Разбор Racer crabster [Web] [CC2020]

Разбор первого задания на банк.

Заходим на сайт, регистрируемся/логинимся.

В тексте задания упоминаются транзакции, а единственное место в банке, где есть транзакции - это перевод средств между кошельками.

Можно попробовать отправить куда-нибудь/кому-нибудь денег и заметить, что транзакция проходит довольно долго, около нескольких секунд. За это время можно попробовать послать несколько запросов на перевод денег, на это также намекает название (Racer). Скорее всего, это работает из-за отсутствия синхронизации транзакций.

Собственно, итоговый эксплойт - просто 50-100 параллельных запросов на перевод на свой аккаунт со второго, специально созданного для таких целей.