JS – EVILCOS

一种新型蠕虫：花瓣CORSBOT蠕虫

新年新气象，这个蠕虫我做了小范围测试，也提交了官方修复，小圈子里做了分享，这里正式对外公布下，出于研究而非破坏为目的，供大家参考。

IAMANEWBOTNAMEDCORSBOT
——-BOT PoC——-
http://evilcos.me/lab/IAMANEWBOTNAMEDCORSBOT.TXT

完整代码直接见上面这个链接即可。

里面需要特别注意的两个点：

计划准备出一个PPT专门讲解CSRF里的各种奇技淫巧，除了那些老套的手法之外：

https://github.com/evilcos/papers
我公布的Papers里有个PPT是《CSRF攻击-苏醒的巨人》，可以参考。

还包括以前提的Flash CSRF/XSF等方式，细节可以温习去年我的Paper（隐蔽的战场—Flash Web攻击），希望Flash是日不落帝国，虽然现在快日落了，但是不影响我们的最后挣扎。

除了这些，当然会有新的玩意，比如JSON Hijacking就一直在进化。还有去年很火的WormHole，这是JSON Hijacking本地攻击的一种延伸，点击下这个试试：

当代 Web 的 JSON 劫持技巧
http://paper.seebug.org/130/

猥琐流的家伙居然在OWASP重出江湖而且加入了Burp Suite那家公司。这篇技巧核心是__proto__，可以理解为JavaScript曾经的prototype在ES6里的增强，当代浏览器基本都支持了这个新标准。这个跨域技巧很有意思的，不过目前实战利用上“暂时鸡肋”…

里面还有个亮点是UTF-16BE技巧，这个技巧除了注意字符集差异带来的安全问题之外，还应该注意下：浏览器对待MIME类型检查的态度差异…

重点来了，欢迎更多人投稿安全技术文章给Seebug Paper，公益性的:-)

Seebug Paper之前收录了三篇文章有些关联性，分别是：

有个关键点是：混合内容的安全性。

这里提到的主要是协议的混合，如https/http/file/res/mhtml等，现代浏览器逐渐开始隔离这些协议，比如https下加载http的内容时，给出安全提示；再比如“修补”file/res/mhtml这些协议在http协议的网页里带来的安全问题，如本地文件探测（常见的是杀软探测）。

目标：超越已知的XSS利用平台（XSS Shell, BeEF, Anehta, CAL9000等），集大成者，快了，快了。

架构清晰，扩展容易。还是用自己的东西比较放心，自己完全打造有种优越感。先告一段落吧，本来是作为我那本书的一个附赠之物，可是发现已经不合适了，会引来不必要的麻烦。

因为自己的时间实在太紧，但是还是抽出时间来一步步完善这个，所以进度慢的很。
下一步继续完善各种细节（我爱深抠细节），并加入更多各种HTML5特性支持。

这个平台的名字我早就取好名了：web2ghost。
就像是潜伏在你浏览器周围的鬼魂，看不见，可威胁却在持续……这个平台极大地方便我们进行XSS&CSRF等基于Web前端的漏洞利用。
Django&Python&MySQL&jQuery构建。
Continue reading