Кликджекинг
Кликджекинг (классифицируемый как атака с исправлением пользовательского интерфейса или исправление пользовательского интерфейса ) — это вредоносный метод , позволяющий обманом заставить пользователя щелкнуть что-то, отличное от того, что он воспринимает, тем самым потенциально раскрывая конфиденциальную информацию или позволяя другим получить контроль над своим компьютером, одновременно нажимая на кажущуюся кнопку. безобидные объекты, включая веб-страницы . [1] [2] [3] [4] [5]
Кликджекинг — это пример проблемы запутанного депутата , когда компьютер обманом заставляет злоупотреблять своими полномочиями. [6]
История [ править ]
В 2002 году было отмечено, что можно загрузить прозрачный слой поверх веб-страницы и заставить ввод пользователя влиять на прозрачный слой, не заметив этого. Однако до 2008 года это в основном игнорировалось как серьезная проблема. [7]
В 2008 году Джеремайя Гроссман и Роберт Хансен (из SecTheory) обнаружили, что Adobe Flash Player можно взломать, что позволяет злоумышленнику получить доступ к компьютеру пользователя без ведома пользователя. [7] Гроссман и Хансен ввели термин «кликджекинг». [8] [9] сочетание слов «клик» и «угон». [7]
По мере того, как было обнаружено больше атак аналогичного характера, фокус термина «восстановление пользовательского интерфейса» был изменен, чтобы описать категорию этих атак, а не просто кликджекинг. [7]
Описание [ править ]
Одна из форм кликджекинга использует уязвимости, присутствующие в приложениях или веб-страницах, чтобы позволить злоумышленнику манипулировать компьютером пользователя в своих интересах.
Например, взломанная страница обманом заставляет пользователя выполнять нежелательные действия, нажимая на скрытые ссылки. На странице, подвергшейся кликджекингу, злоумышленники загружают другую страницу поверх исходной страницы в прозрачном слое, чтобы обманом заставить пользователя совершить действия, результаты которых не будут такими, как он ожидает. Ничего не подозревающие пользователи думают, что нажимают видимые кнопки, в то время как на самом деле они выполняют действия на невидимой странице, нажимая кнопки страницы под слоем. Скрытая страница может быть страницей аутентификации; следовательно, злоумышленники могут обманом заставить пользователей выполнить действия, которые они никогда не планировали. Невозможно впоследствии отследить такие действия злоумышленников, поскольку пользователи были бы действительно аутентифицированы на скрытой странице.
Категории кликджекинга [ править ]
- Классический: работает в основном через веб-браузер. [7]
- Лайкджекинг: использует Facebook. возможности социальных сетей [10] [11]
- Вложенное: кликджекинг, адаптированный для воздействия на Google+. [12]
- Cursorjacking: управляет внешним видом и расположением курсора. [7]
- MouseJacking : ввод данных с клавиатуры или мыши через удаленную радиочастотную связь. [13]
- Без браузера: не использует браузер [7]
- Cookiejacking : получение файлов cookie из браузеров. [7] [14]
- Filejacking: возможность настройки затронутого устройства в качестве файлового сервера. [7] [15] [16]
- Атака на менеджер паролей: кликджекинг, использующий уязвимость в функции автозаполнения браузеров. [7]
Классический [ править ]
Классический кликджекинг относится к ситуации, когда злоумышленник использует скрытые слои на веб-страницах для манипулирования действиями курсора пользователя, что приводит к введению пользователя в заблуждение относительно того, на что на самом деле нажимают. [17]
Пользователь может получить электронное письмо со ссылкой на видео о новости, но другая веб-страница, скажем, страница продукта на Amazon , может быть «скрыта» сверху или под кнопкой «Воспроизвести» новостного видео. Пользователь пытается «проиграть» видео, но на самом деле «покупает» товар на Amazon. Хакер может отправить только один клик, поэтому он рассчитывает на то, что посетитель вошел в систему Amazon и у него включен заказ в один клик.
