# Bypassing SOP with Iframes - 1
{% hint style="success" %}
Learn & practice AWS Hacking:
[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)\
Learn & practice GCP Hacking: 
[**HackTricks Training GCP Red Team Expert (GRTE)**](https://training.hacktricks.xyz/courses/grte)
Support HackTricks
* Check the [**subscription plans**](https://github.com/sponsors/carlospolop)!
* **Join the** 💬 [**Discord group**](https://discord.gg/hRep4RUj7f) or the [**telegram group**](https://t.me/peass) or **follow** us on **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
* **Share hacking tricks by submitting PRs to the** [**HackTricks**](https://github.com/carlospolop/hacktricks) and [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos.
{% endhint %}
## Iframes in SOP-1
Neste [**desafio**](https://github.com/terjanq/same-origin-xss) criado por [**NDevTK**](https://github.com/NDevTK) e [**Terjanq**](https://github.com/terjanq), você precisa explorar um XSS no código
```javascript
const identifier = '4a600cd2d4f9aa1cfb5aa786';
onmessage = e => {
const data = e.data;
if (e.origin !== window.origin && data.identifier !== identifier) return;
if (data.type === 'render') {
renderContainer.innerHTML = data.body;
}
}
```
O problema principal é que a [**página principal**](https://so-xss.terjanq.me) usa DomPurify para enviar o `data.body`, então, para enviar seus próprios dados html para esse código, você precisa **burlar** `e.origin !== window.origin`.
Vamos ver a solução que eles propõem.
### Burla de SOP 1 (e.origin === null)
Quando `//example.org` é incorporado em um **iframe sandboxed**, então a **origem** da página será **`null`**, ou seja, **`window.origin === null`**. Portanto, apenas incorporando o iframe via `