1、找到隐藏的记分板
/#/score-board 会直接跳转到计分板
2、登陆管理员账户
这里可以尝试用sql注入的方式进入管理员界面
1、无账号，无密码进入
’ or 0=0 –
2、有账号,无密码进入
**admin@juice-sh.op'--**
3、xss攻击
在搜索框输入<iframe src=“javascript:alert(xss)”>
4、登陆管理员界面，并且不报错
在url输入administration即可
5、给商店⼀个毁灭性的零星反馈
修改页面代码，删除disabled即可
6、注册为具有管理员权限的⽤户
1.使用fiddler抓包工具抓取注册用户的包
2.抓到/api/Users 提交请求
3.添加 “role”:“admin” 权限
7、删除所有 5 星级客户反馈
进入隐藏管理员界面在地址栏中输入/administration
删除五星评论即可
8、让你富有的订单
利用fiddler工具，抓取到购物车商品的包，把商品的数量改为负数，发送请求，完成购物即可
9、查看其他⽤户的购物车
1、利用fiddler抓包工具，抓取到购物车id，然后把购物车id修改成其他用户id，发送请求
10、找到猫的照⽚并显⽰
11、使⽤管理员的⽤户凭据登录，暴⼒破解
12、以其他⽤户名发布⼀些反馈
通过fiddler抓包工具，抓到反馈的包，然后修改用户id，发送即可
13、以其他⽤户的⾝份发表产品评论或编辑
任何⽤户的现有评论
通过fiddler抓包工具，抓到评论的包，然后修改用户名，发送即可
14、频繁发送Can I have a coupon code?获得优
惠！
暴力破解即可
15、上传不是 .pdf 或 .zip 扩展名的⽂件，
xml
在前端代码中找到
修改即可
16、上传⼤于 100 kB 的⽂件，其他类型
17、Nosql注⼊-同时更新多个产品评论
18、修改bender⽤户的密码-不使⽤注⼊的⽅
式
1、用万能密码登陆bender用户
2、用抓包工具抓取到更改密码的包
3、删除原密码的url并发送即可
19、将其他产品放⼊另⼀个⽤户的购物篮
20、更改OWASP SSL⾼级取证⼯具(O-Saft)中
链接的href为 https://owasp.slack.com