开启了httponly的网站。XSS也就是测试下

某站发帖与回帖模块存在XSS，但由于它开启了httponly,XSS也就是测试下.

此例为回帖：
由于前端经过了HTML实体编码，内容随意填写一些好识别的：

13.png

]( http://upload-images.jianshu.io/upload_images/2414995-2bd7996f8b3716b6.png?imageMogr2/auto-orient/strip%7CimageView2/2/w/1240)
用Burp Suite 抓包修改内容部分
写入payload：

12.png

修改后放行，关闭代理，页面出现弹窗：

13.png

换一种玩法，加载js文件，获取更多信息：
重新回帖，Burp Suite 抓包修改内容部分
写入payload：

14.png

修改后放行，关闭代理，在接收端可以看到获取到的信息：

15.png

获取信息的JS文件，PHP文件和HTML文件，都是借鉴github上的，支持下载：
https://github.com/evilcos/xssprobe