当网站cookie设置了httponlyxss网站获取源码不箌到网站的cookie。但是我们是可以网站获取源码到网站后台的url

这时候我们可以xss得到网站后台源码，从而找到网站后台的一些敏感操作：添加鼡户删除用户，修改密码数据库备份等等。

在这个xss点上用ajax构造post数据包,添加用户。这就应该是xss+csrf的利用

最近开发我们学校的党建系统，下面我们来复现一下上面操作：

1、前提是我们已经获得后台的地址了这时候在xss平台上配置如下代码：