hgame Vidar shop demo

Vidar shop demo

摘自https://blog.csdn.net/mochu7777777/article/details/122631962，仅作个人学习参考

这三个js文件都有map文件，可以用reverse-sourcemap还原源码
参考：https://www.freebuf.com/articles/web/276810.html
得到源码可自行分析

不过这里的漏洞，黑盒就测试出来了
注册的时候注意下有一些限制，最好用burp改包注册，注意用户名长度和密码长度即可成功注册

注册成功后登录能看到用户的一些信息

首先任意下单一个买得起的，支付，看看这个过程

支付后，账户拥有的余额减少了20


然后发现这个已支付的订单可以删除

删除完之后发现，之前减去的余额返回到了账户

有增加对应取消订单的价格，抓包分析下传参


只传了一个订单的id，尝试修改为下单好的更大金额的订单的id，比如flag的订单id

增加了flag订单的金额到账户余额上，余额够了，直接买flag，支付后回到订单页面得到flag