搜索

[7955] 2014-04-14_某些浏览器中因cookie设置HttpOnly标志引起的安全问题

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-17
2014-04-14_某些浏览器中因cookie设置HttpOnly标志引起的安全问题 某 些 浏 览 器 中 因 c o o k i e 设 置 H t t p O n l y 标 志 引 起 的 安 全 问 题 F r e e B u f   2 0 1 4 - 0 4 - 1 4 作 者   T a s k i l l e r 1 、 简 介 、 简 介 如 果 如 果 c o o k i e 设 置 了 设 置 了 H t t p O n l y 标 志 ， 可 以 在 发 生 标 志 ， 可 以 在 发 生 X S S 时 避 免 时 避 免 J a v a S c r i p t 读 取 读 取 c o o k i e ， 这 也 是 ， 这 也 是 H t t p O n l y 被 引 入 的 原 因 。 但 这 种 被 引 入 的 原 因 。 但 这 种 方 式 能 防 住 攻 击 者 吗 ？ 方 式 能 防 住 攻 击 者 吗 ？ H t t p O n l y 标 志 可 以 防 止 标 志 可 以 防 止 c o o k i e 被 被 “ 读 取 读 取 ” ， 那 么 能 不 能 防 止 被 ， 那 么 能 不 能 防 止 被 “ 写 写 ” 呢 ？ 呢 ？ 答 案 是 否 定 的 ， 那 么 这 里 面 就 有 文 章 可 做 了 ， 因 为 已 证 明 有 些 浏 览 器 的 H t t p O n l y 标 记 可 以 被 J a v a S c r i p t 写 入 覆 盖 ， 而 这 种 覆 盖 可 能 被 攻 击 者 利 用 发 动 s e s s i o n   f i x a t i o n 攻 击 。 本 文 主 题 就 是 讨 论 这 种 技 术 。 2 、 用 、 用 J a v a S c r i p t 覆 盖 覆 盖 c o o k i e 中 的 中 的 H t t p O n l y 标 志 标 志 当 J a v a S c r i p t 可 以 覆 盖 c o o k i e 中 的 H t t p O n l y 标 志 时 ， 攻 击 者 如 果 发 现 网 站 的 X S S 漏 洞 ， 就 可 以 利 用 H t t p O n l y   c o o k i e 发 动 s e s s i o n f i x a t i o n 攻 击 （ 更 多 关 于 s e s s i o n   f i x a t i o n 攻 击 的 内 容 可 以 参 考 笔 者 之 前 的 文 章 [ 1 ] ） 。 s e s s i o n   f i x a t i o n 攻 击 的 后 果 是 攻 击 者 可 以 冒 充 受 害 者 ， 因 为 其 知 道 受 害 者 的 s e s s i o n   I D 。 这 里 假 设 当 成 功 登 录 应 用 后 s e s s i o n 不 会 重 新 生 成 。 现 实 也 确 实 是 这 样 的 ， 但 浏 览 器 不 应 该 允 许 J a v a S c r i p t 覆 盖 H t t p O n l y 标 志 ， 因 为 这 种 覆 盖 可 能 与 某 些 应 用 程 序 登 录 成 功 后 不 会 重 新 生 成 会 话 这 一 特 性 结 合 ， 发 动 s e s s i o n   f i x a t i o n 攻 击 。 那 么 登 录 成 功 后 如 果 重 新 生 成 s e s s i o n   I D 的 话 安 全 性 是 怎 么 样 的 呢 ？ 还 能 被 攻 击 者 利 用 吗 ？ 登 录 之 后 ， 攻 击 者 通 过 设 置 用 户 的 s e s s i o n 为 攻 击 者 正 在 使 用 的 s e s s i o n ， 将 用 户 切 换 为 攻 击 者 自 己 的 帐 户 。 受 害 者 以 为 其 正 在 使 用 自 己 的 帐 户 ， 实 际 上 一 些 敏 感 信 息 已 经 泄 露 给 攻 击 者 了 。 3 、 允 许 、 允 许 J a v a S c r i p t 覆 盖 覆 盖 H t t p O n l y   c o o k i e 的 浏 览 器 的 浏 览 器 经 笔 者 证 实 ， 以 下 浏 览 器 允 许 J a v a S c r i p t 覆 盖 H t t p O n l y   c o o k i e s ： S a f a r i O p e r a   M o b i l e O p e r a   M i n i B l a c k B e r r y   b r o w s e r K o n q u e r o r   b r o w s e r 该 问 题 已 经 （ 于 2 0 1 4 年 2 月 1 4 日 ） 提 交 给 相 应 的 厂 商 。 I E 、 F i r e f i x 和 O p e r a （ 标 准 安 装 版 本 ） 不 容 易 受 到 上 述 攻 击 影 响 。 4 、 厂 商 的 回 复 、 厂 商 的 回 复 O p e r a 公 司 已 经 确 认 该 问 题 在 O p e r a   M o b i l e 和 O p e r a   M i n i 中 存 在 ， 决 定 在 O p e r a   M i n i 中 修 复 该 问 题 （ 修 复 日 期 还 未 确 定 ） 。 尽 管 O p e r a   M o b i l e 当 前 在 G o o g l e   P l a y 中 可 以 下 载 ， 但 O p e r a 公 司 认 为 该 版 本 已 经 过 时 ， 因 此 决 定 不 对 其 进 行 修 改 （ 他 们 建 议 替 换 为 O p e r a   f o r   A n d r o i d 版 本 ， 该 版 本 可 以 防 止 J a v a S c r i p t 覆 盖 H t t p O n l y   c o o k i e ） 。
