DOM XSS

Reading time: 10 minutes

tip

Učite i vežbajte AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Učite i vežbajte GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Učite i vežbajte Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Podržite HackTricks

Proverite planove pretplate!
Pridružite se 💬 Discord grupi ili telegram grupi ili pratite nas na Twitteru 🐦 @hacktricks_live.
Podelite hakerske trikove slanjem PR-ova na HackTricks i HackTricks Cloud github repozitorijume.

DOM Ranljivosti

DOM ranljivosti se javljaju kada se podaci iz izvora pod kontrolom napadača (kao što su location.search, document.referrer ili document.cookie) nesigurno prenose do sinks. Sinks su funkcije ili objekti (npr., eval(), document.body.innerHTML) koji mogu izvršiti ili prikazati štetan sadržaj ako dobiju zlonamerne podatke.

Izvori su ulazi koje napadači mogu manipulisati, uključujući URL-ove, kolačiće i web poruke.
Sinks su potencijalno opasne tačke gde zlonamerni podaci mogu dovesti do negativnih efekata, kao što je izvršavanje skripti.

Rizik nastaje kada podaci teku od izvora do sinka bez pravilne validacije ili sanitizacije, omogućavajući napade poput XSS.

tip

Možete pronaći ažuriraniju listu izvora i sinks na https://github.com/wisec/domxsswiki/wiki

Uobičajeni izvori:

javascript

document.URL
document.documentURI
document.URLUnencoded
document.baseURI
location
document.cookie
document.referrer
window.name
history.pushState
history.replaceState
localStorage
sessionStorage
IndexedDB(mozIndexedDB, webkitIndexedDB, msIndexedDB)
Database

Uobičajeni Sinks:

Open Redirect	Javascript Injection	DOM-data manipulation	jQuery
`location`	`eval()`	`scriptElement.src`	`add()`
`location.host`	`Function() constructor`	`scriptElement.text`	`after()`
`location.hostname`	`setTimeout()`	`scriptElement.textContent`	`append()`
`location.href`	`setInterval()`	`scriptElement.innerText`	`animate()`
`location.pathname`	`setImmediate()`	`someDOMElement.setAttribute()`	`insertAfter()`
`location.search`	`execCommand()`	`someDOMElement.search`	`insertBefore()`
`location.protocol`	`execScript()`	`someDOMElement.text`	`before()`
`location.assign()`	`msSetImmediate()`	`someDOMElement.textContent`	`html()`
`location.replace()`	`range.createContextualFragment()`	`someDOMElement.innerText`	`prepend()`
`open()`	`crypto.generateCRMFRequest()`	`someDOMElement.outerText`	`replaceAll()`
`domElem.srcdoc`	``Local file-path manipulation	`someDOMElement.value`	`replaceWith()`
`XMLHttpRequest.open()`	`FileReader.readAsArrayBuffer()`	`someDOMElement.name`	`wrap()`
`XMLHttpRequest.send()`	`FileReader.readAsBinaryString()`	`someDOMElement.target`	`wrapInner()`
`jQuery.ajax()`	`FileReader.readAsDataURL()`	`someDOMElement.method`	`wrapAll()`
`$.ajax()`	`FileReader.readAsText()`	`someDOMElement.type`	`has()`
``Ajax request manipulation	`FileReader.readAsFile()`	`someDOMElement.backgroundImage`	`constructor()`
`XMLHttpRequest.setRequestHeader()`	`FileReader.root.getFile()`	`someDOMElement.cssText`	`init()`
`XMLHttpRequest.open()`	`FileReader.root.getFile()`	`someDOMElement.codebase`	`index()`
`XMLHttpRequest.send()`	Link manipulation	`someDOMElement.innerHTML`	`jQuery.parseHTML()`
`jQuery.globalEval()`	`someDOMElement.href`	`someDOMElement.outerHTML`	`$.parseHTML()`
`$.globalEval()`	`someDOMElement.src`	`someDOMElement.insertAdjacentHTML`	Client-side JSON injection
``HTML5-storage manipulation	`someDOMElement.action`	`someDOMElement.onevent`	`JSON.parse()`
`sessionStorage.setItem()`	XPath injection	`document.write()`	`jQuery.parseJSON()`
`localStorage.setItem()`	`document.evaluate()`	`document.writeln()`	`$.parseJSON()`
[`Denial of Service`](dom-xss.md#denial-of-service)	`someDOMElement.evaluate()`	`document.title`	``Cookie manipulation
`requestFileSystem()`	``Document-domain manipulation	`document.implementation.createHTMLDocument()`	`document.cookie`
`RegExp()`	`document.domain`	`history.pushState()`	WebSocket-URL poisoning
Client-Side SQl injection	Web-message manipulation	`history.replaceState()`	`WebSocket`
`executeSql()`	`postMessage()`	``	``

innerHTML sink ne prihvata script elemente u bilo kojem modernom pretraživaču, niti će svg onload događaji biti aktivirani. To znači da ćete morati koristiti alternativne elemente kao što su img ili iframe.

