# Bypassing SOP with Iframes - 1 {{#include ../../banners/hacktricks-training.md}} ## Iframes in SOP-1 U ovom [**izazovu**](https://github.com/terjanq/same-origin-xss) koji su kreirali [**NDevTK**](https://github.com/NDevTK) i [**Terjanq**](https://github.com/terjanq) potrebno je da iskoristite XSS u kodiranom ```javascript const identifier = "4a600cd2d4f9aa1cfb5aa786" onmessage = (e) => { const data = e.data if (e.origin !== window.origin && data.identifier !== identifier) return if (data.type === "render") { renderContainer.innerHTML = data.body } } ``` Glavni problem je što glavna stranica koristi DomPurify za slanje `data.body`, tako da da biste poslali svoje HTML podatke tom kodu, morate **zaobići** `e.origin !== window.origin`. Hajde da vidimo rešenje koje predlažu. ### SOP zaobilaženje 1 (e.origin === null) Kada je `//example.org` ugrađen u **sandboxed iframe**, tada će **origin** stranice biti **`null`**, tj. **`window.origin === null`**. Tako da jednostavno ugrađivanjem iframe-a putem `