前端點擊劫持

點擊劫持

• 用戶親手操做---盜取用戶資金（轉帳，消費）
• 用戶不知情---獲取用戶敏感信息
• ....if

利用 iframe 內嵌頁面，並將原頁面透明度設置爲零，這樣實現點擊劫持

點擊劫持防護

• JavaScript 禁止內嵌
  • 在內嵌頁面中top和window不等

if (top.loaction != window.location) {
  top.location = window.location;
}

但這種方式有時並不徹底有效，由於攻擊者是能夠禁止 JavaScript 腳本的

<iframe
  sandbox="allow-forms"
  style="opacity:"
  src="..."
  width="800"
  height="600"
></iframe>

H5 的 sandbox 屬性就能夠讓攻擊獲得想要的結果

• X-FRAME-OPTIONS 禁止內嵌

這種方式能夠有效解決上述問題

加入組織內嵌的頭部，這樣就能夠解決上面的問題，這種方式也是防護點擊劫持最有效的

ctx.set('X-Frame-Options','DENY')

• 其餘輔助手段
  • 加驗證碼
  • 影響用體驗，但能夠有效預防，不能徹底預防
  • 僅僅是輔助手段，並不能根本解決