点击劫持(ClickJacking)

点击劫持

  • 什么是点击劫持?
  • 利用方法
  • 进阶(本质上还是UI覆盖攻击,只是实现手段不一样)
  • 防御

什么是点击劫持?

点击劫持(ClickJacking),又称“UI-覆盖攻击”,通过覆盖不可见的框架误导受害者进行点击而造成的攻击行为。其本质是一种视觉欺骗。

利用方法

利用iframe或其他标签的属性构造一个精心构造的页面,诱导受害者进行点击。





点击劫持


     
		   某XXX美女隐私照片儿
          
          
     


点击劫持(ClickJacking)_第1张图片
如图,精选构造页面,通过诱导受害者进行点击
点击劫持(ClickJacking)_第2张图片
点击后提示加入成功,成功完成点击劫持。上面的示例只是半透明帮助理解点击劫持,实际攻击者进行攻击时透明设置为0,受害者是很难察觉出嵌套了其他的页面的。如下图。
点击劫持(ClickJacking)_第3张图片

进阶(本质上还是UI覆盖攻击,只是实现手段不一样)

  • Flash点击劫持
  • 图片覆盖攻击(XSIO)
  • 拖拽劫持,主要用于数据窃取
  • 触屏劫持(TapJacking)

防御

X-FRAME-OPTIONS是目前最可靠的方法。在返回头中设置 X-FRAME-OPTIONS。

你可能感兴趣的:(web安全总结)