ما هي الهجمات Clickjacking؟ نصائح الحماية والوقاية

Clickjacking ، والمعروف أيضًا بأسماء مثل هجوم واجهة المستخدم ، هجوم تعويضي UI ، UI redressing ، هو أسلوب ضار شائع يستخدمه المهاجمون لإنشاء طبقات متعددة معقدة لخداع مستخدم للنقر على زر أو الارتباط في صفحة أخرى عندما ينوي النقر على صفحة أخرى. وبالتالي ، يتحكم المهاجم في المستخدم بنجاح في النقر فوق ارتباط من مصدر خارجي ، بينما "يقوم باختطافه" من الصفحة الأصلية. هذه التقنية لها استخدامات غير محدودة عندما يتعلق الأمر باستغلال المستخدم. على سبيل المثال ، يمكن لمثل هذا الهجوم إقناع العملاء بإدخال تفاصيل حساباتهم المصرفية في صفحة جهة خارجية تعكس الصفحة الأصلية.

ما هو Clickjacking

Clickjacking نشاط ضار ، حيث يتم إخفاء الروابط الضارة خلف أزرار حقيقية قابلة للنقر أو الروابط ، مما يجعل المستخدمين يقومون بتنشيط عمل خاطئ بنقرتهم.

مثال شائع ومدمر بشكل كبير لهذه التقنية يمكن أن يكون عند مهاجم يقوم ببناء موقع ويب يحتوي على زر عليه " انقر هنا من أجل أدخل المسابقة ". ومع ذلك ، فقط بجانب الزر ، يضعون في إطار غير مرئي تقريبا يرتبط بـ حذف جميع جهات الاتصال الخاصة بحساب Gmail الخاص بك. يحاول الضحية النقر فوق الزر ولكن بدلاً من ذلك ينقر فوق الزر غير المرئي. ومن ثم ، فقد قام المهاجم "باختطاف" "نقرة" المستخدم ، ومن هنا جاء الاسم Clickjacking.

في الآونة الأخيرة ، شقّ موقع Clickjacking طريقه إلى الخدمات المشهورة بما في ذلك Adobe Flash Player و Twitter. قام بعض المهاجمين بتغيير إعدادات Adobe Flash plugin. من خلال تحميل هذه الصفحة في إطار iframe غير مرئي ، يمكن للمهاجم خداع المستخدم لتغيير إعدادات الأمان الخاصة بـ Flash ، مع منح إذن لأي رسوم متحركة Flash للاستفادة من ميكروفون الكمبيوتر والكاميرا.

Talking about Twitter ، clickjacking have into a Twitter worm. وقد تم استهداف هذا الهجوم بذكاء للمستخدمين ، مما أجبرهم على إعادة تغريد موقع ونشره على نطاق واسع قبل أن يدخله تويتر للسيطرة على الفيروس.

ما هو الركض

يعمل نوع واحد من Clickjacking تمويه مؤشر الماوس وإقناع المستخدم لاستبدال نقراته بموقع آخر على نفس الصفحة. تم اكتشاف حادث مشهور من Cursorjacking في Mozilla Firefox على أنظمة Mac OS X باستخدام Flash و HTML و JavaScript البرمجية التي يمكن أن تؤدي أيضًا إلى تجسس كاميرا الويب وتنفيذ أمر ضار يسمح بتنفيذ البرامج الضارة على الكمبيوتر من المستخدم المحاصرين.

ما هو اختلاط

وبصرف النظر عن Cursorjacking ، هناك أيضا تم الإبلاغ عن حوادث likejacking . بعد أن أصبحت شعبية بعد ظهور الفيسبوك في ثقافة البوب ​​، هذا المصطلح الذي يفسر نفسه يعني خطف الشخص إلى صفحة ترويسة على فيسبوك لم يكن من المفترض أن يعرفها في البداية.

