## Iframes en XSS, CSP y SOP
Existen 3 formas de indicar el contenido de una página enmarcada:
* A través de `src` indicando una URL (la URL puede ser de origen cruzado o del mismo origen)
* A través de `src` indicando el contenido usando el protocolo `data:`
* A través de `srcdoc` indicando el contenido
**Accediendo a variables del padre e hijo**
```html
```
```html
```
Si accedes al HTML anterior a través de un servidor HTTP (como `python3 -m http.server`), notarás que todos los scripts se ejecutarán (ya que no hay CSP que lo impida). El padre no podrá acceder a la variable `secret` dentro de ningún iframe y solo los iframes if2 e if3 (que se consideran del mismo sitio) pueden acceder al secreto en la ventana original.\
Observa cómo if4 se considera que tiene un origen nulo.
### Iframes con CSP
{% hint style="info" %}
Por favor, ten en cuenta que en los siguientes bypasses, la respuesta a la página enmarcada no contiene ninguna cabecera CSP que impida la ejecución de JS.
{% endhint %}
El valor `self` de `script-src` no permitirá la ejecución del código JS utilizando el protocolo `data:` o el atributo `srcdoc`.\
Sin embargo, incluso el valor `none` del CSP permitirá la ejecución de los iframes que colocan una URL (completa o solo la ruta) en el atributo `src`.\
Por lo tanto, es posible eludir el CSP de una página con:
```html
```
Observa cómo la **CSP anterior solo permite la ejecución del script en línea**.\
Sin embargo, **solo se ejecutarán los scripts `if1` e `if2`, pero solo `if1` podrá acceder al secreto padre**.
 (1) (1).png>)
Por lo tanto, es posible **burlar una CSP si se puede cargar un archivo JS en el servidor y cargarlo a través de un iframe incluso con `script-src 'none'`**. Esto **potencialmente también se puede hacer abusando de un punto final JSONP del mismo sitio**.
Puedes probar esto con el siguiente escenario en el que se roba una cookie incluso con `script-src 'none'`. Simplemente ejecuta la aplicación y accede a ella con tu navegador:
```python
import flask
from flask import Flask
app = Flask(__name__)
@app.route("/")
def index():
resp = flask.Response('')
resp.headers['Content-Security-Policy'] = "script-src 'self'"
resp.headers['Set-Cookie'] = 'secret=THISISMYSECRET'
return resp
@app.route("/cookie_s.html")
def cookie_s():
return ""
if __name__ == "__main__":
app.run()
```
### Otros Payloads encontrados en la naturaleza
```html
```
### Iframe sandbox
El atributo `sandbox` permite aplicar un conjunto adicional de restricciones al contenido dentro del iframe. **Por defecto, no se aplica ninguna restricción.**
Cuando el atributo `sandbox` está presente, se realizarán las siguientes acciones:
* Tratar el contenido como si fuera de un origen único.
* Bloquear el envío de formularios.
* Bloquear la ejecución de scripts.
* Deshabilitar las APIs.
* Evitar que los enlaces apunten a otros contextos de navegación.
* Evitar que el contenido utilice plugins (a través de `