此JavaScript注入（基于DOM）是肯定的还是假的？

Question

我正在尝试更好地掌握基于JavaScript DOM的基于JavaScript的注入攻击，因此，我希望对此有所投入。

我将Burpsuite的输出显示为“ firm”，表示此处应该是某些东西。因此，主页将使用以下代码加载.js文件。从document.location读取数据，并通过以下语句将其传递到eval（）：

var _9f=document.location.toString();
var _a0=_9f.split("?",2);
var _a1=_a0[1];
var _a2=_a1.split("&");
var sp=_a2[x].split("=");
djConfig[opt]=eval(sp[1]);

如果我理解正确，它将得到'？'之后的内容。在网址中，然后在“ =”之后分割参数，然后评估该参数的第二个数组。那么www.domain.tld？first = nothing＆second = 有效载荷，对吗？

鉴于它已经在js文件中，我假设我在有效负载中不需要