JSON 劫持

JSON是一种轻量级的数据交换格式，而劫持就是对数据进行窃取（或者应该称为打劫、拦截比较合适）。恶意攻击者通过某些特定的手段，将本应该返回给用户的JSON数据进行拦截，转而将数据发送回给恶意攻击者。

如果说前面那几个哥们是把你打劫的啥都不剩，那JSON劫持就看起来“温柔”许多，它只打劫那些敏感信息或者有价值的数据。JSON漏洞主要被攻击者用在受害者不知不觉中窃取他们的隐私数据，常常被一些 APT 组织采用进行信息收集和钓鱼的工作( 也称水坑攻击 )
简单来说就是小偷进到张三家里，他不会傻到把沙发柜子搬走，他选择拿金属探测仪扫描，只带金属类的东西，拿相对价值最高的东西走。

那有人就好奇，有价值的数据无非就是姓名，手机号，身份证号，email邮箱，以及一些网站的登录密码，还能有什么呢？
Cookies，简单来说就是攻击者登录你的账号不一定要用密码登录，也可以借助Cookies直接进入账户。
除此之外，它甚至可以是 CSRF Token 信息，前面谈过CSRF攻击，一定还有印象吧，可以说CSRF Token 就是防御的CSRF攻击的屏障，从内部瓦解才是最令人恐怖的。