# Clickjacking {% hint style="success" %} Learn & practice AWS Hacking:[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)\ Learn & practice GCP Hacking: [**HackTricks Training GCP Red Team Expert (GRTE)**](https://training.hacktricks.xyz/courses/grte)
Support HackTricks * Check the [**subscription plans**](https://github.com/sponsors/carlospolop)! * **Join the** πŸ’¬ [**Discord group**](https://discord.gg/hRep4RUj7f) or the [**telegram group**](https://t.me/peass) or **follow** us on **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.** * **Share hacking tricks by submitting PRs to the** [**HackTricks**](https://github.com/carlospolop/hacktricks) and [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos.
{% endhint %}
\ Use [**Trickest**](https://trickest.com/?utm_source=hacktricks&utm_medium=text&utm_campaign=ppc&utm_term=trickest&utm_content=clickjacking) to easily build and **automate workflows** powered by the world's **most advanced** community tools.\ Get Access Today: {% embed url="https://trickest.com/?utm_source=hacktricks&utm_medium=banner&utm_campaign=ppc&utm_content=clickjacking" %} ## Π©ΠΎ Ρ‚Π°ΠΊΠ΅ Clickjacking Π£ Π°Ρ‚Π°Ρ†Ρ– clickjacking **користувача** **ΠΎΠ±ΠΌΠ°Π½ΡŽΡŽΡ‚ΡŒ** Π½Π° **ΠΊΠ»Ρ–ΠΊ** ΠΏΠΎ **Π΅Π»Π΅ΠΌΠ΅Π½Ρ‚Ρƒ** Π½Π° Π²Π΅Π±-сторінці, який Π°Π±ΠΎ **Π½Π΅Π²ΠΈΠ΄ΠΈΠΌΠΈΠΉ**, Π°Π±ΠΎ замаскований ΠΏΡ–Π΄ Ρ–Π½ΡˆΠΈΠΉ Π΅Π»Π΅ΠΌΠ΅Π½Ρ‚. Ця маніпуляція ΠΌΠΎΠΆΠ΅ призвСсти Π΄ΠΎ Π½Π΅ΠΏΠ΅Ρ€Π΅Π΄Π±Π°Ρ‡ΡƒΠ²Π°Π½ΠΈΡ… наслідків для користувача, Ρ‚Π°ΠΊΠΈΡ… як завантаТСння