# Iframes in XSS, CSP and SOP
{{#include ../../banners/hacktricks-training.md}}
## Iframes in XSS
有3种方式来指示iframe页面的内容：
- 通过`src`指示一个URL（该URL可以是跨源或同源）
- 通过`src`使用`data:`协议指示内容
- 通过`srcdoc`指示内容
**访问父变量和子变量**
```html
```
```html
```
如果您通过 HTTP 服务器（如 `python3 -m http.server`）访问之前的 HTML，您会注意到所有脚本都会被执行（因为没有 CSP 阻止它）。**父级将无法访问任何 iframe 内部的 `secret` 变量**，**只有 if2 和 if3（被视为同站）可以访问原始窗口中的 secret**。\
请注意 if4 被认为具有 `null` 来源。
### 带 CSP 的 Iframes
> [!TIP]
> 请注意，在以下绕过中，响应的 iframed 页面不包含任何阻止 JS 执行的 CSP 头。
`script-src` 的 `self` 值将不允许使用 `data:` 协议或 `srcdoc` 属性执行 JS 代码。\
然而，即使 CSP 的 `none` 值也将允许执行在 `src` 属性中放置 URL（完整或仅路径）的 iframes。\
因此，可以通过以下方式绕过页面的 CSP：
```html
```
注意到**之前的 CSP 仅允许执行内联脚本**。\
然而，**只有 `if1` 和 `if2` 脚本将被执行，但只有 `if1` 能够访问父级秘密**。
.png>)
因此，如果您可以将 JS 文件上传到服务器并通过 iframe 加载，即使 `script-src 'none'`，也有可能**绕过 CSP**。这也**可能通过滥用同站 JSONP 端点来实现**。
您可以通过以下场景进行测试，即使在 `script-src 'none'` 的情况下也会窃取 cookie。只需运行应用程序并使用浏览器访问它：
```python
import flask
from flask import Flask
app = Flask(__name__)
@app.route("/")
def index():
resp = flask.Response('')
resp.headers['Content-Security-Policy'] = "script-src 'self'"
resp.headers['Set-Cookie'] = 'secret=THISISMYSECRET'
return resp
@app.route("/cookie_s.html")
def cookie_s():
return ""
if __name__ == "__main__":
app.run()
```
#### 新的（2023-2025）CSP 绕过技术与 iframes
研究社区继续发现创造性的方法来利用 iframes 以击败限制性政策。以下是过去几年发布的最显著的技术：
* **悬挂标记 / 命名 iframe 数据外泄 (PortSwigger 2023)** – 当一个应用程序反射 HTML 但强 CSP 阻止脚本执行时，您仍然可以通过注入一个 *悬挂* `
```
### Iframe sandbox
iframe中的内容可以通过使用`sandbox`属性受到额外限制。默认情况下，此属性不被应用，这意味着没有限制。
当使用时，`sandbox`属性施加了几个限制：
- 内容被视为来自一个独特的源。
- 任何提交表单的尝试都被阻止。
- 禁止执行脚本。
- 禁用对某些API的访问。
- 防止链接与其他浏览上下文交互。
- 不允许通过`