B网站如何获取的A网站的cookies？？ xss 吗？

Answer 1

TooooBug 2018-07-24 16:16:32

B网站获取不到A网站的Cookie的。但是从B网站向A网站发起的请求会带上A网站的Cookie。这个过程中B网站是全程不知道你的Cookie是什么的，但是你向A网站做的请求却都是合法的。这是CSRF攻击的本质原理。

• chanchan666 #1

  “B网站向A网站发起的请求会带上A网站的Cookie”，这个是浏览器的特点嘛？那有没有不会带上cookie的场景呀？

• TooooBug 回复 chanchan666 #2

  访问某个网站时，带上这个网站的cookie，这就是浏览器使用cookie的方式。这个例子中，访问A网站，带上A网站的cookie。这个没毛病。
  
  但因为这样会导致CSRF，所以现代浏览器正在实现一个新的cookie属性叫same-site，设置完之后，它会屏蔽一些场景下的cookie。课程中应该有说这个的。