Clickjacking

Notas del curso Hacking ético: descubriendo vulnerabilidades en aplicaciones web

Superposición de un elemento iframe sobre otro con el fin de “capturar” el click del usuario sin que este sea consciente con el fin de provocar una acción no deseada por parte del usuario.

Impacto

Acciones indeseadas por parte del usuario. Requiere su interacción.

Ejemplo: https://www.youtube.com/watch?v=gxyLbpldmuU

Formas de explotación

Ingeniería social.
CSRF
Phishing

Explotación

Vamos a probar si DVWA que viene en Kali Linux es vulnerable a Clickjacking.

Para ello, creamos un documento HTML con el siguiente contenido:

Explicación sobre cómo comprobar esta vulnerabilidad en OWASP.

Buenas prácticas

Implementar la cabecera X-Frame-Options en el servidor
Implementar la cabecera Content Security Policy en el servidor

Estas cabeceras se configuran a nivel de servidor web.