# Roubar postmessage modificando a localização do iframe {{#include ../../banners/hacktricks-training.md}} ## Mudando as localizações de iframes filhos De acordo com [**este artigo**](https://blog.geekycat.in/google-vrp-hijacking-your-screenshots/), se você puder iframe uma página da web sem o X-Frame-Header que contém outro iframe, você pode **mudar a localização desse iframe filho**. Por exemplo, se abc.com tiver efg.com como iframe e abc.com não tiver o cabeçalho X-Frame, eu poderia mudar o efg.com para evil.com de origem cruzada usando **`frames.location`**. Isso é especialmente útil em **postMessages** porque se uma página estiver enviando dados sensíveis usando um **wildcard** como `windowRef.postmessage("","*")`, é possível **mudar a localização do iframe relacionado (filho ou pai) para um local controlado por atacantes** e roubar esses dados. ```html