0xGame2026 Week2

Web

关注塔菲谢谢喵~

本来的思路是注册200个账号投票但是发现第一个账号投完登录第二个账号还是零票，抓一下投票时的包

cookie里带一个sid和一个voter，但是/api/vote只通过sid验证账号，经过测试发现

服务端逻辑是：“一人一票”的“人”，查的是 voter cookie(选民令牌)，不是账号。

• 请求带voter → 以 voter 值做去重 key,同一 voter 第二次投被拒(C 组：12 个并发同 voter,1 个成功、11 个“只能投一票”);
• 请求不带voter → 服务端每次现场签发一个全新的 guest_<随机> 身份，每个请求都被当成“新选民”，账号层的检查形同虚设——顺序投也一票一个准。

所以我们直接只带sid重复请求200次即可