I. Clickjacking (còn được gọi là "UI redress attack") là một thuật ngữ diễn tả việc lừa người sử dụng click chuột vào một liên kết nhìn bề ngoài có vẻ "trong sạch" trong các trang web, tuy nhiên qua cú click chuột đó hacker có thể lấy được các thông tin bí mật của người sử dụng hay kiểm soát máy tính của họ.
=> Kết quả của các cuộc tấn công clickjacking là người dùng có thể bị mất tài khoản, bị lừa thay đổi nội dung của một website (đặc biệt khi người đó có quyền admin), bị lừa click vào các quảng cáo cho hacker, bị chiếm quyền điều khiển máy tính,…
CÁC KIỂU TẤN CÔNG CLICKJACKING
Clickjacking là một kĩ thuật tương đối mới, và thực tế các nguy cơ bị clickjacking là khá đa dạng. Trong tương lai sẽ xuất hiện nhiều biến thể của clickjacking được hacker sử dụng.
TƯƠNG TÁC VỚI MỘT FRAME ẨN
Hacker sẽ tạo ra một trang web, trong đó có chứa một frame ẩn (trong suốt với người dùng) và nội dung hiển thị sẽ lừa người dùng click vào một hoặc một vài điểm nào đó trên website. Khi đó người dùng không hề biết là đang thao tác với một trang web độc hại nằm trong iframe. Và thông qua iframe đó hacker có thể lấy cắp thông tin của người dùng hoặc thực hiện các thao tác khác. - Iframe chứa trang web độc có thể nằm trên toàn bộ hoặc trong một phần website đó, tùy theo cách thức mà hacker đặt ra để lừa người dùng. - Iframe có thể được điều khiển bằng javascript hoặc nằm cố định nhờ CSS. - Iframe có thể nằm dưới hoặc nằm trên (Graphic overlaying) đối tượng lừa người sử dụng click vào.
SỬ DỤNG JAVASCRIPT
Thông qua JavaScript, Hacker có thể kiểm soát được vị trí con trỏ chuột và các thao tác click chuột của người dùng. Đồng thời có thể thay đổi vị trí của một object bất kì trên trang web, khiến người dùng bắt buộc phải click vào những vị trí chứa những liên kết độc hại nằm trên trang web đó mà không hề hay biết. Từ đó, hacker cũng có thể tạo ra một cuộc tấn công multi-click liền mạch, có nghĩa là sau một số lần click chuột, hacker sẽ ngừng tấn công và trả lạ quyền kiểm soát con trỏ cho người dùng, khiến người dùng không thể nhận ra được.
TẤN CÔNG QUA LỖ HỔNG PHẦN MỀM
Từ phiên bản 10 của Flash, adobe đã fix lỗ hổng camera và microphone có thể khai thác được bằng clickjacking, tuy nhiên nếu người dùng chưa update thì vẫn có thể bị tấn công. Ngoài ra, các phần mềm khác như ActiveX hay MS SilverLight… vẫn còn tiềm ẩn những nguy cơ bị tấn công clickjacking.
KẾT HỢP CÁC CÁCH TẤN CÔNG TRÊN VỚI CÁC LỖI PHỔ BIẾN NHƯ XSS, CSRF
Nếu một trang web bị lỗi XSS hay CSRF, hacker có thể sử dụng các cách tấn công trên để lừa người dùng click vào đúng vị trí bị XSS hay CSRF. Qua đó, ta có thể thấy được sự nguy hiểm của clickjacking.
II. X-Frame-Options HTTP response header có thể được sử dụng để chỉ ra có hay không cho phép một trình duyệt nhúng trang web vào trong <frame>, <iframe> hoặc <object> của một trang web khác. Các trang web có thể sử dụng điều này để tránh các cuộc tấn công clickjacking, bằng cách đảm bảo rằng nội dung của trang web không được nhúng vào các trang web khác.
