親ページ message listener フィンガープリント
複数の postMessage payload を親へ送り、応答や副作用から listener の存在を観察します。
sandbox ポリシー別の挙動
| ポリシー | 想定結果 |
|---|---|
| sandbox 未指定 | 動作 |
sandbox="allow-scripts" | 動作 |
sandbox="" (最も厳格) | ブロック |
Embed スニペット
このスニペットは埋め込み専用ページを使用します。自サービスに貼り付けてレンダリング/ブロックの挙動を確認してください。
<iframe src="https://xss-playground.com/embed/parent-message-listener-probe?lang=ja" title="XSS Playground - 親ページ message listener フィンガープリント" width="600" height="420" loading="lazy" referrerpolicy="strict-origin-when-cross-origin"></iframe>
実行
target origin
// ログなし
親から受け取った応答
// 応答なし
解説
- 親ページの message listener を直接読むことはできませんが、複数の payload を送り、応答や表示変化、ルーティング変化を観察できます。
- origin 検証なしで routing、auth、resize、close などを行う listener があると、iframe が親の動作に影響できます。
- origin allowlist、message schema 検証、想定外 message の無視、重要操作のユーザー確認で防ぎます。