私の理解をまとめます。

万が一間違っていれば訂正頂けると幸いです。

DOM-based XSSは、「サーバ上でのHTMLの生成時には問題はなく、ブラウザ上で動作するJavaScript上のコードに問題があるために発生する」XSSとのことです。

※一部引用：https://gihyo.jp/dev/serial/01/javascript-security/0006

JavaScriptによってクライアント側でHTMLを組み立てるため、Webサーバに対してのリクエストとして送信されないため、攻撃が成立しやすいという特徴があります。

汚い絵ですが…

この#の使い方ですが、良くあるのはWebページの見出しへのジャンプですね。それを上手いこと悪用してるわけです。