> ## Documentation Index
> Fetch the complete documentation index at: https://docs.jaspervanzeir.be/llms.txt
> Use this file to discover all available pages before exploring further.
# XSS & DOM-based Attacks
> Eigen JavaScript laten uitvoeren in de pagina en filters bypassen.
In de les werd `alert(1)` vaak gebruikt als PoC. Wanneer `alert()` geblokkeerd was, kwam `print()` als alternatief aan bod. Bij DOM-oefeningen ging het soms om het aanpassen van een zichtbaar element, bijvoorbeeld tekst in een `result`-div.
Payloadreferentie per tag, event en browser.
## De 3 types
Input komt direct terug in de response (URL-param, zoekveld).
Input wordt opgeslagen en later getoond (comment, profiel).
Client-side JS schrijft een source in een gevaarlijke sink.
## Analyse van de context
Typ `
zzz
`. Vet weergegeven = HTML wordt geinterpreteerd -> ga door.
`` was de basis-PoC. Als die niet werkte, werd de source belangrijker.
Hoe komt je input eruit? Tussen tags? In een attribuut? In JS?
De payload hangt af van de context en van welke keywords gefilterd worden.
## Context -> payload
| Wat je in de source ziet | Passende payload |
| --------------------------- | --------------------------------------------------------------- |
| `