Bypassing SOP with Iframes - 2
Iframes em SOP-2
Na solução para este desafio, @Strellic_ propõe um método semelhante à seção anterior. Vamos verificar.
Neste desafio, o atacante precisa burlar isso:
Se ele fizer isso, ele pode enviar um postmessage com conteúdo HTML que será escrito na página com innerHTML
sem saneamento (XSS).
A maneira de contornar a primeira verificação é tornando window.calc.contentWindow
undefined
e e.source
null
:
window.calc.contentWindow
é na verdadedocument.getElementById("calc")
. Você pode sobrescreverdocument.getElementById
com<img name=getElementById />
(observe que a API Sanitizer -aqui- não está configurada para proteger contra ataques de sobrescrita de DOM em seu estado padrão).Portanto, você pode sobrescrever
document.getElementById("calc")
com<img name=getElementById /><div id=calc></div>
. Em seguida,window.calc
seráundefined
.Agora, precisamos que
e.source
sejaundefined
ounull
(porque==
é usado em vez de===
,null == undefined
éTrue
). Conseguir isso é "fácil". Se você criar um iframe e enviar um postMessage dele e imediatamente remover o iframe,e.origin
seránull
. Verifique o código a seguir
Para contornar a segunda verificação sobre o token é enviando token
com o valor null
e tornando o valor de window.token
undefined
:
Enviar
token
no postMessage com o valornull
é trivial.window.token
ao chamar a funçãogetCookie
que utilizadocument.cookie
. Note que qualquer acesso adocument.cookie
em páginas de origemnull
aciona um erro. Isso fará com quewindow.token
tenha o valorundefined
.
A solução final por @terjanq é a seguinte:
Last updated