# DOM-based vulnerabilities ## Lab: DOM XSS using web messages ### Enunciado Este laboratorio demuestra una vulnerabilidad sencilla de mensajes web. Usa el servidor de exploits para enviar un mensaje al sitio objetivo que provoque la ejecución de la función `print()`. ### Resolución Vemos el código fuente y vemos una función **innerHTML** asigna directamente el contenido al elemento **div** con id **ads**.\ Si **e.data** contiene código HTML o JavaScript, **el navegador lo interpretará y ejecutará**. Además, **observamos que la respuesta no incluye la cabecera `x-frame-options`:**
Esto permite **incrustar el sitio en un iframe**. {% embed url="" %} **Con esa base, podemos crear un HTML malicioso como este:** ```html ``` Pero para **resolver el laboratorio**, usaremos el payload que dispara **print():** ```html ```
## Lab: DOM XSS using web messages and a JavaScript URL ### Enunciado Este laboratorio demuestra una vulnerabilidad de redirección basada en el DOM que se activa mediante web messaging. Crea una página HTML en el servidor de exploits que aproveche esta vulnerabilidad y que ejecute la función `print()`. ### Resolución Vemos el código fuente.
En este caso, **el procesamiento del web message es vulnerable a XSS basado en DOM**, porque **el event listener no valida correctamente el origen de los mensajes recibidos ni las propiedades y funciones que usa.** Además, **identificamos un *****sink***** peligroso** `location.href`que permite redirigir a otra página. Sin embargo, **antes de hacer la redirección**, el código verifica que los datos del mensaje contengan **http:** o **https.** **Con esta información, podemos preparar un HTML malicioso** que use un ` ```
## Lab: DOM XSS using web messages and `JSON.parse` ### Enunciado Este laboratorio utiliza web messaging y analiza el mensaje como JSON. Crea una página HTML en el servidor de exploits que aproveche esta vulnerabilidad y ejecute la función `print()`. ### Resolución Vemos el código fuente.
En este caso, **hay un event listener que recibe mensajes web y los interpreta como datos JSON usando `JSON.parse`**. El problema es que **el listener no valida correctamente el origen del mensaje**, por lo que acepta cualquier entrada. Dentro del código, hay un `switch` con un caso llamado **`load-channel`**, que **cambia el atributo `src` de un elemento ` ```
## Lab: DOM-based open redirection ### Enunciado Este laboratorio contiene una vulnerabilidad de redirección abierta basada en DOM (DOM-based open-redirection). Exploita esta vulnerabilidad y redirige a la víctima hacia el servidor de exploits. ### Resolución Vemos el código fuente de los post.
Verifica si el objeto **location** contiene **url=**[**http://loquesea.com**](http://loquesea.com) o **url=**[**https://loquesea.com**](https://loquesea.com). Si encuentra ese parámetro, **asigna el valor a `location.href`** para redirigir a esa dirección.
Es **vulnerable a redirección abierta basada en DOM**. Para **explotarla**, podemos **añadir el payload como parámetro GET**: ``` /post?postId=9&url=https://exploit-0a6200ff03db6e4e8148c45501ce0070.exploit-server.net/ ``` Así, **forzamos la redirección** a nuestro servidor de exploits.
## Lab: DOM-based cookie manipulation ### Enunciado Este laboratorio demuestra una manipulación de cookies en el lado del cliente basada en DOM. Inyecta una cookie que provoque un ataque XSS en otra página y ejecute la función `print()`. Para ello, deberás usar el servidor de exploits para redirigir a la víctima a las páginas correctas. ### Resolución Vemos el código fuente de los productos.
Aquí vemos que hay un **sink peligroso**: `document.cookie`. La **fuente** de datos (input controlado por el atacante) es **`window.location`**. Esto significa que **se establecerá una nueva cookie** llamada `lastViewdProduct`, **usando como valor la propiedad `window.location`**. Refrescamos la página.
Cuando actualizamos la página, **se genera dinámicamente un nuevo enlace ``** con el atributo **href** igual a **`window.location`**. Esto significa que **podemos inyectar código malicioso en la URL**. ``` /product?productId=1&payload='> ``` Al incluir este payload, **cerramos el atributo href y añadimos un elemento `` con un evento `onerror` que ejecuta `print()`.**
Refrescamos la página.
Sabiendo esto ya podemos crear el payload HTML. ``` ``` Este **payload** generará un **elemento `