60 - DOM-Based XSS: Identifying JavaScript Input Sources | קורס סייבר התקפי 2026

היי חברים, ברוכים הבאים לערוץ. אנחנו ממשיכים ברצף שיעורים בנושא Cross Site Scripting (XSS), והפעם אנחנו מתמקדים בשלב קריטי: איך לאתר נקודות קלט (Sources) בקוד JavaScript שיכולות להזרים תוכן אל Sinks בתוך ה-DOM — ובכך לייצר תשתית ל-DOM Based XSS. 🧰 כלים וטכניקות שתלמדו בסרטון אנחנו נבין את ההבדל בין Stored/Reflected XSS לבין DOM Based XSS, ונעבוד בגישה מקצועית של Sources → Flow → Sink (למשל Sink נפוץ כמו innerHTML). לאורך הדוגמאות נזהה מקורות קלט נפוצים שקוד צד לקוח יודע לקרוא מהם, ושיכולים להגיע ל-DOM: Form Fields (input/textarea/select/checkbox), location.search / location.hash / location.pathname, Cookies, localStorage / sessionStorage, IndexedDB, document.referrer, window.name, window.postMessage, ומשיכת מידע באמצעות API/AJAX. בנוסף נעבוד עם Chrome DevTools (Inspector/Console/Storage) ונסתכל על הקוד בצורה נוחה (למשל דרך VS Code). ⚠️ דיסקליימר כל ההדגמות מיועדות ללמידה ולתרגול בסביבה חוקית/מעבדה בלבד. 🔗 קישורים חשובים 💎 הצטרפות למועדון: https://tinyurl.com/AviJoin 📢 היכנסו לטלגרם שלי: https://t.me/CyberWithAvi 📘 ידע קודם נדרש ✔️ יסודות HTTP (Request/Response, Headers, Cookies) 🔗 קישור: https://youtu.be/Uikcu4uHR_c ✔️ היכרות עם Stored/Reflected/DOM XSS (מומלץ להשלים את השיעורים הקודמים בסדרה) 🔗 קישור: https://youtu.be/N4vJ3_mRYEA ✔️ בסיס ב-JavaScript ו-DOM 🔗 קישור: https://youtu.be/hPymqBifh6o?si=dIdUkWP3iuOuzeTF&t=898 ✔️ כיצד לתעד את תוכן הלימוד 🔗 קישור: https://youtu.be/8BuwL1icB9M 📝 שיעורי בית 👉 לסכם את השיעור במחברת ה-Notion לפי ה-Template של ה-Learning 👉 לבצע בעצמכם את כל ההדגמות המעשיות מהסרטון שלב-אחר-שלב ⏱️ פרקים 00:00 הקדמה 19:32 דמו: Form Fields (DOM + innerHTML) 35:21 דמו: location.search/hash/pathname + SPA עם Fragment 52:14 דמו: Cookies + איך תוקף יכול לשלוט בערך 1:07:45 דמו: localStorage / sessionStorage 1:28:12 דמו: IndexedDB 1:37:49 דמו: document.referrer 1:43:15 דמו: window.name 1:49:43 דמו: window.postMessage (iframe + popup) 2:01:04 דמו: API / Fetch (AJAX) כמקור קלט 2:06:19 ארגז כלים (ToolKit) – תיעוד Attack Surface Mapping ל-DOM XSS 2:08:38 סיכום 2:12:46 שיעורי בית 2:13:50 מילות סיום