[**Trickest**](https://trickest.com/?utm\_campaign=hacktrics\&utm\_medium=banner\&utm\_source=hacktricks)를 사용하여 세계에서 가장 **고급 커뮤니티 도구**를 활용한 **워크플로우를 쉽게 구축하고 자동화**하세요.\
클릭재킹 공격에서는 **사용자**가 **보이지 않는** 또는 다른 요소로 위장한 웹페이지의 **요소**를 **클릭**하도록 **속이는** 것입니다. 이 조작은 사용자에게 의도하지 않은 결과를 초래할 수 있으며, 악성 소프트웨어 다운로드, 악성 웹페이지로의 리디렉션, 자격증명이나 민감한 정보 제공, 자금 이체, 제품 온라인 구매 등이 포함될 수 있습니다.
사용자에게 **폼을 채우도록** 요구하지만 직접적으로 특정 정보(예: 알고 있는 이메일 또는 특정 비밀번호)를 작성하도록 요청하고 싶지 않은 경우, [**이 예제**](https://lutfumertceylan.com.tr/posts/clickjacking-acc-takeover-drag-drop/)와 같이 제어 가능한 데이터를 작성할 수 있는 것을 드래그 앤 드롭으로 요청할 수 있습니다.
A multistep payload is a technique used in clickjacking attacks to perform multiple actions in a single click. This technique involves dividing the payload into multiple steps, each corresponding to a specific action. By using iframes and manipulating their properties, the attacker can trick the victim into unknowingly performing these actions.
To implement a multistep payload, the attacker first creates an invisible iframe that overlays the target website. The iframe is positioned in such a way that it covers a specific element or button on the target website that the attacker wants the victim to click on. The attacker then modifies the properties of the iframe to make it transparent or hidden from view.
Next, the attacker creates a series of iframes, each containing the code for a specific action. These iframes are stacked on top of each other, with the first iframe containing the code for the initial action and subsequent iframes containing the code for subsequent actions. The attacker manipulates the properties of each iframe to make them invisible or hidden.
When the victim clicks on the targeted element or button, they are actually clicking on the invisible iframe overlaying it. This triggers the execution of the multistep payload, with each iframe performing its corresponding action. The victim remains unaware of these actions, as they only see the original element or button being clicked.
By using a multistep payload, an attacker can perform a series of actions on behalf of the victim without their knowledge or consent. This technique can be used to carry out various malicious activities, such as submitting forms, making purchases, or changing account settings, all without the victim's awareness.
This technique combines the use of drag and drop functionality with a click payload to perform a clickjacking attack. Clickjacking is a type of attack where an attacker tricks a user into clicking on a malicious element disguised as a legitimate element on a web page.
이 기법은 드래그 앤 드롭 기능과 클릭 페이로드를 결합하여 클릭재킹 공격을 수행합니다. 클릭재킹은 공격자가 웹 페이지에서 합법적인 요소로 위장한 악성 요소를 사용자로 속여 클릭하도록 유도하는 유형의 공격입니다.
To execute this attack, the attacker first creates a draggable element on a web page. This element is typically hidden from the user's view. The attacker then overlays a transparent or semi-transparent element on top of the draggable element, making it appear as if the user is interacting with the legitimate element.
이 공격을 실행하기 위해 공격자는 먼저 웹 페이지에 드래그 가능한 요소를 생성합니다. 이 요소는 일반적으로 사용자의 시야에서 숨겨집니다. 그런 다음 공격자는 드래그 가능한 요소 위에 투명 또는 반투명한 요소를 겹쳐 놓아 사용자가 합법적인 요소와 상호작용하는 것처럼 보이도록 만듭니다.
When the user interacts with the visible element by dragging it, the hidden draggable element is also moved accordingly. However, the user is unaware of this hidden element. The attacker can then position the hidden element over a target element, such as a button or a link, and make it appear as if the user is clicking on the target element.
사용자가 보이는 요소와 상호작용하여 드래그할 때, 숨겨진 드래그 가능한 요소도 그에 따라 이동됩니다. 그러나 사용자는 이 숨겨진 요소를 인식하지 못합니다. 공격자는 그런 다음 숨겨진 요소를 대상 요소(버튼 또는 링크 등) 위에 위치시키고 사용자가 대상 요소를 클릭하는 것처럼 보이도록 할 수 있습니다.
By combining the drag and drop functionality with a click payload, the attacker can trick the user into unknowingly performing actions on the target element, such as submitting a form, making a purchase, or performing any other action that the target element is designed to perform.
드래그 앤 드롭 기능과 클릭 페이로드를 결합함으로써 공격자는 사용자가 대상 요소에 대해 알지 못한 채로 작업을 수행하도록 속일 수 있습니다. 이 작업에는 양식 제출, 구매, 또는 대상 요소가 수행하도록 설계된 기타 작업 등이 포함될 수 있습니다.
* **브라우저의 보안 설정:** 일부 브라우저는 보안 설정이나 JavaScript 지원 부족으로 인해 이러한 스크립트를 차단할 수 있습니다.
* **HTML5 iframe `sandbox` 속성:** 공격자는 `allow-forms` 또는 `allow-scripts` 값을 가진 `sandbox` 속성을 설정하여 프레임 버스터 스크립트를 무력화할 수 있습니다. 이렇게 하면 iframe이 최상위 창인지 확인하지 못합니다. 예를 들어,
`allow-forms` 및 `allow-scripts` 값은 iframe 내에서 작업을 활성화하면서 상위 수준 탐색을 비활성화합니다. 대상 사이트의 의도된 기능을 보장하기 위해 공격 유형에 따라 `allow-same-origin` 및 `allow-modals`와 같은 추가 권한이 필요할 수 있습니다. 브라우저 콘솔 메시지는 허용할 권한을 안내할 수 있습니다.
더 자세한 내용과 복잡한 예제는 [frame-ancestors CSP 문서](https://w3c.github.io/webappsec-csp/document/#directive-frame-ancestors) 및 [Mozilla의 CSP frame-ancestors 문서](https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/frame-ancestors)에서 찾을 수 있습니다.
[**Trickest**](https://trickest.com/?utm\_campaign=hacktrics\&utm\_medium=banner\&utm\_source=hacktricks)를 사용하여 세계에서 가장 고급스러운 커뮤니티 도구를 활용한 **워크플로우를 쉽게 구축하고 자동화**하세요.\