Ova vrsta XSS-a je verovatno najteža za pronalaženje, jer morate da pogledate unutar JS koda, da vidite da li koristi bilo koji objekat čiju vrednost kontrolišete, i u tom slučaju, da vidite da li postoji bilo koji način da ga zloupotrebite za izvršavanje proizvoljnog JS-a.

Alati za pronalaženje

https://github.com/mozilla/eslint-plugin-no-unsanitized
Ekstenzija za pretraživač za proveru svih podataka koji dolaze do potencijalnog sinka: https://github.com/kevin-mizu/domloggerpp

Primeri

Open Redirect

Sa: https://portswigger.net/web-security/dom-based/open-redirection

Ranljivosti otvorenog preusmeravanja u DOM-u se javljaju kada skripta upisuje podatke, koje napadač može kontrolisati, u sink koji može pokrenuti navigaciju između domena.

Ključno je razumeti da je izvršavanje proizvoljnog koda, kao što je javascript:alert(1), moguće ako imate kontrolu nad početkom URL-a gde se preusmeravanje dešava.

Sinks:

javascript

location
location.host
location.hostname
location.href
location.pathname
location.search
location.protocol
location.assign()
location.replace()
open()
domElem.srcdoc
XMLHttpRequest.open()
XMLHttpRequest.send()
jQuery.ajax()
$.ajax()

Manipulacija kolačićima

From: https://portswigger.net/web-security/dom-based/cookie-manipulation

DOM-bazirane ranjivosti manipulacije kolačićima se javljaju kada skripta uključuje podatke, koje može kontrolisati napadač, u vrednost kolačića. Ova ranjivost može dovesti do neočekivanog ponašanja veb stranice ako se kolačić koristi unutar sajta. Pored toga, može se iskoristiti za sprovođenje napada fiksacije sesije ako je kolačić uključen u praćenje korisničkih sesija. Primarni izvor povezan sa ovom ranjivošću je:

Sinks:

javascript

document.cookie

JavaScript Injection

From: https://portswigger.net/web-security/dom-based/javascript-injection

DOM-based JavaScript injection ranjivosti se kreiraju kada skripta izvršava podatke, koje može kontrolisati napadač, kao JavaScript kod.

Sinks:

javascript

eval()
Function() constructor
setTimeout()
setInterval()
setImmediate()
execCommand()
execScript()
msSetImmediate()
range.createContextualFragment()
crypto.generateCRMFRequest()

Manipulacija dokument-domenom

From: https://portswigger.net/web-security/dom-based/document-domain-manipulation

Ranljivosti manipulacije dokument-domenom se javljaju kada skripta postavlja document.domain svojstvo koristeći podatke koje napadač može kontrolisati.

Svojstvo document.domain igra ključnu ulogu u sprovođenju politike iste porekla od strane pregledača. Kada dve stranice iz različitih porekla postave svoj document.domain na istu vrednost, mogu da komuniciraju bez ograničenja. Iako pregledači nameću određene ograničenja na vrednosti koje se mogu dodeliti document.domain, sprečavajući dodeljivanje potpuno nepovezanih vrednosti stvarnom poreklu stranice, postoje izuzeci. Obično, pregledači dozvoljavaju korišćenje dečijih ili roditeljskih domena.

Sinks:

javascript

document.domain

WebSocket-URL poisoning

From: https://portswigger.net/web-security/dom-based/websocket-url-poisoning

WebSocket-URL poisoning se dešava kada skripta koristi kontrolisane podatke kao ciljni URL za WebSocket vezu.

Sinks:

WebSocket konstruktor može dovesti do ranjivosti WebSocket-URL poisoning.

Link manipulation

From: https://portswigger.net/web-security/dom-based/link-manipulation

DOM-based link-manipulation vulnerabilities nastaju kada skripta piše podatke koje kontroliše napadač na navigacioni cilj unutar trenutne stranice, kao što je klikabilna veza ili URL za slanje forme.

Sinks:

javascript

someDOMElement.href
someDOMElement.src
someDOMElement.action

Manipulacija Ajax zahtevima

From: https://portswigger.net/web-security/dom-based/ajax-request-header-manipulation

Ranljivosti manipulacije Ajax zahtevima nastaju kada skripta upisuje podatke koje kontroliše napadač u Ajax zahtev koji se izdaje koristeći XmlHttpRequest objekat.

Sinks:

javascript

XMLHttpRequest.setRequestHeader()
XMLHttpRequest.open()
XMLHttpRequest.send()
jQuery.globalEval()
$.globalEval()

Manipulacija lokalnim putanjama datoteka

From: https://portswigger.net/web-security/dom-based/local-file-path-manipulation

Ranljivosti manipulacije lokalnim putanjama datoteka nastaju kada skripta prosledi podatke koje može kontrolisati napadač API-ju za rukovanje datotekama kao filename parametar. Ovu ranljivost može iskoristiti napadač da konstruira URL koji, ako ga poseti drugi korisnik, može dovesti do otvaranja ili pisanja proizvoljne lokalne datoteke u korisnikovom pretraživaču.

