点击劫持（ClickJacking）全方位详解（攻击类型 + 原理 + 案例 + 完整防御）

1、什么是点击劫持

点击劫持是一种视觉欺骗类网页攻击手段，区别于代码漏洞攻击，核心利用页面层级覆盖欺骗用户操作。

攻击者构造一个透明、不可见的 iframe 页面，覆盖在正常网页上层，用户肉眼看到的是正常页面，但鼠标点击、触屏操作实际上触发的是隐藏 iframe 的功能按钮。用户在完全不知情的情况下，完成攻击者预设的操作，例如授权、关注、转账、开启权限等。

相较于 SQL 注入、XSS、CSRF 漏洞，点击劫持需要用户交互、攻击成本更高，因此在黑产攻击中相对少见。但在钓鱼欺诈、广告作弊、权限窃取、社工攻击场景中依然存在利用价值，是 Web 安全必考漏洞之一。

2、Flash 点击劫持（经典案例）

早期浏览器普遍支持 Flash 插件，由此衍生出经典的 Flash 点击劫持攻击。

攻击者制作趣味点击小游戏，页面展示动态变化的「Click」按钮，诱导用户反复点击。页面底层隐藏了完全透明的 iframe，指向恶意操作页面。
用户每一次点击游戏按钮，实际上都触发了隐藏页面的隐私权限操作。
典型攻击效果：诱导用户多次点击，秘密授权开启电脑摄像头、麦克风权限，实现隐私窃取。

随着现代浏览器全面禁用 Flash，该攻击方式现已基本淘汰，但属于经典面试考点。

3、图片覆盖攻击（XSIO）

XSIO 全称跨站图片覆盖攻击，是点击劫持的衍生攻击方式。

原理：网站未限制 CSS 样式权限，攻击者可控图片样式，设置 position:absolute 绝对定位，可将恶意图片覆盖网页任意位置。

攻击场景：

1. 覆盖官网 Logo、导航栏、功能按钮；
2. 伪装成登录、确认、授权按钮；
3. 图片链接指向恶意钓鱼网站。

用户肉眼无法分辨真假，点击后跳转恶意链接、泄露信息。该攻击无需复杂脚本，仅依靠 CSS 样式滥用即可实现欺骗。

4、拖拽劫持与数据窃取

现代浏览器原生支持 Drag&Drop 拖拽 API，且拖拽操作不受浏览器同源策略限制，成为新型点击劫持攻击入口。

攻击原理：
攻击者搭建隐藏 iframe，诱导用户进行拖拽操作，将用户浏览器内的文本数据、链接内容、表单信息拖拽至攻击者可控页面，直接窃取敏感数据。

相比于普通点击劫持，拖拽劫持无需用户点击按钮，利用用户正常拖拽习惯即可被动窃取数据，隐蔽性更强。

5、触屏劫持（ClickJacking3.0 移动端劫持）

移动端触屏劫持是当前最实用、风险最高的点击劫持变种。

手机触屏操作包含四类核心事件：

1. touchstart：手指触摸屏幕
2. touchmove：手指滑动屏幕
3. touchend：手指离开屏幕
4. touchcancel：系统取消触屏事件

攻击方式：
攻击者在网页嵌套透明 iframe，劫持用户全部触屏操作。移动端浏览器为了界面简洁，默认隐藏地址栏，用户无法分辨当前真实页面域名，欺骗成本极低。

用户看似点击普通按钮，实则完成隐私授权、关注公众号、下载恶意文件、授权登录等高危操作。

6、点击劫持完整防御方案

6.1 传统防御：Frame Busting（JS 防嵌套）

通过 JavaScript 代码判断页面是否被嵌套，强制跳出 iframe：

if (top.location != location){
    top.location=self.location;
}

缺陷（重点考点）：
JS 防御可靠性极低，存在多种绕过方式：

1. 双层 iframe 嵌套可绕过；
2. iframe sandbox 禁用 JS 可让防御代码失效；
3. 浏览器安全策略可拦截 JS 跳转。

因此 JS 防嵌套仅作辅助，不能作为核心防御手段。

6.2 核心防御：X-Frame-Options 响应头（主流方案）

该 HTTP 响应头是行业标准防御点击劫持的方案，兼容所有主流浏览器，包含三个配置项：

1. DENY
   全局禁止当前页面被任何域名、任何页面嵌套 iframe，防御效果最强。
2. SAMEORIGIN
   仅允许同源域名嵌套 iframe，不同域名一律禁止，适合团队内部嵌套场景。
3. ALLOW-FROM origin
   白名单机制，仅允许指定域名嵌套 iframe，精细化权限管控。

