# Клікджекінг
Вивчайте хакінг AWS від нуля до героя зhtARTE (HackTricks AWS Red Team Expert)!
Інші способи підтримки HackTricks:
* Якщо ви хочете побачити **рекламу вашої компанії на HackTricks** або **завантажити HackTricks у форматі PDF**, перевірте [**ПЛАНИ ПІДПИСКИ**](https://github.com/sponsors/carlospolop)!
* Отримайте [**офіційний PEASS & HackTricks мерч**](https://peass.creator-spring.com)
* Відкрийте для себе [**Сім'ю PEASS**](https://opensea.io/collection/the-peass-family), нашу колекцію ексклюзивних [**NFT**](https://opensea.io/collection/the-peass-family)
* **Приєднуйтесь до** 💬 [**групи Discord**](https://discord.gg/hRep4RUj7f) або [**групи Telegram**](https://t.me/peass) або **слідкуйте** за нами на **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)**.**
* **Поділіться своїми хакерськими трюками, надсилайте PR до** [**HackTricks**](https://github.com/carlospolop/hacktricks) **і** [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) **репозиторіїв на GitHub**.
\
Використовуйте [**Trickest**](https://trickest.com/?utm\_campaign=hacktrics\&utm\_medium=banner\&utm\_source=hacktricks), щоб легко створювати та **автоматизувати робочі процеси** за допомогою найбільш **продвинутих** інструментів спільноти у світі.\
Отримайте доступ сьогодні:
{% embed url="https://trickest.com/?utm_campaign=hacktrics&utm_medium=banner&utm_source=hacktricks" %}
## Що таке Клікджекінг
Під час атаки клікджекінгу **користувача обманюють**, щоб він **клацнув** на **елемент** веб-сторінки, який або **невидимий**, або прикритий під інший елемент. Ця маніпуляція може призвести до непередбачуваних наслідків для користувача, таких як завантаження шкідливого програмного забезпечення, перенаправлення на шкідливі веб-сторінки, надання облікових даних або конфіденційної інформації, переказ коштів або онлайн-покупки продуктів.
### Хитрість з попереднім заповненням форми
Іноді можливо **заповнити значення полів форми, використовуючи GET-параметри при завантаженні сторінки**. Злоумисник може скористатися цією поведінкою, щоб заповнити форму довільними даними і відправити клікджекінговий вміст, щоб користувач натиснув кнопку "Відправити".
### Заповнення форми за допомогою перетягування та відпускання
Якщо вам потрібно, щоб користувач **заповнив форму**, але ви не хочете прямо просити його написати певну інформацію (наприклад, електронну пошту або конкретний пароль, який ви знаєте), ви можете просто попросити його **перетягнути та відпустити** щось, що напише ваші керовані дані, як у [**цьому прикладі**](https://lutfumertceylan.com.tr/posts/clickjacking-acc-takeover-drag-drop/).
### Базовий Пейлоад
```markup
Click me
```
### Багатоетапний Пейлоад
```markup
Click me first
Click me next
```
### Перетягування та клацання вразливість
```markup
.
1. Click and press delete button
3.Click me
2.DRAG ME TO THE RED BOX
```
### XSS + Клікджекінг
Якщо ви виявили **атаку XSS, яка потребує кліку користувача** на певний елемент для **спрацювання** XSS, і сторінка **вразлива до клікджекінгу**, ви можете використати це, щоб обманом змусити користувача клікнути на кнопку/посилання.\
Приклад:\
_Ви знайшли **само XSS** в деяких конфіденційних деталях облікового запису (деталі, які **може встановити і прочитати тільки ви**). Сторінка з **формою** для встановлення цих деталей **вразлива** до **клікджекінгу**, і ви можете **попередньо заповнити** **форму** з параметрами GET._\
\_\_Атакувальник може підготувати атаку **клікджекінгу** на цю сторінку, **попередньо заповнюючи** **форму** **XSS-навантаженням** і обманюючи **користувача** клікнути на **Відправити** форму. Таким чином, **при відправленні форми** і зміні значень, **користувач виконає XSS**.
## Стратегії для запобігання клікджекінгу
### Захист на стороні клієнта
Скрипти, що виконуються на стороні клієнта, можуть виконувати дії для запобігання клікджекінгу:
* Переконання, що вікно додатка є головним або верхнім вікном.
* Роблення всіх фреймів видимими.
* Запобігання клікам на невидимі фрейми.
* Виявлення та попередження користувачів про можливі спроби клікджекінгу.
Однак ці скрипти для вибивання фреймів можуть бути обійдені:
* **Налаштування безпеки браузерів:** Деякі браузери можуть блокувати ці скрипти на основі своїх налаштувань безпеки або відсутності підтримки JavaScript.
* **Атрибут HTML5 iframe `sandbox`:** Атакувальник може нейтралізувати скрипти для вибивання фреймів, встановивши атрибут `sandbox` зі значеннями `allow-forms` або `allow-scripts` без `allow-top-navigation`. Це запобігає перевірці iframe на те, чи воно є верхнім вікном, наприклад,
```html
```
### Захист на стороні сервера
#### X-Frame-Options
**Заголовок відповіді HTTP `X-Frame-Options`** повідомляє браузерам про законність відображення сторінки в `` або `
 (1) (1) (1) (1) (1).png)