Tìm hiểu Clickjacking và cách phòng chống(demo)

{
Tìm hiểu về Clickjacking và cách phòng chống
9/26/14HVKTMM -Nhóm Lửa1

Tổng quan về tấn công clickjacking

Các kiểu tấn công clickjacking

Các phương pháp phòng chống

Demo
9/26/14HVKTMM -Nhóm Lửa2

Năm 2008 Robert Hansen và Jeremiah Grossman khám phá ra hàng loạt lỗi mới
trong cơ sở hạ tầng internet như trình duyệt, website và những plug-in phổ biến dẫn
tới hàng tá nguy cơ bảo mật ảnh hưởng dến mọi người dùng web, một thuật ngữ bảo
mật mới ra đời: Clickjacking.

Adobe Flash Player là nạn nhân tầm cỡ của clickjacking. Ý tưởng khai thác
clickjacking dựa trên những nhân tố ẩn của Flash dẫn dắt người đến các trang web
giả mạoNăm 2010, Paul Stone đã trình diễn 1 phương thức tấn công hoàn toàn mới
của clickjacking attack.

Hiện nay, có 2 lạo hình tấn công Clickjacking phổ biến là Tweebomb và Likejacking
Vài nét về tấn công ClickJacking
9/26/14HVKTMM -Nhóm Lửa3

Clickjacking (còn được gọi là "UI redress attack") là một thuật ngữ diễn tả
việc lừa người sử dụng click chuột vào một liên kết nhìn bề ngoài có vẻ
"trong sạch" trong các trang web, tuy nhiên qua cú click chuột đó hacker có
thể lấy được các thông tin bí mật của người sử dụng hay kiểm soát máy tính

của họ.

Tấn công clickjacking hiện cũng là vấn đề nan giải của tất cả các nhà phát
triển trình duyệt web.
Khái niệm Clickjacking
9/26/14HVKTMM -Nhóm Lửa4

Tương tác với một frame ẩn

Sử dụng javascript

Tấn công qua lỗ hổng phần mềm

Kết hợp các cách tấn công trên các lỗi phổ biến như XSS, CSRF
Các kiểu tấn công Clickjacking
9/26/14HVKTMM -Nhóm Lửa5

Tin tặc sẽ tạo ra một trang web, trong đó có chứa một
frame ẩn (trong suốt đối với người dùng) và nội dung
hiển thị sẽ lừa người dùng click vào một hoặc một vài
điểm nào đó trên website. Khi đó người dùng không hề
biết là đang thao tác với một trang web độc hại nằm
trong iframe. Và thông qua iframe đó, hacker có thể
lấy cắp thông tin của người dùng hoặc thực hiện các
thao tác khác.

Iframe chưa trang web độc có thể nằm trên toàn bộ
hoặc trong một phần website đó, tuỳ theo cách thức mà
hacker đặt ra để lừa người dùng


Iframe có thể được điều khiển bằng javascript hoặc
nằm cố định nhờ CSS.
Tương tác với một frame ẩn
9/26/14HVKTMM -Nhóm Lửa6

Chương trình nguồn Javascript được thông dịch trong trang HTML sau khi toàn bộ trang được load
nhưng trước khi trang được hiển thị.

ngôn ngữ lập trình hướng đối tượng Javascript được sử dụng để tạo ra một khung nội tuyến iframe vô
hình thực hiện theo hành động của con trỏ chuột.

Tấn công Clickjacking sử dụng Javascript có thể vô hiệu hoá cơ chế bảo vệ của trình duyệt web

Ngoài ra, thông qua Javascript, tin tặc có thể kiểm soát được vị trí con trỏ chuột và các thao tác click
chuột của người dùng. Đồng thời có thể thay đổi vị trị một object bất kì trên trang web, khiến người
dùng bắt buộc phải click vào những vị trí chứa những liên kết độc hại nằm trên trang web đó
Sử dụng javascript
9/26/14HVKTMM -Nhóm Lửa7

Adobe Flash Player là nạn nhân tầm cỡ của clickjacking. Ý tưởng khai thác clickjacking
dựa trên những nhân tố ẩn của Flash dẫn dắt người đến các trang web giả mạolà nạn nhân
tầm cỡ của clickjacking. Ý tưởng khai thác clickjacking dựa trên những nhân tố ẩn của
Flash dẫn dắt người đến các trang web giả mạo.

Từ phiên bản 10 của Flash, Adobe đã fix lỗi hổng camera và microphone có thể khai thác
được bằng clickjacking.
Tấn công qua lỗ hổng phần mềm
9/26/14HVKTMM -Nhóm Lửa8
Clickjacking có thể kết hợp để tấn công với XSS và CSRF.


XSS(Cross-Site Scripting) là một trong những kĩ thuật hack website phổ
biến nhất hiện nay bằng cách chèn vào url, chèn qua các thanh tìm kiếm
hoặc chèn ở bất cứ 1 textbox nào của thẻ HTML những đoạn mã script nguy
hiểm.

Còn CSRF(Cross-Site Request Forgery) là kĩ thuật tấn công bằng cách sử
dụng quyền chứng thực của người dùng đối với một website, dựa vào đó
hacker có thể thực thi những thao tác phải yêu cầu sự chứng thực.
Kết hợp các cách tấn công trên các lỗi phổ biến
9/26/14HVKTMM -Nhóm Lửa9

Tấn công giả mạo con trỏ để chiếm quyền điều khiển webcam

Tấn công double-click ăn cắp dữ liệu người dùng
Các biến thể mới của Clickjacking
9/26/14HVKTMM -Nhóm Lửa10
Yêu cầu:

Toàn vẹn mục tiêu hiển thị

Giấu phần tử mục tiêu

Giấu một phần của phần tử mục tiêu

Chia nhỏ phần tử mục tiêu

Toàn vẹn con trỏ văn bản

Toàn vẹn thời gian
Phòng thủ chống Clickjacking

9/26/14HVKTMM -Nhóm Lửa11
Phòng thủ chống lại Clickjacking
9/26/14HVKTMM -Nhóm Lửa12
- Đảm bảo tính toàn vẹn thông tin hiển thị:
+Xác nhận người dùng
+Giao diện người dùng ngẫu nhiên
+Framebusting
+Phát hiện khả năng hiện thị khi nhấp chuột
+Kiểm tra CSS
+Tham chiếu của ảnh bitmap (Bitmap – là định dạng tệp tin hình ảnh)
-Đảm bảo toàn vẹn thông tin trỏ đến :
+Tắt tùy biến con trỏ
+ Đóng băng yếu tố nhạy cảm : Tắt tiếng, tạo light box…
Đảm bảo toàn vẹn thời gian:
+Delay giao diện người dùng
+Nhấp con trỏ vào một yếu tố nhạy cảm để hiển thị nội dung thông tin
+Khu vực padding xung quanh yếu tố nhạy cảm

Tắt Javascript trên trình duyệt.

Vô hiệu hóa Frame ẩn.

Sử dụng các addon chống clickjacking, javascript: Clickjacking Reveal,
NoScript….
Phương pháp cơ bản chống Clickjacking
9/26/1413HVKTMM -Nhóm Lửa
Demo Likejacking
9/26/1414HVKTMM -Nhóm Lửa
Cám ơn thầy cô và các bạn đã xem
9/26/1415HVKTMM -Nhóm Lửa