Хотя техническая реализация этих атак может быть сложной из-за несовместимости между браузерами, ряд инструментов, таких как BeEF или Metasploit Project, предлагают почти полностью автоматизированную эксплуатацию клиентов на уязвимых веб-сайтах. Кликджекингу могут способствовать или могут способствовать другие веб-атаки, такие как XSS . [18] [19]
Лайкджекинг [ править ]
Лайкджекинг — это вредоносный метод , позволяющий обманом заставить пользователей, просматривающих веб-сайт, поставить лайк странице Facebook или другим публикациям/аккаунтам в социальных сетях , которые они не хотели намеренно ставить лайки. [20] Термин «лайкджекинг» возник из комментария, опубликованного Кори Баллоу в статье « Как поставить лайк чему-либо в сети (безопасно)» . [21] Это одно из первых задокументированных сообщений, объясняющих возможность вредоносной активности в отношении кнопки «Нравится» Facebook. [22]
Согласно статье в IEEE Spectrum Facebook , решение проблемы лайкджекинга было разработано на одном из хакатонов . [23] «Мне нравится» Доступен букмарклет , который позволяет избежать возможности лайкджекинга, присутствующей в кнопке «Мне нравится» в Facebook . [24]
Вложенный [ править ]
Вложенный кликджекинг, по сравнению с классическим кликджекингом, работает путем внедрения вредоносного веб-фрейма между двумя фреймами исходной, безобидной веб-страницы : фреймом страницы с фреймом и фреймом, отображаемым в верхнем окне. Это работает из-за уязвимости в HTTP-заголовке. X-Frame-Options, в котором, когда этот элемент имеет значение SAMEORIGIN, веб-браузер проверяет только два вышеупомянутых слоя. Тот факт, что между этими двумя кадрами можно добавить дополнительные кадры, оставаясь при этом незамеченными, означает, что злоумышленники могут использовать это в своих интересах.
Раньше с Google+ и неисправной версией X-Frame-OptionsЗлоумышленники системе смогли вставлять кадры по своему выбору, используя уязвимость, присутствующую в поиска изображений Google . Между кадрами отображения изображений, которые также присутствовали в Google+, эти контролируемые злоумышленниками кадры могли загружаться и не ограничиваться, что позволяло злоумышленникам вводить в заблуждение всех, кто заходил на страницу отображения изображений. [12]
Курсорджекинг [ править ]
CursorJacking — это метод исправления пользовательского интерфейса, позволяющий изменить положение курсора с места, которое воспринимает пользователь, обнаруженный в 2010 году Эдди Борди, исследователем уязвимости.fr. [25] Маркус Нимитц продемонстрировал это с помощью специального значка курсора, а в 2012 году Марио Хайдерих сделал это, скрыв курсор. [26]
Хорди Шансель, исследователь Alternativ-Testing.fr, обнаружил уязвимость CursorJacking с использованием кода Flash, HTML и JavaScript в Mozilla Firefox в системах Mac OS X (исправлено в Firefox 30.0), которая может привести к выполнению произвольного кода и слежке за веб-камерой. [27]
Вторая уязвимость CursorJacking была снова обнаружена Джорди Чанселем в Mozilla Firefox в системах Mac OS X (исправлена в Firefox 37.0) с использованием еще раз кода Flash , HTML и JavaScript, что также может привести к шпионажу через веб-камеру и выполнению вредоносного дополнения. разрешение запуска вредоносного ПО на компьютере затронутого пользователя. [28]
МаусДжек [ править ]
В отличие от других методов кликджекинга, которые исправляют пользовательский интерфейс, MouseJack представляет собой уязвимость беспроводного аппаратного пользовательского интерфейса, о которой впервые сообщил Марк Ньюлин из Bastille.net в 2016 году, которая позволяет вводить ввод с внешней клавиатуры в уязвимые ключи. [29] Компания Logitech предоставила исправления прошивки, но другие производители не смогли отреагировать на эту уязвимость. [30]
Без браузера [ править ]
При безбраузерном кликджекинге злоумышленники используют уязвимости в программах, чтобы имитировать в них классический кликджекинг, без необходимости использовать наличие веб-браузера.
