古老的xst攻击

xst主要是使用http的trace方法，该方法会返回浏览器发给服务器的所有请求信息，但该方法不能带body，主要是利于debug。

现在前端后端都做了很多xst攻击的措施，很难在浏览器端发起trace请求了，所以只能用fiddler模拟一下，服务器是wamp，支持trace方法。

该攻击主要是在网站存在xss漏洞但设置了cookie的httponly属性的时候结合trace方法进行攻击。如果某网站存在xss漏洞，那比如用户点击a标签会执行一段脚本，那么该脚本可以异步发起一个trace请求，因为是同域，所以会带上cookie，然后服务器会把浏览器请求的信息全部返回来，其中包括cookie，我们可以在回调函数里解析然后上传到我们的服务器上去。