一点击劫持
点击劫持是视觉上的一种欺骗手段。攻击者使用一个透明的,不可见的iframe,覆盖在一个网页上,诱导用户点击。
点击劫持域CSRF攻击有着异曲同工之妙,都是在用户不知情的情况下完成操作。但是在CSRF攻击中,如果出现用户交互的页面,则攻击者可能无法顺利完成。与之相很反的是,点击劫持没有这个顾虑,他利用的就是域用户产生交互页面。
像Flash点击劫持,图片覆盖攻击,拖拽劫持与数据窃取,触屏劫持。
二防御clickjacking
1 frame busting
通常可以写一段JavaScript代码,防止iframe嵌套。
2 X-Frame-Option
因为上面方法有绕过的可能,一个好的解决方案就是使用一个HTTP头,X-Frame-Option,专门为了防御点击劫持制定的,当值为deny,浏览器会拒绝加载frame页面。