Clickjacking is een aanval waarbij kwaadwillenden gebruikers misleiden om op iets anders te klikken dan wat ze waarnemen, vaak door transparante elementen over legitieme knoppen of links te leggen. Dit kan leiden tot ongewenste acties, gegevensdiefstal of malware-installatie. Om clickjacking te voorkomen implementeren ontwikkelaars frame-busting code en gebruiken beveiligingsheaders zoals X-Frame-Options of CSP frame-ancestors om te controleren hoe hun pagina's in iframes kunnen worden ingesloten.
Clickjacking, een vorm van UI-redressing, verleidt een gebruiker om te interacteren met een pagina die hij niet kan zien. De aanvaller laadt een legitieme doelsite in een onzichtbare of bijna-transparante iframe en plaatst die over lokaas-content, zodat een knop waarvan de gebruiker denkt dat hij erop klikt in werkelijkheid op een besturingselement in de geframede pagina belandt: een betaling bevestigen, een instelling wijzigen, een toestemming verlenen. Varianten omvatten het slepen van content in verborgen velden, het kapen van de cursorpositie of het overlappen van nep-prompts. Het slachtoffer is echt geauthenticeerd op de doelsite, dus elke klik draagt zijn echte sessie en rechten. Er wordt technisch gezien niets in het doelwit geïnjecteerd; de misleiding is puur visuele gelaagdheid.
Omdat de geframede applicatie authentieke, geauthenticeerde klikken ontvangt, kan clickjacking statuswijzigende acties uitlokken die de gebruiker nooit bedoelde: geld overmaken, gegevens verwijderen, een OAuth-scope goedkeuren, een account volgen of een beveiligingsinstelling omzetten. Het omzeilt invoervalidatie en zelfs multifactorauthenticatie, aangezien de gebruiker al is ingelogd en vrijwillig klikt. Het combineert ook met andere trucs, likejacking op sociale platforms en cursorjacking dat toetsaanslagen naar verborgen invoervelden steelt. Elke pagina die een gevoelige één-klik-actie uitvoert en in een frame kan worden ingesloten is een kandidaat, wat het een breed risico maakt voor bankieren, adminpanelen en pagina's met accountinstellingen.
De betrouwbare verdedigingen zijn door de server ingestelde response-headers die de browser vertellen je pagina niet in het frame van iemand anders weer te geven. Stuur Content-Security-Policy frame-ancestors met een expliciete allowlist (of 'none'), en stel X-Frame-Options: DENY of SAMEORIGIN in voor oudere clients; frame-ancestors gaat boven X-Frame-Options waar beide van toepassing zijn. Legacy JavaScript frame-busting is een zwakkere terugvaloptie die aanvallers kunnen neutraliseren. Voeg voor gevoelige acties bevestigingsstappen toe die bestand zijn tegen blind klikken. Omdat deze headers deel uitmaken van de secure-header-houding van een pagina, kan de monitoring van cside signaleren wanneer een third-party script of een verkeerde configuratie ze verwijdert of verzwakt, wat helpt om te garanderen dat de framebescherming in productie intact blijft.
XSS injecteert en draait aanvallerscode binnen de origin van je pagina. Clickjacking injecteert helemaal geen code; het legt je echte pagina visueel over in een verborgen frame zodat de echte klikken van de gebruiker terechtkomen op besturingselementen die hij niet kan zien. XSS misbruikt code-uitvoering, clickjacking misbruikt de interface en het vertrouwen van de gebruiker in waarop hij denkt te klikken.
Nee. HTTPS versleutelt verkeer en authenticeert de server, maar doet niets om te voorkomen dat je pagina in een kwaadaardig frame wordt ingesloten. Clickjacking wordt verslagen door framebesturing zoals de CSP frame-ancestors-directive en X-Frame-Options, niet door transportversleuteling.
We answer client-side security questions every day. Bring yours.