通过分析商品评论接口，发现 NoSQL 注入漏洞，利用 sleep() 函数让服务器休眠，完成拒绝服务攻击挑战。
通过 SQL 盲注和 UNION 查询，在登录请求中动态创建临时用户 acc0unt4nt@juice-sh.op，无需注册即可登录，利用数据库临时性实现一次性账户。
通过分析 Content-Security-Policy 头部，利用图像 URL 注入修改 CSP 策略，结合正则表达式过滤漏洞进行双写 bypass，最终在传统页面上执行 XSS 攻击。
通过 SQL 注入绕过应用程序的商品可用性检查，将已删除的 2014 年圣诞节特别优惠商品添加到购物车并完成订单。
通过分析登录流程，发现应用使用 True-Client-IP 头部记录用户登录 IP，利用该头部的不当处理进行存储型 XSS 攻击，在用户个人资料页面执行恶意代码。