ClickJacking или “Вы уверены в том, что нажимаете на ссылку?”
Clickjacking – страшная вещь.
Смысл КликДжекинга заключается в следующем:
Зайдя на обычный сайт, Вы ничего не подозревая решили нажать на красивую ссылку. Нажали… И очутились совсем не там, где предполагали. И начало происходить что – то странное. Почему так?
Как всегда, всё очень просто.
Этого можно добиться посредством использования таблиц каскадных стилей(CSS) и фреймов(iframe). Поверх желаемой ссылки накладывается iframe с прозрачностью, заданной через CSS, равной нулю. В итоге вы кликаете мышкой в фрейме по тому, чего совсем не предполагали. В пример приведу небольшой код:
.frame {
-moz-opacity: 0;
opacity: 0;
filter: alpha(opacity=0);
position:absolute;
width:100px;
height:30px;
}
</style>
<iframe src="http://clickjacking.nono/e.php" scrolling="no" class="frame"></iframe>
<a href="/dom/">Всё о доме</a>
Всё очень просто и это работает к тому же без помощи JavaScript!
А теперь на секунду представьте, что можно сделать со всем этим при помощи JavaScript… Бр-ррр, аж дух захватывает! А именно:
- Заставить невидимый iframe постоянно двигаться за курсором и при этом клик на любое место означает клик по внутренностям iframe.
- Подгружать с сервера нужную информацию и динамически на протяжении долгого времени использовать пользователя под свои нужды.
Далее можно привести ещё огромное множество примеров.
Давайте подумаем над тем, как всё это предотвратить.
Первый способ – удалять динамически все iframe со страницы с помощью следующего короткого JavaScript кода:
allIframe = document.getElementsByTagName('iframe'),
len = allIframe.length;
while( len-- )
allIframe[ len ].parentNode.removeChild( allIframe[ len ] );
Также легко создадим из этого кода закладку для браузера:
Теперь Вы можете перенести ссылку, находящуюся ниже, на панель закладок вашего браузера, и кликнув по ней вы очистите текущую страницу от iframe:
Удалить iframes
Второй способ – скачать и установить плагин NoScript и разрешать выполняться JavaScript только на доверенных сайтах!
P. S. Я выбрал второй способ 
Либо скачать новый нормальный браузер
Комментарии(1)
http://james.padolsey.com/general/clickjacking-twitter/