> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/web/dom/dom-xss-via-web-messages-and-javascript-url.md).
# XSS DOM via messages Web et une URL JavaScript
Notes sur le XSS DOM via messages Web et une URL JavaScript pour les laboratoires PortSwigger Web Security Academy, y compris le flux de travail d’exploitation, les tests de charge utile, la validation avec Burp Suite et le contexte de remédiation.
### XSS DOM utilisant des messages Web et une URL JavaScript
Laboratoire démontrant une vulnérabilité DOM provoquant une redirection/exécution via `postMessage`. L'objectif : construire une page HTML sur le serveur d'exploitation qui envoie un message pour exécuter `print()` dans la page cible.
```javascript
```
La page cible écoute les messages publiés et traite les données reçues comme une URL. Si la chaîne reçue contient `HTTP:` ou `https:`, la page redirige (`location.href`) vers cette valeur. Le code côté cible est le suivant :
```javascript
window.postMessage('https://jord4n.pro', '*');
```
déclenche avec succès une redirection vers `https://jord4n.pro`.
### Contournement de la validation
La validation bloque uniquement les chaînes qui ne contiennent pas `HTTP:` ou `https:` (vérifié via `indexOf`). Le `indexOf > -1` la logique est donc exploitée en ajoutant un `//https://...` après un `JavaScript :` schéma, afin que la condition soit satisfaite tout en conservant une URL commençant par `JavaScript :`. Par exemple :
```javascript
window.postMessage('javascript:alert(0)', '*');
```
* Pour ouvrir une alerte :
```javascript
window.postMessage('javascript:alert(0)//https://google.com', '*');
```
* Pour appeler `print()`:
```javascript
window.postMessage('javascript:print()//https://google.com', '*');
```
Le `//https://google.com` la partie n'est utilisée que pour satisfaire la `indexOf('https:') > -1` condition.
#### Exploitation finale
La page d'attaque peut inclure une iframe vers la page vulnérable et, au chargement, envoyer le message malveillant au contenu intégré. Exemple d'implémentation à placer sur le serveur d'exploitation :
{% code overflow="wrap" %}
```javascript
.png?alt=media)
.png?alt=media)
.png?alt=media)