Hijack攻击揭秘
概述
Clickjacking是最近新兴的针对WEB前端的攻击手段。它通常使用一个ifream覆盖掉当前页面,欺骗用户点击iframe中的恶意内容。
Likejacking通常是针对社交网站的一种攻击手法,攻击者会欺骗用户去点击一个伪造的图标或按钮。如今攻击者已经研究出了大量的方法,来把官方的按钮模仿的惟妙惟肖。
Clickjacking技术首先是由Jeremiah Grossman 和 Robert Hanson在2008年提出的,而如今这种依附于JS的攻击手段,已经在各大支持Js语言的浏览器上肆虐了。
现在Clickjacking技术已经演变出了多个变种,依靠着类似于Facebook,Twitter这种大型社交网站进行传播,受到攻击的用户数量也进行着指数级的增长。或许当你发布状态时,已经不知情的被攻击者重定向到了其他恶意的页面。
常见的Clickjacking攻击手法
通过Flash打开受害者的摄像头或麦克风
诱使用户在不知情的情况下粉某人(- -!外国也流行刷粉啊)
控制用户分享恶意链接
诱使用户点击某链接 (点击查看,苍老师.avi)
Likejacking
这是一种在Facebook上被广泛利用的攻击手法,它诱使用户点击一个指向外部的链接。当然,如果攻击者为了盈利,这条链接可以是一条点击付费的广告链接。Google广告联盟是攻击者经常选择的盈利渠道。
Cursorjacking
就像他的名字一样,这是一种对鼠标的劫持。在这种攻击手法下,受害者的鼠标会偏移原有的位置。使受害者点到原本不想点的链接。这种攻击手法首次被Marcus Niemietz提出。
iFrames
我们先来科普一下,iFrame是一个在页面中内嵌页面的组件。设定长宽的语法如下。
<iframe src=”URL” width=”500″ height=”400″></iframe>
Clickjacking需要两个iFrame配合来做,底层的iFrame显示正常的页面,上层的iFrame最好小一点,包含想让用户点击的链接。攻击实现的前提是两个iFrame能够对准。
所以说如果页面滚动,或者页面自适应大小,导致两个iFrame发生错位,攻击就不能成功。这个问题可以通过读取URL中的段标识符解决。
具体实现
Clickjacking攻击是一种单纯依靠Js语言来控制Dom已到达欺骗,诱使用户目的的攻击手法。最简单的方法是,直接覆盖一层透明的,iframe在目标网站上,iframe中可以包含一个按钮或者链接。
现在我们通过一个实际的例子来解释,Clickjacking能给黑客们带来怎样的好处。比如说我的twitter账号需要1000个赞,而同时我有一个点击量还可以的wordpress站点。这时候我可以给我的wordpress装上一个劫持插件(节操何在),这样每一个在我wordpress网站上点击的用户,都会给我刷一个赞。
上图中你会看到like的按钮,黑客们可以把这个按钮调成透明。
(下图是得到一个like的炫耀贴)
希望上面这个例子能帮助各位更好地理解Clickjacking。
下面我们看看如何来挖掘Clickjacking这种漏洞。第一步我们要找把用户输入转化为iFrame输出的点。你可以上传(或者是被包含)一个如下的html文件,然后在页面中查找关键字。
<html>
<head></head>
<body>
Website is vulnerable to clickjacking!