ΡˆΠΊΡ–Π΄Π»ΠΈΠ²ΠΎΠ³ΠΎ ΠŸΠ—, пСрСнаправлСння Π½Π° ΡˆΠΊΡ–Π΄Π»ΠΈΠ²Ρ– Π²Π΅Π±-сторінки, надання ΠΎΠ±Π»Ρ–ΠΊΠΎΠ²ΠΈΡ… Π΄Π°Π½ΠΈΡ… Π°Π±ΠΎ Ρ‡ΡƒΡ‚Π»ΠΈΠ²ΠΎΡ— Ρ–Π½Ρ„ΠΎΡ€ΠΌΠ°Ρ†Ρ–Ρ—, ΠΏΠ΅Ρ€Π΅ΠΊΠ°Π·ΠΈ Π³Ρ€ΠΎΡˆΠ΅ΠΉ Π°Π±ΠΎ ΠΎΠ½Π»Π°ΠΉΠ½-ΠΏΠΎΠΊΡƒΠΏΠΊΠ° Ρ‚ΠΎΠ²Π°Ρ€Ρ–Π². ### Π’Ρ€ΡŽΠΊ Π· ΠΏΠΎΠΏΠ΅Ρ€Π΅Π΄Π½Ρ–ΠΌ заповнСнням Ρ„ΠΎΡ€ΠΌ Π†Π½ΠΎΠ΄Ρ– ΠΌΠΎΠΆΠ»ΠΈΠ²ΠΎ **Π·Π°ΠΏΠΎΠ²Π½ΠΈΡ‚ΠΈ значСння ΠΏΠΎΠ»Ρ–Π² Ρ„ΠΎΡ€ΠΌΠΈ, Π²ΠΈΠΊΠΎΡ€ΠΈΡΡ‚ΠΎΠ²ΡƒΡŽΡ‡ΠΈ GET ΠΏΠ°Ρ€Π°ΠΌΠ΅Ρ‚Ρ€ΠΈ ΠΏΡ€ΠΈ Π·Π°Π²Π°Π½Ρ‚Π°ΠΆΠ΅Π½Π½Ρ– сторінки**. Зловмисник ΠΌΠΎΠΆΠ΅ Π·Π»ΠΎΠ²ΠΆΠΈΠ²Π°Ρ‚ΠΈ Ρ†Ρ–Ρ”ΡŽ ΠΏΠΎΠ²Π΅Π΄Ρ–Π½ΠΊΠΎΡŽ, Ρ‰ΠΎΠ± Π·Π°ΠΏΠΎΠ²Π½ΠΈΡ‚ΠΈ Ρ„ΠΎΡ€ΠΌΡƒ Π΄ΠΎΠ²Ρ–Π»ΡŒΠ½ΠΈΠΌΠΈ Π΄Π°Π½ΠΈΠΌΠΈ Ρ‚Π° надіслати payload clickjacking, Ρ‰ΠΎΠ± користувач натиснув ΠΊΠ½ΠΎΠΏΠΊΡƒ "Π’Ρ–Π΄ΠΏΡ€Π°Π²ΠΈΡ‚ΠΈ". ### ЗаповнСння Ρ„ΠΎΡ€ΠΌΠΈ Π·Π° допомогою Drag&Drop Π―ΠΊΡ‰ΠΎ Π²Π°ΠΌ ΠΏΠΎΡ‚Ρ€Ρ–Π±Π½ΠΎ, Ρ‰ΠΎΠ± користувач **Π·Π°ΠΏΠΎΠ²Π½ΠΈΠ² Ρ„ΠΎΡ€ΠΌΡƒ**, Π°Π»Π΅ Π²ΠΈ Π½Π΅ Ρ…ΠΎΡ‡Π΅Ρ‚Π΅ прямо просити ΠΉΠΎΠ³ΠΎ Π²ΠΊΠ°Π·Π°Ρ‚ΠΈ ΡΠΊΡƒΡΡŒ ΠΊΠΎΠ½ΠΊΡ€Π΅Ρ‚Π½Ρƒ Ρ–Π½Ρ„ΠΎΡ€ΠΌΠ°Ρ†Ρ–ΡŽ (Π½Π°ΠΏΡ€ΠΈΠΊΠ»Π°Π΄, Π΅Π»Π΅ΠΊΡ‚Ρ€ΠΎΠ½Π½Ρƒ ΠΏΠΎΡˆΡ‚Ρƒ Π°Π±ΠΎ ΠΊΠΎΠ½ΠΊΡ€Π΅Ρ‚Π½ΠΈΠΉ ΠΏΠ°Ρ€ΠΎΠ»ΡŒ, який Π²ΠΈ Π·Π½Π°Ρ”Ρ‚Π΅), Π²ΠΈ ΠΌΠΎΠΆΠ΅Ρ‚Π΅ просто попросити ΠΉΠΎΠ³ΠΎ **пСрСтягнути** Ρ‰ΠΎΡΡŒ, Ρ‰ΠΎ запишС Π²Π°ΡˆΡ– ΠΊΠΎΠ½Ρ‚Ρ€ΠΎΠ»ΡŒΠΎΠ²Π°Π½Ρ– Π΄Π°Π½Ρ–, як Ρƒ [**Ρ†ΡŒΠΎΠΌΡƒ ΠΏΡ€ΠΈΠΊΠ»Π°Π΄Ρ–**](https://lutfumertceylan.com.tr/posts/clickjacking-acc-takeover-drag-drop/). ### Основний Payload ```markup
Click me
``` ### БагатоступСнСвий ПСйлоад ```markup
Click me first
Click me next
``` ### Drag\&Drop + Click payload ```markup
.
