# Bypassing SOP with Iframes - 1 {{#include ../../banners/hacktricks-training.md}} ## Iframes in SOP-1 У цьому [**виклику**](https://github.com/terjanq/same-origin-xss), створеному [**NDevTK**](https://github.com/NDevTK) та [**Terjanq**](https://github.com/terjanq), вам потрібно експлуатувати XSS у закодованому ```javascript const identifier = "4a600cd2d4f9aa1cfb5aa786" onmessage = (e) => { const data = e.data if (e.origin !== window.origin && data.identifier !== identifier) return if (data.type === "render") { renderContainer.innerHTML = data.body } } ``` Основна проблема полягає в тому, що [**головна сторінка**](https://so-xss.terjanq.me) використовує DomPurify для відправки `data.body`, тому, щоб надіслати свої власні html дані до цього коду, вам потрібно **обійти** `e.origin !== window.origin`. Давайте подивимося на рішення, яке вони пропонують. ### SOP обхід 1 (e.origin === null) Коли `//example.org` вбудовано в **пісочницю iframe**, тоді **походження** сторінки буде **`null`**, тобто **`window.origin === null`**. Тож, просто вбудувавши iframe через `