# Umgehung der SOP mit Iframes - 1
Lernen Sie AWS-Hacking von Null auf Held mit htARTE (HackTricks AWS Red Team Expert)!
* Arbeiten Sie in einem **Cybersicherheitsunternehmen**? Möchten Sie Ihr **Unternehmen in HackTricks bewerben**? Oder möchten Sie Zugriff auf die **neueste Version von PEASS oder HackTricks im PDF-Format** haben? Überprüfen Sie die [**ABONNEMENTPLÄNE**](https://github.com/sponsors/carlospolop)!
* Entdecken Sie [**The PEASS Family**](https://opensea.io/collection/the-peass-family), unsere Sammlung exklusiver [**NFTs**](https://opensea.io/collection/the-peass-family)
* Holen Sie sich das [**offizielle PEASS & HackTricks-Merchandise**](https://peass.creator-spring.com)
* **Treten Sie der** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord-Gruppe**](https://discord.gg/hRep4RUj7f) oder der [**Telegram-Gruppe**](https://t.me/peass) bei oder **folgen** Sie mir auf **Twitter** 🐦[**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
* **Teilen Sie Ihre Hacking-Tricks, indem Sie PRs an das [hacktricks repo](https://github.com/carlospolop/hacktricks) und [hacktricks-cloud repo](https://github.com/carlospolop/hacktricks-cloud)** einreichen.
## Iframes in SOP-1
In dieser [**Herausforderung**](https://github.com/terjanq/same-origin-xss), erstellt von [**NDevTK**](https://github.com/NDevTK) und [**Terjanq**](https://github.com/terjanq), müssen Sie eine XSS im codierten
```javascript
const identifier = '4a600cd2d4f9aa1cfb5aa786';
onmessage = e => {
const data = e.data;
if (e.origin !== window.origin && data.identifier !== identifier) return;
if (data.type === 'render') {
renderContainer.innerHTML = data.body;
}
}
```
Das Hauptproblem besteht darin, dass die [**Hauptseite**](https://so-xss.terjanq.me) DomPurify verwendet, um die `data.body` zu senden. Um Ihre eigenen HTML-Daten an diesen Code zu senden, müssen Sie `e.origin !== window.origin` umgehen.
Schauen wir uns die vorgeschlagene Lösung an.
### SOP-Umgehung 1 (e.origin === null)
Wenn `//example.org` in ein **sandboxed iframe** eingebettet ist, wird der Ursprung der Seite **`null`** sein, d.h. **`window.origin === null`**. Durch das Einbetten des iframes über `