Идеально - burp suite. Позволяет полностью контролировать запросы.
Погуглите http parameter pollution - уязвимость в подобного рода приложениях.

Это называется race condition. Пример можно посмотреть здесь:
https://habrahabr.ru/post/258449/

Здесь говорится примерно о том, о чём вы спрашивали:
https://habrahabr.ru/post/339596/

Аж прям вдохновил)
С подменой пакетами я смог взломать только одну игру, Бой с тенью на Одноклассниках(щас okru) ловил пакеты с помощью программы Charles,в принципе все описано на этом видео Взлом бой с тенью. Игру наверное все знаю, принцип взлома был такой когда нажимаешь бой Charles ловит пакеты, в этих пакетах был пункт типа здоровье противника или что то того, менял его на 0 и когда игра начиналась, Убивал противника с 1 удара(так поднял свой дан до 10 уровня, выигрывал все турниры и получал дофига золото за 1-ое место). Пробовал еще через Charles увеличить золото. Купил что нибудь в магазине и золото которое должно оставаться после покупки заменил на 9.999.999, но как вы догадались не сработало, все это визуально при покупке чего нибудь золото обратно меняться на то что должно быть(сохраненное в СЕРВЕРЕ).
Еще там энергия восстанавливается через определенное время, попробовал ускорить браузер через программу Cheat Engine SpeedHack(Опять облом). Вообщем старая школа за все манипуляций с этими пакетами я смог взломать только игру Бой с Тенью, даж не знаю как, наверное потому что драка считывается именно в браузере а не на сервер, а потом победа,проигрыш,приз отправляется на сервер. Но щас этот способ наверное не работает, да и вообще все авторитетные игры считывают запросы только на сервере , тебе остается либо сервер нагнуть либо если это ММОРПГ или что то подобное, взломать аккаунт другого игрока и получить его золото.