Clickjacking

Notas del curso Hacking ético: descubriendo vulnerabilidades en aplicaciones web

Superposición de un elemento iframe sobre otro con el fin de “capturar” el click del usuario sin que este sea consciente con el fin de provocar una acción no deseada por parte del usuario.

Impacto

Acciones indeseadas por parte del usuario. Requiere su interacción.

Ejemplo: https://www.youtube.com/watch?v=gxyLbpldmuU

Formas de explotación

Ingeniería social.
CSRF
Phishing

Buenas prácticas

Implementar la cabecera X-Frame-Options en el servidor
Implementar la cabecera Content Security Policy en el servidor