安全测试 之 安全漏洞: ClickHiJacking

news2024/11/15 5:41:00

1. ClickHiJacking 定义

点击劫持(Click Jacking)是一种视觉上的欺骗手段,攻击者通过使用一个透明的iframe,覆盖在一个网页上,然后诱使用户在该页面上进行操作,通过调整iframe页面的位置,可以使得伪造的页面恰好和iframe里受害页面里一些功能重合(按钮),以达到窃取用户信息或者劫持用户操作的目的。

Clickjacking是仅此于XSS和CSRF的前端漏洞,因为需要诱使用户交互,攻击成本高,所以不被重视,但危害不容小觑,攻击效果见案例。

2. 漏洞原理

对于漏洞的防范大部分浏览器支持的防御办法是使用X-Frame-Options头,通常设置为DENY可以很好地防范漏洞,其次SAMEORIGIN可以在某个页面失守时被绕过,ALLOW-FROM uri不被Chrome支持。其次还有CSP头:Content-Security-Policy: frame-ancestors 'self’仅支持FireFox。

也就是说,如果发现系统没有设置上述头,大概率存在ClickJacking漏洞,测试方法很简单,本地构造一个HTML文件,使用iframe包含此页面:
在这里插入图片描述

若返回拒绝请求,则不存在问题,控制台提示已设置X-Frame头故引用网站失败:

在这里插入图片描述

3. 解决办法

首先要明确业务是否真的需要iframe嵌套,如不允许被其它站点嵌套,请在web服务器配置中设置 X-Frame-Options:DENY,如要被嵌套使用,最好只允许 X-Frame-Options:SAMEORIGIN。 推荐使用X-Frame-Options方式修改。若想更好的防御请使用X-Frame-Options和JS防御结合。

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.coloradmin.cn/o/1793903.html

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈,一经查实,立即删除!

相关文章

通用高电子迁移率晶体管(HEMT)的差分微变解算方案及分析型模型

来源:A Difference-Microvariation Solution and Analytical Model for Generic HEMTs(TED 22年) 摘要 这篇论文提出了一种AlGaN/GaN和AlGaAs/GaAs基高电子迁移率晶体管(HEMT)的分析型直流模型。该模型考虑了高栅偏压下势垒层中积累的电荷。…

Nat Commun|直捣黄龙!空间单细胞组学发现外周血靶细胞亚群的组织落脚点

溃疡性结肠炎(Ulcerative colitis,UC)是一种慢性炎症性肠道疾病,其特征是免疫介导的黏膜炎症和上皮损伤。目前UC的治疗策略已经从单纯的症状缓解转变为更精准的靶向治疗。Vedolizumab(VDZ)作为一种抗整合素…

短剧系统源码:打造多平台互动娱乐体验

随着科技的不断进步,多平台互动娱乐体验逐渐成为人们日常生活的一部分。短剧系统源码便是在这样的背景下应运而生,它为开发者提供了一套完整的解决方案,以实现PC端、移动端APP、H5网页以及小程序平台的无缝对接和内容共享。本文将详细介绍短剧…

在iPhone上恢复已删除的Safari历史记录的最佳方法

您是否正在寻找恢复 iPhone 上已删除的 Safari 历史记录的最佳方法?好吧,这篇文章提供了 4 种在有/无备份的情况下恢复 iPhone 上已删除的 Safari 历史记录的最佳方法。现在按照分步指南进行操作。 iPhone 上的 Safari 历史记录会被永久删除吗&#xff1…

开关管的导通损耗和开关损耗及MOS管驱动

导通损耗和开关损耗 开关管的损耗带来的问题 ★使得开关管发热,为了降低温度,需要增大散热面积,从而增大了体积和成本。 ★降低了开关电源的效率。 开关管的损耗分为导通损耗和开关损耗 ★导通损耗:在开关管导通时候&#xf…

重庆耶非凡科技揭秘:海外拼多多选品师岗位真相解析

在当今数字化、全球化的浪潮中,跨境电商行业蓬勃发展,越来越多的企业开始寻求拓展海外市场的新机遇。其中,重庆耶非凡科技有限公司作为一家在软件开发和技术服务领域具有深厚实力的企业,其海外拼多多选品师这一职位引发了广泛关注…

计算机网络学习记录 应用层 Day6

你好,我是Qiuner. 为记录自己编程学习过程和帮助别人少走弯路而写博客 这是我的 github https://github.com/Qiuner ⭐️ ​ gitee https://gitee.com/Qiuner 🌹 如果本篇文章帮到了你 不妨点个赞吧~ 我会很高兴的 😄 (^ ~ ^) 想看更多 那就点个关注吧 我…

