Clickjacking

点击劫持是攻击者用透明 iframe 覆盖诱饵页面，使受害者在不知情下点击目标站点按钮的漏洞。

用途

防止攻击者借用受害者点击执行敏感操作。

机制

攻击者页面含 <iframe src="target.com/delete" style="opacity:0"> 覆盖在诱饵按钮上。受害者点击诱饵实则点击 iframe 中的目标按钮。防御：X-Frame-Options: DENY 或 CSP frame-ancestors 限制嵌入。

用例

诱导点击删除/转账按钮
社交媒体点赞劫持
权限授予劫持
广告点击欺诈

示例

输入

<iframe src="target/delete" opacity=0>

输出

Clickjacked deletion

Transparent iframe

常见错误

No X-Frame-Options or CSP frame-ancestors set: Set DENY or SAMEORIGIN

相关词条

XSS（跨站脚本）是攻击者将恶意脚本注入网页，在其他用户浏览器中执行的漏洞，分为存储型、反射型与 DOM 型。

CSRF（跨站请求伪造）是攻击者诱导已登录用户在不知情下向目标站点发送恶意请求的漏洞。

CSP（内容安全策略）用 HTTP 头声明允许加载的资源源，限制 XSS 与数据注入的攻击面。

Security Header

安全 HTTP 头是服务器响应中指示浏览器启用安全机制的头部，如 CSP、HSTS、X-Frame-Options 等。

参考链接