HTML5安全攻防之劫持攻击

最新推荐文章于 2025-06-27 15:16:18 发布
原创 最新推荐文章于 2025-06-27 15:16:18 发布 · 475 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#html5 #安全 #前端

本文探讨HTML5中的安全问题，主要关注ClickJacking和CookieJacking攻击。ClickJacking利用透明iframe层诱使用户在不知情的情况下执行恶意操作。CookieJacking则通过拖放API劫持Cookie。防止这类攻击的方法包括设置X-Frame-Options头部和使用JavaScript检测。然而，许多网站仍未采取相应防护措施，提醒开发者重视此类隐蔽攻击。

ClickJacking-点击劫持

这种攻击方式正变得越来越普遍。被攻击的页面作为iframe，用Mask的方式设置为透明放在上层，恶意代码偷偷地放在后面的页面中，使得一个页面看起来似乎是安全的，然后诱骗用户点击网页上的内容，达到窃取用户信息或者劫持用户操作的目的。下图中，欺诈的页面放置在下层，被攻击的银行页面作为透明的层放置在上层，用户看到的是欺诈页面上显示的信息并进行输入和点击，但是真正的用户行为是发生在银行页面上的。

 

想象一下，点击劫持可以诱使你发布一条虚假微博、或者发送一封虚假邮件甚至盗取你的个人信息。例如下图可以诱使我们发布一条虚假的Twitter消息。

这里有一个测试工具clickjacktest可以检测你的页面是否有点击劫持的风险，你可以输入一个网址并点击Test，如果页面可以正常显示并加载，那么表示这个页面存在被点击劫持攻击的风险，如果页面显示为一片空白，那么表示页面比较安全。

CookieJacking-Cookie劫持

ClickJacking只涉及点击操作，但是HTML5的拖放API使得这种攻击扩大到拖放操作。因为现在Web应用里，有大量需要用户拖放完成的操作。在同源策略里，一个域的Cookie只能被本域所访问，但是拖放操作是不受同源策略限制的，这样利用拖放操作、XSS和其他技巧，可以构造跨域合法请求，劫持Cookie。ssl证书申请

把Cookie从一个域拖拽到另外一个域里

实现原理其实和ClickJacking类似，只要欺骗用户进行拖放行为，就可以把用户某个域的信息发送到另外一个域里。这个其实很容易做到，之前有一个研究者就在Facebook上建立

