شرح أستغلال و سد هجوم Clickjacking

0 90

يقع ضمن تصنيف OWASP للثغرات الامنية نوع من أنواع الهجوم الذي يستهدف تطبيقات الويب يدعي ” ClickJacking ” ويدعي بالعربية ” هجوم خطف النقرات ” وهو هجوم يقوم من خلاله المهاجم بأخفاء صفحة من موقع معين حيث يتحايل علي الضحية بالضغط علي مكان في الصفحة لسرقة ” النقرة ” او ” الضغط” الخاصة به عن طريق أستخدام IFrame ليقوم بعمل هجوم ما في الموقع بشكل او باخر عبر حساب الضحية المفتوح في الموقع .

كيفة عمل الهجوم بشكل علمي ؟

 

يقوم المخترق في البداية بأكتشاف وجود Clickjacking او هجوم خطف النقرات في المتصفح عن طريق العديد من الطرق منها اليدوية عن طريق النظر في Header الخاص بالموقع واذا وجد X-Frame-Options تعني أن الثغرة مقفولة أو عند طريق أستخدام مشروع Burpsuite فهوا يخبرك اذا كان الموقع مصاب أم لا .

لو افترضنا وجود Clickjacking في أحدي المواقع وليكن موقع التواصل الاجتماعي Facebook من خلال النظر الي Request و ال response سوف نجد الاتي :

https://www.facebook.com/chat/user_info/?dpr=1

POST /chat/user_info/?dpr=1 HTTP/1.1
Host: www.facebook.com
Accept: */*
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate, br
Content-Type: application/x-www-form-urlencoded
Referer: https://www.facebook.com/
Content-Length: 413
X-Frame-Options: DENY

في المثال التالي سوف تجد أن يوجد X-Frame-Options وامام ردها موجود أنها Deny اي غير مفعلة بمعني أن الموقع لا يمكنة تنفيذ هجوم Clickjacking .

ايضا يمكننا من خلال استخدام موقع Clickjacking Test

 

من خلال الموقع يمكنة أختبار وجود هل بها Clickjacking ام غير مصابة , اذا فتحت الصفحة داخل IFrame يعني ان الموقع مصاب بهذا النوع من الهجوم .

سوف تجد أن Burpsuite اكتشفت وجود Clickjacking في موقعنا اثناء التصفح لعدم وجود X-Frame-Options .

كيف يحدث الهجوم ؟

 

في البداية أنتشرت في عام 2014 – 2015 العديد من امثلة هجوم Clickjacking تحت مسمي صفحة بأسم ” أضغط لتربح هاتف IPhone ” بعد الضغط سوف تجد نفسك تتصفح موقع مثل Facebook او ما شابه وهذا هو سيناريو اختراق بسيط للهجوم يمكن المخترق اجبارك علي الضغط علي زر Like للاعجاب بصفحتة دون أن تعلم .

في مثال بسيط أنشاء باحث امني يدعي Samy Kamkar موقع لاستغلال هجوم Clickjacking بشكل خاص ووضع العديد من الامثلة للاستغلال .

يمكنك الذهاب لموقع سامي لاستغلال الثغرة بشكل سلس و دقيق عن طريق الرابط Samy Clickjacking

 

يمكنك النقر علي امكان تود للضحية الضغط علية في IFrame .

اخترت مكان الاشتراك في النشرة الاخبارية .. في اعلي الصفحة سوف تجد كلمة I’am Done اضغط عليها .

الان سوف تجد المثال ويمكنك من اول اختيار في الموقع اخفاء الـ Iframe المتحرك بشكل كامل و الان يمكنك نقل الكود الي الموقع الخاص بك لخطف النقرات الخاصة بالمستخدمين لديك .

 

بعض المعلومات عن الهجوم بشكل عام ؟

 

اذا وجدت هذة الكلمات في Header سوف توضح لك مثل :

Deny : لا يمكنك فتح IFrame في هذة الصفحة .

Same-ORIGIN : يمكنك فتح IFrame داخل الموقع الخاص بك فقط .

 

كيفية سد هذة الثغرة في السيرفرات الخاصة و المشتركة ؟

 

في السيرفر المشترك :

 

لان في السيرفرات المشتركة لا يمكنك التحكم في اعدادات الاباتشي علي سبيل المثال لكن يمكنك سد الثغرة بطريقة بسيطة عن طريق ملف .htaccess في الموقع وكتابة الامر في داخلة

Header append X-FRAME-OPTIONS "SAMEORIGIN"

 

 

في السيرفر الخاصة :

 

يمكنك اضافة السطر التالي الى ملف httpd.conf لتحكم في تشغيل الثغرة او سدها .

Header always append X-Frame-Options SAMEORIGIN

بعد ذلك قم باعدادة تشغيل السيرفر حتي تري النتائج بشكل كامل و ناجح .

 

في هذة المقالة حاولنا جمع كل ما له علاقة بتنفيذ الهجوم و استغلاله و شرحة و ايضا سد الهجوم بالنسباه لمدراء السيرفرات و اصحاب المواقع , اذا واجهتك اي مشكلة يمكنك التواصل معانا عبر صفحتنا علي فيس بوك او عبر تعليقات الموقع ..

قد يعجبك ايضا المزيد عن المؤلف

اترك رد

لن يتم نشر عنوان بريدك الإلكتروني.