界面操做劫持攻擊原理與防護方法

1. 攻擊原理

界面劫持，分爲點擊劫持、拖放劫持、觸屏劫持。就是咱們的點擊，拖放，觸屏操做被劫持了，而去操做了其它的透明隱藏的界面。其原理是利用透明層+iframe,使用了css中的opacity和z-index等屬性，來到達透明和位於其它界面的上方，而後使用iframe來嵌入劫持頁面。到達了用戶操做的不是它看到的，不是他覺得的那個界面，而是那個透明的位於上層的界面。

2. 防護方法

有重要會話的交互頁面不容許使用iframe嵌入，或者值容許被同域的iframe嵌入。

2.1 X-Frame-Options

在web server端給Http響應頭中加入一個X-Frame-Options頭，取值有 "DENY" 和 "SAMEORIGIN"，分別表示不能使用iframe和只能使用同域的iframe。

2.2 Frame Busting腳本防護

if(top.location != self.location){
    top.location = self.location;
}

禁止iframe的嵌套。

3. 有價值的參考連接

http://blog.csdn.net/hfahe/article/details/8138728

http://bbs.pediy.com/showthread.php?p=1360094

http://blog.avlyun.com/2014/03/254/%E8%AD%A6%E6%83%95%E5%8F%A6%E7%B1%BBactivity%E5%8A%AB%E6%8C%81/

4. web安全的參考書籍

《XSS跨站腳本攻擊剖析與防護》

《Web前端黑客技術揭祕》

《白帽子講Web安全》