最低0.47元/天 解锁文章
wecloud1314
关注
抵御攻击 - H5超链接审计功能(Ping)发动DDoS攻击
🏆 前端领域优质创作者
10-09 1935
DDoS攻击技术(新型) 近期，据研究人员发现攻击者利用 HTML5 超链接审计功能(Ping标签)进行大规模 DDoS 攻击，在此次攻击活动中，DDoS 攻击请求峰值达到了 7500 次请求/秒，在大概 4 个小时内攻击者总共利用了 4000 多个不同的用户向攻击目标发送了超过 7000 万次恶意请求。 Imperva 的研究人员在其发布的安全分析报告中指出：我们对此次 DDoS 攻击进行了深...
Python全栈（五）Web安全攻防之8.XSS攻击（上）
CUFEECR的博客
03-13 5244
绕过SQL注入包括绕过去除注释符、绕过剔除and和or和绕过去除空格3种形式，各有自己的绕开方法。XSS是恶意攻击者往web页面里插入恶意script代码，当用户浏览该页时，script代码会被执行，达到恶意攻击用户的目的；cookie包含有关用户的信息；XSS分为反射型、存储型和DOM型3种；可以通过Python利用cookie会话劫持；XSS可以使用JS篡改网页链接，还可以额使用beef-xss实现；还可以通过克隆登录页面获取用户信息，如setoolkit工具。XSS攻击包括闭合标签和属性中实现等方式。
Web安全之点击劫持（ClickJacking）
weixin_33871366的博客
03-06 1095
点击劫持（ClickJacking）是一种视觉上的欺骗手段。大概有两种方式，一是攻击者使用一个透明的iframe，覆盖在一个网页上，然后诱使用户在该页面上进行操作，此时用户将在不知情的情况下点击透明的iframe页面；二是攻击者使用一张图片覆盖在网页，遮挡网页原有位置的含义； iframe覆盖 直接示例说明 1. 假如我们在百度有个贴吧，想偷偷让别人关注它。于是我们准备一个页面： &l...
web安全之点击劫持攻击（clickjack）
_Co1a
12-08 1950
点击劫持clickjack 点击劫持 (Clickjacking) 技术又称为界面伪装攻击 (UI redress attack )，是一种视觉上的欺骗手段。攻击者使用一个或多个透明的 iframe 覆盖在一个正常的网页上，然后诱使用户在该网页上进行操作，当用户在不知情的情况下点击透明的 iframe 页面时，用户的操作已经被劫持到攻击者事先设计好的恶意按钮或链接上。攻击者既可以通过点击劫持设计一个独立的恶意网站，执行钓鱼攻击等；也可以与 XSS 和 CSRF 攻击相结合，突破传统的防御措施，提升漏洞的危害
Web 安全之点击劫持（Clickjacking）攻击详解
路多辛的所思所想
01-27 2711
点击劫持（Clickjacking）攻击，又称为界面伪装攻击，是一种利用视觉欺骗手段进行攻击的方式。攻击者通过技术手段欺骗用户点击本没有打算点击的位置，当用户在被攻击者攻击的页面上进行操作时，实际点击结果被劫持，从而被攻击者利用。这种攻击方式利用了用户对网站的信任，通过覆盖层（通常是透明的iframe）覆盖在另一个网页之上，使受害者无法察觉。
HTML5安全攻防详析之完结篇：HTML5对安全的改进
蒋宇捷的专栏
01-15 1万+
HTML5对旧有的安全策略进行了非常多的补充。        一、iframe沙箱        HTML5为iframe元素增加了sandbox属性防止不信任的Web页面执行某些操作，例如访问父页面的DOM、执行脚本、访问本地存储或者本地数据库等等。但是这个安全策略又会带来另外的风险，这很有趣，例如ClickJacking攻击里阻止JavaScript脚本的运行来绕过JavaScript的防御方
Web安全之XSS攻击与防御小结
10-17
攻击者通过在Web页面中插入恶意的JavaScript代码，当受害者访问这些被污染的页面时，恶意脚本将被执行，从而可能导致敏感信息泄露、账户劫持等各种安全问题。 XSS攻击主要分为两种类型：反射型和存储型。反射型XSS...
30、DNS安全攻防：应用层攻击与防御策略
最新发布
java5的博客
06-27 102
本文深入探讨了DNS安全相关的应用层攻击类型及其防御策略。重点分析了缓冲区溢出攻击、DNS注册攻击、DNS欺骗、缓存投毒和DNS劫持等常见攻击方式，并详细介绍了包括DNSSEC、配置审计工具、名称服务器冗余、动态DNS安全控制等防御措施。通过案例分析展示了如何综合运用多层次安全策略来保护DNS基础设施。文章旨在帮助管理员全面了解DNS安全威胁并提供有效的防护方法。
jsonp安全攻防技术（JSON劫持、XSS漏洞）
tiancityycf的专栏
06-07 4218
关于 JSONP JSONP 全称是 JSON with Padding ，是基于 JSON 格式的为解决跨域请求资源而产生的解决方案。他实现的基本原理是利用了 HTML 里 <script></script> 元素标签，远程调用 JSON 文件来实现数据传递。如要在 a.com 域下获取存在 b.com 的 JSON 数据( getUsers.JSON )： {"id":"1","name":"名字"} 那么他们可以首先通过 JSONP 的“ Padding...
html5点击,点击劫持ClickJacking+HTML5
weixin_35983438的博客
