iframe中有个sandbox属性，这个就是是否允许不同域的脚本和是否执行或一些其他的安全策略，如果没有设置这个的话则不会执行不同域的任何信息
http及相关的知识
http是一个协议，流程是：
a) http客户端发起请求，创建端口，
b) http服务器在端口监听客户端请求，
c) http服务器向客户端返回状态和内容
具体过程如下：
1. chrome 搜索自身的DNS缓存，
2. 搜索操作系统自身的DNS缓存（浏览器没有找到或缓存已经失效）
3. 读取本地的HOST文件
4. 浏览器发起一个DNS的一个系统调用：
宽带运营商
1. 宽带运营商服务器查看本身缓存，
2. 运营商服务器发起一个迭代DNS解析的请求，（中间很多过程，层层查找最终找到DNS对应的IP地址），然后将结果返回操作系统内核，同时缓存起来，操作系统内核把结果返回浏览器，最终浏览器拿到了DNS对应的IP地址。
5. 浏览器获得域名对应的IP地址后，发起HTTP “三次握手”
首先浏览器发起TCP连接请求，经过层层的路由设备到达tcp/ip协议栈，网卡没准还有防火墙，到达web服务器端，最终建立连接，然后是三次握手，首先客户端发起连接请求，服务器端收到请求并返回同意连接，客户端收到同意连接然后给服务器端返回收到信息。
6. TCP/IP 连接建立起来后，浏览器就可以向服务器发送HTTP请求了，比如说，用HTTP的get方法请求一个跟域里的一个域名，协议可以采用HTTP1.0的一个协议。
7. 服务器接收到了这个请求，根据路径参数，经过后端的一些处理之后，把处理后的一个结果数据返回给浏览器。
8. 浏览器拿到了穆课网的完整的HTML的页面代码，在解析和渲染这个页面的时候，里面的js，css，图片静态资源，他们同样也是一个http请求，都要经过上面的七个步骤。
HTTP协议主要包括请求和响应，无论请求还是响应都会发送http头和正文信息，http头发送的是一些附加的信息：内容类型、服务器发送响应的日期、http状态码，正文就是用户提交的表单数据
xss（跨站脚本攻击），注入式的脚本攻击
成因：
1. 对用户输入没有严格控制而直接输出到页面
2. 对非预期输入的信任
危害：
1. 盗取各类用户账号，如机器登陆账号，用户网银账号，各类管理员账号
2. 窃取数据
3. 非法转账
4. 挂马
。。。。
xss实例：
Payload(有效荷载)，即攻击代码
<img src=0 onerror=alert(5)>
什么又是PoC？
概念验证（Proof of concept，简称POC）是对某些想法的一个不完整的实现，以证明其可行性，示范其原理，其目的是为了验证一些概念或理论。在计算机安全术语中，概念验证经常被用来作为0day、exploit的别名。（通常指并没有充分利用这个漏洞的exploit，无害）
什么又是ExP？
exploit（简称EXP），它在黑客眼里就是漏洞利用。一般指漏洞利用程序. 有害
