（四）Clickjacking-点击劫持

最新推荐文章于 2024-04-28 21:30:00 发布

她总是阴雨天

最新推荐文章于 2024-04-28 21:30:00 发布

阅读量288

点赞数

分类专栏： web安全

本文链接：https://blog.csdn.net/weixin_43047908/article/details/115445772

版权

web安全专栏收录该内容

16 篇文章 4 订阅

订阅专栏

什么是点击劫持

Clickjacking是一种基于界面的攻击，其中，通过诱骗用户单击诱饵网站中的某些其他内容，诱骗用户单击隐藏网站上的可操作内容。

考虑以下示例：

网络用户访问诱饵网站（也许这是电子邮件提供的链接），然后单击按钮以赢取奖金。不知不觉中，它们已被攻击者欺骗，诱使他们按下了其他隐藏按钮，从而导致了另一个站点上的帐户付款。这是一个点击劫持攻击的示例。该技术取决于在iframe中包含按钮或隐藏链接的不可见，可操作的网页（或多个页面）的合并。iframe覆盖在用户预期的诱饵网页内容之上。

此攻击与CSRF攻击的不同之处在于，要求用户执行按钮单击之类的操作，而CSRF攻击则取决于在用户不知情或没有输入的情况下伪造整个请求。

通常通过使用CSRF token来提供针对CSRF攻击的保护：令牌是特定于会话的，一次性使用的数字或随机数。

CSRF token 无法缓解Clickjacking攻击，因为目标会话是使用从真实网站加载的内容建立的，并且所有请求都在域内发生。CSRF token被放入请求中，并作为正常行为会话的一部分传递给服务器。与普通用户会话相比，差异在于该过程发生在隐藏的iframe中。

如何构建基本的点击劫持攻击

点击劫持攻击使用CSS创建和操纵图层。攻击者将目标网站合并为诱饵网站上覆盖的iframe图层。使用样式标签和参数的示例如下

<head>
  <style>
    #target_website {
      position:relative;
      width:128px;
      height:128px;
      opacity:0.00001;
      z-index:2;
      }
    #decoy_website {
      position:absolute;
      width:300px;
      height:400px;
      z-index:1;
      }
  </style>
</head>
...
<body>
  <div id="decoy_website">
  ...decoy web content here...
  </div>
  <iframe id="target_website" src="https://vulnerable-website.com">
  </iframe>
</body>

目标网站iframe定位在浏览器中，因此使用适当的宽度和高度位置值，目标动作与诱饵网站存在精确的重叠。无论屏幕大小，浏览器类型和平台如何，绝对位置值和相对位置值均用于确保目标网站准确地与诱饵重叠。Z索引确定iframe和网站层的堆叠顺序。不透明度值定义为0.0（或接近0.0），以使iframe内容对用户透明。浏览器点击劫持保护可能会应用基于阈值的iframe透明度检测（例如，Chrome 76包含此行为，但Firefox不包含）。攻击者选择不透明度值，以便在不触发保护行为的情况下获得所需的效果。

实例

Basic clickjacking with CSRF token protection

她总是阴雨天

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
（四）Clickjacking-点击劫持

什么是点击劫持Clickjacking是一种基于界面的攻击，其中，通过诱骗用户单击诱饵网站中的某些其他内容，诱骗用户单击隐藏网站上的可操作内容。考虑以下示例：网络用户访问诱饵网站（也许这是电子邮件提供的链接），然后单击按钮以赢取奖金。不知不觉中，它们已被攻击者欺骗，诱使他们按下了其他隐藏按钮，从而导致了另一个站点上的帐户付款。这是一个点击劫持攻击的示例。该技术取决于在iframe中包含按钮或隐藏链接的不可见，可操作的网页（或多个页面）的合并。iframe覆盖在用户预期的诱饵网页内容之上。此攻击与CS
复制链接

扫一扫