DVWA - DOM XSS (Document Object Model XSS)

1. DOM XSS 개념

사용자 입력 URL JavaScript DOM 처리 innerHTML 실행

2. DOM XSS 동작 과정

1. URL 입력 2. location.hash 3. JavaScript 처리 4. innerHTML 5. 브라우저 실행 XSS 발생

3. Stored / Reflected / DOM 비교

Stored XSS • DB 저장 • 서버 응답 포함 • 여러 사용자 영향 Reflected XSS • URL 전달 • 서버가 그대로 출력 • 응답 HTML 포함 DOM XSS • 서버 미관여 • JavaScript 실행 • DOM 변경

4. DVWA DOM XSS 구조

URL Hash document.location innerHTML

5. 공격 흐름

공격 URL 브라우저 스크립트 실행

6. 방어 방법

textContent 사용 입력 검증 출력 인코딩 CSP 적용