# Обход защитных мер - Mutation XSS
Когда мы ранее говорили о санитизации, я напомнил всем не пытаться реализовать её самостоятельно, а использовать существующие библиотеки. Это связано с тем, что при реализации фильтраций существует много подводных камней.
Но есть ли у этих библиотек проблемы? Это возможно, и на самом деле это уже происходило. Одна из распространенных атак на санитайзеры называется **мутационный XSS**, также известный как **mXSS**.
Прежде чем понять **mXSS**, давайте посмотрим, как обычно работают санитайзеры.
### **Basic Flow of Sanitizers**
Исходя из нашего предыдущего опыта, входными данными для санитайзера является строка, содержащая **HTML**, и выходными данными также является строка, содержащая **HTML**. Вот пример того, как это используется:
**const inputHtml = '\
hello\
'const safeHtml = sanitizer.sanitize(inputHtml)document.body.innerHTML = safeHtml**
Итак, как работает санитайзер внутри? На самом деле его внутренняя работа очень похожа на санитайзер, который мы реализовали с использованием **BeautifulSoup**:
**1. Преобразовать inputHtml в DOM-дерево.**\
**2. Удалить недопустимые узлы и атрибуты на основе файла конфигурации.**\
**3. Преобразовать DOM-дерево обратно в строку.**\
**4. Вернуть строку.**
Этот процесс, кажется, не вызывает проблем, но дьявол кроется в деталях. Что, если "HTML, который кажется безопасным, на самом деле таковым не является"? Подождите, разве мы уже не санитизировали его? Как он может быть небезопасен? Давайте сначала рассмотрим пример.
### **Browser's "Considerate" Feature**
Браузер - это внимательное программное обеспечение, которое, чтобы справиться с различными ситуациями и соответствуя спецификациям, может не отображать **HTML** именно так, как вы его видите. Например, рассмотрим следующий пример:
{% code overflow="wrap" %}
```html
```
{% endcode %}
Поместить **\
** внутрь **\
** кажется нормальным, но если вы откроете эту веб-страницу, заметите:
Структура HTML изменилась!
Она становится:
```html
hello
```
**\
**, который должен был быть внутри **\
**, "выпрыгивает" из него. Это происходит, потому что браузер, исходя из спецификации **HTML**, определяет, что **\
** не должен быть внутри **\
**, поэтому он любезно убирает его. Исходя из истории развития веба, для браузеров нормально пытаться исправить недействительный **HTML**. В конце концов, это лучше, чем выбрасывание ошибки или отображение пустой страницы.
Это поведение "HTML-строки изменяются браузером при рендеринге" **называется мутацией**. И **XSS,** достигнутый за счет использования этого поведения, естественно, называется **мутационным XSS**.
Рассмотрим еще один пример:
{% code overflow="wrap" %}
```html
```
{% endcode %}
Результат рендеринга:
Браузер считает, что **\
** не должен быть внутри **\
**, добавляя перед ним **\
**, но тег все равно остается внутри **\**. Первый шаг санитайзера - преобразовать его в DOM-дерево. Исходя из предыдущего эксперимента, это становится:
```html
```
Он выглядит абсолютно нормально, ничего не нужно фильтровать. Следующий шаг - преобразовать DOM-дерево обратно в строку, что дает: **\**.
Далее, команда фронтенд-разработчиков получает **safeHtml** и выполняет **document.body.innerHTML = safeHtml**. Получающийся HTML выглядит следующим образом:
```html
hello
```
Для санитайзера **\
** и **"hello"** находятся внутри SVG, но финальный результат другой. Они размещены снаружи. Таким образом, через этую мутацию мы можем заставить любой элемент выпрыгнуть из **\
