【Web安全】点击劫持漏洞

---

前言

本篇文章主要介绍点击劫持漏洞原理、危害以及验证方式，切勿将文中攻击手法用于非授权下渗透攻击行为！！！

---

一、漏洞介绍

点击劫持 (Click Jacking),是一种视觉上的欺骗手段，也被称为UI-覆盖攻击。攻击者通过使用一个透明的iframe，覆盖在一个网页上，然后诱使用户在该页面上进行操作，通过调整iframe页面的位置，可以使得伪造的页面恰好和iframe里受害页面里的一些功能重合(点击按钮或活动选项)，以达到窃取用户信息或者劫持用户操作的目的。

---

二、漏洞原理

主要是利用HTML中iframe便签可以透明的属性进行利用攻击，其原理是通过在原本的网页上覆盖透明的框架并使受害者在不知情的情况下进行点击。漏洞主要是由于未对referer字段来源进行检验，常常配合CSRF和XSS进行组合拳利用。

---

三、实现条件

攻击者创建一个网页，并用iframe包含另一个目标网站。（外部链接）
调整iframe属性使目标网站透明。
根据想要诱导受害者点击目标网站上按键的位置，在自己创建的网站同样的位置上布置一个按钮。
对方在无法看到iframe界面的情况下点击按钮，实际上在目标网站上做了危险操作。（如购买，转账等）

如下图所示