Según tengo entendido, así es como un atacante explotaría el clickjacking:
- Cree un nuevo sitio web malwaresite.com que incluya mi sitio en un marco, pero superponga los campos o botones de entrada maliciosos sobre los elementos HTML de mi sitio.
- Envíe correos electrónicos de suplantación de identidad (phishing) para que los usuarios hagan clic en el enlace que va a malwaresite.com en lugar de a mi sitio (o utilice alguna otra técnica para distribuir el enlace de suplantación de identidad).
- Los usuarios ingresan datos o hacen clic en los elementos maliciosos.
- Beneficio
Los usuarios con experiencia no harían clic en el enlace o se darían cuenta de que la barra de direcciones es incorrecta. Sin embargo, muchas personas probablemente no se darían cuenta.
Mi pregunta es la siguiente: ¿no puede el atacante lograr lo mismo al utilizar malwaresite.com como proxy inverso? Todos los pasos anteriores serían los mismos, excepto que malwaresite.com reenviaría las solicitudes a mi sitio y luego insertaría una etiqueta <script> adicional en la respuesta HTML para ejecutar el código malicioso y agregar los elementos HTML maliciosos. El encabezado X-FRAME-OPTIONS no ayudaría en ese caso porque no hay marcos (y el proxy inverso puede eliminarlo de todos modos).
El ataque se basa en que el usuario no comprueba la barra de direcciones, por lo que si el atacante puede implementar el mismo ataque de una manera diferente que no pueda ser derrotado, ¿por qué molestarse con X-FRAME-OPTIONS u otras protecciones de clickjacking?