Bypassing SOP with Iframes - 2
Iframes in SOP-2
En la solución para este desafío, @Strellic_ propone un método similar a la sección anterior. Vamos a revisarlo.
En este desafío, el atacante necesita bypassar esto:
Si lo hace, puede enviar un postmessage con contenido HTML que se va a escribir en la página con innerHTML
sin saneamiento (XSS).
La forma de eludir la primera verificación es haciendo que window.calc.contentWindow
sea undefined
y e.source
sea null
:
window.calc.contentWindow
es en realidaddocument.getElementById("calc")
. Puede sobrescribirdocument.getElementById
con<img name=getElementById />
(tenga en cuenta que la API de Saneamiento -aquí- no está configurada para proteger contra ataques de sobrescritura de DOM en su estado predeterminado).Por lo tanto, puede sobrescribir
document.getElementById("calc")
con<img name=getElementById /><div id=calc></div>
. Luego,window.calc
seráundefined
.Ahora, necesitamos que
e.source
seaundefined
onull
(porque se usa==
en lugar de===
,null == undefined
esTrue
). Obtener esto es "fácil". Si crea un iframe y envía un postMessage desde él y luego elimina el iframe,e.origin
seránull
. Verifique el siguiente código
Para eludir la segunda verificación sobre el token, se envía token
con el valor null
y se hace que el valor de window.token
sea undefined
:
Enviar
token
en el postMessage con el valornull
es trivial.window.token
al llamar a la funcióngetCookie
que utilizadocument.cookie
. Tenga en cuenta que cualquier acceso adocument.cookie
en páginas de origennull
provoca un error. Esto hará quewindow.token
tenga un valor deundefined
.
La solución final de @terjanq es la siguiente:
Last updated