DOM-basiertes Cross-Site-Scripting/XSS

• Angriffsart wird auch lokales XSS genannt, da der Server nicht bösartigen Code ausführt.
• JavaScript Code generiert lokal HTML-Elemente dynamisch (z.B. document.write)
• Wenn dieser Code benutzerbasierten Input einliest und nicht richtig bereinigt, kann es schädliche Elemente generieren
• Über einen bösartigen GET-Parameter in die URL kann der Hacker JavaScript Eingabeparameter mitgeben.
• Opfer bekommt Link geschickt und klickt Link an.
• HTML-Element wird generiert und vom Browser ausgeführt.
• Webserver nicht an dem Prozess beteiligt.

[Bearbeiten]