Bypassing SOP with Iframes - 1
Iframes in SOP-1
У цьому виклику, створеному NDevTK та Terjanq, вам потрібно експлуатувати XSS у закодованому
Основна проблема полягає в тому, що головна сторінка використовує DomPurify для відправки data.body
, тому для того, щоб надіслати свої власні html дані до цього коду, вам потрібно обійти e.origin !== window.origin
.
Давайте розглянемо рішення, яке вони пропонують.
SOP обхід 1 (e.origin === null)
Коли //example.org
вбудовано в пісочницю iframe, тоді походження сторінки буде null
, тобто window.origin === null
. Тож просто вбудувавши iframe через <iframe sandbox="allow-scripts" src="https://so-xss.terjanq.me/iframe.php">
, ми можемо примусити походження null
.
Якщо сторінка була б вбудовуваною, ви могли б обійти цю захист таким чином (можливо, також потрібно налаштувати куки на SameSite=None
).
SOP обхід 2 (window.origin === null)
Менш відомий факт полягає в тому, що коли значення пісочниці allow-popups
встановлено, тоді відкритий спливаючий вікно буде успадковувати всі атрибути пісочниці, якщо не встановлено allow-popups-to-escape-sandbox
.
Отже, відкриття спливаючого вікна з null походження зробить window.origin
всередині спливаючого вікна також null
.
Рішення виклику
Отже, для цього виклику можна створити iframe, відкрити спливаюче вікно на сторінку з вразливим обробником коду XSS (/iframe.php
), оскільки window.origin === e.origin
, тому що обидва є null
, можливо надіслати корисне навантаження, яке експлуатує XSS.
Це корисне навантаження отримає ідентифікатор і надішле XSS назад на верхню сторінку (сторінка, яка відкрила спливаюче вікно), яка змінить місцезнаходження на вразливу /iframe.php
. Оскільки ідентифікатор відомий, не має значення, що умова window.origin === e.origin
не задовольняється (пам'ятайте, походження - це спливаюче вікно з iframe, яке має походження null
) тому що data.identifier === identifier
. Тоді XSS спрацює знову, цього разу в правильному походженні.
Last updated