Какие ClickJacking атаки? Советы по защите и предупреждению

 

ClickJacking, также известны имена, как Пользователь атаки Интерфейс правовой защиты, UI возмещение атаки, UI выправление, является распространенным вредоносным метод, используемый хакерами, чтобы создать несколько сложных уровней, чтобы обмануть пользователя в нажав на кнопку или ссылку на другую страницу, когда они намеревались нажать на другую страницу. таким образом, злоумышленник успешно управляет пользователь в нажав на ссылку от внешнего источника, в то время как «угон», это от исходной страницы. Этот метод имеет неограниченное использование, когда речь идет о эксплуатации пользователя. Например, такая атака может убедить клиент вводить свои банковские реквизиты на страницу третьей стороны, которая повторяющей оригинал.

Что такое ClickJacking

ClickJacking является вредоносной активностью, где вредоносные ссылки скрыты за подлинными интерактивными кнопками или ссылками, что делает пользователь активировать неправильное действие с их щелчком мыши.

ClickJacking мошенники

Общий и чрезвычайно разрушительный пример этого метода может быть, когда злоумышленник, который строит веб-сайт, который имеет кнопку на нем, что говорит «Нажмите здесь, чтобы принять участие в конкурсе«. Однако, просто рядом с кнопкой, они кладут в почти невидимый кадр, который содержит ссылки на «Удалить все контакты вашей учетной записи Gmail». Жертва пытается нажать на кнопку, но вместо того, чтобы фактически нажимает на кнопку невидимой. следовательно, злоумышленник «угнали» пользователя «нажмите кнопку», и, следовательно, имя ClickJacking.

В последнее время, ClickJacking сделал свой путь к популярным сервисам, включая Adobe Flash Player и Twitter. Некоторые злоумышленники изменили настройки плагина Adobe Flash. При загрузке страницы в невидимый IFRAME, злоумышленник может обмануть пользователя в изменении настроек безопасности флэш, давая разрешение на любой флэш-анимации, чтобы использовать микрофон компьютера и камеры.

Говоря о Twitter, ClickJacking попал в червь Twitter. Эта атака была довольно умно предназначена для пользователей, заставляя их ретвит место и распространить его широко прежде, чем Twitter вмешалась, чтобы контролировать вирус.

Что такое Cursorjacking

Один вид ClickJacking работает маскировка курсор мыши и убедить пользователя, чтобы заменить его щелчки в другое место на той же странице. Популярный случай Cursorjacking был обнаружен в Mozilla Firefox на системах Mac OS X с использованием Flash,, HTML и код JavaScript, который также может привести к шпионской веб-камеры и исполнения вредоносного аддон, позволяющий выполнение вредоносных программ на компьютере захваченной пользователя.

Что такое Likejacking

Помимо Cursorjacking, есть также сообщения об инцидентах Likejacking. Сделано популярным после появления Facebook в поп-культуры, это само-пояснительная термин означает, угон в человека в душе страницу Facebook, что он не должен изначально знать о.

ClickJacking Советы по охране

Варианты X-кадров

Это решение от Microsoft является одним из самых эффективных против ClickJacking атак на вашей машине. Вы можете включать в себя X-Frame-Options HTTP заголовок во всех ваших веб-страниц. Это предотвратит ваш сайт от помещается внутри фрейма. X-Frame поддерживается последними версиями большинства браузеров, включая Safari, Хром, IE, но может иметь некоторые проблемы с Firefox. Большая часть использования X-Frame является то, что он чрезвычайно прост, но необходим доступ к конфигурации веб-сервера и языка сценариев на сервере.

Перемещение элементов на страницах

Злоумышленник пытается разместить ClickJacking на ваших веб-страницах не знает о текущих местоположений элементов с вашей стороны. Он может только поместить его зараженные элементы на основе настроек по умолчанию. Это хорошая идея, чтобы попытаться переместить элементы на странице; например, злоумышленники могут намерены предназначаться кнопку Facebook Like. При перемещении этого элемента в другое место, Вы можете легко определить, когда такое имеет место инцидент,. Единственная проблема с этим решением является то, что это очень трудно для обычных пользователей, чтобы выполнять.

Единовременные URL-адрес

Это довольно продвинутый метод защиты от clickjackers, кто может быть достаточно хорошо осведомлены, чтобы превзойти ваши основные фильтры. Вы можете сделать атаку гораздо сложнее, если вы включите одноразовый код с в URL-адресов для ключевых страниц. Это похоже на временные значения, используемых для предотвращения CSRF но уникально тем, что она включает в URL, одноразовые номера для ориентации страницы, не в формах в пределах этих страниц.

Framebuster Javascript

Другой способ избежать когтей ClickJacking атаки путем проверки кода Javascript для обнаружения. Этот процесс называется frambusting

ClickJacking советы по профилактике

Оценка защиты электронной почты

Установка и проверка сильного электронной почты спам-фильтр является одним из способов эффективного обнаружения любого рода атак на свои счетах. ClickJacking атака обычно начинается обманывая пользователь через электронную почту на посещение вредоносного сайта. Это делается путем внедрения подделанных или специально созданные электронных писем, которые выглядят подлинными. Блокирование незаконных электронных писем снижает потенциальную атаку на ClickJacking и множество других атак, а также.

Использование веб-приложений Брандмауэры

Веб-Брандмауэры Прикладных WEFs являются одним из важных аспектов безопасности в случае предприятий, которые имеют большую часть своих данных в Интернете. Некоторые из этих фирм, как правило, игнорируют необходимость одного и в конечном итоге получить атакованы массивными инцидентов ClickJacking. Последние данные показали, что почти 70 процентов всех малых и средних предприятий были взломаны в том или ином качестве в последнее десятилетие или около того. Это может занять огромное бремя с вашей тарелки, значительно снижает риски и затраты меньше, чем потери вы можете столкнуться.

К сожалению, нет идеального решения от предотвращения ClickJacking, поскольку злоумышленники будут в конечном итоге найти способы, чтобы получить через большинство методов. Несмотря на это, наиболее эффективные средства защиты от таких атак будет Х-кадр и FrameBuster Javascript.

Источник

относящиеся сообщение

оставьте ответ

Этот сайт использует Akismet для борьбы со спамом. Узнайте, как обрабатывается комментарий данных.