用途：该技能用于测试应用是否未能原子化处理并发请求，从而可能实现双重消费、限额绕过或通过并行请求提权。资料称该主题在标准 WSTG 分类中缺失，但在实际评估中很关键。
主要能力与工作流：1）目标识别，找出易受竞争影响的操作，如余额转账、优惠券兑换、库存购买、投票点赞、令牌生成、文件操作；2）单端点竞争，同时发送 N 个相同请求以绕过“每用户一次”限制或重复交易；3）多端点 TOCTOU，利用检查与使用之间的时间差，如先验证优惠券再应用、先检查余额再扣款；4）会话级竞争，如并行改密与会话刷新、同时角色变更与动作执行；5）数据库级竞争，利用缺失行级锁，测试乐观与悲观并发，触发死锁；6）时序同步，使用单包攻击技术（Turbo Intruder）将请求同步到微秒级；7）影响记录，附精确复现步骤与时序要求。
环境与工具：需 Burp Suite Professional 配 Turbo Intruder 扩展、Python 3.x 配 asyncio/aiohttp、GNU parallel 或 xargs、多个已认证会话（独立 cookie/token）。工具类别含计时攻击（Turbo Intruder、race-the-web）、异步脚本（asyncio/aiohttp、httpx）、Shell 并发（GNU parallel、xargs、curl）、代理分析（Burp Repeater）、数据库监控（pg_stat_activity、SHOW PROCESSLIST）。
授权与限制：需书面授权并明确并发测试范围、具有余额或配额限制的测试账号、面向资金或状态变更操作的回滚计划，并与目标方确认可接受的突发流量速率。其余细节暂未提供。