Clickjacking – zagrożenie dla użytkowników wszystkich przeglądarek?

Clickjacking to technika ataku, na którą odporny jest tylko tekstowy lynx. Cyberprzestepca może sprawić, że gdy tylko w przeglądarce otwarta zostanie odpowiednio spreparowana strona, dojdzie do kliknięcia dowolnego na niej obiektu, mimo że użytkownik nic nie będzie o tym wiedział. To „fundamentalny błąd w sposobie, w jaki przeglądarka działa”.

[pepies]

przesiądźmy siię na lynx'a albo links'a! obrazki są dla lamerów!

co za bezsens :P

[valdo]

ja już się przesiadłem na modem 28 kb/s żeby ewentualnego włamywacza krew zalała jak będzie próbował pobrać moje dane :)

[kabzior]

przesiądźmy siię na lynx'a albo links'a! obrazki są dla lamerów!

Dopiero co był wykop o ascii pr0n więc nic straconego ;D

[viptv_pl]

napsali ze jest cos o czym nie moga pisac

[theobserver]

Webhosting - zawsze na czasie.

Oryginał sprzed DWÓCH TYGODNI:

http://ha.ckers.org/blog/20080915/clickjacking/

I

[ula1980]

theobserver - konto założone tylko po to, by srać na jakiś serwis.

Komentarze tego "człowieka":

http://www.wykop.pl/ludzie/theobserver/linki/komentowane

I

[tajemnica]

no i wygląda na to, że to co pisze w serwisach które podałeś, jest niezbyt treściwe w porównaniu do tego co wczoraj napisano w blogu ZeroDay zdnetu i skąd webhostingi zaczerpnęły tę informację. czytałeś w ogóle to, co pisze w linkach, które tu wklejasz?

[novastar]

Zakopuję bo de facto artykuł o niczym. Rozumiem, że jest jakieś zagrożenie, ale artykuł o nim nie podaje żadnych informacji, więc sieje jedynie panikę. Rozumiem, że na razie informacja dot. luki jest poufna, ale po co w takim razie jest ten artykuł.

Artykuł na zasadzie "Unikajcie tosterów, są poważnym zagrożeniem. Ale jakim zagrożeniem to nie mogę zdradzić".

[muusk85]

Zatem w jaki sposób ma to wygladac? Osadzanie w kodzie zródłowym strony pływającej ramki czy tworzenie linka którego nazwa nie odpowiada stronie na która przekierowuje. : ] Niestety podczas uzytkowania komputera z internetem tak samo jak samochodu przydałaby sie inteligencja i wiedza. Moze powinno sie wprowadzić internetowe prawo jazdy ;) Albo zrobić jakąs stronę (chyba ze juz taka jest) która informuje przystępnie i rzeczowo początkujących o zagrożeniach.

[M.....2]

Podali już zbyt wiele informacji o clickjacking'u. Można znaleźć już informacje w sieci o tym i jak ktoś chce znaleźć to i tak znajdzie więc napisze. Tworzysz "link", który w rzeczywistości jest zwykłym tekstem, umieszczasz go np. css'em w odpowiednim miejscu. Tworzysz iframe z maksymalną przezroczystością lub odpowiednim stylem css. I gdy chcesz kliknąć na "link" tak naprawdę twoje kliknięcie trafia do iframa, którego nie widzisz.

Ogólnie to chyba wystarczy możliwości wyłączenia

[Speed666]

Ja to widzę tak? Np. strona ktora zlicza jakieś głosy - bierzemy URL i robimy tak iframe src="urltejstrony" width=0 height=0 (sorry że tak ale mi wykop filtruje)

i wklejamy do kodu HTML. User się nawet nie zorientuje że właśnie jego odwiedziny nabiły komuś licznik. To pewnie jest fundament tego exploit'a.

[reveal_the_truth]

Podejrzewam (po wskazówce autora NoScripta dotyczącej iframe'ów), że chodzi o sytuacje, gdy strona znajdująca się w ramce chce "dobrać się" do treści strony w której się znajduje i podmienić, np.: miejsce docelowe hiperłączą. Takie coś jest możliwe wykorzystując choćby odwołanie do window.parent albo window.top.Co prawda do takich rzeczy potrzeba JavaScriptu, a artykuł mówi o tym, że błąd nie polega na zastosowaniu JavaScriptu, wydaje się jednak, że strona nie wykorzystująca żadnych skryptów

[sfah]

Próbuję, próbuję i nie mogę zrozumieć serio. Mógłby ktoś to wytłumaczyć dla laika?

[modrzew]

"Odkryto poważne zagrożenie, które jest poważne i które jest groźne. Nie można go w żaden sposób obejść, takie jest groźne. I poważne. Może wyrządzić poważne szkody, które będą poważne, i dlatego to zagrożenie jest takie poważne i groźne."

Coś w ten deseń. Przypomina mi to przemówienia byłego premiera nt. "układu".

[northrop]

Clickjacking jest wtedy gdy szef wchodzi do biura i widzi, że zamiast excela masz zdjęcia pań bez odzieży na ekranie. A Ty wcale na to nie wchodziłeś. Clickjacking.

[jakup]

I say "tend to" because if you're a super-fast clicker, the click event will complete before the submit() action is exercised.

fajnie wiedzieć, że jestem super-fast clickerem ;)