Cross-Site-Scripting "DOM-basiertes" Beispiele - Versionsgeschichte

Thomas.will: Beispiel vervollständigt (Zielelement inhalt)

2026-10-28T13:37:36Z

Beispiel vervollständigt (Zielelement inhalt)

← Nächstältere Version		Version vom 28. Oktober 2026, 13:37 Uhr
Zeile 75:		Zeile 75:
	*Der Parameter wird nicht als HTML in die Seite geschrieben, sondern als reiner Text:		*Der Parameter wird nicht als HTML in die Seite geschrieben, sondern als reiner Text:
	<syntaxhighlight lang="html">		<syntaxhighlight lang="html">
			<div id="inhalt"></div>
	<script>		<script>
	if (document.location.href.indexOf("default=") >= 0) {		if (document.location.href.indexOf("default=") >= 0) {

2026-10-28T13:37:19Z

Hinweis zur Schwäche des replace-Filters, Variante mit textContent ergänzt

← Nächstältere Version		Version vom 28. Oktober 2026, 13:37 Uhr
Zeile 69:		Zeile 69:
	</html>		</html>
	</syntaxhighlight>		</syntaxhighlight>

			==Warum auch das nicht reicht==
			*<code>replace("<script>", …)</code> ersetzt nur das <b>erste</b> Vorkommen und unterscheidet Groß- und Kleinschreibung. Andere Wege, Skripte einzuschleusen (zum Beispiel <code><img src=x onerror=…></code>), bleiben offen.
			==Besser: als Text einfügen==
			*Der Parameter wird nicht als HTML in die Seite geschrieben, sondern als reiner Text:
			<syntaxhighlight lang="html">
			<script>
			if (document.location.href.indexOf("default=") >= 0) {
			var text = document.location.href.substring(document.location.href.indexOf("default=")+8);
			document.getElementById("inhalt").textContent = decodeURI(text);
			}
			</script>
			</syntaxhighlight>
			*Animation dazu: [https://xinux.org/xss.html Cross-Site-Scripting] ([https://xinux.org/xss-einfach.html einfach])

2026-08-19T12:13:45Z

Exploit über die URL

← Nächstältere Version		Version vom 19. August 2026, 12:13 Uhr
Zeile 20:		Zeile 20:
	== Exploit über die URL ==		== Exploit über die URL ==

	* http://opfer.~~secure~~.~~local~~/scripts/xss-dom.html?default=%3Cscript%3Ealert(%22Hacked%20by%20Xinux%22)%3C/script%3E		* http://opfer.sec-labs.de/scripts/xss-dom.html?default=%3Cscript%3Ealert(%22Hacked%20by%20Xinux%22)%3C/script%3E

	[[Bild:dom-xss-3.png]]		[[Bild:dom-xss-3.png]]

2023-03-07T11:56:41Z

Auf Seite des Programmierers

← Nächstältere Version		Version vom 7. März 2023, 11:56 Uhr
Zeile 47:		Zeile 47:
	* JavaScript auf nicht vertrauenswürdigen Seiten abschalten		* JavaScript auf nicht vertrauenswürdigen Seiten abschalten

	= Auf Seite des Programmierers =		== Auf Seite des Programmierers ==

	* <script>-Tags aus dem Parameter entfernen		* <script>-Tags aus dem Parameter entfernen

2023-03-07T11:56:29Z

Auf der Seite des Clients

← Nächstältere Version		Version vom 7. März 2023, 11:56 Uhr
Zeile 44:		Zeile 44:
	= Wie können wir so etwas Vermeiden? =		= Wie können wir so etwas Vermeiden? =

	= Auf der Seite des Clients =		== Auf der Seite des Clients ==
	* JavaScript auf nicht vertrauenswürdigen Seiten abschalten		* JavaScript auf nicht vertrauenswürdigen Seiten abschalten

2023-03-07T11:53:42Z

@@ Zeile 1: / Zeile 1: @@
-= Cross-Site-Scripting “Reflected” =
+= Cross-Site-Scripting "DOM-basiert" =
 = Um was geht es? =
@@ Zeile 23: / Zeile 23: @@
 [[Bild:dom-xss-3.png]]

2023-03-07T11:36:44Z

← Nächstältere Version		Version vom 7. März 2023, 11:36 Uhr
Zeile 20:		Zeile 20:
	== Exploit über die URL ==		== Exploit über die URL ==

	http://opfer.secure.local/scripts/xss-dom.html?default=%3Cscript%3Ealert(%22Hacked%20by%20Xinux%22)%3C/script%3E		* http://opfer.secure.local/scripts/xss-dom.html?default=%3Cscript%3Ealert(%22Hacked%20by%20Xinux%22)%3C/script%3E

	[[Bild:dom-xss-3.png]]		[[Bild:dom-xss-3.png]]

2023-03-07T11:36:23Z

Exploit über die URL

← Nächstältere Version		Version vom 7. März 2023, 11:36 Uhr
Zeile 20:		Zeile 20:
	== Exploit über die URL ==		== Exploit über die URL ==

	* http://opfer.secure.local/scripts/xss-dom.html?default=~~<script>alert~~(~~"Hacked~~%20by%20Xinux")</script>		http://opfer.secure.local/scripts/xss-dom.html?default=%3Cscript%3Ealert(%22Hacked%20by%20Xinux%22)%3C/script%3E

	[[Bild:dom-xss-3.png]]		[[Bild:dom-xss-3.png]]

2023-03-07T11:35:56Z

← Nächstältere Version		Version vom 7. März 2023, 11:35 Uhr
Zeile 20:		Zeile 20:
	== Exploit über die URL ==		== Exploit über die URL ==

	* http://opfer.secure.local/scripts/xss-dom.html?default=<script>alert("Hacked ~~by Xinux~~")</script>		* http://opfer.secure.local/scripts/xss-dom.html?default=<script>alert("Hacked%20by%20Xinux")</script>

	[[Bild:dom-xss-3.png]]		[[Bild:dom-xss-3.png]]

2023-03-07T11:35:13Z

← Nächstältere Version		Version vom 7. März 2023, 11:35 Uhr
Zeile 8:		Zeile 8:

	* http://opfer.secure.local/scripts/xss-dom.html		* http://opfer.secure.local/scripts/xss-dom.html

			[[Bild:dom-xss-1.png]]

	== Normale Verhaltensweise ==		== Normale Verhaltensweise ==
Zeile 14:		Zeile 16:
	* http://opfer.secure.local/scripts/xss-dom.html?default=Bitte%20auf%20dieser%20Seite%20JavaScript%20ausschalten		* http://opfer.secure.local/scripts/xss-dom.html?default=Bitte%20auf%20dieser%20Seite%20JavaScript%20ausschalten

	[[Bild:		[[Bild:dom-xss-2.png]]

	== Exploit über die URL ==		== Exploit über die URL ==

	* http://opfer.secure.local/scripts/xss-dom.html?default=~~%3Cscript%3Ealert~~(~~%22Hacked%20by%20Xinux%22~~)~~%3C~~/script~~%3E~~		* http://opfer.secure.local/scripts/xss-dom.html?default=<script>alert("Hacked by Xinux")</script>

			[[Bild:dom-xss-3.png]]