# Iframes in XSS, CSP and SOP
Apprenez le piratage AWS de zéro à héros avechtARTE (Expert de l'équipe rouge AWS de HackTricks)!
* Travaillez-vous dans une **entreprise de cybersécurité**? Voulez-vous voir votre **entreprise annoncée dans HackTricks**? ou voulez-vous avoir accès à la **dernière version du PEASS ou télécharger HackTricks en PDF**? Consultez les [**PLANS D'ABONNEMENT**](https://github.com/sponsors/carlospolop)!
* Découvrez [**La famille PEASS**](https://opensea.io/collection/the-peass-family), notre collection exclusive de [**NFTs**](https://opensea.io/collection/the-peass-family)
* Obtenez le [**swag officiel PEASS & HackTricks**](https://peass.creator-spring.com)
* **Rejoignez le** [**💬**](https://emojipedia.org/speech-balloon/) [**groupe Discord**](https://discord.gg/hRep4RUj7f) ou le [**groupe Telegram**](https://t.me/peass) ou **suivez** moi sur **Twitter** 🐦[**@carlospolopm**](https://twitter.com/hacktricks\_live)**.**
* **Partagez vos astuces de piratage en soumettant des PR au** [**dépôt hacktricks**](https://github.com/carlospolop/hacktricks) **et au** [**dépôt hacktricks-cloud**](https://github.com/carlospolop/hacktricks-cloud).
## Iframes in XSS
Il existe 3 façons d'indiquer le contenu d'une page en iframed :
* Via `src` indiquant une URL (l'URL peut être de provenance croisée ou de même origine)
* Via `src` indiquant le contenu en utilisant le protocole `data:`
* Via `srcdoc` indiquant le contenu
**Accès aux variables parent et enfant**
```html
```
```html
```
Si vous accédez au code HTML précédent via un serveur http (comme `python3 -m http.server`), vous remarquerez que tous les scripts seront exécutés (car il n'y a pas de CSP pour l'empêcher). **Le parent ne pourra pas accéder à la variable `secret` à l'intérieur de n'importe quel iframe** et **seuls les iframes if2 & if3 (qui sont considérés comme étant du même site) peuvent accéder au secret** dans la fenêtre d'origine.\
Notez comment if4 est considéré comme ayant une origine `null`.
### Iframes avec CSP
{% hint style="info" %}
Veuillez noter que dans les contournements suivants, la réponse à la page en iframed ne contient aucun en-tête CSP qui empêche l'exécution de JS.
{% endhint %}
La valeur `self` de `script-src` ne permettra pas l'exécution du code JS en utilisant le protocole `data:` ou l'attribut `srcdoc`.\
Cependant, même la valeur `none` du CSP permettra l'exécution des iframes qui mettent une URL (complète ou juste le chemin) dans l'attribut `src`.\
Il est donc possible de contourner le CSP d'une page avec:
```html
```
Notez comment le **CSP précédent autorise uniquement l'exécution du script en ligne**.\
Cependant, **seuls les scripts `if1` et `if2` vont être exécutés mais seul `if1` pourra accéder au secret parent**.
.png>)
Par conséquent, il est possible de **contourner un CSP si vous pouvez télécharger un fichier JS sur le serveur et le charger via un iframe même avec `script-src 'none'`**. Cela peut **éventuellement être fait en abusant d'un point de terminaison JSONP du même site**.
Vous pouvez tester cela avec le scénario suivant où un cookie est volé même avec `script-src 'none'`. Il suffit de lancer l'application et d'y accéder avec votre navigateur:
```python
import flask
from flask import Flask
app = Flask(__name__)
@app.route("/")
def index():
resp = flask.Response('')
resp.headers['Content-Security-Policy'] = "script-src 'self'"
resp.headers['Set-Cookie'] = 'secret=THISISMYSECRET'
return resp
@app.route("/cookie_s.html")
def cookie_s():
return ""
if __name__ == "__main__":
app.run()
```
### Autres charges utiles trouvées dans la nature
```html
```
### Iframe sandbox
Le contenu dans un iframe peut être soumis à des restrictions supplémentaires grâce à l'attribut `sandbox`. Par défaut, cet attribut n'est pas appliqué, ce qui signifie qu'aucune restriction n'est en place.
Lorsqu'il est utilisé, l'attribut `sandbox` impose plusieurs limitations :
* Le contenu est traité comme s'il provenait d'une source unique.
* Toute tentative de soumission de formulaires est bloquée.
* L'exécution de scripts est interdite.
* L'accès à certaines APIs est désactivé.
* Il empêche les liens d'interagir avec d'autres contextes de navigation.
* L'utilisation de plugins via `