Добро пожаловать на BlackSAMP - ФОРУМ

[IlyaMarkinV]

Всем привет!

Сегодня разберём нестандартную атаку — DOM Clobbering, которая позволяет перезаписывать JavaScript-переменные через HTML-разметку.


Что такое DOM Clobbering?
Это техника, когда злоумышленник внедряет HTML-элементы (например,

<a id="x">

), которые "перебивают" (clobber) глобальные переменные в JS.

Чем опасна?

- Обход защиты XSS (без использования

<script>

)
- Подмена логики приложения
- Взаимодействие с другими уязвимостями (например, prototype pollution)

Как работает атака?

1. Базовый пример
Допустим, есть такой код:

javascript
if (window.isAdmin) {
    showAdminPanel();
}

Атакующий может внедрить HTML:

<a id="isAdmin" href="https://evil.com">Click me</a>

Теперь

window.isAdmin

ссылается на DOM-элемент → условие сработает!

2. Подмена методов (например, console.log)
Если код использует

console.log

для логирования:

javascript
function logError(msg) {
    console.log("[ERROR]", msg);
}

Атакующий внедряет:

<form id="console" action="javascript:alert(1)">
    <input id="log" value="Hacked!">
</form>

Теперь

console.log

— это

<input>

, и при вызове

logError()

выполнится XSS!


Где встречается?

1. SPA-приложения (React, Angular, Vue), где DOM активно меняется
2. Редакторы контента (TinyMCE, CKEditor)
3. Шаблонизаторы, которые разрешают HTML (например,

{{{raw_html}}}

)

Как защититься?

1. Используйте let/const вместо глобальных переменных

javascript
const isAdmin = false;

2. Проверяйте тип переменных

javascript
if (typeof isAdmin === "boolean") {
    showAdminPanel();
}

3. Очищайте пользовательский HTML

- DOMPurify (для удаления опасных атрибутов)
- CSP с

unsafe-inline: none

4. Избегайте глобальных неймспейсов

javascript
const appConfig = Object.freeze({
    isAdmin: false
});

Вывод
DOM Clobbering — это креативная атака, которая обходит классические защиты. Её сложно обнаружить, но легко предотвратить.