Clickjacking: başka sayfalardaki gizli tıklamalar

Kısaca: Gerçek bir sayfanın bir yem sayfanın üzerinde görünmez biçimde durduğu ve kullanıcının istemeden onun düğmelerine tıkladığı saldırı.

Biraz daha ayrıntılı: Saldırgan hedef sayfayı saydam bir <iframe> içine gömer ve zararsız görünen bir sayfanın (“Telefon kazan!”) üzerine yerleştirir. Yeme tıklayan, aslında mevcut oturumuyla hedef sayfada “hesabı sil” veya “satın al” gibi bir eylemi tetikler.

Ayrıntılı

Nasıl çalışır

CSS ile iframe opacity: 0 ile görünmez yapılır ve tehlikeli düğme tam yemin altına gelecek biçimde kaydırılır. Kullanıcı yalnızca yemi görür, tıklar.

Korunma: X-Frame-Options ve CSP frame-ancestors.

Ayrıca bak: Güvenlik başlıkları, Content Security Policy, XSS