Что такое атаки Clickjacking? Советы по защите и профилактике

Безопасность онлайн

Перехват кликов , также известный под такими именами, как атака с изменением пользовательского интерфейса , атака с изменением пользовательского интерфейса , перенаправление пользовательского интерфейса , злонамеренный метод, используемый злоумышленниками для создания нескольких сложных слоев, чтобы заставить пользователя нажать на кнопку или ссылку на другой странице, когда он намеревался щелкнуть на другой странице. Таким образом, злоумышленник успешно контролирует пользователя, который нажимает на ссылку из внешнего источника и «захватывает» ее с исходной страницы. Эта техника имеет неограниченное применение, когда дело доходит до эксплуатации пользователя. Например, такая атака может убедить клиентов ввести свои банковские реквизиты на сторонней странице, которая отражает исходную страницу.

Что такое Clickjacking

Clickjacking — это злонамеренное действие, когда вредоносные ссылки скрываются за подлинными нажимаемыми кнопками или ссылками, заставляя пользователей активировать неправильное действие своим щелчком.

Распространенным и чрезвычайно разрушительным примером такой техники может быть случай, когда злоумышленник, создающий веб-сайт, на котором есть кнопка с надписью « Нажмите здесь, чтобы принять участие в конкурсе ». Однако рядом с кнопкой они вставляют практически невидимую рамку, которая ссылается на Удалить все контакты из вашей учетной записи Gmail . Жертва пытается нажать на кнопку, но вместо этого фактически нажимает на невидимую кнопку. Следовательно, злоумышленник «похитил» пользовательский «щелчок» и, следовательно, название Clickjacking.

В последнее время Clickjacking получил доступ к популярным сервисам, включая Adobe Flash Player и Twitter. Некоторые злоумышленники изменили настройки плагина Adobe Flash. Загружая эту страницу в невидимый iframe, злоумышленник может обмануть пользователя, чтобы он изменил настройки безопасности Flash, разрешив любой анимации Flash использовать микрофон и камеру компьютера.

Говоря о Твиттере, кликджек попал в червя Twitter. Эта атака была довольно хитро нацелена на пользователей, вынуждая их ретвитить местоположение и широко распространять его, прежде чем вмешался Twitter, чтобы контролировать вирус.

Что такое Cursorjacking

Один из видов Clickjacking маскирует курсор мыши и убеждает пользователя заменить свои клики в другом месте на той же странице. В Mozilla Firefox был обнаружен популярный инцидент Cursorjacking в системах Mac OS X с использованием кода Flash, HTML и JavaScript, который также может привести к шпионажу веб-камеры и выполнению вредоносного аддона, позволяющего выполнять вредоносное ПО на компьютере захваченного пользователя.

Что такое лайкджек

Помимо Cursorjacking, также были зарегистрированы случаи Likejacking . Этот популярный термин, ставший популярным после появления Facebook в поп-культуре, означает угон человека, который полюбил страницу в Facebook, о которой он не должен был знать изначально.

Советы по защите от кликджекинга

Параметры X-Frame

Это решение от Microsoft является одним из наиболее эффективных в борьбе с атаками кликеров на вашем компьютере. Вы можете включить HTTP-заголовок X-Frame-Options во все ваши веб-страницы. Это предотвратит размещение вашего сайта в рамке. X-Frame поддерживается последними версиями большинства браузеров, включая Safari, Chrome, IE, но могут иметь некоторые проблемы с Firefox. Большая часть использования X-Frame заключается в том, что он чрезвычайно прост, но требует доступа к конфигурации веб-сервера и языку сценариев на сервере.

Перемещайте элементы на своих страницах

Злоумышленник, пытающийся разместить clickjacking на ваших веб-страницах, не знает о текущем расположении элементов с вашей стороны. Он может размещать свои зараженные элементы только на основе настроек по умолчанию. Это хорошая идея, чтобы попытаться переместить элементы на вашей странице; например, злоумышленники могут намереваться нажать на кнопку «Нравится» на Facebook. Переместив этот элемент в другое место, вы можете легко определить, когда произошел такой инцидент. Единственная проблема, связанная с этим решением, заключается в том, что обычным пользователям чрезвычайно сложно его выполнить.

Одноразовые URL

Это довольно продвинутый метод защиты от кликджеков, которые могут быть достаточно осведомлены, чтобы превзойти ваши основные фильтры. Вы можете значительно усложнить атаку, если включите одноразовый код в URL-адреса важных страниц. Это похоже на одноразовые номера, используемые для предотвращения CSRF, но уникальным в том смысле, что оно включает одноразовые значения в URL-адресах целевых страниц, а не в формах на этих страницах.

Framebuster Javascript

Еще один способ избежать когтей атаки кликбэк — это проверка кода Javascript на предмет обнаружения.Этот процесс называется frambusting

Советы по предотвращению кликджекинга

Оцените защиту электронной почты

Установка и проверка надежного фильтра нежелательной почты — это один из способов эффективного обнаружения любых атак на ваши учетные записи. Атаки с помощью Clickjacking обычно начинаются с обмана пользователя по электронной почте в посещение вредоносного сайта. Это делается путем реализации поддельных или специально созданных электронных писем, которые выглядят аутентичными. Блокировка нелегитимных писем снижает потенциальную атаку для перехвата кликов и множество других атак.

Используйте брандмауэры веб-приложений

Брандмауэры веб-приложений WEF являются важным аспектом безопасности в случае предприятий, которые хранят большую часть своих данных в Интернете. Некоторые из этих фирм, как правило, игнорируют необходимость одного и заканчивают тем, что подвергаются нападениям с массовыми инцидентами, связанными с похищением кликов. Последние данные показали, что почти 70 процентов всех малых и средних предприятий были взломаны в некотором качестве в последнее десятилетие или около того. Это может взять на себя огромную нагрузку на вашу тарелку, значительно снижает риски и затраты меньше, чем потери, которые вы можете понести.

К сожалению, не существует идеального решения для предотвращения кликджекинга, поскольку злоумышленники в конечном итоге найдут способы справиться с большинством методов. Несмотря на это, наиболее эффективными средствами защиты от таких атак будут X-Frame и FrameBuster Javascript.

Теперь прочитайте . Что такое мошенничество с кликами и мошенничество с рекламой в Интернете?

Оцените статью
TechArks.Ru
Добавить комментарий