Сегодня на конференции Black Hat Europe исследователь Пол Стоун из Context
Information Security продемонстрирует четыре новых метода проведения
клик-джекинга и покажет разработанную им браузерную утилиту, упрощающую такие
атаки и позволяющую экспертам увидеть, какие кнопки, ссылки, поля и данные
уязвимы для клик-джекинга.
Сценарий атаки с использованием клик-джекинга предполагает, что злоумышленник
размещает на веб-странице невидимую ссылку, спрятанную под кнопкой на сайте.
Когда пользователь кликает по такой ссылке или просто наводит на нее мышью, его
компьютер оказывается скомпрометированным.
Впервые о подобном способе нападения два года тому назад рассказали
исследователи Роберт Хансен и Джеремия Гроссман, после чего в Internet Explorer
8 и другие браузеры была встроена соответствующая защита. До сегодняшнего дня
считалось, что клик-джекинг эффективен лишь в связке с межсайтовым скриптингом (XSS)
и межсайтовой подделкой запросов (CSRF).
Однако, Стоун обнаружил способ красть данные из веб-форм и с почтовых
аккаунтов, не задействуя CSRF, при этом его атаки эффективны даже против тех
ресурсов, которые не имеют уязвимостей к XSS или CSRF.
Эксперт продемонстрирует четыре типа таких атак – инъекцию в поля ввода
текста, извлечение контента, еще одну форму инъекции в поля ввода текста и атаку
с помощью iFrame. Эти атаки могут использованы для нападения на компьютеры
людей, редактирующих электронную почту или веб-документы, а также для поиска во
внутренних сетях, кражи логинов и просмотра содержимого корзин в
интернет-магазинах. Каждый из этих способов эффективно срабатывает против
новейших версий IE, Firefox, Safari и Chrome.
Цель работы утилиты для клик-джекинга, которую создал Стоун, состоит в том,
чтобы показать экспертам и владельцам сайтов, как легко провести атаку с помощью
клик-джекинга, позволив им выработать необходимые меры защиты. Программа
работает прямо в браузере и производит клик-джекинг видимым способом, делая
скрытые элементы заметными. Это приложение
будет доступно на сайте
Context Information Security уже сегодня.
