一、你在做什么
这是一个被故意做得很脆弱的购物网站。它有 77 个安全漏洞，分布在注册、
商品、购物车、下单、支付、退款、后台、AI 客服各个角落。你的任务是把它们找出来、
利用成功，拿到 flag{...}。
二、怎么算赢
拿 flag
利用成功时网站会弹出绿色横幅，或在接口返回里给出
看进度
右上角「我的进度」
提交
把 flag 粘到 CTFd 对应题目里提交
flag 是个人的
每个人的 flag 都不同，互传无效
难度分布
★ 29 关 / ★★ 37 关 / ★★ 11 关，先做★的热身
三、工具箱
F12 开发者工具
改前端、看请求、看响应，80% 的关卡够用
Burp Suite
拦截/改包/重放，改价格、改数量这类必须用
curl / Python
批量测参数、发自定义请求头
SQL 注入
可以开一个 SQL 调试器练语法，别在线上拿别人库
四、红线（越界即取消成绩）
- 只针对 本靶场域名，把手法用到别的网站就是违法
- 不要攻击服务器本身（爆破 SSH、打内网其他服务、删库）
- 不要用工具对站点做无差别扫描（大规模扫描会把考场拖垮）
- 不要互相交换 flag、不要代打
- 不要对外传播源码、备份、数据库文件
五、卡住了怎么办
- 先看「我的进度」，按类别找没做过的小类
- 换思路：改请求 → 改响应 → 改 Cookie → 改 URL → 改文件名，一个一个试
- 读每个接口返回的 JSON，字段可能藏着线索
- 实在不行举手，老师可以给「提示」而不给答案