算了吧,我们盗亦有道,只做Web端黑客。JavaScript的跨域访问呐!”老大也说:“是啊,这个人看到自己的cookie被alert出来,估计会吓一跳吧。”老二说:“嗯,确实不能这么办,让我想想。通过这个发cookie发给我们。“大哥二哥,我这就去把JS写出来,找个网站试一试。还有反射型XSS,基于DOM的XSS,本文不再展开。老二,真有你的,老三,你去找点网站,按二哥说的试试。”又过了几天,老三哭丧着脸说道:“大哥二哥,这些彻底玩完,现在人类出手了,来了几个必杀技。cookie吗,只是越来越难了。放到一个不可见的iframe中,用户只要一访问,就用JavaScript自动提交。:“这个token是服务器端生成的,我们无法伪造的,CSRF的手段也不行了。就可以读取Token,为所欲为了。算了吧,我们盗亦有道,只做Web端黑客。JavaScript的跨域访问呐!”老大也说:“是啊,这个人看到自己的cookie被alert出来,估计会吓一跳吧。”老二说:“嗯,确实不能这么办,让我想想。通过这个发cookie发给我们。“大哥二哥,我这就去把JS写出来,找个网站试一试。还有反射型XSS,基于DOM的XSS,本文不再展开。老二,真有你的,老三,你去找点网站,按二哥说的试试。”又过了几天,老三哭丧着脸说道:“大哥二哥,这些彻底玩完,现在人类出手了,来了几个必杀技。cookie吗,只是越来越难了。放到一个不可见的iframe中,用户只要一访问,就用JavaScript自动提交。:“这个token是服务器端生成的,我们无法伪造的,CSRF的手段也不行了。就可以读取Token,为所欲为了。