नए प्रकार के क्लिकजैकिंग हमले

क्लिकजैकिंग - उपयोगकर्ताओं को धोखा देने के लिए एक तंत्र जिसमें साइट पर एक लिंक पर क्लिक करने से उपयोगकर्ता दुर्भावनापूर्ण पृष्ठ पर पुनर्निर्देशित करता है - बहुत प्रभावी हो गया है। अक्सर इसका इस्तेमाल फेसबुक के माध्यम से दुर्भावनापूर्ण साइटों पर लिंक फैलाने के लिए किया जाता है। हाल ही में, इस तरह की तकनीकों को साइट के आगंतुकों को पहचानने में प्रभावी दिखाया गया है। इसके अलावा, एक मुश्किल लिंक पर क्लिक करने से OAuth डेटा तक पहुंच प्राप्त करने वाला एक हमलावर हो सकता है। आइए देखें कि यह कैसे होता है।

क्लिकजैकिंग का क्लासिक उपयोग फेसबुक के माध्यम से लिंक का वितरण है

क्लासिक क्लिकजैकिंग परिदृश्य में, एक हमलावर पारदर्शी आईफ्रेम में लाइक या शेयर बटन छुपाता है। यह iframe उस पेज एलिमेंट के ऊपर स्थित है, जिस पर यूजर को क्लिक करना चाहिए, और iframe माउस कर्सर के पीछे भी जा सकता है। जब आप किसी आइटम पर क्लिक करते हैं, तो अदृश्य "लाइक" या "शेयर" बटन पर पुनर्निर्देशित करता है। ऐसी कार्रवाइयां केवल फेसबुक तक ही सीमित नहीं हैं, एक हमलावर को किसी अन्य साइट के तत्वों को आईफ्रेम में छिपाने में सक्षम होना चाहिए।

निम्नलिखित एक विशिष्ट संदेश है जिसे फेसबुक पर देखा जा सकता है यदि आपके किसी कनेक्शन को क्लिकजैकिंग का उपयोग करके इंटरसेप्ट किया गया था:



अपने मित्र द्वारा साझा किए गए लिंक का अनुसरण करके, आपको YouTube वीडियो के साथ साइट पर ले जाया जाएगा। हालाँकि, आपको "लाइक" बटन नहीं दिखेंगे, जिन्हें मैंने नीचे स्क्रीनशॉट में हाइलाइट किया था:



"लाइक" बटन स्थित हैं जहां उपयोगकर्ता आमतौर पर वीडियो देखने के लिए क्लिक करता है: खिड़की के नीचे और निचले बाएं कोने में। पीड़ित इन बटनों को नहीं देखेगा क्योंकि वे एक अदृश्य पारदर्शी आइफ्रेम में हैं। इस वीडियो को लॉन्च करने से, उपयोगकर्ता "लाइक" बटन पर क्लिक करेगा, जिससे फेसबुक पर साइट की लोकप्रियता बढ़ जाएगी।

क्लिकजैकिंग तकनीकों की नई विविधताएँ

क्लिकजैकिंग अटैक्स अनारक्षित में, लिन-शुंग हुआंग और कॉलिन जैक्सन ट्रिक क्लिकजैकिंग विविधताओं को देखते थे। उदाहरण के लिए, उन्होंने दिखाया कि एक हमलावर फेसबुक से अपनी जानकारी का अनुरोध करके किसी दुर्भावनापूर्ण साइट के उपयोगकर्ता की पहचान कैसे कर सकता है।

मैंने उपयोगकर्ता डीनोमाइज़ेशन का डेमो वीडियो रिकॉर्ड किया। वीडियो "लाइक" बटन को दिखाता है, जो पीड़ित के कर्सर के पीछे चलता है, लेकिन एक वास्तविक हमले में बटन अदृश्य होगा। जब कोई उपयोगकर्ता अनजाने में इस बटन को क्लिक करता है, तो वह फेसबुक पर हमलावर का दोस्त बन जाएगा (मैं फेसबुक के संदर्भ में संभावित अशुद्धि के लिए माफी मांगता हूं, मैं खुद फेसबुक का उपयोग नहीं करता हूं - लगभग अनुवाद। )।

फिर, FB.Event.subscribe ('edge.create', ...) के माध्यम से हमलावर पृष्ठ पर पता चलता है कि पीड़ित "लाइक" बटन पर क्लिक करता है, हमलावर के सर्वर पर एक संदेश भेजता है, जो दोस्तों की एक सूची प्राप्त करता है और एक नए दोस्त की पहचान करता है। सर्वर फेसबुक ग्राफ एपीआई के माध्यम से उपयोगकर्ता की सार्वजनिक जानकारी का अनुरोध करता है, और उपयोगकर्ता को दोस्तों की सूची से हटा देता है।

ये क्रियाएं एक हमलावर को सार्वजनिक उपयोगकर्ता डेटा प्राप्त करने की अनुमति देती हैं, जिसमें उपयोगकर्ता आईडी भी शामिल है। काम के लेखकों ने ट्विटर बटन "फॉलो" का उपयोग करके इस हमले को प्रदर्शित किया है:

क्लिकजैकिंग और टाइमिंग हमले

हुआंग और जैक्सन ने एक क्लिक-टाइमिंग हमले का वर्णन किया, जिसे डबल क्लिकजैकिंग कहा जाता है, जिसमें एक उपयोगकर्ता को हमलावर के अनुरोध के माध्यम से OAuth प्रदाता पर पुनर्निर्देशित किया जाता है। दस्तावेज़ के अनुसार, यह दृष्टिकोण तब भी काम करता है, जब साइट ने एक iframe जैसे X- फ्रेम-विकल्प के साथ क्लिकजैकिंग के खिलाफ उपाय किए हों।

हालांकि एक हमलावर ऐसी साइटों पर आईफ्रेम नहीं डाल सकता है, वह पॉप-अंडर विंडो में एक OAuth पेज लोड कर सकता है। खोलने के बाद पॉप-अंडर विंडो ब्राउज़र विंडो के पीछे छिपी होती है। चूंकि ब्राउज़र पॉप-अप को ब्लॉक करना शुरू कर देते हैं, जो उपयोगकर्ता के हस्तक्षेप के बिना खुलते हैं, इस हमले के लिए पॉप-अप को अवरुद्ध करने के लिए बड़ी संख्या में क्लिक की आवश्यकता होती है।

दोहरे क्लिकजैकिंग हमले के लिए वैचारिक कोड को देखने के लिए, क्लिकजैकिंग अटैच अनारक्षित लिंक पर क्लिक करें।

आगे क्या है?

क्लिकजैकिंग ने किया है और बहुत नुकसान कर रहा है। अधिकांश हमलों में फेसबुक के माध्यम से दुर्भावनापूर्ण लिंक के प्रसार का उपयोग किया गया था। लेकिन इस दृष्टिकोण का उपयोग अधिक चालाक परिदृश्यों के लिए किया जा सकता है। हुआंग और जैक्सन सिफारिशें प्रदान करते हैं जो वेबसाइट और ब्राउज़र डेवलपर्स को क्लिकजैकिंग के जोखिम को कम करने की अनुमति देगा। हालांकि, ये तकनीक व्यापक नहीं हैं। सबसे बुरी बात यह है कि आप व्यावहारिक सलाह नहीं दे सकते, जिसके उपयोग से उपयोगकर्ता सुरक्षित रहेंगे।