[TOC] ## 什么是HttpOnly ~~~ 通过js脚本无法获取Cookie信息 ~~~ ## 绕过方法 **保存读取账户密码** ~~~ 产生在后台的XSS代码，存储型的XSS如留言等 ~~~ **没保存读取账户密码** ~~~ 需要XSS产生登陆地址，利用表单劫持 ~~~