Sinks:

javascript

FileReader.readAsArrayBuffer()
FileReader.readAsBinaryString()
FileReader.readAsDataURL()
FileReader.readAsText()
FileReader.readAsFile()
FileReader.root.getFile()
FileReader.root.getFile()

Klijentska SQL injekcija

From: https://portswigger.net/web-security/dom-based/client-side-sql-injection

Ranljivosti klijentske SQL injekcije se javljaju kada skripta uključuje podatke koje napadač može kontrolisati u klijentsku SQL upit na nesiguran način.

Sinks:

javascript

executeSql()

HTML5-storage manipulacija

From: https://portswigger.net/web-security/dom-based/html5-storage-manipulation

HTML5-storage manipulacija ranjivosti nastaju kada skripta smešta podatke koje napadač može kontrolisati u HTML5 skladište web pretraživača (localStorage ili sessionStorage). Iako ova akcija sama po sebi nije inherentna sigurnosna ranjivost, postaje problematična ako aplikacija kasnije čita smeštene podatke i obrađuje ih na nesiguran način. Ovo bi moglo omogućiti napadaču da iskoristi mehanizam skladištenja za izvođenje drugih DOM-baziranih napada, kao što su cross-site scripting i JavaScript injekcija.

Sinks:

javascript

sessionStorage.setItem()
localStorage.setItem()

XPath injekcija

From: https://portswigger.net/web-security/dom-based/client-side-xpath-injection

DOM-bazirane XPath-injekcione ranjivosti se javljaju kada skripta uključuje podatke koje kontroliše napadač u XPath upit.

Sinks:

javascript

document.evaluate()
someDOMElement.evaluate()

Klijentska JSON injekcija

From: https://portswigger.net/web-security/dom-based/client-side-json-injection

DOM-bazirane JSON-injekcione ranjivosti se javljaju kada skripta uključuje podatke koje kontroliše napadač u string koji se parsira kao JSON struktura podataka i zatim obrađuje od strane aplikacije.

Sinks:

javascript

JSON.parse()
jQuery.parseJSON()
$.parseJSON()

Manipulacija web-porukama

From: https://portswigger.net/web-security/dom-based/web-message-manipulation

Ranljivosti web-poruka nastaju kada skripta šalje podatke koje kontroliše napadač kao web-poruku drugom dokumentu unutar pregledača. Primer ranjive manipulacije web-porukama može se naći na PortSwigger's Web Security Academy.

Sinks:

Metoda postMessage() za slanje web-poruka može dovesti do ranjivosti ako slušalac događaja za primanje poruka obrađuje dolazne podatke na nesiguran način.

Manipulacija DOM-podacima

From: https://portswigger.net/web-security/dom-based/dom-data-manipulation

Ranljivosti manipulacije DOM-podacima nastaju kada skripta piše podatke koje kontroliše napadač u polje unutar DOM-a koje se koristi unutar vidljivog UI-a ili klijentske logike. Ovu ranjivost može iskoristiti napadač da konstruira URL koji, ako ga poseti drugi korisnik, može promeniti izgled ili ponašanje klijentskog UI-a.

Sinks:

javascript

scriptElement.src
scriptElement.text
scriptElement.textContent
scriptElement.innerText
someDOMElement.setAttribute()
someDOMElement.search
someDOMElement.text
someDOMElement.textContent
someDOMElement.innerText
someDOMElement.outerText
someDOMElement.value
someDOMElement.name
someDOMElement.target
someDOMElement.method
someDOMElement.type
someDOMElement.backgroundImage
someDOMElement.cssText
someDOMElement.codebase
document.title
document.implementation.createHTMLDocument()
history.pushState()
history.replaceState()

Denial of Service

From: https://portswigger.net/web-security/dom-based/denial-of-service

DOM-based denial-of-service vulnerabilities se javljaju kada skripta prenosi podatke koje kontroliše napadač na nesiguran način do problematičnog platformskog API-ja. Ovo uključuje API-je koji, kada se pozovu, mogu dovesti do toga da korisnički računar troši prekomerne količine CPU-a ili prostora na disku. Takve ranjivosti mogu imati značajne nuspojave, kao što je ograničavanje funkcionalnosti veb sajta od strane pregledača odbijanjem pokušaja čuvanja podataka u localStorage ili prekidanje zauzetih skripti.

Sinks:

javascript

requestFileSystem()
RegExp()

Dom Clobbering

tip

Podržite HackTricks

Proverite planove pretplate!
Pridružite se 💬 Discord grupi ili telegram grupi ili pratite nas na Twitteru 🐦 @hacktricks_live.
Podelite hakerske trikove slanjem PR-ova na HackTricks i HackTricks Cloud github repozitorijume.