security - XSS攻击是否有可能获取HttpOnly cookie？

Question

阅读this blog post about HttpOnly cookies让我开始思考，是否有可能通过任何形式的 XSS 获取 HttpOnly cookie？ Jeff 提到它“大大提高了标准”，但听起来它并不能完全防范 XSS。

除了并非所有浏览器都正确支持此功能这一事实之外，如果用户的 cookie 是 HttpOnly，黑客如何才能获取这些 cookie？

我想不出任何方法可以让 HttpOnly cookie 将自身发送到另一个站点或由脚本读取，所以看起来这是一个安全的安全功能，但我总是惊讶于有些人可以如此轻松地做到这一点解决许多安全层问题。

在我工作的环境中，我们只使用 IE，因此其他浏览器不存在问题。我正在专门寻找其他方法，使这可能成为一个不依赖于浏览器特定缺陷的问题。

Answer 1

NOTE this answer is outdated, and XST is unlikely to be exploitable in almost any modern scenario. Other parts of the answer might be relevant, but there are other more modern techniques.

首先，正如其他一些人提到的，XSS 可以允许其他有效负载，而不仅仅是 cookie 窃取。

但是，是否可以通过 XSS 窃取 httpOnly cookie？ (忽略httpOnly支持的问题？)....答案是:可以。
XSS 的一个子集称为 Cross-Site Tracing (XST) (或转到原始 research paper )。此攻击让 XSS 有效负载向 Web 服务器发送 HTTP TRACE 请求(或 proxy，正向或反向)，这将向客户端回显完整的请求 - 包括您的 COOKIES，无论是否为 http。然后，XSS 有效负载可以解析返回的信息，并检索那些美味的 cookie...

<小时/>

顺便说一句，XSS 的另一个“子集”(有点)涉及将有效负载注入(inject)到响应 header 中。虽然类似，但这完全不是 XSS， header 注入(inject)甚至可能导致 HTTP Response Splitting (HRS) - 功能更强大，允许几乎完全控制其他客户端、缓存中毒，当然还可以访问 cookie，如果愿意的话。