利用Web消息与JavaScript URL实现DOM XSS攻击（window.postMessage → innerHTML接收点）

Member-only story

🎯 利用Web消息和JavaScript URL实现DOM XSS攻击（window.postMessage → innerHTML接收点）

通过Web消息的DOM XSS：利用不安全的postMessage处理和innerHTML注入来执行任意JavaScript代码。

Aditya Bhatt 撰写

阅读时间：4分钟 · 1天前

实验报告 by Aditya Bhatt | 基于DOM的XSS | Web消息注入 | BurpSuite

⭐ 摘要

这个PortSwigger实验室展示了通过Web消息触发的DOM XSS漏洞。网页监听了postMessage事件，并将接收到的数据直接注入到innerHTML中，既没有验证消息来源，也没有对内容进行净化处理。通过滥用一个iframe并发送一条精心构造的、包含带有onerror处理程序的<img>标签的消息，我们成功触发了JavaScript执行，从而解决了这个实验室任务。

实验室： 利用Web消息进行DOM XSS攻击

免费文章链接：实验室链接

GitHub PoC链接：https://github.com/AdityaBhatt3010/DOM-XSS-using-web-messages-and-JavaScript-URL

（按回车键或点击以查看完整尺寸图片）

🔥 引言

Web消息（window.postMessage）是一个功能强大的API，旨在实现安全的跨源通信。然而，当开发者未能验证消息来源时……（文章继续深入技术细节）

CSD0tFqvECLokhw9aBeRqkXRWXf0Vtl3sio4lu+4ztRs0iqjEpRaH3QwDDcSWqc+pHcImogT4pEsEJ64PzINop+p5q+/iokuW2sNgdddnJNnzeH3bkvtsZ8GiFyuWDqaGhVkjQXrye3ivF2TjjGdeckWvGnDaOaE88i6lKIzUkk=