> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/web/dom/dom-xss-via-web-messages-and-javascript-url.md).
# XSS DOM a través de mensajes web y una URL JavaScript
Notas de XSS DOM a través de mensajes web y una URL JavaScript para laboratorios de PortSwigger Web Security Academy, incluido el flujo de explotación, pruebas de payloads, validación con Burp Suite y contexto de remediación.
### DOM XSS usando mensajes web y una URL de JavaScript
Laboratorio que demuestra una vulnerabilidad DOM que provoca redirección/ejecución mediante `postMessage`. El objetivo: construir una página HTML en el servidor de explotación que envíe un mensaje para ejecutar `print()` en la página objetivo.
```javascript
```
La página objetivo escucha los mensajes publicados y trata los datos recibidos como una URL. Si la cadena recibida contiene `HTTP:` o `https:`, la página redirige (`location.href`) a ese valor. El código del lado objetivo es el siguiente:
```javascript
window.postMessage('https://jord4n.pro', '*');
```
provoca con éxito una redirección a `https://jord4n.pro`.
### Validación de contorno
La validación solo bloquea las cadenas que no contienen `HTTP:` o `https:` (comprobado mediante `indexOf`). El `indexOf > -1` la lógica, por tanto, se aprovecha añadiendo un `//https://...` fragmento después de un `JavaScript:` esquema, de modo que se cumpla la condición mientras se mantiene una URL que comience con `JavaScript:`. Por ejemplo:
```javascript
window.postMessage('javascript:alert(0)', '*');
```
* Para abrir una alerta:
```javascript
window.postMessage('javascript:alert(0)//https://google.com', '*');
```
* Para llamar a `print()`:
```javascript
window.postMessage('javascript:print()//https://google.com', '*');
```
El `//https://google.com` parte solo se usa para satisfacer la `indexOf('https:') > -1` condición.
#### Explotación final
La página de ataque puede incluir un iframe a la página vulnerable y, al cargarse, publicar el mensaje malicioso al contenido incrustado. Ejemplo de implementación para colocar en el servidor operativo:
{% code overflow="wrap" %}
```javascript
.png?alt=media)
.png?alt=media)
.png?alt=media)