DOM XSS через URL-фрагмент (location.hash)

# DOM XSS через URL-фрагмент ## Сценарий Вы — аудитор маркетплейса товаров для дома **LoopMarket**. Маркетолог пожаловался, что переходы по ссылкам с якорями из писем и поисковиков «подсвечивают» на странице каталога странные надписи. Выяснилось, что каталог украшает страницу надписью с текстом поискового запроса, взятым из фрагмента адреса, — и вся эта механика живёт на клиенте. Серверная фильтрация тут бессильна по построению: часть адреса после решётки не покидает браузер. Жалобы покупателей смотрит бот-администратор — он открывает любую ссылку из формы «Report to Admin». ## Цель 1. Найдите в клиентском скрипте страницы каталога источник данных из адреса и опасный приёмник, вставляющий их в разметку. 2. Составьте ссылку на каталог, при открытии которой в браузере жертвы выполнится код, передающий куки сессии на ваш Exploit Server. 3. Отправьте ссылку боту-администратору через форму жалоб. 4. Перехваченной сессией войдите в панель администратора и заберите флаг. ## Теория DOM XSS отличается от отражённой и хранимой инъекций: данные не только вводятся, но и исполняются на клиенте — сервер их вообще не видит. Источником служат части адреса, хранилище браузера, реферер; приёмником — методы вставки, интерпретирующие строку как разметку. Фрагмент адреса после решётки — классический источник: он не отправляется на сервер и не попадает в журналы, поэтому WAF и серверная санитизация его не касаются. **Уязвимый паттерн:** ```javascript document.getElementById('search-info').innerHTML = 'Showing results for: ' + decoded; ``` Скрипт читает фрагмент адреса, декодирует его и вставляет в элемент страницы методом, который разбирает строку как HTML. Теги и обработчики событий из фрагмента становятся живой разметкой — и исполняются в момент вставки, в контексте сайта и сессии жертвы. ## Точка входа атаки `GET /catalog` — страница каталога; клиентский скрипт читает фрагмент адреса после решётки. * **Обычный пользователь:** `demo` / `demo` * **Доставка боту:** `POST /report` — бот откроет присланную ссылку * **Цель:** `GET /admin` — панель администратора с флагом * **Exploit Server:** адрес из панели лабы для приёма перехваченных данных