Web安全之点击劫持

点击劫持是指在一个Web页面下隐藏了一个透明的iframe（opacity：0），用外层假页面诱导用户点击，实际上是在隐藏的frame上触发了点击事件进行一些用户不知情的操作。

clickjacking.png

危害：

• 盗取用户资金
• 获得用户的敏感信息
• 与XSS或CSRF等其他攻击手段配合

防御方法：

1）Javascript中禁止内嵌

因为普通页面的top对象为window，而iframe的top对象不等于window对象，可以在JS代码中：

if (top.location !== window.location){
    top.location == window.location
}

这样如果存在嵌套的iframe，页面就会进行跳转，避免的点击劫持。
但是这种防御方式并不完善，如果攻击者设置ifame的属性sandbox="allow-forms" 时防御就失效。

2）X-FRAME-OPTIONS 防止内嵌

服务器端可设置HTTP头 "X-Frame-Options：DENY"来让浏览器主动禁止iframe内嵌
不过这种方式在HTTP中不可靠，黑客可以窃听篡改HTTP请求来修改HTTP头。

3）对于Firefox的用户，使用 NoScript 扩展

NoScript 能够在一定程度上检测和阻止点击劫持攻击。

4）其他辅助手段

如XSS和CSRF的防御方法，也可以防御点击劫持后对服务器端的攻击