# XSS中的iframes
有3种方法可以指示iframed页面的内容：
- 通过`src`指定URL（URL可能是跨源或同源）
- 通过使用`data:`协议指定内容的`src`
- 通过指定内容的`srcdoc`
**访问父级和子级变量**
```html
```
```html
```
如果您通过http服务器（如`python3 -m http.server`）访问前面的html，您会注意到所有脚本都将被执行（因为没有CSP来阻止它）。**父级无法访问任何iframe中的`secret`变量**，**只有if2和if3这两个iframe（被视为同一站点）可以访问原始窗口中的秘密**。\
请注意，if4被视为具有`null`来源。
### 带有CSP的iframe
{% hint style="info" %}
请注意，在以下绕过中，对iframe页面的响应不包含任何阻止JS执行的CSP标头。
{% endhint %}
`script-src`的`self`值不允许使用`data:`协议或`srcdoc`属性执行JS代码。\
然而，即使CSP的`none`值也允许执行将URL（完整或仅路径）放在`src`属性中的iframes。\
因此，可以通过以下方式绕过页面的CSP：
```html
```
请注意，**先前的 CSP 仅允许执行内联脚本**。\
然而，**只有 `if1` 和 `if2` 脚本将被执行，但只有 `if1` 能够访问父级秘密**。
 (1) (1).png>)
因此，如果您可以上传一个 JS 文件到服务器并通过 iframe 加载它，**就有可能绕过 CSP，即使使用了 `script-src 'none'`**。这也可以**潜在地通过滥用同站点 JSONP 端点来实现**。
您可以使用以下场景测试此功能，在即使使用了 `script-src 'none'`，也可以窃取 cookie。只需运行应用程序并在浏览器中访问它：
```python
import flask
from flask import Flask
app = Flask(__name__)
@app.route("/")
def index():
resp = flask.Response('')
resp.headers['Content-Security-Policy'] = "script-src 'self'"
resp.headers['Set-Cookie'] = 'secret=THISISMYSECRET'
return resp
@app.route("/cookie_s.html")
def cookie_s():
return ""
if __name__ == "__main__":
app.run()
```
### 在野外发现的其他有效载荷
```html
```
### Iframe 沙盒
通过使用 `sandbox` 属性，可以对 iframe 中的内容施加额外限制。默认情况下，此属性未应用，意味着没有任何限制。
当使用时，`sandbox` 属性会施加几项限制：
- 内容被视为来自唯一来源。
- 阻止任何尝试提交表单的行为。
- 禁止执行脚本。
- 禁用对某些 API 的访问。
- 防止链接与其他浏览上下文进行交互。
- 禁止使用 `