در حال بارگذاری...
تست آسیب‌پذیری Clickjacking که در آن مهاجم کاربر را فریب می‌دهد تا روی عنصر پنهان کلیک کند.
اهداف این درس
Clickjacking (UI Redress Attack) حمله‌ای است که در آن مهاجم کاربر را فریب می‌دهد تا روی عنصر پنهان در صفحه دیگر کلیک کند. مهاجم از iframe شفاف برای پوشاندن صفحه هدف استفاده می‌کند.
حمله‌ای که در آن مهاجم کاربر را فریب می‌دهد تا روی عنصر پنهان کلیک کند.
1<style>2 iframe {3 position: absolute;4 opacity: 0;5 width: 300px;6 height: 200px;7 }8 button {9 position: absolute;10 top: 50px;11 left: 50px;12 }13</style>1415<button>Click me for a prize!</button>16<iframe src="https://target.com/delete-account"></iframe>هدرهای X-Frame-Options و CSP frame-ancestors را بررسی کنید.
هشدار
frame busting قابل دور زدن است. از X-Frame-Options یا CSP استفاده کنید.
توصیه عملی
از CSP frame-ancestors به جای X-Frame-Options استفاده کنید زیرا انعطاف‌پذیرتر است.
X-Frame-Options از Clickjacking جلوگیری می‌کند.
CSP با frame-ancestors جایگزین مدرن است.
frame busting قابل دور زدن است.
هر صفحه حساس باید محافظت Clickjacking داشته باشد.
کدام هدر از Clickjacking جلوگیری می‌کند؟
Clickjacking چیست؟
Clickjacking حمله‌ای است که در آن مهاجم کاربر را فریب می‌دهد تا روی عنصر پنهان در صفحه دیگر کلیک کند.
X-Frame-Options چیست؟
X-Frame-Options هدر HTTP است که از بارگذاری صفحه در iframe جلوگیری می‌کند.