ClickJacking, также известный под именами Активация интерфейса пользователя, Устранение сбоя пользовательского интерфейса, Исправление пользовательского интерфейса, является распространенной вредоносной техникой, используемой злоумышленниками для создания нескольких сложных слоев, чтобы обмануть пользователя нажатием кнопки или ссылки на другой странице, когда они намеревались нажать на другую страницу. Таким образом, злоумышленник успешно контролирует пользователя, нажимая на ссылку из внешнего источника, «захватив» его с исходной страницы. Этот метод имеет неограниченное использование, когда дело доходит до эксплуатации пользователя. Например, такая атака может убедить клиентов вводить свои банковские реквизиты на стороннюю страницу, которая отражает исходную.
Что такое Clickjacking
Clickjacking - это злонамеренное действие, в котором вредоносные ссылки скрыты за подлинными кнопками или ссылками для нажатия, что позволяет пользователям активировать неправильное действие с помощью щелчка.
Общим и чрезвычайно разрушительным примером этой техники может быть тот факт, что злоумышленник, создавший веб-сайт с кнопкой на нем,Нажмите здесь, чтобы войти в конкурс«. Однако, рядом с кнопкой, они помещают почти невидимый кадр, который ссылается на Удалить все контакты 'вашей учетной записи Gmail', Жертва пытается щелкнуть по кнопке, но вместо этого на самом деле нажимает на невидимую кнопку. Следовательно, злоумышленник «захватил» пользовательский «щелчок» и, следовательно, имя Clickjacking.
В последнее время Clickjacking пробился к популярным сервисам, включая Adobe Flash Player и Twitter. Некоторые злоумышленники изменили настройки плагина Adobe Flash. Загружая эту страницу в невидимый iframe, злоумышленник может обмануть пользователя в изменении настроек безопасности Flash, давая разрешение на любую флэш-анимацию использовать микрофон и камеру компьютера.
Говоря о Twitter, clickjacking попал в червь Twitter. Эта атака была довольно целеустремленной для пользователей, вынуждая их перефразировать местоположение и распространять его широко до того, как Twitter вмешался, чтобы контролировать вирус.
Что такое Cursorjacking
Один вид Clickjacking работает, маскируя курсор мыши и убеждая пользователя заменить его клики на другое место на той же странице. Популярный случай Cursorjacking был обнаружен в Mozilla Firefox в системах Mac OS X с использованием кода Flash, HTML и JavaScript, который также может привести к шпионажу веб-камеры и выполнению вредоносного аддона, позволяющему выполнять вредоносное ПО на компьютере захваченного пользователя.
Что такое
Помимо Cursorjacking, также сообщалось о случаях Likejacking, Сделанный популярным после появления Facebook в поп-культуре, этот самоочевидный термин означает захват человека в симпатию к странице на Facebook, о которой он не должен был первоначально знать.
Советы по защите Clickjacking
Параметры X-Frame
Это решение от Microsoft является одним из наиболее эффективных против атак на клик на вашем компьютере. Вы можете включить HTTP-заголовок X-Frame-Options на всех своих веб-страницах. Это предотвратит размещение вашего сайта внутри фрейма. X-Frame поддерживается новейшими версиями большинства браузеров, включая Safari, Chrome, IE, но может иметь некоторые проблемы с Firefox. Большая часть использования X-Frame заключается в том, что он чрезвычайно прост, но ему необходим доступ к настройке веб-сервера и языку сценариев на сервере.
Перемещение элементов на ваших страницах
Злоумышленник, пытающийся поместить clickjacking на ваши веб-страницы, не знает о текущих местоположениях элементов со своей стороны. Он может помещать только зараженные элементы на основе настроек по умолчанию. Это хорошая идея попробовать и перемещать элементы на вашей странице; например, злоумышленники могут намереваться настроить таргетинг на кнопку Facebook Like. Перемещая этот элемент в другое место, вы можете легко обнаружить, когда происходит такой инцидент. Единственная проблема с этим решением заключается в том, что для обычных пользователей это чрезвычайно сложно выполнить.
Одноразовые URL-адреса
Это довольно продвинутый метод защиты от кликмейкеров, которые могут быть достаточно осведомлены, чтобы превзойти ваши основные фильтры. Вы можете сделать атаку намного сложнее, если включить URL-адрес в URL-адрес на важные страницы. Это похоже на nonces, используемое для предотвращения CSRF, но уникальное в том смысле, что оно включает в себя nonces в URL-адресах для целевых страниц, а не в формах на этих страницах.
Фреймбастер Javascript
Еще один способ избежать когтей атаки на клики - это проверить код Javascript для обнаружения. Этот процесс называется frambusting
Советы по пресечению Clickjacking
Оценка защиты электронной почты
Установка и проверка сильного фильтра спама почты - это один из способов эффективного обнаружения любых атак ваших учетных записей. Атаки на перехватывание обычно начинаются с обмана пользователя по электронной почте во время посещения вредоносного сайта. Это делается путем внедрения поддельных или специально созданных электронных писем, которые выглядят аутентичными. Блокировка незаконных электронных писем уменьшает потенциальную атаку для клик-локов и множество других атак.
Использовать брандмауэры веб-приложений
Веб-приложения Брандмауэры WEF являются важным аспектом безопасности в случае предприятий, которые имеют большую часть своих данных в Интернете. Некоторые из этих фирм, как правило, игнорируют необходимость одного и в конечном итоге получают нападения с массовыми инцидентами с клики. Недавние данные показали, что почти 70 процентов всех SMB были взломаны в некоторой емкости за последнее десятилетие или около того. Это может снять огромную нагрузку с вашей тарелки, значительно снижает риски и затраты меньше, чем потери, с которыми вы можете столкнуться.
К сожалению, нет идеального решения от предотвращения щелчка, так как злоумышленники в конечном итоге найдут способы преодолеть большинство методов. Несмотря на это, наиболее эффективными средствами защиты от таких атак будут X-Frame и FrameBuster Javascript.
Теперь прочитайте: Что такое мошенничество и мошенничество в Интернете?
