AJAX Security : LAB: DOM-Based cross-site scripting

stage 1 : OWASP IMAGE 이미지를 나타나도록 해야 함.
   - OWASP IMAGE 링크에 주소를 복사합니다.
   - 절대주소로 이미지 태그를 작성합니다.
   - 아래 내용을 텍스트 박스에 입력합니다.

<img src="http://192.168.2.34:8080/WebGoat/images/logos/owasp.jpg" />

   - Submit Solution 버튼을 클릭합니다.

stage 2 : 이미지 테그에다가 javascript의 alert 창을 띄우면 됩니다.

<img src="x" onerror="alert('hacking')" />

stage 3 : iframe로  alert 창을 띄우면 됩니다.

<iframe src="javascript:alert('hacking')"></iframe>

stage 4 : 아래 그림의  HTML 테그를 복사하여 입력합니다.
   - 아래와 같이 Hello, Please... 나오면 아무거나 입력합니다.

stage 5 : 방어 코딩을 해야 합니다. escape.js 를 활용해서 해야 합니다.
   - firebug를 열어 escape.js를 확인합니다.

   - escapeHTML 함수를 input 에 적용하여 줍니다. 
   - input에 onkeyup="displayGreeting(person.value)" 이부분의 함수를 찾아 봅니다.
   - 서버의 WebGoat-5.2\tomcat\webapps\WebGoat\javascript 위치에 DOMXSS.js 파일을 열어 줍니다.
   - 아래와 같이 name부분에 escapeHTML함수를 적용하고 저장합니다.
   - js 파일이 변경이 되었기 때문에 파이어폭스를 새로고침하여 주고 위에서 작성한 자바 스크립트 코드를 아무거나 적용하여 테스트 합니다.

function displayGreeting(name) {

if (name != ''){

document.getElementById("greeting").innerHTML="Hello, " + escapeHTML(name)+ "!";

}