# Clickjacking
Μάθετε το χάκινγκ στο AWS από το μηδέν μέχρι τον ήρωα με τοhtARTE (Ειδικός Red Team του HackTricks AWS)!
Άλλοι τρόποι υποστήριξης του HackTricks:
* Αν θέλετε να δείτε την **εταιρεία σας να διαφημίζεται στο HackTricks** ή να **κατεβάσετε το HackTricks σε μορφή PDF** ελέγξτε τα [**ΣΧΕΔΙΑ ΣΥΝΔΡΟΜΗΣ**](https://github.com/sponsors/carlospolop)!
* Αποκτήστε το [**επίσημο PEASS & HackTricks swag**](https://peass.creator-spring.com)
* Ανακαλύψτε [**την Οικογένεια PEASS**](https://opensea.io/collection/the-peass-family), τη συλλογή μας από αποκλειστικά [**NFTs**](https://opensea.io/collection/the-peass-family)
* **Εγγραφείτε** στην 💬 [**ομάδα Discord**](https://discord.gg/hRep4RUj7f) ή στην [**ομάδα τηλεγραφήματος**](https://t.me/peass) ή **ακολουθήστε** μας στο **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)**.**
* **Μοιραστείτε τα χάκινγκ κόλπα σας υποβάλλοντας PRs** στα [**HackTricks**](https://github.com/carlospolop/hacktricks) και [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) αποθετήρια του github.
\
Χρησιμοποιήστε το [**Trickest**](https://trickest.com/?utm_source=hacktricks&utm_medium=text&utm_campaign=ppc&utm_term=trickest&utm_content=clickjacking) για να δημιουργήσετε εύκολα και να **αυτοματοποιήσετε ροές εργασίας** με τα πιο προηγμένα εργαλεία κοινότητας στον κόσμο.\
Αποκτήστε πρόσβαση σήμερα:
{% embed url="https://trickest.com/?utm_source=hacktricks&utm_medium=banner&utm_campaign=ppc&utm_content=clickjacking" %}
## Τι είναι το Clickjacking
Σε μια επίθεση clickjacking, ένας **χρήστης** εξαπατιέται να **κάνει κλικ** σε ένα **στοιχείο** σε μια ιστοσελίδα που είναι είτε **αόρατο** είτε μεταμφιεσμένο ως διαφορετικό στοιχείο. Αυτή η διαστρέβλωση μπορεί να οδηγήσει σε μη επιθυμητές συνέπειες για τον χρήστη, όπως η λήψη κακόβουλου λογισμικού, ανακατεύθυνση σε κακόβουλες ιστοσελίδες, παροχή διαπιστευτήριων ή ευαίσθητων πληροφοριών, μεταφορές χρημάτων ή την online αγορά προϊόντων.
### Κόλπος προσυμπλήρωσης φορμών
Μερικές φορές είναι δυνατόν να **συμπληρωθεί η τιμή των πεδίων μιας φόρμας χρησιμοποιώντας παραμέτρους GET κατά τη φόρτωση μιας σελίδας**. Ένας επιτιθέμενος μπορεί να εκμεταλλευτεί αυτήν τη συμπεριφορά για να συμπληρώσει μια φόρμα με αυθαίρετα δεδομένα και να στείλει το clickjacking payload ώστε ο χρήστης να πατήσει το κουμπί Υποβολή.
### Συμπλήρωση φόρμας με Drag\&Drop
Αν χρειάζεστε τον χρήστη να **συμπληρώσει μια φόρμα** αλλά δεν θέλετε να του ζητήσετε απευθείας να γράψει κάποιες συγκεκριμένες πληροφορίες (όπως το email και/ή συγκεκριμένο κωδικό πρόσβασης που γνωρίζετε), μπορείτε απλά να του ζητήσετε να **σύρει και αποθέσει** κάτι που θα γράψει τα ελεγχόμενα δεδομένα σας όπως σε [**αυτό το παράδειγμα**](https://lutfumertceylan.com.tr/posts/clickjacking-acc-takeover-drag-drop/).
### Βασικό Payload
```markup
```
### XSS + Clickjacking
Εάν έχετε εντοπίσει μια επίθεση **XSS που απαιτεί από έναν χρήστη να κάνει κλικ** σε κάποιο στοιχείο για να **ενεργοποιήσει** το XSS και η σελίδα είναι **ευάλωτη στο clickjacking**, μπορείτε να το εκμεταλλευτείτε για να εξαπατήσετε τον χρήστη να κάνει κλικ στο κουμπί/σύνδεσμο.\
Παράδειγμα:\
_Βρήκατε ένα **self XSS** σε μερικές ιδιωτικές λεπτομέρειες του λογαριασμού (λεπτομέρειες που **μόνο εσείς μπορείτε να ορίσετε και να διαβάσετε**). Η σελίδα με τη **φόρμα** για την ορισμό αυτών των λεπτομερειών είναι **ευάλωτη** στο **Clickjacking** και μπορείτε να **προ-επιλέξετε** τη **φόρμα** με τις παραμέτρους GET._\
\_\_Ένας επιτιθέμενος θα μπορούσε να ετοιμάσει μια επίθεση **Clickjacking** σε αυτή τη σελίδα **προ-επιλέγοντας** τη **φόρμα** με το **XSS payload** και να εξαπατήσει τον **χρήστη** να **υποβάλει** τη φόρμα. Έτσι, **όταν η φόρμα υποβάλλεται** και οι τιμές τροποποιούνται, ο **χρήστης θα εκτελέσει το XSS**.
## Στρατηγικές για την Αντιμετώπιση του Clickjacking
### Άμυνες στην Πλευρά του Πελάτη
Τα σενάρια που εκτελούνται στην πλευρά του πελάτη μπορούν να εκτελέσουν ενέργειες για την πρόληψη του Clickjacking:
* Βεβαιωθείτε ότι το παράθυρο της εφαρμογής είναι το κύριο ή κορυφαίο παράθυρο.
* Κάνοντας όλα τα πλαίσια ορατά.
* Αποτρέποντας τα κλικ σε αόρατα πλαίσια.
* Ανίχνευση και ειδοποίηση των χρηστών για πιθανές προσπάθειες Clickjacking.
Ωστόσο, αυτά τα σενάρια αποτροπής πλαισίων μπορεί να παρακαμφθούν:
* **Ρυθμίσεις Ασφαλείας των Περιηγητών:** Κάποιοι περιηγητές ενδέχεται να αποκλείσουν αυτά τα σενάρια βάσει των ρυθμίσεών τους σχετικά με την ασφάλεια ή την έλλειψη υποστήριξης JavaScript.
* **Χαρακτηριστικό `sandbox` του iframe του HTML5:** Ένας επιτιθέμενος μπορεί να ανενεργοποιήσει τα σενάρια αποτροπής πλαισίων ορίζοντας το χαρακτηριστικό `sandbox` με τις τιμές `allow-forms` ή `allow-scripts` χωρίς την τιμή `allow-top-navigation`. Αυτό εμποδίζει το iframe από το να επαληθεύσει αν είναι το κορυφαίο παράθυρο, π.χ.,
```html
```
### Άμυνες στην Πλευρά του Διακομιστή
#### X-Frame-Options
Η **κεφαλίδα απάντησης HTTP `X-Frame-Options`** ενημερώνει τους browsers σχετικά με τη νομιμότητα απεικόνισης μιας σελίδας σε ένα `` ή `
.png)