Iframes in XSS, CSP and SOP
Iframes em XSS
Existem 3 maneiras de indicar o conteúdo de uma página em um iframe:
Via
src
indicando uma URL (a URL pode ser de origem cruzada ou de mesma origem)Via
src
indicando o conteúdo usando o protocolodata:
Via
srcdoc
indicando o conteúdo
Acessando variáveis Pai e Filho
Se você acessar o html anterior através de um servidor http (como python3 -m http.server
) você notará que todos os scripts serão executados (pois não há CSP impedindo). O pai não poderá acessar a variável secret
dentro de nenhum iframe e apenas os iframes if2 e if3 (que são considerados do mesmo site) podem acessar o segredo na janela original.
Observe como o if4 é considerado ter origem null
.
Iframes com CSP
Por favor, observe como nos seguintes bypasses a resposta para a página com iframe não contém nenhum cabeçalho CSP que previne a execução de JS.
O valor self
de script-src
não permitirá a execução do código JS usando o protocolo data:
ou o atributo srcdoc
.
No entanto, mesmo o valor none
do CSP permitirá a execução dos iframes que colocam uma URL (completa ou apenas o caminho) no atributo src
.
Portanto, é possível contornar o CSP de uma página com:
Observe como a CSP anterior permite apenas a execução do script inline.
No entanto, apenas os scripts if1
e if2
serão executados, mas somente if1
poderá acessar o segredo pai.
Portanto, é possível burlar um CSP se você puder fazer upload de um arquivo JS para o servidor e carregá-lo via iframe, mesmo com script-src 'none'
. Isso pode potencialmente ser feito abusando de um endpoint JSONP do mesmo site.
Você pode testar isso com o seguinte cenário em que um cookie é roubado mesmo com script-src 'none'
. Basta executar a aplicação e acessá-la com seu navegador:
Outros payloads encontrados na natureza
Iframe sandbox
O conteúdo dentro de um iframe pode ser submetido a restrições adicionais por meio do uso do atributo sandbox
. Por padrão, esse atributo não é aplicado, o que significa que nenhuma restrição está em vigor.
Quando utilizado, o atributo sandbox
impõe várias limitações:
O conteúdo é tratado como se originasse de uma fonte única.
Qualquer tentativa de enviar formulários é bloqueada.
A execução de scripts é proibida.
O acesso a certas APIs é desativado.
Impede que os links interajam com outros contextos de navegação.
O uso de plugins via
<embed>
,<object>
,<applet>
, ou tags similares é proibido.A navegação do contexto de navegação de nível superior do conteúdo pelo próprio conteúdo é impedida.
Recursos que são acionados automaticamente, como reprodução de vídeo ou foco automático de controles de formulário, são bloqueados.
O valor do atributo pode ser deixado em branco (sandbox=""
) para aplicar todas as restrições mencionadas anteriormente. Alternativamente, ele pode ser definido como uma lista separada por espaços de valores específicos que isentam o iframe de certas restrições.
Iframes na SOP
Verifique as seguintes páginas:
pageBypassing SOP with Iframes - 1pageBypassing SOP with Iframes - 2pageBlocking main page to steal postmessagepageSteal postmessage modifying iframe locationLast updated