[攻防世界]-WEB高手进阶区-lottery
进入题目发现是一个购买**的网站，大概猜出flag是要买的
输入任意用户名注册
在Claim Your Prize栏果然看到需要买flag，但现在余额不足
通过看网站的robots.txt文件发现有.git文件泄露（其实为了方便题目附件中已经给出了源码）
用工具GitHack还原源代码发现api.php文件中的一段抽奖代码存在true绕过
利用此处漏洞购买**，输入任意七位数字点击Buy抓包
将POST数据改成{"action":"buy","numbers":[true,true,true,true,true,true,true]}多发送几次
然后回来购买flag，得到答案cyberpeace{d4f41f7632aa0c21782f6794aa631411}