搜索

[21694] 2021-02-21_Web安全：点击劫持

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-02-21_Web安全：点击劫持 W e b 安 全 ： 点 击 劫 持 L e m o n S e c   2 0 2 1 - 0 2 - 2 1 点 击 劫 持 又 称 为 U I 覆 盖 攻 击 。 这 类 攻 击 利 用 了 H T M L 中 < i f r a m e > 等 标 签 的 透 明 属 性 来 诱 使 用 户 在 不 知 情 的 情 况 下 ， 点 击 内 嵌 在 原 始 网 页 中 的 透 明 网 页 。 此 刻 ， 透 明 网 页 中 的 恶 意 代 码 自 动 运 行 ， 对 用 户 的 个 人 信 息 及 个 人 利 益 造 成 不 可 预 测 的 威 胁 。 点 击 劫 持 这 个 词 是 由 互 联 网 安 全 专 家 H a n s e n 与 G r o s s m a n n 首 创 的 ， 点 击 劫 持 （ c l i c k h i j a c k i n g ） 事 实 上 是 由 点 击 （ c l i c k ） 与 劫 持 （ h i j a c k i n g ） 两 个 词 组 合 而 来 的 。 关 于 点 击 劫 持 的 防 御 ， 微 软 专 门 设 计 了 一 个 H T T P 响 应 头 x - f r a m e - o p t i o n s 来 防 御 利 用 < f r a m e > 标 签 、 < i f r a m e > 标 签 或 者 < o b j e c t > 标 签 形 成 的 点 击 劫 持 。 H T T P 响 应 头 x - f r a m e - o p t i o n s 是 用 来 给 浏 览 器 指 示 可 否 允 许 一 个 页 面 在 < f r a m e > 标 签 、 < i f r a m e > 标 签 或 者 < o b j e c t > 标 签 中 展 现 的 标 识 。 网 站 可 以 使 用 此 功 能 来 确 保 其 内 容 未 被 嵌 入 其 他 的 网 站 ， 从 而 也 避 免 了 点 击 劫 持 。 某 站 遭 遇 点 击 劫 持 ， 我 们 登 录 系 统 的 时 候 ， 准 备 输 入 用 户 名 与 密 码 ， 如 图 1 所 示 。 图 1     登 录 系 统 用 户 名 与 密 码 输 入 完 毕 ， 当 单 击 登 录 的 时 候 ， 却 发 现 页 面 如 图 2 所 示 。
图 2     点 击 劫 持 这 是 本 地 计 算 机 的 C o o k i e 文 本 数 据 。 由 此 可 见 ， 网 站 应 该 是 被 植 入 了 一 段 显 示 本 地 计 算 机 C o o k i e 的 J a v a S c r i p t 代 码 。 当 再 次 单 击 登 录 的 时 候 ， 浏 览 器 突 然 跳 转 至 一 个 陌 生 的 网 站 。 第 二 天 ， 意 外 发 现 用 户 名 与 密 码 已 被 泄 露 ， 于 是 ， 即 刻 修 改 了 用 户 名 与 密 码 。 随 后 ， 经 安 全 检 查 ， 发 现 这 个 登 录 框 的 表 面 其 实 还 镶 嵌 着 一 个 透 明 的 、 完 全 一 样 的 登 录 框 ， 此 透 明 登 录 框 的 作 用 就 是 截 获 用 户 输 入 的 用 户 名 与 密 码 及 执 行 其 他 恶 意 代 码 。 微 信 公 众 号 ： 计 算 机 与 网 络 安 全 I D ： C o m p u t e r - n e t w o r k 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理