hunt-clickjacking

⚠️ USO AUTORIZADO APENAS Esta habilidade é apenas para fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Portão de confirmação obrigatório Antes de executar qualquer comando que sonde, explore, altere, persista, extraia dados ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL exato, IP, conta ou recurso alvo.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça somente leitura e forneça apenas orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

O que é Clickjacking

Clickjacking (UI Redressing) permite que um atacante carregue uma página alvo dentro de um iframe transparente em um site malicioso. A vítima vê a interface de usuário de isca do atacante, mas clica na interface de usuário alvo oculta abaixo dela. Nenhum JavaScript no alvo é necessário.

Alvos de maior valor:

• Páginas de login / autenticação — força o login com credenciais do atacante
• Transferência de dinheiro / checkout / botões "confirmar pagamento"
• Configurações da conta (alteração de e-mail, alteração de senha, desativação de 2FA)
• Diálogos de confirmação "Autorizar aplicativo" do OAuth / login social
• Ações de administrador (excluir, promover usuário, alterar função)

Cabeçalhos de Proteção

Dois mecanismos impedem o enquadramento:

X-Frame-Options: DENY              # strongest — blocks all framing
X-Frame-Options: SAMEORIGIN        # allows same-origin frames only
Content-Security-Policy: frame-ancestors 'none'     # CSP equivalent of DENY
Content-Security-Policy: frame-ancestors 'self'     # CSP equivalent of SAMEORIGIN

Se NENHUM dos dois estiver presente, a página pode ser enquadrada de qualquer origem.

Como Testar

A ausência de cabeçalho é o gatilho para investigação, não a descoberta. Duas etapas:

Etapa 1 — Verificação de cabeçalho (triagem). Busque a página alvo e inspecione os cabeçalhos de resposta:

curl -sI https://target.example/account/transfer | grep -iE 'x-frame-options|content-security-policy'

Se AMBOS X-Frame-Options e CSP frame-ancestors estiverem ausentes, a página é uma candidata. Se um deles estiver presente e restritivo (DENY/SAMEORIGIN/frame-ancestors 'none'|'self'), pare — está protegida.

Etapa 2 — Prove que realmente enquadra e clica (necessário para uma descoberta real). Construa um PoC mínimo e carregue-o em um navegador real:

<!doctype html>
<h1>Win a prize — click below</h1>
<iframe src="https://target.example/account/transfer"
        style="opacity:0.1;position:absolute;top:0;left:0;width:1000px;height:800px"></iframe>

Confirme TUDO o seguinte, ou não é explorável:

• A página realmente renderiza dentro do iframe (nenhum JS de "framebusting" que a esvazia/redireciona — por exemplo, quebra de if(top!==self), ou uma verificação de frame Sec-Fetch-Dest/JS).
• A ação sensível ainda funciona enquanto enquadrada — criticamente, a ação deve ter sucesso cross-site. Se depender de um cookie de sessão definido SameSite=Lax ou SameSite=Strict (o padrão moderno), o cookie não é enviado na solicitação enquadrada cross-site, e o clickjack falha. Verifique se o estado autenticado da vítima é transferido para o frame.
• O alvo é uma ação que altera o estado (transferência, alteração de configurações/e-mail/senha, desativação de 2FA, autorização OAuth, ação de administrador), não uma página somente leitura.

Estratégia: mire primeiro nas páginas de ação mais sensíveis — a gravidade aumenta diretamente com o que a vítima é enganada a fazer.

Falsos Positivos

• Páginas públicas somente leitura (home/marketing) sem proteção de frame são de baixo risco/informativas — nenhuma ação sensível para redesenhar.
• APIs e endpoints não HTML (JSON, imagens) não são alvos de clickjacking.
• A ausência de cabeçalho por si só NÃO é uma descoberta. Cookies SameSite, JS de "framebusting" ou a falta de qualquer ação enquadrada sensível podem derrotá-la completamente — é por isso que a Etapa 2 é obrigatória.

Requisitos de Prova

Um relatório de clickjacking válido mostra: (1) a página alvo renderizada dentro de um iframe controlado pelo atacante em um navegador real, (2) uma ação sensível que altera o estado, alcançável por um clique enquadrado enquanto a vítima está autenticada (cookies sobrevivem ao contexto cross-site), e (3) uma captura de tela/gravação da sobreposição. Relatar cabeçalhos ausentes sem um PoC de frame funcional é um problema de qualidade de documentação, não uma vulnerabilidade.

Quando Usar

…