# Bypassing SOP with Iframes - 1 {{#include ../../banners/hacktricks-training.md}} ## Iframes in SOP-1 Neste [**desafio**](https://github.com/terjanq/same-origin-xss) criado por [**NDevTK**](https://github.com/NDevTK) e [**Terjanq**](https://github.com/terjanq), você precisa explorar um XSS no código. ```javascript const identifier = "4a600cd2d4f9aa1cfb5aa786" onmessage = (e) => { const data = e.data if (e.origin !== window.origin && data.identifier !== identifier) return if (data.type === "render") { renderContainer.innerHTML = data.body } } ``` O principal problema é que a [**página principal**](https://so-xss.terjanq.me) usa DomPurify para enviar o `data.body`, então, para enviar seus próprios dados html para esse código, você precisa **burlar** `e.origin !== window.origin`. Vamos ver a solução que eles propõem. ### Bypass SOP 1 (e.origin === null) Quando `//example.org` é incorporado em um **iframe sandboxed**, então a **origem** da página será **`null`**, ou seja, **`window.origin === null`**. Portanto, apenas incorporando o iframe via `