ClickJacking
Publicado: 08 Feb 2011, 20:46
ClickJacking es una tecnología en la cual mediante un iframe abrimos una web quedando como en este ejemplo un boton por debajo de la web verdadera sin embargo el boton se queda inutilizado ya que la web se encuentra por delante, la web de verdad en este caso indetectables pero invisible
fijense cuando llevo el ratón y lo pongo debajo del botón me dice 'Feed - Dudas y Preguntas' es mas fijatense que debajo en la barra de estado me dice que me encuentro en el foro de indetectables
pues es basicamente eso engañar a una victima enviadole una web falsa para que cuando le de al botón por ejemplo envie una votacion, es asi como un sustituto de CRSF ya que para hacer este ataque un vector vendría a ser algo como esto:
[Enlace externo eliminado para invitados] donde x puede ser un número aleatorio con lo cual es dificil acertarlo para enviarle esta URL a la victima. Mientras que con ClickJacking el número ese lo tienes asignado correctamente puesto que estas en la web lo que se encuentra de modo invisible
otra ventaja es que CRSF con una votacion en ajax por metodo POST es imposible mientras que con ClickJacking ira perfectamente
Desventaja al pasar el raton nos aparece como en este ejemplo 'Feed - Dudas y Preguntas' y al igual que en la barra de estado
Solucion no permitir que se puedan hacer iframe a nuesta web
dentro de <head></head>
Avira lo detecta como:
HTML/Infected.WebPage.Gen2
Ejemplo del alcanze de este ataque xD
[Enlace externo eliminado para invitados]
Salu2!
fijense cuando llevo el ratón y lo pongo debajo del botón me dice 'Feed - Dudas y Preguntas' es mas fijatense que debajo en la barra de estado me dice que me encuentro en el foro de indetectables
pues es basicamente eso engañar a una victima enviadole una web falsa para que cuando le de al botón por ejemplo envie una votacion, es asi como un sustituto de CRSF ya que para hacer este ataque un vector vendría a ser algo como esto:
[Enlace externo eliminado para invitados] donde x puede ser un número aleatorio con lo cual es dificil acertarlo para enviarle esta URL a la victima. Mientras que con ClickJacking el número ese lo tienes asignado correctamente puesto que estas en la web lo que se encuentra de modo invisible
Código: Seleccionar todo
<iframe src="http://www.indetectables.net/foro/index.php" style="opacity:0;position:absolute;top:0px;left:0px;width:99%;height:95%;margin:0px;padding:0px;z-index:100;"></iframe>Desventaja al pasar el raton nos aparece como en este ejemplo 'Feed - Dudas y Preguntas' y al igual que en la barra de estado
Solucion no permitir que se puedan hacer iframe a nuesta web
dentro de <head></head>
Código: Seleccionar todo
<script type="text/javascript">
<!--
if (top.location!=this.location) top.location=this.location;
//-->
</script>HTML/Infected.WebPage.Gen2
Ejemplo del alcanze de este ataque xD
[Enlace externo eliminado para invitados]
Salu2!