¿Qué tan explotable es un sitio que escucha los mensajes del navegador de cualquier persona?
Estoy trabajando en un sitio donde he encontrado algunos problemas con iframe. El caso es que el sitio A tiene un iframe del sitio B, y el sitio A escucha "mensajes" de en cualquier lugar y luego puede realizar dos acciones diferentes cuando llega un mensaje:
- Establecer document.location="datos de mensajes entrantes"
- Cree un formulario y configure el valor del atributo de acción en "datos de mensajes entrantes", agréguelo al DOM y luego envíe el formulario.
Esto significa que puedo configurar el sitio Evil, incluir un iframe del sitio A, y luego comenzar a enviar mensajes arbitrarios, por ejemplo "javascript: alert (1)", que en ambos casos anteriores ejecutará el javascript en el iframe contexto. Antes de informarle esto a las personas para las que trabajo, necesito tener un escenario en el que este sea un problema importante. Y aquí es donde se complica, porque realmente no puedo encontrar un escenario en el que este sea un problema importante. Las ideas que tengo son:
- Puedo ejecutar javascript en el contexto del sitio A, pero no puedo obtener cookies debido a SoP.
- Podría configurar un agente de escucha clave en el sitio Evil y hacer que el iframe del sitio A se llene de la pantalla y solicite un inicio de sesión, de esa manera, cosechará los inicios de sesión para el sitio A. Esto requeriría un poco de ingeniería social para funcionar correctamente.
Pero esto es lo mejor que se me ocurre, así que mi pregunta es: ¿he pasado por alto algo por completo? Buscar en Google no ofrece ninguna otra opción.
EDITAR:
Obviamente, esto abre el sitio A (para quien trabajo) para XSS a través del sitio B (que es una compañía semi conocida, pero aún así). Otro punto que estoy pensando en hacer es ¿por qué demonios alguien haría ALGO de esta manera? ¿Crear un formulario y enviar y responder con algunos datos recibidos? No puedo encontrar una buena razón para hacerlo de esta manera, ¿quizás alguna de ustedes puede ser buena gente?
EDIT2:
Parece que no hay manera de pasar por alto la Política de Same Origin aunque puedo ejecutar un javascript arbitrario en el contexto del Sitio A a través del iframe ubicado en Site Evil. Así que no hay nada acerca de esta "vulnerabilidad" que lo haga diferente a un atacante para que un usuario haga clic en un enlace arbitrario.