説明
クリックジャッキングは、ユーザーをだまして、見えない、または別の要素に偽装したWebページ要素をクリックさせる攻撃です。これにより、ユーザーは無意識のうちにマルウェアをダウンロードしたり、悪意のあるサイトにアクセスしたり、資格情報や機密情報を提供したり、送金したり、オンラインで製品を購入したりします。通常、クリックジャッキングは、iframe内のページ上部に非表示のページまたはHTML要素を表示することによって実行されます。ユーザーに表示されます。ユーザーは、表示されているページをクリックしていると信じていますが、実際には、その上に転置された追加ページ内の非表示の要素をクリックしています。非表示のページは、悪意のあるページであるか、ユーザーがアクセスしていない正当なページである可能性があります。たとえば、現金の送金を許可するユーザーの銀行サイトのページ。クリックジャッキング攻撃には、次のようないくつかのバリエーションがあります。* Likejacking-Facebookの「いいね」ボタンを操作して、ユーザーが本当に気に入らなかったページを「いいね」する方法。*Cursorjacking-ユーザーが知覚する位置に合わせてカーソルを変更するUI修正手法別の位置。カーソルジャックはFlashの脆弱性に依存しているため、Firefoxブラウザが修正されています。
クリックジャッキング攻撃の例1。攻撃者は、ユーザーにタヒチへの無料旅行を提供することを約束する美しいページを作成します。バックグラウンド内で、攻撃者はユーザーが自分の銀行サイトにログインしているかどうかを確認し、ログインしている場合は、クエリパラメータを使用して攻撃者の銀行の詳細を図形に挿入し、資金の送金を許可する画面を読み込みます。銀行振込ページは、無料ギフトページの上の非表示のiframeに表示され、[送金の確認]ボタンは、ユーザーに表示される[ギフトの受け取り]ボタンの上に正確に配置されます。4。ユーザーがページにアクセスし、[無料旅行の予約]ボタンをクリックします。5。実際、ユーザーは非表示のiframeをクリックしており、[転送の確認]ボタンをクリックしています。資金は攻撃者に送金されます。6。
この例は、クリックジャッキング攻撃中に、ユーザーが自分のアカウントに合法的にサインインしているときに実行したため、悪意のあるアクション（この場合は銀行のWebサイトで）を攻撃者にさかのぼることができないことを示しています。
クリックジャッキングの軽減クリックジャッキングを防ぐには、一般的に2つの方法があります。*クライアント側の方法-最も一般的な方法は、フレームバスティングです。クライアント側の方法は、場合によっては効果的ですが、簡単にバイパスされるため、ベストプラクティスではないと見なされます。*サーバー側の方法-最も一般的なのはX-Frame-Optionsです。サーバー側の方法は、クリックジャッキングを防ぐための効率的な方法として、セキュリティの専門家によって推奨されています。