Этот метод кликджекинга в основном распространен среди мобильных устройств, обычно на устройствах Android , особенно из-за способа работы всплывающих уведомлений . Поскольку всплывающие уведомления имеют небольшую задержку между моментом запроса уведомления и моментом фактического отображения уведомления на экране, злоумышленники могут использовать этот промежуток для создания фиктивной кнопки, которая скрыта под уведомлением и на которую все еще можно нажать. . [7]
CookieJacking [ править ]
жертвы CookieJacking — это форма кликджекинга, при которой файлы cookie похищаются из веб-браузеров . Это делается путем обмана, заставляющего пользователя перетащить объект, который на первый взгляд кажется безобидным, но на самом деле заставляет пользователя выбрать все содержимое целевого файла cookie. Оттуда злоумышленник может получить файл cookie и все имеющиеся у него данные. [14] [ нужны разъяснения ]
FileJacking [ править ]
При FileJacking злоумышленники используют возможности веб-браузера для навигации по компьютеру и доступа к компьютерным файлам с целью получения личных данных. Для этого он обманом заставляет пользователя установить активный файловый сервер (через окно выбора файлов и папок, которое используют браузеры). Благодаря этому злоумышленники теперь могут получить доступ к файлам с компьютеров своих жертв и забрать их. [15]
Атака на менеджер паролей [ править ]
В статье 2014 года исследователя из Университета Карнеги-Меллон было обнаружено, что, хотя браузеры отказываются выполнять автозаполнение, если протокол на текущей странице входа отличается от протокола на момент сохранения пароля, некоторые менеджеры паролей могут небезопасно заполнять пароли для http-версии. паролей, сохраненных в https. Большинство менеджеров не защитили себя от iFrame и перенаправления на основе атак и предоставили дополнительные пароли в тех случаях, когда синхронизация паролей . между несколькими устройствами использовалась [16]
Профилактика [ править ]
Клиентская сторона [ править ]
NoScript [ править ]
Защита от кликджекинга (в том числе лайкджекинга) может быть добавлена в Mozilla Firefox для ПК и мобильных устройств. [31] версии путем установки надстройки NoScript : ее функция ClearClick, выпущенная 8 октября 2008 г., не позволяет пользователям нажимать на невидимые или «исправленные» элементы страницы встроенных документов или апплетов. [32] Согласно «Руководству по безопасности браузера» Google от 2008 года, ClearClick от NoScript является «свободно доступным продуктом, предлагающим разумную степень защиты» от кликджекинга. [33] Защита от новой атаки курсорджекинга была добавлена в NoScript 2.2.8 RC1. [26]
NoClickjack [ править ]
Дополнение веб-браузера «NoClickjack» ( расширение браузера ) добавляет защиту от кликджекинга на стороне клиента для пользователей Google Chrome , Mozilla Firefox , Opera и Microsoft Edge, не мешая работе законных iFrames. NoClickjack основан на технологии, разработанной для GuardedID. Дополнение NoClickjack предоставляется бесплатно.
GuardedID [ править ]
GuardedID (коммерческий продукт) включает защиту от кликджекинга на стороне клиента для пользователей Internet Explorer, не мешая работе законных iFrames. [34] Защита от кликджекинга GuardedID заставляет все кадры становиться видимыми. Команды GuardedID [ нужны разъяснения ] с надстройкой NoClickjack для дополнительной защиты Google Chrome , Mozilla Firefox , Opera и Microsoft Edge .
Газель [ править ]
Gazelle — это безопасный веб-браузер, созданный в рамках исследовательского проекта Microsoft, основанный на IE, который использует модель безопасности, аналогичную операционной системе , и имеет собственную ограниченную защиту от кликджекинга. [35] В «Газели» окно другого происхождения может отображать динамический контент поверх экранного пространства другого окна только в том случае, если отображаемый им контент непрозрачен.
Intersection Observer v2 [ править ]
API Intersection Observer v2 [36] представляет концепцию отслеживания фактической «видимости» целевого элемента, как его определил бы человек. [37] Это позволяет виджету в рамке определять, когда он закрыт. Эта функция включена по умолчанию, начиная с версии Google Chrome 74, выпущенной в апреле 2019 года. [38] API также реализован другими браузерами на базе Chromium , такими как Microsoft Edge и Opera.