<iframe src="http://www.target.site" width="500" height="500"></iframe>
</body>
</html>
如果你找到Website is vulnerable to clickjacking那就说明,页面成功加载了你的iframe
防护策略
Clickjacking作为一种前端的的安全漏洞,如果不做较好的处理,会产生比较大的危害。防范这种攻击主要从服务端和客户端两个方面下手。
下面我们来看一下相关的细节。
客户端防护
NoScript plugin
这是一种简单的一种防御方法,就是在浏览器层面阻止js的运行。FireFox的Noscript插件就可以做到这一点。这个插件有一个选项可以使用户免于遭受clickjacking的攻击。实现原理是,这个插件阻止JS创建iframe。不过这个插件只能运行于firefox和基于其内核的浏览器。
GuardedID
GuardedID是一个用于保护用户免受包括clickijack在内的诸多攻击的商业软件。GuardedID不直接干扰浏览器的解析,只是把所用iframe强制设为可见。GuardedID只能在IE firefox浏览器下工作。
服务端防护
Frame Busting
Frame Busting是一种在服务器端插入JS脚本来阻止浏览器嵌套加载Iframe的安全机制。如今Frame Busting依旧是一种很流行的防御hijack的姿势。
一般情况下Frame Busting语句包含一个判断和一个赋值。一个简单的例子如下。
if ( top.location != location )
top.location = self.location
判断语句用于检测iframe是否存在嵌套。
Frame Busting是一个防御hijack简单而有效的方法。只要在每个页面加一段短小精悍的JS代码,就可以把hacker拒之门外。
<script>if(top != window) {top.location = window.location}</script>
不过理想总是很丰满,现实总是很骨感,这种防御手段还是很容易就会被绕过的。比如IE会提供一个叫做‘restricted’的元素,可以在iframe中禁止JS。
<iframe security="restricted" src=" style="height:80px"></iframe>
X-Frame Options
另外一种,在服务端防御hijack的方法是HTTP头中的X-Frame Options。这个设置是微软为了对抗基于frame的攻击而设计的。同样也是一种防御XSS的有效手段。X-Frame Options有如下几个选项。
DENY 阻止任何frame的加载(推荐)
SAMEORIGIN 只允许frame加载当前域内容
ALLOW-FROM url 允许指定url作为frame加载内容
X-Frame的主要功能就是告知浏览器是否可以使用iFrame来解析页面。通过其有这一选项,管理员可以轻易地阻止第三方iframe的插入,因此这个方法可以抵御所有的基于frame的攻击。这个特性也基本被所有主流浏览器所支持,不过Allow-From作为一个新的选项还没有被普遍接受,在一些不支持他的浏览器上使用,会使用户陷入风险。
下面的表列举了支持x-frame选项的浏览器,X-frame需要在服务端设置,一些硬件设施如本地流量管理器也可以对x-frame进行设置。
Browser |
Chrome |
FireFox |
IE |
Opera |
Safari |
---|---|---|---|---|---|
Version |
4.1.249.1042 |
3.6.9 (1.9.2.9) |
8 |
10.5 |
4.0 |
- 认知指纹:颠覆性的身份认证技术
- 跟我学姿势:极客教你如何科学的看电影
- Discuz 5.x/6.x/7.x投票SQL注入分析
- 论如何高效的挖掘漏洞
- Rxjava + retrofit + dagger2 + mvp搭建Android框架
- 走进科学:如何正确的隐藏自己的行踪
- 比特儿(Bter.com) 比特币交易平台被盗事件全解析
- BitTorrent Bleep:无法被监控的聊天软件
- QQ蠕虫的行为检测方法
- 趋势OfficeScan系列产品漏洞分析
- [置顶] 浅谈我为什么选择用Retrofit作为我的网络请求框架
- 基于HTML5的Canvas指纹跟踪技术
- 有关 Android 应用桌面角标 (BadgeNumber) 实现的探讨
- XSS的原理分析与解剖
- JavaScript 教程
- JavaScript 编辑工具
- JavaScript 与HTML
- JavaScript 与Java
- JavaScript 数据结构
- JavaScript 基本数据类型
- JavaScript 特殊数据类型
- JavaScript 运算符
- JavaScript typeof 运算符
- JavaScript 表达式
- JavaScript 类型转换
- JavaScript 基本语法
- JavaScript 注释
- Javascript 基本处理流程
- Javascript 选择结构
- Javascript if 语句
- Javascript if 语句的嵌套
- Javascript switch 语句
- Javascript 循环结构
- Javascript 循环结构实例
- Javascript 跳转语句
- Javascript 控制语句总结
- Javascript 函数介绍
- Javascript 函数的定义
- Javascript 函数调用
- Javascript 几种特殊的函数
- JavaScript 内置函数简介
- Javascript eval() 函数
- Javascript isFinite() 函数
- Javascript isNaN() 函数
- parseInt() 与 parseFloat()
- escape() 与 unescape()
- Javascript 字符串介绍
- Javascript length属性
- javascript 字符串函数
- Javascript 日期对象简介
- Javascript 日期对象用途
- Date 对象属性和方法
- Javascript 数组是什么
- Javascript 创建数组
- Javascript 数组赋值与取值
- Javascript 数组属性和方法
- Laravel框架实现即点即改功能的方法分析
- PHP使用PDO实现mysql防注入功能详解
- laravel接管Dingo-api和默认的错误处理方式
- PHP接入微信H5支付的方法示例
- PHP中用Trait封装单例模式的实现
- laravel 解决Validator使用中出现的问题
- php文件上传原理与实现方法详解
- PHP常见的序列化与反序列化操作实例分析
- Laravel jwt 多表(多用户端)验证隔离的实现
- Laravel实现通过blade模板引擎渲染视图
- Laravel 验证码认证学习记录小结
- ThinkPHP类似AOP思想的参数验证的实现方法
- 解决php扩展安装不生效问题
- 微信小程序发送订阅消息的方法(php 为例)
- Laravel5.5 动态切换多语言的操作方式