抓包修改充值金额，抓包这事听着像黑客干的修改事，但实际操作起来门槛低得吓人。充值我见过一个初中生，金额教程用手机上的抓包抓包软件，十分钟就把某款手游的修改6元首充改成了0.01元——当然，他最后没收到钻石，充值但服务器确实回了“支付成功”的金额教程报文。这足够说明问题：很多APP的抓包充值接口，根本没做金额签名校验。修改
原理不复杂。充值你点“充值6元”的金额教程时候，手机发出去一个请求，抓包里面写着“amount=6”。修改抓包工具就是充值中间人，把这句话截下来，改成“amount=0.01”，再发给服务器。服务器如果只查“钱有没有到账”，不查“到账金额和请求金额是否一致”，那你就钻空子了。问题在于，正规支付平台（微信、支付宝）回调时都会带金额签名，服务端一比对就露馅。但有些小平台，尤其是那些用第三方聚合支付、又懒得写回调校验的，就真能改成功。
具体步骤？拿Charles或Fiddler举例。电脑开代理，手机连同一WiFi，装好证书，就能看到HTTPS明文。打开APP进充值页面，别急着点支付，先搜“pay”或“amount”关键字。找到那条POST请求，右键“Breakpoint”，然后回APP点“6元充值”。请求被拦住了，你改JSON里的“6”为“0.01”，放行。接着弹出来的可能是支付收银台，这里千万别真付钱——你改成0.01，微信那边扣款会失败，但有些平台用的是“余额代扣”或“测试支付”，那就真能过去。
有一个真实案例。某棋牌APP，充值档位是10元、50元、100元，对应虚拟币。抓包发现它请求里带“goodsId=10”，但服务器返回的支付链接里，金额是前端传过去的“totalFee”。我改成totalFee=0.01，用微信扫码，居然真只扣了1分钱，到账了100元档的虚拟币。后来我看了下它的服务端代码——网上泄露的——发现回调验证只查“订单号是否存在”，压根没比对金额。这种漏洞，等于白送钱。
但别高兴太早。现在主流大厂早就堵死了这条路。微信、支付宝的统一下单接口，金额是你服务器生成的预支付订单决定的，客户端传的金额根本没用。抓包改前端参数，顶多让页面显示“0.01元”，点支付时微信会报“金额不匹配”。真正能改的，是那些自己做了“钱包”功能的APP——先充值到平台余额，再用余额买道具。这种两步走的流程，第一步往往没做严格校验。
风险也大。你改了金额，服务器日志里躺着原始请求。平台想查你，调个数据库记录就行。我见过有人把某直播平台充值改成负数，结果平台发现后直接封号，还报了警——虽然金额小不立案，但账号里几万块的礼物全清零了。更蠢的是改“0.01”的，支付平台那笔真实扣款记录，和你充值的虚拟币记录，一比对就露馅。除非你连支付平台的回调都伪造——那需要控制支付平台服务器，难度就不是一个量级了。
最后说点实在的。这种教程网上满天飞，但九成是割韭菜的，要么让你买“抓包破解版”软件（其实是木马），要么教的方法早失效了。真想研究，去看HTTP协议和接口签名机制，比瞎改参数有用。至于那些还留着这种漏洞的APP——你改了金额也别声张，闷声用就是了。但记住，任何一笔异常订单，平台都有权追回。你薅的羊毛，最后可能变成牢饭。