漏洞联动XSS打CSRF账号接管

写在前面：合法学习边界

XSS/CSRF 测试只在授权测试环境进行。

1
① XSS → ② 窃取 Session/Cookie → ③ CSRF Token → ④ 账号接管

1
2
3
XSS → 窃取 Cookie → 伪造登录会话
XSS → 窃取 CSRF Token → 发起恶意请求
XSS → 篡改页面 → 诱导用户操作

1
2
输出编码 · CSP · HttpOnly Cookie
SameSite Cookie · CSRF Token · 二次确认

XSS + CSRF 是 Web 应用最常见的联动攻击。HttpOnly Cookie + SameSite + CSP 是防御核心。