Clickjacking

Le clickjacking est une attaque qui superpose une iframe transparente sur une page leurre afin que la victime clique sans le savoir sur des boutons du site ciblé.

Objectif

Empêcher les attaquants de détourner les clics de la victime pour déclencher des opérations sensibles.

Mécanisme

La page de l'attaquant contient <iframe src="target.com/delete" style="opacity:0"> superposée à un bouton leurre. Cliquer sur le leurre clique en réalité sur le bouton cible dans l'iframe. Défenses : X-Frame-Options: DENY ou CSP frame-ancestors pour restreindre l'intégration.

Cas d’usage

Leurre de clics sur des boutons de suppression/virement
Like-jacking sur les réseaux sociaux
Détournement d'octroi de permissions
Fraude aux clics publicitaires

Exemples

entrée

<iframe src="target/delete" opacity=0>

Output

Clickjacked deletion

Transparent iframe

Erreurs courantes

No X-Frame-Options or CSP frame-ancestors set: Set DENY or SAMEORIGIN

Termes associés

XSS (cross-site scripting) est l'attaque où l'attaquant injecte des scripts malveillants dans une page qui s'exécutent dans le navigateur d'autres utilisateurs ; il existe sous formes stockée, réfléchie et basée DOM.

CSRF (cross-site request forgery) est une vulnérabilité où l'attaquant trompe un utilisateur connecté pour lui faire envoyer sans le savoir une requête malveillante au site ciblé.

CSP (Content Security Policy) déclare, via un en-tête HTTP, quelles origines de ressources une page peut charger, réduisant la surface d'attaque du XSS et de l'injection de données.

Security Header

Les en-têtes HTTP de sécurité sont des en-têtes de réponse qui ordonnent au navigateur d'activer des mécanismes de sécurité, comme CSP, HSTS et X-Frame-Options.

References