如何将AndroidStudio和IDEA的包名改为分层级目录

新版UIAndroidStudio 1、点击项目目录右上角如图所示的三个点点。 2、然后依次取消Hide empty middle package ,Flatten package的勾选 3、注意:一定要先取消hide的勾选,不然目录不会完全分级(做错了可以反过来重新设置&#x…

[leetcode hot 150]第七十题,爬楼梯(动态规划)

题目: 假设你正在爬楼梯。需要 n 阶你才能到达楼顶。 每次你可以爬 1 或 2 个台阶。你有多少种不同的方法可以爬到楼顶呢? 爬到第 n 阶楼梯的方法数量等于爬到第 n-1 阶和第 n-2 阶的方法数量之和,即: f(n) f(n-1) f(n-2) 边界条件 还需要考虑边界…

ChatGPT Prompt技术全攻略-入门篇:AI提示工程基础

系列篇章💥 No.文章1ChatGPT Prompt技术全攻略-入门篇:AI提示工程基础2ChatGPT Prompt技术全攻略-进阶篇:深入Prompt工程技术3ChatGPT Prompt技术全攻略-高级篇:掌握高级Prompt工程技术4ChatGPT Prompt技术全攻略-应用篇&#xf…

独著出书的出版流程是怎样的?

独著出书的出版流程一般包括以下几个步骤: 1. 准备书稿:确保书稿内容完整、准确,并符合出版社的要求。 2. 选择出版社:根据书稿的主题和内容,选择合适的出版社。可以考虑出版社的专业性、声誉和出版范围等因素。 3.…

KT142C语音芯片下载语音过连接电脑PC的usb虚拟成U盘拷贝

一、简介 KT142C-sop16语音芯片,下载语音是连接电脑PC的usb虚拟成U盘直接拷贝 下载方式描述 内置的是320K的空间,但是实际的大小,在电脑里面显示,应该是315Kbyte。 打开我的电脑,芯片连接PC之后,自动多出…

常规操作-ArcGIS常用标注技巧

常规操作-ArcGIS常用标注技巧 1、简单的"&“符号:多字段表达只需要用”&"符号,多个字段之间需要空格,空格符号需要加双引号。 表达式为: [字段] & " " & [字段] 2、“VBnewline"应用…

Navi日语社App一款支持日文OCR文字识别提取的应用,功能丰富,支持日语翻译、语音翻译、日文文字转语音等等功能!

如果你正在寻找一款简单好用、功能丰富的日文OCR识别软件,那么推荐你试试《Navi日语社》App,在安卓和苹果手机上,很多应用都支持免费的日语翻译功能,但是支持日文OCR文字识别的软件并不多,针对这一痛点,准橙…

【SpringBoot + Vue 尚庭公寓实战】项目介绍(一)

【尚庭公寓SpringBoot Vue 项目实战】项目介绍(一) 文章目录 【尚庭公寓SpringBoot Vue 项目实战】项目介绍(一)1、项目业务概述2、移动端介绍3、 后台管理系统4、 核心业务流程5、项目技术概述5、数据库设计 1、项目业务概述 …

车联网安全入门——ICSim模拟器使用

文章目录 车联网安全入门——ISCim模拟器使用介绍主要特点:使用场景: 安装使用捕获can流量candumpcansnifferwiresharkSavvyCAN主要特点:使用场景: 重放can报文cansendSavvyCAN 总结 车联网安全入门——ISCim模拟器使用 &#x1f…

2024年科学教育与现代管理国际会议(ICSEMM 2024)

2024 International Conference on Science Education and Modern Management 【1】大会信息 大会地点:中国成都 投稿邮箱:icsemmsub-paper.com 【2】会议简介 2024年科学教育与现代管理国际会议是一次重要的学术交流活动,旨在汇聚全球…

【docker】 /bin/sh: ./mvnw: No such file or directory解决方案.dockerignore被忽略

报错如下:解决方案很简单,但是容易让大家忽视的问题。 > CACHED [stage-1 2/4] WORKDIR /work/ …

远程自动锁定平面

目录 Ubuntu 系统上 方法一:使用 SSH 重新连接 方法二:解锁当前会话 方法三:通过 SSH 解锁会话 方法四:禁用自动锁屏(如果合适) windows系统 方法三:修改组策略设置 Ubuntu 系统上 远程…

能动嘴就别再手动操作了!国产AI大模型让你轻松搞定一切

国产AI大模型使用入门指南 #大模型# ▶▶▶ 引言 简单来说,大模型拥有超级无敌强大的大脑,无所不知(不断吸收互联网上海量信息、文献、图书等等它可以找到的数据进行训练)。因此,懂得利用AI生成内容,就如同…