# Steal postmessage modifying iframe location {{#include ../../banners/hacktricks-training.md}} ## Cambiare le posizioni degli iframe figli Secondo [**questo articolo**](https://blog.geekycat.in/google-vrp-hijacking-your-screenshots/), se puoi inserire un iframe in una pagina web senza X-Frame-Header che contiene un altro iframe, puoi **cambiare la posizione di quell'iframe figlio**. Ad esempio, se abc.com ha efg.com come iframe e abc.com non ha l'intestazione X-Frame, potrei cambiare efg.com in evil.com cross origin usando **`frames.location`**. Questo è particolarmente utile in **postMessages** perché se una pagina sta inviando dati sensibili utilizzando un **wildcard** come `windowRef.postmessage("","*")`, è possibile **cambiare la posizione dell'iframe correlato (figlio o genitore) in una posizione controllata dall'attaccante** e rubare quei dati. ```html