(eller som det kalles i noen tekster, “type-0 XSS”) er EN XSS angrep der angrepet nyttelast utføres som et resultat av å endre DOM ” miljø “i offerets nettleser som brukes av den opprinnelige klientsiden script, slik at klientsiden koden kjører i en” uventet ” måte. Det vil si at selve siden (HTTP-svaret som er) ikke endres, men klientsidekoden på siden utfører annerledes på grunn av de ondsinnede endringene som har skjedd I DOM-miljøet.
dette er i kontrast til ANDRE xss-angrep (lagret eller reflektert), hvor angrepsnyttelasten er plassert i responssiden (på grunn av en feil på serversiden).
VIDEO POC
HTML Escape Deretter JavaScript Escape Før Du Setter Inn Uklarerte Data I HTML Subkontekst i Utførelseskonteksten
Eksempel Farlige HTML-Metoder
Attributter
element.innerHTML = “<HTML > Tagger og markering”;
element.outerHTML = “<HTML> Tagger og markering”;
Metoder
dokument.skriv (“<HTML> Koder og markering”);
dokument.writeln(“<HTML> Tags and markup”);
Retningslinje
OWASP anbefaler
A) HTML-koding og deretter
b) JavaScript-koding av alle uklarerte inndata, som vist i disse eksemplene:
element.innerHTML = ” <%=Koder.kodeforjs (Encoder.encodeForHTML (untrustedData)))%>”;
element.outerHTML = ” <%=Koder.kodeforjs (Encoder.encodeForHTML (untrustedData)))%>”;
dokument.skriv (“< %=Encoder.encodeForJS(Encoder.encodeForHTML(untrustedData))%>”);
document.writeln(“<%=Encoder.encodeForJS(Encoder.encodeForHTML(untrustedData))%>”);