Clickjacking

El clickjacking es un ataque que superpone un iframe transparente sobre una página señuelo para que la víctima, sin saberlo, haga clic en botones del sitio objetivo.

Propósito

Evitar que los atacantes se apropien de los clics de la víctima para disparar operaciones sensibles.

Mecanismo

La página del atacante contiene <iframe src="target.com/delete" style="opacity:0"> superpuesto sobre un botón señuelo. Hacer clic en el señuelo en realidad pulsa el botón objetivo dentro del iframe. Defensas: X-Frame-Options: DENY o CSP frame-ancestors para restringir la incrustación.

Casos de uso

Engaño de clics en botones de borrado/transferencia
Like-jacking en redes sociales
Secuestro de concesión de permisos
Fraude de clics publicitarios

Ejemplos

entrada

<iframe src="target/delete" opacity=0>

Output

Clickjacked deletion

Transparent iframe

Errores comunes

No X-Frame-Options or CSP frame-ancestors set: Set DENY or SAMEORIGIN

Términos relacionados

XSS (cross-site scripting) es el ataque donde el atacante inyecta scripts maliciosos en una página que se ejecutan en el navegador de otros usuarios; tiene formas almacenadas, reflejadas y basadas en DOM.

CSRF (cross-site request forgery) es una vulnerabilidad donde el atacante engaña a un usuario conectado para que envíe sin saberlo una petición maliciosa al sitio objetivo.

CSP (Content Security Policy) declara, mediante una cabecera HTTP, qué orígenes de recursos puede cargar una página, reduciendo la superficie de ataque de XSS e inyección de datos.

Security Header

Las cabeceras HTTP de seguridad son cabeceras de respuesta que ordenan al navegador activar mecanismos de seguridad, como CSP, HSTS y X-Frame-Options.

References