Clickjacking یکی از حملات مهندسی اجتماعی است که در آن، مهاجم کاربران را فریب می‌دهد تا روی عناصر پنهان شده در یک صفحه وب کلیک کنند، بدون اینکه از ماهیت واقعی آن‌ها اطلاع داشته باشند. این حمله می‌تواند برای دزدیدن اطلاعات حساس، اجرای دستورات ناخواسته یا حتی کنترل کامل حساب‌های کاربری مورد سوءاستفاده قرار گیرد.

Clickjacking چیست؟

Clickjacking یک تکنیک حمله در وب است که مهاجم با فریب کاربر، او را مجبور می‌کند که روی یک دکمه یا لینک پنهان درون صفحه وب کلیک کند. این دکمه یا لینک در واقع برای انجام فعالیت‌های مخرب طراحی شده و کاربران بدون اطلاع از آنچه که واقعاً بر روی آن کلیک می‌کنند، ممکن است دستورات ناخواسته‌ای مانند انتشار اطلاعات شخصی، انجام خریدهای آنلاین یا حتی تغییر تنظیمات حساب‌های کاربری را انجام دهند. به عبارت ساده، این حمله کاربران را به انجام عملیاتی هدایت می‌کند که آنها به‌طور عمدی قصد انجام آن را نداشته‌اند.

این حمله معمولاً از تکنیک‌های HTML و CSS برای مخفی کردن یا تغییر موقعیت اجزای صفحه استفاده می‌کند. مهاجم یک لایه شفاف یا پنهان را بر روی محتوای اصلی قرار می‌دهد و با قرار دادن اجزای مختلف، مانند فرم‌ها یا دکمه‌های فریبنده، این لایه به گونه‌ای تنظیم می‌شود که کاربر به‌طور ناخودآگاه بر روی اجزای مورد نظر کلیک کند. در حالی که ممکن است به نظر برسد که کاربر روی یک لینک بی‌خطر کلیک می‌کند، در حقیقت او عملیاتی را انجام داده که به نفع مهاجم است.

Clickjacking چگونه کار می‌کند؟

1. بارگذاری صفحه وب آلوده:

اولین گام در حمله Clickjacking بارگذاری یک صفحه وب آلوده است که توسط مهاجم طراحی شده است. این صفحه حاوی لایه‌های شفاف یا نامرئی است که بر روی محتوای اصلی صفحه وب قرار می‌گیرد.

2. مخفی کردن محتوا:

مهاجم محتوای اصلی صفحه (مثل دکمه‌ها یا فرم‌ها) را در پشت لایه‌های شفاف پنهان می‌کند. این لایه‌ها معمولاً با استفاده از CSS یا iframe طراحی می‌شوند تا ظاهری مشابه صفحه اصلی داشته باشند، ولی در واقع هیچ کدام از این عناصر قابل مشاهده برای کاربر نخواهند بود.

3. فریب کاربر:

کاربر وارد صفحه وب می‌شود و ممکن است روی یک دکمه یا لینک ظاهراً بی‌خطر کلیک کند. در واقع، کاربر روی لایه پنهان کلیک می‌کند که در پس‌زمینه به‌طور مخفیانه عملیاتی را انجام می‌دهد که مهاجم می‌خواهد.

4. اجرای عملیات ناخواسته:

پس از کلیک کاربر، عملیاتی که مهاجم تعیین کرده، به‌طور خودکار و بدون اطلاع کاربر انجام می‌شود. این عملیات می‌تواند شامل ارسال داده‌های حساس، انجام تراکنش‌های مالی یا تغییر تنظیمات حساب‌های کاربری باشد.

5. عدم آگاهی کاربر:

در تمام این مراحل کاربر هیچ‌گونه نشانه‌ای از اینکه چه چیزی در حال انجام است ندارد و فکر می‌کند که روی چیزی بی‌خطر کلیک کرده است. این ویژگی خطرناک Clickjacking را به یک حمله بسیار موثر تبدیل می‌کند.

خطرات و پیامدهای Clickjacking

• سرقت اطلاعات حساس
• انجام تراکنش‌های مالی ناخواسته
• دسترسی به حساب‌های کاربری
• توزیع بدافزار
• آسیب به اعتبار وب‌سایت
• نقض حریم خصوصی کاربران
• فریب کاربران برای انجام عملیات مخرب

روش‌های جلوگیری و شناسایی Clickjacking

1. استفاده از X-Frame-Options

یکی از روش‌های موثر برای جلوگیری از Clickjacking استفاده از هدر HTTP به نام  و X-Frame-Options و  است. این هدر به وب‌سایت‌ها این امکان را می‌دهد که تعیین کنند صفحه‌شان درون یک iframe یا فریم‌ خارجی بارگذاری نشود. با تنظیم این هدر به مقدار  و DENY یا SAMEORIGIN و  می‌توان از قرار گرفتن سایت درون iframe‌های خارجی و ایجاد حملات Clickjacking جلوگیری کرد.

2. استفاده از CSP (Content Security Policy)

سیاست‌های امنیتی محتوا (CSP) به وب‌سایت‌ها کمک می‌کنند تا منابع خارجی که اجازه بارگذاری دارند را مشخص کنند. استفاده از دستور  و frame-ancestors و  در CSP می‌تواند از بارگذاری صفحات وب در iframe‌های خارجی جلوگیری کند و بنابراین خطرات مربوط به Clickjacking را کاهش دهد.

3. بررسی و تست امنیت صفحات وب

وب‌سایت‌ها باید به‌طور منظم صفحات خود را برای آسیب‌پذیری‌های Clickjacking بررسی کنند. این بررسی‌ها می‌تواند شامل استفاده از ابزارهای امنیتی خودکار برای شناسایی فریم‌های پنهان و ارزیابی لایه‌های نامرئی باشد. همچنین باید از اسکریپت‌ها و ابزارهایی که در صورت نیاز به iframe استفاده می‌کنند، مراقبت کرد.

4. استفاده از تایید هویت دو مرحله‌ای

در صورتی که حملات Clickjacking به منظور دسترسی به حساب‌های کاربری صورت می‌گیرد، استفاده از تایید هویت دو مرحله‌ای می‌تواند از تاثیرات منفی آن جلوگیری کند. این روش می‌تواند لایه‌ای اضافی از امنیت فراهم کرده و امکان دسترسی غیرمجاز را کاهش دهد.

احراز هویت چندعاملی (MFA): انتخاب مناسب برای امنیت آنلاین+مزایا و چالش‌ها

جمع‌بندی…

Clickjacking یکی از حملات پیچیده و خطرناک در دنیای سایبری است که می‌تواند باعث سرقت اطلاعات حساس، دسترسی غیرمجاز به حساب‌های کاربری و آسیب به اعتبار وب‌سایت‌ها شود. با استفاده از تکنیک‌ها و ابزارهای پیشرفته مانند X-Frame-Options، Content Security Policy (CSP) و آموزش کاربران، می‌توان این تهدید را به‌طور موثری شناسایی و از آن جلوگیری کرد.