> For the complete documentation index, see [llms.txt](https://hacktricks.xsx.tw/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacktricks.xsx.tw/pentesting-web/xss-cross-site-scripting/iframes-in-xss-and-csp.md).
# Iframes in XSS, CSP and SOP
有3种方法可以指示iframed页面的内容：
* 通过`src`指示URL（URL可能是跨源或同源）
* 通过使用`data:`协议指示内容的`src`
* 通过指示内容的`srcdoc`
**访问父级和子级变量**
```html
```
```html
```
如果您通过http服务器（如`python3 -m http.server`）访问前面的html，您将注意到所有脚本都将被执行（因为没有CSP来阻止它）。**父级无法访问任何iframe中的`secret`变量**，**只有if2和if3（被视为同一站点）中的iframes可以访问原始窗口中的秘密**。\
请注意，if4被视为具有`null`来源。
### 带有CSP的iframes
{% hint style="info" %}
请注意，在以下绕过中，对iframe页面的响应不包含任何阻止JS执行的CSP标头。
{% endhint %}
`script-src`的`self`值不允许使用`data:`协议或`srcdoc`属性执行JS代码。\
然而，即使CSP的`none`值也允许执行将URL（完整或仅路径）放在`src`属性中的iframes。\
因此，可以通过以下方式绕过页面的CSP：
```html
```
请注意，**先前的 CSP 仅允许执行内联脚本**。\
然而，**只有 `if1` 和 `if2` 脚本将被执行，但只有 `if1` 能够访问父级秘密**。
因此，**如果您可以将 JS 文件上传到服务器并通过 iframe 加载它，即使使用 `script-src 'none'`，也可以绕过 CSP**。这也可以**潜在地通过滥用同站点 JSONP 端点来实现**。
您可以使用以下场景测试此功能，在即使使用 `script-src 'none'`，也可以窃取 cookie。只需运行应用程序并在浏览器中访问它：
```python
import flask
from flask import Flask
app = Flask(__name__)
@app.route("/")
def index():
resp = flask.Response('')
resp.headers['Content-Security-Policy'] = "script-src 'self'"
resp.headers['Set-Cookie'] = 'secret=THISISMYSECRET'
return resp
@app.route("/cookie_s.html")
def cookie_s():
return ""
if __name__ == "__main__":
app.run()
```
### 在野外发现的其他有效载荷
```html
```
### Iframe 沙盒
通过使用 `sandbox` 属性，可以对 iframe 中的内容施加额外的限制。默认情况下，此属性未应用，意味着没有任何限制。
当使用时，`sandbox` 属性会施加几项限制：
* 将内容视为来自唯一来源。
* 阻止任何尝试提交表单的行为。
* 禁止执行脚本。
* 禁用对某些 API 的访问。
* 防止链接与其他浏览上下文进行交互。
* 禁止使用 `