> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/web/dom/dom-xss-via-web-messages-and-javascript-url.md).
# DOM-XSS über Web Messages und eine JavaScript-URL
Notizen zu DOM-XSS über Web Messages und eine JavaScript-URL für Labs der PortSwigger Web Security Academy, einschließlich Ausnutzungs-Workflow, Payload-Tests, Burp-Suite-Validierung und Behebungskontext.
### DOM-XSS mit Webnachrichten und einer JavaScript-URL
Labor, das eine DOM-Schwachstelle demonstriert, die eine Umleitung/Ausführung über `postMessage`. Das Ziel: Erstellen Sie eine HTML-Seite auf dem Exploit-Server, die eine Nachricht sendet, um `print()` auf der Zielseite auszuführen.
```javascript
```
Die Zielseite lauscht auf gepostete Nachrichten und behandelt die empfangenen Daten als URL. Wenn die empfangene Zeichenfolge `HTTP:` oder `https:` enthält, leitet die Seite um (`location.href`) auf diesen Wert. Der Code auf der Zielseite sieht wie folgt aus:
```javascript
window.postMessage('https://jord4n.pro', '*');
```
löst erfolgreich eine Weiterleitung zu `https://jord4n.pro`.
### Eingrenzende Validierung
Die Validierung blockiert nur Zeichenfolgen, die kein `HTTP:` oder `https:` enthalten (überprüfung mittels `indexOf`). Die `indexOf > -1` -Logik wird daher ausgenutzt, indem ein `//https://...` -Teil nach einem `JavaScript:` -Schema hinzugefügt wird, sodass die Bedingung erfüllt ist, während eine URL erhalten bleibt, die mit `JavaScript:` beginnt. Zum Beispiel:
```javascript
window.postMessage('javascript:alert(0)', '*');
```
* Um einen Alarm anzuzeigen:
```javascript
window.postMessage('javascript:alert(0)//https://google.com', '*');
```
* Um `print()`:
```javascript
window.postMessage('javascript:print()//https://google.com', '*');
```
Das `//https://google.com` -Teil wird nur verwendet, um die `indexOf('https:') > -1` -Bedingung zu erfüllen.
#### Finaler Exploit
Die Angriffsseite kann ein iframe zur verwundbaren Seite enthalten und beim Laden die bösartige Nachricht an den eingebetteten Inhalt senden. Beispiel für eine Implementierung, die auf dem Angriffsserver platziert werden soll:
{% code overflow="wrap" %}
```javascript
.png?alt=media)
.png?alt=media)
.png?alt=media)