Clickjacking
Clickjacking ist ein Angriff, bei dem ein transparentes iframe über eine Köderseite gelegt wird, sodass das Opfer unbemerkt auf Schaltflächen der Zielseite klickt.
Zweck
Verhindern, dass Angreifer die Klicks des Opfers missbrauchen, um sensible Operationen auszulösen.
Mechanismus
Die Angreiferseite enthält <iframe src="target.com/delete" style="opacity:0"> über einem Köder-Button. Ein Klick auf den Köder klickt tatsächlich den Zielbutton im iframe. Abwehr: X-Frame-Options: DENY oder CSP frame-ancestors, um das Einbetten einzuschränken.
Anwendungsfälle
- Klick-Täuschung auf Löschen-/Überweisen-Buttons
- Like-Jacking in sozialen Netzwerken
- Entführung von Berechtigungen
- Werbe-Klickbetrug
Beispiele
- Eingabe
<iframe src="target/delete" opacity=0>OutputClickjacked deletionTransparent iframe
Häufige Fehler
- No X-Frame-Options or CSP frame-ancestors set
- Set DENY or SAMEORIGIN
Verwandte Begriffe
XSS
XSS (Cross-Site Scripting) ist der Angriff, bei dem ein Angreifer bösartige Skripte in eine Seite einschleust, die im Browser anderer Nutzer ausgeführt werden; es gibt gespeicherte, reflektierte und DOM-basierte Formen. GLOSSAR
CSRF
CSRF (Cross-Site-Request-Forgery) ist eine Schwachstelle, bei der ein Angreifer einen angemeldeten Nutzer dazu verleitet, unwissentlich eine bösartige Anfrage an die Zielseite zu senden. GLOSSAR
CSP
CSP (Content Security Policy) deklariert über einen HTTP-Header, welche Ressourcenquellen eine Seite laden darf, und verkleinert die Angriffsfläche für XSS und Dateninjektion. GLOSSAR
Security Header
Sicherheits-HTTP-Header sind Response-Header, die den Browser anweisen, Sicherheitsmechanismen zu aktivieren, etwa CSP, HSTS und X-Frame-Options. GLOSSAR