HttpOnly概念：HttpOnly是Set-Cookie HTTP响应头中包含的附加标志。生成cookie时使用HttpOnly标志有助于降低客户端脚本访问受保护cookie的风险（如果浏览器支持它）。如果HTTP响应头中包含HttpOnly标志，客户端脚本就无法访问cookie。因此，即使存在跨站点脚本（XSS）缺陷，且用户意外访问利用此漏洞的链接，浏览器也不会向第三方透露cookie。那么我们可以通过XSS直接在源站上完成操作，不直接获取cookie。

1.phpinfo页

伪造对方身份访问同站的phpinfo页面，因为同域所以通过ajax提交访问可以读取到responseText，其中$_SERVER[“HTTP_COOKIE”]会打印出具有httponly属性的cookies。

优点：成功率很高，最不容易被察觉，也是最常用的一种方式。

缺点：需要phpinfo页，条件苛刻。

2.框架钓鱼

通过<iframe>标签嵌入一个远程域，完全撑开后，以覆盖原有的页面。

优点：无跳转，域名无改变。

缺点：通常会覆盖某个正常的页面，管理员易察觉。

3.跳转钓鱼

通过购买相似域名，构建相同的钓鱼页面，使受害者跳转至钓鱼站。

优点：主动性较强，可主动钓鱼。

缺点：成本较高，且由于页面跳转过于明显，所以此方法十分容易被发现。

4.历史密码

通过js伪造登录表单，欺骗浏览器自动填入，由此获取浏览器记住的历史密码。

优点：不易被发现，可直接获取明文，成功率较高。

缺点：各内核浏览器兼容性不一，最新版google已不支持http协议下的自动填入功能。

5.获取源码

通过xss获取后端页面源码，常常可以发现一些越权访问，或者配合CSRF打组合拳去添加新用户或者执行其他的功能，以及通过审计后台js发现一些漏洞等。

优点：信息获取的比较详细，也可以获取到后台账号名称。

缺点：局限性较大，不易于利用。

6.通过xss伪造oauth等授权请求，远程登录

详见https://www.anquanke.com/post/id/169317

........等等