http报文头部设置httponly之后js脚本就不能获取cookie了吗？

http报文头部设置httponly之后js脚本就不能获取cookie了吗？有没有其他获取cookie的方法呢？http本身没有加密，http报文都被我劫持了还有什么不能做的呢？