> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/web/dom/xss-dom-with-web-messages-and-json-parse.md).
# XSS DOM avec messages Web et json.parse
Notes sur le XSS DOM avec messages Web et json.parse pour les laboratoires PortSwigger Web Security Academy, y compris le flux de travail d’exploitation, les tests de charge utile, la validation avec Burp Suite et le contexte de remédiation.
### XSS DOM utilisant les messages Web et JSON.parse
Ce document reformule et traduit en français les notes fournies sur le labo (PortSwigger) : il décrit le code vulnérable, la manière dont il interprète les messages, et la charge utile utilisée pour appeler `print()` via une `iframe`.
Description du script vulnérable
Le script crée dynamiquement un `iframe` balise et est contrôlé à distance via les messages reçus par le `postMessage` événement. Il peut charger une URL, ajuster la taille du lecteur et le faire défiler dans la page.
```javascript
```
### `postMessage` Exemple de message
L'envoi d'un message JSON sous forme de chaîne permet au script d'interpréter l'action demandée.
Charger une URL normale :
```javascript
window.postMessage(JSON.stringify({
type: "load-channel",
url: "https://jord4n.pro"
}), "*");
```
Utilisez un `JavaScript :` schéma pour exécuter du code (ici appeler `print()`):
```javascript
window.postMessage(JSON.stringify({
type: "load-channel",
url: "javascript:print()"
}), "*");
```
Sur le serveur d'exploitation, vous pouvez déposer une page HTML avec un `iframe` pointant vers la page vulnérable et envoyer le `load-string` message avec `URL: "JavaScript:print()"` lors du chargement de l'iframe.
```javascript
