> For the complete documentation index, see [llms.txt](https://notes.anggipradana.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://notes.anggipradana.com/tutorial/dvwa/cross-site-scripting-xss/dom/medium.md). # Medium Di bawah ini adalah *source-code* dari XSS (DOM) level medium di DVWA. ```php vulnerabilities/xss_d/source/medium.php ``` ## Mencari Informasi Secara visual tidak ada perbedaan pada level ini dan sebelumnya. Jika kita mengubah nilai dari parameter tersebut, maka akan tampil seperti sebelumnya. ![](https://gblobscdn.gitbook.com/assets%2F-LzH5Vfe8_AlGL8KPrs2%2F-LzjWm7ooXqMX6HDi6yo%2F-LzjlW-P9uZk1AmQOAu_%2Fimage.png?alt=media\&token=9cc55612-b6a3-4a72-a5e1-853aad57ae6b) Perhatikan pada *source code* baris ke-8, bahwa terdapat validasi jika mengandung kata *"\`. Terdapat cara yaitu dengan fungsi `onload` pada tag HTML. Tetapi untuk melakukan hal tersebut kita harus tutup terlebih dahulu tag sebelumnya (di sini `** terlebih dahulu dan dilanjutkan oleh *script* yang menjalankan JavaScript seperti berikut: ```markup ?default= ``` ![](https://gblobscdn.gitbook.com/assets%2F-LzH5Vfe8_AlGL8KPrs2%2F-LzjWm7ooXqMX6HDi6yo%2F-Lzjsmo62RGAViZiJ7Z-%2Fimage.png?alt=media\&token=db3a933a-6cd4-4ac6-9add-d5d0252bde27) Perhatikan dari hasil *injetion* di atas, tag **\