> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/web/websockets/websocket-message-manipulation.md).
# Манипулирование сообщениями WebSocket
Заметки по лабораторным работам PortSwigger Web Security Academy о манипулировании сообщениями WebSocket, включая рабочий процесс эксплуатации, тестирование полезной нагрузки, проверку в Burp Suite и контекст устранения уязвимости.
### Манипулирование сообщениями WebSocket для эксплуатации уязвимостей
У этого интернет-магазина есть работающая в реальном времени **чат-функция** реализованная с использованием **WebSocket**. / Сообщения, отправленные пользователем, мгновенно отображаются в браузере **сотрудника службы поддержки**. / Цель лабораторной работы — **открыть `alert()`** всплывающее окно в браузере сотрудника, манипулируя сообщением WebSocket.
В приложении доступно поле чата.
При анализе трафика видно, что сообщения отправляются через WebSocket следующим образом:
```json
{
"user":"Вы",
"content":"привет"
}
```
**Проверка фильтрации**
Попробуйте отправить следующий полезный фрагмент через чат:
```javascript
```
Наблюдаемый результат:/ Содержимое \*\*экранируется на стороне сервера\*\* и интерпретируется как текст:
```javascript
<script>alert(0)</script>
```
Это указывает на наличие базовой фильтрации против `
