Clickjacking, също известен с имена като Атака за възстановяване на потребителски интерфейс, Атака срещу потребителския интерфейс, Потребителски интерфейс, е често срещана злонамерена техника, използвана от нападателите, за да създават множество сложни слоеве, за да подмамят потребителя да кликне върху бутон или да се свърже на друга страница, когато възнамерява да кликне върху друга страница. По този начин нападателят успешно контролира потребителя, като кликне върху връзка от външен източник, докато го "отвлече" от оригиналната страница. Тази техника има неограничена употреба, когато става дума за експлоатация на потребителите. Такава атака например може да убеди клиентите да въведат банковите си данни на страница на трета страна, която отразява оригиналната.
Какво представлява Clickjacking
Clickjacking е злонамерена дейност, в която злонамерените връзки са скрити зад оригиналните бутони или връзки, които могат да се направят на кликване, което кара потребителите да активират погрешно действие със своето кликване.
Един общ и силно разрушителен пример за тази техника може да бъде, когато нападателят, който изгражда уебсайт, който има бутон върху него, който казва "Кликнете тук, за да влезете в конкурса". Въпреки това, точно до бутона, те поставят почти невидима рамка, която се свързва с "Изтриване на всички контакти "в профила ви в Gmail", Жертвата се опитва да кликне върху бутона, но вместо това всъщност кликва върху невидимия бутон. Следователно, нападателят "отвлече" потребителското "кликване", а оттам и името Clickjacking.
В последно време Clickjacking се е насочил към популярни услуги, включително Adobe Flash Player и Twitter. Някои нападатели промениха настройките на приставката за Adobe Flash. Чрез зареждането на тази страница в невидима вградена рамка, атакуващият може да подмами потребителя да промени настройките за сигурност на Flash, като разреши на всяка анимация на Flash да използва микрофона и камерата на компютъра.
Говорейки за Twitter, clickjacking влезе в Twitter червей. Тази атака беше доста умно насочена към потребителите, принуждавайки ги да пренапишат място и да ги разпространят широко, преди Twitter да влезе в контрола на вируса.
Какво е Cursorjacking
Един вид Clickjacking работи с прикриването на курсора на мишката и убеждава потребителя да замени кликванията си с друго местоположение на една и съща страница. Популярен инцидент на Cursorjacking е открит в Mozilla Firefox на Mac OS X системи, използващи Flash, HTML и JavaScript код, които също могат да доведат до шпионаж на уеб камерата и до изпълнението на злонамерен addon, който позволява изпълнението на злонамерен софтуер на компютъра на заловения потребител.
Какво е Likejacking
Освен Cursorjacking, също са съобщени инциденти с Likejacking, Известен популярен след появата на Facebook в поп културата, този самои обяснителен термин означава отвличане в лицето, което харесва страница във Facebook, за която първоначално не би трябвало да знае.
Съвети за защита от щракване
X-Frame Опции
Това решение от Майкрософт е една от най-ефективните срещу атаки срещу кликване на вашата машина. Можете да включите HTTP заглавка X-Frame-Options във всичките си уеб страници. Това ще предотврати поставянето на сайта Ви в рамките на даден кадър. X-Frame се поддържа от най-новите версии на повечето браузъри, включително Safari, Chrome, IE, но може да има някои проблеми с Firefox. Голямата част от използването на X-Frame е, че е изключително проста, но се нуждае от достъп до конфигурацията на уеб сървъра и скриптовия език на сървъра.
Преместете елементи на страниците си
Атакуващият, опитващ се да постави кликване върху уеб страниците ви, не знае за текущите местоположения на елементи от ваша страна. Той може да поставя само заразените си елементи въз основа на настройките по подразбиране. Добра идея е да опитате да преместите елементи на страницата си; например, нападателите може да възнамеряват да насочат бутона "Подобно на Facebook". Чрез преместването на този елемент на друго място лесно можете да откриете кога се случи такъв инцидент. Единственият проблем с това решение е, че е изключително трудно за нормалните потребители да го изпълняват.
Еднократни URL адреси
Това е доста усъвършенстван метод за защита срещу кликнерите, които може да са достатъчно информирани, за да надминат основните ти филтри. Можете да направите атаката много по-трудно, ако включите еднократен код в URL адресите на ключови страници. Това е подобно на това, което не е използвано за предотвратяване на CSRF, но е уникално по начина, по който той включва ненужните в URL адресите към целевите страници, а не в формулярите в тези страници.
Скрипт Javascript
Друг начин да избягате от ноктите на атака срещу кликване е да проверите кода на Javascript за откриване. Този процес се нарича грохот
Препоръки за предотвратяване на
Оценете защитата на имейла
Инсталирането и проверката на силен филтър за спам на електронната поща е един от начините за ефективно откриване на всякакви атаки на вашите профили. Обикновено атаките с кликване започват чрез измама на потребител чрез имейл в посещение на зловреден сайт. Това се прави чрез внедряване на фалшиви или специално изработени имейли, които изглеждат автентични. Блокирането на нелегитимни имейли намалява потенциалната атака срещу кликванията и убийството на други атаки.
Използвайте защитни стени за уеб приложения
Уеб приложенията Защитните стени на WEF са важен аспект на сигурността в случаите на предприятия, които имат по-голямата част от данните си в Интернет. Някои от тези фирми са склонни да пренебрегват необходимостта от едно и да се окажат атакувани с масови инциденти, причиняващи кликнинг. Последните данни показват, че почти 70% от всички МСП са били опростени в някакъв капацитет през последното десетилетие. Това може да отнеме огромно бреме от вашата чиния, значително намалява рисковете и струва по-малко от загубата, с която може да се сблъскате.
За съжаление, няма перфектно решение за предотвратяване на кликнинг, тъй като нападателите в крайна сметка ще намерят начини да преминат през повечето техники. Въпреки това, най-ефективните средства за защита срещу такива атаки ще бъдат X-Frame и FrameBuster Javascript.
Сега прочетете: Какви са измамите с кликвания и измамите с онлайн реклами?