黑 莓 公 司 回 复 说 已 经 宣 布 于 2 0 1 4 年 4 月 后 不 再 对 P l a y B o o k   T a b l e t 的 操 作 系 统 （ 笔 者 当 时 测 试 时 使 用 的 系 统 ） 进 行 支 持 ， 因 此 不 会 修 复 该 问 题 。 但 是 由 于 该 问 题 是 在 支 持 结 束 声 明 之 前 提 交 的 ， 他 们 决 定 将 我 加 入 到 黑 莓 安 全 事 件 响 应 小 组 的 感 谢 名 单 中 （ 根 据 他 们 的 规 定 ， 笔 者 的 名 字 会 在 2 0 1 4 年 4 月 底 才 会 被 加 入 ） [ 2 ] 。 K o n q u e r o r 确 认 了 该 问 题 ， 但 可 能 不 会 去 修 复 。 该 b u g 的 信 息 可 以 在 K D E   B u g t r a c k i n g 系 统 中 找 到 [ 3 ] 。 该 问 题 两 个 月 前 提 交 给 了 苹 果 公 司 ， 但 从 未 收 到 任 何 反 馈 。 5 、 漏 洞 利 用 、 漏 洞 利 用 以 下 是 部 分 示 例 代 码 ： < ? s e t c o o k i e ( ' c o o k i e 1 ' , + + $ _ C O O K I E [ ' c o o k i e 1 ' ] , t i m e ( ) + 2 5 9 2 0 0 0 , ' / ' , ' ' , 0 , 1 ) ; s e t c o o k i e ( ' c o o k i e 2 ' , + + $ _ C O O K I E [ ' c o o k i e 2 ' ] , t i m e ( ) + 2 5 9 2 0 0 0 , ' / ' , ' ' , 0 , 0 ) ; ? >   < H T M L >   < ?         p r i n t   " C o o k i e 1 : " . $ _ C O O K I E [ ' c o o k i e 1 ' ] . " < b r > " ;         p r i n t   " C o o k i e 2 : " . $ _ C O O K I E [ ' c o o k i e 2 ' ] ; ? > < s c r i p t >         a l e r t ( d o c u m e n t . c o o k i e ) ; < / s c r i p t >   < s c r i p t >         d o c u m e n t . c o o k i e = ' c o o k i e 1 = 1 0 0 ; e x p i r e s = T h u ,   2   A u g   2 0 1 4   2 0 : 0 0 : 0 0   U T C ;   p a t h = / ' ; < / s c r i p t > < / H T M L > 过 程 如 下 ： 运 行 这 段 代 码 ， 之 后 可 以 看 到 c o o k i e 1 （ 设 置 了 H t t p O n l y 标 志 ） 已 经 被 J a v a S c r i p t 写 入 覆 盖 了 。 6 、 总 结 、 总 结 H t t p O n l y 标 志 的 引 入 是 为 了 防 止 设 置 了 该 标 志 的 c o o k i e 被 J a v a S c r i p t 读 取 ， 但 事 实 证 明 设 置 了 这 种 c o o k i e 在 某 些 浏 览 器 中 却 能 被 J a v a S c r i p t 覆 盖 ， 可 被 攻 击 者 利 用 来 发 动 s e s s i o n   f i x a t i o n 攻 击 。 该 问 题 被 提 出 后 ， 得 到 了 相 关 厂 商 的 响 应 。 最 后 ， 本 文 给 出 了 一 段 利 用 演 示 代 码 。 参 考 ： [ 1 ]   U n d e r s t a n d i n g   S e s s i o n   F i x a t i o n h t t p : / / r e s o u r c e s . i n f o s e c i n s t i t u t e . c o m / u n d e r s t a n d i n g - s e s s i o n - f i x a t i o n /   ( a c c e s s   d a t e :   4   A p r i l   2 0 1 4 ) [ 2 ]   A c k n o w l e d g e m e n t s   2 0 1 4   – B l a c k B e r r y   S e c u r i t y   I n c i d e n t   R e s p o n s e   T e a m h t t p : / / c a . b l a c k b e r r y . c o m / b u s i n e s s / t o p i c s / s e c u r i t y / i n c i d e n t - r e s p o n s e - t e a m / c o l l a b o r a t i o n s . h t m l ( a c c e s s   d a t e :   4 A p r i l   2 0 1 4 ) [ 3 ]   K D E   B u g t r a c k i n g   S y s t e m   –   B y p a s s i n g H t t p O n l y   c o o k i e   i n   K o n q u e r o r h t t p s : / / b u g s . k d e . o r g / s h o w _ b u g . c g i ? i d = 3 3 0 7 5 1   ( a c c e s s   d a t e :   4   A p r i l   2 0 1 4 ) [ v i a   i n f o s e c i n s t i t u t e ]

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理