// DOM XSS in img Attribute

var url = new URL(window.location.href);
var imgsrc = url.searchParams.get("imageLocation");

// The payload "imageLocation=1 onerror=alert(1)" 
// will result in an alert prompt, demonstrating XSS
document.write('<img id="myImage" src=' + imgsrc +' ></img>');  

// DOM XSS When Using "eval()" to Parse JSON in Javascript

var url = new URL(window.location.href);
var val = url.searchParams.get("val");
var json = `[{"val": "${val}"}]`;

// The payload json=","a":alert(1),"b":" will 
// result in an alert prompt, demonstrating XSS
var obj = eval(json); 

// Replacing "eval()" with "JSON.parse()" to Avoid XSS

var url = new URL(window.location.href);
var val = url.searchParams.get("val");
var json = `[{"val": "${val}"}]`;

// JSON.parse() does not eval JS code
var obj =  JSON.parse(json);

// DOM XSS in iFrame "src" Attribute

var url = new URL(window.location.href);
var iframeLocation = url.searchParams.get("iframeLocation");

// The payload "iframeLocation=javascript:alert(1)" will 
// result in an alert prompt, demonstrating XSS. This is 
// also vulnerable to open redirection.
document.getElementById("myFrame").src = iframeLocation; 

// Prepending iFrame "src" Attribute to Prevent Malicious URI Schemes

var url = new URL(window.location.href);
var iframeLocation = url.searchParams.get("iframeLocation");

// Prepending iframeLocation prevents changing 
// the URI scheme to "javascript:", mitigating XSS
document.getElementById("myFrame").src = "/example/"+iframeLocation; 

• Tüm dinamik veriler kaynağına bakılmaksızın çıktıya gömülmeden önce tamamen encode’lanmalıdır.
• Encode’lama bağlam ilişkili olmalıdır. Örneğin;
  
  
  • HTML içerik için HTML encode’lama
  • Attribute değerlerine çıktılama için HTML attribute encode’lama
  • Sunucu taraflı javascript için Javascript encode’lama
  
  
• Çıktıyı encode’lamak için kullanılan framework’ün temin ettiği encode’lama fonksiyonelliğine sahip bilinen güvenlik kütüphaneleri tercih edilebilir.
• Yalnızca uygulamanın kaynakları izinli sayılacak şekilde beyaz liste kuralı Content Security Policy uygulanmalıdır.
• Ekstra koruma katmanı olması adına tüm girdiler kaynağı neresi olursa olsun doğrulamadan geçirilmelidir (not: Doğrulama encode’lamanın alternatifi bir teknik değildir. Tamamlayıcısıdır). Bu doğrulama belirli yapıdaki girdileri reddetme işlemi yerine sadece belirli yapıya uyanların kabul edildiği şeklinde olmalıdır. Yani whitelist (beyaz liste) kullanılmalıdır. Siyah liste (blacklist) önlemi kullanılmamalıdır. Bir girdiyi doğrulamada şunlar kontrol edilebilir:
  
  
  • Veri türü (int, string, float, byte, … v.b. tipte mi geliyor kontrolü)
  • Boyutu (x KB, y MB,…v.b. boyutta mı geliyor kontrolü)
  • Aralığı (Veri ölçülebilir bir sayısal değerse aralık sınırlarını aşıyor mu kontrolü)
  • Formatı (çözümlenebilir şifreli, tek yönlü şifreli, açık metin, … v.b. biçimde mi geliyor kontrolü)
  • Beklenen Değerlerden Biri Olup Olmadığı (Whitelist’te tanımlı desenlerden biri mi geliyor kontrolü)
  
  
• HTTP yanıt başlığı Content-Type açıkça karakter encode’lama (charset) tanımlı olmalıdır.
• Derinlikli defans gereği oturum çerezleri üzerinde HttpOnly bayrağı etkinleştirilmelidir. Bu önlem olası başarılı XSS sömürülerinde çerezlerin çalınmasını önleyecektir.

• https://cwe.mitre.org/data/definitions/582.html
• https://vulncat.fortify.com/en/detail?category=Unsafe%20Mobile%20Code&subcategory=Unsafe%20Array%20Declaration#Java%2fJSP