web-dev-qa-db-ja.com

サイトがフレームにロードされていない場合、サイトはクリックジャッキングに対して脆弱です。

SEでこの質問に出くわしました このテストは、私のアプリケーションがクリックジャッキング攻撃に対して脆弱であることをどのように証明しますか？ フォローアップの質問と疑問があります。

https://www.owasp.org/index.php/Testing_for_Clickjacking_（OTG-CLIENT-009） による

<html>
   <head>
     <title>Clickjack test page</title>
   </head>
   <body>
     <p>Website is vulnerable to clickjacking!</p>
     <iframe src="http://www.target.site" width="500" height="500"></iframe>
   </body>
</html>

その言う

期待される結果：「Webサイトはクリックジャッキングに対して脆弱です！」というテキストの両方が表示されている場合。ページの上部にあり、ターゲットWebページがフレームに正常にロードされている場合、サイトは脆弱であり、クリックジャッキング攻撃に対する保護のタイプがありません。これで、「概念実証」を直接作成して、攻撃者がこの脆弱性を悪用する可能性があることを示すことができます。

したがって、テキストのみが表示され、サイトが正常に読み込まれない場合、それはサイトが脆弱ではないことを意味しますか？

clickjacking
1
Rndp13

クリックジャッキングが発生するには、サイトがフレームに完全にロードされている必要があります。そうしないと、クリックジャッキングが可能になります。つまり、攻撃者のWebサイトを、攻撃者が現在使用している被害者のWebページに正常にロードできます。

つまり、テキストのみが表示され、サイトが正常に読み込まれない場合、それはサイトが脆弱ではないことを意味しますか？

テキストが表示され、サイトが正常に読み込まれない場合、クリックジャッキングの脆弱性はありません

2
Bhuvanesh