# Steal postmessage modifying iframe location {{#include ../../banners/hacktricks-training.md}} ## Promena lokacija child iframes Prema [**ovom izveštaju**](https://blog.geekycat.in/google-vrp-hijacking-your-screenshots/), ako možete da iframe-ujete veb stranicu bez X-Frame-Header koja sadrži drugi iframe, možete **promeniti lokaciju tog child iframe-a**. Na primer, ako abc.com ima efg.com kao iframe i abc.com nema X-Frame header, mogao bih da promenim efg.com u evil.com cross origin koristeći **`frames.location`**. Ovo je posebno korisno u **postMessages** jer ako stranica šalje osetljive podatke koristeći **wildcard** kao što je `windowRef.postmessage("","*")`, moguće je **promeniti lokaciju povezanog iframe-a (child ili parent) na lokaciju koju kontroliše napadač** i ukrasti te podatke. ```html