DOM XSS через location.hash и innerHTML (Express)

# DOM-based XSS (инъекция через URL-фрагмент) ## Сценарий **GridLane** — магазин товаров для мейкеров на Node.js и Express. Вёрстальщица Полина добавила в каталог «запоминаемые фильтры»: часть адреса после символа `#` читается клиентским скриптом и выводится над списком товаров меткой «Filtering by: …». Полина уверена, что фича безобидна: фрагмент не покидает браузер, сервер его не видит — значит, и обойти серверные защиты через него нельзя. Проверить это заявление поручили вам. ## Цель 1. Изучите клиентский скрипт каталога и убедитесь, что фрагмент URL вставляется в страницу как разметка, а не как текст. 2. Сконструируйте ссылку, фрагмент которой исполняет скрипт в браузере жертвы и доставляет её сессионный идентификатор на ваш Exploit Server. 3. Отправьте ссылку администратору через форму отчёта, перехватите его сессию и заберите CTF-флаг. ## Теория В DOM-based XSS уязвимость целиком живёт в браузере: серверное экранирование, auto-escape шаблонизатора и WAF не участвуют, потому что вредоносные данные не пересылают по сети — браузер хранит фрагмент локально. Источник здесь — URL-фрагмент, приемник — свойство DOM, которое парсит строку как HTML и создаёт живые элементы страницы. **Уязвимый паттерн:** ```js // Декодированный фрагмент склеивается с разметкой и вставляется как HTML: el.innerHTML = '<p ...>Filtering by: ' + decoded + '</p>'; ``` Клиентский скрипт берёт часть адреса после `#`, декодирует её и записывает в DOM через свойство, трактующее строку как разметку. Любые теги из ссылки становятся настоящими элементами страницы и исполняются с правами её скриптов — включая чтение cookies, доступных JavaScript. ## Точка входа атаки `GET /catalog#фрагмент` — метка с содержимым фрагмента строится в браузере; на сервер уходят только обычные запросы страницы. Канал доставки на жертву: `POST /report` — поле `url` со ссылкой, содержащей ваш фрагмент. * **Обычный пользователь:** `demo` / `demo` * **Администратор:** бот, который открывает присланные через форму отчёта ссылки в собственной авторизованной сессии — его пароль вам недоступен, скрипт должен отработать в его браузере сам * **Exploit Server:** приёмник данных — ссылка на панели лабы