mirror of
https://github.com/carlospolop/hacktricks
synced 2024-12-29 22:43:11 +00:00
57 lines
4.3 KiB
Markdown
57 lines
4.3 KiB
Markdown
|
# Bloqueando a página principal para roubar postmessage
|
||
|
|
|
||
|
|
{% hint style="success" %}
|
||
|
|
Aprenda e pratique Hacking AWS:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
|
||
|
|
Aprenda e pratique Hacking GCP: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
||
|
|
|
||
|
|
<details>
|
||
|
|
|
||
|
|
<summary>Support HackTricks</summary>
|
||
|
|
|
||
|
|
* Confira os [**planos de assinatura**](https://github.com/sponsors/carlospolop)!
|
||
|
|
* **Junte-se ao** 💬 [**grupo do Discord**](https://discord.gg/hRep4RUj7f) ou ao [**grupo do telegram**](https://t.me/peass) ou **siga**-nos no **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
|
||
|
|
* **Compartilhe truques de hacking enviando PRs para o** [**HackTricks**](https://github.com/carlospolop/hacktricks) e [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) repositórios do github.
|
||
|
|
|
||
|
|
</details>
|
||
|
|
{% endhint %}
|
||
|
|
|
||
|
|
## Ganhando RCs com Iframes
|
||
|
|
|
||
|
|
De acordo com este [**escrito de Terjanq**](https://gist.github.com/terjanq/7c1a71b83db5e02253c218765f96a710), blobs de documentos criados a partir de origens nulas são isolados por benefícios de segurança, o que significa que se você mantiver a página principal ocupada, a página do iframe será executada.
|
||
|
|
|
||
|
|
Basicamente, nesse desafio um **iframe isolado é executado** e logo **após** ser **carregado**, a **página pai** vai **enviar uma mensagem post** com a **flag**.\
|
||
|
|
No entanto, essa comunicação postmessage é **vulnerável a XSS** (o **iframe** pode executar código JS).
|
||
|
|
|
||
|
|
Portanto, o objetivo do atacante é **deixar a página pai criar o iframe**, mas **antes** de deixar a **página pai** **enviar** os dados sensíveis (**flag**) **mantê-la ocupada** e enviar o **payload para o iframe**. Enquanto a **página pai está ocupada**, o **iframe executa o payload**, que será algum JS que irá escutar a **mensagem postmessage da página pai e vazar a flag**.\
|
||
|
|
Finalmente, o iframe executou o payload e a página pai para de estar ocupada, então ela envia a flag e o payload a vaza.
|
||
|
|
|
||
|
|
Mas como você poderia fazer a página pai ficar **ocupada logo após gerar o iframe e apenas enquanto espera que o iframe esteja pronto para enviar os dados sensíveis?** Basicamente, você precisa encontrar uma **ação** **assíncrona** que você poderia fazer a página pai **executar**. Por exemplo, nesse desafio a página pai estava **ouvindo** **postmessages** assim:
|
||
|
|
```javascript
|
||
|
|
window.addEventListener('message', (e) => {
|
||
|
|
if (e.data == 'blob loaded') {
|
||
|
|
$("#previewModal").modal();
|
||
|
|
}
|
||
|
|
});
|
||
|
|
```
|
||
|
|
então era possível enviar um **big integer em um postmessage** que será **convertido para string** nessa comparação, o que levará algum tempo:
|
||
|
|
```bash
|
||
|
|
const buffer = new Uint8Array(1e7);
|
||
|
|
win?.postMessage(buffer, '*', [buffer.buffer]);
|
||
|
|
```
|
||
|
|
E, para ser preciso e **enviar** esse **postmessage** logo **após** o **iframe** ser criado, mas **antes** de estar **pronto** para receber os dados do pai, você precisará **brincar com os milissegundos de um `setTimeout`**.
|
||
|
|
|
||
|
|
{% hint style="success" %}
|
||
|
|
Learn & practice AWS Hacking:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
|
||
|
|
Learn & practice GCP Hacking: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
||
|
|
|
||
|
|
<details>
|
||
|
|
|
||
|
|
<summary>Support HackTricks</summary>
|
||
|
|
|
||
|
|
* Check the [**subscription plans**](https://github.com/sponsors/carlospolop)!
|
||
|
|
* **Join the** 💬 [**Discord group**](https://discord.gg/hRep4RUj7f) or the [**telegram group**](https://t.me/peass) or **follow** us on **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
|
||
|
|
* **Share hacking tricks by submitting PRs to the** [**HackTricks**](https://github.com/carlospolop/hacktricks) and [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos.
|
||
|
|
|
||
|
|
</details>
|
||
|
|
{% endhint %}
|