常见的web攻击方式之clickjacking点击劫持

最新推荐文章于 2024-02-14 08:15:00 发布

慕斯策划一场流浪

最新推荐文章于 2024-02-14 08:15:00 发布

阅读量316

点赞数

分类专栏： web安全文章标签： node.js javascript 安全

本文链接：https://blog.csdn.net/qq_16049879/article/details/104771638

版权

点击劫持是一种视觉欺骗的攻击技术，通过iframe嵌入目标网站并设为透明，诱导用户点击。攻击者可通过http://localhost:4000/clickjacking.html模拟此攻击。防范点击劫持主要依靠设置X-FRAME-OPTIONS响应头，包括DENY、SAMEORIGIN和ALLOW-FROM等策略，或者使用JavaScript检测页面是否在iframe内运行。

摘要由CSDN通过智能技术生成

定义

点击劫持是一种视觉欺骗的攻击手段。
攻击者将需要攻击的网站通过frame嵌套的方式嵌入自己的网页中，并将 iframe设置为透明，在页面中透出一个按钮诱导用户点击。

模拟攻击

登录http://localhost:4000/clickjacking.html

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>点击劫持</title>
    <style>
        iframe { opacity: 0; }
    </style>
</head>
<body>
    <button>最新动态</button>
    <img src="pic.jpg" alt="">
    <iframe src="http://localhost:3000" frameborder="0" scrolling="no">
        <html>
            <head>
                <meta charset="UTF-8">