Clickjacking技术详解与防御指南

1. Clickjacking概述

Clickjacking（点击劫持），又称UI伪装攻击（UI redressing），是一种基于界面的攻击技术。攻击者通过诱骗用户点击看似无害的网页元素，实际上用户点击的是隐藏在诱饵页面下的另一个网站的可操作内容。

1.1 攻击原理

• 使用iframe嵌入目标网站作为透明层
• 通过CSS定位使目标操作与诱饵内容精确重叠
• 用户看似点击诱饵内容，实则触发隐藏操作

1.2 与CSRF的区别

2. Clickjacking攻击构建

2.1 基本攻击实现

<style>
    iframe {
        position: absolute;
        width: 100%;
        height: 100%;
        top: 0;
        left: 0;
        opacity: 0.01;
        z-index: 2;
    }
    .button {
        position: absolute;
        top: 300px;
        left: 500px;
        z-index: 1;
    }
</style>

<div class="button">点击赢取大奖</div>
<iframe src="https://vulnerable-site.com/transfer?amount=1000&to=attacker"></iframe>

2.2 关键CSS参数

• position: 绝对定位确保精确覆盖
• width/height: 控制iframe尺寸
• top/left: 定位iframe位置
• opacity: 透明度设置（通常0.0-0.1）
• z-index: 控制图层堆叠顺序

2.3 浏览器保护规避

现代浏览器（如Chrome 76+）会检测iframe透明度阈值。攻击者需调整opacity值：

• 避免完全透明（0.0）
• 使用接近透明但不触发保护的值（如0.01）

3. 高级攻击技术

3.1 预填表单攻击

利用GET参数预填充表单：

<iframe src="https://vulnerable-site.com/form?name=attacker&amount=1000"></iframe>

3.2 多步骤交互攻击

对于需要多步操作的场景：

1. 第一个iframe加载初始页面
2. 第二个iframe执行后续操作
3. 使用JavaScript协调iframe间交互

4. 自动化工具 - Clickbandit

Burp Suite的Clickbandit工具可快速生成Clickjacking PoC：

1. 使用浏览器在目标页面执行操作
2. Clickbandit记录操作流程
3. 自动生成包含适当覆盖层的HTML文件

优势：

• 无需手动编写HTML/CSS
• 几秒内生成交互式PoC
• 支持复杂操作流程

5. 防御措施

5.1 客户端防御

X-Frame-Options HTTP头：

• DENY: 禁止任何框架嵌入
• SAMEORIGIN: 仅允许同源框架
• ALLOW-FROM uri: 允许指定源框架

Content-Security-Policy (CSP)：

Content-Security-Policy: frame-ancestors 'none';  // 禁止所有框架
Content-Security-Policy: frame-ancestors 'self'; // 仅允许同源框架

5.2 服务器端防御

帧破坏代码：

if (top != self) {
    top.location = self.location;
}

增强版帧破坏（应对沙盒iframe）：

<style id="antiClickjack">body{display:none !important;}</style>
<script>
    if (self === top) {
        var antiClickjack = document.getElementById("antiClickjack");
        antiClickjack.parentNode.removeChild(antiClickjack);
    } else {
        top.location = self.location;
    }
</script>

5.3 其他防御策略

• 关键操作添加二次确认
• 使用CAPTCHA验证用户意图
• 敏感操作限制同源访问

6. 测试与验证

6.1 手动测试步骤

1. 创建简单HTML页面嵌入目标URL
2. 调整iframe透明度观察效果
3. 尝试触发敏感操作

6.2 自动化测试工具

• Burp Suite Clickbandit
• OWASP ZAP
• 自定义脚本检测X-Frame-Options/CSP头

7. 实际案例分析

7.1 基本CSRF保护的Clickjacking

即使网站有CSRF保护，Clickjacking仍可能成功，因为：

1. 目标会话是合法的
2. CSRF令牌作为正常会话的一部分传递
3. 攻击发生在隐藏iframe中

7.2 社交媒体案例

攻击者可能：

1. 创建"点赞"诱饵按钮
2. 覆盖在"删除账号"按钮上
3. 用户以为点赞，实则删除账号

8. 最佳实践

8.1 开发者建议

• 对所有页面实施X-Frame-Options或CSP
• 关键操作添加二次验证
• 定期进行安全测试

8.2 用户防护

• 保持浏览器更新
• 使用安全插件（如NoScript）
• 警惕不明来源的点击诱惑

9. 法律与道德考量

• Clickjacking测试需获得授权
• 未经许可的攻击可能违法
• 负责任披露发现的安全漏洞

通过全面理解Clickjacking技术和防御措施，开发者和安全专业人员可以更好地保护Web应用免受此类界面欺骗攻击。