Серверная часть [ править ]
Фреймкиллер [ править ]
Владельцы веб-сайтов могут защитить своих пользователей от исправления пользовательского интерфейса (перехвата кликов на основе фреймов) на стороне сервера, включив фрагмент JavaScript-кода Framekiller на те страницы, которые они не хотят включать во фреймы из разных источников. [33]
Такая защита на основе JavaScript не всегда надежна. Это особенно актуально для Internet Explorer, [33] где такого рода контрмеры можно обойти «преднамеренно», включив целевую страницу в <IFRAME SECURITY=restricted> элемент. [39]
Параметры X-Frame [ править ]
В 2009 году в Internet Explorer 8 появился новый HTTP-заголовок. X-Frame-Options который предлагал частичную защиту от кликджекинга [40] [41] и был принят другими браузерами ( Safari , [42] Фаерфокс , [43] Хром , [44] и Опера [45] ) вскоре после этого. Заголовок, установленный владельцем веб-сайта, объявляет предпочтительную политику кадрирования: значения DENY, ALLOW-FROM origin, или SAMEORIGIN запретит любое фреймирование, фреймирование внешними сайтами или разрешит фреймирование только указанным сайтом соответственно. Кроме того, некоторые рекламные сайты возвращают нестандартное сообщение. ALLOWALL значение с намерением разрешить кадрирование их содержимого на любой странице (эквивалент отсутствия установки X-Frame-Options вообще).
В 2013 году заголовок X-Frame-Options был официально опубликован как RFC 7034. [46] но не является стандартом Интернета. Документ предоставлен исключительно в информационных целях. Рекомендация W3C Content Security Policy Level 2 предоставляет альтернативную директиву безопасности, Frame-ancestors, которая предназначена для устаревшего заголовка X-Frame-Options. [47]
Заголовок безопасности, такой как X-Frame-Options, не защитит пользователей от атак кликджекинга, которые не используют фрейм. [48]
Политика безопасности контента [ править ]
The frame-ancestors Директива Политики безопасности контента (представленная в версии 1.1) может разрешать или запрещать встраивание контента потенциально враждебными страницами с использованием iframe, объекта и т. д. Эта директива отменяет директиву X-Frame-Options. Если страница обслуживается с обоими заголовками, браузер должен отдать предпочтение политике предков фреймов. [49] — хотя некоторые популярные браузеры не подчиняются этому требованию. [50]
Пример политики предков фреймов:
# Запретить встраивание. Все iframe и т. д. будут пустыми или будут содержать страницу с ошибкой, специфичную для браузера.Content-Security-Policy: предки фрейма «нет»
# Разрешить встраивание только собственного контента .Content-Security-Policy: предки фрейма «self»
# Разрешить определенным источникам встраивать этот контентПолитика безопасности контента: фрейм-предки www.example.com www.wikipedia.org
См. также [ править ]
Ссылки [ править ]
- ^ Роберт Макмиллан (17 сентября 2008 г.). «По просьбе Adobe хакеры прекращают разговоры о кликджекинге» . Мир ПК. Архивировано из оригинала 17 июля 2015 года . Проверено 8 октября 2008 г.
- ^ Мегха Дхаван (29 сентября 2008 г.). «Осторожно, кликджекеры на охоте» . Таймс оф Индия . Архивировано из оригинала 24 июля 2009 года . Проверено 8 октября 2008 г.
- ^ Дэн Гудин (7 октября 2008 г.). «Сетевая игра превращает ПК в зомби под прикрытием» . Регистр . Проверено 8 октября 2008 г.
- ^ Фредрик Лейн (8 октября 2008 г.). «Пользователи Интернета сталкиваются с новой опасной угрозой: «кликджекингом» » . newsfactor.com. Архивировано из оригинала 13 октября 2008 года . Проверено 8 октября 2008 г.
- ^ Шахриар, Хоссейн; Девендран, Вамши Кришна (4 июля 2014 г.). «Классификация кликджекинг-атак и методы их обнаружения» . Журнал информационной безопасности: глобальная перспектива . 23 (4–6): 137–147. дои : 10.1080/19393555.2014.931489 . ISSN 1939-3555 . S2CID 43912852 .
- ^ Растерянный депутат снова едет! , Тайлер Клоуз, октябрь 2008 г.
- ↑ Перейти обратно: Перейти обратно: а б с д и ж г час я дж к Нимитц, Маркус (2012). «Атаки с исправлением пользовательского интерфейса на устройствах Android» (PDF) . Черная шляпа .
- ↑ Вы не знаете (щелкните) Джека Роберта Лемоса, октябрь 2008 г.
- ^ Жастин, Берри. «Номер справки Facebook 1-888-996-3777» . Проверено 7 июня 2016 г.
- ^ «Вирусный червь, перехватывающий лайки, поразил пользователей Facebook» . Голая охрана . 31 мая 2010 года . Проверено 23 октября 2018 г.
- ^ «Червь Facebook – «Лайкджекинг» » . Голая охрана . 31 мая 2010 года . Проверено 23 октября 2018 г.
- ↑ Перейти обратно: Перейти обратно: а б Лекиес, Себастьян (2012). «О хрупкости и ограничениях текущих схем защиты от кликджекинга, предоставляемых браузером» (PDF) . УСЕНИКС .
- ^ «Хаки с беспроводной мышью и защита сетевой безопасности» . МЫШДЖЕК . Проверено 3 января 2020 г.
- ↑ Перейти обратно: Перейти обратно: а б Валотта, Росарио (2011). «Кукиджекинг» . тентаколоВиола – site.google.com . Архивировано из оригинала 7 августа 2019 года . Проверено 23 октября 2018 г.
- ↑ Перейти обратно: Перейти обратно: а б «Filejacking: Как создать файловый сервер из вашего браузера (конечно, с помощью HTML5)» . blog.kotowicz.net . Проверено 23 октября 2018 г.
- ↑ Перейти обратно: Перейти обратно: а б «Менеджеры паролей: атаки и защита» (PDF) . Проверено 26 июля 2015 г.
- ^ Сахани, Ришаб; Рандхава, Сухчандан (1 декабря 2021 г.). «Кликджекинг: остерегайтесь кликов» . Беспроводная персональная связь . 121 (4): 2845–2855. дои : 10.1007/s11277-021-08852-y . ISSN 0929-6212 . S2CID 239691334 .
- ^ «Кликджекинг и XSS: современное состояние» . Эксплуатация БД. 26 декабря 2008 года . Проверено 31 марта 2015 г.
- ^ Кшиштоф Котович. «Использование неэксплуатируемого XSS с помощью кликджекинга» . Проверено 31 марта 2015 г.
- ^ Коэн, Ричард (31 мая 2010 г.). «Работа в Facebook – «лайкджекинг» » . Софос . Архивировано из оригинала 4 июня 2010 года . Проверено 5 июня 2010 г.
- ^ Баллоу, Кори (2 июня 2010 г.). « Термин «лайкджекинг» приживается» . jqueryin.com. Архивировано из оригинала 5 июня 2010 года . Проверено 8 июня 2010 г.
- ^ Перес, Сара (2 июня 2010 г.). « Лайкджекинг» набирает обороты в Facebook» . ЧитатьWriteWeb. Архивировано из оригинала 16 августа 2011 года . Проверено 5 июня 2010 г.
- ^ Кушнер, Дэвид (июнь 2011 г.). «Философия Facebook: двигайтесь быстро и ломайте вещи» . Spectrum.ieee.org . Проверено 15 июля 2011 г.
- ^ Перес, Сара (23 апреля 2010 г.). «Как поставить лайк чему угодно в сети (безопасно)» . ЧитатьWriteWeb . Проверено 24 августа 2011 г.
- ^ Подлипенский, Павел. «Подмена курсора и захват курсора» . Подлипенский.com . Павел Подлипенский. Архивировано из оригинала 22 ноября 2017 года . Проверено 22 ноября 2017 г.
