DOM Snitch para Webware

¿Qué es DOM Snitch?

DOM Snitch es una extensión experimental de Chrome que permite a los testers no relacionados con la seguridad identificar prácticas incorrectas comunes al producir código del lado del cliente y a los testers de seguridad obtener una mejor comprensión de las transformaciones que ocurren dentro del DOM.

Capacidades actuales

Capacidad para escuchar las modificaciones del DOM y recopilar datos de depuración sobre esas modificaciones

Capacidad para ordenar y agrupar la información recopilada como medio para simplificar el proceso de análisis de estos datos

Capacidad para detectar pasivamente y marcar como errores o advertencias algunos problemas de seguridad fáciles de detectar, incluyendo:

Usos de datos controlados por el usuario que provienen de URL, referenciador o cookies al construir el DOM, donde los datos también se verifican para contener caracteres de escape HTML (es decir, '"

Usos de scripts que no están alojados en el dominio de la aplicación

Usos de scripts que resultarían en errores de contenido mixto

Usos de sintaxis JSON inválida, lo que resulta en el uso de eval() en lugar de una función alternativa mucho más segura (por ejemplo, JSON.parse())

Asignaciones de document.domain a cualquier cosa que no sea el valor original del nombre de host de la aplicación (como lo proporciona el navegador en el momento de renderizado)

Capacidad para exportar todos o subconjuntos de los datos recopilados como texto plano o a través de Google Docs