún así ha llegado cierta cantidad:

9. Como parece que hay límite, vamos a enviar ahora dinero desde la 2ª a la 3ª cuenta.

10. En el repetidor llevamos a cabo el mismo proceso.

11. Parece que no ha podido manejarlo, como antes, sin embargo: