UI Redressing 漏洞

UI Redressing，也被称为“点击劫持”（Clickjacking），是一种恶意攻击手段，攻击者通过在用户不知情的情况下，利用透明的或不透明的层来诱骗用户在另一个页面上点击按钮或链接，从而执行非本意的操作。这种攻击通常涉及到在攻击者控制的页面上使用iframe嵌入目标网站的页面，并精确地对齐这些页面，使得用户在点击攻击者页面上的可见元素时，实际上是在目标网站上执行了操作。

UI Redressing的危害极大，攻击者可以利用这种技术进行信息窃取、网络钓鱼、诈骗等恶意活动。例如，攻击者可以在受害者的银行登录页面上覆盖一个透明的登录表单，以此来获取用户的用户名和密码。

要防止UI Redressing攻击，即点击劫持，可以通过在页面头部添加特定的HTTP头部来实现：

1. X-Frame-Options: 这是一个HTTP响应头，用来告诉浏览器是否应该在frame中加载页面。可以设置为DENY或SAMEORIGIN来防止页面被嵌入到其他网站的frame中。例如，在Apache服务器中，可以通过添加以下配置来设置这个头部：

   Header always set X-Frame-Options "SAMEORIGIN"

   如果是设置为DENY，则可以这样配置：

   Header set X-Frame-Options "DENY"

2. Content Security Policy (CSP): 使用CSP的frame-ancestors指令可以控制页面是否可以在frame中被嵌入。例如：

   Content-Security-Policy: frame-ancestors 'none';