06-21 322
学习笔记而已 ～～～～～～～～～～～～～～～～～～～～～～～～～～点击劫持是一种视觉上的欺骗手段，攻击者使用一个透明的，不可见的iframe 覆盖在一个网页上，然后诱使用户在该页面点击透明的iframe 网页，通过调整iframe页面的位置，可以诱使用户恰好点击在iframe页面的一些功能性按钮上例子：Clickyou can you up!flash 点击劫持，图片覆盖攻击 XSIO 还有...
html5 防御,基于HTML5的CSRF攻击与防御技术研究
weixin_35353904的博客
06-19 229
摘要：HTML5技术凭借其新的功能和特性,在丰富了Web应用的同时,也存在诸多漏洞.虽然随着各种Web防御工具的开发和安全防范技术的提高,减少了诸如SQL注入,跨站脚本(XSS)等Web应用程序的漏洞.然而,日前一些窃取和利用用户存储在浏览器中的会话等敏感信息的攻击仍在不断的涌现,CSRF攻击就是其中一种重要的攻击方式,它被列为基于HTML5的Web应用的前十大攻击方式之一.可是,目前Web开发人...
点击劫持攻击
qq_45666837的博客
05-27 368
点击劫持攻击 点击劫持攻击允许恶意页面 以用户的名义 点击"受害网页" 原理 我们以 FaceBook 为例子,解释点击劫持是如何完成的: 访问者被恶意页面吸引。怎样吸引的不重要。 页面上有一个看起来无害的链接（例如：“变得富有”或者“点我，超好玩！”）。 恶意页面在该链接上方放置了一个透明的 <iframe>，其 src 来自于 facebook.com，这使得“点赞”按钮恰好位于该链接上面。这通常是通过 z-index 实现的。 用户尝试点击该链接时，实际上点击的是“点赞”按钮。 案例
剖析DNS劫持攻击原理及其防御措施，零基础入门到精通，收藏这篇就够了
leah126的博客
10-15 3539
DNS劫持可导致用户访问到虚假网站，还可能使攻击者获取用户的敏感信息或利用受感染的计算机进行其他恶意活动。了解清楚DNS劫持攻击的原理有助于我们提升安全意识，避免个人信息泄露及财产损失。
video标签在h5中被劫持问题
weixin_52901235的博客
11-26 994
video标签在h5中被劫持问题 注：如果出现跨域问题需要在服务器上设置一下不让跨域。
HTML5页面被运营商DNS劫持问题及解决方案，app中h5页面源码的获取
热门推荐
jia12216的专栏
10-28 2万+
App应用的html5页面经过运营商的移动网络（非wifi网络），被强制插入广告和手机管家的多余信息，在有些场景严重干扰用户的操作，也产生在美丽的页面上加入了不协调的悬浮层。并且这个手机管家类的悬浮层有时间出现，有时间不出现，神出鬼没，虽然你可以通过点击关闭,关键是突然出现，有时候还关闭不了。总之用户不喜欢这种用户不需要的选择，所以干掉它吧！ 在app中h5页面源码，可以通过下面代码获得，其
原来我一直被骗了！Burp suite诱导劫持攻击【附工具】
jijisaq的博客
04-20 1780
一、点击劫持点击劫持是一种基于界面的攻击，用户通过点击诱饵网站中的一些其他内容被诱骗点击隐藏网站上的可操作内容。举例来说，一个网络用户可能会访问一个诱饵网站（可能是通过电子邮件提供的链接），并点击一个按钮以赢取奖品。然而，他们可能会在不知情的情况下点击了另一个隐藏按钮，导致了另一个网站上的帐户被用来支付款项。这就是点击劫持攻击的一个例子。
html代码劫持教程,黑帽来源页劫持代码以及如何防范
weixin_33219985的博客
06-07 974
今天在群里看到一个朋友的企业站点的 友链目标站点 被篡改后，点击友链目标站点导致当前页面被劫持了的问题，然后在网上搜索了一下。总结如下：默认情况下当在页面中打开新页面的时候，新的浏览上下文会对来源页窗口有控制权限 window.opener ,通过该属性可以实现跳转来源页窗口的地址。A页面代码：链接B页面代码：if (window.opener) {window.opener.location =...
html攻击原理,HTML5新标签攻击安全攻防详解
weixin_36217920的博客
06-05 218
HTML5新标签攻击安全攻防详解HTML5引入的新标签有一些有趣的属性，例如poster、autofocus、onerror、formaction、oninput，这些属性都可以用来执行javascript，这会导致XSS和CSRF跨域请求伪造。HTML5去掉了很多过时的标签，例如和，同时又引入了许多有趣的新标签，例如和标签可以允许动态的加载音频和视频。HTML5引入的新标签包括、、、等等，而这些...
html标签攻击,HTML5安全攻防之新标签攻击
weixin_39686634的博客
06-21 294
HTML5引入的新标签有一些有趣的属性，例如poster、autofocus、onerror、formaction、oninput，这些属性都可以用来执行javascript。这会导致XSS和CSRF跨域请求伪造。HTML5去掉了很多过时的标签，例如和，同时又引入了许多有趣的新标签，例如和标签可以允许动态的加载音频和视频。HTML5引入的新标签包括、、、、等等，而这些标签又有一些有趣的属性，例如p...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值