作者：czy<[email protected]>
出處：http://www.nsfocus.net
日期：2003-09-03
(注意由於論壇會對文章中的一些字符作處理，所以最好到
http://www.chinansl.com/czy/xmlhttp.txt看文章
http://www.chinansl.com/czy/aspsky5.htm測試代碼)
跨站腳本攻擊想必各位都已經是很熟悉了，但是得到COOKIE的時候一直有一個
問題：總是要用WINDOW.OPEN彈一個窗體出來然後發送COOKIE，這樣隱秘性
就大打折扣了。以前我想了一個在網頁中用insertAdjacentHTML方法來注入HTML語句
的辦法勉強可以作到發送COOKIE不出現IE窗口，但是在實際使用中有時會遇到IE出錯。
沒有更好的辦法了嗎？以前在研究VBS病毒自動升級的時候用到一個Microsoft.XMLHTTP
控件(該控件是WIN98/2K上都默認自帶的東東,並且它是IE認為safe的控件!),通過它我們
可以在網頁中給網站發送http請求，可以是POST也可以是GET.
好了思路已經到這兒來，下面我們可以實戰一下，我以ASPSKY5.00320為例子。
我們知道<IMGSRC="XXXXXXX">在SRC中可以寫入vbscript:這樣的語句。 。比如
<imgsrc="vbscript:a=(msgbox(now))">,但是我們只能執行一個語句，比如
<imgsrc="vbscript:a=(msgbox(now)):b=(msgbox(now))">這樣都將是錯誤的!
怎麼辦法呢？在VBS中我們可以用EXECUTE語句，在JS中我們可以使用EVAL語！
比如：<imgsrc="vbscript:execute("a=(msgbox(now)):b=(msgbox("czy""))")">
或是<imgsrc="javascript:eval('alert(/'nsfocus/');alert(/'czy/')')">
還沒有暈吧？上面你可能會注意到用VBS的execute語句時雙引號要換為"這是因為：
在VBS中單引號要括起字符串，必須是兩個單引號代表一個又引號，並且在雙引號內！
所以在execute語句中我們不能用單引號，而直接用"呢，在HTML進行引號匹配的時候
會和src="後的引號匹配，所以我們只能用"代替了。
引號的問題解決了，在實際應用中ASPSKY還會對我們的代碼進行處理：
1:如果發現script字串，會在前面加上一個空格
2:如果發現http字串會認為是一個URL，並在兩邊加上<A>元素
3:如果發現空格會用代替
解決問題：
1:vbscript用vbsCript代替
2:http用,""ht""+""tp...代替(vbs中引號括引號裡面的應用多一對,+代表連接符)
3:空格用 代替（注不是 ）
在最後就是發送COOKIE的問題:
1:控件在本地可以GET,POST任意的網站，但是在網頁中竟然只能
GET,POST當前服務器。 。 。 。要不然IE就會說拒絕仿問！
2:cookie中不能有&等在URL中有特殊交意的字符
解決問題：