# Bypassing SOP with Iframes - 2 {% hint style="success" %} Learn & practice AWS Hacking:

[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)

\ Learn & practice GCP Hacking:

[**HackTricks Training GCP Red Team Expert (GRTE)**

](https://training.hacktricks.xyz/courses/grte)

Support HackTricks

* Check the [**subscription plans**](https://github.com/sponsors/carlospolop)! * **Join the** 💬 [**Discord group**](https://discord.gg/hRep4RUj7f) or the [**telegram group**](https://t.me/peass) or **follow** us on **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.** * **Share hacking tricks by submitting PRs to the** [**HackTricks**](https://github.com/carlospolop/hacktricks) and [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos.

{% endhint %} ## Iframes in SOP-2 이 [**challenge**](https://github.com/project-sekai-ctf/sekaictf-2022/tree/main/web/obligatory-calc)의 [**solution**](https://github.com/project-sekai-ctf/sekaictf-2022/tree/main/web/obligatory-calc/solution)에서 [**@Strellic\_**](https://twitter.com/Strellic\_)은 이전 섹션과 유사한 방법을 제안합니다. 확인해 보겠습니다. 이 challenge에서 공격자는 **bypass**해야 합니다: ```javascript if (e.source == window.calc.contentWindow && e.data.token == window.token) { ``` If he does, he can send a **postmessage** with HTML content that is going to be written in the page with **`innerHTML`** without sanitation (**XSS**). **첫 번째 검사**를 우회하는 방법은 **`window.calc.contentWindow`**를 **`undefined`**로 만들고 **`e.source`**를 **`null`**로 만드는 것입니다: * **`window.calc.contentWindow`**는 실제로 **`document.getElementById("calc")`**입니다. **`document.getElementById`**를 **``**로 덮어쓸 수 있습니다 (Sanitizer API -[여기](https://wicg.github.io/sanitizer-api/#dom-clobbering)-는 기본 상태에서 DOM 클로버링 공격으로부터 보호하도록 구성되어 있지 않습니다). * 따라서 **`document.getElementById("calc")`**를 **`

`**로 덮어쓸 수 있습니다. 그러면 **`window.calc`**는 **`undefined`**가 됩니다. * 이제 **`e.source`**가 **`undefined`** 또는 **`null`**이 되어야 합니다 (왜냐하면 `==`가 사용되기 때문에 **`null == undefined`**는 **`True`**입니다). 이를 얻는 것은 "쉬운" 일입니다. **iframe**을 생성하고 그로부터 **postMessage**를 보내고 즉시 **iframe**을 **제거**하면 **`e.origin`**은 **`null`**이 됩니다. 다음 코드를 확인하세요. ```javascript let iframe = document.createElement('iframe'); document.body.appendChild(iframe); window.target = window.open("http://localhost:8080/"); await new Promise(r => setTimeout(r, 2000)); // wait for page to load iframe.contentWindow.eval(`window.parent.target.postMessage("A", "*")`); document.body.removeChild(iframe); //e.origin === null ``` **두 번째 체크**를 우회하기 위해 **`token`**을 값이 `null`인 상태로 보내고 **`window.token`** 값을 **`undefined`**로 만드는 방법은 다음과 같습니다: * 값이 `null`인 **postMessage**에서 `token`을 보내는 것은 사소한 일입니다. * **`document.cookie`**를 사용하는 함수 **`getCookie`**를 호출할 때 **`window.token`**을 사용합니다. **`null`** 출처 페이지에서 **`document.cookie`**에 접근하면 **error**가 발생합니다. 이로 인해 **`window.token`**은 **`undefined`** 값을 가지게 됩니다. 최종 솔루션은 [**@terjanq**](https://twitter.com/terjanq)에 의해 [**다음과 같습니다**](https://gist.github.com/terjanq/0bc49a8ef52b0e896fca1ceb6ca6b00e#file-calc-html): ```html ``` {% hint style="success" %} AWS 해킹 배우기 및 연습하기:

[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)

\ GCP 해킹 배우기 및 연습하기:

[**HackTricks Training GCP Red Team Expert (GRTE)**

](https://training.hacktricks.xyz/courses/grte)

HackTricks 지원하기

* [**구독 계획**](https://github.com/sponsors/carlospolop) 확인하기! * **💬 [**Discord 그룹**](https://discord.gg/hRep4RUj7f) 또는 [**텔레그램 그룹**](https://t.me/peass)에 참여하거나 **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**를 팔로우하세요.** * **[**HackTricks**](https://github.com/carlospolop/hacktricks) 및 [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) 깃허브 리포지토리에 PR을 제출하여 해킹 트릭을 공유하세요.**

{% endhint %}