> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/web/dom/dom-xss-via-web-messages-and-javascript-url.md).
# XSS DOM via les messages Web et une URL JavaScript
### XSS DOM utilisant les messages Web et une URL JavaScript
Laboratoire démontrant une vulnérabilité DOM provoquant une redirection/exécution via `postMessage`. L'objectif : créer une page HTML sur le serveur d'exploitation qui envoie un message pour exécuter `print()` sur la page cible.
```javascript
```
La page cible écoute les messages publiés et traite les données reçues comme une URL. Si la chaîne reçue contient `HTTP:` ou `https:`, la page redirige (`location.href`) vers cette valeur. Le code côté cible est le suivant :
```javascript
window.postMessage('https://jord4n.pro', '*');
```
déclenche avec succès une redirection vers `https://jord4n.pro`.
### Contournement de la validation
La validation bloque uniquement les chaînes qui ne contiennent pas `HTTP:` ou `https:` (vérification via `indexOf`). Le `indexOf > -1` est donc détourné en ajoutant une `//https://...` après un `JavaScript:` schéma afin que la condition soit remplie tout en conservant une URL commençant par `JavaScript:`. Par exemple :
```javascript
window.postMessage('javascript:alert(0)', '*');
```
* Pour afficher une alerte :
```javascript
window.postMessage('javascript:alert(0)//https://google.com', '*');
```
* Pour appeler `print()`:
```javascript
window.postMessage('javascript:print()//https://google.com', '*');
```
Le `//https://google.com` partie est uniquement utilisée pour satisfaire la `indexOf('https:') > -1` condition.
#### Exploit final
La page d'attaque peut inclure un iframe vers la page vulnérable et, lors du chargement, envoyer le message malveillant au contenu intégré. Exemple d'implémentation à placer sur le serveur d'exploitation :
{% code overflow="wrap" %}
```javascript