WEB安全新玩法 [10] 防范竞争条件支付漏洞

服务器端业务逻辑，特别是涉及数据库读写时，存在着关键步骤的时序问题，如果设计或代码编写不当就可能存在竞争条件漏洞。攻击者可以利用多线程并发技术，在数据库的余额字段更新之前，同时发起多次兑换积分或购买商品请求，从中获取利益。本文将讨论如何简单地使用 iFlow 应用安全加固平台的可编程特性，对竞争条件产生的支付漏洞进行防护。

一、原始网站

这是一个在支付环节存在竞争条件漏洞的站点：用户输入一个支付数值，系统将这个数值与余额比较，如果支付数值小于余额则允许支付，并从余额中减去支付数值。

攻击者编写并执行了一个 Python 攻击脚本，使用多线程并发对支付请求 URL 进行访问。由于未能正确处理竞争条件问题，系统为多个请求同时扣除了余额。我们回到浏览器中刷新页面，可以发现余额变为了 -10 元，如下图所示。

HTTP 交互流程如下：

sequenceDiagram
participant 攻击者
participant 浏览器
participant 攻击工具
participant Web服务器
participant 数据库
攻击者->>浏览器: 点击“竞争条件-支付”链接
浏览器->>Web服务器: GET /race_condition/pay.php
数据库->>Web服务器: 读取金额
Web服务器->>浏览器: 返回“竞争条件-支付”页面
浏览器->>攻击者: 显示：余额为10元
攻击者->>攻击工具: 执行多线程并发请求
rect rgb(250, 128, 128)
攻击工具->>Web服务器: POST /race_condition/pay.php
Web服务器->>数据库: 余额足够，扣除支付金额
攻击工具->>Web服务器: POST /race_condition/pay.php
Web服务器->>数据库: 余额足够，扣除支付金额
攻击工具->>Web服务器: POST /race_condition/pay.php
Web服务器->>数据库: 余额足够，扣除支付金额
end
攻击者->>浏览器: 点击“竞争条件-支付”链接
浏览器->>Web服务器: GET /race_condition/pay.php
数据库->>Web服务器: 读取金额
Web服务器->>浏览器: 返回“竞争条件-支付”页面
浏览器->>攻击者: 显示：余额为-4元

二、iFlow虚拟补丁后的网站

我们在 Web 服务器前部署 iFlow 业务安全加固平台，它有能力拦截、计算和修改双向 HTTP 报文并具备存储能力，成为 Web 应用的虚拟补丁。本例中，iFlow 使用一个全局唯一的定时标志来阻止对并发请求的同时处理。

每个支付请求到来时，iFlow 都会检查定时标志是否存在。只有标志不存在时才交给 Web 服务器处理这个请求，并同时设置定时标志。在定时期间，如有其他支付请求到来，而 iFlow 检查到定时标志存在，则会放弃处理这个请求，将用户重定向到指定页面。定时结束后，系统则又可以处理下一个支付请求。

HTTP 协议交互过程如下：

sequenceDiagram
participant 攻击者
participant 浏览器
participant 攻击工具
participant iFlow
participant Web服务器
participant 数据库
攻击者->>浏览器: 点击“竞争条件-支付”链接
浏览器->>Web服务器: GET /race_condition/pay.php
数据库->>Web服务器: 读取金额
Web服务器->>浏览器: 返回“竞争条件-支付”页面
浏览器->>攻击者: 显示：余额为10元
攻击者->>攻击工具: 执行多线程并发请求脚本
攻击工具->>iFlow: POST /race_condition/pay.php
Note over iFlow: 设置定时标志
iFlow->>Web服务器: POST /race_condition/pay.php
Web服务器->>数据库: 余额足够，扣除支付金额
rect rgb(250, 128, 128)
攻击工具->>iFlow: POST /race_condition/pay.php
end
Note over iFlow: 定时标志存在，重定向页面
rect rgb(250, 128, 128)
攻击工具->>iFlow: POST /race_condition/pay.php
end
Note over iFlow: 定时标志存在，重定向页面
攻击工具->>iFlow: POST /race_condition/pay.php
Note over iFlow: 定时标志超时后不存在
iFlow->>Web服务器: POST /race_condition/pay.php
Web服务器->>数据库: 余额不足，不执行支付
攻击者->>浏览器: 点击“竞争条件-支付”链接
浏览器->>Web服务器: GET /race_condition/pay.php
数据库->>Web服务器: 读取金额
Web服务器->>浏览器: 返回“竞争条件-支付”页面
浏览器->>攻击者: 显示：余额为0元

代码

iFlow 内置的 W2 语言是一种专门用于实现 Web 应用安全加固的类编程语言。它介于配置和通用语言之间，具备编程的基本要素和针对 HTTP 协议的特有扩展，能为业务系统编写涉及复杂判断和动态修改的逻辑。

考虑到安全产品的使用者通常为非程序员，他们习惯面对配置文件而非一段代码。因此，W2 语言虽包含语言要素，仍以规则文件方式呈现，并采用可以体现层次结构和方便词法校验的 JSON 格式。

用 W2 语言实现上述虚拟补丁的代码如下：

{
	"if": [
		"REQUEST_FILENAME == '/race_condition/pay.php'",
		"REQUEST_METHOD == 'POST'"
	],
    "then": {
		"if": "GLOBAL.pay_time_flag",
		"then": {
			"verdict": {
				"action": "redirect",
                "param": "/retry.html"
			}
		},
		"else": "GLOBAL.pay_time_flag@2=1"
    }
}

示例代码中，当服务器端收到支付请求时，iFlow 拦截此请求。iFlow 会检查全局 (GLOBAL) 存储变量 pay_time_flag 是否存在：如存在，则重定向到页面 /retry.html (向正常用户提示稍后重试)；如不存在，则设置一个生命时长为2秒 (数值可根据实际请求处理所需时间调整) 的存储变量 pay_time_flag 。

注意：上述会话中的 pay_time_flag 是保存在服务器端的 iFlow 存储中的，攻击者在浏览器端是看不到数据更无法进行修改的。

三、总结

使用 iFlow 书写一条规则，即可实现在设定时间内只允许处理一个请求，避免竞争条件带来的异常处理。（张戈 | 天存信息）