- ↑ Перейти обратно: Перейти обратно: а б Кшиштоф Котович (18 января 2012 г.). «Снова курсорджекинг» . Проверено 31 января 2012 г.
- ^ «Рекомендации по безопасности Mozilla Foundation 2014-50» . Мозилла . Проверено 17 августа 2014 г.
- ^ «Рекомендации по безопасности Mozilla Foundation 2015-35» . Мозилла . Проверено 25 октября 2015 г.
- ^ «Что такое МаусДжек!» . Бастилия . Проверено 3 января 2020 г.
- ^ «CERT VU#981271 Несколько беспроводных устройств с клавиатурой и мышью используют небезопасный собственный протокол беспроводной связи» . kb.cert.org . Проверено 3 января 2020 г.
- ^ Джорджио Маоне (24 июня 2011 г.). «Нет сценария нигде» . hackademix.net . Проверено 30 июня 2011 г.
- ^ Джорджио Маоне (8 октября 2008 г.). «Привет, ClearClick, прощай, кликджекинг» . hackademix.net . Проверено 27 октября 2008 г.
- ↑ Перейти обратно: Перейти обратно: а б с Михал Залевски (10 декабря 2008 г.). «Справочник по безопасности браузера, часть 2, исправление пользовательского интерфейса» . Гугл Инк . Проверено 27 октября 2008 г.
- ^ Роберт Хансен (4 февраля 2009 г.). «Кликджекинг и GuardedID лаборатория безопасности веб-приложений ha.ckers.org» . Архивировано из оригинала 11 июля 2012 года . Проверено 30 ноября 2011 г.
- ^ Ван, Хелен Дж .; Гриер, Крис; Мощук, Александр; Кинг, Сэмюэл Т.; Чоудхури, Пиали; Вентер, Герман (август 2009 г.). «Построение многоосновной ОС веб-браузера Gazelle» (PDF) . 18-й симпозиум по безопасности Usenix, Монреаль, Канада . Проверено 26 января 2010 г.
- ^ «Обозреватель пересечений – черновик редактора W3C» .
- ^ «Доверие хорошо, наблюдение лучше» .
- ^ «Деанонимизация посредством кликджекинга в 2019 году» .
- ^ Джорджио Маоне (27 октября 2008 г.). «Привет, IE8, я могу иметь некоторую защиту от кликджекинга» . hackademix.net . Проверено 27 октября 2008 г.
- ^ Эрик Лоуренс (27 января 2009 г.). «Безопасность IE8, часть VII: защита от кликджекинга» . Проверено 30 декабря 2010 г.
- ^ Эрик Лоуренс (30 марта 2010 г.). «Борьба с кликджекингом с помощью X-Frame-Options» . Проверено 30 декабря 2010 г.
- ^ Райан Нарейн (8 июня 2009 г.). «Большой патч Apple Safari: исправлено более 50 уязвимостей» . Архивировано из оригинала 12 июня 2009 года . Проверено 10 июня 2009 г.
- ^ https://developer.mozilla.org/en/The_X-FRAME-OPTIONS_response_header . Архивировано 7 октября 2010 г. на Wayback Machine. Заголовок ответа X-Frame-Options — MDC.
- ^ Адам Барт (26 января 2010 г.). «Безопасность в глубине: новые функции безопасности» . Проверено 26 января 2010 г.
- ^ «Поддержка веб-спецификаций в Opera Presto 2.6» . 12 октября 2010 г. Архивировано из оригинала 14 января 2012 г. . Проверено 22 января 2012 г.
- ^ «Параметры X-Frame-поля заголовка HTTP» . IETF. 2013.
- ^ «Политика безопасности контента, уровень 2» . W3C. 2016.
- ^ «Блог lcamtuf: X-Frame-Options, или решение не той проблемы» . 10 декабря 2011 г.
- ^ «Политика безопасности контента, уровень 2» . w3.org . 2 июля 2014 года . Проверено 29 января 2015 г.
- ^ «Шпаргалка по защите от кликджекинга» . Проверено 15 января 2016 г.