# Roubar postmessage modificando a localização do iframe

Aprenda hacking AWS do zero ao herói com htARTE (HackTricks AWS Red Team Expert)!

* Você trabalha em uma **empresa de cibersegurança**? Gostaria de ver sua **empresa anunciada no HackTricks**? ou gostaria de ter acesso à **última versão do PEASS ou baixar o HackTricks em PDF**? Confira os [**PLANOS DE ASSINATURA**](https://github.com/sponsors/carlospolop)! * Descubra [**A Família PEASS**](https://opensea.io/collection/the-peass-family), nossa coleção exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family) * Adquira o [**swag oficial PEASS & HackTricks**](https://peass.creator-spring.com) * **Junte-se ao** [**💬**](https://emojipedia.org/speech-balloon/) [**grupo Discord**](https://discord.gg/hRep4RUj7f) ou ao [**grupo telegram**](https://t.me/peass) ou **siga-me** no **Twitter** 🐦[**@carlospolopm**](https://twitter.com/hacktricks_live)**.** * **Compartilhe seus truques de hacking enviando PRs para o [repositório hacktricks](https://github.com/carlospolop/hacktricks) e [repositório hacktricks-cloud](https://github.com/carlospolop/hacktricks-cloud)**.

## Alterando as localizações dos iframes filhos De acordo com [**este artigo**](https://blog.geekycat.in/google-vrp-hijacking-your-screenshots/), se você pode inserir um iframe em uma página da web sem o cabeçalho X-Frame que contenha outro iframe, você pode **alterar a localização desse iframe filho**. Por exemplo, se abc.com tem efg.com como iframe e abc.com não tem o cabeçalho X-Frame, eu poderia alterar o efg.com para evil.com em uma origem cruzada usando, **`frames.location`**. Isso é especialmente útil em **postMessages** porque se uma página estiver enviando dados sensíveis usando um **coringa** como `windowRef.postmessage("","*")`, é possível **alterar a localização do iframe relacionado (filho ou pai) para uma localização controlada pelo atacante** e roubar esses dados. ```html