利用反射型XSS漏洞劫持Facebook账户
漏洞情况该漏洞只在IE和Edge浏览器中有效，漏洞原因在于graph.facebook.com中的某些API端点，在处理HTML代码响应时未实施完善安全的转义措施。响应消息存在于JSON格式中，HTML代码被当做其中一个字段的值也包含在内，而且响应消息不附带Content-Type 或 X-Content-Type-Options头，这样我就能有机会在IE/Edge中构造代码执行了。（这两类浏览器会扫描整个页面确定MIME文件类型，而其它浏览器只检查前几个字符）。漏洞复现1、首先，我们发送以下上传方式的P