Clickjacking

O istnieniu tego ataku dowiedziałem się z najnowszego numeru hackin9 7-8/2009 (50).

Te ataki o których informowałem na początku mają jak się potem okazało występowały w kilku wersjach:

1. Dołączany był iframe, który ładował jakieś śmieci,
2. Wklejany był na stronę kod JavaScript.

Idea

W skrócie chodzi o to, aby przejąć kliknięcia Internauty na zarażonej stronie i to bez użycia JavaScriptu czy PHP. Cała sztuczka polega na zabawach z CSS (głównie z-index i opacity). Ukrywa się iframe, który może wzbudzać jakieś wątpliwości, a potem nakłada się ją na stronę w taki sposób aby zakryła tą atakowaną (pozycja absolutna, maksymalna szerokość i wysokość oraz ukrycie pasków przewijania). Potem to już „zmuszenie” użytkownika do kliknięcia.

Kto korzysta z tego?

Głównie spamerzy, którzy chcą zwiększyć sobie ilość kliknięć w reklamy.

Jak się bronić?

Jednym z rozwiązań jest tzw. ucieczka z ramek czyli przekierowanie przeglądarki na „nasz adres”. Robi się to tym dwuliniowym kodem.

if( top != self )
	top.location.href = self.location.href;

Nie wiem dlaczego, ale autor (Marco Lisci - makaroniarz ;) tego artykułu często wspomina że użytkownicy często wyłączają obsługę JS głównie ze względów bezpieczeństwo. Bardzo mnie to zastanawia, bo spotkałem się z opiniami, że tak robi bardzo mały odsetek Internautów. Reszta nie wie lub nie jest zorientowana w tym temacie.

W artykule są podane przykładowe kody html i css. Myślę że warto się tym zainteresować.