# Clickjacking
Leer AWS hak vanaf nul tot held methtARTE (HackTricks AWS Red Team Expert)!
Ander maniere om HackTricks te ondersteun:
* As jy wil sien dat jou **maatskappy geadverteer word in HackTricks** of **HackTricks aflaai in PDF-formaat** Kyk na die [**INSKRYWINGSPLANNE**](https://github.com/sponsors/carlospolop)!
* Kry die [**amptelike PEASS & HackTricks swag**](https://peass.creator-spring.com)
* Ontdek [**Die PEASS Familie**](https://opensea.io/collection/the-peass-family), ons versameling van eksklusiewe [**NFTs**](https://opensea.io/collection/the-peass-family)
* **Sluit aan by die** 💬 [**Discord groep**](https://discord.gg/hRep4RUj7f) of die [**telegram groep**](https://t.me/peass) of **volg** ons op **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)**.**
* **Deel jou haktruuks deur PRs in te dien by die** [**HackTricks**](https://github.com/carlospolop/hacktricks) en [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos.
\
Gebruik [**Trickest**](https://trickest.com/?utm_source=hacktricks&utm_medium=text&utm_campaign=ppc&utm_term=trickest&utm_content=clickjacking) om maklik **werkstrome te bou en outomatiseer** wat aangedryf word deur die wêreld se **mees gevorderde** gemeenskapshulpmiddels.\
Kry Vandag Toegang:
{% embed url="https://trickest.com/?utm_source=hacktricks&utm_medium=banner&utm_campaign=ppc&utm_content=clickjacking" %}
## Wat is Clickjacking
In 'n clickjacking-aanval word 'n **gebruiker** **bedrieg** om op 'n **element** op 'n webbladsy te **klik** wat óf **onsigbaar** is óf vermom is as 'n ander element. Hierdie manipulasie kan lei tot onbedoelde gevolge vir die gebruiker, soos die aflaai van malware, omleiding na skadelike webbladsye, die voorsiening van geloofsbriewe of sensitiewe inligting, geldoorplasings, of die aanlyn-aankoop van produkte.
### Vooraf ingevulde vormtruuks
Soms is dit moontlik om die waarde van velde van 'n vorm te **vul deur GET-parameters te gebruik wanneer 'n bladsy gelaai word**. 'n Aanvaller kan hierdie gedrag misbruik om 'n vorm met willekeurige data te vul en die clickjacking-lading te stuur sodat die gebruiker die knoppie Indien druk.
### Vul vorm met Sleep & Plaas
As jy wil hê dat die gebruiker 'n vorm moet **voltooi** maar jy wil hom nie direk vra om spesifieke inligting te skryf (soos die e-pos en of spesifieke wagwoord wat jy weet nie), kan jy hom net vra om iets te **Sleep & Plaas** wat jou beheerde data sal skryf soos in [**hierdie voorbeeld**](https://lutfumertceylan.com.tr/posts/clickjacking-acc-takeover-drag-drop/).
### Basiese Lading
```markup
Click me
```
### Veelstapgelaai
```markup
Click me first
Click me next
```
### Sleep & Kliek lading
```markup
.
1. Click and press delete button
3.Click me
2.DRAG ME TO THE RED BOX
```
### XSS + Clickjacking
Indien jy 'n **XSS-aanval identifiseer wat 'n gebruiker vereis om op 'n element te klik** om die XSS te **trigger** en die bladsy is **kwesbaar vir clickjacking**, kan jy dit misbruik om die gebruiker te mislei om op die knoppie/skakel te klik.
Voorbeeld:
_Jy het 'n **self XSS** gevind in sekere privaat besonderhede van die rekening (besonderhede wat **net jy kan instel en lees**). Die bladsy met die **vorm** om hierdie besonderhede in te stel is **kwesbaar** vir **Clickjacking** en jy kan die **vorm vooraf invul** met die GET parameters._
\_\_'n Aanvaller kan 'n **Clickjacking**-aanval op daardie bladsy voorberei deur die **vorm vooraf in te vul** met die **XSS-lading** en die **gebruiker te mislei** om die **vorm in te dien**. So, **wanneer die vorm ingedien word** en die waardes gewysig word, sal die **gebruiker die XSS uitvoer**.
## Strategieë om Clickjacking te Verswak
### Kliëntkant Verdediging
Skripte wat aan die kliëntkant uitgevoer word, kan aksies uitvoer om Clickjacking te voorkom:
* Verseker dat die aansoekvenster die hoof- of boonste venster is.
* Maak alle rame sigbaar.
* Voorkom kliek op onsigbare rame.
* Opmerk en waarsku gebruikers van potensiële Clickjacking-pogings.
Hierdie rambreukskripte kan egter omseil word:
* **Webblaaier se Sekuriteitsinstellings:** Sommige webblaaier kan hierdie skripte blokkeer op grond van hul sekuriteitsinstellings of gebrek aan JavaScript-ondersteuning.
* **HTML5 iframe `sandbox` Kenmerk:** 'n Aanvaller kan rambreukskripte neutraliseer deur die `sandbox` kenmerk in te stel met `allow-forms` of `allow-scripts` waardes sonder `allow-top-navigation`. Dit voorkom dat die iframe verifieer of dit die boonste venster is, bv.,
```html
```
Die `allow-forms` en `allow-scripts` waardes maak aksies binne die iframe moontlik terwyl top-level navigasie uitgeskakel word. Om die bedoelde funksionaliteit van die geteikende webwerf te verseker, mag addisionele toestemmings soos `allow-same-origin` en `allow-modals` nodig wees, afhangende van die aanvalstipe. Blaaierkonsole-boodskappe kan aandui watter toestemmings toegelaat moet word.
### Bedienersyverdedigings
#### X-Frame-Options
Die **`X-Frame-Options` HTTP-antwoordkop** lig blaaier oor die geldigheid van die weergawe van 'n bladsy in 'n `` of `
.png)