Có 3 giá trị tùy chọn để quy đinh X-Frame-Options:
DENY: Không được phép nhúng vào <frame>, <iframe> hoặc <object> của một trang web khác.
SAMEORIGIN: Chỉ được nhúng vào các trang có cùng một nguồn.
ALLOW-FROM uri: Chỉ được nhúng vào các trang qui định.
CÁC KIỂU TẤN CÔNG CLICKJACKING
Clickjacking là một kĩ thuật tương đối mới, và thực tế các nguy cơ bị clickjacking là khá đa dạng. Trong tương lai sẽ xuất hiện nhiều biến thể của clickjacking được hacker sử dụng.
TƯƠNG TÁC VỚI MỘT FRAME ẨN
Hacker sẽ tạo ra một trang web, trong đó có chứa một frame ẩn (trong suốt với người dùng) và nội dung hiển thị sẽ lừa người dùng click vào một hoặc một vài điểm nào đó trên website. Khi đó người dùng không hề biết là đang thao tác với một trang web độc hại nằm trong iframe. Và thông qua iframe đó hacker có thể lấy cắp thông tin của người dùng hoặc thực hiện các thao tác khác. - Iframe chứa trang web độc có thể nằm trên toàn bộ hoặc trong một phần website đó, tùy theo cách thức mà hacker đặt ra để lừa người dùng. - Iframe có thể được điều khiển bằng javascript hoặc nằm cố định nhờ CSS. - Iframe có thể nằm dưới hoặc nằm trên (Graphic overlaying) đối tượng lừa người sử dụng click vào.
SỬ DỤNG JAVASCRIPT
Thông qua JavaScript, Hacker có thể kiểm soát được vị trí con trỏ chuột và các thao tác click chuột của người dùng. Đồng thời có thể thay đổi vị trí của một object bất kì trên trang web, khiến người dùng bắt buộc phải click vào những vị trí chứa những liên kết độc hại nằm trên trang web đó mà không hề hay biết. Từ đó, hacker cũng có thể tạo ra một cuộc tấn công multi-click liền mạch, có nghĩa là sau một số lần click chuột, hacker sẽ ngừng tấn công và trả lạ quyền kiểm soát con trỏ cho người dùng, khiến người dùng không thể nhận ra được.
TẤN CÔNG QUA LỖ HỔNG PHẦN MỀM
Từ phiên bản 10 của Flash, adobe đã fix lỗ hổng camera và microphone có thể khai thác được bằng clickjacking, tuy nhiên nếu người dùng chưa update thì vẫn có thể bị tấn công. Ngoài ra, các phần mềm khác như ActiveX hay MS SilverLight… vẫn còn tiềm ẩn những nguy cơ bị tấn công clickjacking.
KẾT HỢP CÁC CÁCH TẤN CÔNG TRÊN VỚI CÁC LỖI PHỔ BIẾN NHƯ XSS, CSRF
Nếu một trang web bị lỗi XSS hay CSRF, hacker có thể sử dụng các cách tấn công trên để lừa người dùng click vào đúng vị trí bị XSS hay CSRF. Qua đó, ta có thể thấy được sự nguy hiểm của clickjacking.
II. X-Frame-Options HTTP response header có thể được sử dụng để chỉ ra có hay không cho phép một trình duyệt nhúng trang web vào trong <frame>, <iframe> hoặc <object> của một trang web khác. Các trang web có thể sử dụng điều này để tránh các cuộc tấn công clickjacking, bằng cách đảm bảo rằng nội dung của trang web không được nhúng vào các trang web khác.
Có 3 giá trị tùy chọn để quy đinh X-Frame-Options:
DENY: Không được phép nhúng vào <frame>, <iframe> hoặc <object> của một trang web khác.
SAMEORIGIN: Chỉ được nhúng vào các trang có cùng một nguồn.
ALLOW-FROM uri: Chỉ được nhúng vào các trang qui định.
Nhận xét