6.3 高阶防御：CSP 内容安全策略（最强防御）

X-Frame-Options 属于老旧方案，现代网站优先使用 CSP 防御，可彻底杜绝点击劫持。

配置指令：
frame-ancestors 'self'：仅允许同源嵌套
frame-ancestors none：禁止所有页面嵌套
可完全替代 X-Frame-Options，不支持任何绕过方式，是目前最安全的防御策略。

6.4 辅助防御手段

1. 禁止页面任意用户可控 CSS 绝对定位样式，防止 XSIO 图片覆盖攻击；
2. 移动端开启地址栏常驻展示，降低触屏劫持欺骗性；
3. 限制页面拖拽敏感数据，禁止跨域拖拽传输信息；
4. 禁用页面不必要的第三方 iframe 引用，减少攻击入口。

七、总结

点击劫持属于视觉欺骗型 Web 漏洞，不直接篡改代码、窃取数据，而是利用用户视觉盲区与操作习惯完成恶意行为。
攻击变种包含：Flash 点击劫持、图片覆盖劫持、拖拽数据劫持、移动端触屏劫持。

防御优先级：CSP 策略 ＞ X-Frame-Options ＞ JS 防嵌套代码。
企业生产环境中，优先配置 CSP 与 X-Frame-Options 响应头，可彻底杜绝所有版本的 ClickJacking 攻击。

---

最后

关于网络安全技术储备

学好网络安全不论是就业还是做副业赚钱都不错，但要学会网络安全还是要有一个学习规划。最后大家分享一份全套的网络安全学习资料，给那些想学习网络安全的小伙伴们一点帮助！

对于0基础小白入门：

如果你是零基础小白，想快速入门网络安全是可以考虑的。

一方面是学习时间相对较短，学习内容更全面更集中。

二方面是可以找到适合自己的学习方案

包括：网安成长学习路线图、SRC&黑客文档、护网行动、黑客必读书单、面试题、学习视频等教程。带你从零基础系统性的学好网络安全！

需要的可以微信扫描下方优快云官方认证二维码免费领取【保证100%免费】

👉1.成长路线图&学习规划👈
要学习一门新的技术，作为新手一定要先学习成长路线图，方向不对，努力白费。

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图&学习规划。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

👉2.网安入门到进阶视频教程👈
很多朋友都不喜欢晦涩的文字，我也为大家准备了视频教程，其中一共有21个章节，每个章节都是当前板块的精华浓缩。（全套教程文末领取哈）

👉3.SRC&黑客文档👈
大家最喜欢也是最关心的SRC技术文籍&黑客技术也有收录

SRC技术文籍：

黑客资料由于是敏感资源，这里不能直接展示哦！（全套教程文末领取哈）

👉4.护网行动资料👈
其中关于HW护网行动，也准备了对应的资料，这些内容可相当于比赛的金手指！

👉5.黑客必读书单👈

随着互联网技术的飞速发展，网络安全已经成为了当今科技领域的一大热点。这些SQL注入、CCNA、Web渗透、Linux服务器等，以其强大的语言理解和防御能力，正在守护着我们网络世界。 那以下这些PDF籍就是非常不错的学习资源。

👉6.网络安全岗面试题合集👈
当你自学到这里，你就要开始思考找工作的事情了，而工作绕不开的就是真题和面试题。

这份完整版的网络安全学习资料已经上传优快云，朋友们如果需要可以微信扫描下方优快云官方认证二维码免费领取【保证100%免费】