1. Click and press delete button
3.Click me

2.DRAG ME TO THE RED BOX

``` ### XSS + Clickjacking Π―ΠΊΡ‰ΠΎ Π²ΠΈ виявили **Π°Ρ‚Π°ΠΊΡƒ XSS, яка Π²ΠΈΠΌΠ°Π³Π°Ρ”, Ρ‰ΠΎΠ± користувач натиснув** Π½Π° якийсь Π΅Π»Π΅ΠΌΠ΅Π½Ρ‚, Ρ‰ΠΎΠ± **запустити** XSS, Ρ– сторінка Ρ” **Π²Ρ€Π°Π·Π»ΠΈΠ²ΠΎΡŽ Π΄ΠΎ clickjacking**, Π²ΠΈ ΠΌΠΎΠΆΠ΅Ρ‚Π΅ Π·Π»ΠΎΠ²ΠΆΠΈΠ²Π°Ρ‚ΠΈ Ρ†ΠΈΠΌ, Ρ‰ΠΎΠ± ΠΎΠ±ΠΌΠ°Π½ΡƒΡ‚ΠΈ користувача, Π·ΠΌΡƒΡΠΈΠ²ΡˆΠΈ ΠΉΠΎΠ³ΠΎ натиснути ΠΊΠ½ΠΎΠΏΠΊΡƒ/посилання.\ ΠŸΡ€ΠΈΠΊΠ»Π°Π΄:\ _Π’ΠΈ знайшли **самостійний XSS** Ρƒ дСяких ΠΏΡ€ΠΈΠ²Π°Ρ‚Π½ΠΈΡ… Π΄Π°Π½ΠΈΡ… ΠΎΠ±Π»Ρ–ΠΊΠΎΠ²ΠΎΠ³ΠΎ запису (Π΄Π°Π½Ρ–, які **Ρ‚Ρ–Π»ΡŒΠΊΠΈ Π²ΠΈ ΠΌΠΎΠΆΠ΅Ρ‚Π΅ встановити Ρ‚Π° ΠΏΡ€ΠΎΡ‡ΠΈΡ‚Π°Ρ‚ΠΈ**). Π‘Ρ‚ΠΎΡ€Ρ–Π½ΠΊΠ° Π· **Ρ„ΠΎΡ€ΠΌΠΎΡŽ** для встановлСння Ρ†ΠΈΡ… Π΄Π°Π½ΠΈΡ… Ρ” **Π²Ρ€Π°Π·Π»ΠΈΠ²ΠΎΡŽ** Π΄ΠΎ **Clickjacking**, Ρ– Π²ΠΈ ΠΌΠΎΠΆΠ΅Ρ‚Π΅ **ΠΏΠΎΠΏΠ΅Ρ€Π΅Π΄Π½ΡŒΠΎ Π·Π°ΠΏΠΎΠ²Π½ΠΈΡ‚ΠΈ** **Ρ„ΠΎΡ€ΠΌΡƒ** Π· ΠΏΠ°Ρ€Π°ΠΌΠ΅Ρ‚Ρ€Π°ΠΌΠΈ GET._\ \_\_Зловмисник ΠΌΠΎΠΆΠ΅ ΠΏΡ–Π΄Π³ΠΎΡ‚ΡƒΠ²Π°Ρ‚ΠΈ **Clickjacking** Π°Ρ‚Π°ΠΊΡƒ Π½Π° Ρ†ΡŽ сторінку, **ΠΏΠΎΠΏΠ΅Ρ€Π΅Π΄Π½ΡŒΠΎ заповнивши** **Ρ„ΠΎΡ€ΠΌΡƒ** Π· **XSS payload** Ρ– **ΠΎΠ±ΠΌΠ°Π½ΡƒΡ‚ΠΈ** **користувача**, Ρ‰ΠΎΠ± **надіслати** Ρ„ΠΎΡ€ΠΌΡƒ. ΠžΡ‚ΠΆΠ΅, **ΠΊΠΎΠ»ΠΈ Ρ„ΠΎΡ€ΠΌΠ° Π±ΡƒΠ΄Π΅ надіслана** Ρ– значСння Π±ΡƒΠ΄ΡƒΡ‚ΡŒ Π·ΠΌΡ–Π½Π΅Π½Ρ–, **користувач Π²ΠΈΠΊΠΎΠ½Π°Ρ” XSS**. ## Π‘Ρ‚Ρ€Π°Ρ‚Π΅Π³Ρ–Ρ— для ΠΏΠΎΠΌ'якшСння Clickjacking ### Захисти Π½Π° стороні ΠΊΠ»Ρ–Ρ”Π½Ρ‚Π° Π‘ΠΊΡ€ΠΈΠΏΡ‚ΠΈ, Π²ΠΈΠΊΠΎΠ½ΡƒΠ²Π°Π½Ρ– Π½Π° стороні ΠΊΠ»Ρ–Ρ”Π½Ρ‚Π°, ΠΌΠΎΠΆΡƒΡ‚ΡŒ Π²ΠΈΠΊΠΎΠ½ΡƒΠ²Π°Ρ‚ΠΈ Π΄Ρ–Ρ— для запобігання Clickjacking: * ЗабСзпСчСння Ρ‚ΠΎΠ³ΠΎ, Ρ‰ΠΎΠ± Π²Ρ–ΠΊΠ½ΠΎ ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΈ Π±ΡƒΠ»ΠΎ основним Π°Π±ΠΎ Π²Π΅Ρ€Ρ…Π½Ρ–ΠΌ Π²Ρ–ΠΊΠ½ΠΎΠΌ. * Π—Ρ€ΠΎΠ±ΠΈΡ‚ΠΈ всі Ρ„Ρ€Π΅ΠΉΠΌΠΈ Π²ΠΈΠ΄ΠΈΠΌΠΈΠΌΠΈ. * Π—Π°ΠΏΠΎΠ±Ρ–Π³Ρ‚ΠΈ натисканням Π½Π° Π½Π΅Π²ΠΈΠ΄ΠΈΠΌΡ– Ρ„Ρ€Π΅ΠΉΠΌΠΈ. * ВиявлСння Ρ‚Π° сповіщСння користувачів ΠΏΡ€ΠΎ ΠΏΠΎΡ‚Π΅Π½Ρ†Ρ–ΠΉΠ½Ρ– спроби Clickjacking. Однак Ρ†Ρ– скрипти для Π·Π»Π°ΠΌΡƒ Ρ„Ρ€Π΅ΠΉΠΌΡ–Π² ΠΌΠΎΠΆΡƒΡ‚ΡŒ Π±ΡƒΡ‚ΠΈ ΠΎΠ±Ρ–ΠΉΠ΄Π΅Π½Ρ–: * **ΠΠ°Π»Π°ΡˆΡ‚ΡƒΠ²Π°Π½Π½Ρ Π±Π΅Π·ΠΏΠ΅ΠΊΠΈ Π±Ρ€Π°ΡƒΠ·Π΅Ρ€Ρ–Π²:** ДСякі Π±Ρ€Π°ΡƒΠ·Π΅Ρ€ΠΈ ΠΌΠΎΠΆΡƒΡ‚ΡŒ Π±Π»ΠΎΠΊΡƒΠ²Π°Ρ‚ΠΈ Ρ†Ρ– скрипти Π½Π° основі своїх Π½Π°Π»Π°ΡˆΡ‚ΡƒΠ²Π°Π½ΡŒ Π±Π΅Π·ΠΏΠ΅ΠΊΠΈ Π°Π±ΠΎ відсутності ΠΏΡ–Π΄Ρ‚Ρ€ΠΈΠΌΠΊΠΈ JavaScript. * **HTML5 iframe `sandbox` Π°Ρ‚Ρ€ΠΈΠ±ΡƒΡ‚:** Зловмисник ΠΌΠΎΠΆΠ΅ Π½Π΅ΠΉΡ‚Ρ€Π°Π»Ρ–Π·ΡƒΠ²Π°Ρ‚ΠΈ скрипти для Π·Π»Π°ΠΌΡƒ Ρ„Ρ€Π΅ΠΉΠΌΡ–Π², Π²ΡΡ‚Π°Π½ΠΎΠ²ΠΈΠ²ΡˆΠΈ Π°Ρ‚Ρ€ΠΈΠ±ΡƒΡ‚ `sandbox` Π·Ρ– значСннями `allow-forms` Π°Π±ΠΎ `allow-scripts` Π±Π΅Π· `allow-top-navigation`. Π¦Π΅ Π·Π°ΠΏΠΎΠ±Ρ–Π³Π°Ρ” ΠΏΠ΅Ρ€Π΅Π²Ρ–Ρ€Ρ†Ρ– iframe, Ρ‡ΠΈ Ρ” Π²Ρ–Π½ Π²Π΅Ρ€Ρ…Π½Ρ–ΠΌ Π²Ρ–ΠΊΠ½ΠΎΠΌ, Π½Π°ΠΏΡ€ΠΈΠΊΠ»Π°Π΄, ```html ``` The `allow-forms` and `allow-scripts` values enable actions within the iframe while disabling top-level navigation. To ensure the intended functionality of the targeted site, additional permissions like `allow-same-origin` and `allow-modals` might be necessary, depending on the attack type. Browser console messages can guide which permissions to allow. ### Π‘Π΅Ρ€Π²Π΅Ρ€Π½Ρ– захисти #### X-Frame-Options The **`X-Frame-Options` HTTP response header** informs browsers about the legitimacy of rendering a page in a `` or `