XST 的全称是 Cross-Site Tracing，中文译作“跨站式追踪攻击”。

具体而言，是客户端发 TRACE / TRACK请求至服务器，如果服务器按照标准实现了 TRACE / TRACK 响应，则在 response body 里会返回此次请求的完整头信息。通过这种方式，客户端可以获取某些敏感的 header 字段，例如 httpOnly 的 Cookie 等。