Clickjacking Protection Tips

X-Frame Options

يعد هذا الحل من Microsoft واحدًا من أكثر الحلول فعالية ضد هجمات النقر على جهازك. يمكنك تضمين رأس X-Frame-Options HTTP في جميع صفحات الويب الخاصة بك. سيمنع هذا موقعك من وضعه في إطار. يدعم الإصدار X-Frame أحدث الإصدارات لمعظم المتصفحات ، بما في ذلك Safari و Chrome و IE ، ولكن قد يكون هناك بعض المشكلات في متصفح Firefox. الجزء الأكبر من استخدام X-Frame هو أنه بسيط للغاية ، ولكنه يحتاج إلى الوصول إلى تكوين خادم الويب ولغة البرمجة النصية على الخادم.

نقل العناصر على صفحاتك

يحاول المهاجم وضع النقر فوق صفحات الويب الخاصة بك غير مدرك للمواقع الحالية للعناصر من جانبك. يمكنه فقط وضع عناصر المصابة الخاصة به استنادًا إلى الإعدادات الافتراضية. من الجيد محاولة نقل عناصر على صفحتك ؛ على سبيل المثال ، قد يعتزم المهاجمون استهداف زر Facebook Like. من خلال نقل هذا العنصر إلى موقع آخر ، يمكنك بسهولة اكتشاف وقت حدوث مثل هذا الحادث. القضية الوحيدة في هذا الحل هي أنه من الصعب للغاية على المستخدمين العاديين القيام به.

عناوين URL لمرة واحدة

هذه طريقة متطورة جدًا للحماية ضد نقالات النقر ، التي قد تكون على دراية كافية لتجاوز الفلاتر الأساسية. قد تجعل الهجوم أكثر صعوبة إذا قمت بتضمين رمز لمرة واحدة في عناوين URL إلى الصفحات المهمة. هذا مشابه للقيم المستخدمة لمنع CSRF ولكن بشكل فريد في الطريقة التي تتضمن بها nonces في عناوين URL للصفحات المستهدفة ، وليس في النماذج داخل هذه الصفحات.

Framebuster Javascript

طريقة أخرى للهروب من مخالب هجوم النقر عن طريق التحقق من شفرة جافا سكريبت لاكتشافها. تسمى هذه العملية frambusting

Clickjacking Prevention tips

Evaluate Email Protection

تثبيت عامل تصفية البريد الإلكتروني العشوائي وفحصه هو أحد الطرق للكشف الفعال عن أي نوع من الهجمات على حساباتك. تبدأ هجمات النقر السريع عادة بخداع مستخدم عبر البريد الإلكتروني لزيارة موقع ضار. يتم ذلك عن طريق تنفيذ رسائل بريد إلكتروني مزورة أو مصممة خصيصًا تبدو أصلية. إن حجب رسائل البريد الإلكتروني غير الشرعية يقلل من هجوم محتمل للانتقاص وعدد من الهجمات الأخرى.

استخدام تطبيقات الويب جدران الحماية

تطبيقات الويب تعد جدران الحماية الخاصة بـ WEFs جانبًا مهمًا من جوانب الأمن في حالة الشركات التي لديها معظم بياناتها على شبكة الاتصال العالمية. تميل بعض هذه الشركات إلى تجاهل الحاجة إلى واحدة وينتهي بها الأمر بمهاجمة حوادث انتحال ضخمة. وقد أظهرت البيانات الحديثة أن ما يقرب من 70 في المئة من جميع الشركات الصغيرة والمتوسطة تم اختراقها في بعض السعة في العقد الماضي أو نحو ذلك. يمكن أن يأخذ عبءًا كبيرًا من صفيحتك ، ويقلل إلى حد كبير من المخاطر والتكاليف أقل من الخسارة التي قد تواجهها.

للأسف ، لا يوجد حل مثالي لمنع منع الاختلاط ، حيث سيجد المهاجمون في نهاية المطاف طرقاً للتغلب على معظم التقنيات. على الرغم من ذلك ، فإن العلاجات الأكثر فعالية ضد مثل هذه الهجمات ستكون X-Frame و FrameBuster Javascript.

الآن اقرأ : ما هي عمليات الغش والاحتيال عبر الإنترنت؟